Datenrisiken im rechtsfreien Raum

Mit Daten Geld verdienen – dieses Geschäftsmodell ist längst keine Seltenheit mehr. Einige der größten Unternehmen der Welt machen mit der Monetarisierung von Daten Milliardengewinne. Doch während Rechte an Eigentum, Sachen oder Grundstücken seit Jahrhunderten klar geregelt sind, steht bei der Frage nach dem Recht auf wirtschaftliche Nutzung von Daten weiterhin ein großes juristisches Fragezeichen.

Denn verschiedene Unternehmen sammeln sekündlich, bewusst, offen oder anonymisiert, etliche Daten. Drei Beispiele:

• Ein Vermieter gibt die Daten aus seinen Mietwagen anonymisiert an einen Hersteller von Navigationsgeräten weiter.
• Ein Hersteller einer Maschine verbaut Sensoren, die den Verschleiß messen. Diese Daten verkauft er an Hersteller von Zulieferteilen, die auf dieser Grundlage ihre Produkte optimieren.
• Ein Vermieter von elektrischen Rollern entwickelt anhand der Fahrprofile seiner Nutzer Strategien für die Platzierung der aufgeladenen Roller.

Jedes Unternehmen ist Teil der digitalen Welt

Weil mittlerweile jedes Unternehmen für die interne und externe Kommunikation E-Mails nutzt und viele Präsenzen auf Netzwerken wie Facebook, Instagram, Twitter oder Linkedin pflegen, sind sie alle ein Teil der digitalen Welt.
Durch die zunehmende Vernetzung verschiebt sich die Wertschöpfung von materiellen Produkten – Gütern, die man anfassen und benutzen kann – hin zu immateriellen – etwa digitale Services oder Softwarelösungen. Ist diese Entwicklung in Zeiten stetiger Digitalisierung nur sinnvoll und folgerichtig, setzen sich Unternehmen dadurch dennoch stärker der Cyberkriminalität aus. Während Cyberrisiken in den Unternehmen schon gesteigerte Beachtung geschenkt wird, bleiben Datenrechte heute noch zunehmend unbeachtet. Wenn ein Unternehmen sich die Rechte an den Daten nicht vertraglich sichert, erhält beziehungsweise behält es möglicherweise nicht die wirtschaftlichen Verwertungsrechte an ihnen. Beispielsweise kann das Unternehmen die Daten dann nicht mehr weiterverkaufen, weil sie nicht lizenzfähig sind. Zudem können die Empfänger der Daten sie unter Umständen straflos an Dritte weitergeben oder ins Internet stellen, weil die Daten unter juristischen Gesichtspunkten wertlos sind.

Verschiedene Gesetze – doch keines passt komplett

Ein Kernproblem hierbei ist, dass es in Deutschland noch keine übergeordneten rechtlichen Regelungen zum Umgang mit Daten gibt. Das bedeutet zum Beispiel: Wenn nach einem Cyberangriff Unternehmensdaten an die Öffentlichkeit geraten, kann der Hacker für seine Aktion belangt werden – jeder, der in den Besitz der Daten kommt und sie einfach selbst verwendet, allerdings nicht.

Es gibt im deutschen Recht verschiedene Gesetze, die den Schutz von Daten regeln sollen. Allerdings sind diese Gesetze nicht adäquat, da sie nur spezielle Arten von Daten in bestimmten Situationen schützen:

• Das Datenschutzgesetz schützt nur personenbezogene Daten – es ist unbrauchbar für anonymisierte Daten oder Big Data. Außerdem schützt es nur die Verbraucher vor einem Missbrauch ihrer Daten. Darüber, wer die Daten wirtschaftlich verwerten darf, sagt das Gesetz nichts aus.
• Das Eigentumsrecht am Speichermedium schützt den Server-Besitzer, nicht jedoch die Daten auf dem Server.
• Das Urheberrecht bietet keinen Schutz der Daten selbst, sondern es schützt lediglich geistige Schöpfungen des Urhebers. Daten enthalten regelmäßig keine solche kreativen Schöpfungen.
• Das Geschäftsgeheimnisgesetz kann eingreifen – aber eben nur, wenn das Unternehmen die Daten ordentlich geschützt hat, und dazu gehört auch eine vertragliche Regelung, wer die Rechte an den Daten hält.

Vor diesem Hintergrund ist es eminent wichtig, dass der Gesetzgeber künftig klare Richtlinien schafft, wie mit den Daten umgegangen wird.

Rechtlicher Rahmen würde Datenaustausch begünstigen

Der Trend, den derzeit weitgehend rechtsfreien Raum der Datennutzung auch in der Zukunft nicht zu reglementieren, ist besorgniserregend. Vielmehr würde eine klare Regelung den Unternehmen Rechtssicherheit geben und sie so zu einem regeren Austausch von Daten auf Basis geltenden Rechts animieren. Deshalb ist die von der Politik geäußerte Befürchtung unbegründet, eine entsprechende Regelung würde vermeintliche Datenmonopole begünstigen und den Austausch von Daten behindern. Die Strategie der EU-Kommission setzt – auch im Hinblick auf eine Positionierung gegenüber den USA und China – ganz klar auf den Datenaustausch und möchte einen Rechtsrahmen schaffen, der diesen Austausch erleichtert. Wie der Rahmen genau ausgestaltet ist, ist jedoch noch unklar.

Unternehmen müssen selbst tätig werden

Solange dieser rechtliche Rahmen nicht existiert, müssen Unternehmen ihre eigenen Maßnahmen treffen. Ihre Daten sollten einerseits mit den richtigen Werkzeugen geschützt werden. Das reicht von einer Antivirussoftware und geschulten Mitarbeitern, um Cyberangriffe abzuwehren, bis hin zu einem Warn- und Incident Response System für den etwaigen Fall, dass Cyberkriminelle die Schutzmechanismen aushebeln.
 
Andererseits sollten Unternehmen ihre Daten rechtlich schützen und mit ihren Partnern vertraglich vereinbaren, wie die Daten benutzt und bearbeitet werden dürfen. Dann erst herrscht auch ohne Gesetze für beide Seiten rechtliche und Datensicherheit.

Bildquelle: Getty Images/iStock/Getty Images Plus