Das Ziel der Richtlinien ist es, eine bundesweit einheitliche Vorgehensweise bei datenschutzrechtlichen Bußgeldverfahren zu schaffen. Für reine Verwaltungsverfahren, bei denen kein Bußgeld verhängt wird (z. B. Verwarnungen), gelten die Richtlinien gemäß Nr. 2 Abs. 1 S. 2 nicht. Nachfolgend stellen wir die wichtigsten Punkte aus den Richtlinien vor.

Zuständigkeit

Bei mehrfacher Zuständigkeit soll das Verfahren künftig durch eine Vereinbarung an eine einzige Behörde übertragen werden, wenn dies sachdienlich erscheint. Dies soll die Abläufe beschleunigen und für mehr Effizienz sorgen. Auch für Unternehmen ist diese Festlegung (soweit sie von den Behörden angewendet wird) vorteilhaft, da sie für Klarheit im Hinblick auf die Zuständigkeiten in Bußgeldverfahren sorgt.

Polizeiliche Anzeigen als Beschwerden nach Art. 77 DSGVO

Eine wichtige Regelung findet sich in Nr. 8 Abs. 2 der Musterrichtlinien: Anzeigen bei der Polizei können nun als Hinweis oder als Beschwerde im Sinne des Art. 77 DSGVO umgedeutet werden. Für betroffene Personen ist das von großer Bedeutung, da zuvor Unsicherheit bestand, ob eine solche Umdeutung zulässig ist, wenn kein Ermittlungsverfahren eingeleitet wurde. In der Vergangenheit wurde teilweise angenommen, dass mit dieser Entscheidung die Anzeige erledigt ist und daher eine gesonderte Beschwerde eingereicht werden muss. Die neue Regelung steht im Einklang mit dem Gesetzeszweck, den effektiven Schutz der Rechte Betroffener zu gewährleisten und trägt dem Umstand Rechnung, dass für Beschwerden nach Art. 77 DSGVO keine bestimmte Form vorgeschrieben ist. Für Unternehmen bedeutet das aber, dass das Risiko der Einleitung eines Bußgeldverfahrens etwas höher wird.

Rückgabe von Verfahren innerhalb der Behörde

Die Datenschutzbehörden in Deutschland haben eine Doppelrolle: Sie bearbeiten sowohl „klassische“ Verwaltungsverfahren als auch Bußgeldverfahren, die dem Ordnungswidrigkeitenrecht zuzuordnen sind. In der Vergangenheit war umstritten, ob ein Verfahren nach Übergabe an die Bußgeldstelle bei fehlendem Anfangsverdacht wieder an das Fachdezernat zurückgegeben werden darf. Die Richtlinien, die das nun explizit erlauben, schaffen hier mehr Klarheit. So kann die Behörde z. B. ein Unternehmen zunächst wegen eines beabsichtigten Bußgelds anhören, sich dann aber dennoch für eine Verwarnung entscheiden.

Meldung nach Art. 33 DSGVO

Nr. 9 Abs. 3 der Richtlinien regelt, dass das Verwendungsverbot aus § 43 Abs. 4 BDSG (bzw. aus entsprechenden Landesregelungen) nur greift, wenn die meldende Stelle mit ihrer Meldung ein Verschulden am Datenschutzverstoß einräumt oder auf ihr Verschulden daraus geschlossen werden kann. Das bedeutet: Werden lediglich Fakten gemeldet, aus denen kein Verschulden abgeleitet werden kann, dürfen diese Informationen im Bußgeldverfahren immer verwendet werden. Hierzu zwei Beispiele:

• Beispiel 1: Ein Unternehmen meldet, dass es am 22. Juni 2025 einen Hackerangriff gab. Diese Information ist verwertbar, da sie nichts über das Verschulden des Verantwortlichen aussagt. Die gemeldeten Umstände können in die Bewertung eines möglichen Verstoßes gegen Art. 32 DSGVO miteinfließen, etwa wenn sich später herausstellt, dass keine ausreichenden Schutzmaßnahmen vorhanden waren.
• Beispiel 2: Ein Unternehmen meldet, dass auf ausdrückliche Anweisung der Geschäftsführung Gesundheitsdaten ohne Schutzmaßnahmen nach China (oder in ein anderes Drittland ohne Angemessenheitsbeschluss) übermittelt wurden. Diese Information darf nur verwendet werden, wenn das Unternehmen der Verwertung nicht widerspricht.

Auskunftsersuchen im Verfahren

Ein weiterer wichtiger Punkt betrifft Auskunftsersuchen im Bußgeldverfahren. Die Musterrichtlinien stellen klar: Unternehmen sind gegenüber der Datenschutzbehörde im Bußgeldverfahren grundsätzlich nicht zur Auskunft verpflichtet. Zwar ergibt sich das bereits aus dem Grundsatz der Selbstbelastungsfreiheit. In der Praxis war es aus Anhörungsschreiben nicht immer eindeutig klar.

Weitere Beweismittel sind dagegen nicht eingeschränkt. Die Zeugen können vernommen werden und Unternehmen müssen, sofern die gesetzlichen Voraussetzungen erfüllt sind, Beweismittel wie Datenträger vorlegen.

Mitteilungen an das Gewerbezentralregister

Datenschutzverstöße können grundsätzlich auch Auswirkungen auf die Gewerbeerlaubnis haben. Nr. 21 der Richtlinien sieht vor, dass Verstöße an das Gewerbezentralregister gemeldet werden können. Dies ist allerdings lediglich eine „Bestandsaufnahme“ der aktuellen Rechtslage. Ernsthafte Konsequenzen drohen nur bei schwerwiegenden Verstößen.

Mitteilungen an die Öffentlichkeit

Nr. 23 der Richtlinien regelt die Information an die Medien. Gerade bei Datenschutzverstößen großer Unternehmen besteht regelmäßig ein öffentliches Interesse an einer entsprechenden Berichterstattung. Die Behörden können selbst entscheiden, ob sie die Medien informieren, solange die Informationen sachlich und korrekt sind. Für Unternehmen kann dies im Ernstfall zu erheblichen Imageschäden führen.

Fazit

Die Musterrichtlinien sind ein wichtiger Schritt zur deutschlandweiten Harmonisierung der datenschutzrechtlichen Bußgeldverfahren. Sie sind überwiegend allgemein gehalten und lassen an einigen Stellen Raum für Interpretationen, beantworten aber auch viele bislang umstrittene Fragen. Den größten Mehrwert haben die Richtlinien für die Behörden selbst. Dies zeigt sich bereits an den teilweise sehr spezifischen Regelungen, die darauf abzielen, praktische Probleme aus dem Behördenalltag zu lösen. Dennoch können auch Unternehmen wertvolle Erkenntnisse daraus ableiten.

Ein genauer Zeitplan für die Umsetzung der Richtlinien als Verwaltungsvorschriften steht noch nicht fest. Aufgrund des großen Umsetzungsinteresses der Behörden ist damit wohl noch bis Ende 2025 zu rechnen.