IP-Adressen: Es gilt das Datenschutzrecht
Lic. iur. Regula Heinzelmann
Regula Heinzelmann studierte Jura an der Universität Zürich, wo sie 1981 mit dem Lizentiat abschloss. Seit 1984 arbeitet sie selbständig als Wirtschaftsjournalistin und Buchautorin in Zürich und Berlin.
Mit den erforschten IP-Adressen können die Rechtsinhaber Strafverfahren anfangen. So erhalten sie durch Akteneinsicht Name und Adresse der illegalen Anwender. Diese werden dann zivilrechtlich auf Schadenersatz verklagt. So wird das Telekommunikationsgeheimnis umgangen, das nur im Rahmen eines Strafverfahrens aufgehoben werden darf. Im Privatrecht gilt das Telekommunikationsgeheimnis ausnahmslos.
Ermittlung von IP-Adressen für Zivilprozesse unzulässig
Anfang 2008 forderte der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte Hanspeter Thür (EDÖB) in einer Empfehlung, dass die Firma X ihre Nachforschungen in Peer-to-Peer-Netzwerken einstellen sollte, solange der Gesetzgeber dafür keine rechtliche Basis geschaffen hat. Der EDÖB hält diese Praxis für rechtsmissbräuchlich. Ein Grund dafür ist, dass die Bearbeitung der Personendaten für die betroffenen User nicht erkennbar ist, wie es vom Datenschutzgesetz (DSG) gefordert wird.
Die Firma X lehnte die Empfehlung ab, worauf der EDÖB beim Bundesverwaltungsgericht klagte. Dieses wies die Klage ab. Zwar bestätigte das Gericht die Ansicht des EDÖB, IP-Adressen seien personenbezogene Daten. Es anerkannte auch, dass die Datenbearbeitung der X dem Erkennbarkeits- und dem Zweckbindungsprinzip widerspricht. Jedoch gewichtete es die Interessen der Urheberrechtsinhaber schwerer als die Interessen der Betroffenen am Datenschutz. Damit war der EDÖB nicht einverstanden, er zog das Verfahren vor Bundesgericht.
Das Bundesgericht gab dem EDÖB recht. Nach Bundesgericht sind IP-Adressen eindeutig Personendaten und unterstehen dem DSG. Das Bundesgericht betrachtet es als unzulässig, wenn private Unternehmen heimlich IP-Adressen ausforschen. Dafür fehle ausreichender Rechtfertigungsgrund. Der EDÖB meinte dazu, Private hätten nicht Aufgaben zu erledigen, für die klar der Rechtsstaat zuständig sei. Die Firma X darf ab sofort keine Daten mehr sammeln und weitergeben, d.h. sie muss jede Datenbearbeitung im Bereich des Urheberrechts einstellen.
Damit wird allerdings niemand geschützt, der gegen das Urheberrecht verstösst. Selbstverständlich sollen Urheberrechtsverletzungen im Internet bestraft werden, das DSG schützt keine illegalen Taten. Die Verfolgung muss aber gesetzeskonform ausgestaltet sein, und mit dem vorliegenden Entscheid hat das Bundesgericht eine klare Grenze gesetzt gegen die willkürliche Ausforschung der Privatsphäre im Internet.
Datenschutz für IP-Adressen
Die wichtigsten Grundsätze des Datenschutzes werden in Art. 4 DSG festgelegt und als Privatperson hat man sie auch anzuwenden, wenn man von einer Urheberrechtsverletzung betroffen ist.
- Personendaten dürfen nur rechtmässig bearbeitet werden. Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
- Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
- Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein.
Hingegen gibt es im Urheberrechtsgesetz (URG) Strafbestimmungen, zugunsten der Urheber. Auf Antrag der in ihren Rechten verletzten Person wird nach mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bestraft, wer vorsätzlich und unrechtmässig
- ein Werk mit irgendwelchen Mitteln so zugänglich macht, dass Personen von Orten und zu Zeiten ihrer Wahl dazu Zugang haben.
- ein zugänglich gemachtes, gesendetes oder weitergesendetes Werk wahrnehmbar macht.
Wer eine solche Tat gewerbsmässig begangen hat, wird von Amtes wegen verfolgt. Die Strafe ist Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe. Mit der Freiheitsstrafe ist eine Geldstrafe zu verbinden.
Nach der neuen Zivilprozessordnung (ZPO), die im Jahr 2011 in Kraft getreten ist, tragen grundsätzlich die Parteien die Verantwortung für die Sammlung des Prozessstoffes. Sie bringen die Tatsachenbehauptungen vor und bezeichnen die entsprechenden Beweismittel. Die Parteien haben dem Gericht die Tatsachen, auf die sie ihre Begehren stützen, darzulegen und die Beweismittel anzugeben (Art. 55 ZPO). Nach Art. 152 ZPO werden rechtswidrig beschaffte Beweismittel nur berücksichtigt, wenn das Interesse an der Wahrheitsfindung überwiegt.
Passende Produkt-Empfehlungen
Kein eigenmächtiges Vorgehen gegen Produktepiraterie
Die Massnahmen, die gegen Piraterie ergriffen werden, beinhalten auch die Bearbeitung von Personendaten. Diese Daten dienen der Identifikation von Personen, die verdächtigt werden, gegen das Urheberrecht verstossen zu haben.
Obwohl die Interessen der Urheber legitim sind, müssen die getroffenen Massnahmen die Privatsphäre der verdächtigen Personen respektieren. Laut EDÖB heiligt der Zweck nicht jedes Mittel. Man sollte bei Nachforschungen die Grundsätze der Rechtmässigkeit, der Transparenz, der Zweckbindung und der Verhältnismässigkeit wahren.
So ist es zum Beispiel nicht erlaubt, dass Rechteinhaber gegen Piraterie mit einer Software vorgehen, die systematisch und proaktiv Verstösse gegen das Urheberrecht entdecken und registrieren soll (Internet-Scanning). Der Einsatz eines derartigen Instruments bedeuten nach EDÖB eine kontinuierliche Überwachung des Internet sowie der P2P-Netzwerke. Derartige Nachforschungen sollten in jedem Fall von den richterlichen (oder polizeilichen) Behörden angeordnet und nicht von Privatpersonen vorgenommen werden.
Umgang mit IP-Adressen bei Tracking oder in Suchmaschinen
Auch bei Tracking und in Suchmaschinen sollte man vorsichtig beim Aufspüren von IP-Adressen sein. Aus datenschutzrechtlicher Sicht sind viele der bekannten Webtracking-Dienste problematisch. Unter Umständen werden so Persönlichkeitsprofile im Sinne des Datenschutzgesetzes beschafft. Auch wenn lediglich die IP-Adresse eines Nutzers bearbeitet wird, ist dies datenschutzrechtlich relevant, da die IP-Adresse grundsätzlich als Personendatum zu qualifizieren ist.
Obwohl die eigentliche Datenspeicherung und -analyse in den meisten Fällen durch den Webtracking-Anbieter im Hintergrund erfolgt, steht der Website-Betreiber genauso in der Verantwortung. Die Besucher einer Website müssen transparent über die Beschaffung personenbezogener Daten, über den Zweck der Bearbeitung und die Datenanalyse informiert werden. Ansonsten liegt üblicherweise ein Verstoss gegen die Grundsätze der Erkennbarkeit und der Zweckbindung der Datenbearbeitung vor.
Werden durch das Tracking Personendaten erhoben, muss deren Bearbeitung von der Einwilligung des Internetnutzers gedeckt sein. Bei gewöhnlichen Personendaten - wozu üblicherweise auch die IP-Adresse des Nutzers zählt - kann sich die Einwilligung bereits aus dem Verhalten der betroffenen Person ergeben. Aber auch hier gilt, dass die Zustimmung auf der Grundlage angemessener Information und freiwillig erfolgen muss. Bei Sammlung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen ist die Informationspflicht umfassender und die Zustimmung des Nutzers zum Tracking muss ausdrücklich erfolgen, beispielsweise indem er seine Einwilligung mit einem Mausklick kundtut. Das macht man am besten grundsätzlich, wenn man Daten für Tracking sammelt.
Wer Daten ins Internet stellt, muss sich bewusst sein, dass man durch Nutzung von Suchmaschinen unter Umständen ein Persönlichkeitsprofil zusammenstellen kann. Zu beachten, dass fast alle Suchmaschinen sämtliche Anfragen inkl. IP-Adresse über einen längeren Zeitraum speichern (in der Regel mehrere Monate). Mittlerweile sind jedoch auch Suchmaschinen verfügbar, welche die Identifikationsdaten der Nutzer schneller löschen oder gar nicht speichern (z.B. duckduckgo.com, ixquick.com oder swisscows.ch).
Trotzdem: Informationen im Internet sind grundsätzlich öffentlich, deswegen gehören da auch nur diejenigen hin, über die jedermann Bescheid wissen kann oder sollte.
Überwachung bei Straftaten
Anders ist die Rechtslage, wenn es um Straftaten geht. Auch private Internet-Anbieter sind verpflichtet, der zuständigen Behörde alle Angaben zu machen, die eine Identifikation der Täter ermöglichen, wenn eine Straftat über das Internet begangen wird. Dies wird festgelegt im Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF). Es gilt für alle staatlichen, konzessionierten oder meldepflichtigen Anbieter von Post- und Fernmeldedienstleistungen sowie für Internet-Anbieter.
