News
DSGVO-Bußgeldverfahren: Mehr Klarheit durch Musterrichtlinien der DSK
Das Ziel der Richtlinien ist es, eine bundesweit einheitliche Vorgehensweise bei datenschutzrechtlichen Bußgeldverfahren zu schaffen. Für reine Verwaltungsverfahren, bei denen kein Bußgeld verhängt wird (z. B. Verwarnungen), gelten die Richtlinien gemäß Nr. 2 Abs. 1 S. 2 nicht. Nachfolgend stellen wir die wichtigsten Punkte aus den Richtlinien vor.
Zuständigkeit
Bei mehrfacher Zuständigkeit soll das Verfahren künftig durch eine Vereinbarung an eine einzige Behörde übertragen werden, wenn dies sachdienlich erscheint. Dies soll die Abläufe beschleunigen und für mehr Effizienz sorgen. Auch für Unternehmen ist diese Festlegung (soweit sie von den Behörden angewendet wird) vorteilhaft, da sie für Klarheit im Hinblick auf die Zuständigkeiten in Bußgeldverfahren sorgt.
Polizeiliche Anzeigen als Beschwerden nach Art. 77 DSGVO
Eine wichtige Regelung findet sich in Nr. 8 Abs. 2 der Musterrichtlinien: Anzeigen bei der Polizei können nun als Hinweis oder als Beschwerde im Sinne des Art. 77 DSGVO umgedeutet werden. Für betroffene Personen ist das von großer Bedeutung, da zuvor Unsicherheit bestand, ob eine solche Umdeutung zulässig ist, wenn kein Ermittlungsverfahren eingeleitet wurde. In der Vergangenheit wurde teilweise angenommen, dass mit dieser Entscheidung die Anzeige erledigt ist und daher eine gesonderte Beschwerde eingereicht werden muss. Die neue Regelung steht im Einklang mit dem Gesetzeszweck, den effektiven Schutz der Rechte Betroffener zu gewährleisten und trägt dem Umstand Rechnung, dass für Beschwerden nach Art. 77 DSGVO keine bestimmte Form vorgeschrieben ist. Für Unternehmen bedeutet das aber, dass das Risiko der Einleitung eines Bußgeldverfahrens etwas höher wird.
Rückgabe von Verfahren innerhalb der Behörde
Die Datenschutzbehörden in Deutschland haben eine Doppelrolle: Sie bearbeiten sowohl „klassische“ Verwaltungsverfahren als auch Bußgeldverfahren, die dem Ordnungswidrigkeitenrecht zuzuordnen sind. In der Vergangenheit war umstritten, ob ein Verfahren nach Übergabe an die Bußgeldstelle bei fehlendem Anfangsverdacht wieder an das Fachdezernat zurückgegeben werden darf. Die Richtlinien, die das nun explizit erlauben, schaffen hier mehr Klarheit. So kann die Behörde z. B. ein Unternehmen zunächst wegen eines beabsichtigten Bußgelds anhören, sich dann aber dennoch für eine Verwarnung entscheiden.
Meldung nach Art. 33 DSGVO
Nr. 9 Abs. 3 der Richtlinien regelt, dass das Verwendungsverbot aus § 43 Abs. 4 BDSG (bzw. aus entsprechenden Landesregelungen) nur greift, wenn die meldende Stelle mit ihrer Meldung ein Verschulden am Datenschutzverstoß einräumt oder auf ihr Verschulden daraus geschlossen werden kann. Das bedeutet: Werden lediglich Fakten gemeldet, aus denen kein Verschulden abgeleitet werden kann, dürfen diese Informationen im Bußgeldverfahren immer verwendet werden. Hierzu zwei Beispiele:
- Beispiel 1: Ein Unternehmen meldet, dass es am 22. Juni 2025 einen Hackerangriff gab. Diese Information ist verwertbar, da sie nichts über das Verschulden des Verantwortlichen aussagt. Die gemeldeten Umstände können in die Bewertung eines möglichen Verstoßes gegen Art. 32 DSGVO miteinfließen, etwa wenn sich später herausstellt, dass keine ausreichenden Schutzmaßnahmen vorhanden waren.
