DSGVO-Bußgelder – EDSA legt Leitlinien zur Wahl der Abhilfemaßnahme vor

Der Europäische Datenschutzausschuss (EDSA) hat Leitlinien angenommen, nach denen die Aufsichtsbehörden einheitlich entscheiden sollen, ob sie DSGVO-Bußgelder verhängen oder zu anderen Abhilfemaßnahmen greifen. Die am 21. September 2026 bekannt gegebenen „Guidelines 04/2026“ stehen bis zum 13. November 2026 zur öffentlichen Konsultation. Zugleich hat der Ausschuss seine Leitlinien zum Zusammenspiel von Digital Services Act (DSA) und DSGVO endgültig verabschiedet.

Fünf Prüfschritte

Nach der Mitteilung des EDSA sollen die Behörden in fünf Schritten vorgehen.

• Sie prüfen, ob der Verstoß überhaupt bußgeldbewehrt ist – unmittelbar nach der DSGVO oder nach nationalem Recht.
• Sie klären, ob gerade der Betroffene haftet. Ob Verantwortlicher oder Auftragsverarbeiter, hängt davon ab, an wen sich die verletzte Vorschrift richtet.
• Sie stellen fest, ob vorsätzlich oder fahrlässig gehandelt wurde. Ein schuldhafter Verstoß ist Voraussetzung für ein Bußgeld.
• Sie gewichten erschwerende und mildernde Umstände. Bei geringfügigen Verstößen soll in der Regel kein Bußgeld verhängt werden, gegebenenfalls aber eine Verwarnung. Bei nicht geringfügigen Verstößen besteht nach den Leitlinien eine starke Vermutung für ein Bußgeld.
• Sie prüfen, ob ein Bußgeld wirksam, verhältnismäßig und abschreckend wäre. Im Einzelfall kann vom Standardvorgehen abgewichen werden.

Daneben geben die Leitlinien einen Überblick über die übrigen Abhilfebefugnisse – Warnungen, Verwarnungen, Anweisungen, Beschränkungen einschließlich Verboten und den Widerruf von Zertifizierungen – und erläutern deren Zweck und Verhältnis zueinander. Vierzehn Praxisbeispiele zeigen, wie Behörden einen Fall einordnen können. Die Leitlinien ersetzen die früheren Leitlinien der Artikel-29-Datenschutzgruppe zur Anwendung und Festsetzung von Geldbußen und ergänzen die EDSA-Leitlinien zur Berechnung der Bußgeldhöhe. Stellungnahmen nimmt der Ausschuss über die Konsultationsseite entgegen.

DSA und DSGVO

Nach Abschluss der öffentlichen Konsultation hat der EDSA außerdem die endgültige Fassung seiner Leitlinien zum Verhältnis von DSA und DSGVO angenommen. Sie sollen eine einheitliche Anwendung beider Rechtsakte sichern, vor allem dort, wo DSA-Vorschriften die Verarbeitung personenbezogener Daten durch Vermittlungsdienste betreffen und auf Begriffe der DSGVO verweisen.

Einordnung

Die neuen Leitlinien betreffen die Frage, ob ein Bußgeld verhängt wird, nicht wie hoch es ausfällt. Für Unternehmen und Kanzleien – Letztere auch als Verantwortliche für Mandanten- und Beschäftigtendaten – wird damit nachvollziehbarer, wann eine Aufsichtsbehörde voraussichtlich zum Bußgeld greift. Nach dem Entwurf kommt es dabei wesentlich darauf an, ob ein Verstoß als geringfügig einzustufen ist.

Hintergrund ist das Bemühen um eine einheitlichere Durchsetzung. Bereits im Juli hatte der EDSA darauf hingewiesen, dass Zahl und Komplexität der Beschwerden steigen, unter anderem infolge des zunehmenden KI-Einsatzes. Die deutschen Datenschutzaufsichtsbehörden wirken im EDSA mit. Die Leitlinien sind für die Praxis der Behörden maßgeblich, binden Gerichte aber nicht. Bis zum 13. November 2026 können Verbände, Unternehmen und Berufsorganisationen Stellung nehmen. Erst danach beschließt der EDSA die Endfassung.