Die Verwarnung ist kein Freispruch

Dieser Satz beendet Diskussionen. Der Vorgang wird geschlossen, das Schreiben abgelegt, die Geschäftsführung erfährt, dass es kein Bußgeld gegeben hat. Danach passiert meist nichts mehr: keine Nachdokumentation, keine Aufnahme in ein Register, keine Prüfung, ob ein Rechtsbehelf sinnvoll wäre.

Zwei Jahre später folgt ein zweites Verfahren: anderes Thema, dieselbe Behörde. Jetzt liegt das abgelegte Schreiben wieder auf dem Tisch – als vorangegangener Verstoß, als Nachweis der Kenntnis, als Beleg dafür, dass das Unternehmen gewarnt war. Was intern als Erleichterung verbucht wurde, wirkt nun als Vorbelastung.

Der Europäische Datenschutzausschuss hat am 17. September 2026 ein Dokument angenommen, das genau diese Mechanik ordnet – und dabei an mehreren Stellen strenger ist, als die Praxis es bisher gelesen hat.

Worum es geht: die Leitlinien 04/2026

Die Leitlinien 04/2026 des Europäischen Datenschutzausschusses beantworten nicht die Frage, wie hoch ein Bußgeld ausfällt. Dafür gibt es seit 2022 die Berechnungsleitlinien. Die neuen Leitlinien beantworten die vorgelagerte Frage: ob überhaupt ein Bußgeld verhängt wird – und in welchem Verhältnis es zu den übrigen Abhilfebefugnissen des Art. 58 Abs. 2 DSGVO steht.

Drei Angaben zur Einordnung:

• Konsultationsfassung, nicht Endstand. Angenommen am 17. September 2026, seit dem 21. September 2026 in der öffentlichen Konsultation. Stellungnahmen sind bis zum 13. November 2026 möglich (Konsultationsverfahren des Ausschusses).
• WP253 ist erledigt. Die Leitlinien ersetzen die alten Leitlinien der Artikel-29-Datenschutzgruppe vollständig. Wer in internen Unterlagen, Schulungen oder Risikobewertungen noch WP253 zitiert, zitiert ein aufgehobenes Dokument.
• Adressat sind die Behörden, nicht Sie. Die Aufsicht nutzt die Leitlinien, um ihre Entscheidungen zu begründen. Für Unternehmen sind sie deshalb keine Rechtsnorm, aber die verlässlichste Vorschau darauf, wie das nächste Verfahren geführt wird.

Dieser erste Teil der Serie behandelt Kapitel 3 der Leitlinien: das Verhältnis der Durchsetzungsmittel zueinander. Die folgenden Teile befassen sich mit den fünf Prüfungsschritten, dem Begriff des geringfügigen Verstoßes und dem Verfahren.

Die Begriffsfalle, die im Deutschen eingebaut ist

Zuerst ein Missverständnis, das der deutsche Verordnungstext selbst anlegt – und das in der Praxis regelmäßig zu falschen Schlüssen führt.

Art. 58 Abs. 2 DSGVO kennt zwei ähnlich klingende Instrumente:

• Die Warnung (lit. a) ergeht vor dem Verstoß. Die Behörde teilt mit, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die Verordnung verstoßen werden. Ein Verstoß ist noch nicht eingetreten.
• Die Verwarnung (lit. b) ergeht nach dem Verstoß. Die Behörde stellt fest, dass Verarbeitungsvorgänge gegen die Verordnung verstoßen haben. Der Verstoß ist festgestellt.

Dieser Unterschied ist nicht sprachlicher Natur. Er entscheidet darüber, ob ein Bußgeld überhaupt möglich ist. Verwechselt wird er trotzdem ständig, und das hat einen Grund: Das englische Original unterscheidet „warning“ und „reprimand“, zwei klar verschiedene Wörter. Im Deutschen stehen dort zwei Varianten desselben Wortstamms.

Dazu kommt eine dritte Quelle der Verwirrung. Das Ordnungswidrigkeitenrecht kennt in § 56 OWiG die Verwarnung mit Verwarnungsgeld: die kleine Erledigung ohne Bußgeldbescheid. Im Datenschutzrecht gibt es dieses Instrument nicht, denn § 41 Abs. 2 BDSG nimmt die §§ 56 bis 58 OWiG ausdrücklich aus. Wer die Verwarnung der Datenschutzbehörde für das Pendant zum Verwarnungsgeld im Straßenverkehr hält, irrt deshalb doppelt: Es gibt kein Geld zu zahlen – und keine Bagatellerledigung.

