EDSA-Leitlinien 04/2026: wann ein DSGVO-Verstoß zu einem Bußgeld führt

Veröffentlicht 7. November 2026 · Von Floris Lindenaar

Der EDSA legt fünf Schritte fest, nach denen Behörden bei DSGVO-Verstößen zwischen Bußgeld und Verwarnung entscheiden. Stellungnahmen bis 13.11.2026.

Am 17. September 2026 hat der Europäische Datenschutzausschuss (EDSA) die Leitlinien 04/2026 angenommen. Sie legen fest, wie nationale Datenschutzbehörden entscheiden, ob ein DSGVO-Verstoß mit einem Bußgeld geahndet oder mit einer anderen Abhilfemaßnahme wie einer Verwarnung oder einer Anweisung behandelt wird. Veröffentlicht wurden sie am 21. September 2026. Stellungnahmen sind bis 13. November 2026, 23:59 Uhr MEZ möglich.

Die Leitlinien ersetzen die alten WP29-Leitlinien zu Geldbußen und ergänzen die EDSA-Leitlinien zur Berechnung der Höhe von Geldbußen.

Die fünf Schritte

1. Kann der Verstoß mit einem Bußgeld belegt werden? Die Behörde braucht eine Grundlage in der DSGVO oder im nationalen Recht.
2. Kann diese Partei belangt werden? Ob der Verantwortliche oder der Auftragsverarbeiter haftet, hängt davon ab, wen die verletzte Vorschrift bindet.
3. Vorsatz oder Fahrlässigkeit? Ein schuldhafter Verstoß ist Voraussetzung für ein Bußgeld.
4. Ist der Verstoß geringfügig? Die Behörde wägt die erschwerenden und mildernden Umstände nach Artikel 83 Absatz 2 ab. Ein geringfügiger Verstoß führt in der Regel zu keinem Bußgeld; stattdessen kann eine Verwarnung erteilt werden. Ist er nicht geringfügig, besteht eine starke Vermutung, dass ein Bußgeld verhängt wird.
5. Wäre ein Bußgeld wirksam, verhältnismäßig und abschreckend? Hier kann die Behörde im Einzelfall einen Grund sehen, vom allgemeinen Vorgehen abzuweichen.

Die Leitlinien erläutern auch die übrigen Abhilfebefugnisse (Warnungen, Verwarnungen, Anweisungen, Beschränkungen einschließlich Verboten und Widerruf von Zertifizierungen) und enthalten 14 Praxisbeispiele.

Ebenfalls endgültig: DSA und DSGVO

In derselben Plenarsitzung nahm der EDSA die endgültige Fassung der Leitlinien 3/2025 zum Zusammenspiel von Digital Services Act und DSGVO an, für Vermittlungsdienste, die personenbezogene Daten verarbeiten.

Was jetzt zu tun ist

In Schritt 4 entscheiden die Faktoren des Artikels 83 Absatz 2, ob es bei einer Verwarnung bleibt oder ein Bußgeld folgt: unter anderem Ihre Maßnahmen zur Schadensbegrenzung, Ihre Zusammenarbeit mit der Behörde, frühere Verstöße und die betroffenen Datenkategorien. Das schnell belegen zu können, zählt.

Dazr Compliance hält diese Nachweise an einem Ort: Ihr Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30, DSFAs mit einem Protokoll jeder Änderung, wiederkehrende DSGVO-Kontrollen und ein Register für Datenpannen mit 72-Stunden-Uhr. Wer die Leitlinien kommentieren möchte, nutzt bis 13. November das Konsultationsformular des EDSA.

Quellen

• EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
• EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
• EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
• EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version

Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 7. November 2026.

Themen: DSGVO, EDSA, Durchsetzung, EU

Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål