DSGVO-Bußgeldverfahren: was nach Anzeige passiert (8 Schritte)

1. 8-Schritt-Ablauf

Ein DSGVO-Bußgeldverfahren läuft in acht Schritten von der Beschwerde bis zur Vollstreckung. Besonders eng getaktet sind zwei Schritte: die Anhörung (Schritt 3) und die Einspruchsfrist (Schritt 7). In den übrigen Schritten wirken Sie über Unterlagen, Kooperation und die Umsetzung von Anordnungen mit. Die Spannen in der Spalte „Dauer“ sind Erfahrungswerte, keine gesetzlichen Fristen, und nicht zu einer Gesamtdauer addierbar.

Schritt 1: Beschwerde-Eingang

Klären Sie zuerst, welche Behörde schreibt — Deutschland und Österreich laufen ab hier unterschiedlich (Abschnitte 5 und 9). In Deutschland überwachen bei nichtöffentlichen Stellen die nach Landesrecht zuständigen Behörden die Anwendung des Datenschutzrechts § 40 Abs. 1 BDSG; für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten ist die oder der BfDI zuständig § 9 Abs. 1 BDSG. In Österreich ist die Datenschutzbehörde als nationale Aufsichtsbehörde nach Art. 51 DSGVO eingerichtet § 18 Abs. 1 DSG — eine einzige Bundesbehörde, kein Landessystem. Praxisempfehlung: Eingangsdatum, Aktenzeichen und Ansprechpartner sofort erfassen und eine einzige verantwortliche Person im Haus benennen.

Schritt 2: Vorprüfung

Die Behörde prüft in dieser Phase ihre eigene Zuständigkeit und die Substanz der Beschwerde. Bei grenzüberschreitender Verarbeitung übernimmt die federführende Aufsichtsbehörde, bei rein nationalen Sachverhalten die zuständige Landesbehörde; bei Streit über die Zuständigkeit greift das EU-Konsistenzverfahren. Praxisempfehlung: Halten Sie Hauptniederlassung, Verarbeitungsorte und Konzernstruktur belegbar bereit — an diesen Angaben setzt die Zuständigkeitsprüfung an, und sie lassen sich später nur mühsam korrigieren.

Schritt 3: Anhörung des Verantwortlichen

Die Anhörung ist der Punkt, an dem Sie den Sachverhalt aus Ihrer Sicht aktenkundig machen. Rechtlich beruht sie auf § 55 Abs. 1 OWiG i.V.m. § 163a Abs. 1 StPO; die Frist von vier Wochen setzt die Behörde, sie ist verlängerbar. Hängt die Beschwerde an einem Betroffenenantrag, ist die maßgebliche Frist im Ausgangssachverhalt eine andere: Auf Anträge nach Art. 15 bis 22 DSGVO ist unverzüglich, in jedem Fall binnen eines Monats zu reagieren; eine Verlängerung um zwei Monate ist möglich, wenn dies angesichts der Komplexität und der Anzahl der Anträge erforderlich ist und die betroffene Person innerhalb des ersten Monats unter Angabe der Gründe unterrichtet wird Art. 12 Abs. 3 DSGVO. Legen Sie den Fristenlauf mit Datumsnachweis vor.

Schritt 4: Sachaufklärung

In der Sachaufklärung prüft die Aufsicht Ihre Dokumentenlage. Sie arbeitet sie in der Praxis-Reihenfolge aus Abschnitt 7 ab; die eingesetzten Mittel stehen in der Tabelle oben. Praxisempfehlung: Antworten Sie vollständig und in einem bearbeitbaren Format statt in einer PDF-Sammlung — Nachforderungen verlängern die Sachaufklärung, die erfahrungsgemäß ohnehin 3 bis 12 Monate dauert.

Schritt 5: Anordnung / Verfügung

In Schritt 5 verlangt die Aufsichtsbehörde ein bestimmtes Tun oder Unterlassen (Art. 58). Setzen Sie die Anordnung um und dokumentieren Sie die Umsetzung mit Datum, Verantwortlichem und Nachweis — korrektive Maßnahmen wirken nach Art. 83 Abs. 2 lit. c strafmildernd. In Österreich kann die Datenschutzbehörde an dieser Stelle nach § 11 DSG verwarnen, statt eine Geldbuße zu verhängen (Abschnitt 9).

Schritt 6: Bußgeldbescheid

Der Bescheid ist begründet und enthält eine Rechtsbehelfsbelehrung — prüfen Sie zuerst, welche Norm er zitiert. Art. 83 Abs. 5 DSGVO (Grundsätze der Verarbeitung, Einwilligungsbedingungen, Betroffenenrechte) und Art. 83 Abs. 4 DSGVO (Pflichten von Verantwortlichen und Auftragsverarbeitern, u. a. Art. 25 bis 39) haben unterschiedliche Obergrenzen; welcher Rahmen für welchen Verstoßtyp gilt, steht mit Beträgen in Abschnitt 4. Daneben stehen die nationalen Ergänzungen: § 43 Abs. 2 und 3 BDSG in Deutschland und § 62 Abs. 1 DSG in Österreich.

Schritt 7: Einspruchsfrist

Ab Zustellung des Bescheids läuft eine Frist von zwei Wochen; der Einspruch ist schriftlich oder zur Niederschrift bei der erlassenden Behörde einzulegen § 67 Abs. 1 Satz 1 OWiG. Praxisempfehlung: Zustellungsdatum am selben Tag im Fristenkalender erfassen und den Einspruch nicht auf den letzten Tag legen — Rechtsweg im Detail und der abweichende österreichische Weg in Abschnitt 5.

Schritt 8: Amtsgericht und Vollstreckung

Über den Einspruch entscheidet das Amtsgericht, ab einer festgesetzten Geldbuße über 100.000 EUR das Landgericht; vollstreckt wird erst nach Rechtskraft (Abschnitt 5). Praxisempfehlung: Bilden Sie für Bußgeld und Verfahrenskosten eine Rückstellung, sobald der Bescheid vorliegt — nicht erst nach der Gerichtsentscheidung.

Fristen und Zeitangaben im Überblick

Die folgende Tabelle ordnet die Zeitangaben ein, die im Verfahren am häufigsten verwechselt werden; die Spalte „Art“ zeigt, woher die Angabe stammt.

2. Verfahrensrechte des Verantwortlichen

Im Bußgeldverfahren prägen fünf Punkte Ihre Stellung: vier Verfahrensrechte und eine Praxis-Option. Praxisempfehlung: Machen Sie sie ausdrücklich, schriftlich und unter Angabe des Aktenzeichens geltend.

• Akteneinsicht im Bußgeldverfahren auf Antrag (§ 49 Abs. 1 OWiG — Grenze: Gefährdung des Untersuchungszwecks, überwiegende schutzwürdige Interessen Dritter; vgl. BVerwG 6 C 6.20); das Akteneinsichtsrecht besteht auch in Beschwerde-Akten der AB.
• Anhörung vor dem Bußgeldbescheid (§ 55 Abs. 1 OWiG i.V.m. § 163a Abs. 1 StPO)
• Anwaltlicher Beistand / Verteidiger (§ 46 Abs. 1 OWiG i.V.m. den Vorschriften der StPO)
• Schweigerecht bezüglich Selbstbelastung (Bußgeldverfahren nach OWiG)
• Verständigung: In der Praxis möglich (§ 257c StPO analog); für das Bußgeldverfahren ist sie nicht ausdrücklich geregelt.

Praxisempfehlung für die Ausübung: Stellen Sie den Antrag auf Akteneinsicht zusammen mit der Antwort auf die Anhörung, führen Sie die gesamte Kommunikation schriftlich über eine Adresse und protokollieren Sie Telefonate mit Datum und Inhalt. Wer intern mehrere Kanäle offen lässt, riskiert widersprüchliche Aussagen gegenüber der Behörde.

3. Verteidigungsstrategie

Die Verteidigung entscheidet sich vor dem Bescheid: in der Stellungnahme zur Anhörung und mit den Unterlagen, die Sie dort vorlegen.

1. Stellungnahme: Die Behörde setzt in der Regel vier Wochen, die Frist ist verlängerbar (Schritt 3). Antworten Sie erst, wenn Sachverhalt, Fristenlauf und Dokumentenlage intern geklärt sind; beantragen Sie bei Bedarf rechtzeitig Verlängerung.
2. Anwalt einschalten bei drohendem Bußgeld über 5.000 EUR (Praxisempfehlung); wovon die Anwaltskosten abhängen, steht in Abschnitt 5
3. Dokumentation vorlegen: VVT (Art. 30 Abs. 1 DSGVO), AVVs (Art. 28 Abs. 3 DSGVO), DSFA (Art. 35 Abs. 1 DSGVO), Schulungsnachweise, Bestellung der oder des Datenschutzbeauftragten (Art. 37 Abs. 1 DSGVO, in Deutschland ergänzt um die 20-Personen-Schwelle des § 38 Abs. 1 BDSG), TOM (Art. 32 Abs. 1 DSGVO)
4. Korrektive Maßnahmen sofort umsetzen + dokumentieren — strafmildernd nach Art. 83 Abs. 2 lit. c
5. Mit der Aufsichtsbehörde kommunizieren — Kooperation ist ein Zumessungsgesichtspunkt nach Art. 83 Abs. 2 DSGVO und kann mildernd wirken (Abschnitt 4)
6. Wirtschaftliche Verhältnisse offenlegen (Art. 83 Abs. 2 lit. k, Existenzbedrohung berücksichtigen)

Für Österreich kommt ein siebter Ansatzpunkt hinzu: Erstmaligkeit und bereits umgesetzte Abhilfe belegen (Abschnitt 9).

4. Bußgeld-Zumessung nach Art. 83 DSGVO

Die Höhe folgt zwei getrennten Fragen: Welcher Absatz des Art. 83 DSGVO ist einschlägig (das bestimmt den Rahmen) und wie fallen die Zumessungsgesichtspunkte aus (das bestimmt den Betrag innerhalb des Rahmens).

• Schwere des Verstoßes (Anzahl Betroffener, Sondersensibilität, Dauer)
• Vorsatz / Fahrlässigkeit
• Korrektive Maßnahmen — mildernd (Art. 83 Abs. 2 lit. c)
• Kooperation mit AB — mildernd
• Wiederholung früherer Verstöße
• Wirtschaftliche Lage (Art. 83 Abs. 2 lit. k)

Der Rahmen ergibt sich aus dem einschlägigen Absatz des Art. 83 DSGVO; die Zuordnung nach Verstoßtyp zeigt die folgende Tabelle. Die beiden letzten Tabellenzeilen sind nationale Ergänzungen und gelten jeweils nur im genannten Rechtsraum.

5. Einspruch gegen den Bußgeldbescheid

Gegen einen DSGVO-Bußgeldbescheid ist nicht der Verwaltungsrechtsweg eröffnet: § 20 Abs. 1 Satz 2 BDSG nimmt Bußgeldverfahren ausdrücklich aus. Rechtsbehelf ist der Einspruch nach dem Gesetz über Ordnungswidrigkeiten, das nach § 41 Abs. 1 Satz 1 BDSG sinngemäß gilt:

• Einspruchsfrist: zwei Wochen ab Zustellung, schriftlich oder zur Niederschrift bei der Behörde, die den Bußgeldbescheid erlassen hat (§ 67 Abs. 1 Satz 1 OWiG)
• Über den Einspruch entscheidet das Amtsgericht (§ 68 Abs. 1 OWiG); übersteigt die festgesetzte Geldbuße 100.000 EUR, entscheidet das Landgericht (§ 41 Abs. 1 Satz 3 BDSG)
• Keine aufschiebende Wirkung nach § 80 VwGO: Der rechtzeitige Einspruch verhindert den Eintritt der Rechtskraft — vollstreckbar sind Bußgeldentscheidungen erst, wenn sie rechtskräftig geworden sind (§ 89 OWiG)
• Gerichtliches Verfahren 12-24 Monate (Erfahrungswert); es gelten OWiG, Strafprozessordnung und Gerichtsverfassungsgesetz entsprechend (§ 41 Abs. 2 BDSG)
• Rechtsanwaltsgebühren im Bußgeldverfahren: abhängig von Umfang und Stadium des Verfahrens — den Kostenrahmen vorab mit der Kanzlei klären

DE/AT — wie wird der Bescheid angefochten? In Deutschland entscheidet über den Einspruch das Amts- bzw. Landgericht (§ 41 Abs. 1 BDSG). In Österreich entscheidet über Beschwerden gegen Bescheide der Datenschutzbehörde das Bundesverwaltungsgericht (§ 27 Abs. 1 DSG); zuständige Behörden siehe Schritt 1.

6. Typische Verstoßkonstellationen und ihr Bußgeldrahmen

Die folgende Übersicht ordnet fünf typische Konstellationen dem gesetzlichen Bußgeldrahmen zu und nennt den Ansatzpunkt für die Stellungnahme. Sie ersetzt keine Prüfung des Einzelfalls und sagt kein Verfahrensergebnis voraus.

Wie hoch ein Bußgeld innerhalb des Rahmens ausfällt, bestimmen die Zumessungsgesichtspunkte des Art. 83 Abs. 2 DSGVO (Abschnitt 4): Nachweislich umgesetzte korrektive Maßnahmen und Kooperation können mildernd wirken, ein bestimmtes Ergebnis folgt daraus nicht.

7. Was die Aufsicht anfordert: VVT, AVV, TOM, DSFA

Die Aufsicht arbeitet die Dokumentenlage in dieser Praxis-Reihenfolge ab: Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, TOM-Konzept, Datenschutz-Folgenabschätzung. Für die Vorlage des Verarbeitungsverzeichnisses nennt Art. 30 Abs. 4 DSGVO keine Tagesfrist, sondern verlangt sie „auf Anfrage“; die Praxis-Erwartung der Aufsichtsbehörden steht in der Fristentabelle in Abschnitt 1.

Entscheidend ist die Konsistenz zwischen den Schichten: Jeder im VVT als Auftragsverarbeiter genannte externe Empfänger braucht einen AVV — Lücken zwischen beiden Listen fallen sofort auf. In Österreich gilt Art. 30 DSGVO wortgleich: gleiche Pflichtangaben, keine abweichenden Schwellen; unterschiedlich ist nur, dass die Datenschutzbehörde allein zuständig ist.

8. Wenn das Verfahren aus einer Datenpanne kommt

Kommt das Verfahren aus einer Datenschutzverletzung, treten zu den acht Verfahrensschritten drei eigene Pflichten: Meldung, Benachrichtigung und Dokumentation. Maßgeblich für die Meldung ist Art. 33 Abs. 1 DSGVO: Meldung unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung später, ist ihr eine Begründung für die Verzögerung beizufügen. Bei voraussichtlich hohem Risiko kommt die Benachrichtigung der betroffenen Personen hinzu (Art. 34 Abs. 1 DSGVO); sie entfällt nach Art. 34 Abs. 3 DSGVO, wenn wirksame Schutzmaßnahmen wie Verschlüsselung angewandt wurden, nachfolgende Maßnahmen das hohe Risiko beseitigt haben oder der Aufwand unverhältnismäßig wäre; nur im letztgenannten Fall tritt eine öffentliche Bekanntmachung an ihre Stelle.

Auch nicht gemeldete Vorfälle sind zu dokumentieren, einschließlich der Begründung, warum keine Meldung erfolgte (Art. 33 Abs. 5 DSGVO). Verstöße gegen Art. 33 fallen in den Rahmen des Art. 83 Abs. 4 DSGVO (Abschnitt 4). Die Meldung geht an die Aufsichtsbehörde, die nach Abschnitt 1 für Sie zuständig ist — in Deutschland betreibt jedes Bundesland ein eigenes Meldeportal (Beispiel Bayern: Bayerisches Landesamt für Datenschutzaufsicht, lda.bayern.de), in Österreich die Datenschutzbehörde unter dsb.gv.at.

9. Österreich: Datenschutzbehörde, Verwarnung, § 62 DSG

In Österreich führt eine einzige Behörde das Verfahren: die Datenschutzbehörde in der Barichgasse 40-42, 1030 Wien, mit Online-Beschwerdeformular unter dsb.gv.at. Drei Punkte prägen den österreichischen Ablauf.

• Verwarnung als vorgesehenes Mittel: § 11 DSG verlangt eine verhältnismäßige Anwendung des Art. 83 DSGVO und sieht insbesondere bei erstmaligen Verstößen eine Verwarnung statt einer Geldbuße vor.
• Nationale Verwaltungsstrafe nur subsidiär: § 62 Abs. 1 DSG greift nur, sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist. Strafrahmen und erfasste Tatbestände stehen in der Tabelle in Abschnitt 4; zuständig für diese Entscheidungen ist die Datenschutzbehörde.
• Beschäftigtendaten ohne eigene Norm: Einen eigenen Beschäftigtendatenschutz-Paragrafen wie § 26 BDSG kennt das österreichische DSG nicht. Maßgeblich sind Art. 6 und Art. 88 DSGVO, ergänzt um § 12 Abs. 4 Z 2 DSG (Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ist unzulässig) und § 96 Abs. 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Betriebsvereinbarung).

Die EU-Rahmen des Art. 83 Abs. 4 und Abs. 5 DSGVO gelten unverändert auch in Österreich; § 11 DSG steuert, wie sie angewandt werden — insbesondere mit der Verwarnung statt einer Geldbuße bei erstmaligen Verstößen.