Halten Sie deshalb in jedem internen Vermerk auseinander, welches der drei Instrumente gemeint ist. Die Rechtsfolgen sind grundverschieden.

Was der EDSA zum Verhältnis der Mittel sagt

Der Ausschuss ordnet die Abhilfebefugnisse nach ihrem Zweck, nicht nach ihrer Schwere. Das ist der Schlüssel zum gesamten Kapitel.

Ein Teil der Mittel soll einen rechtmäßigen Zustand herstellen: die Anordnungen, einem Betroffenenrecht nachzukommen, die Verarbeitung in Einklang zu bringen, zu löschen, zu berichtigen, eine Datenpanne zu melden, Datenflüsse in ein Drittland auszusetzen. Ein anderer Teil soll ahnden und abschrecken. Dazu gehört das Bußgeld, das nach der Rechtsprechung des Gerichtshofs eine repressive Funktion hat (EuGH, C-667/21, Krankenversicherung Nordrhein).

Aus dieser Zweiteilung folgt eine Reihe konkreter Aussagen. Nicht alle sind intuitiv.

Warnung und Bußgeld schließen sich aus

Weil die Warnung eine noch nicht erfolgte Verarbeitung betrifft, fehlt es an der Grundvoraussetzung des Bußgelds – einem festgestellten Verstoß. Für dasselbe Verhalten kann neben einer Warnung kein Bußgeld verhängt werden, und nach Auffassung des Ausschusses auch keine andere Abhilfemaßnahme (Rn. 22, 23). Die Warnung hat eine Sonderstellung.

Für verschiedene Verhaltensweisen gilt das nicht

Der Ausschuss illustriert das mit einem Beispiel, das man sich merken sollte: Ein Unternehmen kündigt ein KI-System zur Produktivitätsbewertung von Beschäftigten an, erhält dafür eine Warnung, führt das System trotzdem ein – und kündigt zusätzlich ein System zur Emotionsanalyse per Gesichtsausdruck und Stimme an. Ergebnis: Bußgeld für das eingeführte System, Warnung für das angekündigte. Beides in einer Entscheidung (Rn. 23, Beispiel 1 der Leitlinien).

Wer eine Warnung ignoriert, liefert den Vorsatz

Setzt das Unternehmen die Verarbeitung trotz Warnung um, spricht das nach Rn. 24 für Vorsatz. Das ist die praktisch folgenreichste Passage des Kapitels, denn Vorsatz oder Fahrlässigkeit ist Voraussetzung des Bußgelds und gleichzeitig erschwerender Umstand bei seiner Bemessung.

Verwarnung und Bußgeld teilen den Zweck

Beide wirken abschreckend. Deshalb sei es in der Regel nicht erforderlich, für denselben Verstoß beides auszusprechen – ausgeschlossen ist die Kombination aber ausdrücklich nicht (Rn. 25).

Die Verwarnung ist das Mittel für den geringfügigen Verstoß

Erwägungsgrund 148 der DSGVO nennt zwei Fälle, in denen statt eines Bußgelds eine Verwarnung ergehen kann: den geringfügigen Verstoß und die unverhältnismäßige Belastung einer natürlichen Person. Der Ausschuss erweitert das auf juristische Personen und auf öffentliche Stellen, gegen die nach nationalem Recht keine Bußgelder verhängt werden dürfen (Rn. 26).

Anordnungen und Bußgeld lassen sich frei kombinieren

Weil Anordnungen den Zustand herstellen und nicht ahnden, steht der zusätzlichen Verhängung eines Bußgelds nichts entgegen. Und umgekehrt: Auch ohne Anordnung bleibt die Pflicht bestehen, die Verarbeitung in Einklang mit der Verordnung zu bringen (Rn. 30). Ein Bußgeld ist kein Freikauf.

Beschränkungen und Verbote ebenso – mit einer Ausnahme

Bezieht sich ein Verbot auf eine künftige Verarbeitung, bei der ein Verstoß noch nicht festgestellt ist, gilt dieselbe Logik wie bei der Warnung. Dann kein Bußgeld für dasselbe Verhalten (Rn. 34). Der Entzug einer Zertifizierung ist demgegenüber mit einem Bußgeld oder einer Verwarnung kombinierbar (Rn. 36).

Kritische Einordnung: vier Punkte

Die Leitlinien sind sorgfältig gearbeitet. An vier Stellen halte ich sie für angreifbar oder jedenfalls für folgenreicher, als ihr sachlicher Ton vermuten lässt.

1. Die Verwarnung wird als mildes Mittel dargestellt und wirkt wie ein Vorstrafenregister

Der Ausschuss behandelt die Verwarnung im Verhältnis zum Bußgeld als das schwächere Instrument. Aus Sicht des Empfängers ist das nur die halbe Wahrheit. Die Verwarnung setzt eine Feststellung voraus: Ihre Verarbeitung hat gegen die Verordnung verstoßen. Diese Feststellung ist schriftlich, behördlich und, wenn sie nicht angegriffen wird, dauerhaft.

Was daraus folgt, steht nicht in Kapitel 3, sondern verteilt in der Verordnung – und trifft Sie an vier Stellen:

• Erschwerender Umstand im Folgeverfahren. Die Verwarnung ist ein früherer Verstoß im Sinne des Art. 83 Abs. 2 lit. e DSGVO.
• Nachweis der Kenntnis. Bei einem gleichartigen zweiten Vorfall verschiebt sie die Grenze zwischen Fahrlässigkeit und Vorsatz.
• Argument im Zivilprozess. Als behördliche Feststellung hilft sie dem Kläger im Verfahren um Schadensersatz nach Art. 82 DSGVO – er muss den Verstoß nicht selbst beweisen.
• Angabe in Fragebögen. Lieferantenfragebögen, Due-Diligence-Prozesse und Cyber-Versicherungsanträge fragen nach behördlichen Feststellungen, nicht nach Bußgeldern.

Wer eine Verwarnung als erledigt ablegt, trifft also eine Entscheidung mit Langzeitwirkung, ohne sie als Entscheidung zu erkennen. Die Verwarnung ist ein Verwaltungsakt. Es gibt eine Rechtsbehelfsfrist. Sie läuft, während der Vorgang intern als abgeschlossen gilt.

2. Aus dem Fehlen mildernder Umstände wird ein Grund zum Bußgeld

Die Leitlinien bauen die Entscheidung in fünf Schritten auf. Schritt 4 fragt, ob die Faktoren des Art. 83 Abs. 2 DSGVO auf einen geringfügigen Verstoß hindeuten. Dann folgt der Satz, der die Argumentationslast praktisch umdreht: Ist der Verstoß nicht geringfügig, besteht eine starke Vermutung für ein Bußgeld (Rn. 57).

Diese Vermutung steht so nicht in Art. 83 DSGVO. Die Norm listet Faktoren auf, die zu berücksichtigen sind (EuGH, C-383/23, ILVA), und Erwägungsgrund 148 nennt den geringfügigen Verstoß als Fall, in dem eine Verwarnung ergehen kann. Beim Ausschuss wird aus der Ausnahme eine Regel mit Umkehrschluss: Wer nicht in die Ausnahme fällt, wird bebußt. Der Ausschuss relativiert das selbst noch – in Einzelfällen könne auch bei einem geringfügigen Verstoß ein Bußgeld ergehen, und in anderen Fällen könne auf jede Abhilfemaßnahme verzichtet werden (Rn. 115, 116). Die Struktur bleibt aber.

Für die Praxis ist die rechtsdogmatische Frage zweitrangig. Entscheidend ist die Folge: Die Argumentation um die Geringfügigkeit ist der einzige Punkt, an dem das Bußgeld regelhaft vermieden wird, und sie findet im laufenden Verfahren statt. Was dort nicht auf dem Tisch liegt – getroffene Abhilfemaßnahmen, Zusammenarbeit, Schadensminderung –, wird später nicht mehr berücksichtigt.

3. Der Vorsatz aus der ignorierten Warnung ist ein zweischneidiges Instrument

Dass die Nichtbefolgung einer Warnung für Vorsatz spricht, ist nachvollziehbar. Der Ausschuss zieht daraus aber eine zweite Folgerung, die sich vom Wortlaut weiter entfernt: Die Nichtbefolgung könne als Nichteinhaltung einer früher gegen den Verantwortlichen angeordneten Maßnahme im Sinne des Art. 83 Abs. 2 lit. i DSGVO gewertet werden (Rn. 24).

Eine Warnung ordnet nichts an. Sie ist ein Hinweis auf eine beabsichtigte Verarbeitung, deren Rechtmäßigkeit die Behörde noch nicht ermittelt hat – das sagen die Leitlinien selbst in Rn. 23. Sie gleichzeitig als angeordnete Maßnahme zu behandeln, überdehnt den Begriff der Anordnung. Im Ergebnis werden aus einem Schreiben zwei erschwerende Umstände.

Praktisch folgt daraus etwas Unangenehmes für die Konsultation nach Art. 36 DSGVO. Wer die Aufsicht vorab einbindet, tut das Richtige. Endet die Einbindung mit einer Warnung und entscheidet sich das Unternehmen trotzdem für die Verarbeitung, hat es sich einen dokumentierten Vorsatzvorwurf eingekauft. Das darf kein Argument gegen die Konsultation sein. Es ist aber ein Argument dafür, die Entscheidung nach einer Warnung sorgfältig zu begründen und diese Begründung aufzubewahren.

4. Für öffentliche Stellen in Deutschland ist die Verwarnung die Sanktion

§ 43 Abs. 3 BDSG bestimmt, dass gegen Behörden und sonstige öffentliche Stellen keine Geldbußen verhängt werden. Der Ausschuss nimmt darauf Rücksicht und lässt die Verwarnung ausdrücklich als Ersatzinstrument zu (Rn. 26).

Das bedeutet für Kommunen, Landesbehörden, Sparkassen, Hochschulen und öffentliche Krankenhäuser: Das einzige Sanktionsinstrument, das sie regelmäßig treffen wird, ist genau dasjenige, das in der Praxis als harmlos gilt. Eine Risikobewertung, die Datenschutzrisiken über erwartete Bußgeldhöhen bewertet, kommt dort zwangsläufig auf null – und übersieht Anordnungen, Beschränkungen bis zum Verarbeitungsverbot und die Reputationswirkung der Feststellung.

Wie verbindlich sind diese Leitlinien?

Bei jeder neuen Leitlinie geht ein Punkt unter: Der Europäische Datenschutzausschuss ist ein Gremium der Aufsichtsbehörden. Er ist nicht Gesetzgeber und nicht Gericht. Leitlinien sind Dokumente der Exekutive – Selbstbindung der Verwaltung, nicht Recht.

Nach außen binden sie niemanden. Nach innen strukturieren sie die Praxis der Behörden, und über den Kooperations- und Kohärenzmechanismus gewinnen sie in grenzüberschreitenden Fällen erhebliches Gewicht. Der Ausschuss sagt das selbst mit erfreulicher Deutlichkeit: Die Leitlinien entbinden die Aufsichtsbehörden nicht von ihren Verfahrenspflichten, insbesondere nicht von der Pflicht, ihre Entscheidungen hinreichend zu begründen. Der bloße Verweis auf die Leitlinien kann die Begründung im Einzelfall nicht ersetzen (Rn. 12).

Dieser Satz ist für die Verteidigung wertvoller, als er aussieht. Er nimmt der Begründung „so steht es in den Leitlinien“ die Tragfähigkeit.

Deutsche Gerichte sind deutlich zurückhaltender als die Aufsicht

Noch wichtiger ist, was nach einem Einspruch passiert: Die Sache verlässt den Verwaltungsweg vollständig. Nach § 41 BDSG gelten die Vorschriften des Ordnungswidrigkeitengesetzes. Bei einer Geldbuße über 100.000 Euro entscheidet erstinstanzlich das Landgericht; die Rechtsbeschwerde geht zum Oberlandesgericht, nicht zum Bundesgerichtshof (BGH, Beschluss vom 24. Juni 2025 – 6 AR 1/25).

Das Gericht überprüft dabei nicht das Ermessen der Behörde. Es setzt die Geldbuße selbst fest, nach eigener Überzeugung, tat- und schuldangemessen. Die Methodik des Ausschusses ist in diesem Verfahren ein Argument, kein Maßstab.

