News

DSGVO-Bußgeldverfahren: Mehr Klarheit durch Musterrichtlinien der DSK

Am 16. Juni 2025 hat die Datenschutzkonferenz (DSK) ihre Musterrichtlinien für das Verfahren zur Verhängung von Geldbußen vorgestellt. Die Landesdatenschutzbehörden planen nun, diese Richtlinien als Verwaltungsvorschriften zu erlassen. Damit werden sich die Aufsichtsbehörden selbst verpflichten, die Vorgaben in zukünftigen Bußgeldverfahren einzuhalten.

Das Ziel der Richtlinien ist es, eine bundesweit einheitliche Vorgehensweise bei datenschutzrechtlichen Bußgeldverfahren zu schaffen. Für reine Verwaltungsverfahren, bei denen kein Bußgeld verhängt wird (z. B. Verwarnungen), gelten die Richtlinien gemäß Nr. 2 Abs. 1 S. 2 nicht. Nachfolgend stellen wir die wichtigsten Punkte aus den Richtlinien vor.

Zuständigkeit

Bei mehrfacher Zuständigkeit soll das Verfahren künftig durch eine Vereinbarung an eine einzige Behörde übertragen werden, wenn dies sachdienlich erscheint. Dies soll die Abläufe beschleunigen und für mehr Effizienz sorgen. Auch für Unternehmen ist diese Festlegung (soweit sie von den Behörden angewendet wird) vorteilhaft, da sie für Klarheit im Hinblick auf die Zuständigkeiten in Bußgeldverfahren sorgt.

Polizeiliche Anzeigen als Beschwerden nach Art. 77 DSGVO

Eine wichtige Regelung findet sich in Nr. 8 Abs. 2 der Musterrichtlinien: Anzeigen bei der Polizei können nun als Hinweis oder als Beschwerde im Sinne des Art. 77 DSGVO umgedeutet werden. Für betroffene Personen ist das von großer Bedeutung, da zuvor Unsicherheit bestand, ob eine solche Umdeutung zulässig ist, wenn kein Ermittlungsverfahren eingeleitet wurde. In der Vergangenheit wurde teilweise angenommen, dass mit dieser Entscheidung die Anzeige erledigt ist und daher eine gesonderte Beschwerde eingereicht werden muss. Die neue Regelung steht im Einklang mit dem Gesetzeszweck, den effektiven Schutz der Rechte Betroffener zu gewährleisten und trägt dem Umstand Rechnung, dass für Beschwerden nach Art. 77 DSGVO keine bestimmte Form vorgeschrieben ist. Für Unternehmen bedeutet das aber, dass das Risiko der Einleitung eines Bußgeldverfahrens etwas höher wird.

Rückgabe von Verfahren innerhalb der Behörde

Die Datenschutzbehörden in Deutschland haben eine Doppelrolle: Sie bearbeiten sowohl „klassische“ Verwaltungsverfahren als auch Bußgeldverfahren, die dem Ordnungswidrigkeitenrecht zuzuordnen sind. In der Vergangenheit war umstritten, ob ein Verfahren nach Übergabe an die Bußgeldstelle bei fehlendem Anfangsverdacht wieder an das Fachdezernat zurückgegeben werden darf. Die Richtlinien, die das nun explizit erlauben, schaffen hier mehr Klarheit. So kann die Behörde z. B. ein Unternehmen zunächst wegen eines beabsichtigten Bußgelds anhören, sich dann aber dennoch für eine Verwarnung entscheiden.

Meldung nach Art. 33 DSGVO

Nr. 9 Abs. 3 der Richtlinien regelt, dass das Verwendungsverbot aus § 43 Abs. 4 BDSG (bzw. aus entsprechenden Landesregelungen) nur greift, wenn die meldende Stelle mit ihrer Meldung ein Verschulden am Datenschutzverstoß einräumt oder auf ihr Verschulden daraus geschlossen werden kann. Das bedeutet: Werden lediglich Fakten gemeldet, aus denen kein Verschulden abgeleitet werden kann, dürfen diese Informationen im Bußgeldverfahren immer verwendet werden. Hierzu zwei Beispiele:

  • Beispiel 1: Ein Unternehmen meldet, dass es am 22. Juni 2025 einen Hackerangriff gab. Diese Information ist verwertbar, da sie nichts über das Verschulden des Verantwortlichen aussagt. Die gemeldeten Umstände können in die Bewertung eines möglichen Verstoßes gegen Art. 32 DSGVO miteinfließen, etwa wenn sich später herausstellt, dass keine ausreichenden Schutzmaßnahmen vorhanden waren.
  • Beispiel 2: Ein Unternehmen meldet, dass auf ausdrückliche Anweisung der Geschäftsführung Gesundheitsdaten ohne Schutzmaßnahmen nach China (oder in ein anderes Drittland ohne Angemessenheitsbeschluss) übermittelt wurden. Diese Information darf nur verwendet werden, wenn das Unternehmen der Verwertung nicht widerspricht.

Auskunftsersuchen im Verfahren

Ein weiterer wichtiger Punkt betrifft Auskunftsersuchen im Bußgeldverfahren. Die Musterrichtlinien stellen klar: Unternehmen sind gegenüber der Datenschutzbehörde im Bußgeldverfahren grundsätzlich nicht zur Auskunft verpflichtet. Zwar ergibt sich das bereits aus dem Grundsatz der Selbstbelastungsfreiheit. In der Praxis war es aus Anhörungsschreiben nicht immer eindeutig klar.

Weitere Beweismittel sind dagegen nicht eingeschränkt. Die Zeugen können vernommen werden und Unternehmen müssen, sofern die gesetzlichen Voraussetzungen erfüllt sind, Beweismittel wie Datenträger vorlegen.

Mitteilungen an das Gewerbezentralregister

Datenschutzverstöße können grundsätzlich auch Auswirkungen auf die Gewerbeerlaubnis haben. Nr. 21 der Richtlinien sieht vor, dass Verstöße an das Gewerbezentralregister gemeldet werden können. Dies ist allerdings lediglich eine „Bestandsaufnahme“ der aktuellen Rechtslage. Ernsthafte Konsequenzen drohen nur bei schwerwiegenden Verstößen.

Mitteilungen an die Öffentlichkeit

Nr. 23 der Richtlinien regelt die Information an die Medien. Gerade bei Datenschutzverstößen großer Unternehmen besteht regelmäßig ein öffentliches Interesse an einer entsprechenden Berichterstattung. Die Behörden können selbst entscheiden, ob sie die Medien informieren, solange die Informationen sachlich und korrekt sind. Für Unternehmen kann dies im Ernstfall zu erheblichen Imageschäden führen.

Fazit

Die Musterrichtlinien sind ein wichtiger Schritt zur deutschlandweiten Harmonisierung der datenschutzrechtlichen Bußgeldverfahren. Sie sind überwiegend allgemein gehalten und lassen an einigen Stellen Raum für Interpretationen, beantworten aber auch viele bislang umstrittene Fragen. Den größten Mehrwert haben die Richtlinien für die Behörden selbst. Dies zeigt sich bereits an den teilweise sehr spezifischen Regelungen, die darauf abzielen, praktische Probleme aus dem Behördenalltag zu lösen. Dennoch können auch Unternehmen wertvolle Erkenntnisse daraus ableiten.

Ein genauer Zeitplan für die Umsetzung der Richtlinien als Verwaltungsvorschriften steht noch nicht fest. Aufgrund des großen Umsetzungsinteresses der Behörden ist damit wohl noch bis Ende 2025 zu rechnen.

Volljurist, Associate
Ilia Kukin
Volljurist, Associate
Ilia Kukin

Zurück

News

Neue Orientierungshilfe der Datenschutzkonferenz zum Einsatz von Cookies und ähnlichen Technologien

Heute am 21. Dezember 2021 wurde von der Datenschutzkonferenz (DSK) die neue Orientierungshilfe für Anbieter:innen von Telemedien ab dem 1. Dezember 2021 (OH Telemedien 2021) veröffentlicht. Durch die Orientierungshilfe versucht die Datenschutzkonferenz, zahlreiche Fragen zu klären, die sich vor allem im Bezug auf die Anwendung des § 25 TTDSG stellen, der den Umgang mit Cookies und ähnlichen Tracking-Technologien regelt. Auch wenn uns das Papier in den kommenden Wochen und Monaten noch vielseitig beschäftigen wird, möchten wir Ihnen im Folgenden einen kurzen Überblick zu den aus unserer Sicht wichtigsten Aussagen geben:

Österreichisches BVwG: Wechsel der Rechtsgrundlage der Datenverarbeitung ist zulässig

Kann sich ein Verantwortlicher auf eine andere Rechtsgrundlage als Rechtfertigung für die Datenverarbeitung berufen, nachdem die zugrundeliegende Einwilligungserklärung von einer Behörde für ungültig erklärt wurde?

Die 3G-Pflicht am Arbeitsplatz kommt! – Datenschutzrechtliche ToDos

Heute am Mittwoch, den 24. November 2021, ist es soweit: Die 3G-Regel (geimpft, genesen, getestet), die uns seit Monaten im täglichen Leben begleitet, gilt auch am Arbeitsplatz. Die Umsetzung der neuen Regeln werfen selbstverständlich auch einige datenschutzrechtliche Fragen auf. Anhand der FAQs zum betrieblichen Infektionsschutz des Bundesministeriums für Arbeit und Soziales (BMAS) haben wir den folgenden Beitrag zum neuen Infektionsschutzgesetz (IfSG) und die daraus resultierende 3G-Nachweispflicht am Arbeitsplatz für Sie zusammengefasst.

Webinar von Piltz Legal: Der neue § 25 TTDSG – Dos and Don'ts

Achtung: nur noch Plätze auf der Warteliste verfügbar

Piltz Legal organisiert am 22.11.2021 ein weiteres Webinar zu einem der aktuell wichtigsten datenschutzrechtlichen Themen: dem am 1.12.2021 in Kraft tretenden TTDSG. Wir freuen uns, bei diesem Webinar Frau Dr. Herbort von der Berliner Beauftragten für Datenschutz und Informationsfreiheit als Gast und Diskussionsteilnehmerin begrüßen zu dürfen.

Webinar von Piltz Legal: Der neue § 25 TTDSG – Anwendungsbereich, Ausnahmen von der Einwilligungspflicht und behördliche Zuständigkeiten

Piltz Legal organisiert am 4.11.2021 ein Webinar zu einem der aktuell wichtigsten datenschutzrechtlichen Themen: dem am 1.12.2021 in Kraft tretenden TTDSG. Besonders freuen wir uns, bei diesem Webinar Frau Dr. habil. Silke Jandt von der Landesbeauftragten für den Datenschutz Niedersachsen als Gast und Diskussionsteilnehmerin begrüßen zu dürfen.

Anforderungen an Datenübermittlungen durch Unternehmen an Behörden

Schlussantrag des Generalanwalts

Der Generalanwalt beim EuGH äußerte sich in einem kürzlich veröffentlichten Schlussantrag zu den Anforderungen an Datenübermittlungen durch Unternehmen an Behörden
Schlussanträge des Generalanwalts beim EuGH vom 2.9.2021, Az. C-175/20