Ja, bei schwerwiegenden Datenschutzverstößen drohen in Deutschland strafrechtliche Konsequenzen bis hin zu Freiheitsstrafen. Die DSGVO selbst sieht keine Freiheitsstrafen vor, ermächtigt aber die Mitgliedstaaten in Art. 84, zusätzliche Sanktionen - einschließlich strafrechtlicher - festzulegen.
Straftatbestand 1: Gewerbsmäßige unbefugte Offenlegung (Paragraph 42 Abs. 1 BDSG)
Wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen unbefugt einem Dritten übermittelt oder zugänglich macht und dabei gewerbsmäßig handelt, wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.
Typische Fälle: Systematischer Datenhandel, gewerbsmäßiger Verkauf gestohlener Kundendatenbanken.
Straftatbestand 2: Unbefugte Verarbeitung gegen Entgelt oder in Schädigungsabsicht (Paragraph 42 Abs. 2 BDSG)
Wer personenbezogene Daten, die nicht allgemein zugänglich sind, unbefugt verarbeitet oder durch unrichtige Angaben erschleicht und dabei gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht handelt, wird mit Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe bestraft.
Typische Fälle: Unbefugtes Durchstöbern von Kundendaten für private Zwecke, Erschleichung von Daten durch Betrug (Social Engineering), Doxxing.
Wichtige Besonderheiten:
- Antragsdelikt (Paragraph 42 Abs. 3 BDSG): Die Strafverfolgung erfolgt nur auf Antrag der betroffenen Person, des Verantwortlichen, des BfDI oder der Aufsichtsbehörde.
- Selbstbelastungsschutz (Paragraph 42 Abs. 4 BDSG): Meldungen nach Art. 33 DSGVO (Datenpannenmeldung) oder Benachrichtigungen nach Art. 34 DSGVO dürfen im Strafverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden. Dies ist eine wichtige Regelung, um die Bereitschaft zur Datenpannenmeldung nicht zu unterlaufen.
Weitere strafrechtliche Normen:
Neben Paragraph 42 BDSG können bei Datenschutzverstößen auch weitere Straftatbestände einschlägig sein:
- Paragraph 202a StGB (Ausspähen von Daten)
- Paragraph 202b StGB (Abfangen von Daten)
- Paragraph 202c StGB (Vorbereiten des Ausspähens)
- Paragraph 201a StGB (Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen)
- Paragraph 203 StGB (Verletzung von Privatgeheimnissen)
- Paragraph 27 TDDDG (Strafvorschriften bei Verletzung des Fernmeldegeheimnisses, bis zu 2 Jahre Freiheitsstrafe)