Ein Brief der Datenschutzbehörde landet auf dem Schreibtisch des Geschäftsführers. Betreff: Einleitung eines Bußgeldverfahrens nach Art. 83 DSGVO. Was folgt, ist keine abstrakte Rechtsfrage, sondern eine konkrete Belastung: für die Liquidität, für die Reputation, für die persönliche Haftung der Unternehmensleitung. Viele Mittelständler unterschätzen in diesem Moment, wie wenig Zeit bleibt und wie viel auf dem Spiel steht.
Ein DSGVO-Bußgeld kann nach Art. 83 DSGVO bis zu 20 Millionen Euro oder bis zu 4 % des gesamten weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist. Behördliche Bußgeldverfahren lassen sich jedoch in vielen Konstellationen durch eine strukturierte anwaltliche Verteidigung eingrenzen, abwenden oder erheblich reduzieren. Entscheidend sind eine sachkundige Verfahrensführung, die fristgerechte Einbeziehung von Rechtsrat und die vollständige Aufarbeitung des zugrunde liegenden Sachverhalts.
Dieser Beitrag erläutert den Rechtsrahmen, die Abwehrinstrumente und die konkreten Schritte, die ein Geschäftsführer nach Eingang einer behördlichen Anhörung einleiten sollte.
Welche Bußgelder sieht Art. 83 DSGVO vor, und wie werden sie berechnet?
Art. 83 DSGVO bildet die zentrale Sanktionsnorm des europäischen Datenschutzrechts und differenziert in zwei Bußgeldrahmen. Verstöße gegen grundlegende Pflichten – etwa fehlerhafte Einwilligungseinholung, mangelhafte Auftragsverarbeitungsverträge oder unzureichende technische Schutzmaßnahmen – können im oberen Rahmen mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ausfällt. Der niedrigere Rahmen – bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes – gilt für formale Pflichtverletzungen, etwa bei der Dokumentation oder Meldepflicht.
Für den Mittelstand ist dieser Rahmen nicht abstrakt. Ein Unternehmen mit 50 Millionen Euro Jahresumsatz bewegt sich bereits in einem Risikobereich, in dem Bußgelder im siebenstelligen Bereich theoretisch möglich sind. Die Aufsichtsbehörden sind gesetzlich angehalten, bei der Bemessung zahlreiche Faktoren zu berücksichtigen: Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, getroffene Abhilfemaßnahmen, Kooperationsbereitschaft, Kategorien betroffener Daten und erlangter wirtschaftlicher Vorteil.
Genau hier setzt eine anwaltliche Strategie an. Jeder dieser Faktoren ist potenziell gestaltbar. In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen, die frühzeitig rechtlichen Beistand hinzuziehen und gegenüber der Behörde strukturiert kommunizieren, eine deutlich günstigere Ausgangssituation erzielen als solche, die unkoordiniert reagieren oder zunächst schweigen.
Wie läuft ein behördliches Bußgeldverfahren nach der DSGVO ab?
Ein DSGVO-Bußgeldverfahren beginnt nicht immer mit einer formellen Anhörung. Häufig steht am Anfang eine Anfrage der Aufsichtsbehörde, ein Beschwerdeeingang durch eine betroffene Person oder die behördliche Reaktion auf eine Datenpannenmeldung. Das Verfahren gliedert sich typischerweise in eine Ermittlungsphase, eine Anhörungsphase und – sofern die Behörde zur Überzeugung gelangt, dass ein sanktionswürdiger Verstoß vorliegt – den Erlass eines Bußgeldbescheids.
Die Anhörung nach § 55 OWiG ist der kritische Verfahrensabschnitt. Das Unternehmen hat das Recht, sich zu äußern – und zugleich das Recht zu schweigen. Welche Strategie vorzugswürdig ist, hängt vom Einzelfall ab: der Beweislage, den behördenintern bereits vorliegenden Informationen und dem Ausmaß des Verstoßes. Eine vorschnelle, unabgestimmte Stellungnahme kann Tatsachen festschreiben, die später schwer zu korrigieren sind.
