Einheitliche Standards für Datenschutz-Bußgeldverfahren: die neuen DSK-Musterrichtlinien (MRiDaVG)

Juni 26, 2025

Kategorien:

Datenschutz in Deutschland

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 16. Juni 2025 die Musterrichtlinien für das Verfahren über Geldbußen (MRiDaVG) verabschiedet. Diese sollen eine bundeseinheitliche Verfahrenspraxis der Datenschutzaufsichtsbehörden bei der Sanktionierung von Datenschutzverstößen nach der DSGVO sicherstellen.

Anwendungsbereich und Rechtsgrundlagen

Die MRiDaVG finden in allen Bußgeldverfahren der unabhängigen Datenschutzaufsichtsbehörden nach der DSGVO Anwendung. Sie betreffen sowohl innerstaatliche als auch grenzüberschreitende Sachverhalte und regeln ausdrücklich das Verhältnis zwischen Unionsrecht und nationalem Recht. Ein besonderes Augenmerk liegt auf dem Anwendungsvorrang des Unionsrechts sowie den unionsrechtlichen Grundsätzen der Äquivalenz und Effektivität.

Die MRiDaVG nehmen ausdrücklich Bezug auf die Vorgaben des Europäischen Datenschutzausschusses (EDSA) und integrieren diese als vorrangige Auslegungshilfe. Zudem erfolgt eine klare Abgrenzung zu Verwaltungsverfahren, die nicht bußgeldrechtlicher Natur sind.

Verfahrensgrundsätze und Auslegungsleitlinien

Im Mittelpunkt der MRiDaVG stehen grundlegende Verfahrensmaximen, die eine rechtsstaatliche, effektive und unionsrechtskonforme Verfahrensführung sicherstellen sollen:

Anwendungsvorrang und Unionsrechtskonformität: Die Richtlinien stellen klar, dass nationale Rechtsvorschriften, die im Widerspruch zur DSGVO stehen, im Rahmen von Bußgeldverfahren keine Anwendung finden dürfen. Maßgeblich ist allein die unmittelbare Geltung und Vorrangstellung des Unionsrechts, wie es der Europäische Gerichtshof in seiner Rechtsprechung mehrfach betont hat. Daraus folgt auch das Gebot der unionsrechtskonformen Auslegung nationaler Vorschriften.
Effektivitätsgebot: Die Verfahrensgestaltung muss gewährleisten, dass die Durchsetzung der datenschutzrechtlichen Anforderungen weder faktisch noch rechtlich erschwert wird. Die Aufsichtsbehörden sind verpflichtet, ihre Verfahrenspraxis so auszurichten, dass die Effektivität der DSGVO-Sanktionsmechanismen vollumfänglich gewahrt bleibt. Dies beinhaltet auch die Verpflichtung, Verfahrensverzögerungen zu vermeiden und die Ermittlungstätigkeit zügig durchzuführen.
Opportunitätsprinzip: Die MRiDaVG stellen klar, dass die Datenschutzaufsichtsbehörden bei der Entscheidung über die Einleitung, Fortführung oder Einstellung eines Verfahrens über Geldbußen nach pflichtgemäßem Ermessen handeln. Dabei sind die in Art. 83 Abs. 2 DSGVO niedergelegten Faktoren, wie Schwere und Dauer des Verstoßes oder Mitwirkungsbereitschaft des Verantwortlichen, zwingend zu berücksichtigen. Der behördliche Ermessensspielraum wird dadurch strukturiert und begrenzt.
Synchronitäts- und Parallelitätsgrundsatz: Verwaltungsverfahren (z.B. Anordnungsverfahren nach Art. 58 Abs. 2 DSGVO) und Bußgeldverfahren sollen grundsätzlich parallel geführt, aber inhaltlich und organisatorisch strikt getrennt werden. Die Richtlinien empfehlen eine enge zeitliche Abstimmung beider Verfahren. Insbesondere bei grenzüberschreitenden Verfahren nach Art. 60 DSGVO ist ein koordiniertes Vorgehen erforderlich, um widersprüchliche Entscheidungen oder Verfahrensverzögerungen zu vermeiden.

