Wer meint, man könne den Laden einfach „vollhängen“ mit Kameras und das Videomaterial großzügig auf Halde legen, bezahlt diese Bequemlichkeit inzwischen mit sechsstelligen Bußgeldern – das zeigt der Beschluss des OLG Celle vom 18. Dezember 2025 (3 Orbs 113/25) sehr deutlich.
Das Oberlandesgericht hat das vom Landgericht Hannover festgesetzten Bußgeld wegen unzulässiger Videoüberwachung von 700.000 Euro auf 900.000 Euro erhöht und dabei einige Leitlinien für die Bußgeldzumessung bei Verstößen gegen die DSGVO gezogen, ohne den Fall zum „Strafexempel“ ausarten zu lassen.
Sachverhalt in der Kürze: Flächendeckende Kameras, lange Speicherfristen
Ausgangspunkt war ein Bußgeldbescheid des LfD Niedersachsen aus dem Jahr 2020 über gut 10,4 Millionen Euro gegen ein Unternehmen, das über Jahre hinweg seine Verkaufsflächen, zum Verweilen einladende Sitzbereiche, den Außenbereich sowie Verkaufs‑, Arbeits‑ und Pausenbereiche der Beschäftigten mit insgesamt weit über 80 Kameras überwachte. Erfasst wurden damit Kundinnen, Kunden, unbeteiligte Dritte und Beschäftigte, teils mit Speicherdauern von bis zu 60 Tagen.
Das Landgericht Hannover sah in diesem Szenario eine einheitliche Tat mit fahrlässiger Begehung und reduzierte das Bußgeld auf 700.000 Euro, unter anderem mit dem Hinweis auf Rechtsunsicherheiten in der Anfangsphase der DSGVO, die Kooperation des Unternehmens und einen angeblichen Reputationsschaden. Die Staatsanwaltschaft wollte mindestens 5 Millionen Euro durchsetzen, die Generalstaatsanwaltschaft knapp 1,5 Millionen Euro – das OLG landete am Ende bei 900.000 Euro.
Bußgeldbemessung: Leitlinien ja, „Schonfrist“ nein
Spannend ist weniger, dass das Bußgeld erhöht wurde, sondern wie das Gericht begründet, wo der zulässige Spielraum liegt.
Erstens akzeptiert das OLG ausdrücklich, dass sich die Gerichte an den Bußgeld‑Leitlinien 04/22 des Europäischen Datenschutzausschusses orientieren dürfen, obwohl diese rechtlich nicht bindend sind. Sie werden als taugliches Raster für die Ermessensausübung angesehen, insbesondere für die Ermittlung des Bußgeldrahmens nach Art. 83 DSGVO anhand des Jahresumsatzes und der Schwere des Verstoßes.
Zweitens stellt das Gericht klar, dass für den maßgeblichen Umsatz das letzte abgeschlossene Geschäftsjahr vor Erlass des Bußgeldbescheids zählt – hier also 2019, nicht etwa spätere Umsatzzahlen. Auf dieser Basis werden 4% Höchstmaß und danach – wie vom LG – ein „Deckel“ von rund 22 Millionen Euro nach den Leitlinien errechnet, wogegen das OLG keine Einwände hat.
Drittens kassiert das OLG eine der Lieblingsargumentationen der Verteidigung: Die Vorstellung, der stark erweiterte Bußgeldrahmen der DSGVO sei in den ersten Jahren „nur zurückhaltend“ auszuschöpfen, findet nach Auffassung des Senats weder im Gesetz noch in den Leitlinien irgendeine Grundlage. Eine faktische Schonfrist besteht also nicht, nur weil die Verwaltungspraxis sich noch entwickelt.
Grenzen der Milderung: Reputationsschaden zählt kaum
Deutlich wird das OLG dort, wo das Landgericht mildernde Faktoren überdehnt: Die Kooperation des Unternehmens, die auf eigene Angaben gestützten Feststellungen und die zeitnahe Abhilfe nach Beanstandung dürfen und sollen zugunsten der Betroffenen berücksichtigt werden, das ordnet der Senat sauber Art. 83 Abs. 2 Satz 2 lit. f DSGVO zu.
Probleme hat das Gericht aber mit zwei zentralen Milderungsargumenten des LG: Zum einen hält es den Verweis auf einen durch den öffentlichkeitswirksamen Bußgeldbescheid verursachten Reputationsschaden für weitgehend untauglich, um die Geldbuße spürbar zu reduzieren. Weder seien konkrete Umsatzrückgänge festgestellt, noch lasse sich regelmäßig nachweisen, welche wirtschaftlichen Folgen ein Imageschaden tatsächlich hat. Dass Kunden empört reagieren und einzelne ankündigen, nicht mehr zu kaufen, reicht dem Senat nicht – zumal Unternehmen negative Berichterstattung in einem rechtsstaatlichen Verfahren grundsätzlich hinnehmen müssen.
