DSGVO-Bußgeldverfahren und strafrechtliche Aspekte

Datenschutz als Sanktionsfeld

Die Datenschutz-Grundverordnung hat den Umgang mit personenbezogenen Daten in Europa neu geregelt und die Sanktionsmöglichkeiten der Aufsichtsbehörden deutlich ausgebaut. Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes sind möglich. Für Unternehmen bedeutet das eine grundlegend neue Risikolandschaft. In Hamburg hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit in den letzten Jahren mehrfach hohe Bußgelder verhängt. Neben der bußgeldrechtlichen Ebene ergeben sich strafrechtliche Wechselwirkungen, wenn Datenschutzverstöße mit Straftatbeständen zusammentreffen.

Die Rechtsanwaltskanzlei Sengül in der Trostbrücke 1 in der Hamburger Altstadt begleitet Unternehmen in DSGVO-Bußgeldverfahren und in Verfahren, die aus dem Zusammenspiel von Datenschutz und Strafrecht entstehen. Fachanwalt für Strafrecht Cem Sengül, Prädikatsjurist mit Referendariat am Oberlandesgericht Hamburg und Erfahrung an internationalen Kanzleien im Bereich Corporate, kennt die Verzahnung von Datenschutz-, Aufsichts- und Strafrecht.

Zuständigkeit und Verfahrensablauf

Für nichtöffentliche Stellen mit Hauptniederlassung in Hamburg ist grundsätzlich der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig; bei grenzüberschreitenden Verarbeitungen gelten die Zuständigkeitsregeln der DSGVO. Die Aufsichtsbehörde kann Auskünfte und Unterlagen verlangen, Abhilfemaßnahmen anordnen und Geldbußen verhängen.

Gegen einen Bußgeldbescheid kann Einspruch eingelegt werden. Welches Gericht entscheidet, richtet sich nach § 41 BDSG in Verbindung mit dem OWiG: Bei Geldbußen von mehr als 100.000 Euro entscheidet in erster Instanz das Landgericht, ansonsten grundsätzlich das Amtsgericht. Eine kooperative Kommunikation kann bußgeldmindernd sein; zugleich müssen Auskunftsrechte und mögliche Selbstbelastungsrisiken geprüft werden.

Bußgeldbemessung

Art. 83 DSGVO unterscheidet zwei Bußgeldstufen. Je nach verletzter Vorschrift reichen die Höchstbeträge bis zu 10 Millionen Euro oder zwei Prozent beziehungsweise bis zu 20 Millionen Euro oder vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs – jeweils danach, welcher Betrag höher ist.

Bei der konkreten Bemessung sind unter anderem Art, Schwere und Dauer des Verstoßes, Zahl der Betroffenen, Verschulden, Schadensminderung, frühere Verstöße, Zusammenarbeit und betroffene Datenkategorien zu berücksichtigen. Kooperation und wirksame Abhilfe können sich günstig auswirken, garantieren aber keine bestimmte Reduzierung.

Strafrechtliche Wechselwirkungen

Datenschutzverstöße sind nicht automatisch Straftaten. § 42 BDSG erfasst eng begrenzte Fälle, etwa das wissentlich unberechtigte, gewerbsmäßige oder gegen Entgelt erfolgende Übermitteln oder Zugänglichmachen nicht allgemein zugänglicher personenbezogener Daten sowie bestimmte Bereicherungs- oder Schädigungsabsichten. Daneben können je nach Zugriff §§ 202a, 202b oder 303a StGB einschlägig sein.

Eine Verantwortlichkeit nach § 130 OWiG setzt voraus, dass eine Leitungsperson erforderliche Aufsichtsmaßnahmen unterlässt und dadurch eine betriebsbezogene Straftat oder Ordnungswidrigkeit ermöglicht oder erleichtert wird. Auch § 30 OWiG greift nicht automatisch, sondern nur bei einer zurechenbaren Tat einer Leitungsperson.

Meldung von Datenschutzverletzungen

Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 33 DSGVO grundsätzlich binnen 72 Stunden nach Kenntniserlangung der zuständigen Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Eine Benachrichtigung betroffener Personen nach Art. 34 DSGVO ist regelmäßig erst bei voraussichtlich hohem Risiko erforderlich.