Diese Grundsätze bilden insgesamt den verfahrensrechtlichen Rahmen für die Bußgeldpraxis der deutschen Datenschutzaufsichtsbehörden und dienen zugleich als Leitlinien für die Auslegung und Anwendung der materiellen Sanktionsvorschriften der DSGVO.

Zuständigkeit und Verfahrenskoordination

Die Musterrichtlinien betonen die funktionelle Trennung von Verwaltungsverfahren und Bußgeldverfahren innerhalb der Datenschutzaufsichtsbehörden. Ziel ist es, eine klare organisatorische und inhaltliche Abgrenzung der beiden Verfahrensarten zu gewährleisten, um Interessenkollisionen zu vermeiden und eine spezialisierte Bearbeitung zu ermöglichen. Die für Bußgeldverfahren zuständigen Einheiten sollen eigenständig agieren, insbesondere in Bezug auf Ermittlungen und Entscheidung über Sanktionen.

Ein zentrales Instrument zur effizienten Verfahrenskoordination ist die Möglichkeit der Zuständigkeitsübertragung nach § 39 OWiG. Die Datenschutzaufsichtsbehörden werden ausdrücklich ermutigt, von dieser Option Gebrauch zu machen, wenn dies der Beschleunigung, Vereinfachung oder besseren Ressourcenverteilung dient. Besonders bei grenzüberschreitenden Sachverhalten nach Art. 60 DSGVO wird eine Konzentration der Zuständigkeit bei der federführenden Behörde als sinnvoll angesehen, um Verfahrensdoppelungen und Rechtsunsicherheiten zu vermeiden.

Darüber hinaus stellen die MRiDaVG klar, dass eine enge und vertrauensvolle Zusammenarbeit mit der Staatsanwaltschaft unabdingbar ist. Dies gilt insbesondere bei Verfahren mit erheblichen Bußgeldbeträgen oder mit strafrechtlicher Relevanz. In Fällen mit einer voraussichtlichen Bußgeldhöhe von mehr als 10.000 Euro sollen die Datenschutzaufsichtsbehörden aktiv den Kontakt zur zuständigen Staatsanwaltschaft suchen. Die Beteiligung der Staatsanwaltschaft an der Hauptverhandlung wird nach Maßgabe der Richtlinien empfohlen, um die Durchsetzung des Datenschutzrechts auch in komplexeren Fallkonstellationen effektiv sicherzustellen

Verfahrensablauf und Dokumentation

Die MRiDaVG regeln detailliert die einzelnen Verfahrensschritte, die von der Einleitung bis zur abschließenden Entscheidung über eine Geldbuße reichen. Dabei wird besonderer Wert auf Transparenz, Nachvollziehbarkeit und Rechtskonformität gelegt.

Aktenführung: Für jedes Bußgeldverfahren ist eine separate Akte anzulegen, die strikt von anderen Verwaltungsverfahren zu trennen ist. Diese Trennung dient nicht nur der organisatorischen Klarheit, sondern auch der rechtssicheren Dokumentation. Alle verfahrensrelevanten Dokumente, Beweismittel und Vermerke sind in dieser Akte vollständig und fortlaufend zu führen.
Ermittlungen: Die Datenschutzaufsichtsbehörden haben im Rahmen ihrer Ermittlungen Zugriff auf die Instrumentarien des OWiG und der StPO. Dazu gehören insbesondere die Befragung von Zeugen, das Einholen von Auskünften bei Dritten sowie die Sicherung und Auswertung von Beweismitteln. Bei grenzüberschreitenden Sachverhalten gelten zusätzlich die Vorgaben der DSGVO-Kooperations- und Kohärenzverfahren. Ermittlungen müssen stets unter Beachtung der Verfahrensrechte der Betroffenen erfolgen.
Ermessensausübung: Bei der Frage, ob und in welcher Höhe eine Geldbuße verhängt wird, haben die Aufsichtsbehörden ein pflichtgemäßes Ermessen auszuüben. Dabei sind zwingend die in Art. 83 Abs. 2 DSGVO aufgelisteten Kriterien zu berücksichtigen, wie z.B. Art, Schwere und Dauer des Verstoßes, Vorsätzlichkeit oder Fahrlässigkeit, sowie etwaige mildernde Umstände oder frühere Verstöße. Diese Erwägungen sind nachvollziehbar zu dokumentieren.
Bescheiderstellung: Der Bußgeldbescheid muss den unionsrechtlichen Anforderungen entsprechen. Insbesondere bei unmittelbarer Verbandshaftung entfällt die Pflicht zur Nennung einer natürlichen Person als Adressaten. In grenzüberschreitenden Verfahren ist zudem sicherzustellen, dass der Bescheid den formellen Anforderungen eines Beschlussentwurfs nach Art. 60 und 65 DSGVO genügt. Dies umfasst u.a. eine ausführliche Begründung der Bußgeldhöhe unter Bezugnahme auf die angewandten Ermessenskriterien und die zugrunde liegenden Tatsachenfeststellungen.

