Der Europäische Datenschutzausschuss (EDPB) hat Entwurfsleitlinien veröffentlicht, die die praktische Durchsetzung der DSGVO verändern könnten. Laut einer Zusammenfassung des Entwurfs sieht der Vorschlag eine EDPB-Vermutung für DSGVO-Geldbußen bei nicht geringfügigen Verstößen vor, kombiniert mit einer bewusst niedrigen Schwelle für die Feststellung von Fahrlässigkeit. Einfach ausgedrückt: Die Aufsichtsbehörden würden von der Annahme ausgehen, dass ein schwerwiegender Verstoß eine Geldbuße verdient, und die Unternehmen würden einen größeren Teil der Last tragen, darzulegen, warum dies nicht der Fall sein sollte.

Das für diesen Artikel verfügbare Quellenmaterial beschränkt sich auf eine Zusammenfassung, daher bleibt dieser Beitrag bei dem, was in dieser Zusammenfassung steht, und erläutert die wahrscheinlichen Auswirkungen in allgemeinen Begriffen.

Was die Entwurfsleitlinien des EDPB vorschlagen

Der Kern des Entwurfs ist eine Verschiebung des Regelfalls. Bislang verfügen die Aufsichtsbehörden nach der DSGVO über eine Reihe von Abhilfebefugnissen, von Verwarnungen und Anordnungen zur Einhaltung bis hin zu Geldbußen. Die Entwurfsleitlinien schlagen vor, dass bei Verstößen, die nicht geringfügig sind, eine Geldbuße das erwartete Ergebnis sein sollte und nicht eine Option unter vielen.

Zwei Elemente stechen in der Zusammenfassung hervor:

  • Eine Vermutung zugunsten von Geldbußen bei nicht geringfügigen Verstößen.
  • Eine bewusst niedrige Schwelle für Fahrlässigkeit, was deshalb wichtig ist, weil das Verschulden eine zentrale Voraussetzung für die Verhängung einer Geldbuße ist.

Die Zusammenfassung merkt außerdem an, dass Organisationen robuste Maßnahmen nachweisen müssen, um zu zeigen, dass sie mit angemessener Sorgfalt gehandelt haben. Der Entwurf ist ein Vorschlag, keine endgültige Leitlinie, sodass sich Details nach der Konsultation noch ändern können.

Warum eine niedrige Fahrlässigkeitsschwelle die Durchsetzung verändert

Geldbußen nach der DSGVO hängen im Allgemeinen davon ab, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde. Wenn der Nachweis von Fahrlässigkeit schwierig ist, zögern die Aufsichtsbehörden möglicherweise, Geldbußen zu verhängen, oder die Verfahren ziehen sich in Auseinandersetzungen darüber hin, was ein Unternehmen wusste oder hätte wissen müssen.

Eine niedrige Schwelle verschiebt diese Dynamik. Wenn ein Unternehmen die Schritte unterlassen hat, die eine vernünftigerweise sorgfältige Organisation ergriffen hätte, kann Fahrlässigkeit ohne weitere umfangreiche Prüfung festgestellt werden. In Kombination mit einer Vermutung für Geldbußen würde dies es für eine Organisation schwieriger machen, zu argumentieren, dass ein Verstoß einfach Pech oder ein ehrliches Versehen war.

Dies passt zu dem breiteren Bestreben nach Konsistenz. Der EDPB hat bereits einen fünfstufigen Ansatz zur Berechnung von Geldbußen eingeführt, den wir in unserer Erläuterung zur fünfstufigen DSGVO-Geldbußenmethode des EDPB behandelt haben. Diese Methode befasst sich damit, wie hoch eine Geldbuße sein sollte. Der neue Entwurf befasst sich mit der vorgelagerten Frage, ob überhaupt eine Geldbuße verhängt werden sollte. Hintergrundinformationen zu den Geldbußenstufen und der Rolle des Verschuldens finden Sie in unserem Leitfaden zu DSGVO-Geldbußen und Sanktionen im Jahr 2026.

