EDSA konkretisiert Bußgeldpraxis zur DSGVO

(openPR) Berlin, 21. Oktober 2026 – Der Europäische Datenschutzausschuss hat neue Leitlinien zur Frage angenommen, wann Datenschutzaufsichtsbehörden Geldbußen nach der DSGVO verhängen können. Die Vorgaben sollen die behördliche Entscheidungspraxis in Europa vereinheitlichen und betreffen Unternehmen, Investoren sowie andere datenverarbeitende Stellen.

Leitlinien sollen behördliche Entscheidungen angleichen

Der Europäische Datenschutzausschuss (EDSA) hat auf seiner jüngsten Plenartagung Leitlinien zur Ausübung der Befugnis beschlossen, Geldbußen im Verhältnis zu weiteren Abhilfebefugnissen nach der DSGVO zu verhängen. Im Kern geht es darum, unter welchen Voraussetzungen eine Geldbuße als alleinige Maßnahme oder gemeinsam mit anderen aufsichtsrechtlichen Maßnahmen in Betracht kommt. Zugleich wurde die endgültige Fassung der Leitlinien zum Zusammenspiel zwischen dem Gesetz über digitale Dienste und der DSGVO angenommen.

Die DSGVO stattet die Datenschutzaufsichtsbehörden mit weitreichenden Abhilfebefugnissen aus. Geldbußen sind dabei ein zentrales Mittel, um Datenschutzverstöße durchzusetzen und die Einhaltung der Verordnung zu sichern. Nach der Mitteilung des EDSA sollen die neuen Leitlinien mehr Klarheit schaffen und eine einheitliche Anwendung der DSGVO innerhalb Europas fördern.

Für datenverarbeitende Stellen ist die Entwicklung bedeutsam, weil behördliche Verfahren stärker an einer nachvollziehbaren Prüfungsstruktur ausgerichtet werden sollen. Dies kann die Einschätzung aufsichtsrechtlicher Risiken erleichtern, ersetzt aber nicht die Prüfung des jeweiligen Einzelfalls. Die Leitlinien betreffen nicht nur die Frage der Sanktion, sondern auch das Verhältnis zu anderen Maßnahmen der Aufsichtsbehörden.

Fünfstufige Prüfung vor Verhängung einer Geldbuße

Nach den Leitlinien sollen Datenschutzaufsichtsbehörden bei der Entscheidung über eine Geldbuße ein fünfstufiges Vorgehen anwenden. Zunächst ist zu prüfen, ob der festgestellte Verstoß überhaupt bußgeldfähig ist. Die Grundlage hierfür kann sich unmittelbar aus der DSGVO oder aus dem jeweiligen nationalen Recht ergeben.

In einem weiteren Schritt wird bestimmt, ob die untersuchte Partei für die Zuwiderhandlung mit einer Geldbuße belegt werden kann. Dabei kommt es darauf an, ob die verletzte Pflicht einen Verantwortlichen oder einen Auftragsverarbeiter bindet. Anschließend ist zu klären, ob der Verstoß vorsätzlich oder fahrlässig begangen wurde, da eine schuldhafte Zuwiderhandlung nach den Leitlinien Voraussetzung für eine Geldbuße ist.

Danach bewerten die Behörden erschwerende und mildernde Umstände des Einzelfalls. Bei geringfügigen Verstößen soll regelmäßig keine Geldbuße verhängt werden; stattdessen kann etwa ein Verweis in Betracht kommen. Liegt kein geringfügiger Fall vor, sehen die Leitlinien eine starke Vermutung dafür, dass eine Geldbuße verhängt werden sollte.

Abschließend haben die Aufsichtsbehörden zu prüfen, ob eine Geldbuße wirksam, verhältnismäßig und abschreckend wäre. Dabei kann auch berücksichtigt werden, ob besondere Gründe vorliegen, die ein Abweichen vom Standardansatz rechtfertigen. Die Leitlinien enthalten zudem 14 praktische Beispiele, um die Bewertung unterschiedlicher Fallgestaltungen zu veranschaulichen.

Weitere Maßnahmen und Bedeutung für Betroffene

Die neuen Vorgaben beschränken sich nicht auf Geldbußen. Sie ordnen auch weitere Abhilfebefugnisse ein, die in den Zuständigkeitsbereich nationaler Datenschutzaufsichtsbehörden fallen. Dazu zählen insbesondere:

• Warnungen,
• Verweise,
• Anordnungen,
• Beschränkungen einschließlich Verboten,
• der Entzug einer Zertifizierung.

Die Leitlinien zur Anwendung der Bußgeldbefugnis im Zusammenhang mit anderen Abhilfemaßnahmen sollen Gegenstand einer öffentlichen Konsultation sein. Nach der Mitteilung des EDSA läuft diese bis zum 13. November 2026. Interessenträger können in diesem Zeitraum Rückmeldungen und Stellungnahmen abgeben; maßgeblich ist die offizielle englische Fassung, da die vorliegende Mitteilung auf einer automatisierten Übersetzung beruht.

Die neuen Leitlinien ersetzen die Leitlinien der Artikel-29-Datenschutzgruppe zur Anwendung und Festsetzung von Geldbußen im Sinne der Verordnung 2016/679. Zugleich ergänzen sie die bereits bestehenden Leitlinien zur Berechnung von Geldbußen nach der DSGVO. Während diese vor allem die Höhe einer Geldbuße betreffen, behandeln die neuen Vorgaben die vorgelagerte und begleitende Entscheidung, ob eine Geldbuße überhaupt und gegebenenfalls neben weiteren Maßnahmen verhängt werden sollte.

„Für Unternehmen und Investoren wird die Dokumentation datenschutzrelevanter Prozesse weiter an Bedeutung gewinnen, weil Aufsichtsbehörden ihre Entscheidung an klar benannten Kriterien ausrichten sollen“, sagt Rechtsanwalt Michael Rainer, MTR Legal Rechtsanwälte. „Wer Daten verarbeitet, sollte interne Zuständigkeiten, Risikobewertungen und Reaktionen auf behördliche Anfragen sorgfältig prüfen, um Verfahren belastbar begleiten zu können.“

Betroffene Unternehmen und andere datenverarbeitende Stellen sollten die Leitlinien in ihre Datenschutzorganisation einordnen und bestehende Abläufe im Umgang mit personenbezogenen Daten überprüfen. Relevant sind insbesondere Verantwortlichkeiten, die Bewertung möglicher Verstöße, der Umgang mit Auftragsverarbeitern und die Vorbereitung auf aufsichtsrechtliche Verfahren. MTR Legal Rechtsanwälte berät Unternehmen und Privatpersonen zu Fragen des Datenschutzrechts, insbesondere zur DSGVO, zu behördlichen Verfahren und zu digitalen Geschäftsmodellen.

Weitere Informationen: https://www.mtrlegal.com/edsa-leitlinien-zur-bussgeldpraxis-nach-der-dsgvo/