EDSA beschließt Leitlinien zur Bußgeldpraxis

Der Europäische Datenschutzausschuss (EDSA) hat auf seiner jüngsten Plenartagung Leitlinien zur Ausübung der Befugnis angenommen, Geldbußen im Verhältnis zu weiteren Abhilfebefugnissen nach der DSGVO zu verhängen. Zudem wurde die endgültige Fassung der Leitlinien zum Zusammenspiel zwischen dem Gesetz über digitale Dienste und der DSGVO verabschiedet.

Mit den neuen Leitlinien verfolgt der EDSA das Ziel, die Entscheidungspraxis der Datenschutzaufsichtsbehörden weiter anzugleichen. Im Mittelpunkt steht die Frage, unter welchen Voraussetzungen eine Geldbuße für sich allein oder zusammen mit anderen Maßnahmen in Betracht kommt.

Die DSGVO hat den Datenschutzaufsichtsbehörden umfangreiche Abhilfebefugnisse eingeräumt. Geldbußen bilden dabei ein wesentliches Instrument der Durchsetzung. Nach Aussage der stellvertretenden Vorsitzenden des EDSA, Jelena Virant Burnik, sollen die Leitlinien zu mehr Klarheit beitragen und eine einheitliche Anwendung der DSGVO in Europa fördern.

Fünfstufiges Vorgehen bei der Prüfung von Geldbußen

Nach den Leitlinien sollen Datenschutzaufsichtsbehörden bei der Entscheidung über die Verhängung einer Geldbuße eine fünfstufige Methode zugrunde legen. Diese soll die Prüfung strukturieren und die Anwendung der DSGVO in vergleichbaren Fällen nachvollziehbarer machen.

Prüfung der Bußgeldfähigkeit des Verstoßes

Zunächst prüft die Datenschutzaufsichtsbehörde, ob der festgestellte Verstoß überhaupt mit einer Geldbuße geahndet werden kann. Grundlage dafür kann sich unmittelbar aus der DSGVO oder aus dem jeweiligen nationalen Recht ergeben.

Zuordnung zur betroffenen Partei

Im nächsten Schritt wird bestimmt, ob gegen die von der Untersuchung betroffene Partei wegen der betreffenden Zuwiderhandlung eine Geldbuße verhängt werden kann. Ob ein Verantwortlicher oder ein Auftragsverarbeiter in Betracht kommt, richtet sich danach, wer an die verletzte Vorschrift gebunden ist.

Vorsatz oder Fahrlässigkeit als Voraussetzung

Anschließend ist zu prüfen, ob die Zuwiderhandlung vorsätzlich oder fahrlässig begangen wurde. Eine schuldhafte Zuwiderhandlung ist nach den Leitlinien Voraussetzung dafür, dass eine Geldbuße verhängt werden kann.

Erschwerende und mildernde Umstände

Die Datenschutzaufsichtsbehörde bewertet sodann mögliche erschwerende und mildernde Faktoren. Bei geringfügigen Verstößen wird in der Regel keine Geldbuße verhängt; stattdessen kann ein Verweis ausgesprochen werden. Liegt keine geringfügige Maßnahme vor, besteht nach den Leitlinien eine starke Vermutung dafür, dass eine Geldbuße verhängt werden sollte.

Wirksamkeit, Verhältnismäßigkeit und Abschreckung

Abschließend prüft die Datenschutzaufsichtsbehörde, ob die Verhängung einer Geldbuße wirksam, verhältnismäßig und abschreckend wäre. In diesem Zusammenhang kann sie berücksichtigen, ob im konkreten Einzelfall ein Grund besteht, vom Standardansatz abzuweichen.

Überblick über weitere Abhilfebefugnisse

Die Leitlinien beschränken sich nicht auf Geldbußen. Sie enthalten auch eine Darstellung der Abhilfebefugnisse, die in den Zuständigkeitsbereich der nationalen Datenschutzaufsichtsbehörden fallen. Dabei werden Zweck, Anwendungsbereich und Verhältnis der Maßnahmen zueinander erläutert.

Zu den genannten Abhilfemaßnahmen gehören insbesondere:

Warnungen,

Verweise,

Anordnungen,

Beschränkungen einschließlich Verboten,

der Entzug einer Zertifizierung.

Der EDSA stellt außerdem 14 praktische Beispiele bereit. Diese sollen veranschaulichen, wie Datenschutzaufsichtsbehörden die Besonderheiten eines Einzelfalls bewerten und entscheiden können, welche Abhilfemaßnahmen gegebenenfalls in Betracht kommen.

Öffentliche Konsultation bis November 2026

Die Leitlinien zur Anwendung der Befugnis zur Verhängung von Geldbußen im Zusammenhang mit anderen Abhilfebefugnissen werden Gegenstand einer öffentlichen Konsultation sein. Diese läuft nach der Mitteilung des EDSA bis zum 13. November 2026.

Interessenträger erhalten dadurch Gelegenheit, Stellungnahmen und Rückmeldungen zu den Leitlinien abzugeben. Die vorliegende Fassung der Mitteilung beruht auf einer automatisierten Übersetzung, die Fehler enthalten kann. Maßgeblich ist nicht diese Übersetzung, sondern die offizielle englische Fassung.

Endgültige Leitlinien zu DSA und DSGVO

Neben den Leitlinien zur Bußgeldmethodik hat der EDSA nach einer öffentlichen Konsultation auch die endgültige Fassung seiner Leitlinien zum Zusammenspiel zwischen dem Gesetz über digitale Dienste und der DSGVO angenommen.

Diese Leitlinien sollen die einheitliche Anwendung beider Rechtsakte unterstützen. Dies betrifft insbesondere Fälle, in denen Vorschriften des Gesetzes über digitale Dienste die Verarbeitung personenbezogener Daten durch Anbieter von Vermittlungsdiensten berühren. Die Leitlinien nehmen dabei Bezug auf die in der DSGVO enthaltenen Konzepte und Definitionen.

Verhältnis zu früheren Leitlinien

Die neuen Leitlinien ersetzen die Leitlinien der Artikel-29-Datenschutzgruppe zur Anwendung und Festsetzung von Geldbußen im Sinne der Verordnung 2016/679. Zugleich ergänzen sie die bereits zuvor angenommenen Leitlinien zur Berechnung von Geldbußen nach der DSGVO.

Während die früheren Leitlinien zur Bußgeldberechnung stärker auf die Methode zur Ermittlung der Höhe einer Geldbuße ausgerichtet sind, betreffen die neuen Leitlinien die vorgelagerte und begleitende Frage, ob eine Geldbuße allein oder zusammen mit anderen Abhilfemaßnahmen verhängt werden sollte.

Bedeutung für Unternehmen und datenverarbeitende Stellen

Die Leitlinien verdeutlichen, dass Datenschutzaufsichtsbehörden bei Verstößen gegen die DSGVO eine strukturierte Prüfung vorzunehmen haben. Für Unternehmen, Investoren und andere datenverarbeitende Stellen kann dies insbesondere im Hinblick auf behördliche Verfahren, interne Datenschutzorganisation und die Bewertung aufsichtsrechtlicher Risiken von Bedeutung sein.

MTR Legal Rechtsanwälte berät Unternehmen und Privatpersonen zu datenschutzrechtlichen Fragestellungen, insbesondere im Zusammenhang mit der DSGVO, behördlichen Verfahren und Schnittstellen zu digitalen Geschäftsmodellen. Weitere Informationen finden Sie unter Rechtsberatung im Datenschutzrecht.