DSGVO-Bußgeld oder Verwarnung? Das regeln die neuen EDSA-Leitlinien

Wann gibt es für einen Datenschutzverstoß ein DSGVO-Bußgeld, und wann bleibt es bei einer Verwarnung? Diese Frage beschäftigt viele Geschäftsführer, sobald ein Schreiben der Aufsichtsbehörde im Briefkasten liegt. Der Europäische Datenschutzausschuss (EDSA) hat dazu im September 2026 die Leitlinien 04/2026 vorgelegt. Sie sollen die Bußgeldpraxis der Behörden in ganz Europa vereinheitlichen. Stellungnahmen sind nach Angaben aus der Fachpresse noch bis zum 13. November 2026 möglich.

Worum es in den neuen EDSA-Leitlinien geht

Die DSGVO gibt den Aufsichtsbehörden in Art. 58 Abs. 2 einen ganzen Werkzeugkasten an die Hand: Warnung, Verwarnung, Anordnungen und eben das Bußgeld nach Art. 83. Bisher war wenig greifbar, nach welchen Kriterien eine Behörde zwischen diesen Mitteln wählt. Die Leitlinien schließen diese Lücke und beschreiben ein Prüfschema, an dem sich die Behörden künftig orientieren sollen.

Warnung und Verwarnung sind nicht dasselbe

Eine Warnung kommt, bevor ein Verstoß passiert ist, etwa wenn ein Unternehmen eine problematische Verarbeitung plant. Eine Verwarnung folgt dagegen auf einen festgestellten Verstoß. Für Unternehmen ist dieser Unterschied wichtig: Eine Verwarnung gilt als früherer Verstoß und kann bei einem späteren Verfahren das Bußgeld erhöhen.

So entscheidet die Behörde künftig

Die Leitlinien sehen eine Prüfung in mehreren Schritten vor:

• Ist der Verstoß überhaupt mit einem Bußgeld bedroht?
• Ist das Unternehmen dafür verantwortlich?
• Lag Vorsatz oder Fahrlässigkeit vor?
• Welche Umstände wirken erschwerend oder mildernd, und ist der Verstoß geringfügig?
• Wäre ein Bußgeld im konkreten Fall wirksam, verhältnismäßig und abschreckend?

Die Kernaussage: Bei geringfügigen Verstößen soll die Behörde grundsätzlich auf ein Bußgeld verzichten und stattdessen verwarnen oder eine andere Maßnahme anordnen. Ist ein Verstoß dagegen nicht geringfügig, ist ein Bußgeld in der Regel das Mittel der Wahl. Anordnungen, etwa zur Löschung von Daten oder zur Anpassung von Prozessen, können zusätzlich zum Bußgeld verhängt werden.

Was das für KMU konkret bedeutet

Eine Sonderregel für kleine und mittlere Unternehmen enthalten die Leitlinien nicht. Trotzdem haben Sie großen Einfluss darauf, wie ein Verfahren ausgeht. Denn bei der Abwägung zählen genau die Faktoren, die Sie selbst steuern können:

• Dokumentation: Wer ein aktuelles Verzeichnis der Verarbeitungstätigkeiten und klare Prozesse vorweisen kann, belegt Sorgfalt statt Fahrlässigkeit.
• Schnelle Reaktion: Wer einen Fehler zügig behebt und mit der Behörde kooperiert, verbessert seine Chancen auf eine bloße Verwarnung deutlich.
• Keine Wiederholung: Frühere Verstöße wirken erschwerend. Eine erste Verwarnung sollten Sie daher als ernstes Signal verstehen.
• Zuständigkeit klären: Prüfen Sie, ob Ihr Unternehmen einen Datenschutzbeauftragten benötigt. Fehlt er trotz Pflicht, ist das kein geringfügiger Verstoß.

Unsere Empfehlung: Jetzt den eigenen Stand prüfen

Die neuen Leitlinien belohnen Unternehmen, die ihren Datenschutz nachweisbar im Griff haben. Nutzen Sie die Gelegenheit für eine Bestandsaufnahme. Unsere kostenlose DSGVO-Checkliste zeigt Ihnen in wenigen Minuten, wo Lücken bestehen. Bei offenen Fragen hilft eine persönliche Datenschutz-Beratung.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.