Zusammenfassung

  • Die vom European Data Protection Board zur Konsultation angenommenen Leitlinien 04/2026 schlagen fünf Fragen vor, um zu entscheiden, ob eine Geldbuße nach der GDPR neben eine andere Abhilfemaßnahme tritt oder sie ersetzt.
  • Bei einem geringfügigen Verstoß sieht der Entwurf grundsätzlich einen Verweis statt einer Geldbuße vor; bei einem nicht geringfügigen Verstoß gilt eine starke Vermutung für eine Geldbuße, gefolgt von einer Prüfung der Verhältnismäßigkeit im Einzelfall.

Ein festgestellter Datenschutzverstoß legt die Reaktion noch nicht fest. Eine Behörde kann die Verarbeitung stoppen, eine Korrektur anordnen, einen Verweis aussprechen, eine Tätigkeit beschränken oder eine Geldbuße verhängen. Entscheidend ist, welche Maßnahme den festgestellten Mangel behebt und warum.

Das European Data Protection Board (EDPB) will diese Auswahl in fünf Schritten ordnen. In derselben Plenarsitzung stellte das EDPB auch separate Leitlinien zum Zusammenspiel von DSA und GDPR fertig; sie betreffen nicht die neue Methode zur Auswahl einer Geldbuße. Am 17. September nahm es Version 1.0 der Leitlinien 04/2026 an und leitete eine öffentliche Konsultation ein. Der Entwurf verlangt von der zuständigen nationalen Aufsichtsbehörde nacheinander zu prüfen: Erlaubt die GDPR oder nationales Recht für diesen Verstoß eine Geldbuße? Ist die untersuchte Partei an die verletzte Pflicht gebunden? Geschah der Verstoß vorsätzlich oder fahrlässig?

Deuten die Faktoren aus Artikel 83 Absatz 2 auf einen geringfügigen Verstoß hin? Und wäre eine Geldbuße im konkreten Fall wirksam, verhältnismäßig und abschreckend?

Der vierte Schritt markiert die schärfste Trennlinie. Bei einem geringfügigen Verstoß soll grundsätzlich ein Verweis statt einer Geldbuße erfolgen. Ist der Verstoß nicht geringfügig, besteht laut Entwurf eine starke Vermutung für eine Geldbuße. Das ist keine Preistabelle. Im fünften Schritt muss die Behörde weiterhin prüfen, ob die Sanktion im Einzelfall ihren gesetzlichen Zweck erfüllt und ob ein Grund besteht, von der üblichen Praxis abzuweichen.

Der Entwurf behandelt die Wahl der Maßnahme, nicht die Berechnung ihrer Höhe. Die Leitlinien 04/2022 des EDPB befassen sich bereits mit der Berechnung. Unternehmen sollten den neuen Entwurf daher nicht als Tabelle lesen, die einen Verstoß automatisch in einen festen Betrag umwandelt. Auch eine neue Sanktionsbefugnis entsteht nicht: Rechtsgrundlage bleibt die GDPR, insbesondere Artikel 58 und 83. Die Einzelfallentscheidung trifft die zuständige Aufsichtsbehörde, nicht das EDPB als Gremium.

Der Gerichtshof hatte die äußere Grenze bereits im Verfahren C-768/21, Land Hessen, gezogen. Eine Datenschutzbehörde muss nicht bei jedem festgestellten Verstoß eine Geldbuße verhängen. Sie muss aber eine Abhilfemaßnahme ergreifen, wenn sie zur Behebung des Mangels und zur Durchsetzung der GDPR geeignet, erforderlich und verhältnismäßig ist. Der EDPB-Entwurf will diesen Ermessensspielraum über Fälle hinweg nachvollziehbarer machen, ohne die Durchsetzungspflicht aufzuheben. Nicht einschlägige Schritte können entfallen; die Beispiele erläutern eine mögliche Begründung und schaffen keine Präzedenzfälle.

Der Unterschied zwischen Warnung und Geldbuße zeigt, warum die Reihenfolge zählt. Eine Warnung nach der GDPR betrifft geplante Verarbeitung, die noch keinen Verstoß darstellt; laut Entwurf kann sie für dasselbe Verhalten nicht mit einer Geldbuße kombiniert werden. Ein Verweis, eine Anordnung oder eine Beschränkung betrifft eine andere rechtliche Lage und kann einem anderen Zweck dienen. Manche Maßnahmen sollen Compliance wiederherstellen; eine Geldbuße hat auch eine abschreckende Funktion. Werden alle Instrumente gleichgesetzt, bleibt unklar, was die Behörde erreichen will.

Die Konsultation läuft bis zum 13. November 2026, 23.59 Uhr MEZ. Das EDPB will Beiträge veröffentlichen und prüft sie zuvor nur auf unzulässige Einsendungen wie Spam. Teilnehmende sollen personenbezogene Angaben und Dateimetadaten entfernen, die sie nicht veröffentlichen wollen; E-Mail-Adressen werden nicht veröffentlicht. Die Konsultation kann zeigen, ob die Grenze zwischen geringfügigem Verstoß und starker Vermutung einer Geldbuße die Behörden anleitet, ohne zur automatischen Regel zu werden.

Quellen

  1. EDPB-Mitteilung zur September-Plenarsitzung
  2. Leitlinien 04/2026, Version 1.0
  3. Öffentliche Konsultation und Einreichungsbedingungen
  4. GDPR, Verordnung (EU) 2016/679
  5. Gerichtshof, Rechtssache C-768/21, Land Hessen
  6. EDPB-Leitlinien 04/2022 zur Berechnung von Geldbußen
  7. EDPB-Übersicht zu GDPR-Geldbußen und Abhilfebefugnissen
  8. Pressemitteilung 149/24 des Gerichtshofs zu Land Hessen
  9. EDPB-Leitlinien 3/2025 zum Zusammenspiel von DSA und GDPR