Klotzkette Datenschutz-Bußgeldverfahren — Verteidigung nach Art. 83 DSGVO
Zweck
Dieser Skill verteidigt den Mandanten im Bußgeldverfahren wegen DSGVO-Verstoß — von der Anhörung bis zum Einspruch nach § 67 OWiG und zum gerichtlichen Verfahren. Ziel ist die Vermeidung des Bußgeldbescheids, hilfsweise die Reduzierung der Geldbuße nach Art. 83 Abs. 2 DSGVO und den EDSA-Leitlinien 04/2022.
Terminologie sauber halten: Das ist kein Zivilprozess und keine Anklage im engeren strafprozessualen Sinn. Die Stationen heißen regelmäßig Anhörung, Bußgeldbescheid, Einspruch, Zwischenverfahren, Abgabe über die Staatsanwaltschaft an das zuständige Gericht, Hauptverhandlung oder Beschlussverfahren, Rechtsbeschwerde. Parallel können aufsichtsbehördliche Anordnungen nach Art. 58 Abs. 2 DSGVO verwaltungsgerichtlich anzugreifen sein.
Wann dieses Modul hilft / Kaltstart-Fragen
Sie brauchen den Skill, sobald die Aufsichtsbehörde förmlich ein Bußgeldverfahren eingeleitet hat: Anhörung nach § 55 OWiG, Bußgeldbescheid nach § 65 OWiG oder laufende Einspruchsfrist nach § 67 OWiG.
Sieben-Fragen-Diagnose:
- Anhörung oder Bußgeldbescheid? Andere Strategie pro Stand: Vor Bescheid Argumentationsspielraum, nach Bescheid Einspruchsfrist zwei Wochen ab Zustellung.
- Welche Aufsichtsbehörde? Landesaufsicht oder BfDI? Federführend nach Art. 56 DSGVO (One-Stop-Shop)?
- Welche Norm wird verletzt? Art. 5, 6, 9, 13, 14, 15, 17, 25, 28, 30, 32, 33, 34, 35, 37 DSGVO — und welche Sanktionsstufe Art. 83 Abs. 4 (10 Mio./2 Prozent) oder Art. 83 Abs. 5/6 (20 Mio./4 Prozent)?
- Bezugsumsatz: Welcher Konzernumsatz wird zugrundegelegt — Mandantengesellschaft oder Mutter? EuGH C-807/21 Deutsche Wohnen relevant.
- Welche Vorwerfung? Konkrete Handlung oder Unterlassen? Welcher Zeitraum?
- Verschulden: Vorsatz, Fahrlässigkeit? Welche Organisation, welcher DSB, welche TOM?
- Maßnahmenlage: Welche TOM Art. 32, welche DSFA Art. 35, welcher AVV Art. 28 lagen vor und sind dokumentiert?
- Parallelspur Art. 58 DSGVO? Geht es nur um Geldbuße oder auch um Untersagung, Löschungsanordnung, Auskunftsauflage, Datenübermittlungsstopp oder sonstige aufsichtsbehördliche Maßnahme?
Rechtlicher Rahmen
- Art. 83 DSGVO Bußgeldrahmen. Abs. 4 bis 10 Mio. EUR oder 2 Prozent. Abs. 5/6 bis 20 Mio. EUR oder 4 Prozent. Der jeweils höhere Wert gilt.
- Art. 83 Abs. 2 DSGVO Kriterien: Art, Schwere, Dauer, Vorsatz/Fahrlässigkeit, Schadensminderung, Verantwortlichkeit, Vorbelastung, Zusammenarbeit, Datenkategorien, Bekanntwerden, frühere Anordnungen, Zertifizierungen, finanzielle Vorteile.
- EuGH C-807/21 Deutsche Wohnen (Urteil 05.12.2023): Geldbuße gegen juristische Personen unmittelbar möglich, ohne dass eine natürliche Person identifiziert werden muss; erforderlich bleibt ein vorsätzlicher oder fahrlässiger Verstoß.
- EuGH C-683/21 Nacionalinis visuomenės sveikatos centras (Urteil 05.12.2023): Verantwortlichen-/Auftragsverarbeiterrollen, gemeinsame Verantwortlichkeit und Sanktionierbarkeit müssen unionsrechtlich sauber bestimmt werden; auch hier keine verschuldensunabhängige Geldbuße.
- EDSA, Leitlinien 04/2022 zur Berechnung von Geldbußen (Final version 24.05.2023): harmonisierte Bemessungsmethodik, Startbetrag, Schweregrad, Umsatz-/Unternehmensgröße, erschwerende und mildernde Umstände, Höchstbetrag, Effektivität/Verhältnismäßigkeit/Abschreckung.
- § 41 BDSG Anwendung OWiG.
- § 67 OWiG Einspruch binnen zwei Wochen ab Zustellung.
- § 68 OWiG i.V.m. § 41 Abs. 1 BDSG Gerichtliche Zuständigkeit: grundsätzlich Amtsgericht; bei festgesetzter DSGVO-Geldbuße über 100.000 EUR entscheidet nach § 41 BDSG das Landgericht.
- § 69 OWiG Zwischenverfahren: Behörde prüft Rücknahme/Aufrechterhaltung; bei Aufrechterhaltung Übersendung über die Staatsanwaltschaft an das Gericht. Nach § 41 Abs. 2 BDSG kann die Staatsanwaltschaft nur mit Zustimmung der Aufsichtsbehörde einstellen.
- § 71 OWiG Hauptverhandlung nach zulässigem Einspruch, sinngemäße Anwendung strafprozessualer Regeln.
- § 72 OWiG Beschlussverfahren, wenn dafür die gesetzlichen Voraussetzungen vorliegen.
- § 73 OWiG Anwesenheit/Entbindung des Betroffenen in der Hauptverhandlung, nicht der Name der Verhandlung selbst.
- § 79 OWiG Rechtsbeschwerde.
- § 20 BDSG Verwaltungsrechtsweg für Art.-78-Streitigkeiten gegen Aufsichtsbehörden; ausdrücklich nicht für Bußgeldverfahren. Relevant für Art.-58-Anordnungen, nicht für die Geldbuße selbst.
Mandantenfuehrung Schritt-für-Schritt
- Zuerst: Frist sichern. Einspruchsfrist nach § 67 I OWiG zwei Wochen ab Zustellung — sofort im Fristenkalender, Wiedereinsetzungspruefung bei Saeumnis.
- Akteneinsicht beantragen. § 49 OWiG i.V.m. § 147 StPO. Erst danach Strategie.
- NICHT vorschnell Stellungnahme. Auch nicht "kooperativ" Daten nachschieben — kann den Vorwurf verschaerfen.
- Prüfen: Zuständigkeit und Verfahrensweg. § 41 BDSG-Sonderzuständigkeit bei Geldbußen über 100.000 EUR beachten; Bußgeldspur nicht mit verwaltungsgerichtlicher Art.-58-Spur vermischen.
- Prüfen: Bemessung nach EDSA 04/2022. Prüfen, ob die Aufsicht die Methodik sauber angewendet hat. Bezugsumsatz richtig? Schweregrad richtig? Mildernde Umstände berücksichtigt?
- Verschuldensfrage: Hat die Aufsicht Vorsatz oder Fahrlässigkeit konkret begründet? Nach EuGH C-807/21 muss kein Organ oder Beschäftigter namentlich identifiziert werden, aber ein schuldhafter Unternehmensverstoß muss tragfähig dargelegt sein.
- Einspruch einlegen. Auch nur fristwahrend, Begründung nach Akteneinsicht.
- Erledigungsgespräch erwägen. Insbesondere bei Erstverstoß, dokumentierter Selbstmeldung Art. 33, nachweislichem Maßnahmenplan und vertretbarer Bemessungskorrektur.
Trade-off-Matrix
| Variante | Vorteil | Nachteil |
|---|---|---|
| Voller Einspruch + gerichtliches Verfahren | Sachprüfung, keine Bindung an Behördenbewertung | Hauptverhandlung/Öffentlichkeit, Kosten- und Reputationsrisiko |
| Beschlussverfahren § 72 OWiG anstreben | Schnelle, schriftliche Erledigung möglich | Nur bei passendem Verfahrensstand und Einverständnis-/Widerspruchslage sinnvoll |
| Einspruchsrücknahme nach Akteneinsicht/Termin | Begrenzung weiterer Risiken | Bestandskraft, kein Einfluss mehr |
| Selbstmeldung + Kooperation vor Bescheid | Bußgeldmilderung Art. 83 Abs. 2 lit. c/f/h DSGVO möglich | Selbstbelastungs- und Scope-Erweiterungsrisiko |
| Verschuldens-Bestreitung EuGH C-807/21/C-683/21 | Kernargument gegen schematische Unternehmenshaftung | Nur stark, wenn Compliance-Organisation, TOMs und Eskalationslogik belegbar sind |
| Verwaltungsgerichtliche Abwehr Art. 58 DSGVO | Stoppt/prüft Auflagen, Untersagungen, Löschungs- oder Transferanordnungen | Andere Fristen, anderer Rechtsweg, keine automatische Lösung des Bußgeldverfahrens |
Mustertexte
Einspruch (fristwahrend)
An die [Aufsichtsbehörde] Aktenzeichen: [Az]
Gegen den Bußgeldbescheid vom [Datum], zugestellt am [Datum], wird in vollem Umfang Einspruch eingelegt.
Die Begruendung erfolgt nach Akteneinsicht.
Wir beantragen Akteneinsicht in den vollstaendigen Vorgang nach § 49 OWiG in Verbindung mit § 147 StPO.
Stellungnahme Anhörung — Strukturvorschlag
- Verfahrensrechtliche Rügen (Zuständigkeit, Anhörung, Akteneinsicht).
- Tatbestand (DSGVO-Norm konkret, Subsumtion mit Belegen).
- Verschulden (EuGH C-807/21 — konkrete Pflichtverletzung des Unternehmens? Welche Organisation, welche Maßnahmen lagen vor?).
- Bemessung nach EDSA 04/2022 (Bezugsumsatz, Schritte 1-5).
- Mildernde Umstände Art. 83 Abs. 2 DSGVO (Maßnahmen, Kooperation, kein Vorteil, keine Vorbelastung).
- Antrag: Einstellung; hilfsweise Verwarnung nach Art. 58 II b DSGVO; hilfsweise Reduzierung auf [Betrag].
Erledigungsvorschlag (Anhörung)
Sehr geehrte Damen und Herren,
ohne Anerkennung einer Rechtspflicht und unter Beibehaltung sämtlicher Verteidigungsrechte schlägt unsere Mandantin folgende einvernehmliche Erledigung vor:
- Umsetzung eines Maßnahmenplans bis [Datum] (Anlage).
- Geldbuße [Betrag] in [Raten].
- Verzicht auf Veröffentlichung der Entscheidung mit Namensnennung.
Mit freundlichen Gruessen
Typische Fehler
- Einspruchsfrist § 67 OWiG verpasst, weil Bescheid an alte Anschrift zugestellt.
- Verschuldensfrage nicht konkret gepruefte EuGH C-807/21 — Unternehmen muss vorsaetzlich oder fahrlaessig gehandelt haben, nicht eine namentlich benannte natuerliche Person.
- EDSA-Schritte unkommentiert akzeptiert.
- Vergleich ohne Vorbehalt der Verteidigungsrechte.
- Konzernumsatz-Bezugsfrage nicht angegriffen (Mandantengesellschaft vs Mutter).
Was triggert die Aufsichtsbehörde besonders zur Höchststrafe? Wiederholungstäter, Verletzung Art.-9-Daten, fehlende DSB-Bestellung trotz § 38 BDSG, fehlender AVV Art. 28 DSGVO, fehlende DSFA Art. 35 DSGVO.
Quellen Stand 06/2026
- DSGVO Art. 5, 6, 25, 32, 33, 35, 37, 58, 83.
- BDSG § 38, § 41, § 43.
- OWiG § 46, § 49, § 55, § 65, § 67, § 69, § 73, § 79.
- StPO § 147.
- EuGH C-807/21 Deutsche Wohnen, Urteil 05.12.2023.
- EDSA, Leitlinien 04/2022 zur Berechnung der Geldbussen nach DSGVO, Version 1.0, angenommen 24.05.2023.
- Keine Aufsatzfundstellen aus Modellwissen.