Die Leitlinien 04/2026, bis zum 13. November in Konsultation, machen aus Artikel 83(2) DSGVO fünf Schritte: Ein «geringfügiger» Verstoss endet in der Regel ohne Geldbusse, bei allem anderen spricht eine starke Vermutung für eine. Das meiste, was den Ausschlag gibt, steht fest, bevor die Beschwerde eintrifft.
Die Leitlinien 04/2026, bis zum 13. November in Konsultation, machen aus Artikel 83(2) DSGVO fünf Schritte: Ein «geringfügiger» Verstoss endet in der Regel ohne Geldbusse, bei allem anderen spricht eine starke Vermutung für eine. Das meiste, was den Ausschlag gibt, steht fest, bevor die Beschwerde eintrifft.
Unter den vierzehn Fallbeispielen in den neuen Bussgeld-Leitlinien des Europäischen Datenschutzausschusses (EDSA) findet sich ein Ein-Personen-Unternehmen, das Auskunftsersuchen ignoriert. Es weiss nicht, dass Artikel 15 DSGVO es zur Antwort verpflichtet, und als die Aufsichtsbehörde eine Geldbusse ankündigt, wendet der Inhaber ein, das Unternehmen sei in einem völlig anderen Bereich tätig und habe nie gegen ein Gesetz verstossen wollen. Das Urteil des Ausschusses umfasst zwei Sätze:
"The intention to violate the law is not necessary for the existence of negligence. The only decisive factor is whether the controller had the opportunity to become aware of the obligation, which is the case here."
Sinngemäss: Für Fahrlässigkeit ist die Absicht, gegen das Gesetz zu verstossen, nicht erforderlich. Entscheidend ist allein, ob der Verantwortliche die Möglichkeit hatte, von der Pflicht Kenntnis zu erlangen, und das ist hier der Fall.
Die Leitlinien liegen bisher nur auf Englisch vor. Zitate daraus stehen deshalb im Original, jeweils mit einer sinngemässen deutschen Wiedergabe; die DSGVO zitiere ich nach der amtlichen deutschen Fassung.
Dieses Beispiel gibt den Ton vor für ein Dokument, das Schritt für Schritt beschreibt, wie eine Aufsichtsbehörde entscheidet, ob ein Verstoss mit einer Geldbusse, einer Verwarnung oder gar nichts endet. Aus Sicht des Verantwortlichen gelesen, ist es zugleich eine recht genaue Liste, welche Tatsachen zählen, welche nicht und wann diese Tatsachen vorliegen müssen.
Das Dokument heisst Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR (sinngemäss: Leitlinien 04/2026 zur Anwendung der Befugnis zur Verhängung von Geldbussen im Verhältnis zu anderen Abhilfebefugnissen nach der DSGVO). Seine Versionsgeschichte hat eine Zeile: "version 1.0 17 September 2026 adoption of the guidelines for public consultation" (sinngemäss: Version 1.0, 17. September 2026, Annahme der Leitlinien zur öffentlichen Konsultation). Der EDSA hat es nach seiner Plenarsitzung vom 21. September bekanntgegeben, und laut der deutschen Fassung der Mitteilung werden die Leitlinien «bis zum 13. November 2026 Gegenstand einer öffentlichen Konsultation sein». Es ist ein Entwurf, und was folgt, beschreibt den Entwurf.
Randnummer 8 der Leitlinien hält fest, dass sie die Leitlinien der Artikel-29-Datenschutzgruppe ersetzen, die Berechnungs-Leitlinien ergänzen und als «Verhängungs-Leitlinien» bezeichnet werden können: "replace the WP29 Guidelines, complement the Calculation Guidelines and can be referred to as the 'Imposition Guidelines'". Der Text der Artikel-29-Datenschutzgruppe ist WP253, den der EDSA übernommen hatte; die Berechnungs-Leitlinien (04/2022) regeln, wie hoch eine Geldbusse ausfallen soll. Das neue Dokument setzt vor der Berechnung an: Es beantwortet, ob es überhaupt eine Geldbusse geben soll.
Das Zielpublikum nennt Randnummer 1: Die Leitlinien sind für die Verwendung durch Aufsichtsbehörden bestimmt ("are intended for use by supervisory authorities"). Randnummer 11 ergänzt, dass die Beispiele fiktive Fälle sind ("imaginary cases"), die nicht als Präzedenzfälle gelten können ("cannot be considered precedents"). Für einen Verantwortlichen ist das Dokument damit eine Beschreibung, wie die Gegenseite denkt, und das ist oft das Nützlichere.
Randnummer 9 legt die Methode als fünf Fragen an:
Die ersten drei sind rechtliche Voraussetzungen. Die letzten beiden sind die Entscheidung, und die vierte trägt fast das ganze Gewicht. Der Begriff «geringfügig» stammt aus Erwägungsgrund 148 DSGVO: «Im Falle eines geringfügigeren Verstoßes oder falls voraussichtlich zu verhängende Geldbuße eine unverhältnismäßige Belastung für eine natürliche Person bewirken würde, kann anstelle einer Geldbuße eine Verwarnung erteilt werden.» Die Leitlinien machen aus dieser Erlaubnis eine Faustregel mit einer starken Grundannahme auf jeder Seite. Randnummer 57:
"As mentioned, if the infringement is considered minor, as a general rule, the supervisory authority will not impose an administrative fine. Conversely, if the infringement is not considered minor, there is a strong presumption to impose an administrative fine."
Sinngemäss: Wie erwähnt, verhängt die Aufsichtsbehörde in der Regel keine Geldbusse, wenn der Verstoss als geringfügig gilt. Gilt der Verstoss dagegen nicht als geringfügig, besteht eine starke Vermutung für die Verhängung einer Geldbusse.
Schritt 5 erlaubt einer Behörde, von jeder der beiden Grundannahmen abzuweichen, und die Beispiele zeigen, dass sie das in beide Richtungen tut. Dennoch lautet die praktische Frage für den Verantwortlichen, sobald ein Verstoss feststeht, auf welcher Seite der Geringfügigkeitsgrenze er landet, und das entscheiden die elf Kriterien in Artikel 83(2), Buchstaben a bis k.
Zu Schritt 1 hält Randnummer 38 fest, dass die Liste der bussgeldbewehrten Bestimmungen in Artikel 83(4) bis (6) bemerkenswerterweise weder Artikel 10 noch Artikel 24 DSGVO enthält ("notably does not include Article 10 or Article 24 GDPR"), und schliesst die Lücke gleich selbst: Weil Artikel 24 den Grundsatz der Rechenschaftspflicht ausdrückt, kann ein Verstoss gegen Artikel 24 DSGVO einen Verstoss gegen Artikel 5(2) DSGVO darstellen ("an infringement of Article 24 GDPR may amount to an infringement of Article 5(2) GDPR"), und der fällt in die höhere Bussgeldstufe.
Schritt 3 sieht aus wie eine Stelle, an der ein Fall enden könnte. Das wird selten geschehen. Randnummer 49 setzt den Massstab:
"The decisive factor is whether the addressee of a provision was in a position to know that their conduct was unlawful, not whether they actually recognised this."
Sinngemäss: Entscheidend ist, ob der Adressat einer Bestimmung in der Lage war zu wissen, dass sein Verhalten rechtswidrig war, nicht, ob er dies tatsächlich erkannt hat.
Dieselbe Randnummer zitiert Generalanwalt Emiliou: "the threshold for the element of negligence is so low that it is difficult to envisage situations where the element is not satisfied" (sinngemäss: Die Schwelle für das Merkmal der Fahrlässigkeit ist so niedrig, dass kaum Fälle vorstellbar sind, in denen es nicht erfüllt ist). Randnummer 50 räumt dann das meiste weg, was noch übrig ist. Auf guten Glauben kann man sich nur unter ganz aussergewöhnlichen Umständen berufen ("can only be invoked in very exceptional circumstances"), und die Randnummer endet mit dem Satz, der am weitesten reicht:
"However, where EDPB Guidelines exist, an error is always to be considered avoidable and therefore at least negligent."
Sinngemäss: Wo es jedoch Leitlinien des EDSA gibt, ist ein Fehler stets als vermeidbar und damit als mindestens fahrlässig anzusehen.
Veröffentlichte Leitlinien zu einer Frage sind, so gelesen, der Beweis, dass die Antwort erkennbar war. Randnummer 41 schliesst eine weitere Tür: "The fact that employees did not comply with instructions or a code of conduct is not necessarily sufficient to disrupt this liability." (Sinngemäss: Dass Mitarbeitende Weisungen oder einen Verhaltenskodex nicht befolgt haben, reicht nicht unbedingt aus, um diese Haftung zu unterbrechen.)
Rechtsberatung ergeht es nicht besser. In Beispiel 4c macht ein Unternehmen, das nicht alle nach Artikel 13(1) erforderlichen Informationen bereitgestellt hat, geltend, externe Anwälte hätten ihm bestätigt, die Informationen seien konform. "When requested by the supervisory authority the company is unable to provide the documentation regarding the alleged consultation and its content" (sinngemäss: Auf Anfrage der Aufsichtsbehörde kann das Unternehmen keine Unterlagen zur angeblichen Beratung und zu deren Inhalt vorlegen), und so kann das Argument keinerlei entlastende Wirkung haben ("cannot have any exculpatory effect"). Der Ausschuss fügt hinzu: "Even if documentation had been available, external advice must not be blindly trusted." (Sinngemäss: Selbst wenn Unterlagen vorhanden gewesen wären, darf man externem Rat nicht blind vertrauen.) Rat, den niemand vorlegen kann, zählt nichts, und selbst dokumentierter Rat ist nur ein Teil des Bildes.
In Schritt 4 kommt das eigene Verhalten des Verantwortlichen ins Spiel. Ordnet man, was die Leitlinien zu den Kriterien des Artikels 83(2) sagen, die ein Verantwortlicher beeinflussen kann, ergeben sich drei Stapel.
Zählt zugunsten des Verantwortlichen, unter Bedingungen:
Neutral sind die Meldungen, die das Gesetz ohnehin verlangt. Unterliegt der Verantwortliche einer bestimmten Meldepflicht, etwa bei Verletzungen des Schutzes personenbezogener Daten nach Artikel 33 DSGVO ("such as in the case of personal data breaches pursuant to Article 33 GDPR"), dann sollte die Meldung nach Randnummer 95 als neutral gewertet werden ("should be considered as neutral"). In der Regel gilt dasselbe für einen Verstoss, der durch eine Beschwerde oder eine Untersuchung ans Licht kam (Randnummer 96).
Nichts zählen eine weisse Weste und gewöhnliche Zusammenarbeit. Randnummer 88: "The mere absence of previous infringements by the controller or processor cannot, in itself, be considered a mitigating factor, as compliance with the GDPR is the norm." (Sinngemäss: Das blosse Fehlen früherer Verstösse des Verantwortlichen oder Auftragsverarbeiters kann für sich genommen nicht als mildernder Umstand gelten, da die Einhaltung der DSGVO die Norm ist.) Artikel 31 verpflichtet Verantwortliche und Auftragsverarbeiter bereits: Sie «arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen». Randnummer 90 zieht die Konsequenz: "The GDPR does not provide discretion to consider mere cooperation as a mitigating factor, as this is already required." (Sinngemäss: Die DSGVO räumt keinen Spielraum ein, blosse Zusammenarbeit als mildernden Umstand zu werten, da sie ohnehin vorgeschrieben ist.)
Durch den ersten Stapel zieht sich eine Bedingung, die den Nachweis betrifft. Nach Randnummer 78 sollte die Behörde alle einschlägigen Unterlagen berücksichtigen, die der Verantwortliche oder Auftragsverarbeiter vorlegt ("should take into account any relevant documentation provided by the controller or processor"), und die Randnummer nennt, was diese Unterlagen zeigen könnten: "evidence of when the measures were taken and how they were implemented, whether there were interactions between the controller and the processor (if applicable), or whether there has been contact with the Data Protection Officer or data subjects (if applicable)." (Sinngemäss: Belege dafür, wann die Massnahmen ergriffen und wie sie umgesetzt wurden, ob es gegebenenfalls einen Austausch zwischen Verantwortlichem und Auftragsverarbeiter gab oder ob gegebenenfalls Kontakt mit dem Datenschutzbeauftragten oder den betroffenen Personen bestand.) Die mildernden Umstände hängen am Wann, und das Einzige, was dieses Wann Monate später vor einer Behörde belegen kann, ist eine datierte Aufzeichnung, die zum damaligen Zeitpunkt entstanden ist.
Drei der vierzehn Beispiele betreffen ausdrücklich KMU, und mehrere weitere handeln von kleinen Organisationen oder einem einzelnen menschlichen Fehler. Nebeneinander gelesen, trennen sich die Fälle ohne Geldbusse sauber von denen mit.
In Beispiel 12 führte ein KMU eine einmalige Verlosung durch und passte seine Datenschutzhinweise nicht an. Eine betroffene Person beschwerte sich. "Before the supervisory authority initiated an investigation, the SME amended its transparency statement" (sinngemäss: Bevor die Aufsichtsbehörde eine Untersuchung einleitete, änderte das KMU seine Datenschutzhinweise). Der Verstoss war geringfügig, und die Behörde kam zum Schluss, dass die Ausübung irgendeiner Abhilfebefugnis nicht verhältnismässig wäre.
In Beispiel 13 hängte ein Mitarbeiter die Kopie des Führerausweises einer betroffenen Person an eine E-Mail an, die an eine begrenzte Zahl anderer betroffener Personen ging. Der Verantwortliche informierte die Behörde und die betroffene Person unverzüglich ("without delay"), erstattete die Kosten für den Ersatz des Dokuments und beauftragte, ohne die Entscheidung der Aufsichtsbehörde abzuwarten ("Without waiting for the supervisory authority's decision"), einen Dritten mit der Überprüfung seiner Massnahmen; danach ergriff er weitere. Auch hier stellte die Behörde einen geringfügigen Verstoss fest und ergriff keine Abhilfemassnahme.
In Beispiel 7 übermittelte das Tracking-Pixel eines KMU über einen Zeitraum von zwei Jahren ("over a two-year period") gehashte Kontaktdaten von rund 50 000 Nutzerinnen und Nutzern ("approximately 50,000 users") an einen Social-Media-Anbieter, weil eine im Entwicklerwerkzeug des Anbieters aktivierte Funktion Vorrang vor den Datenschutzeinstellungen hatte, die die Organisation konfiguriert hatte ("took precedence over the data protection settings the organisation had configured"). Die Behörde stellte fest, dass dem KMU die systematischen Verfahren fehlten, die nötig sind, um solche unbeabsichtigten Änderungen zu erkennen ("lacked the systematic procedures required to identify such unintentional changes"); ein Dritter hatte es gemeldet. Die Daten waren gehasht und nicht sensibel, der Verstoss blieb also geringfügig, aber diesmal gab es eine Verwarnung.
Die Beispiele 5 und 10 zeigen die andere Richtung. Eine Personalvermittlung mit einer internen Löschrichtlinie erhielt nach zwei Beschwerden eine Verwarnung; drei weitere Beschwerden folgten, das Verfahren für Löschersuchen führte in zu vielen Fällen zu menschlichen Fehlern ("led to human errors in too many cases"), und die Agentur erhielt eine Geldbusse. Ein kleines Telekommunikationsunternehmen erhielt eine Verwarnung, weil es ein Ersuchen einen Monat zu spät beantwortet hatte; die Behörde fand danach weitere gleichgelagerte Fälle, kam zum Schluss, die Verzögerung sei ein grundlegendes Problem oder Muster ("a fundamental problem or pattern"), und leitete ein Bussgeldverfahren ein.
Was die Ergebnisse trennt: ob der Verantwortliche das Problem selbst bemerkt und behoben hat, ob er das belegen konnte und ob dasselbe noch einmal geschah. Randnummer 70 fügt der Liste die Dauer hinzu: "The longer the duration of the infringement, the more likely it is that the infringement is not considered as minor" (sinngemäss: Je länger der Verstoss andauert, desto wahrscheinlicher gilt er nicht als geringfügig). Ein zweijähriges Datenleck, das niemand im Unternehmen bemerkte, lag von Anfang an näher an der Grenze als ein Hinweis zu einer Verlosung, der korrigiert wurde, bevor die Behörde eine Untersuchung einleitete.
Nichts davon ändert, was die DSGVO verlangt; die Leitlinien beschreiben, wie Behörden gewichten wollen, was bereits schiefgegangen ist, und der endgültige Text kann nach der Konsultation von Version 1.0 abweichen. Was sie bieten, ist eine ungewöhnlich konkrete Darstellung der Fragen, die eine Behörde nach ihren Vorgaben gewichten soll, sobald eine Beschwerde eintrifft: wann Sie davon erfahren haben, was Sie wann getan haben, ob Sie es belegen können und ob es schon einmal vorgekommen war. Jede dieser Fragen lässt sich nur mit Aufzeichnungen beantworten, die existierten, bevor jemand danach fragte. Wenn Sie den Entwurf kommentieren möchten: Die Konsultation des EDSA läuft bis zum 13. November 2026. Für Ihre eigene Situation ist eine qualifizierte Rechtsberatung die richtige Leserin des vollständigen Texts.
devguard führt das Vorfallregister und die datierten, versionierten Aufzeichnungen, aus denen sich Fragen wie diese beantworten lassen: devguard.ch/platform.
Starten Sie kostenlos, bringen Sie Ihre Frameworks mit, und die Nachweise bleiben an der Arbeit, während sie ausgeliefert wird, ohne Setup-Reibung, ohne Feuerwehrübung in der Audit-Woche.
Starten Sie kostenlos, bringen Sie Ihre Frameworks mit, und die Nachweise bleiben an der Arbeit, während sie ausgeliefert wird, ohne Setup-Reibung, ohne Feuerwehrübung in der Audit-Woche.