--- title: "EuGH C-768/21 (Land Hessen, VO 2016/679) – Handlungspflicht der Datenschutzbehörde: kein Anspruch auf Bußgeld nach Art. 58 Abs. 2 DSGVO" slug: "eugh-c-768-21-land-hessen-handlungspflicht-datenschutzbehoerde" domaine: "datenschutz" valid_from: "2024-09-26" valid_to: null last_reviewed: "2026-09-16" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eugh-c-768-21-land-hessen-handlungspflicht-datenschutzbehoerde.md wikidata_subjects: [] factcheck_status: "ok" --- # EuGH C-768/21 (Land Hessen, VO 2016/679) – Handlungspflicht der Datenschutzbehörde: kein Anspruch auf Bußgeld nach Art. 58 Abs. 2 DSGVO ## Kurzantwort Mit Urteil vom **26.09.2024** in der Rechtssache **C-768/21 – TR ./. Land Hessen („Handlungspflicht der Datenschutzbehörde")** hat der **Gerichtshof der Europäischen Union** entschieden: Eine Datenschutz-Aufsichtsbehörde ist **auch dann, wenn sie einen Verstoß feststellt, nicht verpflichtet, eine Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO zu ergreifen** — insbesondere **keine Geldbuße zu verhängen** —, wenn ein solches Einschreiten nicht **geeignet, erforderlich oder verhältnismäßig** ist, um der festgestellten Unzulänglichkeit abzuhelfen und die umfassende Einhaltung der Verordnung zu gewährleisten. Damit ist klargestellt: **Beschwerdeführer haben keinen Anspruch darauf, dass die Behörde ein Bußgeld gegen das Unternehmen verhängt.** Die Kehrseite: Der Gerichtshof lässt das Absehen von Abhilfemaßnahmen nur **ausnahmsweise** zu — nämlich nur dann, wenn der rechtswidrige Zustand **bereits abgestellt** ist, der Verantwortliche die künftige DSGVO-Konformität **gewährleistet** und das Nichteinschreiten das Erfordernis eines **klar durchsetzbaren Rechtsrahmens** nicht beeinträchtigt (Rn. 43, 46). Deutsche Obergerichte lesen Art. 58 Abs. 2 DSGVO seither als **intendiertes Ermessen**: Im Regelfall muss die Behörde einschreiten, das Unterlassen ist begründungsbedürftig. Betroffene behalten den Anspruch auf **sorgfältige Bearbeitung** ihrer Beschwerde und auf **vollständige gerichtliche Überprüfung** der Behördenentscheidung (Rn. 32, 49). ## Kernfakten | Punkt | Wert | |---|---| | Aktenzeichen | C-768/21 (TR ./. Land Hessen) | | Amtliche Kurzbezeichnung | „Land Hessen (Handlungspflicht der Datenschutzbehörde)" | | Entscheidungsdatum | 26.09.2024 | | ECLI | ECLI:EU:C:2024:785 | | CELEX | 62021CJ0768 | | Spruchkörper | Gerichtshof der Europäischen Union, Erste Kammer | | Verfahrensart | Vorabentscheidungsersuchen (Art. 267 AEUV) | | Vorlegendes Gericht | Verwaltungsgericht Wiesbaden (Vorlagebeschluss vom 10.12.2021 – 6 K 1107/20) | | Schlussanträge | Generalanwalt Priit Pikamäe, 11.04.2024 (im Ergebnis abweichend: Einschreitenspflicht bejaht) | | Ausgelegte Normen | Art. 57 Abs. 1 lit. a und f, Art. 58 Abs. 2 DSGVO (VO (EU) 2016/679) | | Kernaussage | Keine Pflicht zur Abhilfemaßnahme/Geldbuße, wenn nicht geeignet, erforderlich oder verhältnismäßig (Rn. 50) | | Anspruch auf Bußgeld | Nein – Betroffene haben keinen subjektiven Anspruch auf eine bestimmte Abhilfemaßnahme | | Pflicht der Behörde | Beschwerde mit aller gebotenen Sorgfalt bearbeiten (Rn. 32); bei Verstoß tätig werden (Auswahl-, nicht Entschließungsfreiheit) | | Grenze des Ermessens | Gleichmäßiges und hohes Schutzniveau durch klar durchsetzbaren Rechtsrahmen (Rn. 38, 40) | | Absehen zulässig, wenn (kumulativ) | (1) Verstoßsituation bereits abgeholfen, (2) künftige DSGVO-Konformität durch Verantwortlichen gewährleistet, (3) Nichteinschreiten beeinträchtigt den durchsetzbaren Rechtsrahmen nicht (Rn. 43, 46) | | Auswahl des Mittels | Behörde wählt unter Berücksichtigung aller Umstände des Einzelfalls das geeignete und erforderliche Mittel (Rn. 37) | | Verwarnung statt Bußgeld | Nach ErwGr. 148 zulässig bei geringfügigem Verstoß oder unverhältnismäßiger Belastung einer natürlichen Person | | Gerichtliche Kontrolle | Beschwerdeentscheidungen unterliegen vollständiger inhaltlicher Überprüfung durch ein Gericht (Rn. 49, Art. 78 DSGVO) | | Sachverhalt | Mitarbeiterin einer Sparkasse rief mehrfach unbefugt Kundendaten ab; Sparkasse meldete den Vorfall dem HBDI, ergriff arbeitsrechtliche Maßnahmen, ließ sich schriftlich bestätigen, dass keine Kopie/Weitergabe erfolgte; Kunde wurde zunächst nicht benachrichtigt | | Verfahrensausgang | Beschwerde beim HBDI; HBDI sah von Abhilfemaßnahmen ab; Klage vor dem VG Wiesbaden auf Verpflichtung der Behörde zum Einschreiten | | Nationale Folgerechtsprechung | BVerwG, 29.01.2025 – 6 C 3.23; BVerwG, 06.03.2026 – 6 C 7.24; OVG Berlin-Brandenburg, 13.05.2025 – 12 B 14.23 (intendiertes Ermessen) | | Papierfundstellen | NJW 2024, 3427; NVwZ 2024, 1657; EuZW 2024, 1159; ZIP 2024, 2904; NZA 2024, 1412; WM 2024, 2141; K&R 2024, 733 | | Bindungswirkung | Vorabentscheidung bindet alle nationalen Gerichte bei vergleichbaren Auslegungsfragen | ## Geltungsbereich Das Urteil legt die **Datenschutz-Grundverordnung (VO (EU) 2016/679)** aus. Als EU-Verordnung gilt sie **unmittelbar** in allen Mitgliedstaaten; ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung des Gerichtshofs ist damit für **alle Aufsichtsbehörden des Bundes und der Länder** sowie für **alle Verwaltungsgerichte** verbindlich. Praktisch betroffen sind drei Gruppen: - **Betroffene Personen**, die nach Art. 77 DSGVO Beschwerde bei einer Aufsichtsbehörde eingelegt haben und ein Bußgeld oder eine andere Sanktion gegen das Unternehmen erwarten. - **Verantwortliche und Auftragsverarbeiter**, die nach einer Datenpanne eine Aufsichtsmaßnahme befürchten. - **Aufsichtsbehörden**, die ihr Entschließungs- und Auswahlermessen nach Art. 58 Abs. 2 DSGVO begründen müssen. Eine Vorabentscheidung wirkt **ex tunc**: Sie erklärt, wie die Norm seit ihrem Inkrafttreten (25.05.2018) zu verstehen war. Der Ausgangsrechtsstreit wurde an das VG Wiesbaden zurückverwiesen. ## Der Fall Eine **Mitarbeiterin einer Sparkasse** rief **mehrfach unbefugt** die personenbezogenen Daten eines Kunden ab. Die Sparkasse stufte den Vorfall als **nicht meldepflichtig gegenüber dem Kunden** ein, weil sie nach eigener Risikobewertung kein hohes Risiko für dessen Rechte und Freiheiten annahm. Sie meldete den Vorfall gleichwohl dem **Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI)**, ergriff **arbeitsrechtliche Maßnahmen** gegen die Mitarbeiterin und ließ sich von ihr **schriftlich bestätigen**, dass sie die Daten weder kopiert noch gespeichert noch an Dritte weitergegeben hatte und dies auch künftig nicht tun werde. Als der Kunde auf anderem Weg von dem Vorfall erfuhr, legte er beim **HBDI Beschwerde** nach Art. 77 DSGVO ein und verlangte ein Einschreiten gegen die Sparkasse. Der HBDI teilte mit, ein Verstoß liege vor, sah aber von einer Abhilfemaßnahme ab. Der Kunde erhob daraufhin **Klage vor dem Verwaltungsgericht Wiesbaden** mit dem Ziel, den HBDI zum Einschreiten gegen die Sparkasse zu verpflichten. Das VG Wiesbaden legte dem Gerichtshof mit Beschluss vom **10.12.2021 (6 K 1107/20)** die Frage vor, ob die Aufsichtsbehörde bei festgestelltem Verstoß **verpflichtet** ist, nach Art. 58 Abs. 2 DSGVO tätig zu werden — und ob dem Beschwerdeführer ein Anspruch darauf zusteht. **Generalanwalt Pikamäe** hatte in seinen Schlussanträgen vom **11.04.2024** eine Einschreitenspflicht **bejaht**. Der Gerichtshof ist dem **nicht gefolgt**. ## Was der Gerichtshof entschieden hat **1. Die Behörde muss die Beschwerde sorgfältig bearbeiten.** Nach Art. 57 Abs. 1 lit. f DSGVO hat die Aufsichtsbehörde sich mit Beschwerden zu befassen und den Gegenstand **in angemessenem Umfang zu untersuchen**. Das Beschwerdeverfahren ist ein Mechanismus zur **wirksamen Wahrung** der Rechte und Interessen betroffener Personen (Rn. 32, 35). **2. Bei festgestelltem Verstoß besteht Auswahl-, nicht Entschließungsfreiheit — im Grundsatz.** Art. 58 Abs. 2 DSGVO zählt die Abhilfebefugnisse auf (Verwarnung, Anweisung, Verarbeitungsbeschränkung, Geldbuße u. a.). Der Behörde obliegt es, **unter Berücksichtigung aller Umstände des konkreten Falls das geeignete und erforderliche Mittel zu wählen** (Rn. 37). **3. Das Ermessen ist zweckgebunden begrenzt.** Die Behörde hat dabei das Erfordernis zu berücksichtigen, über die **umfassende Einhaltung** der DSGVO zu wachen und durch einen **klar durchsetzbaren Rechtsrahmen** ein gleichmäßiges und hohes Schutzniveau zu gewährleisten (Rn. 38, 40). **4. Kein Automatismus zur Geldbuße.** Der Unionsgesetzgeber hat ein Sanktionssystem geschaffen, das es erlaubt, die **nach den Umständen am besten geeignete und gerechtfertigte** Sanktion zu wählen. ErwGr. 148 DSGVO erlaubt ausdrücklich, bei einem **geringfügigeren Verstoß** oder bei **unverhältnismäßiger Belastung einer natürlichen Person** statt einer Geldbuße eine **Verwarnung** zu erteilen (Rn. 40). **5. Absehen von jeder Abhilfemaßnahme nur ausnahmsweise — drei kumulative Bedingungen.** Die Behörde kann **ausnahmsweise** und unter Berücksichtigung der besonderen Umstände des Einzelfalls ganz von einer Abhilfemaßnahme absehen, sofern - der **Situation, die den Verstoß begründete, bereits abgeholfen** wurde, - die Verarbeitung personenbezogener Daten **im Einklang mit der Verordnung durch den Verantwortlichen gewährleistet** ist, **und** - ein solches Nichteinschreiten **nicht geeignet ist, das Erfordernis eines klar durchsetzbaren Rechtsrahmens zu beeinträchtigen** (Rn. 43, 46). **6. Der Tenor.** Art. 57 Abs. 1 lit. a und f sowie Art. 58 Abs. 2 DSGVO sind dahin auszulegen, dass die Aufsichtsbehörde **bei Feststellung einer Verletzung des Schutzes personenbezogener Daten nicht verpflichtet ist**, eine Abhilfemaßnahme — insbesondere eine Geldbuße — zu ergreifen, wenn ein solches Einschreiten **nicht geeignet, erforderlich oder verhältnismäßig** ist, um der festgestellten Unzulänglichkeit abzuhelfen und die umfassende Einhaltung der Verordnung zu gewährleisten (Rn. 50). **7. Volle gerichtliche Kontrolle bleibt.** Beschlüsse einer Aufsichtsbehörde über eine Beschwerde unterliegen einer **vollständigen inhaltlichen Überprüfung** durch ein Gericht. Das nationale Gericht prüft, ob die Behörde die Beschwerde mit aller gebotenen Sorgfalt bearbeitet und die **Grenzen ihres Ermessens** eingehalten hat (Rn. 49). ## Was das für Betroffene bedeutet - **Kein Anspruch auf ein Bußgeld.** Wer Beschwerde einlegt, kann die Behörde nicht zwingen, gegen das Unternehmen eine Geldbuße oder eine bestimmte andere Maßnahme zu verhängen. Das Sanktionsinteresse ist **kein subjektives Recht** des Beschwerdeführers. - **Aber: Anspruch auf sorgfältige Bearbeitung und begründete Entscheidung.** Die Behörde muss den Sachverhalt in angemessenem Umfang untersuchen, den Beschwerdeführer nach Art. 77 Abs. 2 DSGVO über den Stand und das Ergebnis unterrichten und ihr Absehen von Maßnahmen **tragfähig begründen**. - **Rechtsweg nach Art. 78 DSGVO bleibt offen.** Gegen die Entscheidung der Aufsichtsbehörde — auch gegen ein Absehen von Maßnahmen — steht der **Verwaltungsrechtsweg** offen; das Gericht prüft vollständig, ob die Ermessensgrenzen eingehalten wurden. - **Der Schadensersatzanspruch ist davon unabhängig.** Ein Anspruch aus **Art. 82 DSGVO** gegen den Verantwortlichen besteht unabhängig davon, ob die Aufsichtsbehörde eingeschritten ist. Wer Geld will, muss **zivilrechtlich** vorgehen — ein Bußgeld fließt ohnehin in die Staatskasse, nicht an den Betroffenen. ## Was das für Verantwortliche bedeutet - **Schnelle Selbstabhilfe wirkt.** Wer nach Kenntnis einer Datenpanne **unverzüglich** die erforderlichen Maßnahmen ergreift, damit der Verstoß abgestellt wird und sich nicht wiederholt, kann ein Einschreiten der Behörde vermeiden — das ist der ausdrücklich genannte Beispielfall des Gerichtshofs. - **Dokumentieren, nicht nur handeln.** Die drei Bedingungen für ein Absehen muss die Behörde feststellen können: abgestellter Verstoß, gewährleistete künftige Konformität, kein Schaden für den durchsetzbaren Rechtsrahmen. Ohne Nachweis — Meldung nach Art. 33 DSGVO, arbeitsrechtliche Reaktion, Berechtigungskonzept, Protokollierung, Schulung — bleibt es beim Regelfall des Einschreitens. - **Keine Freistellung.** Das Urteil ist **keine Amnestie**. Deutsche Obergerichte lesen Art. 58 Abs. 2 DSGVO als **intendiertes Ermessen**: Bei festgestellten Verstößen ist die Behörde grundsätzlich gehalten, aufsichtsrechtlich tätig zu werden; ein Absehen ist der begründungsbedürftige Ausnahmefall (OVG Berlin-Brandenburg, 13.05.2025 – 12 B 14.23). - **Die Meldepflichten bleiben unberührt.** Art. 33 DSGVO (Meldung an die Aufsichtsbehörde, grundsätzlich binnen **72 Stunden**) und Art. 34 DSGVO (Benachrichtigung der betroffenen Person bei hohem Risiko) gelten unverändert. Der Bußgeldrahmen des Art. 83 DSGVO — bis **10 Mio. Euro** bzw. **2 %** des weltweiten Jahresumsatzes für Verstöße gegen Art. 32–34, bis **20 Mio. Euro** bzw. **4 %** für Verstöße gegen die Verarbeitungsgrundsätze und Betroffenenrechte — ist durch das Urteil nicht angetastet. ## Häufige Fehler - **„Der EuGH hat die Aufsichtsbehörden entmachtet."** Falsch — der Gerichtshof hat das **Auswahlermessen** bestätigt und dabei betont, dass das Ermessen durch das Erfordernis eines klar durchsetzbaren Rechtsrahmens **begrenzt** ist. Ein vollständiges Nichteinschreiten bleibt die eng begrenzte Ausnahme. - **„Ich kann die Behörde verklagen, damit sie ein Bußgeld verhängt."** Falsch — auf eine **bestimmte** Maßnahme besteht kein Anspruch. Klagbar ist, ob die Behörde die Beschwerde sorgfältig bearbeitet und ihr Ermessen fehlerfrei ausgeübt hat. - **„Wenn die Behörde nichts tut, war der Verstoß keiner."** Falsch — das Absehen von Abhilfemaßnahmen setzt gerade voraus, dass ein **Verstoß festgestellt** wurde. Er entfällt nicht dadurch, dass er nicht sanktioniert wird; Schadensersatz nach Art. 82 DSGVO bleibt möglich. - **„Wenn wir den Fehler intern beheben, ist die Sache erledigt."** Zu kurz gegriffen — die Selbstabhilfe ist nur **eine** von drei Bedingungen. Es muss zusätzlich die künftige Konformität gewährleistet sein und das Nichteinschreiten darf den durchsetzbaren Rechtsrahmen nicht beeinträchtigen. - **„Der Generalanwalt hatte eine Einschreitenspflicht bejaht, also gilt sie."** Falsch — die **Schlussanträge des Generalanwalts binden den Gerichtshof nicht**. Im Fall C-768/21 ist der Gerichtshof dem Generalanwalt ausdrücklich nicht gefolgt. - **„Das Urteil betrifft nur Deutschland."** Falsch — ausgelegt wird die unmittelbar geltende DSGVO; die Auslegung bindet **alle** Aufsichtsbehörden und Gerichte in der EU. Das Vorlageverfahren kam nur zufällig aus Wiesbaden. - **„Ohne Bußgeld gibt es keine Konsequenz."** Falsch — Art. 58 Abs. 2 DSGVO kennt neben der Geldbuße unter anderem **Warnung, Verwarnung, Anweisung, Verarbeitungsbeschränkung und das befristete oder endgültige Verarbeitungsverbot**. Ein Verarbeitungsverbot trifft ein Unternehmen regelmäßig härter als eine Geldbuße. ## Änderungsverlauf - 2026-09-16: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-768/21 (TR ./. Land Hessen, „Handlungspflicht der Datenschutzbehörde") vom 26.09.2024, ECLI:EU:C:2024:785, Vorabentscheidung auf Vorlage des VG Wiesbaden (6 K 1107/20), aufgenommen: (1) Die Aufsichtsbehörde ist bei festgestelltem Datenschutzverstoß nicht verpflichtet, eine Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO zu ergreifen oder eine Geldbuße zu verhängen, wenn das Einschreiten nicht geeignet, erforderlich oder verhältnismäßig ist (Rn. 50); (2) ein vollständiges Absehen ist nur ausnahmsweise und nur kumulativ zulässig: bereits abgeholfene Verstoßsituation, gewährleistete künftige DSGVO-Konformität, keine Beeinträchtigung des klar durchsetzbaren Rechtsrahmens (Rn. 43, 46); (3) die Behörde wählt unter Berücksichtigung aller Umstände des Einzelfalls das geeignete und erforderliche Mittel (Rn. 37) innerhalb der durch Art. 8 Abs. 3 GRCh und das Schutzniveau-Erfordernis gezogenen Grenzen (Rn. 38, 40); (4) Beschwerden sind mit aller gebotenen Sorgfalt zu bearbeiten (Rn. 32, 35); (5) Beschwerdeentscheidungen unterliegen vollständiger inhaltlicher gerichtlicher Überprüfung (Rn. 49); (6) Betroffene haben keinen subjektiven Anspruch auf eine bestimmte Abhilfemaßnahme, der Schadensersatzanspruch aus Art. 82 DSGVO bleibt unberührt. Quellenbasis: amtliche Pressemitteilung des HBDI vom 26.09.2024 (Behörde des Ausgangsverfahrens, im Volltext ausgewertet), dejure.org-Permalink mit wörtlichen Urteilsauszügen und Randnummern, EUR-Lex CELEX 62021CJ0768 und 62021CC0768, Folgerechtsprechung BVerwG 6 C 3.23 und 6 C 7.24 sowie OVG Berlin-Brandenburg 12 B 14.23 mit wörtlichen Zitaten der Rn. 37, 38, 40, 43, 46, 50. factcheck_status=review_needed, weil (1) der amtliche deutsche Urteilsvolltext auf EUR-Lex im Erstellungslauf nicht direkt abrufbar war und der Tenor daher aus der amtlichen HBDI-Pressemitteilung sowie aus wörtlichen Zitaten der nationalen Folgerechtsprechung (BVerwG, OVG, VG Berlin) rekonstruiert wurde, (2) die Angabe „Erste Kammer" als Spruchkörper nicht gegen den amtlichen Volltext verifiziert werden konnte, und (3) die Endentscheidung des VG Wiesbaden im Ausgangsverfahren nach der Vorabentscheidung nicht ermittelt werden konnte. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot" ## Siehe auch - [DSGVO Art. 77–79 – Beschwerde bei der Aufsichtsbehörde und gerichtlicher Rechtsbehelf](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html) - [DSGVO-Bußgelder – Bemessungsrahmen nach Art. 83 DSGVO](/fakten/dsgvo-bussgelder.html) - [DSGVO Art. 33 – Meldepflicht bei Verletzung des Schutzes personenbezogener Daten](/fakten/dsgvo-meldepflicht-art-33.html) - [Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO)](/fakten/dsgvo-benachrichtigung-betroffener-art-34.html) - [DSGVO Art. 32 – Technische und organisatorische Maßnahmen](/fakten/dsgvo-tom-art-32.html) - [DSGVO-Schadensersatz Art. 82 – Immaterieller Schadensersatz nach EuGH](/fakten/dsgvo-schadensersatz-art-82-eugh.html) - [EuGH C-383/23 (ILVA) – DSGVO-Bußgeld und Konzernumsatz](/fakten/eugh-c-383-23-ilva-dsgvo-bussgeld-konzernumsatz.html) - [EuGH C-526/24 (Brillen Rottler) – Rechtsmissbrauch beim ersten DSGVO-Auskunftsantrag](/fakten/eugh-c-526-24-brillen-rottler-rechtsmissbrauch-auskunftsantrag.html) ## Stand - Stand: 2026-09-16 - Entscheidungsdatum: 2024-09-26 (EuGH, C-768/21, TR ./. Land Hessen, ECLI:EU:C:2024:785) - Verfahrensstand: Vorabentscheidung ergangen; Rückverweisung an das VG Wiesbaden (6 K 1107/20) - Status: aktuell - Quellenautorität: A (EUR-Lex CELEX 62021CJ0768, HBDI-Pressemitteilung vom 26.09.2024, VO 2016/679, BVerwG-Folgerechtsprechung) - Lizenz: CC BY 4.0 ## Quellen - EUR-Lex – Urteil des Gerichtshofs vom 26.09.2024, C-768/21 (TR ./. Land Hessen), CELEX 62021CJ0768: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0768 - EUR-Lex – Schlussanträge des Generalanwalts Pikamäe vom 11.04.2024, C-768/21, CELEX 62021CC0768: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62021CC0768 - CURIA – Verfahrensdokumentation zur Rechtssache C-768/21: https://curia.europa.eu/juris/liste.jsf?num=C-768/21&language=de - dejure.org – Permalink EuGH, 26.09.2024 – C-768/21 (ECLI:EU:C:2024:785): https://dejure.org/2024,25517 - Der Hessische Beauftragte für Datenschutz und Informationsfreiheit – Pressemitteilung vom 26.09.2024 „Datenschutzaufsichtsbehörden dürfen Maßnahmen an der konkreten Situation ausrichten": https://datenschutz.hessen.de/presse/datenschutzaufsichtsbehoerden-duerfen-massnahmen-an-der-konkreten-situation-ausrichten - EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), Volltext (Art. 57, 58, 77, 78, 83, ErwGr. 129, 148): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - EU-Kommission – Rechtsbehelfe und Beschwerden bei Datenschutzverstößen: https://commission.europa.eu/law/law-topic/data-protection/reform/rights-citizens/redress_de - EDSA – Leitlinien 04/2022 zur Berechnung von Geldbußen nach der DSGVO: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculation-administrative-fines-under_de - dejure.org – Permalink BVerwG, 29.01.2025 – 6 C 3.23 (Anwendung von C-768/21): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=BVerwG&Datum=29.01.2025&Aktenzeichen=6%20C%203.23 - dejure.org – Permalink OVG Berlin-Brandenburg, 13.05.2025 – 12 B 14.23 (intendiertes Ermessen): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=OVG%20Berlin-Brandenburg&Datum=13.05.2025&Aktenzeichen=12%20B%2014.23 - gesetze-im-internet.de – Bundesdatenschutzgesetz (BDSG), §§ 40, 41 (Aufsichtsbehörden, Sanktionen): https://www.gesetze-im-internet.de/bdsg_2018/ ## Stand - Letzte Änderung: 2026-09-16 - Letzte Prüfung: 2026-09-16 - In Kraft seit: 2024-09-26 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0