Ein Millionenbußgeld wegen Videoüberwachung – und am Ende bleiben 900.000 Euro. Der Beschluss des OLG Celle vom 18.12.2025 – 3 ORbs 113/25 zeigt, wie Gerichte DSGVO-Bußgelder überprüfen und welche Argumente bei der Bußgeldbemessung wirklich tragen.
Worum ging es?
Eine Aktiengesellschaft hatte über längere Zeit Videokameras eingesetzt. Betroffen waren Verkaufs- und Arbeitsräume, Teile eines Pausenbereichs sowie gespeichertes Videomaterial. Der Landesdatenschutzbeauftragte setzte zunächst ein Bußgeld von über 10 Millionen Euro fest.
Das Landgericht Hannover reduzierte die Geldbuße später auf 700.000 Euro. Die Staatsanwaltschaft wollte mindestens 5 Millionen Euro erreichen. Das OLG Celle hob den Betrag schließlich moderat auf 900.000 Euro an.
Umsatz bleibt entscheidend
Das OLG bestätigt: Bei DSGVO-Bußgeldern gegen Unternehmen ist der weltweite Jahresumsatz des vorangegangenen Geschäftsjahres maßgeblich. Im konkreten Fall lag der relevante Umsatz bei rund 735,8 Millionen Euro. Daraus ergab sich ein theoretischer Bußgeldrahmen von bis zu rund 29,4 Millionen Euro.
Wichtig ist: Maßgeblich war nicht der Umsatz zum Zeitpunkt der Gerichtsentscheidung, sondern das letzte abgeschlossene Geschäftsjahr vor Erlass des Bußgeldbescheids.
EDPB-Leitlinien als Orientierung
Die Leitlinien des Europäischen Datenschutzausschusses zur Bußgeldberechnung sind für Gerichte nicht bindend. Das OLG Celle hält sie aber für eine geeignete Orientierungshilfe.
Das ist für Unternehmen relevant: Wer DSGVO-Risiken bewertet, sollte diese Leitlinien nicht als bloße Theorie behandeln. Sie prägen zunehmend die gerichtliche Praxis.
Reputationsschaden hilft nicht automatisch
Spannend ist die Absage des Gerichts an ein beliebtes Verteidigungsargument: Der behauptete Reputationsschaden durch öffentliche Berichterstattung durfte nicht maßgeblich bußgeldmindernd berücksichtigt werden.
Das OLG verlangt konkrete Anhaltspunkte. Bloße Empörung von Kunden oder negative Presse reichen nicht ohne Weiteres aus. Vor allem fehlt häufig der Nachweis, dass gerade die Berichterstattung zu messbaren wirtschaftlichen Einbußen geführt hat.
Interne Vorstandsverantwortung ist kein Bonus
Auch die Erwägung, der Vorstand müsse sich gegenüber Aufsichtsrat oder Aktionären rechtfertigen, überzeugte das Gericht nicht. Interne Verantwortungsprozesse im Unternehmen sind kein tragfähiger Grund, ein DSGVO-Bußgeld zu senken.
Für Unternehmen bedeutet das: Compliance-Aufarbeitung ist wichtig. Sie ersetzt aber keine rechtlich belastbaren Milderungsgründe.
Kooperation zahlt sich aus
Positiv berücksichtigte das Gericht dagegen die Kooperation der Betroffenen. Die Feststellungen beruhten wesentlich auf Angaben des Unternehmens, zudem wurden Beanstandungen zeitnah behoben.
Das zeigt: Wer im Datenschutzverfahren transparent mitwirkt und Verstöße abstellt, kann dies bei der Bußgeldhöhe geltend machen.
Bedeutung für die Praxis
Der Beschluss ist ein klares Signal für Datenschutzverfahren:
DSGVO-Bußgelder werden nicht schematisch berechnet. Gerichte prüfen, ob die Geldbuße wirksam, verhältnismäßig und abschreckend ist. Gleichzeitig müssen mildernde Umstände belastbar belegt sein.
Unternehmen sollten deshalb frühzeitig dokumentieren, welche Maßnahmen sie ergriffen haben, wie sie mit der Aufsichtsbehörde kooperiert haben und wann Datenschutzmängel beseitigt wurden.
Fazit
Das OLG Celle stärkt eine nachvollziehbare, aber strenge Bußgeldbemessung nach Art. 83 DSGVO. Reine Imageeinbußen und interne Rechtfertigungsprozesse reichen nicht. Konkrete Kooperation, schnelle Abhilfe und saubere Dokumentation können dagegen entscheidend sein.