Nationalrätin Doris Fiala (FDP) hat nach ihren Fragen zur Umsetzung der neuen Datenschutz-Grundverordnung durch Schweizer Unternehmen beim Bundesrat nachgehakt:
Mit Anfrage 18.1015 wollte sie wissen, wie der Bundesrat das Verbot der doppelten Strafverfolgung im Zusammenhang mit Sanktionen aufgrund von Datenschutzverletzungen in der Europäischen Union (EU) beurteilt.
Die bundesrätliche «Es kommt darauf an»-Antwort mit einem Tendenz zu einem Ja brachte Nationalrätin Fiala vermutlich nicht die gewünschte Klarheit (mit Hervorhebungen):
«Nach dem Grundsatz ‹ne bis in idem› darf eine Person nicht zweimal für dieselbe Tat bestraft werden (Erledigungsprinzip, gemäss dem das erste Urteil eine erledigende Wirkung entfaltet und eine erneute Verfolgung ausschliesst). Ohne gegenteilige Vereinbarung gilt der Grundsatz jedoch nur auf innerstaatlicher Ebene und nicht im zwischenstaatlichen Verhältnis (siehe Art. 11 der Strafprozessordnung [SR 312.0], Art. 4 Abs. 1 des Protokolls Nr. 7 vom 22. November 1984 zur Konvention zum Schutze der Menschenrechte und Grundfreiheiten [Protokoll Nr. 7; SR 0.101.07] und Art. 14 Abs. 7 des Internationalen Pakts vom 16. Dezember 1966 über bürgerliche und politische Rechte [UNO-Pakt II; SR 0.103.2]).
Im vorliegenden Fall kommt der Grundsatz ‹ne bis in idem› zwischen den Schengen-Staaten aufgrund von Artikel 54 des Schengener Durchführungsübereinkommens vom 14. Juni 1985 (SDÜ, ABl. EU L 239 vom 22.9.2000, S. 19) umfassend zur Anwendung.
Wenn sich ein Gericht in der Schweiz mit einer Tat befassen muss, die in einem an das SDÜ gebundenen Staat bereits geahndet worden ist, so wird es den Grundsatz ‹ne bis in idem› anwenden, wenn folgende Voraussetzungen erfüllt sind:
- Es stehen zwei strafrechtliche Sanktionen zur Diskussion. Das schweizerische Strafgericht berücksichtigt eine gestützt auf die EU-Datenschutz-Grundverordnung (DSGVO) angeordnete Verwaltungssanktion nur dann, wenn es sie anhand der Kriterien des Europäischen Gerichtshofs für Menschenrechte (EGMR; Urteil EGMR, Engel u. a. gegen Niederlande, 8. Juni 1976, Beschwerde Nr. 5100/71) als Sanktion mit einem strafrechtlichen Charakter einstuft. Angesichts der Höhe der in der DSGVO vorgesehenen Sanktionen dürfte dies der Fall sein.
- Es geht um zwei Sanktionen gegen dieselbe Person. Ausser in Ausnahmefällen trifft dies nicht zu, wenn eine Sanktion ein Unternehmen betrifft, während die andere gegen eine natürliche Person (z. B. den Geschäftsführer des Unternehmens) gerichtet ist. Die Sanktionen der DSGVO sind vor allem auf die Unternehmen ausgerichtet, während die Sanktionen des DSG hauptsächlich natürliche Personen betreffen. In einer solchen Konstellation ist eine doppelte Sanktionierung zulässig und das schweizerische Gericht muss der europäischen Sanktion nicht Rechnung tragen.
- Die erste Sanktion ist vollstreckt worden, wird gerade vollstreckt oder kann gemäss den Gesetzen des Staates, in dem die Verurteilung erfolgte, nicht mehr vollstreckt werden. Wenn es sich um eine Busse handelt, muss sie bezahlt worden sein.
Die Schweiz hat einen Vorbehalt zur Anwendung des Grundsatzes ‹ne bis in idem› angebracht für den Fall, dass die Tat ganz in ihrem Hoheitsgebiet begangen wurde (Art. 55 Abs. 1 Bst. a SDÜ). In diesen Fällen sowie wenn die erste Strafe von einem Nicht-Schengen-Staat verhängt worden ist, wendet das schweizerische Gericht nicht das Erledigungsprinzip an, sondern das Anrechnungsprinzip (Art. 56 SDÜ, Art. 3 Abs. 2 des Strafgesetzbuchs [SR 311.0]):
Die Person kann von den Schweizer Behörden auch dann verfolgt werden, wenn sie im Ausland für dieselbe Tat bereits verurteilt worden ist. Das schweizerische Gericht rechnet in diesem Fall die im Ausland vollzogene Strafe auf die auszusprechende Strafe an. Die Anrechnung unterliegt ebenfalls den drei oben genannten Voraussetzungen für die Anwendung des Grundsatzes ‹ne bis in idem›. Angesichts der Beträge der Sanktionen in der DSGVO besteht nach der Anrechnung der europäischen Sanktion grundsätzlich kein Spielraum mehr für eine Busse nach schweizerischem Recht.
Läuft gegen eine Person ein Verfahren wegen Verletzung der DSGVO aufgrund von Taten, für die sie in der Schweiz bereits bestraft worden ist, hängt die Beantwortung der Frage, ob und in welchem Umfang die zuständige Behörde eines EU-Mitgliedstaates den Grundsatz ‹ne bis in idem› berücksichtigen muss, vom Recht des betreffenden Staates sowie von der Anwendung von Artikel 54 SDÜ im Einzelfall ab.»