Wem gehören die Daten?

(Bild: Universität Passau)

Die Sonderrolle des Datenschutzrechts

Das Datenschutzrecht (DSGVO, BDSG) schützt nur personenbezogene Daten. Für maschinengenerierte Daten ist die DSGVO schlicht nicht anwendbar, es sei denn – Stichwort Arbeiterkontrolle – sie sind doch irgendwie verknüpfbar: Dann werden diese sofort personenbezogen. Was für maschinengenerierte Daten aber tatsächlich gilt, ist eine Verordnung der EU, die zum 29. Mai 2019 in Kraft getreten ist: die ‘Free Flow of Data’-Verordnung. Diese Verordnung sieht allerdings im Wesentlichen nur ein Verbot gesetzlicher Lokalisierungspflichten innerhalb der EU vor, das heißt der Gesetzgeber darf nicht verlangen, dass die Daten auf einem Server in Deutschland liegen und z.B. einen französischen Server ausschließen. Für außereuropäische Standorte ist dies durchaus möglich. Ein zweiter Aspekt der Verordnung ist eine Verpflichtung zur Selbstregulierung für die Anbieter von solchen Datenmodellen: Diese sollen sich an einen Tisch setzen und einen Code of Conduct erarbeiten, indem sie die Portabilität von Daten gestalten wollen. Ansonsten gibt es auf der europäischen Ebene, Stand heute, keine gesetzliche Regelung. Doch auch auf Bundesebene gibt es praktisch keine umfassende gesetzliche Regelung, laut einer Stellungnahme der Arbeitsgruppe ‘Digitaler Neustart’ der Justizministerkonferenz soll es insbesondere kein Eigentumsrecht an Daten geben.

Gesetzliche Schutzrechte an Daten

Daten als solche sind von der Rechtsordnung danach nicht erfasst. Bisher konnte sich die Rechtsprechung damit behelfen, die Daten nur mittelbar über das Eigentum am Datenträger zu schützen. Der Eigentümer der Festplatte ist auch gegen den Verlust oder die Änderung von Daten darauf geschützt. Das kann in haftungsrechtlichen Zusammenhängen sinnvoll sein, um dem Eigentümer einen Schadensersatzanspruch zu gewährleisten. Schwierig wird dies dagegen bei Cloudlösungen. Im Strafrecht gibt es zum Thema Daten zwei wesentliche Straftatbestände: Das Ausspähen von Daten und die Datenveränderung. Aber auch diese Normen beantworten nicht, wann Daten fremd sind, sondern setzen eine rechtliche Zuordnung schon voraus. §202a StGB spricht nur von: “Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind”. Aber für wen Daten bestimmt sind, bleibt ungeklärt. §303a StGB spricht noch nicht einmal von fremden Daten: “Wer rechtswidrig Daten löscht, unterdrückt, unbrauchbar macht oder verändert…”. Das bedeutet: Seine eigenen Daten darf man rechtmäßiger Weise immer löschen. Aber wann sind Daten meine eigenen? Ob Daten also für jemanden “bestimmt” sind, bzw. ob die Löschung etc. “rechtswidrig” ist, muss die übrige Rechtsordnung beantworten. Das sagt auch das Strafrecht nicht. Ausgangspunkt der herrschenden Auffassung ist der sogenannte Skripturakt, der besagt: Wer die Daten speichert, dem sind sie erst einmal zugeordnet. Schwierig wird dies bei Kooperationen: In diesen Fällen wird man zunächst auf das Vertragsrecht zurückgreifen müssen und sich vertraglich einigen, wer Zugriffs- oder Exklusivrechte hat. Wovon man sich nicht allzu viel Schutz für Industriedaten versprechen sollte, sind dagegen die Immaterialgüterrechte. So gibt es zwar ein Urheberrecht, aber nicht für maschinengenerierte Daten, bei denen es sich nicht um eine geistige Schöpfung handelt. Weiter existiert ein Softwareschutz, aber dieser gilt nur für Programme, nicht für aufgezeichnete Daten. Dann gibt es das Datenbankschutzrecht, also ein spezielles Leistungsschutzrecht für Datenbankhersteller, aber auch das schützt nicht das einzelne Datum, sondern nur die Investition in eine Datenbank. Die Einzelinformationen sind nicht geschützt. Ein Patentschutz greift ebenfalls nicht, denn Daten als solche sind nicht zu patentieren. Tatsächlich relevant ist seit März 2019 das neue Gesetz zum Schutz von Geschäftsgeheimnissen, basierend auf einer europäischen Richtlinie. Hierunter fallen tatsächlich Daten, soweit sie Geschäftsgeheimnisse sind. Damit es unter diesen Geheimnisschutz fällt, darf eine Information allerdings weder allgemein bekannt noch ohne weiteres zugänglich sein, und daher von wirtschaftlichem Wert sein. Dies trifft auf wesentliche Industriedaten zu. Ein entscheidender Punkt ist jedoch folgender: Die Information muss Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen sein. Da kommt das Thema Security ins Spiel: Wenn Daten technisch und organisatorisch nicht geschützt sind, wenn Protokolle genutzt werden, die einfach abhörbar sind, wenn die Daten auf ungeschützten Servern liegen, dann kann man sich auch nicht auf den gesetzlichen Schutz stützen. Ungeklärt bleiben darüber hinaus auch hier die Fragen nach dem Schutz des einzelnen Datums oder nach der Rechtslage in Kooperationen und Joint Ventures.

Datum:2. Mai 2019

Autoren:Universität Passau

Themen: Technik, Cloud/Internet of Things, Security

Webseite: www.uni-passau.de

Downloads:

Das könnte Sie auch interessieren

Topstory

Carbon Management: Wegbereiter für eine klimaneutrale Zukunft

Carbon Management-Technologien stehen im Fokus, um CO2-Emissionen zu reduzieren und zu managen. Die Rolle des Maschinenbaus und mögliche Entwicklungspfade betrachtet eine neue Studie des VDMA Competence Center Future Business.‣ weiterlesen