DSGVO im Rechtsstaat: Wenn Datenschutzbehörden mit Bußgeldern drohen, stehen die datenschutzrechtlichen Auskunfts-, Mitwirkungs-, Melde- und Rechenschaftspflichten in einem Spannungsverhältnis zu der verfassungsrechtlichen Selbstbelastungsfreiheit. Dies sorgt bei den Aufsichtsbehörden und bei Beratern bisweilen für erhebliche Unsicherheit.

Die DSGVO verpflichtet den Datenverarbeiter zur Zusammenarbeit mit der für ihn zuständigen Datenschutzbehörde (Art. 31 DSGVO). Der Datenverarbeiter muss der Behörde Datenpannen melden (Art. 33 DSGVO). Er ist verpflichtet, Informationen bereitzustellen (Art. 58 Abs. 1 lit. a DSGVO) und unterliegt zudem einer umfassenden „Rechenschaftspflicht“ (Art. 5 Abs. 2 DSGVO). All diese Verpflichtungen kollidieren mit der Selbstbelastungsfreiheit und dem Schweigerecht des Betroffenen, die sich aus Art. 6 EMRK und Art. 1 Abs. 1, 2 Abs. 1 und 20 Abs. 3 GG ergeben (vgl. BVerfG vom 6.9.2016, Az. 2 BvR 890/16, Rdnr. 33 f. mwN).

Zur allgemeinen Verwirrung trägt bei, dass die „Zusammenarbeit mit der Aufsichtsbehörde“ zu den Faktoren zählt, die bei Bußgeldentscheidungen mildernd zu berücksichtigen sind (Art. 83 Abs. 2 Satz 2 lit. f DSGVO). Dies führt gelegentlich zu dem vorschnellen Rat, Auskunftsersuchen ohne Rücksicht auf eine mögliche Selbstbelastung umfassend zu beantworten. Eine gefährliche Wette auf die zukünftige Milde der Behörde unter Preisgabe des verfassungsrechtlichen Schweigerechts.

Selbstbelastungsfreiheit bei gesetzlichen Auskunftspflichten

Gesetzliche Auskunftspflichten sind keine Besonderheit des Datenschutzrechts. In vielen Lebensbereichen sind Behörden zur Erfüllung ihrer Aufgaben auf Informationen angewiesen. Gesetzliche Auskunftspflichten gibt es im Gewerberecht ebenso wie im Umweltrecht, im Insolvenzrecht ebenso wie im Steuerrecht. In all diesen Bereichen kann sich die Frage stellen, ob ein Betroffener Auskünfte verweigern darf, wenn er sich der Gefahr aussetzt, eine Straftat oder eine Ordnungswidrigkeit zu offenbaren, die er begangen hat.

Nach der Rechtsprechung des BVerfG sind gesetzliche Auskunftspflichten mit der Selbstbelastungsfreiheit grundsätzlich vereinbar. Gesetzliche Bestimmungen, die es einer Behörde ermöglichen, mit den Instrumenten des Verwaltungsrechts Auskünfte zu erzwingen, sind nicht per se verfassungswidrig. Allerdings ist eine zwangsweise herbeigeführte Selbstbezichtigung verfassungsrechtlich nur zulässig, wenn sie mit einem strafrechtlichen Verwertungsverbot einhergeht (vgl. BVerfG vom 15.10.2004, Az. 2 BvR 1316/04, Rdnr. 7 ff. mwN).

Um den Anforderungen des BVerfG zu genügen, heißt es daher beispielsweise in § 97 Abs. 1 Insolvenzordnung (InsO):

„Der Schuldner ist verpflichtet, dem Insolvenzgericht, dem Insolvenzverwalter, dem Gläubigerausschuss und auf Anordnung des Gerichts der Gläubigerversammlung über alle das Verfahren betreffenden Verhältnisse Auskunft zu geben. Er hat auch Tatsachen zu offenbaren, die geeignet sind, eine Verfolgung wegen einer Straftat oder einer Ordnungswidrigkeit herbeizuführen. Jedoch darf eine Auskunft, die der Schuldner gemäß seiner Verpflichtung nach Satz 1 erteilt, in einem Strafverfahren oder in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Schuldner oder einen in § 52 Abs. 1 der Strafprozessordnung bezeichneten Angehörigen des Schuldners nur mit Zustimmung des Schuldners verwendet werden.“

Wenn somit Behörden in einem Verwaltungsverfahren von einem Bürger auf gesetzlicher Grundlage Auskünfte verlangen, lässt sich aus der Selbstbelastungsfreiheit kein Auskunftsverweigerungsrecht des Bürgers ableiten. Die im Verwaltungsverfahren erlangten Informationen dürfen jedoch nicht in einem Straf- oder Bußgeldverfahren verwendet werden, das gegen den Bürger geführt wird.

