Entscheidungsreferenz: cc • N° 90-87.555 • 1991-05-23 • Entscheidung einsehen →
Stellen Sie sich vor: Sie sind Eigentümer in Saint-Paul-lès-Dax und verwalten die Vermietung Ihrer Wohnung selbst. Seit Jahren nutzen Sie eine kleine Excel-Tabelle, um Namen, Adressen und Bankverbindungen Ihrer Mieter zu erfassen. Nichts Schlimmes, denken Sie. Doch diese Datei ist eine automatisierte Verarbeitung personenbezogener Daten im Sinne des französischen Datenschutzgesetzes (Loi Informatique et Libertés). Und wenn Sie sie nie bei der CNIL (Commission nationale de l'informatique et des libertés) gemeldet haben, begehen Sie eine Straftat. Aber wie lange?
Die Frage, die sich jeder Eigentümer oder Immobilienprofi stellt: Bin ich vor einer Strafverfolgung sicher, wenn ich meine Datei vor mehr als drei Jahren installiert habe? Die Antwort lautet nein, wenn Sie sie noch heute nutzen. Das hat der Kassationsgerichtshof in einem Urteil vom 23. Mai 1991 entschieden – eine grundlegende Entscheidung zum Verständnis der Verjährung im Datenschutzrecht.
Dieses Urteil ist trotz seines Alters von 1991 im digitalen Zeitalter hochaktuell. Es stellte ein klares Prinzip auf: Das Delikt der unterlassenen Meldung ist ein Dauerdelikt, das heißt, es dauert an, solange die Datei in Betrieb ist. Mit anderen Worten: Die Verjährungsfrist beginnt nicht am Tag der Installation, sondern am Tag der Beendigung der Straftat, also wenn die Verarbeitung eingestellt oder legalisiert wird. Eine Sicherheit für die Behörden, aber eine Falle für Nachlässige.
Der Sachverhalt: eine alltägliche Geschichte
Herr X, Eigentümer in Saint-Paul-lès-Dax, installierte 1986 ein Computersystem zur Verwaltung seiner Ferienvermietungen an der Küste der Landes, insbesondere in Capbreton. Mit diesem Tool speicherte er Namen, Adressen, Aufenthaltsdaten und Bankverbindungen seiner Kunden. Er hatte nie die erforderliche Vorabmeldung bei der CNIL durchgeführt, obwohl diese seit dem Gesetz vom 6. Januar 1978 obligatorisch war. 1989 erstattete ein unzufriedener ehemaliger Mieter Anzeige, der entdeckte, dass seine personenbezogenen Daten ohne seine ausdrückliche Zustimmung gespeichert wurden.
Der Fall landete vor dem Strafgericht. Herr X wurde wegen des Delikts nach Artikel 41 des Gesetzes von 1978 angeklagt, das die Durchführung einer automatisierten Verarbeitung personenbezogener Daten ohne vorherige Meldung mit einem Jahr Freiheitsstrafe und 15.000 € Geldstrafe (aktualisierter Betrag) bestraft. Doch Herr X berief sich auf Verjährung: Seiner Ansicht nach habe die dreijährige Verjährungsfrist (gültig für Vergehen) am Tag der Installation seiner Software im Jahr 1986 begonnen, also mehr als drei Jahre vor der Anzeige.
Das Strafgericht verurteilte ihn dennoch. Herr X legte Berufung ein. Das Berufungsgericht bestätigte das Urteil, ging aber nicht klar auf den Beginn der Verjährung ein. Herr X legte Kassation ein. Der Kassationsgerichtshof wies seine Beschwerde mit Urteil vom 23. Mai 1991 zurück und stellte die Regel klar: Das Delikt der unterlassenen Meldung ist ein Dauerdelikt, die Verjährung beginnt erst mit der Beendigung der Verarbeitung. Da Herr X seine Datei zum Zeitpunkt der Anzeige noch nutzte, war die Straftat noch im Gange. Die Verjährung hatte also noch nicht zu laufen begonnen.
Die Begründung des Gerichts – entschlüsselt
Der Kassationsgerichtshof stützt sich auf Artikel 41 des Gesetzes vom 6. Januar 1978, der es als Delikt einstuft, „automatisierte Verarbeitungen personenbezogener Daten durchzuführen oder durchführen zu lassen, ohne zuvor die in Artikel 16 vorgesehene Meldung gemacht zu haben“. Der Wortlaut zielt also nicht nur auf den anfänglichen Akt der Inbetriebnahme ab, sondern auch auf das „Durchführen“ der Verarbeitung, also deren kontinuierliche Ausführung.
Die Richter erinnern an ein klassisches Prinzip des Strafrechts: Das Dauerdelikt unterscheidet sich vom augenblicklichen Delikt. Ein augenblickliches Delikt (wie ein Diebstahl) ist in einem Augenblick vollendet, und die Verjährungsfrist beginnt in diesem Moment. Ein Dauerdelikt (wie Freiheitsberaubung) erstreckt sich über die Zeit; die Verjährung beginnt erst mit dem Ende dieses Zustands. Hier ist die unterlassene Meldung ein Zustand: Solange die Datei existiert und ohne Meldung genutzt wird, wird das Delikt jeden Tag begangen.
Der Gerichtshof stellt klar, dass der Beginn der Verjährungsfrist nicht auf den Tag der Installation des Geräts festgelegt werden kann, da das Delikt nicht nur die Installation, sondern auch die Fortführung der Verarbeitung umfasst. Kurz gesagt: Wenn Sie eine nicht gemeldete Datei installieren und zehn Jahre lang nutzen, begehen Sie zehn Jahre lang eine Straftat. Die dreijährige Verjährungsfrist beginnt erst, wenn die Verarbeitung eingestellt (oder legalisiert) wird.
Diese Entscheidung wurde später vom Kassationsgerichtshof bestätigt und fügt sich in eine Logik des Schutzes personenbezogener Daten ein: Sie verhindert, dass ein Täter sich dadurch in Sicherheit bringen kann, dass er drei Jahre nach der Installation verstreichen lässt, während er weiterhin illegal Daten verarbeitet.
Was das für Sie konkret bedeutet
Diese Rechtsprechung hat unmittelbare Auswirkungen für Immobilienakteure, die mit personenbezogenen Daten umgehen.
