Die DSGVO als europäischer Rahmen
Die Datenschutz-Grundverordnung bildet das zentrale Regelwerk des europäischen Datenschutzrechts. Sie gilt unmittelbar in allen EU-Mitgliedstaaten und schafft einen einheitlichen Standard für die Verarbeitung personenbezogener Daten.
Zentrale Pflichten für Verantwortliche ergeben sich insbesondere aus:
- Art. 5 DSGVO – Grundsätze der Datenverarbeitung
- Art. 25 DSGVO – Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
- Art. 32 DSGVO – Sicherheit der Verarbeitung: Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen (TOMs) treffen
- Art. 33 DSGVO – Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten gegenüber der Aufsichtsbehörde
- Art. 34 DSGVO – Benachrichtigungspflicht gegenüber den betroffenen Personen
- Art. 83 DSGVO – Bußgeldtatbestände und Bußgeldrahmen
Das BDSG als nationale Ergänzung
Das Bundesdatenschutzgesetz (BDSG) ergänzt und präzisiert die DSGVO auf nationaler Ebene. Es enthält unter anderem Regelungen zur Datenverarbeitung durch öffentliche Stellen, zur Videoüberwachung und – besonders relevant – zur strafrechtlichen Verantwortlichkeit im Datenschutzkontext.
§ 42 BDSG normiert eigenständige Straftatbestände im Datenschutzrecht. Wer personenbezogene Daten, die nicht allgemein zugänglich sind, unbefugt verarbeitet und dabei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, macht sich strafbar. Die Strafe kann bis zu drei Jahre Freiheitsstrafe oder Geldstrafe betragen.
§ 43 BDSG regelt Ordnungswidrigkeiten, die mit Bußgeldern geahndet werden können.
Strafrechtliche Relevanz: Das StGB im Kontext von Datenschutzverstößen
Datenpannen können auch Straftatbestände des Strafgesetzbuches (StGB) berühren – insbesondere dann, wenn es sich um gezielte Angriffe auf Datensysteme handelt:
- § 202a StGB – Ausspähen von Daten: Strafbar ist das unbefugte Verschaffen von Zugang zu besonders gesicherten Daten.
- § 202b StGB – Abfangen von Daten: Das unbefugte Abfangen nicht öffentlicher Datenübermittlungen.
- § 202c StGB – Vorbereitung des Ausspähens: Strafbar ist bereits die Vorbereitung solcher Taten durch entsprechende Software oder Passwörter.
- § 303a StGB – Datenveränderung: Das unbefugte Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern von Daten.
- § 303b StGB – Computersabotage: Erhebliche Beeinträchtigungen von Datenverarbeitungen.
Die Schnittstelle zwischen Datenschutzrecht und Strafrecht ist komplex und wird in der Praxis häufig unterschätzt. Unternehmen, die Opfer eines Cyberangriffs werden, sind gleichzeitig Geschädigte und potenzielle Beschuldigte – etwa wenn sie die Meldepflichten nicht einhalten oder unzureichende Sicherheitsmaßnahmen nachgewiesen werden.
Zivilrechtliche Folgen
Unternehmen drohen zunehmend auch zivilrechtliche Konsequenzen. Betroffene Personen können Schadensersatz nach Art. 82 DSGVO direkt vor den Zivilgerichten einklagen – sowohl für materielle Schäden (z. B. finanzielle Verluste durch Identitätsdiebstahl) als auch für immaterielle Schäden wie Stress, Kontrollverlust oder Reputationseinbußen.
Verwaltungsrechtliche Folgen
Neben dem Bußgeld stehen den Datenschutzaufsichtsbehörden weitere verwaltungsrechtliche Instrumente zur Verfügung, die in der Praxis oft unterschätzt werden. Gemäß Art. 58 DSGVO können die Behörden unter anderem:
- Anweisungen und Verwarnungen aussprechen, die zwar kein Bußgeld bedeuten, aber offiziell dokumentiert sind und bei späteren Verstößen erschwerend wirken
- Verarbeitungstätigkeiten vorübergehend oder dauerhaft untersagen – ein Eingriff, der für viele Unternehmen schwerwiegendere operative Folgen hat als ein Bußgeld
- Die Aussetzung von Datentransfers in Drittländer anordnen
- Nachweise und Dokumentationen einfordern sowie Überprüfungen und Audits anordnen
Verwaltungsrechtliche Maßnahmen können mit oder ohne gleichzeitiges Bußgeld ergehen. Gerade die Untersagung bestimmter Verarbeitungstätigkeiten kann für datengetriebene Geschäftsmodelle existenzbedrohend sein. Unternehmen sollten daher behördliche Anfragen und Untersuchungsverfahren nicht auf die leichte Schulter nehmen – und frühzeitig rechtliche Begleitung suchen.
German 
English