Ja. Bußgeldverfahren wegen Datenschutzverstößen verjähren in Deutschland nach drei Jahren (§ 31 Abs. 2 Nr. 1 OWiG), Straftaten nach § 42 BDSG nach fünf Jahren (§ 78 Abs. 3 Nr. 4 StGB). Schadensersatzansprüche verjähren in der Regel drei Jahre nach dem Ende des Jahres, in dem die betroffene Person davon erfahren hat (§§ 195, 199 BGB). Bei Bußgeldern beginnt die Frist erst, wenn der Verstoß beendet ist. Die DSGVO selbst regelt keine Verjährung und überlässt das den Mitgliedstaaten.
Ordnungswidrigkeitenrecht (Bußgelder)
In Deutschland richtet sich die Verjährung nach dem OWiG (da § 41 BDSG auf das OWiG verweist):
- Die Verjährungsfrist beträgt drei Jahre (§ 31 Abs. 2 Nr. 1 OWiG, da die Bußgeldrahmen der DSGVO über 15.000 EUR liegen).
- Die Frist beginnt mit Beendigung der Ordnungswidrigkeit. Bei Dauerverstößen (z. B. dauerhaft fehlende Datenschutzerklärung, permanente unrechtmäßige Verarbeitung) beginnt die Verjährung erst mit Ende des rechtswidrigen Zustands.
- Die Verjährung kann durch Ermittlungshandlungen der Aufsichtsbehörde unterbrochen werden.
Strafrecht (§ 42 BDSG)
- § 42 Abs. 1 BDSG (bis 3 Jahre Freiheitsstrafe): Verjährungsfrist 5 Jahre (§ 78 Abs. 3 Nr. 4 StGB).
- § 42 Abs. 2 BDSG (bis 2 Jahre Freiheitsstrafe): Verjährungsfrist 5 Jahre (§ 78 Abs. 3 Nr. 4 StGB).
Zivilrechtliche Schadensersatzansprüche (Art. 82 DSGVO)
Die zivilrechtliche Verjährung richtet sich nach nationalem Recht. In Deutschland gilt grundsätzlich die regelmäßige Verjährungsfrist von drei Jahren (§ 195 BGB), beginnend mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Betroffene Kenntnis erlangt hat (§ 199 BGB). Die absolute Verjährungsfrist beträgt zehn Jahre (§ 199 Abs. 3 BGB).
Wichtiger Praxishinweis: Dauernde Verstöße, wie eine permanente unrechtmäßige Datenverarbeitung oder ein dauerhaft fehlendes Verzeichnis der Verarbeitungstätigkeiten, verjähren erst, wenn der rechtswidrige Zustand beendet wird. Dies bedeutet, dass ein laufender Verstoß praktisch nicht verjähren kann.
Laufende Verstöße erkennen Sie am besten durch eine regelmäßige Prüfung, etwa in einem Datenschutz-Audit.