Nicht jeder DSGVO-Verstoß endet mit einem Bußgeld. Der Europäische Datenschutzausschuss (EDSA) hat am 17. September 2026 Leitlinien angenommen, die ordnen, wann Aufsichtsbehörden eine Geldbuße festsetzen und wann eine Verwarnung genügt. Das Papier liegt als Version 1.0 zur öffentlichen Konsultation vor, Stellungnahmen sind vom 21. September bis 13. November 2026 möglich. Wenn Sie einen kleinen Betrieb führen, ist vor allem diese Linie wichtig: Bei einem geringfügigen Verstoß ist in der Regel kein Bußgeld vorgesehen, bei einem nicht geringfügigen spricht viel dafür.
Worum es in dem Papier geht
Die Leitlinien 04/2026 zur Anwendung der Befugnis, Verwaltungsgeldbußen zu verhängen, im Verhältnis zu anderen Abhilfebefugnissen nach der DSGVO (englisch: „Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR“) richten sich an die Aufsichtsbehörden, nicht an Unternehmen. Sie ersetzen die älteren Leitlinien WP253 der Artikel-29-Datenschutzgruppe und ergänzen die Leitlinien 04/2022 zur Berechnung von Geldbußen. Die Leitlinien 04/2022 beantworten die Frage „wie hoch“, die neue Fassung die Frage „ob überhaupt“.
Es ist eine Konsultationsfassung. Der Text kann sich nach der Auswertung der Stellungnahmen ändern, einen Termin für die Endfassung nennt das Papier nicht. Ziel ist laut Leitlinie eine einheitliche Methodik der Behörden. Wie die einzelne Aufsichtsbehörde in Deutschland künftig entscheidet, lässt sich aus dem Papier allein nicht ablesen.
Fünf Prüfschritte
Die Behörde prüft zuerst drei rechtliche Voraussetzungen: Kann der Verstoß überhaupt mit einem Bußgeld belegt werden? Kann der Adressat belangt werden? Liegt Vorsatz oder Fahrlässigkeit vor? Ohne Verschulden gibt es kein Bußgeld.
Danach folgen zwei Bewertungsschritte. Der vierte fragt, ob der Verstoß nach den Faktoren des Art. 83 Abs. 2 lit. a bis k DSGVO geringfügig ist. Dazu zählen unter anderem Art, Dauer und Umfang des Verstoßes, die Zahl der Betroffenen, die Kategorien der Daten und der Grad des Verschuldens. Der fünfte fragt, ob ein Bußgeld wirksam, verhältnismäßig und abschreckend im Sinne von Art. 83 Abs. 1 DSGVO wäre.
Ist der Verstoß geringfügig, kommt in der Regel statt des Bußgelds eine Verwarnung in Betracht, so sieht es Erwägungsgrund 148 vor. Im Einzelfall kann bei einem geringfügigen Verstoß sogar jede Abhilfemaßnahme unterbleiben (Rn. 116 und 117). Ein Bußgeld schließt der EDSA aber auch dort nicht in jedem Fall aus (Rn. 115). Ist der Verstoß nicht geringfügig, besteht eine starke Vermutung, dass ein Bußgeld verhängt wird. Auch davon gibt es Ausnahmen: Nach Rn. 119 und 120 kann statt des Bußgelds eine Verwarnung genügen, etwa wenn das Bußgeld für eine natürliche oder juristische Person eine unverhältnismäßige Belastung wäre (Beispiel 14). In außergewöhnlichen Fällen kann die Behörde sogar auf jede Maßnahme verzichten (Rn. 121). Die Leitlinie enthält insgesamt 14 Fallbeispiele.
Warnung und Verwarnung sind zwei Dinge
Die Begriffe liegen im Gesetz eng beieinander. Art. 58 Abs. 2 lit. a DSGVO regelt die Warnung: Sie kann ergehen, wenn ein geplanter Verarbeitungsvorgang voraussichtlich gegen die DSGVO verstoßen würde. Art. 58 Abs. 2 lit. b DSGVO regelt die Verwarnung: Sie kann ergehen, wenn ein Verarbeitungsvorgang bereits gegen die DSGVO verstoßen hat. Die englische Fassung der Leitlinie spricht bei Letzterer von „reprimand“.
Die Leitlinie ordnet die Warnung nach DSGVO den künftigen, wahrscheinlichen Verstößen zu. Daneben kann wegen desselben Verhaltens kein Bußgeld verhängt werden (Rn. 23). Zu den weiteren Abhilfebefugnissen in Art. 58 Abs. 2 DSGVO zählen Anweisungen, einen rechtmäßigen Zustand herzustellen, Beschränkungen der Verarbeitung bis zum Verbot und der Widerruf von Zertifizierungen.
Mildernd oder nicht: Kooperation und frühes Handeln
Die gewöhnliche Zusammenarbeit mit der Behörde nach Art. 31 DSGVO ist Pflicht und gilt nicht als mildernd (Rn. 90). Mildernd kann nur eine außergewöhnliche Kooperation wirken, die über das Gesetz und das Übliche hinausgeht und die Folgen für Betroffene begrenzt (Rn. 91).
