News

DSGVO-Bußgeldverfahren: Mehr Klarheit durch Musterrichtlinien der DSK

Am 16. Juni 2025 hat die Datenschutzkonferenz (DSK) ihre Musterrichtlinien für das Verfahren zur Verhängung von Geldbußen vorgestellt. Die Landesdatenschutzbehörden planen nun, diese Richtlinien als Verwaltungsvorschriften zu erlassen. Damit werden sich die Aufsichtsbehörden selbst verpflichten, die Vorgaben in zukünftigen Bußgeldverfahren einzuhalten.

Das Ziel der Richtlinien ist es, eine bundesweit einheitliche Vorgehensweise bei datenschutzrechtlichen Bußgeldverfahren zu schaffen. Für reine Verwaltungsverfahren, bei denen kein Bußgeld verhängt wird (z. B. Verwarnungen), gelten die Richtlinien gemäß Nr. 2 Abs. 1 S. 2 nicht. Nachfolgend stellen wir die wichtigsten Punkte aus den Richtlinien vor.

Zuständigkeit

Bei mehrfacher Zuständigkeit soll das Verfahren künftig durch eine Vereinbarung an eine einzige Behörde übertragen werden, wenn dies sachdienlich erscheint. Dies soll die Abläufe beschleunigen und für mehr Effizienz sorgen. Auch für Unternehmen ist diese Festlegung (soweit sie von den Behörden angewendet wird) vorteilhaft, da sie für Klarheit im Hinblick auf die Zuständigkeiten in Bußgeldverfahren sorgt.

Polizeiliche Anzeigen als Beschwerden nach Art. 77 DSGVO

Eine wichtige Regelung findet sich in Nr. 8 Abs. 2 der Musterrichtlinien: Anzeigen bei der Polizei können nun als Hinweis oder als Beschwerde im Sinne des Art. 77 DSGVO umgedeutet werden. Für betroffene Personen ist das von großer Bedeutung, da zuvor Unsicherheit bestand, ob eine solche Umdeutung zulässig ist, wenn kein Ermittlungsverfahren eingeleitet wurde. In der Vergangenheit wurde teilweise angenommen, dass mit dieser Entscheidung die Anzeige erledigt ist und daher eine gesonderte Beschwerde eingereicht werden muss. Die neue Regelung steht im Einklang mit dem Gesetzeszweck, den effektiven Schutz der Rechte Betroffener zu gewährleisten und trägt dem Umstand Rechnung, dass für Beschwerden nach Art. 77 DSGVO keine bestimmte Form vorgeschrieben ist. Für Unternehmen bedeutet das aber, dass das Risiko der Einleitung eines Bußgeldverfahrens etwas höher wird.

Rückgabe von Verfahren innerhalb der Behörde

Die Datenschutzbehörden in Deutschland haben eine Doppelrolle: Sie bearbeiten sowohl „klassische“ Verwaltungsverfahren als auch Bußgeldverfahren, die dem Ordnungswidrigkeitenrecht zuzuordnen sind. In der Vergangenheit war umstritten, ob ein Verfahren nach Übergabe an die Bußgeldstelle bei fehlendem Anfangsverdacht wieder an das Fachdezernat zurückgegeben werden darf. Die Richtlinien, die das nun explizit erlauben, schaffen hier mehr Klarheit. So kann die Behörde z. B. ein Unternehmen zunächst wegen eines beabsichtigten Bußgelds anhören, sich dann aber dennoch für eine Verwarnung entscheiden.

Meldung nach Art. 33 DSGVO

Nr. 9 Abs. 3 der Richtlinien regelt, dass das Verwendungsverbot aus § 43 Abs. 4 BDSG (bzw. aus entsprechenden Landesregelungen) nur greift, wenn die meldende Stelle mit ihrer Meldung ein Verschulden am Datenschutzverstoß einräumt oder auf ihr Verschulden daraus geschlossen werden kann. Das bedeutet: Werden lediglich Fakten gemeldet, aus denen kein Verschulden abgeleitet werden kann, dürfen diese Informationen im Bußgeldverfahren immer verwendet werden. Hierzu zwei Beispiele:

  • Beispiel 1: Ein Unternehmen meldet, dass es am 22. Juni 2025 einen Hackerangriff gab. Diese Information ist verwertbar, da sie nichts über das Verschulden des Verantwortlichen aussagt. Die gemeldeten Umstände können in die Bewertung eines möglichen Verstoßes gegen Art. 32 DSGVO miteinfließen, etwa wenn sich später herausstellt, dass keine ausreichenden Schutzmaßnahmen vorhanden waren.
  • Beispiel 2: Ein Unternehmen meldet, dass auf ausdrückliche Anweisung der Geschäftsführung Gesundheitsdaten ohne Schutzmaßnahmen nach China (oder in ein anderes Drittland ohne Angemessenheitsbeschluss) übermittelt wurden. Diese Information darf nur verwendet werden, wenn das Unternehmen der Verwertung nicht widerspricht.

