Schwarz/Pahlke/Keß, AO § 384a Verstöße nach Artikel 83 A ... / 4 Verwertung von Meldungen

Rz. 34

Die Offenlegung der Datenschutzversäumnisse im Wege einer Meldung i. S. d. Art. 33 EU-DSGVO oder einer Benachrichtigung i. S. d. Art. 34 EU-DSGVO^[1] darf gem. § 384a Abs. 3 AO nicht Eingang finden in ein Straf- oder Ordnungswidrigkeitsverfahren gegen die meldepflichtige Person oder einen seiner Angehörigen i. S. d. § 52 Abs. 1 StPO, es sei denn der Benachrichtigungspflichtige stimmt zu. Hierdurch soll dem Konflikt Rechnung getragen werden, der darin besteht, dass sich die meldepflichtige Person entweder selbst belastet oder dass sie sich ansonsten wegen der Nichtanzeige nach Art. 83 Abs. 4 Buchst. a) EU-DSGVO ordnungswidrig verhält.

Rz. 35

Die Regelung dient dem Schutz davor, sich im Hinblick auf eine Straftat oder Ordnungswidrigkeit selbst belasten zu müssen.^[2] Sie übernimmt den Regelungsgehalt des bisherigen § 42a S. 6 BDSG a. F., der in Form des § 42 Abs. 4 auch Eingang ins aktuelle BDSG fand.^[3] Ausgangspunkt dieser Regelung war § 97 Abs. 1 S. 3 InsO, wobei sowohl diese Vorschrift als auch das BDSG insoweit über die verfassungsrechtlichen Vorgaben hinausgehen, als sie nicht nur ein Verwertungs-, sondern auch ein Verwendungsverbot statuieren.^[4] Die Norm entfaltet somit eine Fernwirkung, durch die auch jegliche weitere Verwendung – z. B. in Form von Ermittlungen mit dem Ziel der Schaffung selbstständiger Beweismittel – der Informationen für Straf- oder Bußgeldverfahren verboten ist.^[5], wenn die meldepflichtige Person nicht zustimmt.

Rz. 36

Durch § 384a Abs. 3 AO wird hingegen nicht die Möglichkeit der Verwaltungs- oder Ermittlungsbehörden ausgeschlossen, bekannte oder auf anderem Weg rechtmäßig ermittelte Tatsachen zu verwenden, wenn sie belegen können, dass diese Tatsachen nicht aus der Meldung i. S. d. Art. 33 EU-DSGVO oder einer Benachrichtigung i. S. d. Art. 34 EU-DSGVO stammen. Darüber hinaus schützt das Verwendungsverbot z. B. nicht vor der Durchführungen von Prüfungen durch die Aufsichtsbehörde i. S. d. Art. 58 Abs. 1 EU-DSGVO.

Das Verwendungsverbot gilt ferner nicht im Hinblick auf die verwaltungsgerichtliche Anfechtung der Tätigkeit der Aufsichtsbehörde^[6] und für Zivilprozesse.^[7]

Rz. 37

Der Wortlaut des § 384a Abs. 3 AO bezieht sich nur auf die meldepflichtige Person. Handelt es sich dabei um eine natürliche Person, so erstreckt sich das Verwendungsverbot auf diese bzw. ihre Angehörigen i. S. d. § 52 Abs. 1 StPO.

Im Falle einer juristischen Person, ist eine Selbstbelastung im engeren Sinn nur ausnahmsweise bei einer Ein-Mann-GmbH vorstellbar.^[8] Im Hinblick auf andere juristische Personen (z. B. Kapitalgesellschaften) ist die Verfolgung wegen einer Straftat ausgeschlossen und die Festsetzung einer Geldbuße gegen die juristische Person gem. § 30 OWiG erfordert die Begehung einer Ordnungswidrigkeit durch eine natürliche Person. Folglich gilt § 384a Abs. 3 AO auch für die vertretungsberechtigten Organe der juristischen Person i. S. d. § 9 Abs. 1 OWiG, die mit der Leitung beauftragten Personen i. S. d. § 9 Abs. 2 OWiG sowie für die juristische Person selbst.^[9]

[1] Frenzel, in Paal/Pauly, BDSG, 2. Aufl. 2018, § 42 BDSG Rz. 10 weist zutreffend auf die sich aus der unionsrechtlichen Determinierung der Begriffe "Meldung" und "Benachrichtigung" hin.

[2] "Nemo tenetur se ipsum accusare"; vgl. dazu BVerfG v. 13.1.1981, 1 BvR 116/77, BVerfGE 56, 37 (42, 50).

[3] BT-Drs. 18/12611, 96.

[4] Dix, in Simitis, BDSG, 8. Aufl. 2014, § 42a BDSG Rz. 18; Gola/Klug/Körffer, in Gola/Schomerus, BDSG, 12. Aufl. 2015, § 42a BDSG Rz. 9.

[5] Ebenso zu § 42a BDSG a. F. Dix, in Simitis, BDSG, 8. Aufl. 2014, § 42a BDSG Rz. 20; Gola/Klug/Körffer, in Gola/Schomerus, BDSG, 12. Aufl. 2015, § 42a BDSG Rz. 9; Scheffczyk, in BeckOK DatenschutzR, 23. Ed. 1.2.2018, § 42a BDSG Rz. 58; Holländer, RDV 2009, 215 (221); Hornung, NJW 2010, 1841 (1844).

[6] Zu § 42a BDSG a. F. Dix, in Simitis, BDSG, 8. Aufl. 2014, § 42a BDSG Rz. 20; Scheffczyk, in BeckOK DatenschutzR, 23. Ed. 1.2.2018, § 42a BDSG Rz. 59.

[7] Zu § 42a BDSG a. F. Dix, in Simitis, BDSG, 8. Aufl. 2014, § 42a BDSG Rz. 20; Gola/Klug/Körffer, in Gola/Schomerus, BDSG, 12. Aufl. 2015, § 42a BDSG Rz. 9.

[8] Ebenso zu § 42a BDSG a. F. Dix, in Simitis, BDSG, 8. Aufl. 2014, § 42a BDSG Rz. 19. Vgl. auch BT-Drs. 16/12011, 35.

[9] Zutreffend zu § 42a BDSG a. F. Dix, in Simitis, BDSG, 8. Aufl. 2014, § 42a BDSG Rz. 19 und Scheffczyk, in BeckOK DatenschutzR, 23. Ed. 1.2.2018, § 42a BDSG Rz. 62, die sich auf verfassungsrechtliche Gründe beruft; i. E. ebenso Gola/Klug/Körffer, in Gola/Schomerus, BDSG, 12. Aufl. 2015, § 42a BDSG Rz. 9; die Anwendung auf die juristische Person ablehnend Eckhardt/Schmitz, DuD 2010, 390 (396 f.) und wohl auch Plath, in Plath, BDSG/DSGVO, 2. Aufl. 2016, § 42a BDSG Rz. 12.