Wenn eine Datenschutzaufsichtsbehörde ein Bußgeld nach der Datenschutz-Grundverordnung (DSGVO) verhängt, ist der Fall damit nicht zwingend abgeschlossen. Legt das betroffene Unternehmen Einspruch ein, landet das Verfahren vor Gericht. Genau dort zeigt sich jedoch ein strukturelles Problem: Die Behörde, die den Fall ermittelt, bewertet und den Bußgeldbescheid erlassen hat, verliert im gerichtlichen Verfahren weitgehend die Kontrolle.
Im c’t-Datenschutz-Podcast „Auslegungssache“ wurde dieses Problem anhand des Falls notebooksbilliger.de diskutiert. Der Fall zeigt, wie schwierig die gerichtliche Durchsetzung von DSGVO-Bußgeldern in Deutschland sein kann und warum Datenschutzaufsichtsbehörden eine stärkere Rolle vor Gericht fordern.
Der Fall notebooksbilliger.de als Ausgangspunkt
Die niedersächsische Datenschutzaufsicht hatte gegen notebooksbilliger.de im Jahr 2020 ein Bußgeld in Höhe von 10,4 Millionen Euro verhängt. Hintergrund war eine umfangreiche Videoüberwachung mit 81 Kameras, von der Beschäftigte, Kunden und Dritte betroffen gewesen sein sollen. Zusätzlich standen lange Speicherdauern von bis zu 60 Tagen im Raum.
Das Unternehmen legte Einspruch ein. Das Landgericht Hannover reduzierte das Bußgeld später auf 700.000 Euro. Das Oberlandesgericht Celle hob die Summe Ende 2025 in der Rechtsbeschwerde auf 900.000 Euro an. Die materiellen Datenschutzverstöße wurden zwar bestätigt, vom ursprünglichen Millionenbußgeld blieb jedoch weniger als ein Zehntel übrig.
Der Fall zeigt damit zwei Dinge: Datenschutzverstöße, insbesondere bei Videoüberwachung, bleiben bußgeldrelevant. Gleichzeitig kann die gerichtliche Überprüfung die Höhe eines DSGVO-Bußgeldes erheblich verändern.
Was vor Gericht heikel wird
Das eigentliche Problem liegt im Verfahrensweg. Die Datenschutzbehörde ermittelt zunächst als Verwaltungsbehörde nach dem Ordnungswidrigkeitengesetz (OWiG). Sie hört die Beteiligten an, bewertet den Sachverhalt und erlässt den Bußgeldbescheid. Legt das Unternehmen innerhalb der Frist Einspruch ein und hält die Behörde an ihrer Entscheidung fest, wird der Fall an die Staatsanwaltschaft abgegeben.
Ab diesem Zeitpunkt verliert die Datenschutzbehörde weitgehend ihre Steuerungsmöglichkeit. Die Staatsanwaltschaft vertritt den Fall vor Gericht, kann eigene Anträge stellen und sogar eine Einstellung des Verfahrens beantragen. In der Rechtsmittelinstanz übernimmt anschließend die Generalstaatsanwaltschaft, die wiederum zu einer anderen Bewertung oder einer anderen Bußgeldhöhe kommen kann.
Gerade im Datenschutzrecht ist diese Rollenverteilung problematisch. Die Aufsichtsbehörde kennt den Sachverhalt, die technischen Details und die datenschutzrechtliche Bewertung. Vor Gericht steht sie aber nicht im Zentrum des Verfahrens. Dadurch kann Fachwissen verloren gehen oder nicht mit der nötigen Wirkung eingebracht werden.
Schwächt das die abschreckende Wirkung der DSGVO?
DSGVO-Bußgelder sollen nicht nur vergangene Verstöße sanktionieren. Sie sollen auch abschrecken und Unternehmen dazu bewegen, Datenschutz ernst zu nehmen. Wenn hohe Bußgelder im gerichtlichen Verfahren deutlich reduziert werden, kann dadurch ein anderes Signal entstehen: Unternehmen könnten den Eindruck gewinnen, dass sich ein Einspruch gegen Bußgeldbescheide regelmäßig lohnt.