Selbstbelastungsfreiheit bei Auskunftsverlangen der Datenschutzbehörden

Das Datenschutzrecht ging seit jeher einen Sonderweg bei den Auskunftspflichten, indem es dem Datenverarbeiter in § 38 Abs. 3 Satz 2 BDSG a.F. ein Auskunftsverweigerungsrecht gewährte, wenn sich der Verpflichtete durch eine Aussage der Gefahr einer strafrechtlichen Verfolgung oder eines Verfahrens nach dem OWiG aussetzen würde. Diese Regelung wurde in § 40 Abs. 4 Satz 2 BDSG n.F. wortgleich übernommen:

„Die der Aufsicht unterliegenden Stellen sowie die mit deren Leitung beauftragten Personen haben einer Aufsichtsbehörde auf Verlangen die für die Erfüllung ihrer Aufgaben erforderlichen Auskünfte zu erteilen. Der Auskunftspflichtige kann die Auskunft auf solche Fragen verweigern, deren Beantwortung ihn selbst oder einen der in § 383 Absatz 1 Nummer 1 bis 3 der Zivilprozessordnung bezeichneten Angehörigen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde. Der Auskunftspflichtige ist darauf hinzuweisen.“

Wer ein behördliches Auskunftsverlangen nach der DSGVO erhält und befürchten muss, dass wahrheitsgemäße Angaben zur Einleitung eines Bußgeldverfahrens führen werden, hat somit die Wahl:

• Entweder er macht von seinem Auskunftsverweigerungsrecht Gebrauch und schweigt.
• Oder er sagt aus in der Hoffnung, dass die Datenschutzbehörde seine Aussage als „Zusammenarbeit“ versteht und dies bei der Verhängung eines Bußgelds zu seinen Gunsten berücksichtigt (Art. 83 Abs.2 Satz 2 lit. f DSGVO).

Ein Patentrezept gibt es für diese Entscheidung nicht. Wer jedoch in der Zwickmühle zwischen einer „Zusammenarbeit“ mit der Behörde und ungewollten Bußgeldern steckt, sollte sich sehr gründlich überlegen, ob er auf sein Schweigerecht verzichtet. Die Entscheidung lässt sich nämlich nicht rückgängig machen. Aussagen, die – nach einer ordnungsgemäßen Belehrung – getätigt werden, sind und bleiben in einem Bußgeldverfahren verwertbar. Ein Verwertungsverbot, wie es etwa das Insolvenzrecht kennt, gibt es für die Datenschutzbehörden nicht. Verfassungsrechtlich ist die Selbstbelastungsfreiheit durch das Aussageverweigerungsrecht des § 40 Abs. 4 Satz 2 BDSG ebenso umfassend wie abschließend gesichert.

Selbstbelastungsfreiheit bei datenschutzrechtliche Meldepflichten

Gesetzliche Meldepflichten sind gleichfalls verbreitet. Derartige Pflichten gibt beispielsweise es im Steuer- und Sozialversicherungsrecht oder auch im Geldwäsche- und Energierecht und natürlich in Art. 33 DSGVO

Konflikte zwischen Meldepflichten und der Selbstbelastungsfreiheit sind in der Praxis eher selten. Wer in fragwürdige Geldgeschäfte verwickelt ist, wird sich nicht daran stören, dass er möglicherweise einer Meldepflicht nach § 43 Geldwäschegesetz (GwG) unterliegt und die Geschäfte daher den zuständigen Behörden anzeigen muss. Ebenso wenig wird ein Unternehmer, der rechtswidrig personenbezogene Daten an Dritte weitergibt, auf die Idee kommen, die Weitergabe pflichtgemäß der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO zu melden.

Sollte es dennoch einmal zu einem Konflikt kommen zwischen der Selbstbelastungsfreiheit und Art. 33 DSGVO, wird dieser Konflikt in § 42 Abs. 4 und § 43 Abs. 4 BDSG aufgelöst. Dies ganz anders als in § 40 Abs. 4 Satz 2 BDSG nach dem „Standardmodell“: Die Meldepflicht besteht fort, selbst wenn sich der Datenverarbeiter durch die Meldung der Gefahr aussetzt, eine Straftat oder Ordnungswidrigkeit zu offenbaren. Allerdings besteht ein Verwertungsverbot.

