Ja, aber nur in schweren Fällen. Nach § 42 BDSG drohen bis zu drei Jahre Freiheitsstrafe, wenn jemand Daten vieler Personen gewerbsmäßig unbefugt weitergibt, und bis zu zwei Jahre, wenn jemand Daten gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht unbefugt verarbeitet. Bestraft werden Menschen, nicht das Unternehmen. Typische Verstöße im Firmenalltag, etwa eine fehlende Rechtsgrundlage, werden mit Bußgeldern geahndet, nicht mit Haft. Die DSGVO selbst sieht keine Freiheitsstrafen vor, erlaubt den Mitgliedstaaten aber weitere Sanktionen (Art. 84 DSGVO).
Straftatbestand 1: Gewerbsmäßige unbefugte Offenlegung (§ 42 Abs. 1 BDSG)
Wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen unbefugt einem Dritten übermittelt oder zugänglich macht und dabei gewerbsmäßig handelt, wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.
Typische Fälle: Systematischer Datenhandel, gewerbsmäßiger Verkauf gestohlener Kundendatenbanken.
Straftatbestand 2: Unbefugte Verarbeitung gegen Entgelt oder in Schädigungsabsicht (§ 42 Abs. 2 BDSG)
Wer personenbezogene Daten, die nicht allgemein zugänglich sind, unbefugt verarbeitet oder durch unrichtige Angaben erschleicht und dabei gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht handelt, wird mit Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe bestraft.
Typische Fälle: Beschäftigte fragen Kundendaten ohne Berechtigung ab und verkaufen sie, oder jemand erschleicht sich Daten mit falschen Angaben, um einer Person zu schaden. Bloße Neugier ohne Entgelt, Bereicherungs- oder Schädigungsabsicht erfüllt § 42 Abs. 2 BDSG nicht.
Wichtige Besonderheiten
- Antragsdelikt (§ 42 Abs. 3 BDSG): Die Strafverfolgung erfolgt nur auf Antrag der betroffenen Person, des Verantwortlichen, des BfDI oder der Aufsichtsbehörde.
- Selbstbelastungsschutz (§ 42 Abs. 4 BDSG): Meldungen nach Art. 33 DSGVO (Datenpannenmeldung) oder Benachrichtigungen nach Art. 34 DSGVO dürfen im Strafverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden. Dies ist eine wichtige Regelung, um die Bereitschaft zur Datenpannenmeldung nicht zu unterlaufen.
Weitere strafrechtliche Normen
Neben § 42 BDSG können bei Datenschutzverstößen auch weitere Straftatbestände einschlägig sein:
- § 202a StGB (Ausspähen von Daten)
- § 202b StGB (Abfangen von Daten)
- § 202c StGB (Vorbereiten des Ausspähens)
- § 201a StGB (Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen)
- § 203 StGB (Verletzung von Privatgeheimnissen)
- § 27 TDDDG (u. a. unbefugtes Abhören von Nachrichten und verbotene Abhörgeräte, bis zu zwei Jahre Freiheitsstrafe)
Für Unternehmen sind Bußgelder das größere Risiko. Einen Überblick gibt der Artikel zu Bußgeldern und Sanktionen.