Informationsweitergabe und Öffentlichkeitsarbeit

Die Richtlinien enthalten spezifische Vorgaben zur Informationsweitergabe an Öffentlichkeit, Aufsichtsbehörden und Registerstellen:

Meldungen an das Gewerbezentralregister: Bei schwerwiegenden Verstoßen.
Pressearbeit: Sachlich und wahrheitsgemäß unter Beachtung des Fair-Trial-Grundsatzes und des Datenschutzes der Betroffenen.
Namensnennung: Nur unter bestimmten Voraussetzungen zulässig, etwa bei bereits bestehender öffentlicher Berichterstattung.

Lese-Tipp: BfDI verhängt gegen Vodafone Bußgelder in Höhe von 45 Millionen Euro

Bewertung der Bußgeld-Musterrichtlinien für die Praxis

Die MRiDaVG sind ein wichtiger Schritt in Richtung einer bundesweit einheitlichen und rechtssicheren Ausgestaltung der Bußgeldverfahren im Datenschutzrecht. Durch ihre detaillierten Regelungen zu Verfahrensgrundsätzen, Zuständigkeiten, Ermittlungsbefugnissen und Dokumentationspflichten bieten sie sowohl den Aufsichtsbehörden als auch den betroffenen Unternehmen eine klare Orientierungshilfe. Die Harmonisierung der Verfahren zwischen den Bundesländern dürfte zudem dazu beitragen, die bislang bestehenden Unterschiede in der Sanktionspraxis zu verringern und Rechtsunsicherheiten zu reduzieren.

Für Unternehmen und andere Verantwortliche im Sinne der DSGVO bedeutet dies eine verstärkte Notwendigkeit, ihre internen Compliance-Prozesse zu überprüfen und gegebenenfalls anzupassen. Insbesondere im Hinblick auf die in den MRiDaVG betonten Ermessenskriterien bei der Bemessung von Geldbußen sind fundierte interne Datenschutz-Management-Systeme unerlässlich, um eine mögliche Haftungsreduzierung zu erreichen.

Offen bleibt, in welchem Maße die Gerichte die in den MRiDaVG enthaltenen Konkretisierungen zu Auslegung und Anwendung der bußgeldrechtlichen Vorschriften berücksichtigen werden. Gerade Fragen zur Reichweite des Anwendungsvorrangs des Unionsrechts, zur inhaltlichen Ausgestaltung des pflichtgemäßen Ermessens oder zur Zulässigkeit der Namensnennung in der Öffentlichkeitsarbeit könnten künftig Gegenstand gerichtlicher Überprüfungen werden.

Insgesamt stärken die MRiDaVG die Rechtssicherheit für alle Verfahrensbeteiligten, erhöhen jedoch zugleich den Handlungsdruck auf Stellen, die Daten verarbeiten. Diese müssen ihre datenschutzrechtliche Organisation und Dokumentation konsequent an die Anforderungen der DSGVO und der nationalen Verfahrenspraxis anpassen.

Quelle: Musterrichtlinien für das Verfahren über Geldbußen der Datenschutzaufsichtsbehörden (MRiDaVG)

Tags: