Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Weiterzüge (bis 31.08.2023) 26.06.2009

Eidgenössischer Datenschutz- und Öffentlichkeitsbea uftragter EDÖB Der Beauftragte

Feldeggweg 1, 3003 Bern Tel. 031 323 74 84, Fax 031 325 99 96 www.edoeb.admin.ch

CH-3003 Bern , EDÖB, MS Einschreiben (R) mit Rückschein Bundesgericht 1000 Lausanne 14

Ihr Zeichen: Unser Zeichen: A2009.06.03-0001 / MS Sachbearbeiter/in: Marc-Frédéric Schäfer Bern, 26.06.2009

Beschwerde in öffentlich-rechtlichen Angelegenheite n (Art. 82 ff. BGG)

des

Eidgenössischen Datenschutz- und Öffentlichkeitsbea uftragten (EDÖB) Feldeggweg 1, 3003 Bern (Kläger und Beschwerdeführer)

gegen

Logistep AG, Sennweidstrasse 45, 6312 Steinhausen (Beklagte und Beschwerdegegnerin)

vertreten durch RA Ursula Sury, Die Advokatur Sury, Alpenquai 4, Postfach, 6002 Luzern

in der Sache

Empfehlung des EDÖB vom 09. Januar 2008

Betreffend

die Bearbeitung und Weitergabe von elektronischen D atenspuren durch die Logistep AG im Auftrag von Urheberrechtsi nhabern.

2/12

I. Begehren

1. In Abänderung der relevanten Erwägungen des Urteils des Bundesverwaltungsgerichts sei die Beklagte und Beschwerdegegnerin anzuweisen, ihre Datenbearbeitung unverzüglich einzustellen und es sei ihr jegliche Weitergabe von gesammelten Peer-to-Peer Daten an die Urheberrechtsinhaber zu untersagen.

2. Unter Kosten und Entschädigungsfolge zu Lasten der Beklagten und Beschwerdegegnerin.

II. Begründung

1. Formelles 1 Die vorliegende Beschwerde erfolgt rechtzeitig innert der 30-tägigen Frist seit Zustellung des angefochtenen Urteils. Beweis: Urteil des Bundesverwaltungsgerichts (A-3144/2008) vom 27. Mai 2009 Mit dem Entscheid vom 27. Mai 2009 (A-3144/2008) hat das Bundesverwaltungsgericht einen Entscheid im Sinne von Art. 90 des Bundesgerichtsgesetzes (BGG, SR 173.110) gefällt, der das Verfahren abschliesst. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist gemäss Art. 29 Abs. 4 des Bundesgesetzes über den Datenschutz (DSG, SR 235.1) berechtigt, gegen diesen Entscheid Beschwerde zu führen. Mit der Beschwerde rügt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die Verletzung von Bundesrecht, namentlich die falsche Auslegung der Bestimmungen des DSG (Art. 9 der Bundesverfassung der Schweizerischen Eidgenossenschaft [BV; SR 101]) sowie die unvollständige Würdigung des Sachverhaltes.

2. Materielles 2 Der Sachverhalt und der bisherige Prozessverlauf kann kurz wie folgt zusammengefasst werden: Die Logistep AG (Beklagte und Beschwerdegegnerin) sucht im Auftrag von Urheberrechtsinhabern mittels einer von ihr entwickelten Software in verschiedenen Peer-to-Peer-Netzwerken (nachfolgend P2P-Netzwerk) nach angebotenen urheberrechtlich geschützten Werken und lädt die dort angebotenen Werke herunter. Hierbei werden ein Teil der zur Herstellung und Aufrechterhaltung der Internetverbindung relevanten technischen Protokolldaten aufgezeichnet und in einer Datenbank abgespeichert. Diese Daten werden dann im Rahmen eines Strafverfahrens zur Identifikation des mutmasslichen Urheberrechtsverletzers verwendet, um ihn letztendlich mit Schadensersatzforderungen zu konfrontieren. Nach einer Sachverhaltsabklärung ist der EDÖB (Kläger und Beschwerdeführer) zu dem Schluss gelangt, dass die Art und Weise, wie die Logistep AG die Daten bearbeitet, um Urheberrechtsverletzungen zu ahnden, gegen das Bundesgesetz über den Datenschutz verstösst (DSG, SR 235.1). Aus diesem Grund hat der EDÖB am 09. Januar 2008 eine Empfehlung an die Logistep AG erlassen und – weil sie durch die Logistep AG am 14. Februar 2008 abgelehnt wurde – am 13. Mai 2008 Klage beim Bundesverwaltungsgericht angehoben. Mit Entscheidung vom 27. Mai 2009 hat das Bundesverwaltungsgericht die Klage abgewiesen.

3/12

Relevante Erwägungen des Bundesverwaltungsgerichts

3 Das Bundesverwaltungsgericht hält fest, dass es sich bei der Bearbeitung der relevanten technischen Protokolldaten (u.a. „Internetworking Protocol Adress“; IP-Adresse) um Persondaten im Sinne des DSG handelt (Erwägung 2.2.4 des Bundesverwaltungsgerichts). Zudem bejaht es die sachliche und räumliche Zuständigkeit des EDÖB im vorliegenden Fall. Daher ist gemäss Bundesverwaltungsgericht auf die frist- und formgerecht eingereichte Klage einzutreten (Erwägung 5.2).

