EDSA-Leitlinien für Bußgeld werden aktualisiert
Der Europäische Datenschutzausschuss (EDSA) hat die Leitlinien 04/2026 angenommen und zur öffentlichen Konsultation gestellt. Sie regeln, wann Aufsichtsbehörden ein Bußgeld statt oder neben anderen Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO verhängen sollen. Die Leitlinien 04/2022 zur Berechnung der Bußgeldhöhe bleiben daneben bestehen, die bisherigen Leitlinien der Artikel-29-Datenschutzgruppe zu diesem Thema werden ersetzt.
Fünf Schritte bis zur Geldbuße
Die ersten drei Schritte prüfen die rechtlichen Voraussetzungen: Ist der Verstoß bußgeldbewehrt, kann der Adressat belangt werden, und liegt Verschulden vor? Für Fahrlässigkeit genügt nach Ansicht des EDSA, dass der Verantwortliche den Verstoß hätte erkennen müssen. Existieren EDSA-Leitlinien zu der Frage, ist ein Rechtsirrtum stets vermeidbar. Verantwortliche haften zudem für das Handeln aller Personen, die in ihrem Namen tätig werden.
Im vierten Schritt wird anhand der Kriterien des Art. 83 Abs. 2 DS-GVO geprüft, ob ein geringfügiger Verstoß vorliegt. Dann genügt in der Regel eine Verwarnung. Anderenfalls spricht eine starke Vermutung für ein Bußgeld. Im fünften Schritt wird schließlich geprüft, ob das Bußgeld wirksam, verhältnismäßig und abschreckend ist.
Was mildernd wirkt und was nicht
Für die Praxis sind die Aussagen zu den Zumessungskriterien besonders aufschlussreich:
- Keine früheren Verstöße und die gesetzlich geschuldete Kooperation wirken nicht mildernd, denn Rechtstreue ist der Normalfall.
- Freiwillige Abhilfemaßnahmen vor Beginn der Ermittlungen und eine nicht verpflichtende Selbstanzeige können mildernd wirken.
- Wirtschaftliche Vorteile aus dem Verstoß sprechen deutlich gegen einen geringfügigen Fall.
Verantwortliche sollten Abhilfemaßnahmen frühzeitig ergreifen und dokumentieren. Stellungnahmen zum Entwurf sind bis zum 13.11.2026 möglich.
Quelle: EDSA, Guidelines 04/2026 on the application of the power to impose administrative fines
(Foto: Stefan Klein/imageBROKER – stock.adobe.com)
Das könnte Sie auch interessieren
-
Datenübertragbarkeit: Gescannte PDF-Tabellen sind nicht maschinenlesbar
Das OLG Stuttgart hat mit Teilurteil vom 31.07.2026 (Az. 5 U 271/24) die Anforderungen an das Format einer Datenkopie präzisiert. Entscheidend ist, ob die betroffene Person Auskunft nach Art. 15 DS-GVO oder die Herausgabe ihrer Daten nach Art. 20 DS-GVO verlangt. Sachverhalt Ein Spieler verlangte von einem in Malta ansässigen Anbieter von Online-Sportwetten und virtuellen
Mehr erfahren -
DSK aktualisiert Kurzpapier Nr. 20 zur Einwilligung
Die Datenschutzkonferenz (DSK) hat ihr Kurzpapier Nr. 20 zur Einwilligung nach der DS-GVO überarbeitet und mit Stand vom 23.09.2026 veröffentlicht. Beschlossen wurde es auf der 3. Zwischenkonferenz, auf der auch das Kurzpapier Nr. 2 zu Aufsichtsbefugnissen und Sanktionen aktualisiert wurde. Das Papier orientiert sich an den EDSA-Leitlinien 05/2020 und fasst die Anforderungen an eine wirksame
Mehr erfahren -
Kennzeichnung KI-generierter Werbeinhalte
Die Wettbewerbszentrale hat einen Leitfaden zu den Kennzeichnungspflichten für KI-generierte Inhalte in der Werbung vorgelegt, der die seit dem 2. August 2026 geltenden Transparenzvorschriften der KI-Verordnung (Art. 50 KI-VO) mit dem lauterkeitsrechtlichen Rahmen des UWG verzahnt. Deepfakes bei Bild, Ton und Video Nach Art. 50 Abs. 4 KI-VO müssen Betreiber – definiert als jede Person
Mehr erfahren