Besonderheiten bei juristischen Personen

Verfassungsrechtlich können sich nur natürliche Personen auf die Selbstbelastungsfreiheit berufen. Dies hat das BVerfG in seinem „Aufzeichnungspflicht“-Beschluss entschieden (BVerfG v. 26.2.1997 – 1 BvR 2172/96, Rz. 83 f.):

„Art. 19 Abs. 3 GG schließt es aber aus, dass der Schutz vor einem Zwang zur Selbstbezichtigung auch juristischen Personen zugutekommt. Danach gelten die Grundrechte für juristische Personen, soweit sie ihrem Wesen nach auf diese anwendbar sind. Ob das für das allgemeine Persönlichkeitsrecht überhaupt nicht der Fall sein kann, bedarf hier keiner Entscheidung. Jedenfalls dort, wo der Grundrechtsschutz an Eigenschaften, Äußerungsformen oder Beziehungen anknüpft, die nur natürlichen Personen wesenseigen sind, kommt eine Erstreckung auf juristische Personen als bloße Zweckgebilde der Rechtsordnung nicht in Betracht. Das wird umso eher der Fall sein, als der Grundrechtsschutz im Interesse der Menschenwürde gewährt wird, die nur natürliche Personen für sich in Anspruch nehmen können.

Bei dem Zwang zur Selbstbezichtigung verhält es sich so. Der Zwiespalt, in den ein solcher Zwang den Einzelnen führt, muss vor allem aus Gründen der Menschenwürde vermieden werden (vgl. BVerfGE 56, 37 <42, 49>). Dieser Bezug schließt eine Erstreckung auf juristische Personen aus. Eine Lage, wie sie der Zwang zur Selbstbezichtigung für natürliche Personen heraufbeschwört, kann bei ihnen nicht eintreten. Sie bilden ihren Willen nur durch Organe und unterliegen im Hinblick auf Straftaten oder Ordnungswidrigkeiten nur einer eingeschränkten Verantwortlichkeit. Begeht ein Organwalter unter Verletzung von Pflichten der juristischen Person eine solche Tat, so ist allein er Täter. Gegen die juristische Person kann lediglich gemäß § 30 OWiG eine Geldbuße festgesetzt werden, die aber weder einen Schuldvorwurf noch eine ethische Missbilligung enthält, sondern einen Ausgleich für die aus der Tat gezogenen Vorteile schaffen soll.“

Dies bedeutet jedoch nicht, dass die Bestimmungen des § 40 Abs. 4 Satz 2 BDSG und der §§ 42 Abs. 4 und 43 Abs. 4 BDSG nur für natürliche Personen gelten. Das BDSG unterscheidet in diesen Vorschriften nicht zwischen natürlichen und juristischen Personen und gewährt daher auch in dieser Hinsicht in weit größerem Umfang Aussageverweigerungsrechte und Verwertungsverbote, als dies verfassungsrechtlich geboten ist.

Fazit

• Das BDSG erlaubt es dem Datenverarbeiter, Auskünfte gegenüber der Aufsichtsbehörde zu verweigern, wenn er sich der Gefahr aussetzt, dass gegen ihn aufgrund der Auskunft ein Bußgeld verhängt wird. Das Auskunftsverweigerungsrecht geht deutlich weiter als die entsprechenden Rechte in anderen Rechtsgebieten.
• Wer zur Auskunft aufgefordert wird, sollte dieses Recht nicht leichtfertig preisgeben in der vagen Hoffnung, dass seine bereitwillige Aussage eines Tages mit einem Abschlag bei der Bußgeldhöhe belohnt wird. Jeder Verzicht auf das Schweigerecht ist final und unumkehrbar. Aussagen, die unter Verzicht auf das Schweigerecht getätigt werden, können ohne jede Einschränkung gegen den Datenverarbeiter verwendet werden.
• Bei den Meldepflichten wählt das BDSG eine andere Regelungstechnik zum Schutz der Selbstbelastungsfreiheit. Datenpannen müssen auch dann gemeldet werden, wenn sie zu einem Bußgeldverfahren gegen den Datenverarbeiter führen können. Allerdings darf die Meldung nicht in einem Bußgeldverfahren verwertet werden.

(Diesen Beitrag habe ich gemeinsam mit meinem Kollegen Lasse Konrad verfasst. Der Beitrag ist der dritte Teil der Beitragsreihe zur “DSGVO im Rechtsstaat”).