Das ist für die Durchsetzung der DSGVO relevant. Gerade hohe Bußgelder haben in Unternehmen häufig eine wichtige interne Wirkung. Sie erhöhen den Druck, Datenschutzrisiken ernst zu nehmen, Ressourcen bereitzustellen und Maßnahmen tatsächlich umzusetzen. Wenn diese abschreckende Wirkung geschwächt wird, kann auch die praktische Bedeutung von Datenschutz-Compliance leiden.
Dabei bedeutet eine gerichtliche Reduzierung nicht, dass Datenschutzverstöße folgenlos bleiben. Der Fall notebooksbilliger.de zeigt gerade, dass rechtswidrige Videoüberwachung weiterhin erhebliche Konsequenzen haben kann. Entscheidend ist jedoch, dass Bußgelder vor Gericht fachlich belastbar verteidigt werden können.
Reformidee: Datenschutzbehörden als Antragsbeteiligte
Als Lösung wird eine stärkere Verfahrensrolle der Datenschutzaufsichtsbehörden diskutiert. Denkbar wäre, dass Landesdatenschutzbehörden künftig neben der Staatsanwaltschaft als Antragsbeteiligte auftreten dürfen. Dann könnten sie eigene Schriftsätze einreichen, Anträge stellen und dem Gericht die fachlichen Hintergründe ihrer Bußgeldbemessung erläutern.
Ein solcher Ansatz würde die Expertise der Datenschutzbehörden besser in das gerichtliche Verfahren einbinden. Gleichzeitig könnten Verfahrensfehler reduziert werden, weil fachlich spezialisierte Behörden ihre Bewertung aktiv vertreten könnten. Als Vergleich wird häufig auf andere spezialisierte Behörden verwiesen, die in gerichtlichen Verfahren stärker eingebunden sind.
Für die Praxis wäre das ein wichtiger Schritt. Datenschutzverfahren sind häufig technisch und rechtlich komplex. Es geht nicht nur um juristische Fragen, sondern auch um Systeme, Speicherdauern, Zugriffskonzepte, Risikobewertungen und organisatorische Maßnahmen. Gerade deshalb spricht viel dafür, die Fachbehörde im gerichtlichen Verfahren nicht nur am Rand zu beteiligen.
Bedeutung für Unternehmen
Für Unternehmen zeigt die Diskussion: Ein DSGVO-Bußgeldbescheid ist nicht zwingend das letzte Wort. Ein Einspruch kann im Einzelfall wirtschaftlich relevant sein, wenn Gerichte die Höhe des Bußgeldes überprüfen und neu bewerten.
Gleichzeitig sollten Unternehmen daraus nicht den Schluss ziehen, Datenschutzverstöße seien kalkulierbar oder folgenlos. Auch reduzierte Bußgelder können erheblich sein. Hinzu kommen Reputationsschäden, interne Aufarbeitung, mögliche Ansprüche Betroffener und langfristige Auswirkungen auf das Vertrauen von Kunden und Beschäftigten.
Besonders bei Videoüberwachung sollten Unternehmen sorgfältig prüfen, ob Rechtsgrundlage, Erforderlichkeit, Transparenz, Speicherdauer und Verhältnismäßigkeit eingehalten werden. Pauschale oder dauerhafte Überwachung bleibt ein erhebliches Risiko.
Fazit
Der Fall notebooksbilliger.de macht deutlich, dass DSGVO-Bußgeldverfahren nicht nur eine Frage der Bußgeldhöhe sind. Es geht auch um die Frage, ob das deutsche Verfahren geeignet ist, Datenschutzverstöße effektiv gerichtlich durchzusetzen.
Datenschutzaufsichtsbehörden verfügen über die fachliche Expertise, verlieren im gerichtlichen Verfahren aber weitgehend die Kontrolle. Eine stärkere Rolle als Antragsbeteiligte könnte helfen, Bußgeldentscheidungen fachlich besser zu verteidigen und die Durchsetzung der DSGVO zu stärken.
Für Unternehmen bleibt die zentrale Botschaft: Datenschutz-Compliance sollte nicht erst im Bußgeldverfahren beginnen. Wer eingriffsintensive Maßnahmen wie Videoüberwachung einsetzt, muss diese sauber begründen, dokumentieren und regelmäßig überprüfen. Denn auch wenn Bußgelder vor Gericht reduziert werden können, bleiben die Grenzen der DSGVO verbindlich.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
