Den Piraten auf der Spur: Die neue Norm zur Daten​bearbeitung

|

Sabrina Konrad

Am 1. April 2020 ist das revidierte Urheberrechtsgesetz (URG) in Kraft getreten. Nach rund sieben Jahren Arbeit sagte das Parlament anlässlich der Schlussabstimmung vom 27. September 2019 Ja zu den vorgeschlagenen Neuerungen. Der Weg bis dahin war nicht immer einfach. Aber letztlich bestätigte das Parlament seinen Willen, das Urheberrechtsgesetz an die technologischen Entwicklungen der vergangenen Jahre anzupassen. Seit der letzten Teilrevision von 2008 hat sich vieles gewandelt. Die Digitalisierung und das Internet haben die Erhältlichkeit von Werken, aber auch unseren Umgang mit diesen stark verändert. Filme, Bücher, Bilder und Musik sind immer öfter überall und zu jeder Zeit erhältlich. Wir nutzen Werke immer mehr. So benötigen wir beispielsweise nur wenige Klicks, um Werke kopieren und mit anderen teilen zu können. Letzteres geschieht häufig ohne die Erlaubnis der Rechteinhaberinnen und Rechteinhaber. Das URG sieht deshalb unter anderem Neuerungen vor, die der Internetpiraterie entgegenwirken sollen, um so die Kulturschaffenden zu stärken.

|

Für die Konsumentinnen und Konsumenten von Angeboten aus illegalen Quellen ändert sich nichts. Sie sollen weiterhin nicht kriminalisiert werden. Anders sieht es für die Nutzerinnen und Nutzer aus, die geschützte Inhalte unerlaubt im Internet zugänglich machen. Um ihnen auf die Spur zu kommen, enthält das URG neu eine Norm für die Datenbearbeitung zum Zweck der strafrechtlichen Verfolgung von Urheberrechtsverletzungen. Doch: Wie kam es dazu, dass eine Norm zur Datenbearbeitung im URG und nicht im Datenschutzgesetz (DSG) zu finden ist? Die Ursache liegt fast zehn Jahre zurück.

Hintergrund der Norm zur Datenbearbeitung war ein Streit um das Sammeln von sog. Internet-Protokoll-Adressen (IP-Adressen), der im Bundesgerichtsurteil «Logistep» vom 8. September 2010 sein (vorläufiges) Ende fand. Damals entschied das Bundesgericht, dass im zu beurteilenden Fall das Vorgehen eines privaten Unternehmens gegen das DSG verstösst und damit widerrechtlich ist.

Die Logistep AG suchte mittels einer von ihr entwickelten Software auf Filesharing-Netzwerken (P2P-Netzwerken) nach unerlaubt angebotenen Werken. Im Fokus standen primär Video- und Musikinhalte. Hatte das Unternehmen illegal angebotene Werke gefunden, lud es diese herunter. Dank der entwickelten Software wurden dabei verschiedene Daten in einer Datenbank der Logistep AG gespeichert. Diese Daten liessen Rückschlüsse auf die Benutzerinnen und Benutzer der Tauschbörse zu. Die Logistep AG gab die gespeicherten Daten an ihre Auftraggeberinnen und Auftraggeber (Rechteinhabende) weiter.

Für Rechteinhaberinnen und Rechteinhaber sind diese Daten, insbesondere die sog. IP-Adresse, für die Rechtsdurchsetzung im Internet wichtig. Eine IP-Adresse ist – vereinfacht gesagt – eine Nummer, die jedem Computer beim Einwählen ins Internet zugewiesen wird. Die Nummer lässt die Identifizierung der Anschlussinhaberin oder des Anschlussinhabers zu. Die Rechteinhabenden können die hinter den IP-Adressen stehenden Inhaberinnen und Inhaber der Internetanschlüsse jedoch nicht selber identifizieren. Dies ist einzig den Fernmeldedienstanbieterinnen möglich, die den entsprechenden Zugang zum Internet gewährt haben. Die Informationen über die Anschlussinhaberinnen und Anschlussinhaber sind jedoch durch das Fernmeldegeheimnis geschützt. Ein zivilrechtliches Auskunftsbegehren gegen die Fernmeldedienstanbieterin ist deshalb nicht möglich. Im Rahmen eines Strafverfahrens ist sie allerdings angehalten, die Identität hinter der IP-Adresse den Strafverfolgungsbehörden bekannt zu geben.

