DSGVO-Bußgeld – Anhörung, Bußgeldbescheid, Einspruch

Ein Anhörungsschreiben oder ein Bußgeldbescheid der Datenschutzaufsicht ist für Unternehmen ein Alarmsignal: Die DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Es kommt darauf an, früh und strategisch zu reagieren. Wir verteidigen Unternehmen, Vereine und Freiberufler in Aufsichts- und Bußgeldverfahren, von der ersten Anfrage der Behörde bis zum Gericht.

Der Bußgeldrahmen nach Art. 83 DSGVO

Verstoß gegen	Höchstbetrag
Pflichten von Verantwortlichen und Auftragsverarbeitern, z. B. Art. 25–39 (Datensicherheit, Meldepflichten, Datenschutzbeauftragter, Verarbeitungsverzeichnis)	bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4)
Grundsätze und Rechtsgrundlagen (Art. 5, 6, 7, 9), Betroffenenrechte (Art. 12–22), Drittlandübermittlungen (Art. 44–49), Anordnungen der Behörde	bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 und 6)

Maßgeblich ist jeweils der höhere Betrag. Für die Obergrenze kommt es nach dem EuGH auf den Umsatz des „Unternehmens“ im kartellrechtlichen Sinn an, also gegebenenfalls auf den Konzernumsatz (Urteil vom 13. Februar 2025, C-383/23, ILVA). Innerhalb des Rahmens bemisst die Behörde die Geldbuße nach den Kriterien des Art. 83 Abs. 2 DSGVO, etwa Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensminderung, frühere Verstöße, Zusammenarbeit mit der Behörde und betroffene Datenkategorien. Die europäischen Aufsichtsbehörden wenden dafür die Leitlinien 04/2022 des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen an.

Wer haftet? Die Rechtsprechung zum Verschulden

Mit Urteil vom 5. Dezember 2023 (C-807/21, Deutsche Wohnen) hat der EuGH entschieden: Eine Geldbuße gegen ein Unternehmen setzt nicht voraus, dass der Verstoß einer identifizierten Leitungsperson zugerechnet wird. Erforderlich ist aber ein schuldhafter, also vorsätzlicher oder fahrlässiger Verstoß. Eine verschuldensunabhängige Haftung gibt es nicht. Für die Verteidigung bedeutet das: Die Frage, ob das Unternehmen den Verstoß hätte erkennen müssen, ist ein zentraler Ansatzpunkt.

Ablauf eines Bußgeldverfahrens in Deutschland

Für das Verfahren gilt nach § 41 BDSG grundsätzlich das Gesetz über Ordnungswidrigkeiten (OWiG). Typischerweise läuft es so ab:

1. Auslöser ist meist eine Beschwerde einer betroffenen Person, die Meldung einer Datenpanne, ein Pressebericht oder eine anlasslose Prüfung.
2. Im Aufsichtsverfahren fordert die Behörde Auskünfte und Unterlagen an (Art. 58 Abs. 1 DSGVO). Schon hier werden die Weichen gestellt.
3. Vor einem Bußgeldbescheid erhält das Unternehmen in der Anhörung Gelegenheit zur Stellungnahme. Akteneinsicht sollte beantragt werden.
4. Gegen den Bußgeldbescheid kann innerhalb von zwei Wochen nach Zustellung Einspruch eingelegt werden (§ 67 OWiG).
5. Nach Einspruch entscheidet im gerichtlichen Verfahren das Amtsgericht, bei Geldbußen über 100.000 Euro das Landgericht (§ 41 Abs. 1 BDSG).

Gegenüber der Behörde bestehen Auskunftspflichten, aber niemand muss sich selbst belasten. Antworten Sie deshalb nicht ungeprüft, denn jede Formulierung kann im Bußgeldverfahren gegen Sie verwendet werden.

Unsere Verteidigungsstrategie

• Akteneinsicht und Prüfung des Sachverhalts: Was wirft die Behörde konkret vor, und ist der Vorwurf belegt?
• Rechtliche Prüfung: Lag tatsächlich ein Verstoß vor, etwa eine fehlende Rechtsgrundlage, oder greift Art. 6 Abs. 1 lit. f DSGVO? Ist die Behörde zuständig (One-Stop-Shop nach Art. 56 DSGVO)?
• Nachweis eines angemessenen Datenschutzmanagements mit Schulungen, Richtlinien, Verarbeitungsverzeichnis und AV-Verträgen, um das Verschulden zu entkräften.
• Kritische Überprüfung des zugrunde gelegten Umsatzes und der Zumessungskriterien.
• Zügige Abhilfe: Wer den Verstoß schnell beseitigt, mindert das Bußgeld und reduziert Folgerisiken wie Schadensersatzklagen und Abmahnungen.
• Abstimmung mit Versicherern und, falls nötig, mit der Öffentlichkeitsarbeit.

Neben dem Bußgeld: weitere Befugnisse der Aufsicht

Die Aufsichtsbehörden können nach Art. 58 Abs. 2 DSGVO auch verwarnen, anweisen, Verarbeitungen beschränken oder ganz verbieten und Datenübermittlungen in Drittländer aussetzen. Für viele Unternehmen ist ein Verarbeitungsverbot, etwa für ein Tracking-Tool oder eine KI-Anwendung, wirtschaftlich gravierender als die Geldbuße selbst. Auch solche Anordnungen lassen sich vor dem Verwaltungsgericht angreifen.

Gegen Behörden und sonstige öffentliche Stellen werden in Deutschland nach § 43 Abs. 3 BDSG keine Geldbußen verhängt. Für Beschäftigte kann im Einzelfall eine eigene Verantwortlichkeit bestehen, etwa bei Datenabfragen zu privaten Zwecken.

Häufige Fragen zum DSGVO-Bußgeld

Wie schnell muss ich auf ein Anhörungsschreiben reagieren?

Halten Sie die von der Behörde gesetzte Frist ein oder beantragen Sie rechtzeitig eine Verlängerung, etwa um Akteneinsicht zu nehmen. Beim Bußgeldbescheid beträgt die Einspruchsfrist zwei Wochen ab Zustellung.

Lohnt sich ein Einspruch?

Oft ja. Bußgeldbescheide halten der gerichtlichen Kontrolle nicht immer stand, sei es wegen Verfahrensfehlern, falscher Umsatzannahmen oder fehlenden Verschuldens. Beachten Sie aber, dass das Gericht nicht an die Höhe des Bescheids gebunden ist. Wir wägen das mit Ihnen ab.

Hilft eine Selbstanzeige?

Eine Selbstanzeige wie im Steuerrecht kennt die DSGVO nicht. Die freiwillige Zusammenarbeit und eine rechtzeitige Meldung von Datenpannen werden bei der Bemessung aber berücksichtigt (Art. 83 Abs. 2 lit. f und h DSGVO).