Schreiben von der Datenschutzaufsichtsbehörde – was tun? Der Leitfaden für Unternehmen

Lesezeit ca. 9 Minuten

Warum bekommt mein Unternehmen Post von der Datenschutzaufsichtsbehörde?

Die Aufsichtsbehörden der Länder und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) werden nicht willkürlich tätig. In der Praxis gibt es fünf typische Auslöser:

• Beschwerde einer betroffenen Person (Art. 77 DSGVO). Der häufigste Fall: Ein Kunde, Bewerber oder – besonders oft – ein ehemaliger Mitarbeiter beschwert sich, weil eine Auskunft nach Art. 15 DSGVO nicht, zu spät oder unvollständig erteilt wurde.
• Ihre eigene Meldung einer Datenpanne (Art. 33 DSGVO). Die Meldung ist Pflicht – sie führt aber regelmäßig zu Rückfragen zu Ihren technischen und organisatorischen Maßnahmen.
• Schwerpunkt- und Querschnittsprüfungen. Die Behörden versenden branchenweit Fragebögen, etwa zu Website-Tracking und Cookie-Bannern, zum Beschäftigtendatenschutz, zum Einsatz von US-Cloud-Diensten, zur Videoüberwachung und zunehmend zum Einsatz von KI-Systemen.
• Hinweise Dritter, Presseberichte oder Erkenntnisse aus anderen Verfahren. Auch Wettbewerber melden Datenschutzverstöße.
• Amtshilfe und One-Stop-Shop (Art. 56, 60 DSGVO). Bei grenzüberschreitender Verarbeitung wird Ihre federführende Behörde von einer ausländischen Aufsichtsbehörde eingeschaltet.

Welche Schreiben es gibt – und warum die Unterscheidung entscheidet

Bevor Sie auch nur einen Satz formulieren, muss klar sein, auf welcher Rechtsgrundlage die Behörde schreibt. Die Antwortstrategie unterscheidet sich fundamental.

1. Informelle Anfrage oder Bitte um Stellungnahme

Oft freundlich formuliert („wir bitten um Mitteilung“). Rechtlich unverbindlicher Ton, tatsächlich aber der Einstieg in die Sachverhaltsermittlung. Alles, was Sie hier schreiben, steht später in der Akte.

2. Förmliches Auskunftsersuchen (Art. 58 Abs. 1 lit. a DSGVO, § 40 Abs. 4 BDSG)

Hier besteht eine gesetzliche Auskunfts- und Mitwirkungspflicht (Art. 31 DSGVO). Wer nicht oder falsch antwortet, riskiert ein eigenständiges Bußgeld – unabhängig vom ursprünglichen Vorwurf.

3. Anhörung im Ordnungswidrigkeitenverfahren (§ 55 OWiG)

Das schärfste Vorfeldinstrument: Es steht bereits ein konkreter Vorwurf im Raum. Ab hier gilt der Grundsatz der Selbstbelastungsfreiheit – Sie müssen sich nicht selbst belasten. Wer das übersieht und „aus Kooperationsbereitschaft“ alles offenlegt, liefert die Begründung des späteren Bußgeldbescheids gleich mit.

4. Abhilfemaßnahme oder Anordnung (Art. 58 Abs. 2 DSGVO)

Verwarnung, Anweisung zur Herstellung eines rechtskonformen Zustands, Beschränkung oder sogar Verbot der Verarbeitung. Das ist ein Verwaltungsakt – gegen ihn ist der Rechtsweg zum Verwaltungsgericht eröffnet (§ 20 BDSG), regelmäßig innerhalb eines Monats ab Bekanntgabe.

5. Bußgeldbescheid (Art. 83 DSGVO)

Jetzt zählt jeder Tag: Der Einspruch ist binnen zwei Wochen ab Zustellung einzulegen (§ 67 OWiG). Verstreicht die Frist, wird der Bescheid rechtskräftig und vollstreckbar.

Die ersten 72 Stunden: 7 Schritte, die Sie sofort gehen sollten

1. Frist erfassen und Verantwortlichkeit festlegen. Eine Person führt die Akte, ein Postfach bündelt die Kommunikation. Fristversäumnisse durch Urlaubsvertretungen sind der häufigste vermeidbare Fehler.
2. Rechtsgrundlage und Verfahrensart bestimmen. Die Antwortstrategie folgt der Verfahrensart – nicht umgekehrt.
3. Sachverhalt strukturiert aufklären. Was ist wann passiert, wer war beteiligt, welche Daten und welche Betroffenen sind betroffen? Die Aufklärung erfolgt idealerweise unter anwaltlicher Leitung.
4. Beweise und Dokumente sichern. Logfiles, E-Mail-Verläufe, Systemprotokolle. Nichts löschen, nichts nachträglich „glattziehen“ – das kann strafrechtlich relevant sein und zerstört jede Verteidigungslinie.
5. Compliance-Unterlagen zusammenstellen: Verarbeitungsverzeichnis (Art. 30), TOM-Dokumentation (Art. 32), Auftragsverarbeitungsverträge (Art. 28), Löschkonzept, Datenschutzhinweise, Schulungsnachweise, ggf. Datenschutz-Folgenabschätzung (Art. 35).
6. Fristverlängerung beantragen, wenn nötig – kurz, sachlich, mit Begründung und Zusage eines konkreten neuen Termins. Behörden gewähren das regelmäßig, wenn erkennbar ernsthaft gearbeitet wird.
7. Anwaltliche Prüfung der Antwort, bevor sie versendet wird. Die erste Stellungnahme ist die wichtigste des gesamten Verfahrens.

Auskunftspflicht vs. Selbstbelastungsfreiheit – der kritischste Punkt

Viele Unternehmen antworten in bester Absicht ausführlich und schreiben sich damit in ein Bußgeldverfahren hinein. Die Rechtslage ist differenziert:

• Nach Art. 31 DSGVO und § 40 Abs. 4 BDSG besteht grundsätzlich eine Auskunfts- und Mitwirkungspflicht gegenüber der Aufsichtsbehörde.
• Die Auskunft kann jedoch verweigert werden, soweit sie den Auskunftspflichtigen oder einen Angehörigen der Gefahr strafrechtlicher Verfolgung oder eines Verfahrens nach dem OWiG aussetzen würde (§ 40 Abs. 4 S. 2 BDSG). Über dieses Recht ist zu belehren; dennoch erteilte Auskünfte unterliegen einem Verwertungsverbot (§ 40 Abs. 4 S. 3 BDSG).
• Gleichzeitig wirkt Kooperation mildernd: Art. 83 Abs. 2 lit. c und f DSGVO nennen ergriffene Abhilfemaßnahmen und die Zusammenarbeit mit der Aufsichtsbehörde ausdrücklich als bußgeldmindernde Faktoren.

Zwischen „zu viel sagen“ und „zu wenig sagen“ liegt also ein schmaler Korridor. Genau diesen Korridor auszuloten – vollständig genug, um kooperativ zu wirken, präzise genug, um keine unnötigen Angriffspunkte zu liefern – ist juristische Facharbeit und keine Aufgabe für ein spontanes Antwortschreiben aus der IT-Abteilung.

Was auf dem Spiel steht: Bußgelder, Anordnungen und Folgeschäden

• Bußgeldrahmen: bis zu 20 Mio. Euro oder 4 % des weltweiten Jahreskonzernumsatzes (Art. 83 Abs. 5 DSGVO), bei Verstößen etwa gegen Melde- oder Sicherheitspflichten bis zu 10 Mio. Euro oder 2 % (Art. 83 Abs. 4 DSGVO) – je nachdem, welcher Betrag höher ist.
• Konzernweite Bemessung: Maßgeblich ist der funktionale Unternehmensbegriff der wirtschaftlichen Einheit. Der EuGH hat zudem klargestellt, dass ein Bußgeld gegen eine juristische Person verhängt werden kann, ohne dass der Verstoß einer konkreten Leitungsperson zugerechnet werden muss – erforderlich bleibt aber ein schuldhaftes, also vorsätzliches oder fahrlässiges Handeln.
• Betriebsunterbrechung: Eine Anordnung nach Art. 58 Abs. 2 DSGVO kann die Verarbeitung beschränken oder untersagen – für datengetriebene Geschäftsmodelle existenziell.
• Zivilrechtliche Folgeschäden: Feststellungen der Behörde werden von Betroffenen für Schadensersatzansprüche nach Art. 82 DSGVO genutzt, zunehmend gebündelt über Legal-Tech-Anbieter.
• Reputation: Viele Behörden berichten in ihren Tätigkeitsberichten über Verfahren – teils mit Branchenbezug.

7 Fehler, die im Verfahren richtig teuer werden

1. Das Schreiben ignorieren oder verschleppen. Schweigen wird als fehlende Kooperationsbereitschaft gewertet und erhöht das Bußgeld.
2. Schnell und ungefiltert antworten. Ein einziger unbedachter Satz („das machen wir schon immer so“) kann Vorsatz oder Dauer des Verstoßes belegen.
3. Mehr offenlegen als gefragt. Jede zusätzliche Information eröffnet ein neues Prüffeld.
4. Widersprüchliche Angaben. Die Behörde erhält unterschiedliche Aussagen aus IT, HR und der Geschäftsführung.
5. Interne Schuldzuweisungen per E-Mail. Solche internen Dokumente sind nicht privilegiert und können von der Behörde angefordert werden.
6. Dokumente nachträglich ändern, rückdatieren oder löschen. Das wandelt einen bloßen Datenschutzverstoß in ein massives Strafbarkeitsrisiko.
7. Fristen verstreichen lassen. Einspruch (2 Wochen, § 67 OWiG) oder Klage (regelmäßig 1 Monat) verpasst? Danach ist die Sache in der Regel unumkehrbar.

Warum Sie jetzt einen Rechtsanwalt für Datenschutzrecht einschalten sollten

Der Datenschutzbeauftragte ist wichtig – aber er ist Berater und Kontrollinstanz, nicht Ihr Verteidiger. Anwaltliche Begleitung bringt genau das ein, was im Behördenverfahren den Unterschied macht:

• Vertraulichkeit und Beschlagnahmeschutz. Anwaltliche Korrespondenz und die im Mandat erstellte interne Untersuchung unterliegen der Verschwiegenheitspflicht und genießen einen deutlich stärkeren Schutz als ein intern erstellter Fehlerbericht.
• Verfahrensstrategie statt Bauchgefühl. Wann ist volle Transparenz das beste Mittel zur Bußgeldreduzierung – und wann greift die Selbstbelastungsfreiheit? Diese Weichenstellung erfolgt nur einmal.
• Antwortdesign mit Beweiswirkung. Jede Stellungnahme wird so aufgebaut, dass sie Ihre Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) belegt, statt Lücken zu offenbaren.
• Kommunikation auf Augenhöhe. Ich führe die Korrespondenz, verhandle Fristen, ordne Ihre Maßnahmen in die Kriterien des Art. 83 Abs. 2 DSGVO ein und begleite Vor-Ort-Prüfungen.
• Schadensbegrenzung nach vorn. Parallel entsteht das Maßnahmenpaket (TOMs, Verträge, Löschkonzept, Schulung), das die Behörde sehen will und das bußgeldmindernd wirkt.
• Rechtsmittel und Fristenkontrolle. Einspruch, Widerspruch, Anfechtungsklage, einstweiliger Rechtsschutz: fristsicher und begründet.

Erfahrungswert aus der Praxis: Verfahren, in denen ab dem ersten Schreiben strukturiert, vollständig und rechtlich abgestimmt kommuniziert wird, enden deutlich häufiger mit einer Verwarnung oder einer einvernehmlichen Abhilfelösung – statt mit einem Bußgeldbescheid.

Häufige Fragen zum Schreiben der Datenschutzaufsichtsbehörde

Rechtlicher Hinweis: Dieser Beitrag gibt den Rechtsstand vom 17. August 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung im Einzelfall.