Erst eine Verwarnung erhalten und darüber hinaus noch ein Bußgeld aufgebrummt bekommen? Dieses Vorgehen einiger Datenschutzaufsichtsbehörden sorgt bei betroffenen Unternehmen für Erstaunen. Ein aktueller Sachverhalt aus dem Raum Hannover zeigt beispielhaft das Vorgehen der Behörden und eine erste Reaktion der Rechtsprechung.
Das Verwaltungsgericht (VG) Hannover hat mit Urteil v. 07.08.2026 – 10 A 5144/23 entschieden, dass das Aussprechen einer Verwarnung und die kumulative Verhängung eines Bußgeldes nicht gegen das Verbot der Doppelbestrafung verstößt und rechtmäßig sein kann. Das Urteil eröffnet für Datenschutzaufsichtsbehörden die Möglichkeit, Bußgelder auf Grundlage einer unwidersprochen Verwarnung folgen zu lassen und schafft ein Risikopotenzial für zahlreiche Verantwortliche im Sinne der DSGVO.
Erst Verwarnung, dann Geldbuße
Bei einem aus der Sicht der Behörde bestehenden Datenschutzverstoß, spricht sie zunächst eine Verwarnung im Sinne des Art. 58 Abs. 2 lit. b DSGVO aus. Wird dieser Verwaltungsakt nicht vom Adressaten widersprochen (angefochten), erwächst die Entscheidung in Bestandskraft. Dies hat zur Folge, dass der handelnde Verwaltungsträger daraufhin ein Bußgeld gemäß Art. 83 DSGVO verhängt und in seiner Begründung sich auf die bestandskräftige Verwarnung, in der sie eine Bestätigung des Datenschutzverstoßes sieht, stützt. Die Behörden berufen sich dabei auf ihr Auswahlermessen, das ihnen einen rechtlichen Spielraum bei der Auswahl der im konkreten Fall richtigen Rechtsfolge ermöglicht. Im vorliegenden Fall solle diese Entscheidungsfreiheit soweit reichen, dass auch eine kumulative Verhängung von Verwarnung und Bußgeld möglich sei. Die Behörden argumentieren, dass sie im Rahmen der Ausübung ihres pflichtgemäßen Ermessens auch die Möglichkeit zur Wahl von zwei Abhilfebefugnissen hätten, die der Art. 58 Abs. 2 DSGVO ihnen zu schreibt.
Kritik am Vorgehen der Datenschützer
Datenschutzexperten, wie Tim Wybitul und Tobias Oberwalder, sehen in der ZD (Zeitschrift für Datenschutzrecht) 2026, 730 ff. die Argumentation der Behörden kritisch. Das Vorgehen entspräche nicht der Systematik der DSGVO. Genauer widersprächen die Erwägungsgründe des Gesetzgebers zur DSGVO einer kumulative Anwendung von Verwarnung und Bußgeld. Beide Maßnahmen seien repressive Befugnisse zur Feststellung eines Verstoßes gegen die DSGVO. Eine zweifache Verwendung käme einer nach Art. 50 GRCh verbotenen Doppelbestrafung gleich. Verfassungsrechtlich ist das Verbot in Art. 103 Abs. 3 GG, bekannt als ne bis in idem, statuiert. Nach Ansicht der Kritiker habe eine Verwarnung ebenso wie ein Bußgeld einen repressiven Charakter und sei somit als Sanktion im Sinne der DSGVO anzusehen. Demnach liege in der zweifachen Anwendung eine doppelte Bestrafung. Dieses Vorgehen würde nicht lediglich gegen Art. 50 GRCh verstoßen, sondern darüber hinaus auch nicht verhältnismäßig sein. Nach Art. 52 Abs. 1 S. 2 GRCh sind Einschränkungen von Unionsgrundrechten nur rechtmäßig, wenn sie auch verhältnismäßig sind.
Im Unionsrecht ist eine Maßnahme verhältnismäßig, wenn sie einen legitimen Zweck verfolgt, geeignet ist diesen zumindest zu fördern und darüber hinaus auch erforderlich ist; das heißt, dass kein gleich geeignetes, milderes Mittel zur Verfügung stehen darf. Zuletzt muss die Maßnahme auch in einem angemessenen Verhältnis zum eingeschränkten Grundrecht stehen. Nach Ansicht der Kritiker ist bereits die Erteilung einer Verwarnung nicht mehr erforderlich, wenn in der selben Sache ein Bußgeld verhängt wird; das Bußgeld allein erreiche eine sanktionierende Wirkung gegenüber dem Betroffenen.
Rechtsgrundlose Videoüberwachung, Verstoß gegen Speicherbegrenzung und fehlendes Verarbeitungsverzeichnis
Im vorliegenden Fall aus dem Raum Hannover hat das VG gleich mehrere Verstöße gegen die DSGVO als bewiesen angesehen. Zum einen bestand nach Ansicht des Gerichts weder im Innen- noch im Außenbereich eine taugliche Rechtsgrundlage für eine Videoaufzeichnung gemäß Art. 6 Abs. 1 Lit. f DSGVO. Zum anderen wurden das aufgezeichnete Videomaterial über einen zu langen Zeitraum gespeichert, darin liege ein Verstoß gegen die Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO vor. Abschließend wurde das Fehlen eines Verarbeitungsverzeichnisses gemäß Art. 30 DSGVO festgestellt. Ein solches Verzeichnis dürfte in der Praxis häufiger nicht geführt werden, was jedoch nicht von der rechtlichen Verpflichtung im Einzelfall entbindet und erst Recht nicht vor einer empfindlichen Sanktionierung schützt.
Was gilt es für Unternehmen zu beachten?
Das Vorgehen der Datenschutzaufsichtsbehörde und das Urteil des VG Hannovers verdeutlichen, unabhängig von der tatsächlich rechtlichen Zulässigkeit, dass Unternehmen gut beraten sind, stets auf die genaue Einhaltung datenschutzrechtlicher Vorgaben zu achten. Zudem kann bereits die rechtliche Überprüfung einer behördlichen Verwarnung, die Grundlage für ein möglicherweise folgendes Bußgeld entziehen. Es bleibt abzuwarten, ob und wie höherinstanzliche Rechtsprechung auf das Thema reagiert.