Nicht jeder DSGVO-Verstoß kostet Geld: Neue Regeln für Bußgelder

Ein DSGVO-Verstoß muss nicht automatisch ein Bußgeld nach sich ziehen. Der Europäische Datenschutzausschuss (EDPB) hat neue Leitlinien dazu vorgelegt, wann Datenschutzbehörden ein Bußgeld verhängen sollen. 14 Fallbeispiele zeigen, wie unterschiedlich die Entscheidung ausfallen kann.

Neue Leitlinien zur Verhängung von DSGVO-Bußgeldern

Der EDPB hat am 17.09.2026 die neuen Guidelines 04/2026 zur Verhängung von DSGVO-Bußgeldern angenommen. Sie sollen die bereits bestehenden Guidelines 04/2022 zur Berechnung von DSGVO-Bußgeldern ergänzen.

Während die bisherigen Leitlinien die Höhe eines Bußgelds betreffen, setzen die neuen einen Schritt früher an: Soll wegen eines DSGVO-Verstoßes überhaupt ein Bußgeld verhängt werden?

Für diese Entscheidung sieht der EDPB fünf Prüfungsschritte vor:

• Ist der festgestellte DSGVO-Verstoß mit einem Bußgeld bedroht?
• Kann der Verantwortliche oder Auftragsverarbeiter für den Verstoß mit einem Bußgeld belegt werden?
• Wurde der Verstoß vorsätzlich oder fahrlässig begangen?
• Handelt es sich um einen geringfügigen Verstoß?
• Wäre ein Bußgeld im konkreten Fall wirksam, verhältnismäßig und abschreckend?

In den ersten drei Schritten wird zunächst geklärt, ob der festgestellte Verstoß überhaupt mit einem Bußgeld geahndet werden kann.

Sind diese Voraussetzungen erfüllt, steht ein Bußgeld aber noch nicht fest. In den letzten beiden Schritten kommt es darauf an, ob der Verstoß geringfügig ist und welche Reaktion darauf im konkreten Fall angemessen ist.

Wann gibt es ein Bußgeld?

Für die Bußgeldentscheidung sind vor allem die letzten beiden Prüfungsschritte wichtig. Zunächst ist zu klären, ob der Verstoß geringfügig ist. Danach muss die Behörde entscheiden, ob ein Bußgeld im konkreten Fall wirksam, verhältnismäßig und abschreckend wäre.

1. Geringfügiger Verstoß: in der Regel kein Bußgeld

Bei einem geringfügigen Verstoß soll in der Regel kein Bußgeld verhängt werden. Stattdessen kommt insbesondere eine Verwarnung in Betracht.

Ob ein Verstoß geringfügig ist, beurteilt die Behörde anhand der Umstände des Einzelfalls und der Kriterien des Art. 83 Abs. 2 DSGVO. Für die Geringfügigkeit kann etwa sprechen, dass der Verstoß kein erhebliches Risiko für die Rechte der betroffenen Personen begründet und den Kern der verletzten Pflicht nicht berührt.

Wie stark es bei dieser Bewertung auf die konkreten Umstände ankommt, zeigt besonders anschaulich das folgende Fallbeispiel aus den neuen Leitlinien:

Auch bei wesentlich alltäglicheren Fehlern stuft der EDPB die Verstöße in seinen Fallbeispielen als geringfügig ein: So landet ein Auskunftsersuchen versehentlich im Spam-Ordner; in zwei weiteren Fällen geht es um die Auskunft über Videoaufnahmen und einen Transparenzverstoß eines Sportvereins. Unter den jeweils angenommenen Umständen hält der EDPB auch hier eine Verwarnung für ausreichend.

a. Manchmal ist selbst eine Verwarnung nicht erforderlich

Bei einem geringfügigen Verstoß muss die Behörde allerdings nicht in jedem Fall eine Verwarnung aussprechen. Unter bestimmten Umständen kann sie ganz von einer Abhilfemaßnahme absehen.

Das knüpft an das EuGH-Urteil „Land Hessen“ vom 26.09.2024 (C-768/21) an. Danach muss die Aufsichtsbehörde einschreiten, wenn eine Abhilfemaßnahme geeignet, erforderlich und verhältnismäßig ist, um den festgestellten Mangel zu beheben und die vollständige Durchsetzung der DSGVO sicherzustellen.

Auch hierzu enthalten die neuen Leitlinien mehrere Beispiele:

• In einem Fall hatte ein Mitarbeiter einer Sparkasse mehrfach unbefugt auf die personenbezogenen Daten eines Kunden zugegriffen.
• In einem anderen hatte ein Unternehmen bei einem einmaligen Gewinnspiel seinen Datenschutzhinweis nicht aktualisiert.
• Ein dritter Fall betrifft eine Führerscheinkopie, die ein Mitarbeiter versehentlich per E-Mail an eine begrenzte Zahl anderer Personen geschickt hatte.

In allen drei Fällen war der Verstoß bereits beendet und der Verantwortliche hatte auf den Vorfall reagiert. Je nach Fall waren die fehlerhaften Informationen korrigiert, organisatorische Maßnahmen nachgebessert oder weitere Vorkehrungen gegen eine Wiederholung getroffen worden. Unter den jeweiligen Umständen hält die Aufsichtsbehörde deshalb keine weitere Abhilfemaßnahme für erforderlich.

b. Bei Wiederholung kann ein Bußgeld folgen

Wie wichtig gerade der letzte Punkt ist, zeigen zwei weitere Fälle aus den Leitlinien.

In einem davon beantwortet ein kleines Telekommunikationsunternehmen einen Auskunftsantrag einen Monat zu spät. Weil die Verzögerung relativ kurz war und die verlangten Informationen anschließend vollständig erteilt wurden, stuft die Aufsichtsbehörde den Verstoß zunächst als geringfügig ein und spricht eine Verwarnung aus.

Während sie diesen Fall bearbeitet, werden jedoch weitere gleichartige Fälle bekannt. Damit erscheint die verspätete Auskunft nicht mehr als einzelner Fehler, sondern als wiederkehrendes Problem. Die Aufsichtsbehörde hält den Verstoß deshalb nicht länger für geringfügig und verhängt ein Bußgeld.

Dasselbe zeigt ein weiteres Beispiel zu Löschungsbegehren: Nachdem zwei Betroffene trotz ihrer Löschungsanträge weiterhin E-Mails mit Jobangeboten erhalten hatten, sprach die Behörde zunächst eine Verwarnung aus. Als anschließend drei weitere gleichartige Beschwerden eingingen, wertete sie das Problem nicht mehr als geringfügig und verhängte ein Bußgeld.

2. Nicht geringfügig: starke Vermutung für ein Bußgeld

Ist der Verstoß dagegen nicht geringfügig, spricht nach den neuen Leitlinien eine „strong presumption“ für die Verhängung eines Bußgelds.

Auch dann muss die Behörde noch prüfen, ob ein Bußgeld im konkreten Fall wirksam, verhältnismäßig und abschreckend wäre. Wie viel diese letzte Prüfung noch verändern kann, zeigt Beispiel 14 der neuen EDPB-Leitlinien.

In diesem fiktiven Fall hatte eine Organisation zahlreiche verwaltungsgerichtliche Entscheidungen über psychiatrische Zwangsbehandlungen und Suchterkrankungen gesammelt und auf einer Website veröffentlicht. Dadurch wurden Gesundheitsdaten einer großen Zahl von Personen öffentlich zugänglich gemacht, ohne dass eine Ausnahme nach Art. 9 Abs. 2 DSGVO griff.

Allerdings verfügte die Organisation über eine behördliche Veröffentlichungsbescheinigung, aufgrund derer die Verarbeitung nach nationalem Verfassungsrecht grundsätzlich von der betreffenden Verpflichtung ausgenommen gewesen wäre. Eine Beschränkung dieses verfassungsrechtlichen Schutzes für solche Verarbeitungen war erst relativ kurz zuvor eingeführt und von Behörden oder Gerichten noch nicht angewandt worden.

Hinzu kam, dass über die Anwendung der neuen Rechtslage verbreitete Missverständnisse bestanden. Selbst Informationen der Datenschutzaufsicht konnten den Eindruck erwecken, gegen Inhaber einer solchen Veröffentlichungsbescheinigung könne sie nicht einschreiten.

Die Aufsichtsbehörde stuft den Verstoß ausdrücklich als nicht geringfügig ein. Unter diesen besonderen Umständen hält sie ein Bußgeld dennoch für unverhältnismäßig und spricht stattdessen eine Verwarnung aus.

Fazit

Ein DSGVO-Verstoß führt nicht automatisch zu einem Bußgeld. Die neuen Leitlinien zeigen, wie stark die Entscheidung von den Umständen des einzelnen Falls abhängt.

Bei geringfügigen Verstößen soll in der Regel kein Bußgeld verhängt werden. Je nach Sachlage kann eine Verwarnung genügen oder sogar jede weitere Abhilfemaßnahme entbehrlich sein. Wiederholt sich ein bereits beanstandeter Fehler, kann sich die Bewertung allerdings verschärfen.

Bei nicht geringfügigen Verstößen kehrt sich der Ausgangspunkt um: Hier spricht eine starke Vermutung für ein Bußgeld. Doch auch dann bleibt die abschließende Prüfung entscheidend, ob ein Bußgeld im konkreten Fall tatsächlich wirksam, verhältnismäßig und abschreckend wäre.