Ab dem 1. September 2026 können Organisationen, die in den Niederlanden wegen DSGVO-Verstößen mit Bußgeldern belegt werden, ihren Namen nicht mehr aus den Schlagzeilen heraushalten. Eine neue Rechtsvorschrift, Artikel 21b, wird die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens, kurz AP) verpflichten, Sanktionen zusammen mit dem Namen der bestraften Organisation zu veröffentlichen. Was einst eine Ermessenspraxis war, wird zur gesetzlichen Pflicht – und diese Veränderung hat reale Konsequenzen für den Umgang von Unternehmen, Verbänden und Veranstaltern mit personenbezogenen Daten.

Was Artikel 21b tatsächlich ändert

Im derzeitigen System hat die niederländische Datenschutzbehörde Spielraum bei der Art und Weise, wie sie Durchsetzungsmaßnahmen offenlegt. Bußgelder und Korrekturmaßnahmen werden manchmal veröffentlicht, manchmal zusammengefasst, ohne den Verstoßenden zu nennen, und manchmal vollständig aus der öffentlichen Kommunikation ausgeklammert. Artikel 21b beseitigt dieses Ermessen. Sobald die Regelung in Kraft tritt, ist die AP verpflichtet, die sanktionierte Partei zu nennen, wann immer sie eine DSGVO-Strafe verhängt.

Dies ist eine bedeutsame Abkehr von der bisher üblichen Praxis des Datenschutzes in den Niederlanden. Bußgelder waren schon immer ein finanzielles Risiko, aber ab September 2026 werden sie auch zu einem garantierten Reputationsereignis. Eine veröffentlichte Sanktion mit dem Namen eines Unternehmens ist durchsuchbar, teilbar und dauerhaft – in einer Weise, wie es eine stille finanzielle Strafe nie war. Für Organisationen, die auf öffentliches Vertrauen, Kundenbeziehungen oder Partnerschaften mit größeren Institutionen angewiesen sind, kann diese Sichtbarkeit genauso viel bedeuten wie das Bußgeld selbst.

Es ist erwähnenswert, dass diese Entwicklung spezifisch für die Niederlande und die Mechanik der DSGVO-Durchsetzung ist, nicht eine Änderung des materiellen Inhalts der Verordnung. Die Regeln darüber, was einen Verstoß darstellt, welche Rechtsgrundlagen für die Verarbeitung von Daten gelten oder welche Fristen für die Meldung von Datenschutzverletzungen einzuhalten sind, ändern sich nicht. Was sich ändert, ist die Transparenz darüber, wer erwischt und bestraft wird – und wie sichtbar das für die Öffentlichkeit, für Wettbewerber und für potenzielle Kunden wird, die eine Due-Diligence-Prüfung durchführen.

Warum Veranstalter jetzt aufmerksam sein sollten

Die Quellenberichterstattung über diese Änderung nennt ausdrücklich Veranstalter als eine Gruppe, die ihre Hausaufgaben machen sollte, bevor die Regelung in Kraft tritt. Das ist sinnvoll: Veranstaltungen sammeln routinemäßig Teilnehmerdaten über Anmeldeformulare, Ticketing-Plattformen, Lead-Erfassungstools von Sponsoren und Marketinglisten. Jeder dieser Berührungspunkte ist eine potenzielle Quelle für DSGVO-Risiken – sei es durch unzureichende Einwilligungstexte, unklare Aufbewahrungsrichtlinien für Daten oder Drittanbieter, die Daten ohne ordnungsgemäße Verträge verarbeiten.

Bislang konnte ein Veranstalter, der die DSGVO-Anforderungen nicht erfüllte, ein Bußgeld möglicherweise still absorbieren. Nach September 2026 wird derselbe Veranstalter namentlich und öffentlich mit dem Verstoß in Verbindung gebracht – sichtbar für zukünftige Teilnehmer, Aussteller und Sponsoren, die prüfen, ob sie erneut mit ihm zusammenarbeiten wollen. Für eine Branche, die auf Wiederholungsgeschäft und Reputation aufgebaut ist, ist das eine andere Art der Risikoberechnung.

Praktische Hausaufgaben vor Ablauf der Frist umfassen: Überprüfung von Anmelde- und Ticketingformularen auf klare Einwilligungstexte, Prüfung, welche Daten gesammelt werden und warum, Bestätigung, dass Datenverarbeitungsverträge mit Ticketing-Plattformen und Marketingtools aktuell sind, und Kontrolle, ob Datenaufbewahrungsfristen tatsächlich eingehalten werden – nicht nur dokumentiert sind. Keines davon erfordert eine rechtliche Neuausrichtung, aber es erfordert, dass tatsächlich jemand prüft, statt anzunehmen, dass Compliance vorhanden ist.

Ein Muster von Fristen in verschiedenen Datenschutzregimen

Die Niederlande sind nicht allein mit der Verschärfung der Durchsetzungstransparenz rund um ein bestimmtes Datum. Regulierungsbehörden in anderen Jurisdiktionen haben ähnliche Compliance-Fristen gesetzt, auf die Organisationen hinarbeiten. Die Telekommunikationsbehörde Simbabwes zum Beispiel hat bestätigt, dass sie ab September 2026 aktiv das Datenschutzrecht durchsetzen wird – ein Zeitplan, der im selben Monat wie die niederländische Änderung liegt. Die Schweiz hat einen ähnlichen Schritt bereits Jahre zuvor unternommen, als ihr überarbeitetes Bundesgesetz über den Datenschutz im September 2023 für Unternehmen in Kraft trat und Unternehmen ein festes Datum als Ziel vorgab, statt einer offenen Erwartung der Compliance.

Der gemeinsame Nenner ist, dass Regulierungsbehörden zunehmend konkrete Fristen und öffentliche Rechenschaftspflicht gegenüber stiller, einzelfallbezogener Durchsetzung bevorzugen. Organisationen, die warten, bis eine Regelung bereits in Kraft ist, haben in der Regel weniger Spielraum, um Probleme zu beheben, bevor sie Teil der öffentlichen Aktenlage werden.

Was das für Sie bedeutet

Wenn Sie eine Organisation betreiben, die in den Niederlanden personenbezogene Daten verarbeitet – ob Eventunternehmen, kleines Unternehmen oder gemeinnützige Organisation – ist die praktische Wirkung von Artikel 21b unkompliziert: Jedes zukünftige DSGVO-Bußgeld wird Ihren Namen in öffentlichen Aufzeichnungen tragen. Das ändert nichts an Ihren zugrunde liegenden rechtlichen Pflichten, erhöht aber den Einsatz für eine von Anfang an korrekte Compliance. Der Reputationsschaden durch ein namentlich veröffentlichtes Bußgeld kann die finanzielle Strafe selbst überdauern, insbesondere für Organisationen, deren Kunden oder Partner vor Vertragsabschluss leicht öffentliche Durchsetzungsunterlagen durchsuchen können.

Für Einzelpersonen, deren Daten von diesen Organisationen gesammelt werden, ist die Änderung wohl ein Netto-Gewinn. Größere Transparenz darüber, wer sanktioniert wurde, gibt Verbrauchern und Veranstaltungsteilnehmern mehr Informationen bei der Entscheidung, welchen Unternehmen sie ihre persönlichen Daten anvertrauen.

Zentrale Erkenntnisse

Bevor der 1. September 2026 eintrifft, sollten Organisationen, die in den Niederlanden tätig sind – insbesondere solche, die Teilnehmer-, Kunden- oder Mitgliederdaten über Anmelde- und Ticketing-Systeme verarbeiten – die Einwilligungstexte auf allen Datenerfassungsformularen überprüfen, bestätigen, dass Datenverarbeitungsverträge mit Drittanbietern aktuell sind, verifizieren, dass die Datenaufbewahrungspraktiken mit den schriftlichen Richtlinien übereinstimmen, und bekannte Compliance-Lücken jetzt schließen, statt erst nachdem eine Sanktion öffentlich geworden ist. Früh zu handeln ist der Unterschied zwischen dem stillen Beheben eines Problems und dessen dauerhafter Verknüpfung mit dem Namen Ihrer Organisation in öffentlichen Durchsetzungsunterlagen.