Datenschutz
Personenbezogene Daten in Burundi: Das Gesetz Nr. 1/03 vom 10. März 2026 gilt für jede automatisierte oder nicht automatisierte Verarbeitung personenbezogener Daten durch eine natürliche Person, den Staat, die Gebietskörperschaften und juristische Personen des öffentlichen oder privaten Rechts (Art. 2). Eine Verarbeitung ist nur rechtmäßig, wenn einer der Gründe des Art. 8 vorliegt: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, Wahrung lebenswichtiger Interessen, Aufgabe im öffentlichen Interesse oder berechtigte Interessen des Verantwortlichen. Art. 9 verbietet die Verarbeitung von Daten, die rassische oder ethnische Herkunft, politische, philosophische oder religiöse Meinungen, Gewerkschaftszugehörigkeit oder Gesundheit offenbaren, sowie biometrischer Daten, die der selektiven Identifizierung einer Person dienen, außer in den Ausnahmen des Art. 10, darunter die ausdrückliche Einwilligung.
Art. 42 schafft die Agentur zum Schutz personenbezogener Daten (Agence de protection des données à caractère personnel), die die Verarbeitungen überwacht; ein Dekret soll ihre Aufgaben, Zusammensetzung, Organisation und Arbeitsweise festlegen. Die „bedeutenden Verantwortlichen“ („responsables majeurs du traitement“), das sind insbesondere Unternehmen mit mehr als zweihundert Beschäftigten und Behörden (Art. 4 Nr. 12), müssen sich dort binnen sechs Monaten registrieren (Art. 34), einen Datenschutzbeauftragten benennen (Art. 37) und vor einer Verarbeitung mit hohem Risiko eine Folgenabschätzung durchführen (Art. 40) (Loi n° 1/03, 2026). Die Agentur kann nach einer schriftlichen Verwarnung ohne Wirkung die Tätigkeit eines nicht registrierten bedeutenden Verantwortlichen für höchstens drei Monate aussetzen und ihm dann endgültig untersagen, Daten zu erheben und zu verarbeiten (Art. 35).
Jede Person kann vom Verantwortlichen die Bestätigung, dass ihre Daten verarbeitet werden, und eine kostenlose Kopie erhalten (Art. 24 und 25), ihre Berichtigung verlangen (Art. 29) oder die Löschung, wenn die Daten nicht mehr erforderlich sind, ihre Einwilligung widerrufen ist oder die Verarbeitung rechtswidrig ist (Art. 28), der Verarbeitung aus berechtigtem Grund widersprechen (Art. 22) und ohne Begründung der Verwendung ihrer Daten für Direktwerbung zu gewerblichen, karitativen oder politischen Zwecken widersprechen (Art. 23). Der Verantwortliche antwortet spätestens binnen eines Monats (Art. 33), die Übertragung zu einem anderen Verantwortlichen ist binnen fünfzehn Tagen sicherzustellen (Art. 31). Eine Entscheidung mit rechtlicher oder erheblicher Wirkung darf nur in drei Fällen auf einer automatisierten Verarbeitung beruhen (Rechtsvorschrift mit Garantien, Einwilligung, Notwendigkeit für einen Vertrag), und die Person kann eine neue, begründete Entscheidung verlangen, die von einem Menschen getroffen wird (Art. 20); schon bei der Erhebung muss der Verantwortliche angeben, ob er für eine automatisierte Entscheidung künstliche Intelligenz einsetzt (Art. 17 Nr. 7).
Bei einer Verletzung des Schutzes von Daten mit Risiko für die Rechte der Personen benachrichtigt der Verantwortliche die Agentur spätestens binnen achtundvierzig Stunden (Art. 45) und, wenn das Risiko hoch ist, die betroffenen Personen binnen sechsundneunzig Stunden (Art. 46). Bestehende Verarbeitungen mussten binnen eines Jahres in Einklang gebracht werden, wenn sie vom Staat, von öffentlichen Einrichtungen, Gebietskörperschaften und privatrechtlichen juristischen Personen mit öffentlichem Auftrag stammen, und binnen sechs Monaten bei allen anderen (Art. 53), gerechnet ab Inkrafttreten am Tag der Verkündung (Art. 55).
