Ein Urteil des Verwaltungsgerichts Hannover hat in der Datenschutzszene für Aufmerksamkeit gesorgt. Auf den ersten Blick ging es um eine rechtswidrige Videoüberwachung in einer Fleischerei und ein fehlendes Verzeichnis von Verarbeitungstätigkeiten. Die eigentliche Brisanz der Entscheidung liegt jedoch in einer grundsätzlichen Frage: Darf eine Datenschutzaufsichtsbehörde wegen desselben Sachverhalts erst eine Verwarnung aussprechen und anschließend zusätzlich ein Bußgeld verhängen?

Was war geschehen?

Mit Urteil vom 7. August 2026 (Az. 10 A 5144/23) befasste sich das VG Hannover mit Maßnahmen der niedersächsischen Datenschutzaufsichtsbehörde gegen eine Fleischerei. Anlass war eine Videoüberwachung, die nach Auffassung der Behörde datenschutzrechtlich unzulässig war. Außerdem fehlte ein Verzeichnis von Verarbeitungstätigkeiten für die Videoüberwachung.

Die Behörde sprach zunächst eine Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO aus. Zusätzlich verhängte sie später ein Bußgeld auf Grundlage von Art. 58 Abs. 2 Buchst. i DSGVO. Die Fleischerei legte gegen den Bußgeldbescheid Einspruch ein. Das Amtsgericht Hannover setzte das Bußgeld schließlich auf 8.000 Euro herab.

Das Problem: zwei Sanktionen für denselben Sachverhalt?

Die zusätzliche Geldbuße wirft eine grundrechtliche Frage auf. Art. 50 der EU-Grundrechtecharta verankert den Grundsatz ne bis in idem – das Verbot, wegen derselben Tat mehrfach bestraft zu werden.

Kritiker sehen in der Verwarnung und dem anschließenden Bußgeld zwei Sanktionen, die auf demselben Sachverhalt beruhen. Wenn das zutrifft, könnte die Kombination der Maßnahmen mit dem Verbot der Doppelbestrafung kollidieren.

Das Thema ist rechtlich anspruchsvoll. Welche Bedeutung der Verwarnung im konkreten Fall zukommt und ob sie einer späteren Geldbuße entgegensteht, lässt sich nicht mit einem einfachen Ja oder Nein beantworten. Die Entscheidung des VG Hannover hat die Diskussion dennoch verstärkt. Eine ausführliche Einordnung findet sich etwa im Beitrag von Tim Wybitul und Tobias Oberwalder „Erst Verwarnung, dann DS-GVO-Bußgeld?“ in der Zeitschrift ZD (2026, S. 730 ff.).

Weitere gerichtliche Klärung wäre daher wünschenswert.

Auch das Verhalten des Unternehmens ist lehrreich

Neben der grundsätzlichen Rechtsfrage zeigt der Fall, wie wichtig der Umgang mit Anfragen einer Aufsichtsbehörde ist.

Wer wegen einer Videoüberwachung angeschrieben wird, sollte den Sachverhalt sorgfältig prüfen und auf die Anfrage überlegt reagieren. Eine konfrontative Haltung kann die Situation unnötig erschweren. Auch die Entscheidung, zunächst von einem Aussageverweigerungsrecht Gebrauch zu machen, sollte nicht unüberlegt getroffen werden. Im Zweifel ist es sinnvoll, rechtlichen Rat einzuholen.

Besonders wenig überzeugend war offenbar die Begründung, für die verbliebene Überwachung an der Türklingel sei kein Verzeichnis von Verarbeitungstätigkeiten erforderlich, weil die Verarbeitung nur gelegentlich stattfinde. Die Behörde akzeptierte diese Argumentation nicht und verwarnte die Fleischerei auch wegen des fehlenden Verzeichnisses.

Das Verarbeitungsverzeichnis ist kein Hexenwerk

Viele Unternehmen verfügen nicht über ein vollständiges Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Das macht die Pflicht jedoch nicht entbehrlich.

CTM-COM GmbH unterstützt Ihr unternehmen verfahrensverzeichnisse zu erstellen und zu pflegen.

Wenn eine Behörde konkret ein Verzeichnis für eine bestimmte Verarbeitung anfordert, sollte das Unternehmen die Aufforderung ernst nehmen und innerhalb der gesetzten Frist reagieren. Bei einem einzelnen Verarbeitungsvorgang – etwa einer Videoüberwachung – ist der Aufwand für die Erstellung in der Regel überschaubar. Eine strukturierte Erfassung der Verarbeitung kann zudem helfen, Datenschutzrisiken frühzeitig zu erkennen.

Fazit

Das Urteil des VG Hannover wirft eine wichtige Frage zum Verhältnis von Verwarnung, Bußgeld und dem Verbot der Doppelbestrafung auf. Ob die Entscheidung in dieser Hinsicht überzeugt, dürfte die weitere rechtliche Entwicklung zeigen.

Unabhängig davon ist der Fall auch eine praktische Mahnung: Unternehmen sollten ihre Videoüberwachung datenschutzrechtlich prüfen, ein erforderliches Verarbeitungsverzeichnis bereithalten und auf Anfragen der Aufsichtsbehörde sachlich und fristgerecht reagieren.