Jansen, SGB X § 85 Strafvorschriften

0 Rechtsentwicklung

Rz. 1

Im Zusammenhang mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) ist die Vorschrift neu bekannt gemacht worden. Sie wurde durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze v. 18.5.2001 (BGBI. I S. 904) inhaltlich überarbeitet und an die Stelle des bisherigen § 85a gesetzt. Der Gesetzgeber hat damit auch im SGB X die Bußgeldvorschrift vor die Strafvorschrift gestellt.

Durch Art. 5 des Dritten Gesetzes zur Änderung des Vierten Buches Sozialgesetzbuch und anderer Gesetze v. 5.8.2010 (BGBl. I S. 1127) wurden zum 11.8.2010 Ergänzungen in § 85 vorgenommen. In Abs. 1 wurden nach Nr. 1 die neuen Nr. 1a und 1b und in Abs. 2 wurde Nr. 6 eingefügt. In Abs. 3 wurden in Satz 1 die Bußgelder für Ordnungswidrigkeiten deutlich erhöht und die Sätze 2 und 3 angefügt.

Zum 25.5.2018 wurde § 85 durch Art. 24 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften v. 17.7.2017 (BGBl. I S. 2541) an die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG – Datenschutz-Grundverordnung (DSGVO) v. 27.4.2016 (ABl. L 119/1) umfassend angepasst und wieder vor die Bußgeldvorschrift des § 85a gestellt.

1 Allgemeines

Rz. 2

Art. 84 Abs. 1 DSGVO berechtigt und verpflichtet die Mitgliedstaaten, "andere Sanktionen für Verstöße gegen die Verordnung" festzulegen. Diese Norm ist damit insbesondere eine Öffnungsklausel, um neben Geldbußen i. S. d. Art. 83 DSGVO (vgl. die Komm. zu § 85a) mitgliedstaatlich strafrechtliche Sanktionen vorzusehen.

Der deutsche Gesetzgeber hat dies mit § 42 BDSG und speziell für die Sozialdaten mit § 85 umgesetzt.

2 Rechtspraxis

Rz. 3

§ 85 Abs. 1 verweist auf § 42 Abs. 1 und 2 BDSG.

Mit Abs. 2 wird das Antragserfordernis des § 85a Abs. 2 a. F. übernommen (Rz. 7).

Abs. 3 dient dem verfassungsrechtlichen Verbot einer Selbstbezichtigung (Rz. 8).

2.1 Anwendung des § 42 BDSG nach § 85 Abs. 1

Rz. 4

Aufgrund des abschließenden Charakters der DSGVO hinsichtlich der Bußgeldtatbestände konnte der Verweis des § 85a Abs. 1 a. F. auf die Bußgeldtatbestände nicht übernommen werden.

§ 85 Abs. 1 verweist daher seit dem 25.5.2018 nur noch auf § 41 Abs. 1 und 2 BDSG. Diese enthalten eine Unterscheidung hinsichtlich der Dauer der Freiheitsstrafe und damit eine Aussage zur Wertigkeit einzelner Handlungen.

Rz. 5

Nach § 42 Abs. 1 BDSG wird mit Freiheitsstrafe bis zu 3 Jahren oder mit Geldstrafe bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein, einem Dritten übermittelt oder auf andere Art und Weise zugänglich macht und hierbei gewerbsmäßig handelt.

Die Voraussetzungen nach § 42 Abs. 1 BDSG sind damit seit dem 25.5.2018 sowohl gegenüber § 44 i. V. m. § 43 BDSG a. F. als auch § 85a i. V. m. § 85 a. F. enger gefasst. Es muss stets Vorsatz und gewerbsmäßiges Handeln vorliegen und sich um die Daten einer großen Zahl von Personen handeln, die unzulässig übermittelt oder auf andere Weise zugänglich gemacht wurden.

Zum Begriff der Übermittlung wird auf die Kommentierung zu § 67 Rz. 32 verwiesen.

Der Begriff "zugänglich machen" ist weiterhin weder in der DSGVO noch im deutschen Datenschutzrecht definiert, wird aber an verschiedenen Stellen verwendet. Darunter sind Daten zu verstehen, die einem verständigen Menschen nicht ohne weiteres bekannt sind oder die er sich aus allgemein zugänglichen Quellen nur mit Mühe verschaffen kann.

Rz. 6

Mit Freiheitsstrafe bis zu 2 Jahren oder mit Geldstrafe wird gemäß § 42 Abs. 2 BDSG bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind, ohne hierzu berechtigt zu sein, verarbeitet oder durch unrichtige Angaben erschleicht und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.

Dies entspricht im Wesentlichen den Anforderungen des § 85a Abs. 1 i. V. m. § 85 Abs. 2 a. F. bis zum 24.5.2018.

2.2 Antragserfordernis nach § 85 Abs. 2

Rz. 7

Das Recht des § 85a Abs. 2 a. F. wurde beibehalten und lediglich redaktionell an die DSGVO angepasst.

Voraussetzung für eine Strafverfolgung ist auch seit dem 25.5.2018 immer ein Antrag. Antragsberechtigt ist zunächst immer die betroffene Person, die verantwortliche Stelle (vgl. Art. 4 Nr. 7 DSGVO) und die nach Landesrecht für die Kontrolle des Datenschutzes zuständigen Stellen bzw. der oder die Bundesbeauftragte für den Datenschutz (hierzu wird ergänzend auch auf die Kommentierung zu § 81 hingewiesen).

2.3 Zustimmung vor Verwendung in einem Strafverfahren nach § 85 Abs. 3

Rz. 8

Abs. 3 dient dem verfassungsrechtlichen Verbot einer Selbstbezichtigung und übernimmt den Regelungsgehalt des § 42a Satz 6 BDSG a. F., der in § 42 Abs. 4 BDSG auch nach dem 24.5.2018 erhalten blieb.

Der Verantwortliche hat nach § 83a und nach Art. 33 und Art. 34 DSGVO umfangreiche Melde- und Benachrichtigungspflichten (vgl. die Komm. zu § 83a). Die dort enthaltenen Informationen dürfen nach Abs. 3 in einem Strafverfahren nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden (Verantwortlichen) verwendet ...