Beim Zeitpunkt unterscheidet die Leitlinie so: Maßnahmen, die den Schaden der Betroffenen mindern und die ein Unternehmen spontan ergreift, bevor die Behörde von der Untersuchung weiß, werden eher als mildernd gewertet als spätere (Rn. 73 und 74). Eine Eigenmeldung vor Kenntnis der Behörde kann nach Art. 83 Abs. 2 lit. h DSGVO mildernd sein. Besteht eine gesetzliche Meldepflicht, etwa bei einer Datenpanne nach Art. 33 DSGVO, ist die Meldung neutral (Rn. 95 und 96). Wer eine Panne meldet, erfüllt zunächst nur seine Pflicht. Sonstige Maßnahmen mildern nur ausnahmsweise, wenn der Verantwortliche über seine Pflichten hinausgeht (Rn. 75 bis 77).
Einen Prüfbericht eines externen Dienstleisters nennt die Leitlinie nicht ausdrücklich als Milderungsgrund. Beispiel 13 (Kopie eines Führerscheins) führt unter den Umständen, die zum Verzicht auf jede Abhilfemaßnahme beitragen, auf, dass der Verantwortliche sofort einen Dritten beauftragte, seine Maßnahmen neu zu bewerten. Als Regel lässt sich daraus nichts ableiten. Belegt ist dagegen Beispiel 12: Ein kleines Unternehmen korrigiert seine veraltete Datenschutzerklärung, bevor eine Untersuchung beginnt, und die Behörde ergreift keine Abhilfemaßnahme. Dazu passt der EuGH in C-768/21, Rn. 43: Ausnahmsweise darf die Behörde von einer Maßnahme absehen, etwa wenn der Verantwortliche nach Kenntnis des Verstoßes die erforderlichen Maßnahmen ergriffen hat.
Der Beitrag Über 100 Patientenakten in einem Bauschutt-Schrank zu einem Krankenhaus in Mecklenburg-Vorpommern gibt die Bewertung der Kooperation durch die Behörde vor der Leitlinie wieder. Rn. 90 und 91 setzen dafür einen strengeren Maßstab.
EuGH C-768/21: Ermessen, aber kein freies
Zentral für die Leitlinie ist das Urteil des Europäischen Gerichtshofs vom 26. September 2024 in der Rechtssache C-768/21, TR gegen Land Hessen (ECLI:EU:C:2024:785). Eine Sparkassen-Mitarbeiterin hatte mehrfach unbefugt auf Kundendaten zugegriffen, der Hessische Datenschutzbeauftragte sah keinen Anlass für Abhilfemaßnahmen. Der EuGH entschied: Die Aufsichtsbehörde muss nicht bei jedem festgestellten Verstoß eine Abhilfemaßnahme ergreifen, insbesondere kein Bußgeld. Sie muss aber handeln, wenn eine Maßnahme geeignet, erforderlich und verhältnismäßig ist, um den Verstoß zu beheben und die DSGVO durchzusetzen. Einen Anspruch darauf, dass gegen den Verantwortlichen ein Bußgeld verhängt wird, hat die betroffene Person nicht. Die Leitlinie nutzt den Sachverhalt als Beispiel 11.
Und Ihr Betrieb?
Drei der 14 Beispiele betreffen kleine Unternehmen. In Beispiel 12 korrigiert ein Betrieb seine veraltete Datenschutzerklärung vor Beginn der Untersuchung, es folgt keine Abhilfemaßnahme. In Beispiel 7 bindet ein kleines Unternehmen ein Tracking-Pixel eines Social-Media-Anbieters ein, die Behörde wertet den Verstoß (Art. 32 DSGVO) als geringfügig und spricht eine Verwarnung aus. In Beispiel 6 beantwortet ein kleines Unternehmen ein Auskunftsersuchen nicht rechtzeitig und erhält ebenfalls eine Verwarnung.
Daraus folgt keine Zusage. Ob ein Mangel geringfügig ist, hängt von den Faktoren des Art. 83 Abs. 2 DSGVO ab, und nach Rn. 115 bleibt selbst bei geringfügigen Verstößen ein Bußgeld im Einzelfall möglich. Auch die Beispiele sind keine Vorlage für Ihren Fall.
Eine Trennung noch: Die Leitlinie behandelt Verstöße gegen die DSGVO nach Art. 83 Abs. 4 bis 6. Die Einwilligung für den Zugriff auf Endgeräte, etwa bei Tracking-Diensten, regelt zusätzlich § 25 TDDDG, die Bußgelder dazu stehen in § 28 TDDDG. Das ist eine eigene Prüfung. Typische DSGVO-Mängel auf Firmenwebsites sind veraltete Datenschutzerklärungen (Art. 13) und fehlende Auftragsverarbeitungsverträge mit dem Hoster (Art. 28).
Wer wissen will, wie die eigene Website technisch dasteht, kann sie mit dem Website-Compliance-Check von Experto Mundi prüfen lassen. Der Bericht ist eine Bestandsaufnahme technischer Befunde, als Milderungsgrund nennt ihn die Leitlinie nicht.
Die Konsultation läuft bis zum 13. November 2026, 23:59 Uhr. Das Dokument und die Konsultationsseite stehen beim EDSA.
Quellen (Abrufdatum: 03.11.2026)
- EDPB, Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, Version 1.0, angenommen am 17.09.2026 (PDF, Englisch): edpb.europa.eu
- EDPB, Konsultationsseite zu den Guidelines 04/2026 (21.09. bis 13.11.2026): edpb.europa.eu
- EuGH, Urteil vom 26.09.2024, C-768/21, TR gegen Land Hessen, ECLI:EU:C:2024:785: EUR-Lex
- Gerichtshof der Europäischen Union, Pressemitteilung Nr. 149/24: curia.europa.eu
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 03.11.2026.