- Beispiel 2: Ein Unternehmen meldet, dass auf ausdrückliche Anweisung der Geschäftsführung Gesundheitsdaten ohne Schutzmaßnahmen nach China (oder in ein anderes Drittland ohne Angemessenheitsbeschluss) übermittelt wurden. Diese Information darf nur verwendet werden, wenn das Unternehmen der Verwertung nicht widerspricht.
Auskunftsersuchen im Verfahren
Ein weiterer wichtiger Punkt betrifft Auskunftsersuchen im Bußgeldverfahren. Die Musterrichtlinien stellen klar: Unternehmen sind gegenüber der Datenschutzbehörde im Bußgeldverfahren grundsätzlich nicht zur Auskunft verpflichtet. Zwar ergibt sich das bereits aus dem Grundsatz der Selbstbelastungsfreiheit. In der Praxis war es aus Anhörungsschreiben nicht immer eindeutig klar.
Weitere Beweismittel sind dagegen nicht eingeschränkt. Die Zeugen können vernommen werden und Unternehmen müssen, sofern die gesetzlichen Voraussetzungen erfüllt sind, Beweismittel wie Datenträger vorlegen.
Mitteilungen an das Gewerbezentralregister
Datenschutzverstöße können grundsätzlich auch Auswirkungen auf die Gewerbeerlaubnis haben. Nr. 21 der Richtlinien sieht vor, dass Verstöße an das Gewerbezentralregister gemeldet werden können. Dies ist allerdings lediglich eine „Bestandsaufnahme“ der aktuellen Rechtslage. Ernsthafte Konsequenzen drohen nur bei schwerwiegenden Verstößen.
Mitteilungen an die Öffentlichkeit
Nr. 23 der Richtlinien regelt die Information an die Medien. Gerade bei Datenschutzverstößen großer Unternehmen besteht regelmäßig ein öffentliches Interesse an einer entsprechenden Berichterstattung. Die Behörden können selbst entscheiden, ob sie die Medien informieren, solange die Informationen sachlich und korrekt sind. Für Unternehmen kann dies im Ernstfall zu erheblichen Imageschäden führen.
Fazit
Die Musterrichtlinien sind ein wichtiger Schritt zur deutschlandweiten Harmonisierung der datenschutzrechtlichen Bußgeldverfahren. Sie sind überwiegend allgemein gehalten und lassen an einigen Stellen Raum für Interpretationen, beantworten aber auch viele bislang umstrittene Fragen. Den größten Mehrwert haben die Richtlinien für die Behörden selbst. Dies zeigt sich bereits an den teilweise sehr spezifischen Regelungen, die darauf abzielen, praktische Probleme aus dem Behördenalltag zu lösen. Dennoch können auch Unternehmen wertvolle Erkenntnisse daraus ableiten.
Ein genauer Zeitplan für die Umsetzung der Richtlinien als Verwaltungsvorschriften steht noch nicht fest. Aufgrund des großen Umsetzungsinteresses der Behörden ist damit wohl noch bis Ende 2025 zu rechnen.
News
Blackout in Berlin – Meldepflichten für Unternehmen?
Von dem großflächigen Stromausfall im Berliner Südwesten sind etwa 2.200 Unternehmen betroffen. Viele davon müssen wohl leider damit rechnen, noch bis Donnerstag nicht wieder an das Stromnetz angeschlossen zu werden. Der Blackout hat für Unternehmen auch eine (datenschutz- und IT-Sicherheits-)rechtliche Dimension. Die Datenschutz-Grundverordnung sowie das BSI-Gesetz sehen für relevante Sicherheitsvorfälle Meldepflichten vor.
Private Nutzung betrieblicher E-Mail-Postfächer
Für die Zulässigkeit von Zugriffen auf Mitarbeiter-E-Mails ist die Anwendbarkeit des Fernmeldegeheimnisses höchst relevant. In der Vergangenheit wurden Arbeitgeber oft als Telekommunikationsanbieter eingestuft, wenn eine private Nutzung erlaubt war. Seit der Neuregelung der relevanten Vorschriften im Jahr 2021 vertreten die Aufsichtsbehörden zunehmend, dass das Fernmeldegeheimnis nicht greift. Auch die Bundesnetzagentur lehnt diese Einordnung in einem neuen Papier mit überzeugenden Argumenten ab. Aber welche Folgen hat das für die Unternehmen?
