Was sich geändert hat
- Der EDPB hat eine fünfstufige Methodik für Datenschutzbehörden entwickelt, um zu beurteilen, ob und wie Geldbussen nach der DSGVO zu verhängen sind.
- Der EDPB hat 14 Praxisbeispiele für Abhilfemassnahmen von Datenschutzbehörden veröffentlicht und eine öffentliche Konsultation zu den Geldbussen-Leitlinien bis zum 13. November 2026 gestartet.
- Der EDPB hat die Leitlinien zum Zusammenspiel zwischen dem Digital Services Act und der DSGVO für Vermittlungsdienstanbieter finalisiert.
Am 17. September 2026 verabschiedete der Europäische Datenschutzausschuss (EDPB) neue aufsichtsrechtliche Leitlinien zur Befugnis von Datenschutzbehörden (DPAs), Verwaltungsgeldbussen gemäss der Datenschutz-Grundverordnung (DSGVO) zu verhängen, sowie die Endfassung seiner Leitlinien zum Zusammenspiel zwischen dem Digital Services Act (DSA) und der DSGVO.
Die Leitlinienentwürfe zu Geldbussen etablieren eine harmonisierte fünfstufige Methodik für Datenschutzbehörden in der gesamten Europäischen Union:
1. Prüfung der Rechtsgrundlage: Die Datenschutzbehörden prüfen, ob der Verstoss direkt auf Grundlage der DSGVO oder nationaler Rechtsvorschriften (wie dem französischen Datenschutzgesetz / loi Informatique et Libertés) zu einer Geldbusse führen kann.
2. Haftung der Einrichtung: Die Datenschutzbehörden stellen fest, ob der untersuchte Verantwortliche oder Auftragsverarbeiter für die verletzte spezifische Bestimmung haftet.
3. Vorsätzlichkeit oder Fahrlässigkeit: Die Datenschutzbehörden beurteilen, ob der Verstoss vorsätzlich oder fahrlässig begangen wurde, da Verschulden eine Voraussetzung für die Verhängung einer Geldbusse ist.
4. Erschwerende und mildernde Umstände: Die Datenschutzbehörden bewerten die Umstände des Einzelfalls. Geringfügige Verstösse führen in der Regel zu einer Verwarnung statt zu einer Geldbusse, während bei nicht geringfügigen Verstössen die starke Vermutung besteht, dass eine Geldbusse verhängt wird.
5. Wirksamkeit, Verhältnismässigkeit und Abschreckung: Die Datenschutzbehörden prüfen, ob die Verhängung einer Geldbusse diese Kriterien erfüllt und ob Gründe für ein Abweichen vom Standardansatz vorliegen.
Die Orientierungshilfe erläutert ausserdem Abhilfemassnahmen im Rahmen der Durchsetzungsbefugnisse der Datenschutzbehörden — einschliesslich Verwarnungen, Rügen, Anordnungen zur Herstellung der Konformität, Einschränkungen oder Verbote der Verarbeitung sowie des Widerrufs von Zertifizierungen — und bietet 14 Praxisbeispiele. Interessenträger können während einer öffentlichen Konsultation bis zum 13. November 2026 Rückmeldungen zu diesen Geldbussen-Leitlinien einreichen.
Gleichzeitig nahm der EDPB nach einer öffentlichen Konsultation die Endfassung seiner Leitlinien zum Zusammenspiel zwischen dem DSA und der DSGVO an. Diese Leitlinien sollen eine einheitliche Anwendung beider Verordnungen fördern, insbesondere dort, wo DSA-Bestimmungen die Verarbeitung personenbezogener Daten durch Vermittlungsdienstanbieter (wie Internetdienstanbieter und Hosting-Plattformen) regeln und auf Begriffe sowie Definitionen der DSGVO Bezug nehmen.
Diese regulatorische Aktualisierung betrifft Verantwortliche, Auftragsverarbeiter und Vermittlungsdienstanbieter, die innerhalb der EU tätig sind oder Dienstleistungen für EU-Nutzer anbieten, direkt, indem sie die Vorhersehbarkeit bei der behördlichen Durchsetzung und der verordnungsübergreifenden Compliance erhöht.
Wer betroffen sein kann
Verantwortliche, Auftragsverarbeiter und Vermittlungsdienstanbieter (einschliesslich ISPs und Hosting-Anbieter), die den EU-Datenschutz- und Digitaldienstevorschriften unterliegen.
Grenzüberschreitender Kontext
Gilt in der gesamten Europäischen Union und betrifft ausländische sowie multinationale Unternehmen, die personenbezogene Daten von Personen mit Wohnsitz in der EU verarbeiten oder Vermittlungsdienste gemäss dem DSA erbringen.
Was als Nächstes zu prüfen ist
- Prüfen Sie die Leitlinienentwürfe zu Geldbussen und reichen Sie Ihre Stellungnahme vor Ablauf der Frist der öffentlichen Konsultation am 13. November 2026 ein.
- Untersuchen Sie die 14 vom EDPB veröffentlichten Praxisbeispiele zu den Abhilfemassnahmen der Datenschutzbehörden.
- Bewerten Sie die operative Compliance unter den finalisierten EDPB-Leitlinien zum Zusammenspiel von DSA und DSGVO.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.