Welche Busse droht bei ungenügender Datensicherheit oder unzulässiger Auftragsbearbeitung?
Bei vorsätzlicher Verletzung bestimmter Sorgfaltspflichten droht privaten Personen auf Antrag eine Busse bis zu 250 000 Franken. Das betrifft namentlich die Übergabe der Datenbearbeitung an einen Auftragsbearbeiter ohne Erfüllung der Voraussetzungen nach Artikel 9 Absätze 1 und 2 sowie die Nichteinhaltung der Mindestanforderungen an die Datensicherheit nach Artikel 8 Absatz 3.
Das Datenschutzgesetz nennt für bestimmte Sorgfaltspflichten ausdrücklich eine Strafdrohung: Mit Busse bis zu 250 000 Franken werden private Personen auf Antrag bestraft, wenn sie vorsätzlich handeln. Für den hier angesprochenen Bereich erfasst das insbesondere zwei Konstellationen: Erstens, wenn die Datenbearbeitung einem Auftragsbearbeiter übergeben wird, ohne dass die Voraussetzungen nach Artikel 9 Absätze 1 und 2 erfüllt sind. Zweitens, wenn die Mindestanforderungen an die Datensicherheit, die der Bundesrat nach Artikel 8 Absatz 3 erlassen hat, nicht eingehalten werden. Entscheidend sind damit mehrere Elemente zugleich: private Personen, ein vorsätzliches Verhalten und ein Strafantrag.[1]
- Bei Auftragsbearbeitung ist zu prüfen, ob die Voraussetzungen nach Artikel 9 Absätze 1 und 2 erfüllt sind; fehlt dies, kann die Übergabe der Datenbearbeitung strafbar sein.
- Bei Datensicherheit ist zu prüfen, ob die Mindestanforderungen eingehalten werden, die der Bundesrat nach Artikel 8 Absatz 3 erlassen hat; deren Nichteinhaltung ist ausdrücklich genannt.
- Die Strafnorm erfasst nicht jede beliebige Pflichtverletzung, sondern die im Gesetz aufgezählten Fälle der Verletzung von Sorgfaltspflichten. Dazu gehört neben den genannten Punkten auch die Bekanntgabe von Personendaten ins Ausland unter den in Art. 61 genannten zusätzlichen Voraussetzungen.
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.[1]