Ein inhabergeführter Maschinenbauer aus Bayern, 80 Mitarbeiter, erhält ohne Vorwarnung ein Anhörungsschreiben der Landesbehörde: verdächtigt wird eine unzureichende Auftragsverarbeitungsvereinbarung mit einem Cloud-Dienstleister. Das Unternehmen hat kein eigenes Datenschutzteam. Die Frage, die in solchen Momenten zählt, lautet nicht „Warum wir?" – sondern: Was tun, wie schnell, und welche Verteidigungsargumente stehen zur Verfügung?
Ein DSGVO-Bußgeld lässt sich in vielen Fällen abwehren, reduzieren oder zumindest erheblich mindern. Rechtsgrundlage ist Art. 83 DSGVO, der der Behörde Ermessen bei der Bemessung einräumt – und dieses Ermessen ist anfechtbar. Entscheidend sind eine dokumentierte Compliance-Struktur, die fristgerechte Reaktion auf die behördliche Anhörung und eine frühzeitige anwaltliche Begleitung.
Dieser FAQ-Beitrag beantwortet die zwölf wichtigsten Fragen, die Geschäftsführerinnen und Geschäftsführer mittelständischer Unternehmen stellen, wenn eine Datenschutzbehörde aktiv wird.
FAQ 1: Was ist ein DSGVO-Bußgeld, und auf welcher Grundlage wird es verhängt?
Ein DSGVO-Bußgeld ist eine verwaltungsrechtliche Geldbuße, die eine Datenschutzbehörde gegen ein Unternehmen oder verantwortliche Personen verhängt, wenn ein Verstoß gegen die Datenschutz-Grundverordnung festgestellt wird. Die zentrale Rechtsgrundlage ist Art. 83 DSGVO, der zwei Bußgeldrahmen vorsieht: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für bestimmte organisatorische Pflichten sowie bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes für Verstöße gegen Grundprinzipien wie Rechtmäßigkeit der Verarbeitung oder Betroffenenrechte – jeweils der höhere Betrag gilt.
Für den Mittelstand bedeutet das: Ein umsatzstarkes inhabergeführtes Unternehmen kann mit einem prozentualen Bußgeld konfrontiert werden, das weit über nominale Millionenbeträge hinausgeht. Die Behörde ist dabei verpflichtet, die konkreten Umstände des Einzelfalls zu berücksichtigen – darunter Schwere des Verstoßes, ergriffene Abhilfemaßnahmen, Grad des Verschuldens und wirtschaftliche Leistungsfähigkeit. Dieses Ermessen ist der wesentliche Angriffspunkt für die Verteidigung.
FAQ 2: Wie läuft ein Bußgeldverfahren bei der Datenschutzbehörde ab?
Das Verfahren beginnt regelmäßig mit einem Anhörungsschreiben der zuständigen Landesdatenschutzbehörde (in Deutschland die jeweilige Landesbehörde, für bundesweit tätige Stellen ggf. die BfDI). In diesem Schreiben schildert die Behörde den ermittelten Sachverhalt und gibt dem Unternehmen die Möglichkeit zur Stellungnahme. Die Frist beträgt in der Praxis häufig zwei bis vier Wochen – sie ist kurz, und ihr Ablauf hat erhebliche Konsequenzen.
Schweigt das Unternehmen oder antwortet unvorbereitet, fehlen der Behörde entlastende Umstände für ihre Abwägung. Nach Auswertung der Stellungnahme ergeht entweder ein Bußgeldbescheid oder das Verfahren wird eingestellt. Gegen den Bußgeldbescheid kann Einspruch eingelegt werden; das Verfahren wird dann vor dem zuständigen Amtsgericht – nach der deutschen Systematik für Ordnungswidrigkeiten – fortgeführt. In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen, die bereits in der Anhörungsphase anwaltlich vertreten sind, deutlich bessere Ausgangspositionen haben als solche, die erst nach Bescheiderlass reagieren.
FAQ 3: Welche Faktoren berücksichtigt die Behörde bei der Bußgeldbemessung?
Art. 83 Abs. 2 DSGVO enthält einen abschließenden Katalog von Bemessungsfaktoren. Für die Verteidigung relevant sind insbesondere: die Art, Schwere und Dauer des Verstoßes; die Zahl der betroffenen Personen und das Ausmaß des Schadens; ergriffene Maßnahmen zur Minderung des Schadens; der Grad der Zusammenarbeit mit der Behörde; frühere Verstöße; sowie technische und organisatorische Maßnahmen nach Art. 25 und Art. 32 DSGVO (Datenschutz durch Technikgestaltung / angemessene Sicherheitsmaßnahmen).
