DSGVO-Bußgelder: Was mildert, was verschärft Sanktionen?

DSGVO-Bußgelder entstehen nicht allein durch den Verstoß selbst, sondern auch durch die Reaktion darauf. Neue Leitlinien des Europäischen Datenschutzausschusses legen den Rechenweg der Behörden offen. Dieser Beitrag zeigt, welche Umstände Sanktionen in der Praxis mildern, welche sie verschärfen und was Unternehmen bei einem Datenschutzvorfall dokumentieren sollten, um nicht zusätzlich belastet zu werden.

Was regeln die neuen Leitlinien zu DSGVO-Bußgeldern?

Der Europäische Datenschutzausschuss (EDSA) hat im September 2026 die Leitlinien 04/2026 zur Bemessung von Geldbußen veröffentlicht. Die öffentliche Konsultation läuft noch bis zum 13. November 2026, der Text kann sich also bis zur finalen Fassung in Details verändern. Fachlich knüpfen die Leitlinien an die bereits etablierte Berechnungsmethodik an: Zuerst wird bestimmt, welche Verarbeitungsvorgänge und welche Verstöße überhaupt getrennt zu sanktionieren sind. Anschließend wird ein Ausgangsbetrag gebildet, der sich an der Schwere des Verstoßes und am Umsatz des Unternehmens orientiert. Erst danach kommen erschwerende und mildernde Umstände ins Spiel, bevor der gesetzliche Höchstbetrag und die Angemessenheit im Einzelfall geprüft werden.

Wichtig ist, was die Leitlinien ausdrücklich nicht leisten: Sie enthalten keinen Bußgeldkatalog, aus dem sich für eine bestimmte Art des Verstoßes ein fester Betrag ablesen ließe. Sie ersetzen auch nicht das Ermessen der zuständigen Aufsichtsbehörde, das Art. 83 DSGVO ausdrücklich vorsieht. Und sie greifen nicht in das nationale Verfahrensrecht ein, das weiterhin bestimmt, wie ein Bußgeldverfahren abläuft, welche Beweisregeln gelten und wie gerichtlicher Rechtsschutz ausgestaltet ist.

Praktisch heißt das: Vereinheitlicht wird die Berechnung, nicht deren Ergebnis. Der Gewinn liegt damit auf der Verfahrensebene, denn die Schritte der Bußgeldbemessung sind offengelegt und dadurch überprüfbar. Welche Umstände innerhalb dieser Schritte den Ausschlag geben, bestimmt weiterhin der konkrete Fall.

Welche Faktoren bestimmen die Höhe der Sanktionen?

Den größten Hebel hat die Einordnung der Verstoßschwere. Entscheidend sind dabei die Art der betroffenen Daten, die Zahl der betroffenen Personen, die Dauer des Verstoßes und der Grad des Verschuldens. Ein einmaliger Konfigurationsfehler ohne erkennbaren Schaden wird anders bewertet als eine über Jahre betriebene Verarbeitung ohne tragfähige Rechtsgrundlage. Der Umsatz wirkt in diesem Modell nicht als Strafzuschlag, sondern als Bezugsgröße, mit der die abschreckende Wirkung für Unternehmen unterschiedlicher Größe vergleichbar bleiben soll.

Die zweite Ebene betrifft das Verhalten des Unternehmens vor, während und nach dem Vorfall.

Mildernd wirken typischerweise:

• Kooperation mit der Aufsichtsbehörde: fristgerechte, inhaltlich belastbare und widerspruchsfreie Auskünfte
• Eigeninitiative: Meldung nach Art. 33 DSGVO, ohne dass die Behörde von Dritten Kenntnis erlangt
• Schadensminderung: Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO, Sperrung kompromittierter Zugänge
• Abhilfemaßnahmen: dokumentierte technische und organisatorische Korrekturen, Löschung unrechtmäßig erhobener Daten
• Compliance-Nachweise: Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzungen, Schulungs- und Freigabedokumentation
• Zertifizierungen und Verhaltensregeln: Nachweise nach Art. 40 und Art. 42 DSGVO, soweit sie den betroffenen Prozess erfassen

Verschärfend wirken dagegen:

• Wiederholung: frühere Verstöße, Verwarnungen oder Anordnungen derselben Behörde
• Vorsatz: bewusste Inkaufnahme des Verstoßes, etwa bei fehlender Rechtsgrundlage trotz interner Warnung
• Wirtschaftlicher Vorteil: Gewinne oder Einsparungen, die durch den Verstoß erzielt wurden
• Sensible Datenkategorien: Verarbeitung von Daten nach Art. 9 und Art. 10 DSGVO
• Verzögerte Aufklärung: späte, unvollständige oder in sich widersprüchliche Angaben im Verfahren
• Missachtung behördlicher Anordnungen: Fortsetzung der Verarbeitung trotz Untersagung

Entscheidend ist, dass mildernde Umstände nicht behauptet, sondern belegt werden müssen. Eine lückenhafte Dokumentation kann dazu führen, dass Vorkehrungen, die tatsächlich bestanden haben, im Verfahren unberücksichtigt bleiben.

Werden DSGVO-Bußgelder dadurch vorhersehbarer?

Teilweise. Eine einheitliche Methodik erhöht die Nachvollziehbarkeit von Entscheidungen und erleichtert es, Bescheide zu überprüfen und anzugreifen. Wer die Berechnungsschritte kennt, kann im Verfahren gezielt zu einzelnen Stufen argumentieren, etwa zur Einordnung der Schwere oder zur Berücksichtigung mildernder Umstände. Realistisch ist dadurch die Prognose eines Korridors, nicht eines konkreten Betrags.

Mehrere Faktoren begrenzen die Vereinheitlichung weiterhin: Die Aufsichtsbehörden der Mitgliedstaaten setzen unterschiedliche Prüfschwerpunkte und arbeiten mit unterschiedlichen Ressourcen und Verfahrensordnungen. Hinzu kommt die gerichtliche Kontrolle, die den Rahmen fortlaufend präzisiert. Der Europäische Gerichtshof hat in der Sache Deutsche Wohnen klargestellt, dass ein Bußgeld schuldhaftes Verhalten voraussetzt, Unternehmen aber unmittelbar belangt werden können, ohne dass der Verstoß einer bestimmten natürlichen Person zuzuordnen ist. Wie tief die Kontrolle der Bemessung selbst reichen kann, zeigt das Verfahren gegen 1&1 Telecom: Das Landgericht Bonn bestätigte den Verstoß, hielt den Rechenweg der Behörde jedoch für unangemessen und setzte die Geldbuße von 9,55 Millionen auf 900.000 Euro herab. Ausdrücklich berücksichtigt wurde dabei die Kooperation des Unternehmens.

Wie die Leitlinien wirken, wird erst die Praxis der kommenden Jahre zeigen. Einheitlichere Berechnungswege ist der plausibelste Effekt, eine Angleichung der absoluten Bußgeldhöhen zwischen den Mitgliedstaaten folgt daraus nicht automatisch. Hinzu kommt, dass sich die Obergrenze bei Konzernstrukturen am Gesamtumsatz der wirtschaftlichen Einheit orientiert, nicht am Umsatz der handelnden Gesellschaft.

Was sollten Unternehmen bei Datenschutzvorfällen dokumentieren?

Die praktisch wichtigste Konsequenz liegt nicht in der Vermeidung von Verstößen, sondern in der Vorfallbearbeitung. Ein Vorfall wird selten dadurch teuer, dass er passiert ist, sondern dadurch, dass die Reaktion darauf unstrukturiert verläuft. Sinnvoll ist eine lückenlose Zeitschiene: Wann wurde der Vorfall erkannt, wer wurde informiert, welche Risikobewertung lag der Entscheidung über eine Meldung zugrunde, und warum wurde so entschieden. Besonders relevant ist die Dokumentation von Fällen, in denen bewusst keine Meldung erfolgte, denn Art. 33 Abs. 5 DSGVO verlangt auch dafür eine nachvollziehbare Begründung.

Ebenso wichtig ist der Nachweis, dass Maßnahmen wirken: Protokollierung von Abhilfemaßnahmen mit Datum und Verantwortlichkeit, Prüfung auf gleichartige Fehler an anderer Stelle, Anpassung betroffener Prozesse und Berechtigungskonzepte. Da wiederholte Verstöße besonders schwer wiegen, zahlt sich der Nachweis einer strukturell behobenen Ursache später aus.

Dritter Punkt ist die Kommunikation mit der Aufsichtsbehörde. Sinnvoll sind eine festgelegte Zuständigkeit, eine einheitliche Sprachregelung und die Abstimmung von Auskünften, bevor sie erteilt werden. In einem Reaktionsplan festgehalten, lassen sich diese Abläufe im Ereignisfall ohne Zeitverlust ausführen.

Einordnung der Leitlinien

Die Leitlinien des EDSA sind ein Schritt in Richtung methodischer Vereinheitlichung, kein Tarifwerk für DSGVO-Bußgelder. Die Schwere des Verstoßes und die Unternehmensgröße bestimmen den Ausgangspunkt, das eigene Verhalten die Abweichung davon. Bis zum Abschluss der Konsultation am 13. November 2026 bleibt der Text in Bewegung, die zugrunde liegende Logik dürfte jedoch Bestand haben. Für Fachverantwortliche liegt der Mehrwert deshalb weniger in der Lektüre der Leitlinien selbst als in der Frage, ob die eigene Vorfalldokumentation einer behördlichen Prüfung standhält.