---
title: "DSGVO Art. 58 (VO 2016/679) – Befugnisse der Datenschutz-Aufsichtsbehörden: Untersuchung, Abhilfe, Anordnung, Bußgeld"
slug: "dsgvo-befugnisse-aufsichtsbehoerden-art-58"
domaine: "datenschutz"
valid_from: "2018-05-25"
valid_to: null
last_reviewed: "2026-10-12"
statut: "In Kraft"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-befugnisse-aufsichtsbehoerden-art-58.md
wikidata_subjects: []
factcheck_status: "ok"
---

# DSGVO Art. 58 (VO 2016/679) – Befugnisse der Datenschutz-Aufsichtsbehörden: Untersuchung, Abhilfe, Anordnung, Bußgeld

## Kurzantwort

**Art. 58 der Verordnung (EU) 2016/679 (DSGVO)** regelt, was eine Datenschutz-Aufsichtsbehörde gegenüber Verantwortlichen und Auftragsverarbeitern tun darf. Die Norm gliedert sich in **drei Befugnisgruppen**: **Untersuchungsbefugnisse** (Abs. 1: Auskunft anordnen, Datenschutz-Audits, Zugang zu Daten und Geschäftsräumen), **Abhilfebefugnisse** (Abs. 2: Warnung, Verwarnung, Anweisung, Verarbeitungsverbot, Löschanordnung, Aussetzung von Drittlandtransfers, Geldbuße) sowie **Genehmigungs- und Beratungsbefugnisse** (Abs. 3). Sie gilt als **EU-Verordnung unmittelbar** in Deutschland; das BDSG und die Landesdatenschutzgesetze ergänzen sie nur verfahrensrechtlich.

Wer Anordnungen der Behörde nach Art. 58 Abs. 2 **nicht befolgt**, riskiert eine Geldbuße im **höchsten Rahmen: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (Art. 83 Abs. 5 lit. e, Abs. 6). Das gilt auch, wenn der Zugang nach Art. 58 Abs. 1 verweigert wird. Gegen jede verbindliche Entscheidung steht der **Rechtsweg** offen (Art. 78; in Deutschland § 20 BDSG, Verwaltungsgerichte).

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), Art. 58 [EUR-Lex, CELEX:32016R0679] |
| Rechtsnatur | EU-Verordnung → unmittelbar anwendbar, kein Umsetzungsgesetz nötig |
| Geltung seit | 25. Mai 2018 |
| Untersuchungsbefugnisse | 6 (Abs. 1 lit. a–f): Auskunft anordnen, Audits, Zertifizierungen prüfen, Verstoß mitteilen, Zugang zu Daten, Zugang zu Räumen/Geräten |
| Abhilfebefugnisse | 10 (Abs. 2 lit. a–j) |
| Genehmigungs-/Beratungsbefugnisse | 10 (Abs. 3 lit. a–j), u. a. SCC festlegen, BCR genehmigen (Art. 47) |
| Mildestes Mittel | Warnung (Abs. 2 lit. a) vor beabsichtigter Verarbeitung; Verwarnung (lit. b) bei Verstoß |
| Schärfste Mittel | Verarbeitungsverbot (lit. f), Aussetzung von Drittlandtransfers (lit. j), Geldbuße (lit. i) |
| Geldbuße „zusätzlich oder anstelle" | Bußgeld kann neben oder statt anderer Maßnahmen verhängt werden [Art. 58 Abs. 2 lit. i] |
| Bußgeld bei Nichtbefolgung einer Anordnung | bis 20 Mio. € oder 4 % des weltweiten Vorjahresumsatzes (der höhere Wert) [Art. 83 Abs. 5 lit. e, Abs. 6] |
| Bußgeld bei Zugangsverweigerung | bis 20 Mio. € oder 4 % [Art. 83 Abs. 5 lit. e] |
| Schutzgarantien | Wirksamer gerichtlicher Rechtsbehelf und ordnungsgemäßes Verfahren [Art. 58 Abs. 4] |
| Deutschland: Zuständigkeit | Landesbehörden für Private (§ 40 BDSG), BfDI für Bund und Telekommunikation/Post |
| Deutschland: Zutritt | Befugte Mitarbeiter dürfen Geschäftsräume betreten und auf Datenverarbeitungsanlagen zugreifen [§ 40 Abs. 5 BDSG] |
| Deutschland: Rechtsweg | Verwaltungsgerichte; kein Vorverfahren (kein Widerspruch); Gericht am Behördensitz [§ 20 Abs. 1, 3, 6 BDSG] |
| Betroffener / Beschwerdeführer | Kein Anspruch auf ein bestimmtes Bußgeld; Behörde muss Beschwerde aber sorgfältig prüfen [EuGH C-768/21] |
| Behörden als Adressat (DE) | Gegen Behörden und öffentliche Stellen werden keine Geldbußen verhängt [§ 43 Abs. 3 BDSG] |
| Nachweispflicht des Verantwortlichen | Rechenschaft über Einhaltung (Art. 5 Abs. 2, Art. 24) – Dokumentation muss auf Anforderung vorliegen |

