{"id":24710,"date":"2026-10-22T08:35:08","date_gmt":"2026-10-22T06:35:08","guid":{"rendered":"https:\/\/www.activemind.legal\/?p=24710"},"modified":"2026-10-22T08:42:25","modified_gmt":"2026-10-22T06:42:25","slug":"edsa-dsgvo-bussgeld","status":"publish","type":"post","link":"https:\/\/www.activemind.legal\/de\/guides\/edsa-dsgvo-bussgeld\/","title":{"rendered":"Wann droht ein DSGVO-Bu\u00dfgeld?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Wie sind Datenschutzverst\u00f6\u00dfe zu bewerten? Was war die Rolle und Verantwortung des verursachenden Unternehmens? Welche Reaktion bzw. Sanktion ist angemessen? Antworten auf diese Fragen liefern neue Leitlinien des Europ\u00e4ischen Datenschutzausschusses (EDSA) f\u00fcr die Datenschutzaufsichts-Beh\u00f6rden. Wir ordnen die Vorgaben f\u00fcr Unternehmen ein.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die neuen EDSA-Leitlinien zur Auswahl von Sanktionen und Korrekturma\u00dfnahmen<\/h2>

Mit den Guidelines 04\/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR vom 17. September 2026 konkretisiert der EDSA<\/a>, unter welchen Voraussetzungen Datenschutz-Aufsichtsbeh\u00f6rden ein Bu\u00dfgeld verh\u00e4ngen sollen und wann andere Ma\u00dfnahmen nach Art. 58 Abs. 2 DSGVO<\/a> ausreichen.<\/p>

Die Leitlinien wurden zur \u00f6ffentlichen Konsultation angenommen und richten sich in erster Linie an die Aufsichtsbeh\u00f6rden. \u00c4nderungen sind noch m\u00f6glich.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Hinweis:<\/strong> Die Leitlinien schaffen keine neuen Bu\u00dfgeldtatbest\u00e4nde, geben aber bereits jetzt wichtige Hinweise darauf, wie Verst\u00f6\u00dfe k\u00fcnftig bewertet werden d\u00fcrften.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Bu\u00dfgelder sind nur eines von mehreren aufsichtsbeh\u00f6rdlichen Instrumenten<\/h2>

Die DSGVO stellt den Aufsichtsbeh\u00f6rden verschiedene Mittel zur Verf\u00fcgung. Dazu geh\u00f6ren Verwarnungen, Anordnungen zur Herstellung rechtm\u00e4\u00dfiger Zust\u00e4nde, Einschr\u00e4nkungen oder Verbote von Verarbeitungen sowie der Widerruf von Zertifizierungen.<\/p>

Diese Ma\u00dfnahmen verfolgen unterschiedliche Ziele. Mit einer Anordnung soll ein rechtswidriger Zustand beendet werden. Ein Bu\u00dfgeld verfolgt zus\u00e4tzlich eine sanktionierende und abschreckende Wirkung.<\/p>

Die Auswahl der Ma\u00dfnahme erfolgt nicht schematisch. Die Aufsichtsbeh\u00f6rde muss vielmehr pr\u00fcfen, welche Reaktion im konkreten Einzelfall geeignet, erforderlich und verh\u00e4ltnism\u00e4\u00dfig ist. Ein Bu\u00dfgeld ist deshalb weder Automatismus noch Ultima Ratio. Ma\u00dfgeblich ist stets die Gesamtw\u00fcrdigung des Versto\u00dfes.<\/p>

In der Praxis entsteht allerdings teilweise der Eindruck, dass einzelne Aufsichtsbeh\u00f6rden bei der Verh\u00e4ngung von Bu\u00dfgeldern deutlich zur\u00fcckhaltender agieren als andere. Gerade deshalb kommt einer nachvollziehbaren und m\u00f6glichst einheitlichen Anwendung der Leitlinien des EDSA besondere Bedeutung zu.<\/p>

Die F\u00fcnf-Schritte-Pr\u00fcfung des EDSA<\/h2>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\n\t\t\t\t\t

1. Ist der Versto\u00df \u00fcberhaupt bu\u00dfgeldbewehrt? <\/h3><\/span>\n\t\t\t\t\t\t\t\n\t\t\t<\/path><\/svg><\/span>\n\t\t\t<\/path><\/svg><\/span>\n\t\t<\/span>\n\n\t\t\t\t\t\t<\/summary>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Zun\u00e4chst ist festzustellen, ob \u00fcberhaupt ein Versto\u00df gegen das Datenschutzrecht vorliegt, der nach Art. 83 DSGVO<\/a> mit Bu\u00dfgeld bedroht ist. Das ist eine Selbstverst\u00e4ndlichkeit und muss nicht weiter ausgef\u00fchrt werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/details>\n\t\t\t\t\t\t

