Ein mittelständisches Unternehmen erhält Post von der Datenschutzbehörde: Anhörungsschreiben, Hinweis auf ein laufendes Bußgeldverfahren, Fristsetzung zur Stellungnahme. Für viele Geschäftsführer ist das der erste unmittelbare Kontakt mit der Bußgeldpraxis der Datenschutzaufsicht – und zugleich der Moment, in dem Weichen gestellt werden, die über die Höhe einer möglichen Sanktion entscheiden.
Ein DSGVO-Bußgeld abzuwehren oder zu begrenzen ist möglich – aber es erfordert eine strukturierte anwaltliche Reaktion, die unmittelbar nach dem ersten Behördenkontakt beginnt. Art. 83 DSGVO setzt den Bußgeldrahmen auf bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes; innerhalb dieses Rahmens verfügen Aufsichtsbehörden über einen erheblichen Ermessensspielraum. Wer diesen Spielraum kennt, ihn mit substanziierten Argumenten zur Kooperation, zu Nachbesserungsmaßnahmen und zu Verschuldensfragen füllt, kann das Ergebnis eines Verfahrens spürbar beeinflussen.
Dieser Beitrag erläutert den Rechtsrahmen, die typischen Verfahrensschritte, die häufigsten Fehler mittelständischer Unternehmen im Bußgeldverfahren und zeigt, wie eine anwaltliche Begleitung in der Praxis aussieht.
Art. 83 DSGVO: Was der Bußgeldrahmen für den Mittelstand bedeutet
Art. 83 DSGVO unterscheidet zwei Sanktionsstufen, die sich nach Art des Verstoßes richten. Die obere Stufe – bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist – erfasst Verstöße gegen Grundprinzipien der Verarbeitung, Einwilligungserfordernisse oder Betroffenenrechte. Die untere Stufe – bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – gilt für technisch-organisatorische Pflichtverstöße, etwa unzureichende Datensicherheit nach Art. 32 DSGVO oder fehlerhafte Auftragsverarbeitungsverträge.
Für mittelständische Unternehmen bedeutet das in der Praxis: Die absolute Deckelung ist nominell hoch, aber die behördliche Praxis orientiert sich an Sanktionen, die spürbar, jedoch nicht existenzvernichtend sein sollen. Die Aufsichtsbehörden der Länder folgen dabei zunehmend einem europäisch abgestimmten Bemessungskonzept (EDPB-Leitlinien 04/2022), das Umsatz, Schwere, Dauer und Kooperationsbereitschaft gewichtet. Gerade der letzte Faktor – Kooperation – ist für mittelständische Unternehmen ein aktiv gestaltbares Element.
In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen im ersten Schreck auf ein Anhörungsschreiben entweder gar nicht oder unstrukturiert reagieren. Beides ist kontraproduktiv. Die Stellungnahme im Anhörungsverfahren ist der erste und oft entscheidende Moment, um strafmildernde Faktoren zu dokumentieren.
Wie läuft ein Bußgeldverfahren der Datenschutzbehörde ab?
Datenschutzbehördliche Bußgeldverfahren beginnen regelmäßig mit einem Anhörungsschreiben, das der betroffenen Stelle rechtliches Gehör gewährt – ein verfassungsrechtlich verankertes Recht, das zugleich die wichtigste taktische Gelegenheit im gesamten Verfahren darstellt. Nach Eingang der Stellungnahme entscheidet die Behörde über den weiteren Gang: Einstellung, förmlicher Bußgeldbescheid oder – in schweren Fällen – Überweisung an die Staatsanwaltschaft bei strafrechtlichem Verdacht.