Nach dem Bußgeldbescheid besteht die Möglichkeit des Einspruchs gemäß § 67 OWiG. Das Verfahren wird dann vor dem zuständigen Amtsgericht fortgeführt. In der Praxis bietet dieser Schritt häufig Raum für Verhandlungen – bis hin zu einer Einstellung gegen Auflage. Nach unserer Erfahrung ist die Einspruchsphase oft der entscheidende Hebelpunkt für eine Reduzierung der Sanktion.
Welche Abwehrmittel stehen einem Unternehmen konkret zur Verfügung?
Die Verteidigung gegen ein DSGVO-Bußgeld setzt auf mehreren Ebenen an, die ineinandergreifen müssen. Ein strukturierter Ansatz umfasst regelmäßig die folgenden Instrumente:
- Sachverhaltsaufklärung und interne Untersuchung: Vor jeder Kommunikation mit der Behörde muss der Sachverhalt intern vollständig aufgeklärt sein. Wer hat was wann veranlasst? Welche Systeme waren betroffen? Welche Daten wurden verarbeitet? Ohne diese Grundlage lässt sich keine kohärente Verteidigungsstrategie aufbauen.
- Begrenzung des Verfahrensgegenstands: Aufsichtsbehörden neigen dazu, den Ermittlungsrahmen weit zu ziehen. Eine anwaltliche Begleitung kann dazu beitragen, den behördlichen Fokus auf den ursprünglichen Auslöser zu beschränken und eine Ausweitung auf andere Verarbeitungstätigkeiten zu verhindern.
- Kooperationsstrategie: Art. 83 Abs. 2 lit. f DSGVO nennt die Kooperation mit der Behörde ausdrücklich als bußgeldmindernden Faktor. Kooperation bedeutet dabei nicht bedingungslose Offenlegung, sondern strategisch dosierte, anwaltlich begleitete Zusammenarbeit.
- Abhilfemaßnahmen dokumentieren: Wer noch während des laufenden Verfahrens nachweisbare technische und organisatorische Maßnahmen (TOMs) ergreift und dokumentiert, schafft ein strafmilderndes Argument, das die Behörde nach Art. 83 Abs. 2 lit. c DSGVO berücksichtigen muss.
- Einspruch und gerichtliche Überprüfung: Im Fall eines Bußgeldbescheids bietet der Einspruch nach § 67 OWiG die Möglichkeit, die Sachverhalts- und Rechtsfragen durch ein unabhängiges Gericht prüfen zu lassen. Das ist nicht das letzte Mittel – es ist ein regulärer, legitimer Rechtsbehelf.
Jede dieser Maßnahmen entfaltet nur dann volle Wirkung, wenn sie zeitlich koordiniert und mit der Behörde abgestimmt eingeleitet wird. Wer einzelne Bausteine isoliert einsetzt, verschenkt Potenzial.
Haftung der Geschäftsführung: Wie weit reicht das persönliche Risiko?
Ein DSGVO-Bußgeld richtet sich primär gegen das Unternehmen als juristische Person oder Personenvereinigung. Gleichwohl ist das persönliche Risiko der Geschäftsführung nicht gering. Denn datenschutzrechtliche Pflichten sind nach der gefestigten Rechtsprechung Leitungsaufgaben – ihre Vernachlässigung kann zivilrechtliche Innenhaftung gegenüber der Gesellschaft auslösen, wenn dem Unternehmen durch das behördliche Verfahren ein Schaden entsteht.
Darüber hinaus prüfen Aufsichtsbehörden in schwerwiegenden Fällen die persönliche Verantwortlichkeit von Leitungspersonen. In anderen EU-Mitgliedstaaten – etwa in Polen oder Spanien – ist die Bußgeldbehaftung natürlicher Personen bereits gelebte Praxis. Dass deutsche Behörden diesem Trend folgen, ist nicht ausgeschlossen.
Für Geschäftsführer im Mittelstand bedeutet dies: Die organisatorische Verantwortung für den Datenschutz ist keine delegierbare Formalität. Wer keinen oder einen nicht ausreichend ausgestatteten Datenschutzbeauftragten bestellt, wer keine nachweisbaren Schulungen durchführt oder keine aktuellen Verarbeitungsverzeichnisse vorhält, setzt sich einem erhöhten persönlichen Risiko aus. Ist ein Verfahren erst eingeleitet, ist die Frage nach dem Organisationsverschulden regelmäßig eine der ersten, die eine Behörde stellt.
Aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen mit rund 120 Beschäftigten. Ausgangslage: Eine ehemalige Mitarbeiterin hatte bei der Landesdatenschutzbehörde Beschwerde wegen unzulässiger Verarbeitung ihrer personenbezogenen Daten in einem CRM-System erstattet. Die Behörde leitete ein Verfahren ein und forderte umfangreiche Dokumentation an. Vorgehen: Die Kanzlei begleitete die interne Sachverhaltsaufklärung, erarbeitete eine strukturierte Stellungnahme im Anhörungsverfahren und dokumentierte parallel eingeleitete technische Schutzmaßnahmen. Ergebnis: Das Verfahren wurde ohne Erlass eines Bußgeldbescheids eingestellt; die Behörde erteilte lediglich eine Verwarnung. Hinweis: Das Ergebnis war von den Besonderheiten des Einzelfalls abhängig; eine Wiederholung ist nicht garantiert.
Welche Fristen sind im Bußgeldverfahren zu beachten?
Fristen sind im behördlichen Datenschutzverfahren an mehreren Stellen systemrelevant. Zunächst zur Datenpannenmeldung: Nach Art. 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Eine versäumte oder verspätete Meldung ist selbst ein bußgeldbewehrter Tatbestand und kann ein eigenständiges Verfahren auslösen – oder ein laufendes Verfahren erheblich verschärfen.
Im Bußgeldverfahren selbst ist die Reaktionsfrist auf die Anhörung nicht gesetzlich einheitlich festgelegt; die Behörde setzt eine Frist im Bescheid. Diese Frist ist faktisch bindend. Wer sie verstreichen lässt, ohne sich zu äußern, verzichtet auf die Möglichkeit, strafmildernde Umstände geltend zu machen. Nach Erlass des Bußgeldbescheids beträgt die Einspruchsfrist gemäß § 67 Abs. 1 OWiG zwei Wochen ab Zustellung.
Auch Auskunftsersuchen nach Art. 15 DSGVO haben eine interne Relevanz: Die Behörde kann aus der Bearbeitungszeit – grundsätzlich ein Monat nach Art. 12 Abs. 3 DSGVO – auf die Organisationsreife schließen. Wer systematisch Auskunftsersuchen verschleppt, liefert der Behörde Beweismaterial für strukturelle Mängel.
Was folgt aus dieser Fristenlage? Reaktionsfähigkeit muss im Unternehmen organisatorisch vorbereitet sein – nicht erst dann, wenn ein Verfahren bereits läuft. Ein datenschutzrechtliches Eskalationsprotokoll, das klar benennt, wer bei einem Behördenschreiben was und bis wann veranlasst, ist kein bürokratisches Übel, sondern ein handfestes Abwehrinstrument.
Wie lässt sich das Bußgeldrisiko strukturell begrenzen?
Präventiver Datenschutz ist keine Pflichtübung. Er ist eine unternehmerische Entscheidung mit direktem Einfluss auf das finanzielle Risikoprofil. Aufsichtsbehörden bewerten bei der Bußgeldbemessung nach Art. 83 Abs. 2 DSGVO ausdrücklich den Grad der Verantwortlichkeit unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen. Wer belegen kann, dass er eine strukturierte Datenschutzorganisation betrieben hat, steht im Verfahren in einer anderen Ausgangsposition als ein Unternehmen, das keine nachweisbaren Maßnahmen vorhalten kann.
Konkret bedeutet das für die Praxis:
- Verarbeitungsverzeichnis nach Art. 30 DSGVO vollständig und aktuell halten – es ist das erste Dokument, das eine Behörde anfordert.
- Datenschutzbeauftragter (sofern nach Art. 37 DSGVO oder § 38 BDSG benannt werden muss oder freiwillig bestellt): mit ausreichenden Ressourcen und Zugang zur Unternehmensleitung ausstatten.
- Auftragsverarbeitungsverträge mit allen Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten, nach Art. 28 DSGVO abschließen und regelmäßig aktualisieren.
- Technische Schutzmaßnahmen (TOMs) dokumentieren, regelmäßig überprüfen und an den Stand der Technik anpassen.
- Schulungsnachweise der Belegschaft aufbewahren – sie belegen, dass das Unternehmen Bewusstsein für Datenschutzpflichten aufgebaut hat.
Wann ist das Risikoprofil eines Unternehmens besonders erhöht? Wenn personenbezogene Daten in großem Maßstab verarbeitet werden, wenn besondere Kategorien von Daten nach Art. 9 DSGVO betroffen sind (Gesundheits-, Biometrie-, politische Daten) oder wenn Daten an Drittländer ohne angemessenes Schutzniveau übermittelt werden. In diesen Konstellationen sollte eine präventive Datenschutzprüfung nicht aufgeschoben werden.
Was tun, wenn die Behörde bereits tätig ist? Erste Schritte im Überblick
Wenn ein behördliches Schreiben eingeht – ob als Auskunftsersuchen, Anhörung oder bereits als Bußgeldbescheid –, zählen die nächsten 24 bis 48 Stunden. Das Unternehmen sollte unmittelbar folgende Schritte einleiten:
- Schreiben nicht beantworten, bevor Rechtsrat eingeholt wurde. Jede Äußerung gegenüber der Behörde kann verfahrenserheblich sein. Das gilt auch für vermeintlich harmlose Auskünfte.
- Interne Kommunikation sichern. E-Mails, Protokolle und technische Logs, die den relevanten Zeitraum betreffen, sollten unverzüglich gesichert werden.
- Sachverhalt intern aufklären. Wer war beteiligt? Welche Systeme, Verarbeitungen, Dienstleister? Welche Maßnahmen wurden bereits ergriffen?
- Anwaltlichen Beistand einschalten. Datenschutzrechtliche Bußgeldverfahren verbinden OWiG-Verfahrensrecht mit spezifischem DSGVO-Recht. Beides muss koordiniert beherrscht werden.
- Fristen notieren und einhalten. Sowohl die behördlich gesetzte Äußerungsfrist als auch eine eventuelle Einspruchsfrist von zwei Wochen nach Bußgeldbescheid sind strikt einzuhalten.
Nach unserer Erfahrung scheitert die Verteidigung in DSGVO-Bußgeldverfahren nicht am Fehlen von Argumenten, sondern an einem zu späten Start. Wer erst dann anwaltliche Beratung einholt, wenn ein Bescheid bereits erlassen ist, hat Spielraum verloren, der nicht zurückzugewinnen ist.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Sachverhalt erfordert die Prüfung der behördlichen Anforderungen, der bereits vorhandenen Dokumentation und der einschlägigen Verarbeitungstätigkeiten Ihres Unternehmens. Für eine erste anwaltliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufig gestellte Fragen: DSGVO-Bußgeld abwehren
Wie hoch kann ein DSGVO-Bußgeld für ein mittelständisches Unternehmen ausfallen?