\n\t\t\t\t\n\t\t\t\t\t

2. Wer ist Adressat des Bu\u00dfgelds? <\/h3><\/span>\n\t\t\t\t\t\t\t\n\t\t\t<\/path><\/svg><\/span>\n\t\t\t<\/path><\/svg><\/span>\n\t\t<\/span>\n\n\t\t\t\t\t\t<\/summary>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Liegt eine relevante Pflichtverletzung vor, muss gekl\u00e4rt werden, wer die verletzte Pflicht zu erf\u00fcllen hatte. In Frage kommen der Verantwortliche und der Auftragsverarbeiter, aber auch eine Zertifizierungs- oder \u00dcberwachungsstelle.<\/p>

Besonders deutlich werden die EDSA-Leitlinien bez\u00fcglich der Unternehmensverantwortung. Unternehmen k\u00f6nnen grunds\u00e4tzlich auch f\u00fcr Pflichtverletzungen ihrer Besch\u00e4ftigten oder beauftragter Dienstleister verantwortlich sein. Fehlende Kenntnis der Gesch\u00e4ftsleitung schlie\u00dft eine Sanktionierung nicht automatisch aus.<\/p>

Gerade bei Auftragsverarbeitungen ist dies von ganz erheblicher Bedeutung f\u00fcr die Praxis. Auch Fehler, die eindeutig auf Seiten eines Dienstleisters passieren, entlasten den Verantwortlichen n\u00e4mlich keinesfalls automatisch.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/details>\n\t\t\t\t\t\t

\n\t\t\t\t\n\t\t\t\t\t

3. War der Versto\u00df verschuldet? <\/h3><\/span>\n\t\t\t\t\t\t\t\n\t\t\t<\/path><\/svg><\/span>\n\t\t\t<\/path><\/svg><\/span>\n\t\t<\/span>\n\n\t\t\t\t\t\t<\/summary>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ein Bu\u00dfgeld setzt auch nach Auffassung des EDSA schuldhaftes Verhalten voraus, also Vorsatz oder Fahrl\u00e4ssigkeit.<\/p>

F\u00fcr die Praxis liegt die eigentliche Bedeutung der Leitlinien in der Auslegung der Fahrl\u00e4ssigkeit. Die Schwelle ist ausgesprochen niedrig. Es gen\u00fcgt bereits, dass das Unternehmen die Rechtswidrigkeit seines Handelns h\u00e4tte erkennen k\u00f6nnen. Tats\u00e4chliche Kenntnis eines Versto\u00dfes ist nicht erforderlich und Unternehmen k\u00f6nnen selbst dann fahrl\u00e4ssig handeln, wenn niemand bewusst gegen die DSGVO versto\u00dfen wollte.<\/p>

Das Fehlverhalten einzelner Personen ist also viel weniger relevant als weithin angenommen. Im Fokus steht stattdessen die Organisation des Unternehmens. Warum war der Datenschutzversto\u00df nicht bekannt bzw. warum wurde er nicht vermieden?<\/p>

Mangelhafte Steuerung, fehlende oder unklare Zust\u00e4ndigkeiten, unzureichende Kontrollen, nicht durchgef\u00fchrte Risikobewertungen, l\u00fcckenhafte Dokumentation oder nicht \u00fcberpr\u00fcfte Auftragsverarbeiter k\u00f6nnen schnell zum Vorwurf der Fahrl\u00e4ssigkeit f\u00fchren.<\/p>

Die Leitlinien machen auch sehr deutlich, dass externe Beratung keine automatische Entlastung bedeutet. Die Beauftragung von Rechtsanw\u00e4lten, Datenschutzberatern oder spezialisierten Dienstleistern verlagert die Verantwortung nicht auf Dritte. Die Unternehmensleitung bleibt verpflichtet, die Datenschutzorganisation zu steuern, Risiken zu \u00fcberwachen und rechtliche Anforderungen wirksam umzusetzen. Sie hat auch die Pflicht, ihr erteilten Rat kritisch zu bewerten und ggf. zu hinterfragen.<\/p>

Das ist kein neuer Gedanke und nicht \u00fcberraschend. Die Pflicht zur Steuerung und Kontrolle kann nicht delegiert werden.<\/p>

F\u00fcr Unternehmen ist dies die wichtigste Aussage der EDSA-Leitlinien. Fahrl\u00e4ssigkeit wird eher Regelfall als Ausnahme sein und wer sich entlasten will, muss im Ernstfall belegen, dass angemessene und wirksame organisatorische, technische und rechtliche Ma\u00dfnahmen bestanden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/details>\n\t\t\t\t\t\t

\n\t\t\t\t\n\t\t\t\t\t

4. Handelt es sich um einen geringf\u00fcgigen Versto\u00df? <\/h3><\/span>\n\t\t\t\t\t\t\t\n\t\t\t<\/path><\/svg><\/span>\n\t\t\t<\/path><\/svg><\/span>\n\t\t<\/span>\n\n\t\t\t\t\t\t<\/summary>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Erst wenn die genannten Voraussetzungen f\u00fcr die Verh\u00e4ngung eines Bu\u00dfgeldes vorliegen, folgt die eigentliche Auswahlentscheidung. Nun sollen die Kriterien des Art. 83 Abs. 2 DSGVO bewertet werden.<\/p>

Dazu geh\u00f6ren unter anderem:<\/p>