Der Bußgeldbescheid ist ein Verwaltungsakt nach dem Ordnungswidrigkeitengesetz (OWiG). Gegen ihn steht der Einspruch binnen zwei Wochen ab Zustellung offen. Wird kein Einspruch eingelegt, wird der Bescheid bestandskräftig; eine nachträgliche Korrektur ist dann nur noch in engen Grenzen möglich. Mit dem Einspruch geht das Verfahren an das zuständige Amtsgericht über, das selbstständig über Sanktion und Grundlage entscheidet – der Richter ist an den Bußgeldbescheid der Behörde nicht gebunden und kann die Sanktion auch höher festsetzen. Diese Besonderheit des Opportunitätsprinzips im OWiG-Verfahren ist ein wesentlicher Grund, warum die Entscheidung über einen Einspruch anwaltlich begleitet werden sollte.
Welche Frist gilt, wenn die Datenschutzbehörde zur Stellungnahme auffordert? Die Behörde setzt in der Regel eine kurze Frist – häufig zwei bis vier Wochen. Diese Frist ist verlängerbar, aber die Anfrage zur Fristverlängerung muss rechtzeitig und schriftlich erfolgen. Wer die Frist ohne Antwort verstreichen lässt, verliert nicht nur die Chance zur Darstellung strafmildernder Umstände, sondern signalisiert der Behörde fehlende Kooperation.
Welche Faktoren begrenzen ein DSGVO-Bußgeld?
Art. 83 Abs. 2 DSGVO nennt einen Katalog von Bemessungskriterien, die Behörden zwingend zu berücksichtigen haben. Diese Kriterien sind keine bloße Prüfliste – sie sind Hebel, die eine kompetente Stellungnahme aktiv bedienen muss.
- Art, Schwere und Dauer des Verstoßes – lässt sich argumentieren, dass der Verstoß einmalig und zeitlich begrenzt war, wirkt das sanktionsmindernd.
- Vorsatz oder Fahrlässigkeit – fehlende Kenntnis von einer technischen Lücke und fehlender Schädigungsvorsatz sind qualitativ unterschiedliche Ausgangspunkte.
- Maßnahmen zur Schadensbegrenzung – wer nachweislich und zügig Abhilfemaßnahmen ergreift, legt ein strafmilderndes Verhalten vor, das Behörden dokumentieren müssen.
- Kooperationsgrad mit der Behörde – aktive, transparente und sachliche Kommunikation wird im EDPB-Bemessungskonzept positiv gewichtet.
- Kategorien betroffener Daten – ob es sich um besondere Kategorien nach Art. 9 DSGVO (Gesundheitsdaten, ethnische Herkunft) handelt, ist für die Schwereeinordnung entscheidend.
- Frühere Verstöße – ein Unternehmen ohne Voreintrag hat strukturell eine bessere Ausgangsposition als ein Wiederholungstäter.
Nach unserer Erfahrung unterschätzen Unternehmen besonders den Faktor Kooperation. Eine substanziierte Stellungnahme, die den Sachverhalt vollständig aufklärt, Abhilfemaßnahmen belegt und eine rückhaltlose Kooperation dokumentiert, kann den Verfahrensausgang erheblich beeinflussen – ohne dass darüber eine Garantie ausgesprochen werden kann oder darf.
Typische Fehler mittelständischer Unternehmen im DSGVO-Bußgeldverfahren
In der Beratungspraxis begegnen uns immer wieder dieselben Muster, die den Verfahrensausgang nachteilig beeinflussen. Für Geschäftsführer lohnt es sich, diese Fallstricke zu kennen – auch wenn das eigene Unternehmen noch kein Verfahren führt.
Fehler 1: Selbstbelastende Stellungnahme ohne anwaltliche Prüfung. Wer unbegleitet antwortet, kann unbeabsichtigt Verstöße einräumen, die behördlich noch gar nicht bekannt waren. Das Recht zur Selbstbelastungsfreiheit gilt auch im Bußgeldverfahren nach OWiG, ist aber aktiv zu wahren.
Fehler 2: Keine Dokumentation von Gegenmaßnahmen. Behörden dokumentieren, was nach einem Vorfall getan wurde. Wer nachweisliche Maßnahmen nicht schriftlich belegt – aktualisierte Datenschutzdokumentation, Mitarbeiterschulungen, technische Nachbesserungen – verschenkt Argumentationspotenzial.
