Was sich geändert hat
- Der EDPB hat eine standardisierte fünfstufige Methodik für Datenschutzbehörden festgelegt, wenn diese darüber entscheiden, ob Geldbussen gemäss DSGVO verhängt werden.
- Der EDPB hat finale Leitlinien fertiggestellt, die das Zusammenspiel zwischen dem Gesetz über digitale Dienste (DSA) und der DSGVO für Vermittlungsdienstanbieter behandeln.
- Die neuen Leitlinien zur Bussgeldmethodik ersetzen die Artikel-29-Datenschutzgruppe-Leitlinien (WP29) und stehen bis zum 13. November 2026 zur öffentlichen Konsultation.
Während seiner Plenartagung in Brüssel hat der Europäische Datenschutzausschuss (EDPB) neue Leitlinien verabschiedet, die darauf ausgerichtet sind, die Ausübung der Abhilfebefugnisse der Datenschutzbehörden in der gesamten Europäischen Union aneinander anzugleichen, insbesondere hinsichtlich von Geldbussen gemäss der Datenschutz-Grundverordnung (DSGVO). Parallel dazu hat der EDPB seine Leitlinien zum Zusammenspiel zwischen dem Gesetz über digitale Dienste (DSA) und der DSGVO fertiggestellt.
Die neu verabschiedeten Leitlinien zu Geldbussen legen eine fünfstufige Methodik für Datenschutzbehörden fest:
1. Rechtsgrundlage: Die Datenschutzbehörde prüft, ob der Verstoss direkt gemäss DSGVO oder nationalem Recht zu einer Geldbusse führen kann.
2. Haftung: Die Datenschutzbehörde ermittelt, ob der Verantwortliche oder der Auftragsverarbeiter haftet, basierend darauf, wer an die verletzte Bestimmung gebunden ist.
3. Verschulden: Die Datenschutzbehörde beurteilt, ob der Verstoss vorsätzlich oder fahrlässig begangen wurde, da für die Verhängung einer Geldbusse ein Verschulden erforderlich ist.
4. Erschwerende und milderne Umstände: Bei geringfügigen Verstössen kann stattdessen eine Verwarnung ausgesprochen werden; bei nicht geringfügigen Verstössen besteht die starke Vermutung, dass eine Geldbusse verhängt werden sollte.
5. Wirksamkeit, Verhältnismässigkeit und Abschreckung: Die Datenschutzbehörde stellt fest, ob die Geldbusse diesen Standards entspricht und ob eine Abweichung von der Standardpraxis gerechtfertigt ist.
Diese Leitlinien ersetzen die bisherigen Leitlinien der Artikel-29-Datenschutzgruppe (WP29) zur Festsetzung von Geldbussen gemäss der Verordnung (EU) 2016/679 und ergänzen die Leitlinien zur Berechnung von Geldbussen. Sie bieten ausserdem einen Überblick und praktische Beispiele für Abhilfemassnahmen, einschliesslich Warnungen, Verwarnungen, Anordnungen, Beschränkungen, Verboten und dem Widerruf von Zertifizierungen. Interessenträger können diese Leitlinien im Rahmen einer öffentlichen Konsultation kommentieren, die am 13. November 2026 endet.
Darüber hinaus hat der EDPB im Anschluss an eine öffentliche Konsultation die Leitlinien zum Zusammenspiel zwischen dem DSA und der DSGVO fertiggestellt. Diese unterstützen eine einheitliche Durchsetzung in Fällen, in denen DSA-Regeln die Verarbeitung personenbezogener Daten durch Vermittlungsdienstanbieter betreffen und auf DSGVO-Konzepte Bezug nehmen.
Das Update hebt laufende Durchsetzungsmassnahmen der Datenschutzbehörden hervor, wie z. B. die Verhängung einer Geldbusse in Höhe von 403 000 000 EUR gegen Google durch die irische Datenschutzkommission, eine Geldbusse von 100 000 EUR gegen Securitas Direct durch die spanische Datenschutzbehörde und eine Geldbusse von 300 000 EUR gegen EXTIA durch die französische CNIL.
Wer betroffen sein kann
Verantwortliche, Auftragsverarbeiter, Vermittlungsdienstanbieter, Rechtsberater und Compliance-Beauftragte, die in der Europäischen Union tätig sind oder dort Dienstleistungen anbieten.
Grenzüberschreitender Kontext
Gilt in allen EU-Mitgliedstaaten und hat direkte Auswirkungen auf ausländische oder multinationale Unternehmen, einschliesslich Schweizer, chinesischer und globaler Unternehmen, die personenbezogene Daten von Personen in der EU verarbeiten oder dem DSA unterliegende Vermittlungsdienste erbringen.
Was als Nächstes zu prüfen ist
- Verfolgen Sie den öffentlichen Konsultationsprozess des EDPB zu den Bussgeld-Leitlinien vor dem Ablauf der Frist am 13. November 2026.
- Überprüfen Sie die finalen EDPB-Leitlinien zum Zusammenspiel von DSA und DSGVO auf betriebliche Auswirkungen für Vermittlungsdienstanbieter.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.