Die meisten DSGVO-Bußgelder betreffen Sicherheitsmängel oder fehlende Rechtsgrundlagen. Eine aktuelle Entscheidung aus Zypern zeigt ein anderes Risiko: die mangelhafte Zusammenarbeit mit der Aufsichtsbehörde.
1. 6.000 Euro Geldbuße wegen der Plattform Agora
Im September 2026 hat die Beauftragte für den Schutz personenbezogener Daten, Maria Christofidou, eine Geldbuße von 6.000 Euro gegen den Verantwortlichen der Plattform Agora der App Direct Democracy bekannt gegeben. Nach Angaben der Behörde:
- waren die Antworten auf wiederholte Auskunftsersuchen „bruchstückhaft und unvollständig“ und deckten nicht alles ab, was die Behörde verlangt hatte;
- wurde die Plattform nicht wie verlangt vorübergehend ausgesetzt; und
- haben diese Versäumnisse die Untersuchung behindert oder verzögert.
Der Verantwortliche hat angekündigt, die Geldbuße vor dem Verwaltungsgericht anzufechten, mit dem Argument, die Entscheidung betreffe keine Verletzung des Schutzes personenbezogener Daten.
2. Lehren: die Pflicht zur Zusammenarbeit
Nach Art. 31 DSGVO müssen Verantwortliche und Auftragsverarbeiter mit der Aufsichtsbehörde zusammenarbeiten, und nach Art. 58 kann die Behörde sie anweisen, Informationen bereitzustellen und die Verarbeitung zu beschränken. Ein Verstoß dagegen ist selbst eine Rechtsverletzung — unabhängig davon, ob die eigentliche Verarbeitung rechtmäßig war. In der Praxis heißt das:
- Anfragen der Behörde vollständig, klar und fristgerecht beantworten;
- eine Person — idealerweise den Datenschutzbeauftragten — für die Kommunikation mit der Behörde benennen;
- die Dokumentation (Verarbeitungsverzeichnis, DSFA, Richtlinien) bereithalten, um schnell antworten zu können; und
- Anordnungen ernst nehmen und sie auf dem Rechtsweg anfechten, statt sie zu ignorieren.
3. Entwicklungen in der EU
- DSGVO-Verfahrensverordnung (EU) 2025/2518: anwendbar ab dem 2. April 2027, mit einheitlichen Fristen und Rechten in grenzüberschreitenden Fällen
- EDSA-Leitlinien zu Geldbußen: angenommen am 21. September 2026 und bis 13. November 2026 in Konsultation; sie erläutern, wann Geldbußen statt anderer Abhilfemaßnahmen zu verhängen sind
- Koordinierte Prüfaktion 2026: europäische Behörden prüfen die Transparenz- und Informationspflichten (Art. 12–14 DSGVO)
- Digital Omnibus: die geplanten DSGVO-Änderungen stocken; es gilt das bisherige Recht
Ihre Checkliste
- Einen Prozess einrichten für Anfragen der Aufsichtsbehörde
- Die Rechenschaftsdokumentation aktuell halten
- Datenschutzhinweise überarbeiten für die Transparenzprüfungen
- Datenschutzbeauftragten benennen oder prüfen, wo erforderlich
Wie ResGuard unterstützt
Mit dem ResGuard Datenschutz-Manager ist Ihre DSGVO-Dokumentation bereit, wenn die Behörde fragt. Unser externer Datenschutzbeauftragter für Zypern kann als Ihr Ansprechpartner gegenüber der Behörde auftreten.
Dieser Artikel enthält allgemeine Informationen mit Stand 20. Oktober 2026 und stellt keine Rechtsberatung dar. Quellen: Bekanntgabe der zyprischen Datenschutzbeauftragten gemäß zyprischen Medien, Pressemitteilungen des EDSA und Verordnung (EU) 2025/2518.