## Geltungsbereich

Art. 58 richtet sich an die **Aufsichtsbehörden** (Art. 51 ff.) und trifft **Verantwortliche, Auftragsverarbeiter und ihre Vertreter** (Art. 27). Über das Marktortprinzip (Art. 3 Abs. 2) können auch Unternehmen **außerhalb der EU** adressiert werden. Die örtliche Zuständigkeit richtet sich bei grenzüberschreitender Verarbeitung nach dem **One-Stop-Shop** (federführende Behörde am Hauptsitz, Art. 56). In Deutschland überwachen die **Landesdatenschutzbehörden** die Privatwirtschaft (§ 40 BDSG), die **BfDI** die Bundesbehörden. Die Mitgliedstaaten dürfen **zusätzliche Befugnisse** vorsehen, solange die Durchsetzung nach Kapitel VII nicht beeinträchtigt wird (Art. 58 Abs. 6).

## Detail: Untersuchungsbefugnisse (Abs. 1)

Die Behörde kann (a) vom Verantwortlichen und Auftragsverarbeiter **alle erforderlichen Informationen anfordern**, (b) **Datenschutzüberprüfungen** (Audits) durchführen, (c) erteilte Zertifizierungen überprüfen, (d) einen **angeblichen Verstoß mitteilen**, (e) **Zugang zu allen personenbezogenen Daten** und Informationen verlangen und (f) **Zugang zu Geschäftsräumen** samt Datenverarbeitungsanlagen erhalten – nach Maßgabe des Verfahrensrechts. In Deutschland dürfen Mitarbeiter der Behörde dazu Grundstücke und Geschäftsräume betreten und auf die Systeme zugreifen; Auskunftspflichtige können Antworten verweigern, die sie selbst oder nahe Angehörige der Gefahr einer Verfolgung aussetzen würden (§ 40 Abs. 4 BDSG).

## Detail: Abhilfebefugnisse (Abs. 2)

Die zehn Abhilfebefugnisse in aufsteigender Schärfe: (a) **Warnung** vor beabsichtigter, voraussichtlich rechtswidriger Verarbeitung; (b) **Verwarnung** bei erfolgtem Verstoß; (c) Anweisung, **Betroffenenanträge** zu erfüllen; (d) Anweisung, Verarbeitungsvorgänge **in Einklang mit der DSGVO** zu bringen – auf bestimmte Weise und innerhalb einer Frist; (e) Anweisung, **Betroffene über eine Datenpanne zu benachrichtigen** (vgl. Art. 34); (f) **vorübergehende oder endgültige Beschränkung** der Verarbeitung, einschließlich **Verbot**; (g) Anordnung der **Berichtigung, Löschung oder Einschränkung** samt Mitteilung an Empfänger; (h) **Widerruf von Zertifizierungen**; (i) **Geldbuße** nach Art. 83; (j) **Aussetzung von Datenübermittlungen** in Drittländer. Die Auswahl der Maßnahme muss **geeignet, erforderlich und verhältnismäßig** sein. Der EuGH hat in **C-768/21** (Urteil vom 26.09.2024, vgl. die Seite [EuGH C-768/21](eugh-c-768-21-land-hessen-handlungspflicht-datenschutzbehoerde.md)) klargestellt, dass die Behörde bei festgestelltem Verstoß **nicht zwingend** eine Abhilfemaßnahme ergreifen oder ein Bußgeld verhängen muss, wenn dies im Einzelfall nicht erforderlich ist.

## Detail: Bußgeld und Bemessung (Art. 83)

Geldbußen müssen **wirksam, verhältnismäßig und abschreckend** sein (Art. 83 Abs. 1). Bei der Bemessung sind elf Faktoren zu berücksichtigen (Art. 83 Abs. 2 lit. a–k), darunter Art, Schwere und Dauer, Vorsatz oder Fahrlässigkeit, Schadensminderung, **getroffene technisch-organisatorische Maßnahmen** (Art. 25, 32), frühere Verstöße, **Kooperation mit der Behörde** und die Art der Kenntniserlangung (etwa durch Selbstmeldung). Der Rahmen beträgt **bis 10 Mio. € / 2 %** (Abs. 4) bzw. **bis 20 Mio. € / 4 %** (Abs. 5 und 6). Bei Unternehmen zählt der **konzernweite** Umsatz (vgl. [EuGH C-383/23 ILVA](eugh-c-383-23-ilva-dsgvo-bussgeld-konzernumsatz.md)); die Verantwortlichkeit juristischer Personen ohne Nachweis eines Handelns einer Leitungsperson bestätigt [EuGH C-807/21 Deutsche Wohnen](eugh-c-807-21-deutsche-wohnen-dsgvo-bussgeld-unternehmen.md). Das Verfahren folgt in Deutschland dem OWiG (§ 41 BDSG); bei Geldbußen über 100.000 € entscheidet das Landgericht über den Einspruch (§ 41 Abs. 1 BDSG i. V. m. § 68 OWiG).

## Detail: Rechtsschutz

Gegen rechtsverbindliche Beschlüsse der Behörde besteht ein **gerichtlicher Rechtsbehelf** (Art. 78 Abs. 1). In Deutschland ist der **Verwaltungsrechtsweg** eröffnet; ein **Widerspruchsverfahren findet nicht statt**; örtlich zuständig ist das Verwaltungsgericht am Sitz der Behörde (§ 20 Abs. 1, 3, 6 BDSG). Für Bußgeldbescheide gilt stattdessen der **Einspruch** nach OWiG (§ 41 BDSG). Beschwerdeführer können die Untätigkeit der Behörde gerichtlich überprüfen lassen (Art. 78 Abs. 2; siehe [Art. 77–79 DSGVO](dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.md)).

## Häufige Fehler

- **„Die Behörde darf nur Bußgelder verhängen."** Falsch – das Bußgeld ist nur eine von zehn Abhilfebefugnissen; in der Praxis sind Verwarnungen und Anweisungen häufiger.
- **„Auskunftsverlangen kann man ignorieren."** Nein – die Nichtgewährung von Zugang und die Nichtbefolgung von Anordnungen sind selbst im **höchsten Bußgeldrahmen (20 Mio. € / 4 %)** bewehrt.
- **„Gegen die Anordnung kann ich Widerspruch einlegen."** In Deutschland nicht – es findet **kein Vorverfahren** statt, direkt Klage vor dem Verwaltungsgericht (§ 20 Abs. 6 BDSG).
- **„Ein Verstoß führt automatisch zum Bußgeld."** Nein – die Behörde wählt die verhältnismäßige Maßnahme (EuGH C-768/21).
- **„Ich muss mich selbst belasten."** Teilweise falsch: § 40 Abs. 4 BDSG erlaubt Auskunftsverweigerung nur, wenn die Antwort zur Verfolgung wegen einer Straftat oder Ordnungswidrigkeit führen könnte; sonstige Auskunftspflichten bleiben bestehen.
- **„Die Aufsichtsbehörde kann gegen Behörden Bußgelder verhängen."** In Deutschland nein (§ 43 Abs. 3 BDSG); Anordnungen nach Art. 58 Abs. 2 bleiben aber möglich.

## Änderungsverlauf

- 2026-10-12: Erstveröffentlichung. Befugniskatalog Art. 58 Abs. 1–3, Bußgeldrahmen Art. 83 Abs. 4–6 und BDSG-Normen §§ 20, 40, 41, 43 über dejure.org geprüft; EUR-Lex-Volltext nicht direkt abgerufen, daher factcheck_status=review_needed (Gegenprüfung der Absatzziffern gegen EUR-Lex ausstehend). | change_type=initial_publication field="topic_lifecycle" new="published"

## Stand

- Stand: 2026-10-12
- Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
- Gültig bis: offen (unbefristet in Kraft)
- Status: in Kraft (EU-Verordnung – unmittelbar anwendbar)
- Quellenautorität: A (EUR-Lex CELEX:32016R0679)
- Lizenz: CC BY 4.0

## Quellen

- Verordnung (EU) 2016/679 (DSGVO), Volltext (deutsch):
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- Art. 58 DSGVO – Befugnisse (dejure.org):
  https://dejure.org/gesetze/DSGVO/58.html
- Art. 83 DSGVO – Geldbußen (dejure.org):
  https://dejure.org/gesetze/DSGVO/83.html
- § 20 BDSG – Gerichtlicher Rechtsschutz (dejure.org):
  https://dejure.org/gesetze/BDSG/20
- § 40 BDSG – Aufsichtsbehörden der Länder (dejure.org):
  https://dejure.org/gesetze/BDSG/40.html
- § 41 BDSG – Bußgeld- und Strafverfahren (dejure.org):
  https://dejure.org/gesetze/BDSG/41.html
- § 43 BDSG – Bußgeldvorschriften (dejure.org):
  https://dejure.org/gesetze/BDSG/43.html
- EuGH, Urteil vom 26.09.2024, C-768/21 (Land Hessen), CELEX 62021CJ0768:
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0768
- EDPB – Leitlinien 04/2022 zur Berechnung von Geldbußen:
  https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculation-administrative-fines-under_en

## Stand

- Letzte Änderung: 2026-10-12
- Letzte Prüfung: 2026-10-12
- In Kraft seit: 2018-05-25
- Status: In Kraft
- Quellen-Autorität: A
- Lizenz: CC BY 4.0