Die Meldung muss die gesetzlichen Mindestangaben enthalten; fehlende Informationen können stufenweise nachgereicht werden. § 42 Abs. 4 BDSG begrenzt unter bestimmten Voraussetzungen die strafprozessuale Verwendung einer Meldung oder Benachrichtigung gegen die meldepflichtige Person oder ihre Angehörigen. Reichweite und praktische Folgen dieses Schutzes sind im Einzelfall zu prüfen.

Interne Untersuchung und Auskunftserteilung

Wenn eine Datenschutzverletzung entdeckt wird, ist die interne Untersuchung der erste Schritt. Sie klärt Umfang, Ursache und Auswirkungen der Verletzung. Die Ergebnisse werden für die Meldung an die Aufsichtsbehörde und gegebenenfalls die betroffenen Personen aufbereitet. Cem Sengül strukturiert diese internen Untersuchungen so, dass sie datenschutzrechtlich sauber, aber auch für ein Strafverfahren Bedeutung erlangen können.

Die Auskunftserteilung gegenüber der Aufsichtsbehörde ist ein weiterer sensibler Punkt. Auskunfts- und Mitwirkungspflichten sind von Aussage- und Selbstbelastungsrechten betroffener natürlicher Personen zu trennen. Reichweite, Adressat und mögliche Verwendungsbeschränkungen müssen vor einer Stellungnahme konkret geprüft werden.

Compliance und Prävention

Der wirksamste Schutz vor DSGVO-Verfahren ist ein präventiver Compliance-Aufbau. Datenschutz-Management-Systeme, Datenschutz-Folgenabschätzungen, Verzeichnisse von Verarbeitungstätigkeiten, dokumentierte Rechtsgrundlagen und Schulungen der Mitarbeiter bilden das Fundament. Die Kanzlei Sengül berät Unternehmen im Aufbau der Datenschutz-Compliance und in der Vorbereitung auf Aufsichtsverfahren.

Anwaltliche Beratung in Hamburg

Unternehmen in Hamburg, die mit einem DSGVO-Bußgeldverfahren oder mit datenschutzstrafrechtlichen Vorwürfen konfrontiert sind, sollten frühzeitig anwaltliche Beratung einholen. Die Rechtsanwaltskanzlei Sengül in der Trostbrücke 1, 20457 Hamburg, ist telefonisch unter 040 8080 65 100 oder per E-Mail an info@kanzlei-cs.org erreichbar. Cem Sengül prüft die konkrete Situation und entwickelt eine Strategie, die datenschutz- und strafrechtliche Aspekte integriert.

FAQ

Wie hoch können DSGVO-Bußgelder sein?

Die DSGVO sieht Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die konkrete Höhe hängt von Art und Schwere des Verstoßes, der Zahl betroffener Personen und der Kooperation mit der Aufsichtsbehörde ab.

Wer ist in Hamburg für Datenschutzverstöße zuständig?

Zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit. Er führt Ermittlungen, fordert Stellungnahmen an und verhängt Bußgelder. Gegen Bußgeldbescheide kann Einspruch eingelegt werden. Bei einer Geldbuße von mehr als 100.000 Euro entscheidet nach § 41 BDSG in erster Instanz das Landgericht; ansonsten ist grundsätzlich das Amtsgericht zuständig.

Muss ich eine Datenpanne melden?

Eine Meldung nach Art. 33 DSGVO ist grundsätzlich binnen 72 Stunden nach Bekanntwerden erforderlich, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Inhalt und Risikobewertung müssen dokumentiert werden.

Kann eine Datenschutzverletzung strafbar sein?

Ja. § 42 BDSG stellt bestimmte Datenmissbrauchshandlungen unter Strafe. Zusätzlich können §§ 202a, 202b, 303a StGB (Ausspähen, Abfangen und Veränderung von Daten) einschlägig sein. Bei Verletzung von Aufsichtspflichten droht Verantwortlichen § 130 OWiG.

Was tun bei einer DSGVO-Prüfung?

Zunächst die Aufsichtsbehörde kooperativ bedienen, dabei aber sorgfältig auf strafrechtliche Fallstricke achten. Cem Sengül in der Trostbrücke 1, 20457 Hamburg, telefonisch unter 040 8080 65 100, begleitet Unternehmen durch DSGVO-Verfahren und koordiniert datenschutzrechtliche und strafrechtliche Aspekte.