Fehler 3: Ignorieren des Meldepflicht-Zusammenhangs. Liegt dem Bußgeldverfahren eine Datenpanne zugrunde, stellt sich regelmäßig die Frage, ob die 72-Stunden-Meldefrist nach Art. 33 DSGVO eingehalten wurde. War die Meldung verspätet oder unterblieben, ist das ein eigenständiger Erschwerungsgrund. War die Meldung korrekt, ist das aktiv als Kooperationsnachweis anzuführen.
Fehler 4: Einspruch ohne strategische Folgenabschätzung. Da das Amtsgericht im Einspruchsverfahren nicht an die Bußgeldhöhe des Bescheids gebunden ist, muss jede Einspruchsentscheidung eine realistische Bewertung der Risikolage beinhalten. Ein Einspruch ist kein Automatismus.
Kann ein mittelständisches Unternehmen ein DSGVO-Bußgeld vollständig abwenden? In Einzelfällen ja – etwa wenn der Sachverhalt eine Pflichtverletzung materiell nicht belegt oder wenn Verfahrensrechte verletzt wurden. Häufiger ist die Prognose eine Reduzierung der Sanktionshöhe durch substanziierte Kooperation und Abstellung des Verstoßes.
Auftragsverarbeitung, technisch-organisatorische Maßnahmen und Haftung der Geschäftsführung
Bußgeldverfahren konzentrieren sich nicht selten auf zwei strukturelle Schwachstellen mittelständischer Unternehmen: fehlerhafte oder fehlende Auftragsverarbeitungsverträge (AVV) sowie unzureichende technisch-organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO.
Art. 28 DSGVO verpflichtet jeden Verantwortlichen, Auftragsverarbeitung vertraglich abzusichern. Fehlende oder inhaltlich unvollständige AVV sind ein häufiger Ausgangspunkt für Bußgeldverfahren – insbesondere wenn Cloud-Dienstleister, Marketing-Tools oder externe IT-Dienstleister ohne ordnungsgemäße Grundlage genutzt werden. Die Lücke ist in der Praxis oft nicht absichtlich, sondern gewachsen.
Für die Geschäftsführung ist relevant, dass Bußgelder nach Art. 83 DSGVO gegen das Unternehmen als juristische Person verhängt werden. Daneben können aber nach nationalen Regelungen – in Deutschland etwa über § 130 OWiG (Aufsichtspflichtverletzung) – individuelle Bußgelder gegen Verantwortliche in Frage kommen, wenn die Pflichtverletzung auf fehlende Aufsicht zurückzuführen ist. Diese Frage der persönlichen Verantwortlichkeit der Unternehmensleitung ist im Einzelfall anwaltlich zu klären.
Nach unserer Erfahrung empfiehlt sich bereits präventiv eine strukturierte Überprüfung der Verarbeitungsverzeichnisse, der AVV-Landschaft und der technischen Maßnahmen – nicht erst, wenn die Behörde fragt.
Aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein inhabergeführtes Handelsunternehmen mit rund 80 Mitarbeitern, das nach einem Phishing-Vorfall ein Anhörungsschreiben der Landesdatenschutzbehörde erhielt. Ausgangslage: Der Vorfall hatte zur unberechtigten Offenlegung von Kundenstammdaten geführt; die Meldung nach Art. 33 DSGVO war erfolgt, allerdings mit einer Verzögerung von gut vier Tagen gegenüber der 72-Stunden-Frist. Außerdem fehlten AVV für zwei Cloud-Dienste. Vorgehen: Die Kanzlei begleitete die Stellungnahme im Anhörungsverfahren, dokumentierte die unmittelbar nach dem Vorfall ergriffenen technischen Abhilfemaßnahmen und die zeitnahe Nachkontrahierung der AVV, und argumentierte zur Schwere des Verschuldens mit Blick auf die genuine Unkenntnis des Unternehmens von der technischen Lücke. Ergebnis: Das Verfahren endete mit einem Bußgeldbescheid im unteren Bereich des behördlichen Ermessensspielraums; auf Einspruch wurde nach Kosten-Nutzen-Abwägung verzichtet.
Wie sieht die anwaltliche Begleitung im Bußgeldverfahren aus?
Die anwaltliche Begleitung eines DSGVO-Bußgeldverfahrens beginnt mit einer schnellen Sachverhaltserfassung: Was hat die Behörde mitgeteilt? Welcher Verarbeitungsvorgang ist betroffen? Liegen bereits behördliche Feststellungen vor, oder befindet sich das Verfahren noch im Voruntersuchungsstadium? Diese Fragen bestimmen die Reaktionsstrategie.
Der erste konkrete Schritt ist die Analyse des Anhörungsschreibens – welche Vorwürfe werden erhoben, welche Normen werden als verletzt bezeichnet, welche Frist ist gesetzt. Darauf aufbauend wird gemeinsam mit dem Unternehmen eine Stellungnahme erarbeitet, die Sachverhaltsdarstellung, Würdigung der Bemessungsfaktoren und Nachweise zu Abhilfemaßnahmen zusammenführt.
Ist bereits ein Bußgeldbescheid ergangen, folgt eine rechtliche Prüfung auf Verfahrensfehler, materielle Einwände und die strategische Frage des Einspruchs. Bei einem Einspruch vertritt die Kanzlei das Unternehmen vor dem zuständigen Amtsgericht; in Revisionsverfahren, die bis zum Bundesgerichtshof gehen, gilt die Singularzulassung – in diesen Fällen arbeiten wir mit einem beim BGH zugelassenen Rechtsanwalt zusammen.
Parallel zur Verfahrensbegleitung empfiehlt sich regelmäßig eine strukturelle Überprüfung des Datenschutzsystems, um weitere potenzielle Verfahrensanlässe zu identifizieren und abzustellen. Diese präventive Seite gehört für uns zur vollständigen Mandatsbearbeitung.
Die vorstehende Darstellung betrifft die typischen Verfahrensabläufe und Gestaltungsoptionen in DSGVO-Bußgeldverfahren. Ihr konkreter Fall erfordert die Prüfung des Anhörungsschreibens, der Fristen und der einschlägigen Behördenpraxis Ihres Bundeslandes. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Prävention: Datenschutz-Compliance als Schutz vor dem Bußgeldverfahren
Das wirksamste Instrument gegen ein DSGVO-Bußgeldverfahren ist ein belastbares Datenschutzsystem, das im Falle einer behördlichen Prüfung als Nachweis sorgfältiger Pflichterfüllung dient. Für den Mittelstand bedeutet das keine bürokratische Überlast – sondern eine handhabbare Grundstruktur aus Verarbeitungsverzeichnis, AVV-Register, TOM-Dokumentation und regelmäßiger Überprüfung.
Welche Investition in Datenschutz-Compliance ist für ein mittelständisches Unternehmen verhältnismäßig? Die Antwort liegt im Risikoverhältnis: Ein nicht nachgewiesener AVV für einen Cloud-Dienst, der Kundendaten verarbeitet, kann behördlich als eigenständiger Verstoß nach Art. 28 DSGVO gewertet werden – mit Bußgeldpotenzial, das die Kosten einer ordnungsgemäßen Vertragsgestaltung erheblich übersteigt.
In der Mandatspraxis sehen wir zudem, dass Unternehmen mit einer strukturierten Datenschutzdokumentation im Falle einer Datenpanne substanziell besser in der Lage sind, die 72-Stunden-Meldepflicht nach Art. 33 DSGVO einzuhalten. Die Meldung selbst – korrekt und fristgerecht – ist ein anerkannt strafmildernder Faktor in der behördlichen Praxis.
Drei Bausteine empfehlen sich als Einstieg: erstens eine vollständige und aktuell gehaltene Übersicht aller Verarbeitungstätigkeiten; zweitens ein systematischer Abgleich, für welche Dienstleister ein AVV besteht und für welche nicht; drittens eine schriftlich dokumentierte TOM-Struktur, die technische und organisatorische Schutzmaßnahmen beschreibt und regelmäßig aktualisiert wird.
Verwandte Leistungen
Häufige Fragen zum DSGVO-Bußgeld abwehren
Was ist zu tun, wenn die Datenschutzbehörde ein Anhörungsschreiben schickt?
Das Anhörungsschreiben ist der erste und wichtigste Verfahrensschritt. Es gewährt rechtliches Gehör und setzt eine Frist zur Stellungnahme. Diese Frist sollte nicht ungenutzt verstreichen. Empfehlenswert ist eine sofortige anwaltliche Prüfung des Schreibens, eine strukturierte Sachverhaltserfassung und die Ausarbeitung einer Stellungnahme, die strafmildernde Faktoren – Kooperation, Abstellungsmaßnahmen, Verschuldensfrage – substanziiert darlegt. Fristverlängerungsanfragen sind möglich, sollten aber rechtzeitig gestellt werden.
Wie hoch kann ein DSGVO-Bußgeld für ein mittelständisches Unternehmen sein?
Art. 83 DSGVO setzt den Bußgeldrahmen auf bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (obere Stufe) bzw. bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes (untere Stufe). Die tatsächliche Sanktionshöhe richtet sich nach behördlichem Ermessen unter Berücksichtigung von Schwere, Dauer, Verschulden, Kooperation und Abhilfemaßnahmen. Für den Mittelstand gibt es keine gesonderte Freigrenze; die Umsatzreferenz berücksichtigt jedoch automatisch die Unternehmensgröße.
Kann ein Einspruch gegen einen Bußgeldbescheid sinnvoll sein?
Ein Einspruch gegen den Bußgeldbescheid ist fristgebunden und führt das Verfahren vor das zuständige Amtsgericht. Das Gericht ist dabei nicht an die behördlich festgesetzte Höhe gebunden – es kann die Sanktion auch erhöhen. Ob ein Einspruch sinnvoll ist, hängt von einer realistischen Bewertung der materiellen Rechtslage, der Beweislage und des Verhältnisses zwischen Einspruchwert und Verfahrensrisiko ab. Diese Entscheidung sollte anwaltlich begleitet werden.
Haftet der Geschäftsführer persönlich für DSGVO-Bußgelder?
Bußgelder nach Art. 83 DSGVO werden gegen das Unternehmen als juristische Person verhängt. Daneben kommt eine persönliche Haftung des Geschäftsführers nach § 130 OWiG in Betracht, wenn ein Datenschutzverstoß auf eine Verletzung von Aufsichts- und Organisationspflichten zurückzuführen ist. Die genaue Haftungsabgrenzung ist im Einzelfall anwaltlich zu klären; eine strukturierte interne Datenschutzorganisation reduziert das Risiko persönlicher Inanspruchnahme erheblich.
Was ist der Unterschied zwischen einer Datenschutzbehörde und einem Datenschutzbeauftragten?
Die Datenschutzbehörde – in Deutschland die jeweilige Landesdatenschutzbehörde oder der Bundesbeauftragte für den Datenschutz (BfDI) – ist die zuständige Aufsichtsbehörde, die Bußgelder verhängt und Untersuchungen führt. Der betriebliche Datenschutzbeauftragte ist dagegen eine interne Funktion im Unternehmen, die nach Art. 37 ff. DSGVO unter bestimmten Voraussetzungen obligatorisch zu bestellen ist. Beide Rollen sind klar voneinander zu trennen; der interne Datenschutzbeauftragte kann nicht die anwaltliche Verfahrensbegleitung ersetzen.
Die vorstehende Darstellung betrifft die Regelfälle und typischen Verfahrenskonstellationen in DSGVO-Bußgeldverfahren. Ihr konkreter Fall erfordert die Prüfung des behördlichen Schreibens, der einschlägigen Fristen und der spezifischen Behördenpraxis. Zur Klärung, wie die dargestellten Instrumente auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.