Ausspähen von Daten: Zuordnung von Daten an einen Berechtigten > Cybercrime Blog

Im Rahmen eines zivilrechtlichen Streits konnte sich das Oberlandesgericht des Landes Sachsen-Anhalt (6 U 3/14) zur Zuordnung von Daten an einen Berechtigten äußern, was insbesondere für die Annahme einer Strafbarkeit wegen Ausspähen von Daten (§202a StGB) von Bedeutung ist.

Es ging – konzentriert – um Messdaten, die durch ein Messsystem zur Geschwindigkeitsmessung erzeugt werden und die Frage, wer hier Zugriffsberechtigt ist. Das OLG führt sehr sauber und Nachvollziehbar aus, dass auch bei einem vollautomatischen Messsystem die Erzeugung der Daten („Skripturakt“) durch die Bedienung zu Stande kommt und nicht durch das System selber. Der Berechtigte an den Daten ist damit in erster Linie derjenige, der das System benutzt, nicht der Hersteller des Systems, auch wenn auf dessen Funktionen letztlich zurückgegriffen wird.

Aus der Entscheidung:

Die Zuordnung von Daten an einen Berechtigten wird im Bereich des Strafrechts grundsätzlich danach beurteilt, wer die Speicherung oder Übermittlung der Daten initiiert hat (BayObLG, Urt. v. 24. Juni 1993 – 5 St RR 5/93 – zitiert nach juris, Rn. 24). Welp hat dafür den Begriff des „Skripturakts“ geprägt (Jürgen Welp, jur 1988, 443, 447). Der Skripturakt besteht in der Eingabe der zu speichernden oder zu übermittelnden Daten in eine Datenverarbeitungsanlage. Dies kann unmittelbar über die Konsole des Geräts, automatisch durch programmierte Funktionen des Rechners oder durch die selbsttätige Einspeisung anderweitig erzeugter Messwerte oder sonstiger Daten erfolgen. Dateninhaber ist damit zunächst derjenige, der die Daten erzeugt, also ihre Speicherung selbst unmittelbar bewirkt hat, sei es durch Eingabe der Daten, sei es durch den Start eines selbsttätig speichernden Programms oder durch Bewirkung der Einspeisung externer Daten (Welp a.a.O.). Das gilt auch für profan-physische Akte, wie dem Betreiben einer Mikrowelle mit Datenspeicher oder dem Auslösen einer Digitalkamera (Thomas Hoeren, Dateneigentum, MMR 2013, S. 486, 488).

Nach diesen Grundsätzen ist entgegen ihrer Ansicht nicht die Klägerin die Skribentin der Messrohdaten, sondern allein der Messbeamte bzw. dessen Auftraggeber, die entsprechende Polizeibehörde. Denn nicht die Klägerin hat die Messrohdaten erzeugt, sondern der Messbeamte, der das Geschwindigkeitsmessgerät bedient und dabei mittels der durch die Klägerin zur Verfügung gestellten Programmautomatik die Messdaten abgespeichert hat. Diese Messdaten befanden sich zum Zeitpunkt des Erwerbs der Messanlage nicht auf dem Gerät, sondern sind erst durch die bestimmungsgemäße Verwendung dessen ohne weiteres Zutun der Klägerin erzeugt worden. Allein aus dem Umstand, dass die Klägerin ein Gerät zur Datenerzeugung verkauft hat, kann nicht deren Berechtigung an den damit erzeugten Daten abgeleitet werden. Daran ändert auch der Umstand nichts, dass, wie das Landgericht zutreffend ausgeführt hat, das Geschwindigkeitsmessgerät so programmiert ist, dass die erzeugten Rohdaten sogleich verschlüsselt oder anderweitig gegen den Zugriff durch den Verwender des Geräts gesichert werden.

Soweit die Klägerin einwendet, dass in Literatur und Rechtsprechung anerkannt sei, dass die Überlassung von Daten auf einem Datenträger zur Nutzung nicht automatisch die Berechtigung zum Auslesen oder gar Verändern beinhalte, ist dies zwar zutreffend, vorliegend aber irrelevant. Denn die Messrohdaten sind zum Zeitpunkt der Überlassung der Geschwindigkeitsmessanlage noch gar nicht erzeugt und können demnach der erwerbenden Stelle auch nicht überlassen worden sein. Auch der Hinweis auf das Zitat von Graf (Münchner Kommentar, StGB, 2. Auflage, Rn. 26 zu § 202a): „Verfügungsberechtigter Dateninhaber ist demzufolge zunächst derjenige, der die Daten in einem „Skripturakt“ erzeugt, also ihre Speicherung selbst unmittelbar bewirkt“ verhilft der Argumentation der Klägerin nicht zum Erfolg. Nicht die Klägerin, sondern der Messbeamte betätigt das Geschwindigkeitsmessgerät und bewirkt dadurch die Speicherung der bei der Geschwindigkeitsmessung erzeugten Daten. Dies geschieht auch nicht etwa in einem Auftragsverhältnis mit der Klägerin. Die Klägerin steht in keiner Beziehung zu den erhobenen Daten, sie hat lediglich das zur Datenerzeugung erforderliche Gerät hergestellt und verkauft.