Nach Art. 83 DSGVO beträgt der Bußgeldrahmen bei schwerwiegenden Verstößen bis zu 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für kleinere Verstöße gilt der niedrigere Rahmen von 10 Millionen Euro oder 2 % des Jahresumsatzes. Die tatsächliche Höhe hängt von einer Vielzahl von Faktoren ab, darunter die Schwere des Verstoßes, das Ausmaß der Kooperation und die ergriffenen Abhilfemaßnahmen. Eine anwaltliche Begleitung kann die maßgeblichen Bemessungsfaktoren aktiv beeinflussen.
Kann ein Unternehmen gegen einen DSGVO-Bußgeldbescheid vorgehen?
Ja. Nach Erlass eines Bußgeldbescheids steht der Einspruch nach § 67 OWiG zur Verfügung. Die Einspruchsfrist beträgt zwei Wochen ab Zustellung des Bescheids. Das Verfahren wird dann vor dem zuständigen Amtsgericht fortgeführt. In der Praxis bietet diese Phase häufig Raum für eine Reduzierung oder – in Einzelfällen – eine Einstellung des Verfahrens. Der Einspruch ist kein außerordentlicher Rechtsbehelf, sondern das reguläre Mittel der gerichtlichen Überprüfung.
Was sollte ein Geschäftsführer tun, wenn er eine behördliche Anhörung erhält?
Unmittelbar nach Eingang des behördlichen Schreibens sollte keine Antwort erteilt werden, ohne dass anwaltlicher Rat eingeholt wurde. Jede Äußerung kann verfahrenserheblich sein. Parallel dazu sollten interne Unterlagen gesichert, der Sachverhalt aufgeklärt und die behördlich gesetzte Äußerungsfrist notiert werden. Frühzeitiger Rechtsbeistand erweitert den Handlungsspielraum erheblich.
Mindert Kooperation mit der Datenschutzbehörde das Bußgeld?
Art. 83 Abs. 2 lit. f DSGVO nennt die Zusammenarbeit mit der Aufsichtsbehörde ausdrücklich als bußgeldmindernden Faktor. Kooperation bedeutet jedoch nicht, dass ein Unternehmen auf seine Verfahrensrechte verzichtet oder unkontrolliert Informationen preisgibt. Die richtige Dosis und Ausgestaltung der Kooperation sollte anwaltlich begleitet werden, um den Minderungseffekt zu maximieren, ohne den Verteidigungsrahmen zu verengen.
Ist der Datenschutzbeauftragte persönlich für Bußgelder verantwortlich?
Der Datenschutzbeauftragte (DSB) ist grundsätzlich nicht persönlich Adressat von DSGVO-Bußgeldern – diese richten sich gegen das Unternehmen. Allerdings kann eine unzureichende Ausstattung oder Einbindung des DSB als Indiz für ein Organisationsverschulden der Geschäftsführung gewertet werden. Die Verantwortung für die datenschutzrechtliche Compliance liegt bei der Unternehmensleitung; der DSB ist ein internes Kontrollorgan, kein Haftungsschild.
Wie lange hat eine Datenschutzbehörde Zeit, ein Bußgeld zu verhängen?
Die Verjährungsfrist für DSGVO-Bußgelder richtet sich nach den nationalen Vorschriften des OWiG. Im deutschen Recht beträgt die Verfolgungsverjährung für Ordnungswidrigkeiten grundsätzlich drei Jahre, sofern der Rahmen die Grenze von 15.000 Euro übersteigt. Bei DSGVO-Verstößen mit einem Bußgeldrahmen in Millionenhöhe gelten die längeren Fristen. Im Einzelfall ist die genaue Verjährungslage anwaltlich zu prüfen.
Die vorstehende Darstellung gibt einen strukturierten Überblick über Rechtslage und Verteidigungsoptionen. Ihr konkretes Verfahren erfordert die individuelle Prüfung des behördlichen Schreibens, Ihrer Verarbeitungstätigkeiten und der bereits eingeleiteten Maßnahmen. Zur Klärung, wie Sie ein laufendes Verfahren strukturiert angehen können, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.