Sobald die Rechteinhaberinnen und Rechteinhaber im Besitz der von der Logistep AG gesammelten Daten waren, reichten sie deshalb in der Regel Strafanzeige gegen unbekannt ein. Hatten die Strafverfolgungsbehörden mithilfe der Fernmeldedienstanbieterin die Identität der Anschlussinhaberin oder des Anschlussinhabers herausgefunden, konnten die Rechteinhabenden im Rahmen des Akteneinsichtsrechts an diese Informationen gelangen. In der Folge stellten sie noch vor der strafrechtlichen Verurteilung der betroffenen Person zivilrechtliche Ansprüche in Form von Schadenersatzforderungen.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beanstandete das Vorgehen der Logistep AG. Die erhobenen Daten (insbesondere die IP-Adresse) seien insofern Personendaten, als mit ihrer Hilfe bestimmte Personen indirekt identifiziert werden könnten. Er war der Auffassung, dass die Bearbeitungsmethoden der Logistep AG geeignet seien, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen. Der EDÖB empfahl deshalb der Logistep AG, ihr Handeln einzustellen.

Die Logistep AG leistete der Empfehlung des EDÖB keine Folge. Aus diesem Grund gelangte der EDÖB an das Bundesverwaltungsgericht. Das Bundesverwaltungsgericht erklärte das Vorgehen der Logistep AG in seinem Urteil vom 27. Mai 2009 für zulässig und hob die Empfehlung des EDÖB auf. Gegen dieses Urteil reichte der EDÖB Beschwerde beim Bundesgericht ein.

Das Bundesgericht hatte unter anderem darüber zu entscheiden, ob es sich bei IP-Adressen um Personendaten im Sinne des DSG handelt oder nicht. Es erläuterte: «Eine abstrakte Feststellung, ob es sich (insbesondere bei dynamischen) IP-Adressen um Personendaten handelt oder nicht, ist […] nicht möglich». Gleichzeitig hielt das Bundesgericht aber fest, dass es sich zumindest im vorliegenden Fall bei den IP- | Adressen um Personendaten handle. So sei die dafür notwendige Bestimmbarkeit der betroffenen Personen grundsätzlich zu bejahen. Es führte weiter aus, dass die Bearbeitung der IP-Adressen durch die Logistep AG eine Persönlichkeitsverletzung darstelle, weil diese ohne Wissen der betroffenen Personen und in einer für diese nicht erkennbaren Weise erfolge. Die Verletzung könne – mangels eines überwiegenden Interesses – auch nicht gerechtfertigt werden.

Das Bundesgericht sah im Vorgehen der Logistep AG einen Verstoss gegen das DSG. Dies stellte die Rechteinhaberinnen und Rechteinhaber sowie die Strafverfolgungsbehörden vor Schwierigkeiten: Bedeutete der Entscheid des Bundesgerichts, dass das Sammeln von IP-Adressen generell gegen das DSG verstösst? In diesem Fall hätten die IP-Adressen im Strafverfahren kaum mehr als Beweismittel verwendet werden dürfen (Verwertungsverbot). Sie waren aber notwendig, um die hinter den begangenen Urheberrechtsverletzungen stehenden Anschlussinhaberinnen und Anschlussinhaber zu identifizieren. Jedenfalls schienen die Staatsanwaltschaften genau dieser Meinung zu sein. Sie gingen den Anzeigen der Rechteinhaberinnen und Rechteinhaber nicht mehr nach; dies führte zu Schwierigkeiten bei der Verfolgung von Urheberrechtsverletzungen im Internet.

Der EDÖB vertrat hingegen die Auffassung, dass die Beschaffung und die Bearbeitung von Personendaten, wie z. B. IP-Adressen, unter Beachtung bestimmter Grundsätze auch nach dem ergangenen Bundesgerichtsurteil rechtmässig möglich sein sollten. Er wies auch darauf hin, dass sich die bestehende Unsicherheit am besten durch eine gerichtliche Klärung beseitigen lasse.

Infolgedessen reichten die Rechteinhaberinnen und Rechteinhaber 2013 bei der Staatsanwaltschaft Zürich Strafanzeige gegen unbekannt ein. Bei der Sammlung der IP-Adressen berücksichtigten sie die Empfehlungen des EDÖB. Die Staatsanwaltschaft war dennoch der Auffassung, dass die erhobenen Daten aufgrund einer Datenschutzverletzung nicht verwertbar seien und stellte das Verfahren ein. Zur Begründung verwies sie auf den «Logistep»-Entscheid des Bundesgerichts. Die Rechteinhaberinnen und Rechteinhaber zogen die Einstellungsverfügung der Staatsanwaltschaft vor das Zürcher Obergericht. Dieses hob die Verfügung auf und wies die Staatsanwaltschaft an, das Verfahren fortzusetzen. Im weiteren Verlauf des Verfahrens waren die Beschuldigten geständig, weshalb es zu keiner Klärung kam, ob die gesammelten IP-Adressen verwertbare Beweismittel waren oder nicht.

Auch auf internationaler Ebene hatte der «Logistep»-Entscheid Folgen. Der US-Handelsbeauftragte (USTR) veröffentlicht jährlich einen Bericht, den sog. Special 301 Report. Der USTR prüft die Gesetzgebungen wichtiger US-Handelspartner im Lichte des Schutzes von Immaterialgüterrechten und erläutert seine Erkenntnisse in diesem Bericht. Länder, die aus Sicht der USA Mängel beim Schutz von Immaterialgüterrechten aufweisen, kann der USTR auf die sog. Watch List setzen. Im Jahr 2016 wurde die Schweiz erstmals auf diese Watch List gesetzt. Zur Begründung führte der USTR Folgendes aus: Die Schweiz weise zwar grundsätzlich ein hohes Schutz- und Durchsetzungsniveau im Bereich der Immaterialgüterrechte auf. Gemäss Ausführungen der Rechteinhabenden sei die Schweiz seit 2010 aber ein zunehmend beliebtes Land für urheberrechtsverletzende Internetseiten; er habe deshalb Bedenken hinsichtlich der Durchsetzbarkeit von Urheberrechten. Der USTR nahm dabei direkt Bezug auf den «Logistep»-Entscheid des Bundesgerichts.

Das Bundesgericht ahnte möglicherweise, welche Konsequenzen der Entscheid haben könnte. Es hat darin nämlich festgehalten, dass «[…] es nicht darum geht, dem Datenschutz generell den Vorrang gegenüber dem Schutz des Urheberrechts einzuräumen. Es ist Sache des Gesetzgebers und nicht des Richters, die allenfalls notwendigen Massnahmen zu treffen, um einen den neuen Technologien entsprechenden Urheberrechtsschutz zu gewährleisten». Damit gab das Bundesgericht dem Gesetzgeber den Hinweis, im Sinne des Urheberrechtsschutzes tätig zu werden.

Die Datenbearbeitung durch Rechteinhabende war schon zu Beginn der Revision des URG ein Thema – wohl | nicht zuletzt aufgrund des Hinweises des Bundesgerichts. Die von Bundesrätin Sommaruga eingesetzte Arbeitsgruppe zum Urheberrecht (AGUR12) war mit der Ausarbeitung von Empfehlungen zur Modernisierung des URG betraut worden. Sie gab in ihrem Schlussbericht eine Empfehlung zur Datenbearbeitung ab: Rechteinhaberinnen und Rechteinhaber sollen für die Ermittlung von Urheberrechtsverletzungen im Internet IP-Adressen bearbeiten dürfen (unter Einhaltung der Vorgaben des EDÖB). Die gesetzlichen Grundlagen hierfür seien zu schaffen.

Der Bundesrat nahm den Hinweis des Bundesgerichts an den Gesetzgeber auf und legte in seinem Vorentwurf eine Norm zur Datenbearbeitung vor (Art. 66j VE-URG). Obwohl der Bestimmung die Empfehlung der AGUR12 zugrunde lag, ergab sich in der Vernehmlassung ein gemischtes Bild. Die Rechteinhaberinnen und Rechteinhaber kritisierten unter anderem, dass:

• –
  die Norm nur auf schwerwiegende Rechtsverletzungen in P2P-Netzwerken ausgerichtet sei;
• –
  die zu bearbeitenden Daten abschliessend aufgeführt seien; und
• –
  eine Informationspflicht über die Datenbearbeitung enthalten sei.

Die Nutzerinnen und Konsumenten begrüssten hingegen gerade diese vorgesehenen Einschränkungen. Die politischen Parteien und mehrere Kantone lehnten die Norm ab.

Der Gesetzgeber berücksichtigte die geäusserten Kritikpunkte und passte die Norm an. Die Informationspflicht (Offenlegung der Datenbearbeitung) behielt er jedoch bei. Im weiteren Verlauf der Revisionsarbeiten war die Norm zur Datenbearbeitung nicht mehr umstritten.

Die Norm zur Datenbearbeitung steht unter dem neuen Titel 5a. «Bearbeitung von Personendaten zum Zweck der Strafantragsstellung oder der Strafanzeigeerstattung». Sie folgt damit unmittelbar den Massnahmen zum Rechtsschutz. Sie enthält datenschutzrechtliche Aspekte, geht jedoch dem DSG nicht vor. Auch hat die Datenbearbeitungsnorm keinen Einfluss auf die Vorschriften der Strafprozessordnung (StPO). Insbesondere schränkt sie nicht das Ermessen der Strafverfolgungsbehörden ein, unter Umständen auf eine Strafverfolgung zu verzichten. Ebenso wenig äussert sich Artikel 77i zu den Grundsätzen der Beweisverwertung. Die Behandlung der Strafanträge und Strafanzeigen richtet sich weiterhin nach den Bestimmungen der StPO. Für Zivilverfahren gelten die einschlägigen Vorschriften der Zivilprozessordnung (ZPO).

Rechteinhaberinnen und Rechteinhaber, die in ihren Urheberrechten oder in ihren verwandten Schutzrechten verletzt werden, dürfen gemäss Absatz 1 Personendaten bearbeiten. Das URG definiert nicht, was Personendaten sind. Vielmehr folgt es der Definition des DSG. Demgemäss gelten alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen als Personendaten. Soweit IP-Adressen als Personendaten verstanden werden, sind sie somit von der neuen Norm erfasst.

Was unter «Bearbeiten» verstanden wird, definiert ebenfalls das DSG; damit gemeint ist jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren. Darunter fallen unter anderem das Beschaffen, Aufbewahren und Bekanntgeben von Daten. Die neue Regelung ermöglicht den Rechteinhaberinnen und Rechteinhabern somit, IP-Adressen beispielsweise zu sammeln, zu speichern und den Strafverfolgungsbehörden zu übergeben.

Diese Berechtigung unterliegt jedoch zwei wesentlichen Einschränkungen: Erstens dürfen die Personendaten nur insoweit bearbeitet werden, als dies zum Zweck der Strafantragsstellung oder der Strafanzeigeerstattung notwendig ist. Hinter dieser Einschränkung stehen die Vorgaben des DSG, wonach die Bearbeitung von Personendaten zweckgebunden und verhältnismässig erfolgen muss. Die Norm zur Datenbearbeitung ist folglich darauf ausgerichtet, dass die Rechteinhaberinnen und Rechteinhaber die gesammelten IP-Adressen (und allenfalls weitere Daten) für ein Strafverfahren verwenden und den Strafverfolgungsbehörden übergeben. Die neue Norm gibt ihnen jedoch nicht die Berechtigung, die hinter den IP-Adressen stehenden Anschlussinhaberinnen und Anschlussinhaber selber zu identifizieren oder von den Fernmeldedienstanbieterinnen identifizieren zu lassen. Zudem dürfen | sie lediglich jene Daten bearbeiten, die sie objektiv tatsächlich benötigen; es darf nicht darum gehen, auf Vorrat möglichst viele Daten zu speichern. Gefordert ist ein vernünftiges Verhältnis zwischen der Bearbeitung von Daten und der damit einhergehenden Persönlichkeitsverletzung. Es bleibt in der Kompetenz der Strafverfolgungsbehörden, im Falle einer unverhältnismässigen Datenbearbeitung durch die Rechteinhabenden eine Interessenabwägung zur Verwertung der erhobenen Daten im Strafverfahren vorzunehmen.

Zweitens dürfen die Rechteinhaberinnen und Rechteinhaber nur jene Personendaten bearbeiten, auf die sie rechtmässig Zugriff haben. Sie dürfen also nicht jegliche Mittel einsetzen, um die benötigten Personendaten zu erhalten. So gibt ihnen Artikel 77i insbesondere nicht das Recht, gegen geltende Normen des Schweizerischen Strafgesetzbuchs zu verstossen.

Schliesslich hält Absatz 1 fest, dass die bearbeiteten Daten auch für die Geltendmachung zivilrechtlicher Ansprüche verwendet werden dürfen; adhäsionsweise im Strafverfahren oder selbständig nach Abschluss des durchgeführten Strafverfahrens. Damit soll sichergestellt werden, dass die verletzten Rechteinhaberinnen und Rechteinhaber – unter Verwendung der bearbeiteten Personendaten – auch zivilrechtliche Forderungen geltend machen können. Gleichzeitig soll das Strafverfahren aber nicht mehr nur Mittel zum Zweck sein. Die Passage «[…] oder für deren Geltendmachung nach abgeschlossenem Strafverfahren […]» will seiner (früheren) Instrumentalisierung (siehe vorne II.1.) den Riegel schieben.

Gemäss Absatz 2 hat die Datenbearbeitung transparent zu erfolgen. Es muss für die betroffenen Personen erkennbar sein, dass über sie Daten beschafft werden. Dies ist ein wichtiges Erfordernis gemäss DSG. Für die Voraussetzungen an die Erkennbarkeit kann deshalb auf das DSG zurückgegriffen werden. Ob diese gegeben ist oder nicht, muss nach den konkreten Umständen sowie nach den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben beurteilt werden. Wichtig ist, dass die betroffene Person aus den Umständen heraus mit der Datenbeschaffung rechnen konnte. Absatz 2 geht sogar noch einen Schritt weiter: Die Rechteinhaberinnen und Rechteinhaber müssen den Zweck, die Art und den Umfang der Datenbeschaffung offenlegen. Der EDÖB erläuterte dazu Folgendes: «Dazu müssen sie insbesondere auf ihren Websites an leicht zugänglicher und auffindbarer Stelle ihre Vorgehensweise (einschliesslich detaillierter Angaben zu Art und Umfang der gesammelten Daten) vollständig offenlegen und deutlich machen, dass Schadenersatzansprüche nur gegenüber rechtskräftig strafrechtlich verurteilten Urheberrechtsverletzern verfolgt werden».

Absatz 3 hält fest, dass die Rechteinhaberinnen und Rechteinhaber die bearbeiteten Personendaten nicht mit Daten verknüpfen dürfen, die sie zu anderen Zwecken gesammelt haben. Damit bekräftigt Absatz 3 nochmals die Zweckbindung der Personendatenbearbeitung, die sich bereits aus Absatz 1 ergibt. Die Rechteinhaberinnen und Rechteinhaber dürfen die Personendaten beispielsweise nicht zu Werbe- oder Marktforschungszwecken verwenden. Sie sollten die auf der Grundlage von Artikel 77i gesammelten Daten deshalb von zu anderen Zwecken gesammelten Daten getrennt halten.

Mit der gesetzlichen Grundlage für die Datenbearbeitung durch Rechteinhaberinnen und Rechteinhaber zum Zweck der Strafantragsstellung oder Strafanzeigeerstattung schafft der Gesetzgeber Klarheit. Er beseitigt die aus dem «Logistep»-Entscheid hervorgegangenen Unsicherheiten. Damit sollten die Schwierigkeiten der strafrechtlichen Verfolgung von Urheberrechtsverletzungen im Internet gelöst sein. Erste Erkenntnisse werden vorliegen, sobald entsprechende Klagen der Rechteinhabenden verhandelt wurden. Im Rahmen der Erfüllung des Postulates 19.3421 «Revision des Urheberrechtsgesetzes. Überprüfung der Wirksamkeit» der Kommission für Wissenschaft, Bildung und Kultur des Ständerates (WBK-SR) wird der Bundesrat auch diese Regelung überprüfen müssen und gegebenenfalls Verbesserungen vorschlagen.

Was die Kritik des USTR betriff, so trägt unter anderem die neue Norm seinen Bedenken Rechnung. Die Schweiz befindet sich im Special 301 Report 2020 nicht mehr auf der Watch List. Die Entfernung begründet der USTR mit den am 1. April 2020 in Kraft getretenen Änderungen des URG.

|