Das Gesetz vom 16. März 2022 über Cyberkriminalität schützt die Privatsphäre bereits: Elektronische Daten privaten oder vertraulichen Charakters ohne Einwilligung aufzuzeichnen oder zu übermitteln wird mit zwei bis fünf Jahren Freiheitsstrafe und drei bis sechs Millionen Francs bestraft (Art. 61), ebenso das Einstellen von Daten, die politische oder religiöse Meinungen, Gewerkschaftszugehörigkeit oder Sitten (mœurs) offenbaren, ins Netz ohne ausdrückliche Zustimmung, mit fünf bis zehn Millionen Geldstrafe (Art. 62). Es verpflichtet außerdem Diensteanbieter und Netzbetreiber, Verbindungs- und Verkehrsdaten mindestens zehn Jahre aufzubewahren (Art. 4).
Die wichtigsten Punkte
| Text | Gesetz Nr. 1/03 vom 10. März 2026 zum Schutz personenbezogener Daten |
|---|---|
| Aufsichtsbehörde | Agentur zum Schutz personenbezogener Daten (Art. 42), Organisation per Dekret festgelegt (Loi n° 1/03, 2026) |
| Sensible Daten | Verarbeitung verboten, außer in den Ausnahmen (Art. 9 und 10); Geldstrafe von 500.000 bis 5 Millionen Burundi-Francs (Art. 50) |
| Datenschutzverletzung | 3 Monate bis 1 Jahr und/oder 50.000 bis 500.000 Francs; juristische Person: 1 bis 20 Millionen (Art. 47) |
| Unlautere oder rechtswidrige Erhebung | 6 Monate bis 5 Jahre und/oder 500.000 bis 10 Millionen; juristische Person: 5 bis 20 Millionen (Art. 48) |
| Meldung einer Datenschutzverletzung | 48 Stunden an die Agentur, 96 Stunden an die Personen bei hohem Risiko (Art. 45 und 46) |
| Antwort auf einen Antrag | 1 Monat; Datenübertragbarkeit: 15 Tage (Art. 31 und 33) |
| Aufbewahrung von Verbindungsdaten | Mindestens 10 Jahre (Gesetz vom 16. März 2022, Art. 4) |
| Anpassungsfrist | 1 Jahr für den öffentlichen Sektor, 6 Monate für die übrigen (Art. 53) |
In der Praxis
- Den Auskunftsantrag, auf Wunsch elektronisch, an den Verantwortlichen richten: Die Kopie ist kostenlos, für eine weitere Kopie kann eine pauschale Gebühr anfallen, die durch Verordnung des Finanzministers festgelegt wird (Art. 25).
- Werbung ablehnen: Der Widerspruch gegen die Verwendung der eigenen Daten für Direktwerbung zu gewerblichen, karitativen oder politischen Zwecken ist kostenlos und muss nicht begründet werden (Art. 23).
- Die Löschung von Daten verlangen, die nicht mehr erforderlich sind oder rechtswidrig verarbeitet wurden; der Verantwortliche muss sie unverzüglich vornehmen und jedem Empfänger mitteilen (Art. 28).
- Kann der Verantwortliche die Monatsfrist nicht einhalten, muss er die Person und die Agentur benachrichtigen (Art. 33); ein als missbräuchlich eingestufter Antrag kann der Agentur vorgelegt werden, deren Entscheidung vor den Gerichten angefochten werden kann (Art. 26).
Anlaufstellen
- Verantwortlicher der Verarbeitung oder sein Datenschutzbeauftragter, für jeden Antrag (Art. 37).
- Agentur zum Schutz personenbezogener Daten (Art. 42), bei Streit über den missbräuchlichen Charakter eines Antrags.
- Gerichte Burundis, um eine Entscheidung der Agentur anzufechten (Art. 26).
Gut zu wissen
Der Text verweist für die Festlegung von Aufgaben, Zusammensetzung, Organisation und Arbeitsweise der Agentur auf ein Dekret (Art. 42): Vor einer Anrufung prüfen, ob dieses Dekret erschienen ist und die Agentur eingerichtet ist. Datenübermittlungen ins Ausland sind nur in einen Staat oder an eine Organisation mit ausreichendem Schutzniveau erlaubt, deren Liste eine Verordnung des für die digitale Wirtschaft zuständigen Ministers aufstellt, oder mit von der Agentur genehmigten Garantien (Art. 15).
Häufige Fragen
Kann man verweigern, dass die eigene Nummer für Werbung genutzt wird?
Ja: Art. 23 erlaubt, dem kostenlos und ohne Angabe eines berechtigten Grundes zu widersprechen, ob die Werbung gewerblich, karitativ oder politisch ist.
Was sieht das Gesetz für Gesundheitsdaten vor?
Die Verarbeitung von Gesundheitsdaten ist außer in Ausnahmefällen verboten (Art. 9 und 10), insbesondere für die ärztliche Nachsorge von Patienten im Notfall; der Zugang zu diesen Daten erfolgt nur über einen von der Person benannten Arzt (Art. 32).
Kann mir eine Website eine Kopie meiner Daten verweigern?
Sie darf einem missbräuchlichen Antrag, insbesondere wegen seiner Häufigkeit, nicht nachkommen, doch wer diesen missbräuchlichen Charakter bestreitet, kann die Agentur anrufen (Art. 26); die erste Kopie ist kostenlos (Art. 25).
Quellen
- Loi n° 1/03 du 10 mars 2026 portant protection des données à caractère personnel (exemplaire de l'ARCT) — Art. 2, 4, 5, 8 bis 10, 12, 15, 17 bis 35, 37, 40, 42, 45 bis 53 und 55; zweisprachiger französisch-kirundischer Text, per Texterkennung gelesen (Kopfzeile geprüft: Gesetz Nr. 1/03 vom 10. März 2026)
- Loi n° 1/10 du 16 mars 2022 portant prévention et répression de la cybercriminalité au Burundi (exemplaire de l'ARCT) — Art. 4 (Aufbewahrung von Daten), Art. 61 bis 63 (Eingriffe in die Privatsphäre)
- Constitution de la République du Burundi du 7 juin 2018 (texte français, Digithèque MJP, d'après la Présidence de la République) — Art. 28 und 43: Achtung des Privatlebens, der Wohnung und der Kommunikation
Der allgemeine Artikel: Datenschutz · Mit einem anderen Land vergleichen
Liebesbetrug
Betrug und Betrugsmaschen im Netz in Burundi: Art. 315 des Strafgesetzbuchs von 2017 bestraft mit zwei Monaten bis fünf Jahren Freiheitsstrafe und mit 50.000 bis 200.000 Burundi-Francs, oder mit einer dieser Strafen, wer, um sich fremdes Gut anzueignen, sich Gelder oder Güter unter falschem Namen oder in falscher Eigenschaft oder durch betrügerische Machenschaften hat aushändigen lassen, die vom Bestehen erfundener Unternehmen, einer Macht oder eines eingebildeten Kredits überzeugen oder die Hoffnung oder Furcht vor einem eingebildeten Ereignis wecken; Art. 316 erhöht die Strafe auf zwei bis fünf Jahre und 100.000 bis eine Million Franc, wenn der Täter sich an die Öffentlichkeit wendet, um Wertpapiere auszugeben oder Gelder für humanitäre oder soziale Hilfe zu sammeln, Inhaber öffentlicher Gewalt ist oder sich als solcher ausgibt, eine schutzbedürftige Person ins Visier nimmt oder bandenmäßig handelt. Wird der Betrug mit Hilfe eines elektronischen Kommunikationsmittels begangen, bestraft ihn Art. 34 des Gesetzes vom 16. März 2022 mit fünf bis zehn Jahren und zehn bis zwanzig Millionen Francs, oder mit einer dieser Strafen.
Die Erpressung (chantage), die darin besteht, eine Unterschrift, eine Verpflichtung, die Preisgabe eines Geheimnisses oder die Aushändigung von Geld zu erlangen, indem mit der Preisgabe oder Unterstellung ehrenrühriger oder rufschädigender Tatsachen gedroht wird, wird mit einem bis fünf Jahren Freiheitsstrafe und 50.000 bis 100.000 Francs bestraft, bis zu zehn Jahren, wenn die Drohung wahr gemacht wurde (Strafgesetzbuch, Art. 284). Wer Computerdaten durch die schriftliche oder mündliche Drohung mit einer Preisgabe oder einer ehrenrührigen Unterstellung erlangt, wird mit zwei bis fünf Jahren und fünf bis zehn Millionen Francs bestraft (Gesetz von 2022, Art. 40).
Das Gesetz von 2022 definiert das Phishing als Betrug per E-Mail, der die Identität einer bekannten Person oder eines bekannten Unternehmens annimmt, um die Empfänger dazu zu bringen, ihre Bankdaten auf gefälschten Seiten zu aktualisieren (Art. 2 Nr. 16); eine Website zu schaffen oder zu nutzen oder eine Nachricht zu versenden, um vertrauliche Informationen für kriminelle Zwecke zu erlangen, wird mit fünf bis zehn Jahren und zehn bis dreißig Millionen Francs bestraft (Art. 36). Der Missbrauch der digitalen Identität eines Dritten, um daraus einen Vorteil zu ziehen oder andere zu täuschen, wird mit zwei bis fünf Jahren und zehn bis zwanzig Millionen bestraft (Art. 35), die Fälschung oder Verwendung einer gefälschten Zahlungskarte mit fünfzehn bis zwanzig Jahren und 50 bis 100 Millionen (Art. 28).
Diensteanbieter müssen ihre Kunden über die Entwicklungen der Cyberkriminalität und über die Möglichkeiten, sie zu melden, informieren und Missbräuche dem Opfer und den Strafverfolgungsorganen offenlegen (Art. 5); sie melden den Ermittlungsdiensten unverzüglich jede Nutzung ihres Systems zur Begehung einer Straftat (Art. 6). Ein Anbieter oder Betreiber, bei dem der Urheber einer elektronischen Kommunikation mangels Aufbewahrung der Teilnehmerdaten nicht ermittelt werden kann, muss mit einer Geldstrafe von 100 bis 500 Millionen Francs rechnen (Art. 23).
Das Gesetz gilt für Straftaten, die außerhalb Burundis begangen werden, wenn sie dort ihre Wirkungen entfalten (Art. 1); das Strafgesetzbuch (Art. 10) erlaubt zudem die Verfolgung eines im Ausland begangenen Verbrechens oder Vergehens, wenn der Täter sich in Burundi aufhält oder das Opfer Burundier ist und die Tat im Land der Tat strafbar ist.
Die wichtigsten Punkte
| Betrug (escroquerie) | 2 Monate bis 5 Jahre und/oder 50.000 bis 200.000 Burundi-Francs (Strafgesetzbuch, Art. 315) |
|---|---|
| Schwerer Betrug | 2 bis 5 Jahre und/oder 100.000 bis 1 Million: Aufruf an die Öffentlichkeit, tatsächlicher oder angeblicher Amtsträger, schutzbedürftige Person, Bande (Art. 316) |
| Betrug mit elektronischem Mittel | 5 bis 10 Jahre und/oder 10 bis 20 Millionen (Gesetz von 2022, Art. 34) (Loi n° 1/10, 2022) |
| Missbrauch einer digitalen Identität | 2 bis 5 Jahre und 10 bis 20 Millionen (Gesetz von 2022, Art. 35) (Loi n° 1/10, 2022) |
| Phishing | 5 bis 10 Jahre und 10 bis 30 Millionen (Gesetz von 2022, Art. 36) (Loi n° 1/10, 2022) |
| Erpressung | 1 bis 5 Jahre und 50.000 bis 100.000 Francs; bis zu 10 Jahre, wenn die Drohung wahr gemacht wird (Strafgesetzbuch, Art. 284) |
| Drohung mit Preisgabe, um Daten zu erlangen | 2 bis 5 Jahre und 5 bis 10 Millionen (Gesetz von 2022, Art. 40) |
| Gefälschte Zahlungskarte | 15 bis 20 Jahre und 50 bis 100 Millionen (Gesetz von 2022, Art. 28) |
| Räumlicher Geltungsbereich | Straftaten außerhalb Burundis, die auf seinem Gebiet ihre Wirkungen entfalten (Gesetz von 2022, Art. 1) |
In der Praxis
- Nachrichten, Nummern, Kontonamen und Zahlungsbelege aufbewahren: Die zuständige Behörde kann die unverzügliche Sicherung von Computerdaten anordnen, die vom Verlust bedroht sind (Gesetz von 2022, Art. 65), und Systeme beschlagnahmen oder deren Daten kopieren (Art. 67).
- Anzeige bei einem Beamten der Gerichtspolizei (officier de police judiciaire) oder der Staatsanwaltschaft erstatten: Auf Anordnung der Staatsanwaltschaft oder des Richters kann der Beamte einen Diensteanbieter verpflichten, Verkehrs- oder Inhaltsdaten zu erheben oder aufzuzeichnen (Art. 68).
- Den Missbrauch dem Anbieter des genutzten Dienstes melden, der angeben muss, wie Cyberkriminalität zu melden ist, und Missbräuche dem Opfer und den Strafverfolgungsorganen offenlegen muss (Art. 5); die Kunden selbst müssen Handlungen, die die Cybersicherheit beeinträchtigen, unverzüglich anzeigen (Art. 10).
Anlaufstellen
- Beamter der Gerichtspolizei (officier de police judiciaire) oder Staatsanwaltschaft der Republik, für die Strafanzeige.
- Betroffener Diensteanbieter oder Netzbetreiber, um den Missbrauch zu melden (Gesetz von 2022, Art. 5 und 6).
Häufige Fragen
Ein gefälschtes Profil mit Liebesbekundungen (Love-Scamming) bittet um Geld: Ist das strafbar?
Ja: Sich Gelder unter falschem Namen, in falscher Eigenschaft oder durch eine Inszenierung aushändigen zu lassen, ist Betrug (Strafgesetzbuch, Art. 315), und das Gesetz von 2022 bestraft ihn mit fünf bis zehn Jahren, wenn er über ein elektronisches Kommunikationsmittel läuft (Art. 34).
Ist es strafbar, mit der Verbreitung von Informationen zu drohen, um Geld zu erlangen?
Ja: Das ist Erpressung, bestraft mit einem bis fünf Jahren Freiheitsstrafe und bis zu zehn Jahren, wenn die Drohung wahr gemacht wird (Strafgesetzbuch, Art. 284); das Gesetz von 2022 bestraft außerdem die Erlangung von Daten durch Drohung mit Preisgabe (Art. 40).
Kann ein im Ausland sitzender Betrüger in Burundi verfolgt werden?
Das Gesetz von 2022 gilt für Straftaten, die außerhalb Burundis begangen werden, wenn sie dort ihre Wirkungen entfalten (Art. 1).
Quellen
- Loi n° 1/27 du 29 décembre 2017 portant révision du Code pénal (texte consolidé publié par droit-afrique.com) — Art. 10 (im Ausland begangene Straftaten), Art. 284 (Erpressung), Art. 315 und 316 (Betrug)
- Loi n° 1/10 du 16 mars 2022 portant prévention et répression de la cybercriminalité au Burundi (exemplaire de l'ARCT) — Art. 1, 2, 5, 6, 10, 23, 28, 34 bis 36, 40, 65, 67 und 68; gescannter Text, per Texterkennung gelesen
Der allgemeine Artikel: Liebesbetrug · Mit einem anderen Land vergleichen