Wer nachweisen kann, dass das Unternehmen bereits vor dem Vorfall ein funktionierendes Datenschutzmanagementsystem betrieben, Mitarbeiter geschult, einen Auftragsverarbeitungsvertrag abgeschlossen und den Vorfall unverzüglich gemeldet hat, verbessert seine Verhandlungsposition erheblich. Nach unserer Erfahrung wiegt dokumentierte Eigeninitiative bei der Behörde stärker als nachträgliche Bekenntnisse. Der entscheidende Vorteil dokumentierter Compliance: Sie schafft belegbare Tatsachen, die das Ermessen der Behörde zugunsten des Unternehmens beeinflussen.
FAQ 4: Kann ein DSGVO-Bußgeld vollständig abgewehrt werden?
Eine vollständige Abwehr des Bußgelds ist möglich, wenn sich herausstellt, dass kein Verstoß vorgelegen hat, der Verstoß auf Umstände zurückzuführen ist, die das Unternehmen nicht vertreten muss, oder wenn das Verschulden so gering ist, dass die Behörde von einer Sanktion absieht. Das ist keine Selbstverständlichkeit, aber rechtlich machbar.
Häufiger gelingt die erhebliche Minderung des Bußgelds. Ausgehend von den Bemessungsfaktoren des Art. 83 Abs. 2 DSGVO lässt sich argumentieren, dass das Unternehmen kooperiert hat, der Schaden für Betroffene gering war, Abhilfemaßnahmen sofort ergriffen wurden und die wirtschaftliche Leistungsfähigkeit eines mittelständischen Unternehmens eine niedrigere Sanktion rechtfertigt. Ob und in welchem Umfang eine Abwehr gelingt, hängt vom konkreten Sachverhalt ab – eine allgemeine Erfolgsgarantie gibt es nicht und darf es berufsrechtlich nicht geben.
FAQ 5: Was ist die wichtigste Sofortmaßnahme nach Erhalt des Anhörungsschreibens?
Die wichtigste Sofortmaßnahme ist die unverzügliche Einschaltung eines auf Datenschutzrecht spezialisierten Anwalts – noch vor jeder Kommunikation mit der Behörde. Das Anhörungsschreiben ist kein Routinevorgang, den die interne Buchhaltung oder ein nicht spezialisierter Syndikus allein bearbeiten kann.
Parallel dazu sollte das Unternehmen eine interne Sachverhaltsaufnahme einleiten: Welche Daten waren betroffen? Welche Systeme, welche Dienstleister? Welche Vertragswerke (Auftragsverarbeitungsvereinbarungen, Datenschutzrichtlinien) bestehen? Was ist dokumentiert? Diese Unterlagen bilden die Grundlage für die Stellungnahme. Keine schriftliche oder mündliche Kommunikation mit der Behörde sollte ohne anwaltliche Abstimmung erfolgen – auch vermeintlich harmlose Rückfragen können die Verhandlungsposition verschlechtern.
FAQ 6: Welche Rolle spielt die Meldung einer Datenpanne für das Bußgeldrisiko?
Die fristgerechte Meldung einer Datenschutzverletzung an die Behörde ist nach Art. 33 DSGVO binnen 72 Stunden vorgeschrieben. Wer dieser Pflicht nachkommt, erfüllt nicht nur eine gesetzliche Vorgabe – er setzt gleichzeitig ein Ermessenselement nach Art. 83 Abs. 2 DSGVO positiv: Zusammenarbeit mit der Behörde und proaktive Transparenz.
Umgekehrt ist eine unterlassene oder verspätete Meldung ein eigenständiger Verstoß, der das Bußgeldrisiko erhöht. In der Mandatspraxis sehen wir mittelständische Unternehmen, die eine Datenpanne zunächst intern als geringfügig eingestuft, die 72-Stunden-Frist verpasst und so aus einem vermeidbaren Folgeproblem ein eigenständiges Bußgeldrisiko gemacht haben. Die Einschätzung, ob eine Datenpanne meldepflichtig ist, sollte deshalb immer und sofort anwaltlich begleitet werden.
FAQ 7: Haftet der Geschäftsführer persönlich für DSGVO-Bußgelder?
