Am 21. September 2026 hat der Europäische Datenschutzausschuss (EDPB) die Leitlinien 04/2026 verabschiedet. Sie vereinheitlichen, wie die 27 nationalen Datenschutzbehörden entscheiden, ob sie ein Verwaltungsgeld nach Artikel 83 DSGVO verhängen, und wie dieses mit weiteren Abhilfemaßnahmen zusammenwirkt. Auf derselben Plenarsitzung nahm der Ausschuss nach einer vorherigen öffentlichen Konsultation zudem die endgültige Fassung seiner Leitlinien zum Zusammenspiel zwischen dem Digital Services Act (DSA) und der DSGVO an.
Die neuen Leitlinien ersetzen die mittlerweile sieben Jahre alte Auslegung der Artikel-29-Datenschutzgruppe zu Verwaltungsgeldern und ergänzen die Methodik des EDPB aus dem Jahr 2022 zur Berechnung der Geldhöhe. Sie schreiben einen einheitlichen fünfstufigen Test vor, den jede Aufsichtsbehörde anwenden muss, bilden das gesamte Spektrum der Abhilfemaßnahmen ab und enthalten 14 ausgearbeitete Beispiele. Der Text liegt bis zum 13. November 2026 zur öffentlichen Konsultation vor.
Wie entscheidet eine Aufsichtsbehörde nun, ob sie ein Verwaltungsgeld verhängt?
Jede Aufsichtsbehörde muss eine feste fünfstufige Methodik durchlaufen, bevor sie über die Verhängung eines Verwaltungsgeldes entscheidet, anstatt von Fall zu Fall Ermessen auszuüben. Der Test führt von der rechtlichen Zulässigkeit bis zur Wahl der Sanktion:
| Stufe | Was die Aufsichtsbehörde feststellen muss |
|---|---|
| 1 | Ob der Verstoß grundsätzlich mit einem Verwaltungsgeld geahndet werden kann, gestützt auf die DSGVO oder das nationale Recht. |
| 2 | Ob gegen den Verantwortlichen oder Auftragsverarbeiter, der Gegenstand des Verfahrens ist, für diesen Verstoß ein Verwaltungsgeld verhängt werden darf, je nachdem, an wen sich die verletzte Vorschrift richtet. |
| 3 | Ob der Verstoß vorsätzlich oder fahrlässig begangen wurde, da die Schuld Voraussetzung für jedes Verwaltungsgeld ist. |
| 4 | Erschwerende und mildernde Umstände: Ein geringfügiger Verstoß zieht in der Regel kein Verwaltungsgeld nach sich (stattdessen eine Rüge), während bei einem nicht geringfügigen Verstoß eine starke Vermutung dafür spricht, dass ein Verwaltungsgeld folgen sollte. |
| 5 | Ob ein Verwaltungsgeld wirksam, verhältnismäßig und abschreckend wäre, einschließlich etwaiger Gründe, vom Standardansatz abzuweichen. |
Die Methodik regelt die Entscheidung über die Verhängung, nicht die Arithmetik. Die Höhe selbst richtet sich weiterhin nach den Berechnungsleitlinien des EDPB aus dem Jahr 2022, die diese neuen Leitlinien ergänzen, aber nicht ersetzen.
Welche Abhilfemaßnahmen ergänzen Verwaltungsgelder, und wann greift welche?
Die Leitlinien legen das gesamte Spektrum der Abhilfemaßnahmen dar, die einer Aufsichtsbehörde zur Verfügung stehen: Verwarnungen, Rügen, Anordnungen, Beschränkungen (einschließlich Verbote) und die Aberkennung einer Zertifizierung. Der fünfstufige Test entscheidet, ob ein Verwaltungsgeld zusätzlich zu oder anstelle einer dieser Maßnahmen tritt. Die 14 ausgearbeiteten Beispiele zeigen, wie eine Aufsichtsbehörde die Besonderheiten des Einzelfalls abwägt, etwa Vorsatz, die Anzahl der betroffenen Personen und ob der Verantwortliche den Verstoß selbst gemeldet hat, um die verhältnismäßige Kombination zu wählen.
Für Enforcement-Risiko-Teams lautet die praktische Erkenntnis: Ein nicht geringfügiger Verstoß trägt nun die ausdrückliche Vermutung in sich, dass ein Verwaltungsgeld folgt. Rügen bleiben geringfügigen Verstößen vorbehalten, und jede Abweichung vom Standardansatz muss die Aufsichtsbehörde schriftlich begründen.
Was sollten Compliance-Teams vor der Konsultationsfrist am 13. November 2026 tun?
Interessengruppen haben bis zum 13. November 2026 Zeit, Stellungnahmen zu den Leitlinien über die Konsultationsseite des EDPB einzureichen. Datenschutzjuristen und Datenschutzbeauftragte sollten die 14 Beispiele anhand ihrer eigenen Playbooks zur Verstoßbewältigung prüfen, denn die Beispiele signalisieren, wie Aufsichtsbehörden Vorsatz, mildernde Umstände und Kooperation voraussichtlich gewichten werden, sobald die Leitlinien final sind. Mit der Verabschiedung tritt keine neue materielle Pflicht in Kraft, doch die Methodik wird jede Durchsetzungsentscheidung einer Aufsichtsbehörde in der gesamten EU prägen, sobald sie final ist.
Was ändert die finalisierte DSA-DSGVO-Leitlinie für Anbieter von Vermittlungsdiensten?
Der Ausschuss nahm außerdem die endgültige Fassung seiner Leitlinien zum Zusammenspiel von DSA und DSGVO an. Sie klären, wie die beiden Rechtsakte gemeinsam anzuwenden sind, wenn der DSA die Verarbeitung personenbezogener Daten durch Anbieter von Vermittlungsdiensten berührt und auf Konzepte und Definitionen der DSGVO verweist. Der endgültige Text durchläuft vor der Veröffentlichung noch sprachliche Prüfungen und ist daher noch nicht veröffentlicht, bestätigt aber die einheitliche Anwendung, die beide Rechtsakte verlangen. Compliance-Teams bei Online-Plattformen sollten ihre Datenschutz- und DSA-Prozesse jetzt abstimmen, anstatt auf die veröffentlichte Fassung zu warten.
Kontinuierliche, nach Jurisdiktion gegliederte Regulierungsüberwachung macht Leitlinien wie diese in dem Moment sichtbar, in dem eine Spitzenaufsichtsbehörde wie der EDPB sie veröffentlicht, und noch bevor nationale Aufsichtsbehörden die neue Methodik operationalisieren.
Kostenlosen Newsletter abonnieren
Nächste Schritte: Prüfen Sie, ob Ihre Verarbeitung in den Anwendungsbereich des DSA-DSGVO-Zusammenspiels fällt, stellen Sie Ihr Verfahren zur Vorfallsreaktion dem fünfstufigen Verwaltungsgeldtest und den 14 Beispielen gegenüber, und informieren Sie Ihre Datenschutz- und Plattform-Teams vor der Konsultationsfrist am 13. November 2026. Obsidian wird die endgültige Verabschiedung sowie die Übernahme der Methodik durch jede nationale Aufsichtsbehörde begleiten, sobald sie erfolgt.
