AP-Durchsetzungsrichtlinie: Ignorierte Datenschutzwarnungen verschärfen Bußgelder

Die niederländische Datenschutzaufsicht Autoriteit Persoonsgegevens (AP) hat am 30. Oktober 2026 ihre aktualisierte Durchsetzungsrichtlinie veröffentlicht. Behörden, die Warnungen ihres betrieblichen oder behördlichen Datenschutzbeauftragten ignorieren, müssen künftig mit deutlich härteren Konsequenzen rechnen.

Wie das Fachportal ibestuur.nl am 2. November 2026 berichtete, wertet die AP das Übergehen interner Hinweise bei der Ahndung eines Datenschutzverstoßes künftig als strafverschärfenden Faktor. Ergänzend dazu stellte die Behörde nach einem Bericht von vitallaw.com vom 3. November 2026 die Grundsätze vor, nach denen Durchsetzungsinstrumente künftig priorisiert und angewendet werden.

Prüfung von Datenschutz-Folgenabschätzungen und Warnhinweisen

Im Rahmen künftiger Durchsetzungsmaßnahmen prüft die Autoriteit Persoonsgegevens systematisch, ob der zuständige Datenschutzbeauftragte bereits im Vorfeld konkrete Warnungen ausgesprochen hat. Dies umfasst insbesondere Feststellungen aus Datenschutz-Folgenabschätzungen sowie formelle Beratungen und Empfehlungen.

Entscheidend für das spätere Strafmaß ist dabei auch, ob die zuständigen Stellen diesen Hinweisen nachgegangen sind und eine angemessene Nachverfolgung stattfand.

Angesichts der strengeren Prüfung von Datenschutz-Folgenabschätzungen durch die Behörden ist eine rechtssichere Dokumentation für Verantwortliche unerlässlich. Dieses kostenlose E-Book bietet Ihnen eine bearbeitbare Muster-Vorlage und praktische Checklisten, um Ihre DSFA-Pflichten ohne großen Zeitaufwand zu erfüllen. Rechtssichere Muster-DSFA jetzt kostenlos herunterladen

Neben dem Umgang mit internen Warnungen zieht die Behörde weitere Faktoren heran, um die Höhe von Sanktionen festzulegen. Hierzu zählen frühere Verstöße der Organisation, die Dauer und Schwere der festgestellten Rechtsverletzung sowie die erkennbare Bereitschaft, eigeninitiativ einen rechtmäßigen Zustand wiederherzustellen.

Persönliche Sanktionen für Führungskräfte und Verfahrensdauer

Die Durchsetzungsrichtlinie sieht zudem weitreichende Konsequenzen für Führungspersonen vor. Sogenannte faktische Führungskräfte können persönlich mit Bußgeldern belegt werden, sofern sie konkrete rechtswidrige Anweisungen erteilt oder die tatsächliche Leitung innegehabt haben. Damit nimmt die Aufsichtsbehörde die individuelle Verantwortung von Leitungspersonen stärker in den Fokus als bisher.

Wer sich mit den Haftungsrisiken für die Unternehmensleitung befasst, sollte auch die grundlegenden Dokumentationspflichten wie das Verarbeitungsverzeichnis im Blick haben. Mit dieser expertengeprüften Excel-Vorlage erstellen Sie Ihr Verzeichnis nach Art. 30 DSGVO effizient und minimieren das Risiko kostspieliger Bußgelder. Kostenlose Excel-Vorlage für das Verarbeitungsverzeichnis sichern

Eine nachträgliche Behebung von Mängeln schützt Organisationen indes nicht automatisch vor finanziellen Sanktionen. Die Wiederherstellung des rechtmäßigen Zustands nimmt ein Bußgeld nicht zwingend vom Tisch. Zudem behält sich die Autoriteit Persoonsgegevens vor, beanstandete Datenverarbeitungen bei gravierenden Zweifeln vorübergehend stillzulegen.

Hinsichtlich des zeitlichen Rahmens veranschlagt die Behörde für ein förmliches Durchsetzungsverfahren durchschnittlich 9 bis 18 Monate, gerechnet ab der offiziellen Absichtserklärung für eine Maßnahme. Kommt es im Verfahren zu unberechtigten Fristüberschreitungen durch die Behörde, kann dies für die Betroffenen einen Nachlass auf das festgesetzte Bußgeld begründen.