Sanktionen
Die Mitgliedstaaten der EU haben das Recht, bei Verstößen gegen Datenschutzregeln Sanktionen zu verhängen. Diese sollen bei solchen Verstößen gelten, für die in der Datenschutz-Grundverordnung keine Geldbußen vorgesehen sind. Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.
In Deutschland regelt das Bundesdatenschutzgesetz die Strafvorschriften bei Datenschutzverstößen. Wer beispielsweise ohne Berechtigung und gewerbsmäßig Daten vieler Betroffener, die nicht allgemein zugänglich sind, anderen übermittelt, kann mit einer Freiheits- oder Geldstrafe zur Verantwortung gezogen werden.
Siehe auch Geldbußen
Artikel 84 DSGVO (Sanktionen)
(1) Die Mitgliedstaaten legen die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung — insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen — fest und treffen alle zu deren Anwendung erforderlichen Maßnahmen. Diese Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.
(2) Jeder Mitgliedstaat teilt der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften, die er aufgrund von Absatz 1 erlässt, sowie unverzüglich alle späteren Änderungen dieser Vorschriften mit.
Quelle: Verordnung (EU) 2016/679 (siehe auch Erwägungsgründe 146 und 147)
§ 42 BDSG (Strafvorschriften)
(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein,
1. einem Dritten übermittelt oder
2. auf andere Art und Weise zugänglich macht
und hierbei gewerbsmäßig handelt.
(2) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind,
1. ohne hierzu berechtigt zu sein, verarbeitet oder
2. durch unrichtige Angaben erschleicht
und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.
(3) Die Tat wird nur auf Antrag verfolgt.
Antragsberechtigt sind die betroffene Person, der Verantwortliche, die oder der Bundesbeauftragte und die Aufsichtsbehörde.
(4) Eine Meldung nach Artikel 33 der Verordnung (EU) 679/2016 oder eine Benachrichtigung nach Artikel 34 Absatz 1 der Verordnung (EU) 679/2016 darf in einem Strafverfahren gegen den Meldepflichtigen oder Benachrichtigenden oder seine in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden.
Quelle: Bundesdatenschutzgesetz