Wie weit Behörde und Gericht auseinanderliegen, zeigen drei Verfahren:

In allen drei Fällen wurde der Verstoß im Kern bestätigt und die Höhe um mehr als 90 Prozent reduziert. Im Berliner Verfahren nannte der Kammervorsitzende dafür einen Grund, der für jede Verteidigung interessant ist: Die Behörde habe Schwierigkeiten gehabt, den Ist-Zustand gerichtsfest zu dokumentieren.

Das ist keine Ermutigung zum Rechtsbehelf um jeden Preis. Im Berliner Fall lagen zwischen Bescheid und Urteil knapp sieben Jahre, und auch das ist ein Preis. Es ist aber ein Argument dafür, die Vermutungswirkung aus Rn. 57 nicht als Prognose des Ergebnisses zu lesen, sondern als Prognose des behördlichen Ausgangspunkts.

Auch die deutschen Aufsichtsbehörden lesen Erwägungsgrund 148 anders

Die Gegenposition steht nicht nur in der Literatur. Die Datenschutzkonferenz hat in ihrer Stellungnahme vom 5. Januar 2023 zum Verfahren Deutsche Wohnen ausdrücklich festgehalten: Die Bebußung ist kein Automatismus. Die Aufsichtsbehörden können auch bei einem objektiven Verstoß von einer Geldbuße absehen und stattdessen eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO erteilen – insbesondere bei geringfügigen Verstößen.

Und der Gerichtshof selbst hat in der Sache Land Hessen entschieden, dass die Aufsichtsbehörde nicht verpflichtet ist, in jedem Fall eines Verstoßes eine Abhilfemaßnahme zu ergreifen – und insbesondere nicht, in jedem Fall eine Geldbuße zu verhängen (EuGH, Urteil vom 26. September 2024 – C-768/21).

Die deutsche Literatur liest Erwägungsgrund 148 im Verhältnis von Verwarnung und Geldbuße teilweise deutlich unternehmensfreundlicher als die Leitlinien: als Regel, die bei geringfügigen Verstößen zur Verwarnung führt, und nicht als enge Ausnahme von einer Vermutung für das Bußgeld. Gegen diese Lesart steht Rn. 57. Für sie stehen der Wortlaut des Erwägungsgrundes, die Rechtsprechung zum Ermessen und die Position der deutschen Aufsichtsbehörden selbst.

Wer in einem Verfahren steht, sollte diese Spannung nicht ungenutzt lassen – und zwar schriftlich, im Verfahren, mit Fundstelle.

Zwei Verfahrensstränge, die nicht verwechselt werden dürfen

Die Leitlinien behandeln alle Abhilfemaßnahmen und das Bußgeld in einem Atemzug, weil sie aus einer Norm stammen. In Deutschland laufen sie über zwei vollständig getrennte Verfahren mit zwei Rechtswegen, zwei Gerichtsbarkeiten und zwei unterschiedlichen Rechtsstellungen des Betroffenen.

Der verwaltungsrechtliche Strang. Warnung, Verwarnung, Anordnung, Beschränkung und Verarbeitungsverbot ergehen als Verwaltungsakt. Rechtsschutz ist die Anfechtungsklage vor dem Verwaltungsgericht, je nach Landesrecht nach einem Widerspruch. Die Frist beträgt einen Monat. Dass solche Bescheide dort auch scheitern, zeigt etwa das Verwaltungsgericht Köln, das einen Verwarnungsbescheid an der Adressatenstellung gemessen hat: Taugliche Adressatin einer Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO ist nur, wer zum Zeitpunkt des Erlasses noch Verantwortlicher oder Auftragsverarbeiter der monierten Verarbeitung ist (VG Köln, Urteil vom 17. Juli 2025 – 13 K 1419/23).

Der ordnungswidrigkeitenrechtliche Strang. Der Bußgeldbescheid folgt dem Ordnungswidrigkeitenrecht. Einspruch binnen zwei Wochen, danach entscheidet das Amtsgericht oder – bei mehr als 100.000 Euro – das Landgericht, anschließend das Oberlandesgericht. Hier gilt kein Verwaltungsprozessrecht, sondern sinngemäß das OWiG und die Strafprozessordnung, einschließlich des Rechts, sich nicht selbst zu belasten.