Zum anderen lehnt das OLG es ab, interne „Verantwortungsrituale“ – etwa die Vorstellung, dass der Vorstand sich vor Aktionären und Aufsichtsrat für Datenschutzverstöße rechtfertigen müsse – als bußgeldmindernde Umstände zu verwerten. Ob und wie sich ein Organ gegenüber anderen Organen erklärt, sei weder festgestellt noch für die Bemessung der Geldbuße relevant.
Unter dem Strich kommt der Senat zu dem Ergebnis, dass das Landgericht einzelne Umstände zu stark zu Gunsten der Betroffenen gewichtet hat, und korrigiert den Betrag moderat nach oben, ohne den vom LG zugrunde gelegten Bußgeldrahmen in Frage zu stellen.
Videoüberwachung als Bußgeldtreiber: Kameradichte, Speicherfristen, Technik
Für die Praxis der Videoüberwachung lässt sich aus der Entscheidung eine klare Linie ablesen: Wer Mitarbeiterbereiche, Pausenflächen und öffentlich zugängliche Zonen mit hoher Kameradichte überwacht und die Aufnahmen lange speichert, bewegt sich schnell in einem relevanten Bußgeldbereich, selbst wenn das Gericht den Schweregrad insgesamt noch als „gering“ einordnet.
Der Verstoß betraf hier mehrere Ebenen gleichzeitig: fehlende Rechtsgrundlage für die Überwachung in Kunden‑ und Mitarbeiterbereichen, überlange Speicherdauer und unzureichende technisch‑organisatorische Maßnahmen, weil etwa eine erforderliche Schwärzung der Bildbereiche unterblieb. Diese Kumulation wertet das OLG zwar nicht als besonders schweren Fall, sieht aber einen Bußgeldrahmen von über zwei Millionen Euro als eröffnet an – ausgeschöpft wurden mit 900.000 Euro immerhin gut 40 Prozent dieses Korridors.
Das Gericht sieht das Persönlichkeitsrecht der Betroffenen zwar als beeinträchtigt, will diesen Umstand aber nicht doppelt zulasten des Unternehmens verwertet wissen: Der Eingriff in das allgemeine Persönlichkeitsrecht ist tatbestandlich angelegt und darf nicht zusätzlich als erschwerender Zumessungsfaktor herangezogen werden, sonst wäre das Verbot der Doppelverwertung verletzt. Auch das ist für künftige Bußgelddiskussionen um Videoüberwachung relevant.
Keine Schonfrist, aber auch kein Exempel
Das OLG Celle positioniert sich damit in der Bußgeldpraxis der Datenschutzaufsicht und Gerichte recht klar: Die Leitlinien des EDSA dienen als Bezugsrahmen, der weite Bußgeldrahmen der DSGVO ist ernst zu nehmen, aber das Gericht bleibt im konkreten Fall deutlich unterhalb der theoretischen Spitzenwerte.
Für Unternehmen mit umfangreicher Videoüberwachung heißt das: Die Zeit „unklarer“ Rechtslage ist vorbei, fehlende Rechtsgrundlage, lange Speicherdauer und schlechte technische Umsetzung sind Bußgeldtreiber, während behauptete Reputationsschäden und interne Verantwortungsrunden nur in engen Grenzen entlasten. Wer seine Kameras nicht konsequent datenschutzkonform aufstellt und betreibt, riskiert auch bei vermeintlich „nur“ fahrlässigem Handeln erhebliche Geldbußen – in einem Rahmen, der nicht mehr als lästiger Betriebsaufwand abgetan werden kann.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (IT-Strafprozessrecht, digitale Beweismittel). Überdies beschäftigt er sich mit den rechtsstaatlichen Grundlagen moderner Arbeit und moderner Technologie – insbesondere mit der Frage, wie Bewusstsein, Verantwortung und Cybersecurity-Awareness im KI-geprägten Alltag Freiheitsräume und europäische Rechtsprinzipien sichern.
Wir übernehmen im IT-Recht und Strafrecht nur bestimmte Bereiche. So im IT-Recht allein im Softwarerecht mit darauf bezogenem IT‑Vertragsrecht und Lizenzrecht sowie rund um Cybersicherheit. Im Strafrecht übernehmen wir ausschiesslich Strafverteidigungen in Bereichen, auf die wir uns spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht