Wann Datensammeln zum Missbrauch wird

Stellen Sie sich vor, Sie sitzen vor dem Fernseher, knabbern Chips und trinken dazu ein Glas Wein oder Bier. Plötzlich flimmert eine Gemüsereklame über den Bildschirm. Sie denken nichts Böses dabei, glauben an Zufall. Aber es passiert immer wieder an gemütlichen Fernseh­abenden. Warum? Weil der Fernseher mit einer Kamera versehen ist, die registriert, was Sie machen und vor allem, was Sie konsumieren und dies weiterleitet, zum Beispiel an Gemüsehändler. Ähnliches kann passieren, wenn Sie interessiert ein Schaufenster ansehen. Eine Kamera, sogar in den Schaufensterpuppen versteckt, kann Ihr Gesicht erkennen und registrieren, welche Produkte Sie besonders interessieren.

Sie nutzen den neuen Fahrdienst Uber, um zu einem verschwiegenen Rendezvous zu fahren. Sie glauben, das bleibe geheim, aber Uber weiss Bescheid. Uber-Deutschlandchef Fabien Nestmann nannte die Datensammlung der Uber im Interview mit ARD-Panorama und der Berliner Zeitung ein «analytisches Spiel». Die Mitarbeiter von Uber registrierten offensichtlich, welche Nutzer wann und wo einen One-Night-Stand hatten. Oder noch schlimmer: Ihr Arzt hat Ihre medizinischen Daten auf sein Handy gespeichert. Gleichzeitig befindet sich eine App auf seinem Handy, die unbemerkt auf die Daten des Arztes – und damit auf Ihre Krankengeschichte – zugreift und diese an Unternehmen weiterleitet. Oder ein Hacker dringt in das System ein.

Keine schauerliche Utopie

Sogenannte Smart-Fernseher sind heute mit Videokamera und Mikrofon ausgerüstet und man kann damit im Internet kommunizieren. Leider funktioniert das auch umgekehrt, vom Internet aus kann man auf die Fernseher zugreifen. Wie beim Smartphone ist die Überwachung der Zuschauer, sogar Gesichtserkennung, möglich, sobald der Fernseher ans Internet angeschlossen ist. Die Verbindung zu den Internetdiensten ermöglicht eine Aufzeichnung und Auswertung des individuellen Nutzungsverhaltens.

Das Fachmagazin «c't» publizierte Anfang 2014 eine Studie über Smart-Fernseher. Internetfähige Fernseher sind im Grunde leistungsschwache Computer mit eingebautem Webbrowser und Betriebssystem. Diese Technik arbeitet, auch wenn Zuschauer gar nicht bewusst online sind. Bei einer Reihe aktueller Smart-TVs wurde der Datenverkehr analysiert. Sobald die Geräte eine Internetverbindung hatten, übertrugen sie Daten an die Server der Hersteller. Dass Smartphone-Apps vor allem den Sinn haben, die Nutzer auszuspionieren, ist schon lange bekannt. Besonders schlimm kann das aber wirken, wenn auf demselben Smartphone geheime Daten gespeichert sind, zum Beispiel eines der Handyprogramme für Mediziner. Die Anbieter solcher Programme preisen beispielsweise folgende Funktionen an: Die elektronische Patientenakte kann auf Desktop-Computern, Laptops, Tablet-PCs und UMPCs angewendet werden. Die Software kann sämtliche medizinschen Daten verwalten, wie die Patientengeschichte, Abrechnungen, Agendas, Röntgenbilder usw. Man wirbt mit Zeitgewinn und einfacher Verwaltung von Patientendossiers. Das gilt natürlich alles auch für Geschäftsdaten, die man unbedingt vor fremdem Zugriff schützen muss.

EuGH-Urteil

Im Dezember wurde vom Europäischen Gerichtshof (EuGH) ein bemerkenswertes Urteil über Datenschutz publiziert. Herr R., wohnhaft in Ungarn, installierte 2007 eine Kamera fest an seinem Haus. Diese kontrollierte den Eingang des Hauses, den öffentlichen Strassenraum sowie den Eingang des gegenüberliegenden Hauses. Die Anlage nahm Videoaufzeichnung auf und speicherte diese auf der Festplatte. Der Grund für den Betrieb dieser Kamera war, das Eigentum, die Gesundheit und das Leben seiner selbst und seiner Familie zu schützen. R. selber und seine Familie waren nämlich während mehrerer Jahre Ziel von Angriffen eines Unbekannten gewesen, den man nicht entlarven konnte. In einer Oktobernacht 2007 fand ein weiterer Angriff statt.

Dank einer Videoüberwachungsanlage konnten zwei Verdächtige identifiziert werden. Die Aufzeichnungen wurden der Polizei übergeben und anschliessend im Rahmen des eingeleiteten Strafverfahrens verwertet. Einer der Verdächtigen beantragte die Überprüfung der Rechtmässigkeit des Überwachungssystems von Herrn R. Ein Gerichtsentscheid in Ungarn stellte fest, dass Herr R. Zuwi­derhandlungen gegen die Datenschutz­bestimmungen begangen hätte, weil er Daten über Personen auf der Strasse gesammelt hätte, ohne deren Einwilligung und ohne sie vorher zu informieren.

Der Fall gelangte vor den EuGH. Nach Artikel 7 der Charta der Grundrechte der EU hat jede Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation. Eine ganz ähnliche Formulierung steht in Art. 8 der Europäischen Menschenrechtskonvention, die auch für die Schweiz gilt. Nach ständiger Rechtsprechung, so der EuGH, verlangt der Schutz des Grundrechts auf Privatleben, dass sich die Ausnahmen und Einschränkungen des Schutzes der personenbezogenen Daten auf das absolut Notwendige beschränken müssen. Die Bestimmungen der Datenschutzrichtlinie 95/46 werden nicht angewendet auf Verarbeitung personenbezogener Daten, die von einer natürlichen Person zur Ausübung ausschliesslich persönlicher oder familiärer Tätigkeiten vorgenommen wird.

Sobald sich aber eine Videoüberwachung auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich ausserhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten auf diese Weise verarbeitet, ist sie nicht als eine ausschliesslich «persönliche oder familiäre» Tätigkeit anzusehen, entschied der EuGH. Allerdings seien dabei gegebenenfalls die berechtigten Interessen des Datensammlers zu berücksichtigen wie etwa der Schutz des Eigentums, der Gesundheit sowie des Lebens, auch das der Angehörigen.

Dieses Urteil könnte weitreichende Konsequenzen haben. Demnach wären zum Beispiel Street-View-Aufnahmen ohne die ausdrückliche Erlaubnis der Hausbewohner – nicht nur der Hausbesitzer – verboten. Kameras von Unternehmen, die Passanten registrieren, wären ebenfalls nicht erlaubt. Und ganz und gar verboten wäre Überwachung von Nutzern durch Smart-Geräte.

Bundesgerichts-Urteil

Das Schweizerische Bundesgericht allerdings geht zumindest im strafrechtlichen Bereich nicht so weit wie der EuGH. Frau X hatte eine Auseinandersetzung mit einigen Nachbarn und filmt die Szene vom Vorplatz des gemeinsam bewohnten Mehrfamilienhauses aus mit einer Videokamera. Die Nachbarn reichten Klage ein. Das Bezirksgericht Luzern verurteilte Frau X wegen Verletzung des Privatbereichs durch ein Aufnahmegerät zu einer bedingten Geldstrafe. Der Fall kam vors Bundesgericht. Nach StGB Art. 179 quater macht sich strafbar, wer eine Tatsache aus dem Geheimbereich eines andern oder eine nicht jedermann ohne Weiteres zugängliche Tatsache aus dem Privatbereich eines andern ohne dessen Einwilligung mit einem Aufnahmegerät beobachtet oder auf einen Bildträger aufnimmt.

Die Vorinstanzen beriefen sich bei der Verurteilung von X auf einen früheren Bundesgerichtsentscheid (BGE 118 IV 41). Durch StGB Art. 179 quater ist nach diesem Urteil auch der unmittelbar an ein Wohnhaus angrenzende Bereich geschützt. Zum Privatbereich im engeren Sinne gehört nicht nur, was sich im Haus selbst, sondern auch, was sich in dessen unmittelbarer Umgebung abspiele. Zu dieser zähle insbesondere der Bereich direkt vor der Haustüre eines Wohnhauses.

Das Bundesgericht meinte aber, der aktuelle Fall von Frau X sei mit dem zitierten Fall nicht zu vergleichen. Beim alten Fall hätte es sich um den unmittelbaren Eingangsbereich eines Einfamilienhauses mit eigenem Garten gehandelt. Im aktuellen Fall spielte sich das Geschehen auf dem Vorplatz und Treppenpodest eines Mehrfamilienhauses ab, das alle Parteien gemeinsam bewohnen. Dieser Bereich der Liegenschaft wird von den betreffenden Wohnparteien gleichermassen genutzt und diese haben daran kein ausschliessliches Hausrecht. Im Innenverhältnis zwischen den Hausbewohnern an den genannten Orten geniesst laut Bundesgericht niemand denselben Schutz seiner Privatsphäre, wie dies in der eigenen Wohnung oder eben im nahen Eingangsbereich eines Einfamilienhauses der Fall wäre, an dem einer Partei das alleinige Hausrecht zusteht.

Fazit: Aufnahmen im Bereich eines Ein-familienhauses sind nach diesem Tatbestand nicht erlaubt. Aufnahmen im
gemeinsam benutzten Bereich eines Mehrfamilienhauses fallen aber nicht unter den Tatbestand von StGB 179 quater. Hingegen kann man sich auf diesen StGB-Artikel berufen, wenn man vor einem Smartfernseher sitzt und dieser die Vorgänge im Zimmer und die Personen un­bemerkt registriert. In Bezug auf den Datenschutz sind auch folgende Straf­tatbestände zu beachten, die auch für den geschäftlichen Bereich gelten.

• Unbefugte Datenbeschaffung (StGB Art. 143)
• Unbefugtes Eindringen in ein Datenverarbeitungssystem (StGB Art. 143bis)
• Betrügerischer Missbrauch einer Datenverarbeitungsanlage (StGB Art. 147)

Persönlichkeitsschutz

Zu beachten ist, dass es beim vorher zitierten Bundesgerichtsentscheid nur um Strafrecht geht. Abgesehen von diesem gelten für diesen Fall auch das Datenschutzrecht und das Persönlichkeitsrecht. Weiter sind auch die Persönlichkeitsrechte zu berücksichtigen. Wenn X den Film mit dem Nachbarschaftsstreit beispielsweise in Facebook publizieren würde, könnten die anderen Parteien nach Datenschutzgesetz und ZGB zivilrechtlich gegen die Verletzung ihrer Persönlichkeitsrechte klagen. Nach Datenschutzgesetz (DSG Art. 4) dürfen die Daten der Aufnahmen nur rechtmässig, verhältnismässig und nach Treu und Glauben bearbeitet werden. Nach Datenschutzgesetz darf man nicht ohne Rechtfertigungsgrund Daten einer Person gegen deren ausdrücklichen Willen bearbeiten oder besonders schützenswerte Personendaten oder Persönlichkeitsprofile Dritten bekannt geben (DSG Art.12). In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.

Sicherheitsmassnahmen

Für Klagen zum Schutz der Persönlichkeit muss man sich auf die Bestimmungen des ZGB (Artikel 28 ff.) beziehen (DSG Art. 15). Die klagende Partei kann insbesondere verlangen, dass die Datenbearbeitung gesperrt wird, keine Daten an Dritte bekannt gegeben oder die Personendaten berichtigt oder vernichtet werden. Die Datenschutzverordnung zeigt Sicherheitsmassnahmen an für Personen und Unternehmen, die Daten verarbeiten. Die technischen und organisatorischen Massnahmen müssen angemessen sein und unbefugten Personen ist der Zugang zu den Einrichtungen, in denen Personendaten bearbeitet werden, zu verwehren.

Wer also vorsätzlich geheime, besonders schützenswerte Personendaten oder Persönlichkeitsprofile unbefugt bekannt gibt, von denen er bei der Ausübung seines Berufes erfahren hat, wird auf Antrag mit Busse bestraft (Art. 35 DSG). Das unbefugte Bekanntgeben von geheimen, besonders schützenswerten Personen-daten oder Persönlichkeitsprofilen ist auch nach Beendigung der Berufsausübung oder der Ausbildung strafbar.

Diese Daten sollten auch gegenüber An­gestellten vor unbefugten Zugriffen geschützt sein. Die betreffenden Personen sind zusätzlich durch ein Identifikationssystem zu erfassen. Es ist die Sache der Unternehmensleitung, die entsprechenden Massnahmen zu organisieren, z.B. eine Zertifizierung nach der Normenreihe ISO 27 000. Zumindest sind klare Verhaltensregelungen notwendig, allenfalls eine Geheimhaltungsklausel im Arbeitsvertrag.