Am 17. September 2026 hat der Europäische Datenschutzausschuss (EDPB, das Gremium aller europäischen Datenschutzbehörden) ein Dokument angenommen, das in vielen Compliance-Abteilungen für Gesprächsstoff sorgen dürfte: die Leitlinien 04/2026 zur Anwendung von Bußgeldbefugnissen im Verhältnis zu anderen DSGVO-Abhilfemaßnahmen. Veröffentlicht und angekündigt wurde das Papier am 21. September 2026 (EDPB, 2026). Es klingt zunächst nach trockener Verwaltungstechnik. Für Unternehmen in Deutschland, Österreich und der Schweiz, die mit dem EU-Markt zu tun haben, ist es aber ziemlich praxisrelevant.
Warum diese Leitlinien jetzt kommen
Bisher gab es zwar die sogenannte WP253-Leitlinie der Art.-29-Datenschutzgruppe, dem Vorgängergremium des EDPB, die aber vor allem die Höhe von Bußgeldern adressierte. Ergänzt wurde das 2022 durch die Leitlinien 04/2022, die eine Berechnungsmethodik für die Bußgeldhöhe lieferten. Was bisher fehlte, war eine klare, EU-weit einheitliche Antwort auf die vorgelagerte Frage: Soll in einem konkreten Fall überhaupt ein Bußgeld verhängt werden, oder reicht eine Verwarnung? Genau diese Lücke sollen die neuen Leitlinien 04/2026 schließen, indem sie die alte WP253-Anleitung ablösen und das bestehende System um ein Vorprüfungsverfahren erweitern (Pinsent Masons, 2026).
Das ist kein rein akademisches Problem. Wer in der Praxis mit Datenschutzbehörden zu tun hat, kennt die Unsicherheit: Die eine Aufsichtsbehörde in einem EU-Land reagiert auf einen Verstoß mit einer Ermahnung, eine andere verhängt für einen ähnlichen Sachverhalt ein sechsstelliges Bußgeld. Diese Uneinheitlichkeit war in der Vergangenheit immer wieder Kritikpunkt, gerade von Unternehmen, die grenzüberschreitend tätig sind und sich auf vorhersehbare Regeln verlassen wollen.
Die fünf Prüfschritte im Überblick
Der Kern der neuen Leitlinien ist eine fünfstufige Methodik, die Aufsichtsbehörden künftig durchlaufen sollen, bevor sie über eine Sanktion entscheiden (digital-magazin.de, 2026).
1. Bußgeldfähigkeit des Verstoßes
Zuerst wird geprüft, ob der konkrete Verstoß überhaupt bußgeldfähig ist, also ob er in den Anwendungsbereich von Artikel 83 DSGVO fällt, der die Grundlage für Geldbußen bildet.
2. Haftbarkeit und Verantwortlichkeit
Danach folgt die Prüfung der Haftbarkeit: Wer ist die verantwortliche Stelle, und kann ihr der Verstoß zugerechnet werden?
3. Vorsatz oder Fahrlässigkeit
Im dritten Schritt wird untersucht, ob vorsätzlich oder fahrlässig gehandelt wurde. Ohne ein solches Verschulden ist ein Bußgeld nach Artikel 83 DSGVO laut den Leitlinien nicht zulässig.
4. Erschwerende und mildernde Umstände
Anschließend werden erschwerende und mildernde Umstände abgewogen, etwa die Dauer des Verstoßes, die Anzahl betroffener Personen oder die Kooperationsbereitschaft des Unternehmens.
5. Auswahl der angemessenen Maßnahme
Zum Schluss wird die konkrete Maßnahme gewählt: eine Verwarnung, ein Bußgeld oder eine Kombination verschiedener Abhilfebefugnisse.
Verschulden als Dreh- und Angelpunkt
Besonders bemerkenswert ist der dritte Schritt der Methodik. Dass ein Bußgeld ein schuldhaftes Verhalten voraussetzt, mag selbstverständlich klingen, war aber in der Praxis mancher Aufsichtsbehörden keineswegs immer gelebte Realität. Der Europäische Gerichtshof hatte dieses Prinzip bereits in der Rechtssache Deutsche Wohnen (C-807/21) bestätigt: Eine Geldbuße gegen ein Unternehmen setzt voraus, dass der Verstoß vorsätzlich oder fahrlässig begangen wurde. Eine reine Zurechnung ohne Verschuldensnachweis reicht nicht aus. Die neuen Leitlinien 04/2026 schreiben dieses Prinzip jetzt in die behördliche Prüfroutine ein, was Unternehmen in Bußgeldverfahren künftig eine klarere Argumentationsgrundlage gibt.
