EuGH C-768/21 (Land Hessen, VO 2016/679) – Handlungspflicht der Datenschutzbehörde: kein Anspruch auf Bußgeld nach Art. 58 Abs. 2 DSGVO In Kraft

Kernfakten

Geltungsbereich

Das Urteil legt die Datenschutz-Grundverordnung (VO (EU) 2016/679) aus. Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten; ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung des Gerichtshofs ist damit für alle Aufsichtsbehörden des Bundes und der Länder sowie für alle Verwaltungsgerichte verbindlich.

Praktisch betroffen sind drei Gruppen:

• Betroffene Personen, die nach Art. 77 DSGVO Beschwerde bei einer Aufsichtsbehörde eingelegt haben und ein Bußgeld oder eine andere Sanktion gegen das Unternehmen erwarten.
• Verantwortliche und Auftragsverarbeiter, die nach einer Datenpanne eine Aufsichtsmaßnahme befürchten.
• Aufsichtsbehörden, die ihr Entschließungs- und Auswahlermessen nach Art. 58 Abs. 2 DSGVO begründen müssen.

Eine Vorabentscheidung wirkt ex tunc: Sie erklärt, wie die Norm seit ihrem Inkrafttreten (25.05.2018) zu verstehen war. Der Ausgangsrechtsstreit wurde an das VG Wiesbaden zurückverwiesen.

Der Fall

Eine Mitarbeiterin einer Sparkasse rief mehrfach unbefugt die personenbezogenen Daten eines Kunden ab. Die Sparkasse stufte den Vorfall als nicht meldepflichtig gegenüber dem Kunden ein, weil sie nach eigener Risikobewertung kein hohes Risiko für dessen Rechte und Freiheiten annahm. Sie meldete den Vorfall gleichwohl dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI), ergriff arbeitsrechtliche Maßnahmen gegen die Mitarbeiterin und ließ sich von ihr schriftlich bestätigen, dass sie die Daten weder kopiert noch gespeichert noch an Dritte weitergegeben hatte und dies auch künftig nicht tun werde.

Als der Kunde auf anderem Weg von dem Vorfall erfuhr, legte er beim HBDI Beschwerde nach Art. 77 DSGVO ein und verlangte ein Einschreiten gegen die Sparkasse. Der HBDI teilte mit, ein Verstoß liege vor, sah aber von einer Abhilfemaßnahme ab.

Der Kunde erhob daraufhin Klage vor dem Verwaltungsgericht Wiesbaden mit dem Ziel, den HBDI zum Einschreiten gegen die Sparkasse zu verpflichten. Das VG Wiesbaden legte dem Gerichtshof mit Beschluss vom 10.12.2021 (6 K 1107/20) die Frage vor, ob die Aufsichtsbehörde bei festgestelltem Verstoß verpflichtet ist, nach Art. 58 Abs. 2 DSGVO tätig zu werden — und ob dem Beschwerdeführer ein Anspruch darauf zusteht.

Generalanwalt Pikamäe hatte in seinen Schlussanträgen vom 11.04.2024 eine Einschreitenspflicht bejaht. Der Gerichtshof ist dem nicht gefolgt.

Was der Gerichtshof entschieden hat

1. Die Behörde muss die Beschwerde sorgfältig bearbeiten. Nach Art. 57 Abs. 1 lit. f DSGVO hat die Aufsichtsbehörde sich mit Beschwerden zu befassen und den Gegenstand in angemessenem Umfang zu untersuchen. Das Beschwerdeverfahren ist ein Mechanismus zur wirksamen Wahrung der Rechte und Interessen betroffener Personen (Rn. 32, 35).

2. Bei festgestelltem Verstoß besteht Auswahl-, nicht Entschließungsfreiheit — im Grundsatz. Art. 58 Abs. 2 DSGVO zählt die Abhilfebefugnisse auf (Verwarnung, Anweisung, Verarbeitungsbeschränkung, Geldbuße u. a.). Der Behörde obliegt es, unter Berücksichtigung aller Umstände des konkreten Falls das geeignete und erforderliche Mittel zu wählen (Rn. 37).

3. Das Ermessen ist zweckgebunden begrenzt. Die Behörde hat dabei das Erfordernis zu berücksichtigen, über die umfassende Einhaltung der DSGVO zu wachen und durch einen klar durchsetzbaren Rechtsrahmen ein gleichmäßiges und hohes Schutzniveau zu gewährleisten (Rn. 38, 40).

4. Kein Automatismus zur Geldbuße. Der Unionsgesetzgeber hat ein Sanktionssystem geschaffen, das es erlaubt, die nach den Umständen am besten geeignete und gerechtfertigte Sanktion zu wählen. ErwGr. 148 DSGVO erlaubt ausdrücklich, bei einem geringfügigeren Verstoß oder bei unverhältnismäßiger Belastung einer natürlichen Person statt einer Geldbuße eine Verwarnung zu erteilen (Rn. 40).

5. Absehen von jeder Abhilfemaßnahme nur ausnahmsweise — drei kumulative Bedingungen. Die Behörde kann ausnahmsweise und unter Berücksichtigung der besonderen Umstände des Einzelfalls ganz von einer Abhilfemaßnahme absehen, sofern

• der Situation, die den Verstoß begründete, bereits abgeholfen wurde,
• die Verarbeitung personenbezogener Daten im Einklang mit der Verordnung durch den Verantwortlichen gewährleistet ist, und
• ein solches Nichteinschreiten nicht geeignet ist, das Erfordernis eines klar durchsetzbaren Rechtsrahmens zu beeinträchtigen (Rn. 43, 46).

6. Der Tenor. Art. 57 Abs. 1 lit. a und f sowie Art. 58 Abs. 2 DSGVO sind dahin auszulegen, dass die Aufsichtsbehörde bei Feststellung einer Verletzung des Schutzes personenbezogener Daten nicht verpflichtet ist, eine Abhilfemaßnahme — insbesondere eine Geldbuße — zu ergreifen, wenn ein solches Einschreiten nicht geeignet, erforderlich oder verhältnismäßig ist, um der festgestellten Unzulänglichkeit abzuhelfen und die umfassende Einhaltung der Verordnung zu gewährleisten (Rn. 50).

7. Volle gerichtliche Kontrolle bleibt. Beschlüsse einer Aufsichtsbehörde über eine Beschwerde unterliegen einer vollständigen inhaltlichen Überprüfung durch ein Gericht. Das nationale Gericht prüft, ob die Behörde die Beschwerde mit aller gebotenen Sorgfalt bearbeitet und die Grenzen ihres Ermessens eingehalten hat (Rn. 49).

Was das für Betroffene bedeutet

• Kein Anspruch auf ein Bußgeld. Wer Beschwerde einlegt, kann die Behörde nicht zwingen, gegen das Unternehmen eine Geldbuße oder eine bestimmte andere Maßnahme zu verhängen. Das Sanktionsinteresse ist kein subjektives Recht des Beschwerdeführers.
• Aber: Anspruch auf sorgfältige Bearbeitung und begründete Entscheidung. Die Behörde muss den Sachverhalt in angemessenem Umfang untersuchen, den Beschwerdeführer nach Art. 77 Abs. 2 DSGVO über den Stand und das Ergebnis unterrichten und ihr Absehen von Maßnahmen tragfähig begründen.
• Rechtsweg nach Art. 78 DSGVO bleibt offen. Gegen die Entscheidung der Aufsichtsbehörde — auch gegen ein Absehen von Maßnahmen — steht der Verwaltungsrechtsweg offen; das Gericht prüft vollständig, ob die Ermessensgrenzen eingehalten wurden.
• Der Schadensersatzanspruch ist davon unabhängig. Ein Anspruch aus Art. 82 DSGVO gegen den Verantwortlichen besteht unabhängig davon, ob die Aufsichtsbehörde eingeschritten ist. Wer Geld will, muss zivilrechtlich vorgehen — ein Bußgeld fließt ohnehin in die Staatskasse, nicht an den Betroffenen.

Was das für Verantwortliche bedeutet

• Schnelle Selbstabhilfe wirkt. Wer nach Kenntnis einer Datenpanne unverzüglich die erforderlichen Maßnahmen ergreift, damit der Verstoß abgestellt wird und sich nicht wiederholt, kann ein Einschreiten der Behörde vermeiden — das ist der ausdrücklich genannte Beispielfall des Gerichtshofs.
• Dokumentieren, nicht nur handeln. Die drei Bedingungen für ein Absehen muss die Behörde feststellen können: abgestellter Verstoß, gewährleistete künftige Konformität, kein Schaden für den durchsetzbaren Rechtsrahmen. Ohne Nachweis — Meldung nach Art. 33 DSGVO, arbeitsrechtliche Reaktion, Berechtigungskonzept, Protokollierung, Schulung — bleibt es beim Regelfall des Einschreitens.
• Keine Freistellung. Das Urteil ist keine Amnestie. Deutsche Obergerichte lesen Art. 58 Abs. 2 DSGVO als intendiertes Ermessen: Bei festgestellten Verstößen ist die Behörde grundsätzlich gehalten, aufsichtsrechtlich tätig zu werden; ein Absehen ist der begründungsbedürftige Ausnahmefall (OVG Berlin-Brandenburg, 13.05.2025 – 12 B 14.23).
• Die Meldepflichten bleiben unberührt. Art. 33 DSGVO (Meldung an die Aufsichtsbehörde, grundsätzlich binnen 72 Stunden) und Art. 34 DSGVO (Benachrichtigung der betroffenen Person bei hohem Risiko) gelten unverändert. Der Bußgeldrahmen des Art. 83 DSGVO — bis 10 Mio. Euro bzw. 2 % des weltweiten Jahresumsatzes für Verstöße gegen Art. 32–34, bis 20 Mio. Euro bzw. 4 % für Verstöße gegen die Verarbeitungsgrundsätze und Betroffenenrechte — ist durch das Urteil nicht angetastet.

Häufige Fehler

• „Der EuGH hat die Aufsichtsbehörden entmachtet." Falsch — der Gerichtshof hat das Auswahlermessen bestätigt und dabei betont, dass das Ermessen durch das Erfordernis eines klar durchsetzbaren Rechtsrahmens begrenzt ist. Ein vollständiges Nichteinschreiten bleibt die eng begrenzte Ausnahme.
• „Ich kann die Behörde verklagen, damit sie ein Bußgeld verhängt." Falsch — auf eine bestimmte Maßnahme besteht kein Anspruch. Klagbar ist, ob die Behörde die Beschwerde sorgfältig bearbeitet und ihr Ermessen fehlerfrei ausgeübt hat.
• „Wenn die Behörde nichts tut, war der Verstoß keiner." Falsch — das Absehen von Abhilfemaßnahmen setzt gerade voraus, dass ein Verstoß festgestellt wurde. Er entfällt nicht dadurch, dass er nicht sanktioniert wird; Schadensersatz nach Art. 82 DSGVO bleibt möglich.
• „Wenn wir den Fehler intern beheben, ist die Sache erledigt." Zu kurz gegriffen — die Selbstabhilfe ist nur eine von drei Bedingungen. Es muss zusätzlich die künftige Konformität gewährleistet sein und das Nichteinschreiten darf den durchsetzbaren Rechtsrahmen nicht beeinträchtigen.
• „Der Generalanwalt hatte eine Einschreitenspflicht bejaht, also gilt sie." Falsch — die Schlussanträge des Generalanwalts binden den Gerichtshof nicht. Im Fall C-768/21 ist der Gerichtshof dem Generalanwalt ausdrücklich nicht gefolgt.
• „Das Urteil betrifft nur Deutschland." Falsch — ausgelegt wird die unmittelbar geltende DSGVO; die Auslegung bindet alle Aufsichtsbehörden und Gerichte in der EU. Das Vorlageverfahren kam nur zufällig aus Wiesbaden.
• „Ohne Bußgeld gibt es keine Konsequenz." Falsch — Art. 58 Abs. 2 DSGVO kennt neben der Geldbuße unter anderem Warnung, Verwarnung, Anweisung, Verarbeitungsbeschränkung und das befristete oder endgültige Verarbeitungsverbot. Ein Verarbeitungsverbot trifft ein Unternehmen regelmäßig härter als eine Geldbuße.

Änderungsverlauf

• 2026-09-16: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-768/21 (TR ./. Land Hessen, „Handlungspflicht der Datenschutzbehörde") vom 26.09.2024, ECLI:EU:C:2024:785, Vorabentscheidung auf Vorlage des VG Wiesbaden (6 K 1107/20), aufgenommen: (1) Die Aufsichtsbehörde ist bei festgestelltem Datenschutzverstoß nicht verpflichtet, eine Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO zu ergreifen oder eine Geldbuße zu verhängen, wenn das Einschreiten nicht geeignet, erforderlich oder verhältnismäßig ist (Rn. 50); (2) ein vollständiges Absehen ist nur ausnahmsweise und nur kumulativ zulässig: bereits abgeholfene Verstoßsituation, gewährleistete künftige DSGVO-Konformität, keine Beeinträchtigung des klar durchsetzbaren Rechtsrahmens (Rn. 43, 46); (3) die Behörde wählt unter Berücksichtigung aller Umstände des Einzelfalls das geeignete und erforderliche Mittel (Rn. 37) innerhalb der durch Art. 8 Abs. 3 GRCh und das Schutzniveau-Erfordernis gezogenen Grenzen (Rn. 38, 40); (4) Beschwerden sind mit aller gebotenen Sorgfalt zu bearbeiten (Rn. 32, 35); (5) Beschwerdeentscheidungen unterliegen vollständiger inhaltlicher gerichtlicher Überprüfung (Rn. 49); (6) Betroffene haben keinen subjektiven Anspruch auf eine bestimmte Abhilfemaßnahme, der Schadensersatzanspruch aus Art. 82 DSGVO bleibt unberührt. Quellenbasis: amtliche Pressemitteilung des HBDI vom 26.09.2024 (Behörde des Ausgangsverfahrens, im Volltext ausgewertet), dejure.org-Permalink mit wörtlichen Urteilsauszügen und Randnummern, EUR-Lex CELEX 62021CJ0768 und 62021CC0768, Folgerechtsprechung BVerwG 6 C 3.23 und 6 C 7.24 sowie OVG Berlin-Brandenburg 12 B 14.23 mit wörtlichen Zitaten der Rn. 37, 38, 40, 43, 46, 50. factcheck_status=review_needed, weil (1) der amtliche deutsche Urteilsvolltext auf EUR-Lex im Erstellungslauf nicht direkt abrufbar war und der Tenor daher aus der amtlichen HBDI-Pressemitteilung sowie aus wörtlichen Zitaten der nationalen Folgerechtsprechung (BVerwG, OVG, VG Berlin) rekonstruiert wurde, (2) die Angabe „Erste Kammer" als Spruchkörper nicht gegen den amtlichen Volltext verifiziert werden konnte, und (3) die Endentscheidung des VG Wiesbaden im Ausgangsverfahren nach der Vorabentscheidung nicht ermittelt werden konnte. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

Siehe auch

• [DSGVO Art. 77–79 – Beschwerde bei der Aufsichtsbehörde und gerichtlicher Rechtsbehelf](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html)
• [DSGVO-Bußgelder – Bemessungsrahmen nach Art. 83 DSGVO](/fakten/dsgvo-bussgelder.html)
• [DSGVO Art. 33 – Meldepflicht bei Verletzung des Schutzes personenbezogener Daten](/fakten/dsgvo-meldepflicht-art-33.html)
• [Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO)](/fakten/dsgvo-benachrichtigung-betroffener-art-34.html)
• [DSGVO Art. 32 – Technische und organisatorische Maßnahmen](/fakten/dsgvo-tom-art-32.html)
• [DSGVO-Schadensersatz Art. 82 – Immaterieller Schadensersatz nach EuGH](/fakten/dsgvo-schadensersatz-art-82-eugh.html)
• [EuGH C-383/23 (ILVA) – DSGVO-Bußgeld und Konzernumsatz](/fakten/eugh-c-383-23-ilva-dsgvo-bussgeld-konzernumsatz.html)
• [EuGH C-526/24 (Brillen Rottler) – Rechtsmissbrauch beim ersten DSGVO-Auskunftsantrag](/fakten/eugh-c-526-24-brillen-rottler-rechtsmissbrauch-auskunftsantrag.html)

Stand

• Stand: 2026-09-16
• Entscheidungsdatum: 2024-09-26 (EuGH, C-768/21, TR ./. Land Hessen, ECLI:EU:C:2024:785)
• Verfahrensstand: Vorabentscheidung ergangen; Rückverweisung an das VG Wiesbaden (6 K 1107/20)
• Status: aktuell
• Quellenautorität: A (EUR-Lex CELEX 62021CJ0768, HBDI-Pressemitteilung vom 26.09.2024, VO 2016/679, BVerwG-Folgerechtsprechung)
• Lizenz: CC BY 4.0

Quellen

• EUR-Lex – Urteil des Gerichtshofs vom 26.09.2024, C-768/21 (TR ./. Land Hessen), CELEX 62021CJ0768: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0768 A
• EUR-Lex – Schlussanträge des Generalanwalts Pikamäe vom 11.04.2024, C-768/21, CELEX 62021CC0768: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62021CC0768 A
• CURIA – Verfahrensdokumentation zur Rechtssache C-768/21: https://curia.europa.eu/juris/liste.jsf?num=C-768/21&language=de A
• dejure.org – Permalink EuGH, 26.09.2024 – C-768/21 (ECLI:EU:C:2024:785): https://dejure.org/2024,25517 A
• Der Hessische Beauftragte für Datenschutz und Informationsfreiheit – Pressemitteilung vom 26.09.2024 „Datenschutzaufsichtsbehörden dürfen Maßnahmen an der konkreten Situation ausrichten": https://datenschutz.hessen.de/presse/datenschutzaufsichtsbehoerden-duerfen-massnahmen-an-der-konkreten-situation-ausrichten A
• EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), Volltext (Art. 57, 58, 77, 78, 83, ErwGr. 129, 148): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
• EU-Kommission – Rechtsbehelfe und Beschwerden bei Datenschutzverstößen: https://commission.europa.eu/law/law-topic/data-protection/reform/rights-citizens/redress_de A
• EDSA – Leitlinien 04/2022 zur Berechnung von Geldbußen nach der DSGVO: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculation-administrative-fines-under_de A
• dejure.org – Permalink BVerwG, 29.01.2025 – 6 C 3.23 (Anwendung von C-768/21): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=BVerwG&Datum=29.01.2025&Aktenzeichen=6%20C%203.23 A
• dejure.org – Permalink OVG Berlin-Brandenburg, 13.05.2025 – 12 B 14.23 (intendiertes Ermessen): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=OVG%20Berlin-Brandenburg&Datum=13.05.2025&Aktenzeichen=12%20B%2014.23 A
• gesetze-im-internet.de – Bundesdatenschutzgesetz (BDSG), §§ 40, 41 (Aufsichtsbehörden, Sanktionen): https://www.gesetze-im-internet.de/bdsg_2018/ A