DSGVO-Bußgeld oder Verwarnung: neue Leitlinien des EDPB

Der Europäische Datenschutzausschuss (EDPB) hat am 17. September 2026 die Leitlinien 04/2026 angenommen. Sie beschreiben, wie die Aufsichtsbehörden entscheiden, ob sie bei einem Verstoß gegen die DSGVO ein Bußgeld verhängen oder eine andere Maßnahme wählen, etwa eine Verwarnung oder eine Anordnung. Die Leitlinien liegen bis zum 13. November 2026 zur öffentlichen Konsultation vor. Sie betreffen alle Verantwortlichen und Auftragsverarbeiter, vom Konzern bis zum kleinen Verein.

Worum es geht

Die DSGVO gibt den Aufsichtsbehörden in Art. 58 Abs. 2 eine ganze Reihe von Abhilfebefugnissen: Warnung, Verwarnung, Anordnungen, Beschränkungen bis hin zum Verbot einer Verarbeitung, den Widerruf einer Zertifizierung und eben die Geldbuße nach Art. 83. Wie hoch ein Bußgeld ausfällt, regeln seit 2022 die Leitlinien 04/2022 zur Berechnung. Offen blieb bisher, nach welchen Maßstäben die Behörden überhaupt zur Geldbuße greifen. Dazu gab es nur ältere Leitlinien der Artikel-29-Datenschutzgruppe aus der Zeit vor dem Inkrafttreten der DSGVO.

Die neuen Leitlinien ersetzen diese alten Vorgaben und ergänzen die Berechnungsleitlinien. Der EDPB stützt sich dabei auf die Erfahrung der Behörden seit 2018 und auf mehrere Urteile des Europäischen Gerichtshofs. Ziel ist, dass gleiche Fälle in allen Mitgliedstaaten ähnlich behandelt werden.

Die Methode in fünf Schritten

Der EDPB beschreibt einen Ablauf, den die Behörde Schritt für Schritt durchgeht:

1. Kann der festgestellte Verstoß überhaupt mit einem Bußgeld geahndet werden, nach der DSGVO oder nach nationalem Recht?
2. Kann das untersuchte Unternehmen für diesen Verstoß haftbar gemacht werden, etwa als Verantwortlicher oder als Auftragsverarbeiter?
3. Wurde vorsätzlich oder fahrlässig gehandelt?
4. Sprechen die Umstände nach Art. 83 Abs. 2 DSGVO für einen geringfügigen Verstoß?
5. Wäre ein Bußgeld im konkreten Fall wirksam, verhältnismäßig und abschreckend?

Die ersten drei Schritte prüfen die rechtlichen Voraussetzungen. Die Schritte vier und fünf entscheiden, ob es tatsächlich zu einer Geldbuße kommt oder ob eine andere Maßnahme besser passt.

Fahrlässigkeit ist schnell erreicht

Für die Praxis besonders wichtig ist der dritte Schritt. Ein Bußgeld setzt Verschulden voraus. Nach Auffassung des EDPB liegt die Schwelle für Fahrlässigkeit aber sehr niedrig. Es kommt nicht darauf an, ob ein Unternehmen seinen Verstoß tatsächlich erkannt hat, sondern ob es ihn hätte erkennen können. Von Unternehmen wird erwartet, dass sie sich über die für sie geltenden Pflichten informieren.

Auch ein Rechtsgutachten schützt nicht automatisch. In einem der Beispiele der Leitlinien beruft sich ein Unternehmen auf eine externe Stellungnahme, die von der herrschenden Meinung abweicht. Der EDPB sieht darin keine Entlastung, weil das Unternehmen die Gegenansicht kannte. Gleiches gilt für eine interne Bewertung, die der bekannten Auffassung der Aufsichtsbehörde widerspricht.

Geringfügig oder nicht: die entscheidende Weiche

Im vierten Schritt gilt eine klare Grundregel. Ist ein Verstoß geringfügig, wird in der Regel kein Bußgeld verhängt, sondern höchstens eine Verwarnung ausgesprochen. Ist er nicht geringfügig, spricht eine starke Vermutung für eine Geldbuße. In beiden Fällen behält die Behörde einen Ermessensspielraum. Bei kleinen Verstößen kann sie nach den Leitlinien sogar ganz auf Maßnahmen verzichten, wenn das Unternehmen den Fehler selbst beendet und Vorkehrungen gegen eine Wiederholung getroffen hat.

Bei der Einstufung achten die Behörden unter anderem auf Art, Schwere und Dauer des Verstoßes, die Zahl der Betroffenen, die Art der Daten und den entstandenen Schaden. Mehrere Punkte sind für Unternehmen aufschlussreich:

• Maßnahmen zur Schadensbegrenzung zählen vor allem dann, wenn sie früh und aus eigenem Antrieb ergriffen werden, bevor eine Untersuchung bekannt ist.
• Die bloße Erfüllung der DSGVO-Pflichten gilt nicht als mildernd. Das gilt für technische und organisatorische Maßnahmen ebenso wie für die gesetzlich vorgeschriebene Zusammenarbeit mit der Behörde. Mildernd wirkt nur, was deutlich darüber hinausgeht.
• Dass es bisher keine Verstöße gab, wirkt für sich genommen nicht entlastend, weil die Einhaltung der DSGVO der Normalfall ist.
• Wiederholte gleichartige Fehler können aus einem geringfügigen Verstoß einen bußgeldwürdigen machen.

Die Leitlinien enthalten 14 fiktive Fallbeispiele. Mehrere betreffen kleine und mittlere Unternehmen, etwa eine unbeantwortete Auskunftsanfrage, die im Spam-Ordner gelandet war, oder einen Tracking-Pixel, der unbemerkt Daten übermittelte. In beiden Fällen blieb es bei einer Verwarnung. In einem anderen Beispiel wurde aus einer verspäteten Auskunft ein Bußgeldverfahren, weil sich gleichartige Fälle häuften.

Was noch offen ist

Es handelt sich um die erste Fassung zur Konsultation. Stellungnahmen sind bis zum 13. November 2026 über die Website des EDPB möglich. Danach überarbeitet der Ausschuss den Text. Die Leitlinien richten sich an die Aufsichtsbehörden und binden Gerichte nicht unmittelbar. Sie zeigen jedoch, wie die Behörden künftig prüfen und begründen werden.

Den vollständigen Text finden Sie auf der Seite des EDPB zu den Leitlinien 04/2026.

Was das für Sie bedeutet

Die Leitlinien belohnen Unternehmen, die Fehler schnell erkennen, selbst beheben und das belegen können. Wer erst reagiert, wenn die Behörde anfragt, verliert diesen Vorteil. Sinnvolle nächste Schritte:

• Prüfen Sie, ob Auskunfts- und Löschanfragen zuverlässig ankommen und fristgerecht bearbeitet werden, auch wenn sie über ungewöhnliche Kanäle eintreffen.
• Halten Sie fest, wann Sie einen Fehler bemerkt und welche Maßnahmen Sie ergriffen haben. Datum und Inhalt der Abhilfe sind im Ernstfall entscheidend.
• Werten Sie wiederkehrende Fehler aus. Ein einzelner Ausrutscher wird anders bewertet als ein Muster.
• Überprüfen Sie Datenschutzhinweise und eingebundene Dienste von Drittanbietern regelmäßig, nicht nur bei der Einführung.
• Verlassen Sie sich bei strittigen Verarbeitungen nicht allein auf eine günstige Rechtsmeinung, wenn die Aufsicht erkennbar anders denkt.

Sightadel unterstützt Sie dabei mit geführten Assessments, Aktionsplänen und einem Nachweis-Archiv, in dem Maßnahmen mit Datum dokumentiert sind. Mehr dazu auf der Seite zur DSGVO. Sie können die Plattform 14 Tage kostenlos testen.

Stand: 12. Oktober 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.