Mit dieser Frage befasst sich der aktuelle Beitrag von Dr. Carlo Piltz und Ilia Kukin in der K&R. Der Volltext ist hier abrufbar.
Handelsblatt-Ranking - Deutschlands „Beste Arbeitgeber“ – Platz 11 von 312 Arbeitgebern
Wir freuen uns sehr, in diesem Ranking Platz 11 von über 300 teilnehmenden Kanzleien erreicht zu haben und dafür vom Handelsblatt mit dem Siegel „Beste Arbeitgeber“ ausgezeichnet worden zu sein. Diese Auszeichnung bestätigt unseren Anspruch, ein Arbeitsumfeld zu schaffen, in dem sich alle Kolleginnen und Kollegen wohlfühlen und ihre Stärken entfalten können.
Geführt wird unsere Kanzlei von Prof. Burghard Piltz und Dr. Carlo Piltz, die sich seit vielen Jahren für eine moderne, wertschätzende und zukunftsorientierte Arbeitskultur einsetzen.
Wir danken allen Mitarbeitenden für ihr Engagement und ihr Vertrauen.
Tracking und Auswertung von Leistungsdaten im Profisport
Die Datenerfassung im Leistungssport hat sich zu einem unverzichtbaren Instrument für moderne Sportorganisationen entwickelt. Vereine, Verbände und Unternehmen nutzen umfangreiche Datenanalysen zur Leistungsoptimierung und strategischen Entscheidungsfindung. Hierbei werden im Allgemeinen Leistungsdaten, aber mitunter auch sensible Gesundheitsdaten verarbeitet. Verantwortliche müssen die Anforderungen der DSGVO beachten und Rechtsgrundlagen für die Datennutzung nachweisen können. Dieser Beitrag beleuchtet, vor welchen rechtlichen Herausforderungen Vereine bei der Auswertung von Leistungs- und Gesundheitsdaten von Sportlern stehen und auf welche Rechtsgrundlagen sie diese Verarbeitung stützen können.
Der Beitrag von Dr. Carlo Piltz und Ilia Kukin aus dem DSB 10/2025 ist hier abrufbar.
Neue Entwicklungen im UN-Kaufrecht
Die zentrale Stellung des UN-Kaufrechts/CISG als juristische Basis für Export- und Importverträge wird heute nicht mehr infrage gestellt. Praktiker berichten von einer deutlichen Tendenz in den Unternehmen, ihre Außenhandelsgeschäfte gezielt auf das UN-Kaufrecht umzustellen. Ein Ausschluss des UN-Kaufrechts erklärt sich heute überwiegend mit mangelnder Vertrautheit mit seinen Inhalten und fehlender Neigung, diesem Zustand abzuhelfen, lässt sich angesichts der weitreichenden Dispositivität seiner Bestimmungen jedoch kaum mit nicht akzeptablen Lösungen des UN-Kaufrechts belegen. In Fortführung des Gliederungsschemas der vorangegangenen Berichtsaufsätze (zuletzt NJW 2023, 2542) wird die Liste der Vertragsstaaten aktualisiert und neben Hinweisen auf aktuelle Arbeitsmittel insbesondere die seit dem letzten Berichtsaufsatz bekannt gewordene in- und ausländische Rechtsprechung zum UN-Kaufrecht/CISG aufgearbeitet.
EuGH-Urteil zum Personenbezug und Informationspflichten – pseudonymisierte Daten können für den Empfänger auch anonym sein
Das EuGH-Urteil in der Rechtssache EDSB vs. SRB (Rs. C‑413/23 P) und dessen Folgen für die Rechtsanwendung werden derzeit zu Recht kontrovers diskutiert. In dem Urteil geht es zwar um Bestimmungen aus der Verordnung 2018/1725, die für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union gilt. Der EuGH hat aber ausdrücklich entschieden, dass der Begriff „personenbezogene Daten“ in dieser Verordnung und der DSGVO und der nicht mehr gültigen Richtlinie 95/46 EG identisch auszulegen ist (Rn. 52). Das Urteil ist für Unternehmen und mitgliedstaatliche Behörden gleichermaßen bedeutsam.