Auskunftsersuchen im Verfahren

Ein weiterer wichtiger Punkt betrifft Auskunftsersuchen im Bußgeldverfahren. Die Musterrichtlinien stellen klar: Unternehmen sind gegenüber der Datenschutzbehörde im Bußgeldverfahren grundsätzlich nicht zur Auskunft verpflichtet. Zwar ergibt sich das bereits aus dem Grundsatz der Selbstbelastungsfreiheit. In der Praxis war es aus Anhörungsschreiben nicht immer eindeutig klar.

Weitere Beweismittel sind dagegen nicht eingeschränkt. Die Zeugen können vernommen werden und Unternehmen müssen, sofern die gesetzlichen Voraussetzungen erfüllt sind, Beweismittel wie Datenträger vorlegen.

Mitteilungen an das Gewerbezentralregister

Datenschutzverstöße können grundsätzlich auch Auswirkungen auf die Gewerbeerlaubnis haben. Nr. 21 der Richtlinien sieht vor, dass Verstöße an das Gewerbezentralregister gemeldet werden können. Dies ist allerdings lediglich eine „Bestandsaufnahme“ der aktuellen Rechtslage. Ernsthafte Konsequenzen drohen nur bei schwerwiegenden Verstößen.

Mitteilungen an die Öffentlichkeit

Nr. 23 der Richtlinien regelt die Information an die Medien. Gerade bei Datenschutzverstößen großer Unternehmen besteht regelmäßig ein öffentliches Interesse an einer entsprechenden Berichterstattung. Die Behörden können selbst entscheiden, ob sie die Medien informieren, solange die Informationen sachlich und korrekt sind. Für Unternehmen kann dies im Ernstfall zu erheblichen Imageschäden führen.

Fazit

Die Musterrichtlinien sind ein wichtiger Schritt zur deutschlandweiten Harmonisierung der datenschutzrechtlichen Bußgeldverfahren. Sie sind überwiegend allgemein gehalten und lassen an einigen Stellen Raum für Interpretationen, beantworten aber auch viele bislang umstrittene Fragen. Den größten Mehrwert haben die Richtlinien für die Behörden selbst. Dies zeigt sich bereits an den teilweise sehr spezifischen Regelungen, die darauf abzielen, praktische Probleme aus dem Behördenalltag zu lösen. Dennoch können auch Unternehmen wertvolle Erkenntnisse daraus ableiten.

Ein genauer Zeitplan für die Umsetzung der Richtlinien als Verwaltungsvorschriften steht noch nicht fest. Aufgrund des großen Umsetzungsinteresses der Behörden ist damit wohl noch bis Ende 2025 zu rechnen.

Volljurist, Associate
Ilia Kukin
Volljurist, Associate
Ilia Kukin

Zurück

News

Fachbeitrag: Berechtigte Interessen als Rechtsgrundlage für das Training von KI-Modellen

Alexander Weiss & Dr. Carlo Piltz haben im aktuellen Heft 12/2024 der Zeitschrift DATENSCHUTZ-BERATER die praxisrelevante Frage untersucht, ob und wann die Rechtsgrundlage des Art. 6 Abs. 1 f) DSGVO (Interessenabwägung) für die Verwendung personenbezogener Daten zum Zweck des Trainings von KI-Modellen genutzt werden kann.

Prof. Piltz im Interview mit ICC Germany zu den Incoterms® 2020

Incoterms® bieten einen global gültigen Standard für die Lieferbedingungen bei internationalen Geschäften. Seit nunmehr 5 Jahren greifen die Incoterms® 2020, Zeit um einen Rückblick auf die erste Halbzeit zu werfen.

Dr. David Saive und Prof. Burghard Piltz haben sich hierzu zu einem Interview der ICC Germany getroffen. Hören Sie doch gerne rein: Interview: Fünf Jahre Incoterms® 2020 mit Prof. Piltz

Bundesverwaltungsgericht Österreich zum Cookie-Banner: Einfache Möglichkeit zum Ablehnen ist Pflicht

Das Österreichische Bundesverwaltungsgericht (BVwG) hat in einem Erkenntnis vom 31. Juli 2024 (Az. W108 2284491-1/15E) klargestellt, dass ein Cookie-Banner neben der Option Cookies und andere Technologien zu „akzeptieren“ auch eine optisch gleichwertige Option zum Ablehnen enthalten muss. Die Entscheidung ist aus mehreren Gründen bemerkenswert.

Neue Auszeichnungen für unsere Kanzlei!

Wir freuen uns sehr, dass Piltz Legal weitere Auszeichnungen u.a. im Bereich Datenschutzrecht erhalten hat.

Meldepflichten nach dem geplanten BSIG (Umsetzung NIS-2)

Als Umsetzung des Art. 23 Abs. 4 S. 1 NIS-2-Richtlinie finden sich in § 32 des Entwurfs zum Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG-E) Ausführungen zu Meldepflichten für besonders wichtige Einrichtungen sowie wichtige Einrichtungen. Das BSIG-E ist Teil des Entwurfs zum Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung.

Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen und Dokumentationsnachweis nach dem neuen BSIG

Das neue BSIG befindet sich auf der Zielgeraden des Gesetzgebungsverfahrens zur Umsetzung der NIS-2-Richtlinie. Im aktuellen Entwurf legt der dortige § 30 Abs. 1 Satz 1 BSIG fest, dass besonders wichtige und wichtige Einrichtungen verpflichtet sind, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen (TOM) zu ergreifen, um u.a. Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.