Genau an dieser Grenze entsteht das praktische Problem, denn in der Auskunfts- und Mitwirkungsphase gegenüber der Aufsicht gilt dieses Recht so nicht. Was Sie im kooperativen Strang vortragen, kann im Bußgeldstrang in der Akte liegen. Geschützt ist nur ein schmaler Bereich: Eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 Abs. 1 DSGVO darf nach § 43 Abs. 4 BDSG in einem Verfahren nach dem Ordnungswidrigkeitengesetz gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden. Für alles andere gilt dieser Schutz nicht.

Die in Aussicht gestellte Verwarnung ist keine Entscheidung

Aus der Beratungspraxis kenne ich Fälle, in denen eine Aufsichtsbehörde eine Verwarnung in Aussicht gestellt hat, auf Verwaltungsebene aber nie entschieden wurde – und am Ende unmittelbar ein Bußgeld erging.

Das ist verfahrensrechtlich nicht überraschend, aber in der Wirkung unterschätzt. Eine Ankündigung ist kein Verwaltungsakt. Es gibt nichts, was Bestandskraft entfalten könnte, nichts, was angegriffen werden müsste, und keinen Vertrauensschutz, auf den Sie sich später berufen könnten. Der Wechsel in den Bußgeldstrang setzt keinen formalen Zwischenschritt im Verwaltungsverfahren voraus.

Vier Konsequenzen daraus:

• Ankündigung ist kein Ergebnis. Fragen Sie nach, ob eine Entscheidung ergeht, und bitten Sie um deren schriftliche Fassung.
• Beide Stränge sind offen. Gehen Sie vom ersten Kontakt an davon aus und stimmen Sie danach ab, was Sie schreiben. Kooperation bleibt ein mildernder Faktor – sie ersetzt aber keine Abstimmung darüber, was eingeräumt wird.
• Protokollieren, wer wann was in Aussicht gestellt hat. Bindend ist das nicht. Als Argument zur Verhältnismäßigkeit und zur Verfahrensführung ist es trotzdem brauchbar, insbesondere vor dem Gericht, das ohnehin neu entscheidet.
• Rollen trennen. Mitwirkung im Verwaltungsverfahren und Verteidigung im Bußgeldverfahren folgen unterschiedlichen Logiken. Wer beides in derselben Person und ohne Freigabe erledigt, entscheidet unbewusst über die Verteidigungslinie.

Warum das auch ohne laufendes Verfahren zählt

Die Leitlinien verändern nicht das materielle Recht. Sie verändern, wie die Aufsicht ihre Entscheidung begründet – und damit, welche Unterlagen im Verfahren wirken.

Der entscheidende Moment verschiebt sich nach vorn. Nicht die Höhe des Bußgelds wird verhandelt, sondern die Einordnung des Verstoßes. Diese Einordnung stützt sich auf Umstände, die vor dem Verfahren entstanden sind: ob es ein Verarbeitungsverzeichnis gab, ob Maßnahmen dokumentiert sind, ob frühere Beanstandungen abgearbeitet wurden, ob es eine nachweisbare Reaktion auf einen Hinweis der Aufsicht gab. Hinzu kommt die Zurechnungsfrage, die der Gerichtshof in Deutsche Wohnen (C-807/21) geklärt hat und die Gegenstand von Teil 2 dieser Serie ist.

Anders gesagt: Sie können im Verfahren nur vorlegen, was Sie vorher erzeugt haben – und nur einordnen, was Sie vorher aufbewahrt haben. Bei Verwarnungen und Abschlussschreiben fehlt beides in den meisten Organisationen, weil sie als Erledigung verbucht werden und nicht als Vorgang mit Nachwirkung.

Was jetzt zu tun ist: acht Punkte

1. Aufsichtspost richtig klassifizieren. Legen Sie fest, dass jedes Schreiben einer Datenschutzbehörde beim Eingang eingeordnet wird: Warnung, Verwarnung, Anordnung, Anhörung oder Auskunftsersuchen. Die Einordnung entscheidet über Frist, Rechtsbehelf und Sofortmaßnahme. Sie darf nicht vom Bearbeiter im Postlauf abhängen.

2. Ein Register der Aufsichtskontakte führen. Erfassen Sie rückwirkend, mindestens für die letzten fünf Jahre: Datum, Behörde, Gegenstand, Ergebnis, Fundstelle des Schreibens, Status der veranlassten Maßnahmen. Jeder dieser Vorgänge kann in einem künftigen Verfahren nach Art. 83 Abs. 2 lit. e und lit. i DSGVO herangezogen werden. Sie sollten ihn vorher kennen.

3. Die Rechtsbehelfsfrage bei jeder Verwarnung ausdrücklich beantworten. Nicht jede Verwarnung sollte angegriffen werden – aber jede sollte darauf geprüft werden, bevor die Frist abläuft, und die Entscheidung sollte mit Begründung dokumentiert werden. „Es war ja kein Bußgeld“ ist keine Begründung.

4. Reaktionen auf eine Warnung begründen und aufbewahren. Wenn Sie sich nach einer Warnung für die Verarbeitung entscheiden, halten Sie fest, wer entschieden hat, auf welcher rechtlichen Grundlage und mit welchen zusätzlichen Schutzmaßnahmen. Ohne diesen Vermerk steht am Ende nur, dass Sie es trotzdem gemacht haben.

5. Mildernde Umstände vorher aktenfest machen. Die Faktoren des Art. 83 Abs. 2 DSGVO wirken nur, soweit sie belegt sind. Legen Sie für die wichtigsten fest, welches Dokument sie belegt: Schulungsnachweise, Löschprotokolle, Maßnahmenpläne mit Umsetzungsdatum, Kommunikation mit Betroffenen. Das ist kein Projekt, sondern eine Zuordnung.

6. Anordnungen als Vorhaben mit Nachweis behandeln. Eine unerfüllte Anordnung ist ein eigener erschwerender Umstand und regelmäßig der Anlass für ein zweites, härteres Verfahren. Verantwortliche Person, Termin, Abschlussnachweis – wie bei jedem anderen verbindlichen Vorhaben.

7. Rollen für die Kommunikation mit der Aufsicht festlegen. Wer spricht, wer entscheidet über Zugeständnisse, wer gibt schriftliche Antworten frei. Im Bußgeldverfahren wird jede eigene Äußerung Teil der Akte. Das ist kein Argument für Schweigen – Zusammenarbeit ist ein mildernder Faktor –, aber eines für Abstimmung.

8. Die beiden Verfahrensstränge getrennt führen. Legen Sie vorab fest, wer die Mitwirkung im Verwaltungsverfahren übernimmt und wer die Verteidigung im Bußgeldverfahren, und dass schriftliche Äußerungen vor dem Versand freigegeben werden. Der Übergang von einem Strang in den anderen wird Ihnen nicht angekündigt.

Sieben Sätze, die in der Praxis nicht mehr tragen

Fazit

Die Leitlinien 04/2026 geben der Aufsicht eine geordnete Methodik und den Unternehmen eine unangenehme Klarheit: Das Bußgeld ist nicht der Ausnahmefall, den man durch Kooperation regelmäßig abwenden kann, sondern der Regelfall, von dem die Geringfügigkeit abweicht. Und die Verwarnung, die als milde Lösung gilt, ist eine behördliche Feststellung mit Nachwirkung in jedem Folgeverfahren.

Beides zusammen verschiebt die Arbeit nach vorn. Was im Verfahren hilft, entsteht vor dem Verfahren.

Zur Einordnung gehört aber auch das Gegengewicht: Die Leitlinien sind ein Dokument der Aufsicht, nicht des Gesetzgebers und nicht der Gerichte. Deutsche Gerichte haben in den bekannten Millionenverfahren jeweils deutlich niedriger festgesetzt als die Behörden, und die Datenschutzkonferenz selbst hält die Bebußung nicht für einen Automatismus. Die Vermutungswirkung aus Rn. 57 beschreibt daher den Ausgangspunkt eines Verfahrens – nicht sein Ergebnis.

Zwei Fragen an die Geschäftsführung:

• Wissen Sie, welche Schreiben von Datenschutzbehörden Ihr Unternehmen in den letzten fünf Jahren erhalten hat – und was aus den darin beanstandeten Punkten geworden ist?
• Wenn morgen ein Anhörungsschreiben eingeht: Wer entscheidet innerhalb von 24 Stunden, was Sie einräumen und was Sie bestreiten?

Dieser Beitrag ist Teil 1 einer Serie zu den Leitlinien 04/2026. Teil 2 behandelt die drei rechtlichen Voraussetzungen des Bußgelds, insbesondere die Zurechnung von Verstößen im Unternehmen und die Abgrenzung von Vorsatz und Fahrlässigkeit.