Letzteres ist auch der entscheidende Unterschied zu den Daten auf Bank- oder ec-Karten, die die Klägerin ebenfalls als Argument dafür heranzieht, dass allein sie berechtigt sei, über die Messdaten zu verfügen. Soweit bei der Ausgabe von Geldkarten an den jeweiligen Kontoinhaber bereits Daten auf dem entsprechenden Magnetstreifen oder Chip vorhanden sind, wie beispielsweise die Kontonummer, steht außer Frage, dass die Bank die Skribentin und damit Verfügungsberechtigte dieser Daten ist, denn sie hat die Daten vor der Ausgabe der Karten darauf gespeichert. Insofern geht auch der Hinweis auf die Entscheidung des Bayerischen Obersten Landesgerichts vom 24. Juni 1993 (a. a. O.) fehl. Dieser Entscheidung lag zugrunde, dass der Inhaber einer ec-Karte die auf dem Magnetstreifen gespeicherte Kontonummer durch eine andere ersetzt hatte. Mit der Begründung, dass verfügungsberechtigter Dateninhaber die Sparkasse gewesen sei, weil sie die Daten auf dem Magnetstreifen erzeugt habe, wurde der Angeklagte u. a. wegen Datenveränderung gemäß § 303a StGB verurteilt. Auch in diesem Falle waren somit die zu beurteilenden Daten bei der Übergabe des Speichermediums bereits erzeugt und abgespeichert. Die Problematik dieses Falles lag abweichend von hiesigem Fall darin, dass die Sparkasse das Speichermedium (ec-Karten) mitsamt der gespeicherten Daten an den Kontoinhaber weitergegeben hatte, so dass ab diesem Zeitpunkt der Inhaber der Daten nicht mehr mit dem Inhaber des Speichermediums identisch war. Das Bayerische Oberste Landesgericht hat demzufolge diskutiert, wem die Verfügungsbefugnis über die Daten seit dem Zeitpunkt der Übergabe zusteht. Darauf kommt es vorliegend jedoch nicht an, weil die Messdaten im Zeitpunkt der Übergabe noch nicht auf dem Messgerät vorhanden waren.

Aber auch soweit Graf (a. a. O.) die Daten aus dem Fehlversuchsspeicher und Abhebungsdaten von ec-Karten, und damit auch nachträglich erzeugte Daten, der Bank zuordnet, ist dies nicht auf vorliegenden Fall übertragbar.

ec- und Bankkarten bleiben nach den Vertragsbedingungen regelmäßig im Eigentum der entsprechenden Bank (vgl. z.B. Nr. A II.4 der Sonderbedingungen der BankCard ec und der SpardaBankCard, Nr. A II.3 der Bedingungen für die Sparkassen-Kundenkarte, Nr. A II.4 der Bedingungen für die Debitkarten der Deutschen Bank AG). Fallen die Vornahme des Skripturaktes (hier: Veranlassung der Speicherung von Fehleingaben durch den Benutzer der ec-Karte) und die Innehabung des Medieneigentums auseinander, ist zu unterscheiden, ob der Skripturakt mit oder ohne den Willen des Medieneigentümers erfolgt. Ist der Eigentümer – wie im Falle der ec-Karte – mit der Benutzung und Datenerzeugung einverstanden, so kommt es darauf an, wem die Verfügung über die Daten nach dem Sinn der getroffenen Vereinbarung zustehen soll (Welp a. a. O.). Nach den Vertragsbedingungen sind Banken und Sparkassen regelmäßig berechtigt, ec-Karten für den Fall des Verdachts eines nicht autorisierten oder betrügerischen Gebrauchs zu sperren (vgl. z.B. Nr. A II 5 (1) der BankCard ec und der SpardaBankCard, Nr. A II.4 (1) der Bedingungen der Sparkassen-Kundenkarte, Nr. A II.5 (1) der Bedingungen für die Debitkarten der Deutschen Bank AG). Somit steht die Verfügungsbefugnis für entsprechende Daten der Bank zu.