Die systematische Unterscheidung: Ordnungswidrigkeit und Straftat
Das BDSG differenziert in den relevanten Normen der §§ 43, 44 BDSG die datenschutzrechtlichen Verbotstatbestände nach Ordnungswidrigkeiten und Straftaten. Während die Ordnungswidrigkeiten nur mit einer Geldbuße zu ahnden sind, können die Straftaten zudem mit einer Freiheitsstrafe sanktioniert werden.
Ordnungswidrigkeiten nach § 43 Abs. 1 BDSG können mit einer Geldbuße bis zu 50.000,- Euro belegt werden, Ordnungswidrigkeiten nach § 43 Abs. 2 BDSG mit 300.000,- Euro. Zudem stellt § 43 Abs. 3 S. 2, 3 BDSG klar, dass die Geldbuße den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen soll. Reichen die genannten Beträge hierfür nicht aus, können sie sogar überschritten werden, um den durch die unrechtmäßige Nutzung personenbezogener Daten erlangten Vorteil vollständig abzuschöpfen.
Systematisch stellen die §§ 43, 44 BDSG sog. Mischtatbestände dar: generell liegt bei einem Verstoß gegen den Katalog des § 43 BDSG eine Ordnungswidrigkeit vor. Strafbares Handeln liegt nur vor, wenn zu einer Ordnungswidrigkeit gemäß § 43 Abs. 2 BDSG noch weitere Merkmale (§ 44 BDSG) hinzukommen, nämlich die dort genannten Merkmale des Handelns gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht. In diesem Fall kann der Täter mit einer Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft werden.
Als Entgelt ist dabei jede Gegenleistung anzusehen, die zu einem Vermögensvorteil führt (siehe auch § 11 Abs. 1 Nr.9 StGB). Eine Bereicherungs- oder Schädigungsabsicht ist immer dann gegeben, wenn das Handeln auf einen Vermögensvorteil gerichtet ist, auf welches der Täter keinen Anspruch hat (1. Alt) oder wenn der Täter bei seiner Handlung einen materiellen oder immateriellen Nachteil beabsichtigt.
Es handelt sich außerdem um ein Antragsdelikt (§ 44 Abs. 2 BDSG, § 77 StGB), so dass eine Verfolgung durch die Strafbehörden nur nach der Stellung eines Strafantrages durchgeführt werden kann. Antragsberechtigt sind der Verletze, sowie die verantwortliche Stelle, der Bundesbeauftragte für den Datenschutz sowie die jeweilige Aufsichtsbehörde. Für den Strafantrag ist eine Frist von drei Monaten zu beachten.
Geschütze Daten im Sinne von § 44 BDSG sind Daten über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Nicht nötig für die Erfüllung des Straftatbestandes ist es, dass die Daten gegen unberechtigten Zugang besonders geschützt sein müssen.