Wann ein Bußgeld und wann nicht: der EDSA schreibt den fehlenden Teil auf

Die Unterscheidung zwischen beiden Dokumenten ist das Einzige, was man richtig verstehen muss. Die Leitlinien von 2022 beantworten die Frage «wie viel»: Man geht von der Schwere aus, findet einen Ausgangspunkt, wendet die Faktoren des Art. 83 Abs. 2 an, sieht auf den Umsatz. Die 04/2026 beantworten eine vorgelagerte Frage, die niemand je geordnet aufgeschrieben hatte: «Kommt es überhaupt zum Bußgeld, und warum nicht zu einer Verwarnung, einer Anweisung oder einer Beschränkung?» Bis gestern war dieser Teil Praxis, also von Behörde zu Behörde verschieden.

Die Methode hat fünf Schritte, in dieser Reihenfolge zu lesen: Jeder kann die Sache vor dem nächsten beenden.

• Erstens: Die Behörde prüft, ob der vorgeworfene Verstoß überhaupt zu einer Geldbuße führen kann, mit Grundlage in der DSGVO oder im nationalen Recht.
• Zweitens: Sie prüft, ob die untersuchte Stelle Adressatin sein kann. Ob Verantwortlicher oder Auftragsverarbeiter einstehen, hängt davon ab, wen die verletzte Vorschrift bindet.
• Drittens: Sie bewertet, ob der Verstoß vorsätzlich oder fahrlässig begangen wurde. Das Verschulden ist Voraussetzung der Geldbuße, kein Rabattfaktor.
• Viertens: Sie wägt erschwerende und mildernde Umstände ab. Ist der Verstoß geringfügig, wird in der Regel nicht geahndet und eine Verwarnung erteilt; ist er nicht geringfügig, besteht eine starke Vermutung, dass eine Geldbuße zu verhängen ist.
• Fünftens: Sie prüft, ob die Geldbuße im konkreten Fall wirksam, verhältnismäßig und abschreckend ist und ob Gründe bestehen, vom Regelansatz abzuweichen.

Der dritte Schritt verdient dieselbe Aufmerksamkeit, aus dem umgekehrten Grund. Das Verschulden wird als Voraussetzung dargestellt: ohne Vorsatz oder Fahrlässigkeit keine Geldbuße. Das klingt nach einer guten Nachricht für den Verantwortlichen, und teilweise ist es das, doch es schlägt sofort in eine praktische Last um. Schuldlosigkeit wird nicht behauptet, sie wird gezeigt: mit dem Datum, an dem ein Risiko erkannt wurde, der Stellungnahme des Datenschutzbeauftragten, der Entscheidung des Organs, das sie treffen durfte, der durchgeführten Maßnahme. Eine Organisation, die davon keine Spuren führt, kann sich von einer fahrlässigen nicht unterscheiden, weil beide von außen sehr ähnlich aussehen.

Der nützlichste Teil des Dokuments für die tägliche Arbeit sind die vierzehn praktischen Beispiele: Fälle, die zeigen, wie eine Behörde zwischen Verwarnung, Anweisung, Beschränkung, Verbot, Entzug der Zertifizierung und Geldbuße wählt und wann sie sie kombiniert. Dieses Material ist mehr wert als viele Seiten Grundsätze, weil es die Grenze zwischen den Sachverhalten lesbar macht.

Noch eines, und es hat eine Frist. Der Text steht bis zum 13. November 2026 in der öffentlichen Konsultation: Jeder kann Stellung nehmen, nicht nur Verbände. Für eine Kanzlei mit Mandanten in mehreren Mitgliedstaaten ist das eine konkrete Gelegenheit, denn gerade die Uneinheitlichkeit zwischen nationalen Behörden ist das Problem, das diese Leitlinien schließen wollen.