Seit September 2007 ist die Überwachung des Post- und Fernmeldeverkehrs (ÜPF) administrativ dem ISC-EJPD zugeordnet. Es handelt sich um einen unabhängigen Dienst im Sinne des BÜPF. Dabei werden Aufgaben im Zusammenhang mit der Überwachung des Post- und Fernmeldeverkehrs und der Erteilung von Auskünften über Fernmeldeanschlüsse wahrgenommen.
Für die Anordnung einer Überwachung müssen die folgenden Voraussetzungen erfüllt sein:
- Bestimmte Tatsachen begründen den dringenden Verdacht, die zu überwachende Person habe eine bestimmte strafbare Handlung begangen oder sei daran beteiligt gewesen.
- Die Schwere der strafbaren Handlung rechtfertigt die Überwachung.
- Andere Untersuchungshandlungen sind erfolglos geblieben, oder die Ermittlungen wären ohne die Überwachung aussichtslos oder unverhältnismässig erschwert.
Die Anbieter von Fernmeldediensten sind verpflichtet, dem Dienst auf Verlangen den Fernmeldeverkehr der überwachten Person sowie die Teilnehmeridentifikation und Verkehrs- und Rechnungsdaten zuzuleiten. Ebenso haben sie die zur Vornahme der Überwachung notwendigen Informationen zu erteilen.
Die Massnahmen werden zwar in Koordination mit den Fernmeldedienstanbietern organisiert, diese müssen aber gemäss Anweisung handeln. Die benötigte organisatorische, administrative und technische Infrastruktur wird bereitgestellt. Die Leistungen in Zusammenhang mit der Durchführung von angeordneten Überwachungsmassnahmen und Auskünften sind gebühren- und entschädigungspflichtig. Die entsprechenden Tarife sind in der Verordnung über die Gebühren und Entschädigungen für die Überwachung des Post- und Fernmeldeverkehrs festgelegt.
Auskunftspflicht der Anbieter
Die Anbieter sind nach BÜPF verpflichtet, die für die Teilnehmeridentifikation notwendigen Daten sowie die Verkehrs- und Rechnungsdaten während sechs Monaten aufzubewahren. Sie liefern die verlangten Teilnehmeridentifikationen sowie Verkehrs- und Rechnungsdaten so rasch als möglich und den Fernmeldeverkehr der überwachten Person soweit möglich in Echtzeit. Von ihnen angebrachte Verschlüsselungen müssen sie entfernen.
Die Anbieter haben zu gewährleisten, dass sie dem Dienst Name, Adresse, wenn möglich den Beruf der Kunden sowie die Adressierungselemente zugänglich machen können, allenfalls auch durch ein Abrufverfahren. Die Anbieter müssen während mindestens zwei Jahren nach Aufnahme der Kundenbeziehung die Auskünfte auch über Personen erteilen können, die kein Abonnement für Mobiltelefone haben.
Eine Verletzung der Aufbewahrungs- und Auskunftspflicht kann nach Bundesgericht eine Begünstigung darstellen. Wer jemanden der Strafverfolgung, dem Strafvollzug oder dem Vollzug einer gesetzlich vorgesehenen Massnahme entzieht, macht sich wegen Begünstigung strafbar (Art. 305 Abs. 1 StGB). Entscheidend dafür ist laut Bundsgericht eine erhebliche zeitliche oder inhaltliche Erschwernis der Strafverfolgung, die durch ein unwiederbringliches Löschen der IP-Adressen der Website-Benutzer entstehen würde. Das gilt auch wenn zeitweise keine Behörde an diesen Adressen interessiert ist. Bereits die Verhinderung der Eröffnung eines Strafverfahrens kann eine Begünstigungshandlung darstellen. Der Tatbestand der Begünstigung setzt nicht voraus, dass gegen den Begünstigten bereits ein Strafverfahren eröffnet worden ist.
Ob man als Betroffner einer Straftat, z.B. bei Verleumdung im Internet, nach IP-Adressen der Täter forschen darf ist unklar. Die neue schweizerische Strafprozessordnung, die im Januar 2011 in Kraft getreten ist, äussert sich nicht zu solchen Fragen. Allenfalls kann man sich auf das Notwehrrecht nach Art. 15 StGB berufen: Wenn man ohne Recht angegriffen oder unmittelbar mit einem Angriff bedroht wird, so ist der Angegriffene und jeder andere berechtigt, den Angriff in einer den Umständen angemessenen Weise abzuwehren. Bei einer Strafklage ist die Polizei verpflichtet, den Fall zu untersuchen. Nur dauert das in der Praxis manchmal so lange, dass schon ein Schaden entsteht der durch eine Verurteilung des Täters nicht behoben wird. Und viele Probleme kann man durch eine direkte Auseinandersetzung mit dem Täter besser lösen, als mit einem Strafprozess.