Für kleine und mittlere Unternehmen heißt das konkret: Wer nachweisen kann, dass ein Datenschutzvorfall trotz angemessener technischer und organisatorischer Maßnahmen passiert ist, also weder vorsätzlich noch fahrlässig gehandelt wurde, hat nach dieser Methodik bessere Chancen, mit einer Verwarnung statt einem Bußgeld davonzukommen. Dokumentation wird damit noch wichtiger als ohnehin schon. Wer zeigen kann, dass er sein Datenschutzmanagement ernst genommen hat, etwa durch dokumentierte Risikoanalysen, Schulungen oder technische Schutzmaßnahmen, steht in einem möglichen Verfahren deutlich besser da.
Geringfügige Verstöße: Verwarnung statt Bußgeld
Ein weiterer praxisrelevanter Punkt betrifft geringfügige Verstöße. Die Leitlinien sehen vor, dass bei solchen Fällen in der Regel kein Bußgeld, sondern etwa eine Verwarnung ausgesprochen werden soll. Umgekehrt gilt bei nicht geringfügigen Verstößen eine starke Vermutung zugunsten eines Bußgelds (VinciWorks, 2026). Das bedeutet nicht automatisch Rechtssicherheit, denn was im Einzelfall als geringfügig gilt, bleibt auslegungsbedürftig. Aber es gibt zumindest eine Tendenz vor, an der sich Unternehmen orientieren können.
Was das für die Bußgeldpraxis in DACH bedeutet
Für Unternehmen in Deutschland, Österreich und der Schweiz, die der DSGVO unterliegen, dürfte vor allem ein Effekt spürbar werden: mehr Vorhersehbarkeit. Bislang konnte es im Prinzip auf die jeweilige Aufsichtsbehörde ankommen, ob ein Vorfall glimpflich oder teuer endet. Mit der neuen Methodik wird der Ermessensspielraum zwar nicht komplett abgeschafft, aber in klar nachvollziehbare Prüfschritte gegossen.
Das erleichtert auch die interne Risikobewertung. Wer die fünf Schritte kennt, kann in der eigenen Dokumentation gezielt an den Punkten ansetzen, die im Ernstfall zählen, allen voran der Nachweis, dass kein Vorsatz und keine Fahrlässigkeit vorlagen.
Gleichzeitig sollte man die Leitlinien nicht überschätzen. Es handelt sich noch um einen Entwurf im Konsultationsstadium, nicht um geltendes Recht. Aufsichtsbehörden sind an EDPB-Leitlinien in der Praxis stark orientiert, formal bindend sind sie jedoch nicht in jedem Mitgliedstaat in gleicher Weise. Bis zur endgültigen Fassung kann sich an Details noch einiges ändern.
Konsultation noch bis 13. November 2026
Wer als Unternehmen oder Verband Stellung nehmen möchte, hat dazu noch bis zum 13. November 2026 Gelegenheit. Der EDPB nimmt Rückmeldungen über ein offizielles Konsultationsformular entgegen. Gerade Branchenverbände und Unternehmen mit Erfahrung aus laufenden oder abgeschlossenen Bußgeldverfahren sollten diese Möglichkeit nutzen, denn die endgültige Fassung der Leitlinien wird die Bußgeldpraxis in der gesamten EU für die kommenden Jahre prägen.
Fazit
Die Leitlinien 04/2026 sind ein Versuch, mehr Konsistenz in ein System zu bringen, das bisher stark von der Auslegung einzelner Aufsichtsbehörden abhing. Für kleine und mittlere Unternehmen im DACH-Raum lohnt sich ein genauer Blick auf die fünfstufige Methodik, insbesondere auf den Verschuldensmaßstab. Wer seine Datenschutzprozesse so dokumentiert, dass im Ernstfall Vorsatz und Fahrlässigkeit klar ausgeschlossen werden können, verbessert seine Position in einem möglichen Verfahren erheblich – unabhängig davon, wie die finale Fassung der Leitlinien am Ende aussieht.
