TL;DR
In der am 21. September 2026 bekannt gegebenen Plenarsitzung nahm der EDSA die Leitlinien 04/2026 an: wie Behörden entscheiden, ob sie ein Bußgeld verhängen, allein oder neben den anderen Abhilfebefugnissen nach Art. 58 Abs. 2. Fünf Schritte: Rechtsgrundlage des Bußgelds, Adressat, Vorsatz oder Fahrlässigkeit, erschwerende und mildernde Umstände, Wirksamkeit und Verhältnismäßigkeit. Geringfügiger Verstoß: in der Regel kein Bußgeld, allenfalls eine Verwarnung. Nicht geringfügiger Verstoß: starke Vermutung für ein Bußgeld. Vierzehn Praxisbeispiele. Sie ersetzen die Leitlinien der Artikel-29-Gruppe von 2017 und ergänzen die Leitlinien 04/2022 zur Berechnung. Konsultation bis 13. November 2026. In derselben Sitzung wurde die Endfassung der Leitlinien 3/2025 zum Verhältnis von DSA und DSGVO angenommen.
Was sich ändert
Die Leitlinien 04/2022 erklären, wie die Höhe eines Bußgelds berechnet wird. Es fehlte der Schritt davor: wann eine Behörde ein Bußgeld verhängen muss und wann eine andere Maßnahme genügt. Die neuen Leitlinien schließen diese Lücke und ersetzen das alte Dokument der Artikel-29-Gruppe. Sie beschreiben zudem jede Abhilfebefugnis — Warnungen, Verwarnungen, Anweisungen, Beschränkungen und Verbote, Widerruf von Zertifizierungen — mit ihrem Zweck und ihrem Zusammenspiel mit dem Bußgeld.
Die fünf Schritte
- RECHTSGRUNDLAGE. Die Behörde prüft, ob der Verstoß nach DSGVO oder nationalem Recht bußgeldbewehrt ist.
- WER HAFTET. Verantwortlicher oder Auftragsverarbeiter, je nachdem, wen die verletzte Vorschrift bindet: die Sicherheit nach Art. 32 etwa bindet beide.
- VORSATZ ODER FAHRLÄSSIGKEIT. Ohne Verschulden kein Bußgeld. Das ist die Linie, die der Gerichtshof in Deutsche Wohnen gezogen hat (C-807/21, 5. Dezember 2023).
- ERSCHWERENDE UND MILDERNDE UMSTÄNDE. Ist der Verstoß geringfügig, in der Regel kein Bußgeld und allenfalls eine Verwarnung; ist er es nicht, besteht eine starke Vermutung für ein Bußgeld.
- WIRKSAM, VERHÄLTNISMÄSSIG, ABSCHRECKEND. Die letzte Prüfung, mit Spielraum für Abweichungen vom Standardansatz, wenn der Fall es rechtfertigt.
Die Vermutung, die zählt
Am deutlichsten ist Schritt vier. Außerhalb geringfügiger Verstöße ist das Bußgeld keine begründungsbedürftige Option mehr, sondern die Regel, von der man nur aus guten Gründen abweicht. Wer auf eine erste Verwarnung „aus Kulanz“ gesetzt hat, hat weniger Spielraum.
Warum das auch kleine Organisationen betrifft
Die Leitlinien sollen die europäischen Behörden angleichen: derselbe Verstoß soll in Rom, Lissabon oder Stockholm dieselbe Antwort bekommen. Für eine Organisation wird damit noch berechenbarer, was in Schritt vier zählt — Zusammenarbeit, bereits getroffene Maßnahmen, vorhandene Dokumentation, rasche Abhilfe. Genau das baut man vorher auf, nicht während eines Verfahrens.
Was das für den DSB bedeutet
Vier Schritte
Erstens: Verschulden ist Voraussetzung und wird danach beurteilt, was die Organisation wusste und getan hatte. Verzeichnis, DSFA, Risikoanalysen und datierte Verfahren belegen, dass Fahrlässigkeit fehlt oder gering ist. Zweitens: Korrekturmaßnahmen mit Datum und Verantwortlichen dokumentieren, denn sie zählen als mildernde Umstände. Drittens: eine Verwarnung ist nicht „nichts“: sie bleibt in der Akte und wirkt als Präzedenz. Viertens: Stellungnahmen sind bis 13. November 2026 möglich. In DPO Workspace halten die Verzeichnisdiagnose und der Aktivitätsverlauf Daten, Entscheidungen und Begründungen bereits zusammen.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
