Welche häufigen Fehler gibt es bei DSGVO Art. 58 (VO 2016/679)?

„Die Behörde darf nur Bußgelder verhängen." Falsch – das Bußgeld ist nur eine von zehn Abhilfebefugnissen; in der Praxis sind Verwarnungen und Anweisungen häufiger. „Auskunftsverlangen kann man ignorieren." Nein – die Nichtgewährung von Zugang und die Nichtbefolgung von Anordnungen sind selbst im höchsten Bußgeldrahmen (20 Mio. € / 4 %) bewehrt.

DSGVO Art. 58 (VO 2016/679) – Befugnisse der Datenschutz-Aufsichtsbehörden: Untersuchung, Abhilfe, Anordnung, Bußgeld In Kraft

Q: Was regelt DSGVO Art. 58 (VO 2016/679) – Befugnisse der Datenschutz-Aufsichtsbehörden: Untersuchung, Abhilfe, Anordnung, Bußgeld?

Art. 58 der Verordnung (EU) 2016/679 (DSGVO) regelt, was eine Datenschutz-Aufsichtsbehörde gegenüber Verantwortlichen und Auftragsverarbeitern tun darf. Die Norm gliedert sich in drei Befugnisgruppen: Untersuchungsbefugnisse (Abs. 1: Auskunft anordnen, Datenschutz-Audits, Zugang zu Daten und Geschäftsräumen), Abhilfebefugnisse (Abs.

Q: Für wen gilt DSGVO Art. 58 (VO 2016/679)?

Art. 58 richtet sich an die Aufsichtsbehörden (Art. 51 ff.) und trifft Verantwortliche, Auftragsverarbeiter und ihre Vertreter (Art. 27). Über das Marktortprinzip (Art. 3 Abs. 2) können auch Unternehmen außerhalb der EU adressiert werden. Die örtliche Zuständigkeit richtet sich bei grenzüberschreitender Verarbeitung nach dem One-Stop-Shop (federführende Behörde am Hauptsitz, Art. 56).

Kurzantwort **Art. 58 der Verordnung (EU) 2016/679 (DSGVO)** regelt, was eine Datenschutz-Aufsichtsbehörde gegenüber Verantwortlichen und Auftragsverarbeitern tun darf. Die Norm gliedert sich in **drei Befugnisgruppen**: **Untersuchungsbefugnisse** (Abs. 1: Auskunft anordnen, Datenschutz-Audits, Zugang zu Daten und Geschäftsräumen), **Abhilfebefugnisse** (Abs. 2: Warnung, Verwarnung, Anweisung, Verarbeitungsverbot, Löschanordnung, Aussetzung von Drittlandtransfers, Geldbuße) sowie **Genehmigungs- und Beratungsbefugnisse** (Abs. 3). Sie gilt als **EU-Verordnung unmittelbar** in Deutschland; das BDSG und die Landesdatenschutzgesetze ergänzen sie nur verfahrensrechtlich. Wer Anordnungen der Behörde nach Art. 58 Abs. 2 **nicht befolgt**, riskiert eine Geldbuße im **höchsten Rahmen: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (Art. 83 Abs. 5 lit. e, Abs. 6). Das gilt auch, wenn der Zugang nach Art. 58 Abs. 1 verweigert wird. Gegen jede verbindliche Entscheidung steht der **Rechtsweg** offen (Art. 78; in Deutschland § 20 BDSG, Verwaltungsgerichte).

Kernfakten

Punkt	Wert
Rechtsakt	Verordnung (EU) 2016/679 (DSGVO), Art. 58 [EUR-Lex, CELEX:32016R0679]
Rechtsnatur	EU-Verordnung → unmittelbar anwendbar, kein Umsetzungsgesetz nötig
Geltung seit	25. Mai 2018
Untersuchungsbefugnisse	6 (Abs. 1 lit. a–f): Auskunft anordnen, Audits, Zertifizierungen prüfen, Verstoß mitteilen, Zugang zu Daten, Zugang zu Räumen/Geräten
Abhilfebefugnisse	10 (Abs. 2 lit. a–j)
Genehmigungs-/Beratungsbefugnisse	10 (Abs. 3 lit. a–j), u. a. SCC festlegen, BCR genehmigen (Art. 47)
Mildestes Mittel	Warnung (Abs. 2 lit. a) vor beabsichtigter Verarbeitung; Verwarnung (lit. b) bei Verstoß
Schärfste Mittel	Verarbeitungsverbot (lit. f), Aussetzung von Drittlandtransfers (lit. j), Geldbuße (lit. i)
Geldbuße „zusätzlich oder anstelle"	Bußgeld kann neben oder statt anderer Maßnahmen verhängt werden [Art. 58 Abs. 2 lit. i]
Bußgeld bei Nichtbefolgung einer Anordnung	bis 20 Mio. € oder 4 % des weltweiten Vorjahresumsatzes (der höhere Wert) [Art. 83 Abs. 5 lit. e, Abs. 6]
Bußgeld bei Zugangsverweigerung	bis 20 Mio. € oder 4 % [Art. 83 Abs. 5 lit. e]
Schutzgarantien	Wirksamer gerichtlicher Rechtsbehelf und ordnungsgemäßes Verfahren [Art. 58 Abs. 4]
Deutschland: Zuständigkeit	Landesbehörden für Private (§ 40 BDSG), BfDI für Bund und Telekommunikation/Post
Deutschland: Zutritt	Befugte Mitarbeiter dürfen Geschäftsräume betreten und auf Datenverarbeitungsanlagen zugreifen [§ 40 Abs. 5 BDSG]
Deutschland: Rechtsweg	Verwaltungsgerichte; kein Vorverfahren (kein Widerspruch); Gericht am Behördensitz [§ 20 Abs. 1, 3, 6 BDSG]
Betroffener / Beschwerdeführer	Kein Anspruch auf ein bestimmtes Bußgeld; Behörde muss Beschwerde aber sorgfältig prüfen [EuGH C-768/21]
Behörden als Adressat (DE)	Gegen Behörden und öffentliche Stellen werden keine Geldbußen verhängt [§ 43 Abs. 3 BDSG]
Nachweispflicht des Verantwortlichen	Rechenschaft über Einhaltung (Art. 5 Abs. 2, Art. 24) – Dokumentation muss auf Anforderung vorliegen

Geltungsbereich

Art. 58 richtet sich an die Aufsichtsbehörden (Art. 51 ff.) und trifft Verantwortliche, Auftragsverarbeiter und ihre Vertreter (Art. 27). Über das Marktortprinzip (Art. 3 Abs. 2) können auch Unternehmen außerhalb der EU adressiert werden. Die örtliche Zuständigkeit richtet sich bei grenzüberschreitender Verarbeitung nach dem One-Stop-Shop (federführende Behörde am Hauptsitz, Art. 56). In Deutschland überwachen die Landesdatenschutzbehörden die Privatwirtschaft (§ 40 BDSG), die BfDI die Bundesbehörden. Die Mitgliedstaaten dürfen zusätzliche Befugnisse vorsehen, solange die Durchsetzung nach Kapitel VII nicht beeinträchtigt wird (Art. 58 Abs. 6).

Detail: Untersuchungsbefugnisse (Abs. 1)

Die Behörde kann (a) vom Verantwortlichen und Auftragsverarbeiter alle erforderlichen Informationen anfordern, (b) Datenschutzüberprüfungen (Audits) durchführen, (c) erteilte Zertifizierungen überprüfen, (d) einen angeblichen Verstoß mitteilen, (e) Zugang zu allen personenbezogenen Daten und Informationen verlangen und (f) Zugang zu Geschäftsräumen samt Datenverarbeitungsanlagen erhalten – nach Maßgabe des Verfahrensrechts. In Deutschland dürfen Mitarbeiter der Behörde dazu Grundstücke und Geschäftsräume betreten und auf die Systeme zugreifen; Auskunftspflichtige können Antworten verweigern, die sie selbst oder nahe Angehörige der Gefahr einer Verfolgung aussetzen würden (§ 40 Abs. 4 BDSG).

Detail: Abhilfebefugnisse (Abs. 2)

Die zehn Abhilfebefugnisse in aufsteigender Schärfe: (a) Warnung vor beabsichtigter, voraussichtlich rechtswidriger Verarbeitung; (b) Verwarnung bei erfolgtem Verstoß; (c) Anweisung, Betroffenenanträge zu erfüllen; (d) Anweisung, Verarbeitungsvorgänge in Einklang mit der DSGVO zu bringen – auf bestimmte Weise und innerhalb einer Frist; (e) Anweisung, Betroffene über eine Datenpanne zu benachrichtigen (vgl. Art. 34); (f) vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich Verbot; (g) Anordnung der Berichtigung, Löschung oder Einschränkung samt Mitteilung an Empfänger; (h) Widerruf von Zertifizierungen; (i) Geldbuße nach Art. 83; (j) Aussetzung von Datenübermittlungen in Drittländer. Die Auswahl der Maßnahme muss geeignet, erforderlich und verhältnismäßig sein. Der EuGH hat in C-768/21 (Urteil vom 26.09.2024, vgl. die Seite [EuGH C-768/21](eugh-c-768-21-land-hessen-handlungspflicht-datenschutzbehoerde.md)) klargestellt, dass die Behörde bei festgestelltem Verstoß nicht zwingend eine Abhilfemaßnahme ergreifen oder ein Bußgeld verhängen muss, wenn dies im Einzelfall nicht erforderlich ist.

Detail: Bußgeld und Bemessung (Art. 83)

Geldbußen müssen wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1). Bei der Bemessung sind elf Faktoren zu berücksichtigen (Art. 83 Abs. 2 lit. a–k), darunter Art, Schwere und Dauer, Vorsatz oder Fahrlässigkeit, Schadensminderung, getroffene technisch-organisatorische Maßnahmen (Art. 25, 32), frühere Verstöße, Kooperation mit der Behörde und die Art der Kenntniserlangung (etwa durch Selbstmeldung). Der Rahmen beträgt bis 10 Mio. € / 2 % (Abs. 4) bzw. bis 20 Mio. € / 4 % (Abs. 5 und 6). Bei Unternehmen zählt der konzernweite Umsatz (vgl. [EuGH C-383/23 ILVA](eugh-c-383-23-ilva-dsgvo-bussgeld-konzernumsatz.md)); die Verantwortlichkeit juristischer Personen ohne Nachweis eines Handelns einer Leitungsperson bestätigt [EuGH C-807/21 Deutsche Wohnen](eugh-c-807-21-deutsche-wohnen-dsgvo-bussgeld-unternehmen.md). Das Verfahren folgt in Deutschland dem OWiG (§ 41 BDSG); bei Geldbußen über 100.000 € entscheidet das Landgericht über den Einspruch (§ 41 Abs. 1 BDSG i. V. m. § 68 OWiG).

Detail: Rechtsschutz

Gegen rechtsverbindliche Beschlüsse der Behörde besteht ein gerichtlicher Rechtsbehelf (Art. 78 Abs. 1). In Deutschland ist der Verwaltungsrechtsweg eröffnet; ein Widerspruchsverfahren findet nicht statt; örtlich zuständig ist das Verwaltungsgericht am Sitz der Behörde (§ 20 Abs. 1, 3, 6 BDSG). Für Bußgeldbescheide gilt stattdessen der Einspruch nach OWiG (§ 41 BDSG). Beschwerdeführer können die Untätigkeit der Behörde gerichtlich überprüfen lassen (Art. 78 Abs. 2; siehe [Art. 77–79 DSGVO](dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.md)).

Häufige Fehler

„Die Behörde darf nur Bußgelder verhängen." Falsch – das Bußgeld ist nur eine von zehn Abhilfebefugnissen; in der Praxis sind Verwarnungen und Anweisungen häufiger.
„Auskunftsverlangen kann man ignorieren." Nein – die Nichtgewährung von Zugang und die Nichtbefolgung von Anordnungen sind selbst im höchsten Bußgeldrahmen (20 Mio. € / 4 %) bewehrt.
„Gegen die Anordnung kann ich Widerspruch einlegen." In Deutschland nicht – es findet kein Vorverfahren statt, direkt Klage vor dem Verwaltungsgericht (§ 20 Abs. 6 BDSG).
„Ein Verstoß führt automatisch zum Bußgeld." Nein – die Behörde wählt die verhältnismäßige Maßnahme (EuGH C-768/21).
„Ich muss mich selbst belasten." Teilweise falsch: § 40 Abs. 4 BDSG erlaubt Auskunftsverweigerung nur, wenn die Antwort zur Verfolgung wegen einer Straftat oder Ordnungswidrigkeit führen könnte; sonstige Auskunftspflichten bleiben bestehen.
„Die Aufsichtsbehörde kann gegen Behörden Bußgelder verhängen." In Deutschland nein (§ 43 Abs. 3 BDSG); Anordnungen nach Art. 58 Abs. 2 bleiben aber möglich.

Änderungsverlauf

2026-10-12: Erstveröffentlichung. Befugniskatalog Art. 58 Abs. 1–3, Bußgeldrahmen Art. 83 Abs. 4–6 und BDSG-Normen §§ 20, 40, 41, 43 über dejure.org geprüft; EUR-Lex-Volltext nicht direkt abgerufen, daher factcheck_status=review_needed (Gegenprüfung der Absatzziffern gegen EUR-Lex ausstehend). | change_type=initial_publication field="topic_lifecycle" new="published"

Stand

Stand: 2026-10-12
Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
Gültig bis: offen (unbefristet in Kraft)
Status: in Kraft (EU-Verordnung – unmittelbar anwendbar)
Quellenautorität: A (EUR-Lex CELEX:32016R0679)
Lizenz: CC BY 4.0

Quellen

Verordnung (EU) 2016/679 (DSGVO), Volltext (deutsch): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
Art. 58 DSGVO – Befugnisse (dejure.org): https://dejure.org/gesetze/DSGVO/58.html A
Art. 83 DSGVO – Geldbußen (dejure.org): https://dejure.org/gesetze/DSGVO/83.html A
§ 20 BDSG – Gerichtlicher Rechtsschutz (dejure.org): https://dejure.org/gesetze/BDSG/20 A
§ 40 BDSG – Aufsichtsbehörden der Länder (dejure.org): https://dejure.org/gesetze/BDSG/40.html A
§ 41 BDSG – Bußgeld- und Strafverfahren (dejure.org): https://dejure.org/gesetze/BDSG/41.html A
§ 43 BDSG – Bußgeldvorschriften (dejure.org): https://dejure.org/gesetze/BDSG/43.html A
EuGH, Urteil vom 26.09.2024, C-768/21 (Land Hessen), CELEX 62021CJ0768: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0768 A
EDPB – Leitlinien 04/2022 zur Berechnung von Geldbußen: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculation-administrative-fines-under_en A

Letzte Änderung:: 2026-10-12
Letzte Prüfung:: 2026-10-12
In Kraft seit:: 2018-05-25
Status:: In Kraft
Quellen-Autorität:: A
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an info@nexvyra.fr.