Das DSGVO-Bußgeld richtet sich primär gegen die juristische Person – also das Unternehmen selbst. Daneben kann nach § 130 OWiG jedoch auch der Geschäftsführer persönlich mit einem Bußgeld belegt werden, wenn er die erforderliche Aufsicht über die datenschutzkonforme Organisation des Unternehmens unterlassen hat. Das ist keine abstrakte Theorie: Aufsichtsbehörden in Deutschland haben in der Vergangenheit bei schwerwiegenden, systemischen Verstößen auch natürliche Personen ins Visier genommen.
Für inhabergeführte Mittelstandsunternehmen bedeutet das: Die Datenschutz-Compliance ist keine Delegationsaufgabe, die man vollständig aus der Geschäftsführerverantwortung heraushalten kann. Wer nachweisen kann, dass er ein funktionierendes internes Kontrollsystem für den Datenschutz eingerichtet, regelmäßige Schulungen durchgeführt und einen qualifizierten Datenschutzbeauftragten bestellt hat (soweit gesetzlich erforderlich), begründet den Sorgfaltsnachweis, der eine persönliche Haftung abwenden kann.
FAQ 8: Wann muss ein Datenschutzbeauftragter bestellt werden?
Die Pflicht zur Bestellung eines Datenschutzbeauftragten ergibt sich in Deutschland aus § 38 BDSG in Verbindung mit Art. 37 DSGVO. Im nicht-öffentlichen Bereich ist ein Datenschutzbeauftragter zu bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Diese Schwelle ist praxisnah: In einem mittelständischen Unternehmen ab etwa 30 bis 40 Mitarbeitern mit standardisierten IT-Systemen und CRM-Tools ist sie regelmäßig erreicht.
Darüber hinaus besteht die Pflicht unabhängig von der Mitarbeiterzahl, wenn bestimmte sensible Datenarten (Art. 9 DSGVO), umfangreiche Überwachung oder bestimmte gewerbsmäßige Tätigkeiten vorliegen. Die Nichtbestellung bei bestehender Pflicht ist ein eigenständiger Verstoß und kann im Rahmen eines Bußgeldverfahrens erschwerend gewertet werden.
FAQ 9: Was versteht man unter einem Auftragsverarbeitungsvertrag, und warum ist er bußgeldrelevant?
Ein Auftragsverarbeitungsvertrag (AVV) ist ein schriftlicher Vertrag nach Art. 28 DSGVO, den ein Unternehmen mit jedem Dienstleister abschließen muss, der in seinem Auftrag personenbezogene Daten verarbeitet – also Clouds, IT-Dienstleister, Lohnbuchhaltungssoftware, CRM-Anbieter, Marketingplattformen. Der AVV regelt, unter welchen Bedingungen der Dienstleister die Daten verarbeiten darf, und verpflichtet ihn auf die Weisungen des Auftraggebers.
Fehlt der AVV oder ist er inhaltlich unvollständig, liegt ein eigenständiger Verstoß gegen Art. 28 DSGVO vor – unabhängig davon, ob es zu einem Datenschutzvorfall gekommen ist. Behörden prüfen die Existenz und Qualität von AVVs regelmäßig im Rahmen von Kontrollverfahren. Nach unserer Erfahrung ist das Fehlen von AVVs mit Cloud-Dienstleistern einer der häufigsten Ausgangspunkte für Bußgeldverfahren im Mittelstand.
FAQ 10: Welche technischen und organisatorischen Maßnahmen (TOM) schützen vor Bußgeldern?
Art. 32 DSGVO verpflichtet Unternehmen, geeignete technische und organisatorische Maßnahmen (TOM) zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, regelmäßige Tests und Bewertungen der Sicherheitsmaßnahmen sowie Prozesse zur Wahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Systemen.
Im Bußgeldverfahren erfüllen dokumentierte TOM eine doppelte Funktion: Erstens belegen sie, dass das Unternehmen seiner Sorgfaltspflicht nachgekommen ist. Zweitens sind sie nach Art. 83 Abs. 2 lit. d DSGVO ein ausdrücklicher Milderungsgrund. Wer seine TOM in einem Verarbeitungsverzeichnis (Art. 30 DSGVO) und in einer technischen Dokumentation nachweisen kann, hat ein starkes Verteidigungsargument. Fehlt diese Dokumentation, kann auch eine faktisch funktionsfähige Sicherheitsarchitektur prozessual kaum nachgewiesen werden.
FAQ 11: Wie verhält man sich gegenüber der Behörde richtig – kooperieren oder verteidigen?
Kooperation und Verteidigung schließen sich nicht aus – im Gegenteil. Das DSGVO-Bußgeldrecht belohnt ausdrücklich die Zusammenarbeit mit der Behörde (Art. 83 Abs. 2 lit. f DSGVO). Kooperation bedeutet jedoch nicht, ungeprüft jeden Vorwurf zu bestätigen oder auf Verteidigungsrechte zu verzichten.
Die richtige Strategie ist eine proaktive, sachliche Kommunikation, die faktenbasiert entlastende Umstände hervorhebt, Abhilfemaßnahmen belegt und rechtliche Einwände präzise artikuliert. Eine Stellungnahme, die dem Unternehmen schadet, ist durch keine Kooperationspflicht geboten. Deswegen ist die anwaltliche Begleitung der gesamten Behördenkommunikation – von der ersten Stellungnahme bis zum Abschluss des Verfahrens – keine Option, sondern eine praktische Notwendigkeit.
FAQ 12: Welche Fristen und Verfahrensschritte sollten Geschäftsführer kennen?
Im Überblick gelten folgende verfahrensrechtlich bedeutsame Zeitrahmen: Die 72-Stunden-Frist zur Meldung einer Datenschutzverletzung nach Art. 33 DSGVO beginnt mit Kenntnis des Vorfalls. Auf ein Anhörungsschreiben der Behörde ist innerhalb der gesetzten Frist zu antworten – sie beträgt in der Praxis häufig zwei bis vier Wochen und ist nicht ohne weiteres verlängerbar. Ein Bußgeldbescheid kann innerhalb von zwei Wochen nach Zustellung mit dem Einspruch beim zuständigen Amtsgericht angefochten werden (§ 67 OWiG). Die allgemeine Verjährungsfrist für DSGVO-Ordnungswidrigkeiten richtet sich nach § 31 OWiG und beträgt bei Bußgeldern über einer bestimmten Höhe regelmäßig drei Jahre ab Tatbegehung.
Für den Geschäftsführer gilt: Jeder dieser Zeitpunkte ist ein Entscheidungspunkt, an dem das Verpassen einer Frist die Verhandlungsposition dauerhaft verschlechtert. Wer die 72-Stunden-Meldepflicht versäumt, riskiert einen Zusatzverstoß. Wer auf das Anhörungsschreiben nicht reagiert, verliert die Möglichkeit, entlastende Umstände einzubringen. Wer den Einspruch verpasst, akzeptiert den Bescheid als bestandskräftig.
Wichtig: Die genauen Fristen im Einspruchs- und Beschwerdeverfahren sind im Einzelfall anwaltlich zu prüfen; die vorstehenden Angaben dienen der Orientierung.
Verwandte Leistungen
Häufige Fragen auf einen Blick
Wie hoch kann ein DSGVO-Bußgeld für ein mittelständisches Unternehmen ausfallen?
Nach Art. 83 DSGVO sind je nach Verstoßkategorie Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes möglich – es gilt der höhere Betrag. Für den Mittelstand kann der prozentuale Rahmen bei umsatzstarken Unternehmen den Nominalbetrag deutlich übersteigen. Die Behörde ist jedoch verpflichtet, die wirtschaftliche Leistungsfähigkeit und die konkreten Umstände des Einzelfalls in die Bemessung einzubeziehen. Eine frühzeitige Stellungnahme mit dokumentierten Milderungsgründen kann den tatsächlich verhängten Betrag erheblich beeinflussen.
Kann ich als Geschäftsführer persönlich für ein DSGVO-Bußgeld haftbar gemacht werden?
Ja. Neben dem Unternehmen kann nach § 130 OWiG auch der Geschäftsführer persönlich sanktioniert werden, wenn er die erforderliche Aufsicht über die datenschutzkonforme Organisation unterlassen hat. Wer hingegen ein funktionierendes Datenschutzmanagementsystem nachweisen kann – dokumentierte TOM, Schulungen, qualifizierter Datenschutzbeauftragter – begründet den Sorgfaltsnachweis, der eine persönliche Haftung abwenden kann.
Was passiert, wenn ich auf das Anhörungsschreiben nicht reagiere?
Schweigt das Unternehmen auf ein behördliches Anhörungsschreiben, fehlen der Behörde entlastende Umstände für ihre Ermessensentscheidung. Die Behörde ist dann auf den ihr bekannten Sachverhalt beschränkt – und dieser enthält ausschließlich belastende Elemente. In der Praxis führt das regelmäßig zu höheren Bußgeldern, als bei einer sachgerechten Stellungnahme zu erwarten wäre. Die Reaktionsfrist ist kurz; anwaltliche Begleitung sollte unmittelbar nach Eingang des Schreibens eingeleitet werden.
Was ist der Unterschied zwischen einem Bußgeld nach Art. 83 Abs. 4 und Abs. 5 DSGVO?
Art. 83 Abs. 4 DSGVO erfasst organisatorische Pflichten – etwa Meldepflichten, Datenschutz-Folgenabschätzung, Auftragsverarbeitung – mit einem Rahmen von bis zu 10 Mio. € oder 2 % des Jahresumsatzes. Art. 83 Abs. 5 DSGVO gilt für schwerwiegendere Verstöße gegen Grundprinzipien (z. B. Rechtmäßigkeit, Zweckbindung) und Betroffenenrechte mit einem Rahmen von bis zu 20 Mio. € oder 4 %. Die Einordnung eines Verstoßes in den richtigen Rahmen ist ein wichtiges Verteidigungsargument.
Muss ich jeden Datenschutzverstoß der Behörde melden?
Nicht jeder Datenschutzverstoß löst eine Meldepflicht aus. Art. 33 DSGVO verlangt die Meldung binnen 72 Stunden nur bei einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Ist das Risiko voraussichtlich gering, entfällt die Behördenmeldung – jedoch nicht zwingend die interne Dokumentation. Die Risikoeinschätzung ist eine juristische Beurteilung, die im Zweifel anwaltlich vorgenommen werden sollte, da eine fehlerhafte Bewertung den Verstoß verschlimmern kann.
Wie lange dauert ein DSGVO-Bußgeldverfahren?
Ein Bußgeldverfahren kann wenige Monate bis über ein Jahr dauern, abhängig von der Komplexität des Sachverhalts, der Auslastung der Behörde und dem gewählten Rechtsmittelweg. Die behördliche Anhörungsphase allein kann mehrere Monate in Anspruch nehmen. Wer das Bußgeld anficht und das Verfahren vor das Amtsgericht bringt, muss mit weiteren Monaten rechnen. Für die Unternehmensplanung bedeutet das: Es ist ratsam, frühzeitig rechtlich zu prüfen, ob eine Einigung im behördlichen Verfahren einer gerichtlichen Auseinandersetzung vorzuziehen ist.
Hilft ein Datenschutz-Audit zur Bußgeldprävention?
Ein Datenschutz-Audit ist ein wirksames Instrument der Prävention und der Verteidigung. Es identifiziert Lücken im Verarbeitungsverzeichnis, bei Auftragsverarbeitungsverträgen und bei technischen und organisatorischen Maßnahmen, bevor die Behörde sie findet. Im Fall eines späteren Verfahrens belegt ein aktuelles Audit, dass das Unternehmen seiner Sorgfaltspflicht nachgekommen ist – ein ausdrücklicher Milderungsgrund nach Art. 83 Abs. 2 DSGVO. In der Mandatspraxis empfehlen wir ein Audit als Erstmaßnahme nach einem Eigentümerwechsel, einer wesentlichen IT-Umstellung oder nach Erhalt eines behördlichen Schreibens.
Welche Behörde ist für mein Unternehmen zuständig?
In Deutschland ist grundsätzlich die Datenschutzbehörde des Bundeslandes zuständig, in dem das Unternehmen seinen Sitz hat. Bundesweit oder grenzüberschreitend tätige Unternehmen können unter die Zuständigkeit der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) fallen, insbesondere wenn sie Stellen nach dem Telekommunikationsgesetz oder dem Postgesetz betreiben. Bei europäisch agierenden Unternehmen gilt das „One-Stop-Shop"-Prinzip der DSGVO – die federführende Behörde richtet sich nach der Hauptniederlassung in der EU.
Was sollte ich tun, wenn ein Beschäftigter eine Beschwerde bei der Behörde einreicht?
Eine Beschwerde durch einen Beschäftigten oder Kunden bei der Datenschutzbehörde ist häufig der Auslöser eines Bußgeldverfahrens. Die Behörde ist verpflichtet, der Beschwerde nachzugehen und den Beschwerdeführer über das Ergebnis zu informieren. Reagieren Sie nicht auf Beschwerden durch Druck auf den Beschwerdeführer – das kann eigenständige rechtliche Probleme auslösen. Leiten Sie stattdessen intern eine Sachverhaltsprüfung ein, dokumentieren Sie die ergriffenen Abhilfemaßnahmen und stimmen Sie alle Kommunikation mit der Behörde anwaltlich ab.
Die vorstehende Darstellung betrifft die Regelfälle des DSGVO-Bußgeldverfahrens. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der Fristen und der einschlägigen behördlichen Praxis. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.