Ein Bußgeld von umgerechnet rund 1.155 € wirkt auf den ersten Blick wie eine Fußnote. Eine aktuelle Entscheidung der polnischen Datenschutzaufsicht UODO zeigt jedoch, warum genau dieser Fall für mittelständische Unternehmen und Konzerne höchst relevant ist – nicht wegen der Summe, sondern wegen der Bemessungslogik dahinter. Besonders bemerkenswert: Verantwortlicher im vorliegenden Fall war keine klassische Firma, sondern eine Wohnungseigentümergemeinschaft (WEG) – ein Umstand, der den Fall auch für Vermieter und Hausverwaltungen unmittelbar relevant macht.
Der Fall
Eine Wohnungseigentümergemeinschaft verschickte eine Nebenkostenabrechnung versehentlich an die falsche Person. Betroffen waren Name, Adresse, Wohnungsnummer, Abrechnungsbeträge, Zählerstände und Bankverbindung eines Mitglieds (Entscheidung DKN.5131.16.2025 vom 7. April 2026).
Sanktioniert wurde dabei nicht das Datenleck selbst, sondern der Verstoß gegen Art. 33 Abs. 1 DSGVO – die Pflicht, eine Datenschutzverletzung binnen 72 Stunden der Aufsichtsbehörde zu melden, sofern ein Risiko für die Betroffenen nicht offensichtlich ausgeschlossen werden kann.
Die Eigentümergemeinschaft argumentierte, es handle sich nur um eine einzige betroffene Person und ohnehin bestehe ein gesetzliches Einsichtsrecht der Miteigentümer. Die Behörde verwarf beides ausdrücklich.
Fast drei Jahre lang unterließ die Gemeinschaft die Meldung – trotz wiederholter Hinweise der Behörde. Das wertete die UODO als vorsätzlichen Verstoß.
Fast 3 Jahre
Dauer der unterlassenen Meldung – als vorsätzlich gewertet
Art. 33 Abs. 1 DSGVO
Sanktioniert wurde die unterlassene Meldung, nicht die Verletzung
Kein Freibrief
„Nur eine Person betroffen“ befreit nicht von der Pflicht
Warum das für Unternehmen entscheidend ist
Die Bemessungsmethodik folgt EU-weit einheitlich den EDPB-Leitlinien 04/2022 und Art. 83 Abs. 2 und Abs. 4 lit. a) DSGVO. Ein Verstoß gegen Art. 33 DSGVO ist der „niedrigeren“ Bußgeldkategorie zugeordnet – mit einem Rahmen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Im vorliegenden Fall setzte die Behörde einen Ausgangsbetrag von 300.000 € an, korrigierte diesen auf 0,2–0,4 % herunter und schlug wegen mangelnder Kooperation 10 % Erschwerungszuschlag auf. Das Endergebnis entsprach 0,069 % der Jahreseinnahmen.
Was das für unterschiedliche Unternehmensgrößen bedeuten würde
| Jahresumsatz | Rahmen (2 %) | Illustrativ (~0,07 %) |
|---|---|---|
| 1 Mio. € | 20.000 € | ca. 700 € |
| 10 Mio. € | 200.000 € | ca. 7.000 € |
| 1 Mrd. € | 20.000.000 € | ca. 700.000 € |
| 10 Mrd. € | 200.000.000 € | ca. 7.000.000 € |
Illustrative Übertragung der im UODO-Fall angewandten Quote – keine feste Formel.
Der entscheidende Punkt: Selbst bei geringer Schwere kann allein die verspätete oder unterlassene Meldung bei Konzernumsätzen sechs- bis siebenstellige Beträge auslösen.
Was die Behörde konkret als bemessungsrelevant berücksichtigt hat
- Dauer des Verstoßes – fast drei Jahre wurden als erschwerend gewertet
- Vorsatz – nach Kenntnis der Pflicht galt weiteres Untätigbleiben als bewusst
- Kooperationsgrad – keine Reaktion führte zu 10 % Aufschlag
- Fehlende Risikobewertung – „nur eine Person betroffen“ wurde verworfen
Die praktische Konsequenz: Prozesse müssen gelebt werden
Eine Datenschutzverletzung ist nicht per se meldepflichtig – aber ob sie es ist, muss in einer dokumentierten Risikobeurteilung belegt werden. Fehlt diese Dokumentation, kann sich ein Unternehmen im Nachhinein nicht entlasten.
Beides lässt sich nicht spontan im Ernstfall improvisieren, sondern muss als gelebter Prozess vorliegen:
Muster/Vorlage Risikobeurteilung – Art. 33 + 34 DSGVO
Zur nachvollziehbaren, rechenschaftspflichtigen Dokumentation der Risikoprüfung – unabhängig davon, ob am Ende eine Meldepflicht besteht oder nicht.
Leitfaden + Muster Benachrichtigung Betroffener – Art. 34 DSGVO
Inklusive Praxisbeispielen (Ransomware, Gerätediebstahl) und fertiger FAQ-Vorlage für den Ernstfall.
Warum das auch Vermieter unmittelbar betrifft
Der zugrunde liegende Fall zeigt: Auch eine Wohnungseigentümergemeinschaft ist Verantwortlicher im Sinne der DSGVO – mit sämtlichen Pflichten, die daraus folgen. Das betrifft nicht nur Hausverwaltungen im engeren Sinne, sondern jeden privaten oder gewerblichen Vermieter, der personenbezogene Daten von Mietern, Mietinteressenten oder Miteigentümern verarbeitet.
In der Praxis konzentrieren sich viele Vermieter auf die naheliegenden Pflichten – eine Datenschutzinformation zum Mietvertrag bereitzustellen oder Mietinteressenten korrekt zu prüfen. Der hier besprochene Fall macht deutlich: Das ist nur ein Teilausschnitt. Als Verantwortlicher treffen Vermieter sämtliche Pflichten aus der DSGVO – inklusive der Meldepflicht bei Datenschutzverletzungen, unabhängig davon, ob es sich um eine einzelne vermietete Wohnung, eine Hausverwaltung oder eine WEG handelt.
Muster/Vorlage Datenschutzinformationen zum Mietvertrag
Für die korrekte, DSGVO-konforme Information von Mietern bei Vertragsschluss.
Musterfragebogen Mietinteressenten – schnell & einfach prüfen
Für die datenschutzkonforme Prüfung von Mietinteressenten samt Datenschutzinformationen.
Beide Bausteine ersetzen nicht die Vorbereitung auf den Ernstfall einer Datenpanne – dafür gelten Risikobeurteilung und Benachrichtigungsleitfaden gleichermaßen für Vermieter wie für Unternehmen.
Fazit
Ein Bußgeld in dreistelliger oder niedriger vierstelliger Höhe ist kein Beleg für Harmlosigkeit – es ist das Ergebnis einer Methodik, die sich 1:1 auf jeden Umsatz skalieren lässt. Das gilt für Konzerne ebenso wie für Vermieter und WEGs.
