Schwarz/Pahlke/Keß, AO § 384a Verstöße nach Artikel 83 Absatz 4 bis 6 der Verordnung (EU) 2016/679

1 Grundlagen

1.1 Allgemeines

Rz. 1

In den letzten Jahrzehnten wurden mit dem Ziel des Rechtsgüterschutzes zahlreiche Ge- und Verbotsvorschriften erlassen und das Ordnungswidrigkeitenrecht wurde auf alle Sachgebiete ausgeweitet, so dass es zu einem deutlichen Anwachsen der Bußgeldtatbestände kam. Dies gilt auch für die AO, in der die Anzahl der bußgeldbewehrten Verhaltensweisen deutlich zunahm. Die Aufhebung des § 383a AO mit Wirkung zum 25.5.2018 durch das Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17.7.2017^[1] stellt jedoch keinen Versuch der Verringerung der Bußgeldtatbestände dar, sondern sie wurde im Rahmen der Anpassung der AO an die Erfordernisse der EU-DSGVO^[2] erforderlich, da es sich bei der EU-DSGVO um unmittelbar geltendes und somit für die Mitgliedstaaten der EU verbindliches Recht handelt, das keiner nationalen Umsetzung bedarf. EG-Verordnungen gelten nach Art. 288 UA 2 AEUV unmittelbar in jedem Mitgliedstaat, so dass eine Umsetzung in nationales Recht nicht erforderlich ist. Das im Bereich der EU grundsätzlich geltende Prinzip der Sanktionshoheit der Mitgliedstaaten findet somit seine Grenze im Vorrang des Gemeinschaftsrechts.^[3] Mithin kommt den Regelungen der EU-DSGVO Anwendungsvorrang vor dem nationalen Recht zu.^[4] und die Regelungen der EU-DSGVO dürfen im nationalen Recht auch nicht wiederholt werden.

Rz. 2

Daraus ergibt sich, dass Art. 83 EU-DSGVO nun die Verhängung von Bußgeldern bei Verstößen gegen die EU-DSGVO abschließend regelt.^[5], so dass die bisherige Regelung des § 383a AO aufgrund des Vorrangs des Gemeinschaftsrechts nicht erhalten bleiben konnte. Stattdessen wurde nun – basierend auf Art. 84 Abs. 1 EU-DSGVO – § 384a AO eingeführt, der umfassend Bezug nimmt auf Art. 83 EU-DSGVO. Dies führt im Rahmen der fortschreitenden Verzahnung von deutschem und europäischem Recht allerdings nicht zu einer Verringerung, sondern eher zu einer weiteren Vermehrung von Bußgeldtatbeständen.

Rz. 3

Aus dem Vorrang des Gemeinschaftsrechts ergibt sich allerdings nicht nur, dass § 383a AO vom gemeinschaftsrechtlichen Art. 83 EU-DSGVO verdrängt wurde, sondern darüber hinaus besteht für die nationalen Verwaltungen und Gerichte auch bzgl. der Vorschriften der AO die Pflicht zur richtlinien- und gemeinschaftskonformen Auslegung.

[1] BGBl I 2017, 2541.

[2] Verordnung (EU) 2016/679.

[3] Art. 4 Abs. 3 UA 2 und 3 EUV, Art. 288 UA 3 AEUV.

[4] Vgl. Art. 288 AEUV sowie den ausdrücklichen Hinweis in § 2a Abs. 3 AO.

[5] So vor der Aufhebung des § 383a AO bereits Brandis, in Tipke/Kruse, AO/FGO, 150. Lfg. 10/2017, § 383a AO Rz. 3; Bülte, in HHSp, AO/FGO, 246. Lfg. 02/2018, § 383a AO Rz. 41, der allerdings eine Verdrängung des § 383a AO erst dann annehmen wollte, wenn im Einzelfall eine abschreckende, effektive und verhältnismäßige Durchsetzung des Datenschutzes durch § 383a AO nicht mehr gewährleistet sei.

1.2 Geldbuße

1.2.1 Allgemeines

Rz. 4

Gegenüber dem bisher anwendbaren § 383a AO bzw. dem BDSG a. F. nimmt die EU-DSGVO im Hinblick auf die Sanktionsdrohung grundlegende und tiefgreifende Änderungen vor. So sah § 383a AO Geldbußen von 5 EUR bis 10.000 EUR vor und bei Verstößen gegen § 43 Abs. 1 BDSG a. F. war ein Bußgeld von bis zu 50.000 EUR bzw. bei Verstößen gegen § 43 Abs. 2 BDSG a. F. ein Bußgeld von bis zu 300.000 EUR möglich.

Die Höhe der für den jeweiligen Verstoß maximal möglichen Geldbuße wird nun durch die EU-DSGVO deutlich nach oben verschoben. So beträgt die Geldbuße bei Verletzung einer jeden der in Art. 83 Abs. 4 EU-DSGVO in Bezug genommenen Pflichten bis zu 10.000.000 EUR oder im Fall eines Unternehmens bis zu 2 % des weltweit im Vorjahr erzielten Jahresumsatzes. Darüber hinaus wird für Verstöße gegen die in Art. 83 Abs. 5 und 6 EU-DSGVO genannten Pflichten die maximal zulässige Geldbuße auf bis zu 20.000.000 EUR oder im Fall eines Unternehmens bis zu 4 % des weltweit im Vorjahr erzielten Jahresumsatzes verdoppelt. Dabei soll in den Abs. 4–6 jeweils der höhere Betrag maßgeblich sein.

Rz. 5

Gem. Artikel 83 Abs. 1 EU-DSGVO ist im jeweiligen Einzelfall sicherzustellen, dass die Verhängung der Geldbuße wirksam, verhältnismäßig und abschreckend ist. Im Hinblick auf die Verhältnismäßigkeit und die Wirksamkeit kommt der Norm lediglich deklaratorische Funktion zu.^[1] Die Anforderung einer abschreckenden Ahndung ergibt sich hingegen aus Abs. 1. Sie ist gegeben, wenn die jeweilige Sanktion im Einzelfall spezialpräventiv geeignet ist, den Täter von weiteren Verstößen abzuhalten, und darüber hinaus auch unter generalpräventiven Gesichtspunkten geeignet ist, die Allgemeinheit sowohl von weiteren Verstößen abzuhalten als auch das Vertrauen der Allgemeinheit in die Geltung des Unionsrechts zu bekräftigen.^[2]

Rz. 6

Umstritten ist, ob im Hinblick auf die Verhängung einer Geldbuße nach Art. 83 EU-DSGVO das Opportunitätsprinzip gilt.^[3] Für die Anwendung des Opportunitätsprinzips spricht zumindest, dass gem. § 41 BDSG, auf den auch § 384a Abs. 2 verweist^[4], die Vorschriften des OWiG und somit auch das in § 47 OWiG geregelte Opportunitätsprinzip im Hinb...