Was das für Sie bedeutet

Für normale Menschen wäre die praktische Wirkung indirekt, aber bedeutsam. Datenschutzrechte auf dem Papier zählen nur, wenn es Konsequenzen gibt, wenn sie ignoriert werden. Wenn Geldbußen zur erwarteten Reaktion auf schwerwiegende Verstöße werden, haben Unternehmen einen stärkeren finanziellen Anreiz:

  • von vornherein weniger personenbezogene Daten zu erheben.
  • die Daten, die sie aufbewahren, zu sichern und zu dokumentieren, wie.
  • auf Auskunfts-, Löschungs- und Widerspruchsersuchen rechtzeitig zu reagieren.
  • Mitarbeitende zu schulen und Auftragnehmer zu prüfen, die Kundendaten verarbeiten.

Das bedeutet nicht, dass jede Beschwerde in einer Sanktion enden wird, und es garantiert keine schnelleren Ergebnisse für Einzelpersonen. Geringfügige Verstöße sollen anders behandelt werden, und die Leitlinien liegen noch im Entwurf vor. Aber die Stoßrichtung geht hin zu einer Durchsetzung, die echtes Gewicht hat.

Organisationen werden sich unterdessen wahrscheinlich auf Nachweise konzentrieren. Unter diesem Ansatz könnte die Fähigkeit, Aufzeichnungen, Risikobewertungen und zügige Korrekturmaßnahmen vorzuweisen, den Unterschied zwischen einer Geldbuße und einer milderen Reaktion ausmachen.

Wie Sie Ihre DSGVO-Rechte heute ausüben können

Sie müssen nicht warten, bis die Leitlinien finalized sind. Wenn Sie sich in der EU oder im EWR befinden oder ein Unternehmen Ihre Daten nach der DSGVO verarbeitet, können Sie bereits jetzt handeln:

  1. Auskunft verlangen. Senden Sie ein Auskunftsersuchen als betroffene Person, um herauszufinden, welche Daten ein Unternehmen über Sie speichert und wie es sie verwendet.
  2. Löschung beantragen. Wenn die Daten nicht mehr benötigt werden oder Sie Ihre Einwilligung widerrufen, bitten Sie das Unternehmen, sie zu löschen.
  3. Der Verarbeitung widersprechen. Sie können bestimmten Verwendungen widersprechen, einschließlich Direktwerbung.
  4. Dokumentation führen. Bewahren Sie Kopien Ihrer Anträge und der Antworten mit Datumsangaben auf.
  5. Eskalieren, wenn ignoriert. Wenn ein Unternehmen nicht ordnungsgemäß reagiert, können Sie sich bei Ihrer nationalen Datenschutzbehörde beschweren.

Eine dokumentierte, gut begründete Beschwerde ist die Art von Nachweis, auf deren Grundlage Aufsichtsbehörden handeln können, und eine stärkere Durchsetzungshaltung würde diese Beschwerden folgenreicher machen.

Wichtigste Erkenntnisse

Die EDPB-Vermutung für DSGVO-Geldbußen würde, wenn sie wie entworfen angenommen wird, Sanktionen zur normalen Reaktion auf nicht geringfügige Verstöße machen und Fahrlässigkeit leichter feststellbar machen. Das setzt Unternehmen unter Druck, personenbezogene Daten sorgfältig zu behandeln, und verleiht den Rechten Einzelner mehr praktische Durchsetzungskraft.

Nutzen Sie die Rechte, die Sie bereits haben: Verlangen Sie Auskunft, beantragen Sie Löschung und widersprechen Sie, wo es angebracht ist. Um zu verstehen, wie Sanktionen berechnet werden, sobald eine Geldbuße im Raum steht, lesen Sie unsere Erläuterungen zur fünfstufigen Geldbußenmethode des EDPB und zu den DSGVO-Sanktionsstufen.