4 In den Erwägungen 10 hält das Bundesverwaltungsgericht fest, dass die Beklagte bei der Bearbeitung der IP-Adressen regelmässig das Zweckmässigkeitsprinzip (Art. 4 Abs. 3 DSG) verletzt. Dies wird damit begründet, dass die Aufzeichnung der entsprechenden Daten ohne Wissen der betroffenen Adressinhaber geschieht. Selbst wenn vereinzelt darauf aufmerksam gemacht werden sollte, dass „Anti-P2P-Firmen Daten loggen“, könne dabei keineswegs von einer Angabe des Datenbeschaffungszwecks durch die Bearbeiterin gesprochen werden. Das Bundesverwaltungsgericht stellt sogar fest, dass das Vorgehen der Beklagten ausschliesst, dass dem IP- Adressinhaber im Moment der Beschaffung angegeben wird, wozu seine Daten gespeichert werden und das Vorgehen der Beklagen darauf abzielt, dass die Benutzer des P2P-Netzwerks ihre Absichten nicht frühzeitig erkennen (Erwägung 10.3.2). Damit kommt das Bundesverwaltungsgericht zu demselben Schluss wie der EDÖB, dass nämlich bei der Datenbearbeitung durch die Logistep AG das Zweckmässigkeitsprinzip (Art. 4 Abs. 3 DSG) und das Erkennbarkeitsprinzip (Art. 4 Abs. 4 DSG) verletzt ist und mithin eine Persönlichkeitsverletzung vorliegt (Erwägungen 11.4).

5 In den Erwägungen 12 überprüft das Bundesverwaltungsgericht, ob im Sinne von Art. 13 DSG Rechtfertigungsgründe für die Datenbearbeitung vorliegen. Es stellt fest, dass die Daten gerade objektiv notwendig seien, um die vermuteten Urheberrechtsverletzer identifizieren und anschliessen gegen diese vorgehen zu können. Demgegenüber erscheint dem Bundesverwaltungsgericht der Eingriff in die Persönlichkeitsrechte der betroffenen Personen nicht ausgesprochen schwerwiegend. Daher erscheine es bei dieser Ausgangslage weder missbräuchlich noch unverhältnismässig, technische Daten zu sammeln, um mit diesen die Verletzer zu identifizieren. Trotz der klaren Verletzung des Zweckmässigkeitsprinzips und des Erkennbarkeitsprinzips sowie dem Vorliegen einer Persönlichkeitsverletzung kommt das Bundesverwaltungsgericht daher zum Schluss, dass für die Sammlung der Daten ausreichende überwiegende private und öffentliche Interessen vorliegen, welche diese rechtfertigen. Damit ist die Datenbearbeitung nicht als widerrechtlich einzustufen. Beschwerden des EDÖB

6 Der EDÖB legt gegen dieses Urteil des Bundesverwaltungsgerichts Beschwerde ein und rügt die beiden nachfolgenden wesentlichen Mängel: 1. Das Bundesverwaltungsgericht hat geltendes Bundesrecht, namentlich Art. 12 Abs. 2 lit. a DSG, falsch angewendet. Es hat entgegen dem Sinn und Wortlaut von Art. 12 Abs. 2 lit. a DSG („Er [der Datenbearbeiter] darf insbesondere nicht Personendaten entgegen den Grundsätzen von Art. 4, 5 Absatz 1 und 7 Absatz 1 [DSG] bearbeiten“) geurteilt. Nach systematischer, teleologischer und grammatikalischer Auslegung, sind keine Verstösse gegen die Grundsätze der Datenbearbeitung mehr möglich. Die Rechtsauslegung des Bundesverwaltungsgerichts widerspricht daher dem DSG (Art. 9 BV).

2. Das Bundesverwaltungsgericht hat den Sachverhalt unvollständig in seine Erwägungen mit einbezogen und wesentliche Aspekte für die Beurteilung, ob die Grundsätze der Datenbearbeitung gemäss Art. 4 DSG eingehalten wurden, entweder gar nicht oder nur teilweise be-

4/12

trachtet. Daher sind aus Sicht des EDÖB bereits die Erwägungen zum Zweckmässigkeitsprinzip und zum Erkennbarkeitsprinzip unvollständig.

Begründung der Beschwerde

7 Im Schweizerischen Zivilgesetzbuch (ZGB, SR 210) wird in Art. 28 der Schutz natürlicher und juristischer Personen vor persönlichkeitsverletzenden Beeinträchtigungen durch Dritte geregelt. Hieraus ergibt sich implizit ein Verbot unerlaubter Eingriffe in die Persönlichkeit anderer. Bei der Beurteilung, ob eine widerrechtliche Persönlichkeitsverletzung vorliegt empfiehlt sich in methodischer Hinsicht eine zweistufige Vorgehensweise1. In einem ersten Schritt sollte geprüft werden, ob eine Persönlichkeitsverletzung in dem Sinne vorliegt, dass ein Verhalten eines Dritten ein Persönlichkeitsgut des Betroffenen verletzt und wenn ja, ob das Handeln grundsätzlich als widerrechtliche einzustufen ist. In einem zweiten Schritt sollte geprüft werden, ob die Widerrechtlichkeit der Persönlichkeitsverletzung durch das Vorliegen eines Rechtfertigungsgrundes aufgehoben wird. Bei der Überprüfung, ob eine persönlichkeitsverletzende Datenschutzverletzung vorliegt, wurde in der Vergangenheit auch auf diese Methode zurückgegriffen. Da sie allerdings speziell im Bereich Datenschutz (wie nachfolgend aufgeführt) immer wieder zu Problemen geführt hat, wurde das Bundesgesetz über den Datenschutz mit der Revision vom 01. Januar 2008 angepasst, um diesen in der Praxis auftauchenden Problemen Rechnung zu tragen.

Zu 1: Auslegung von Art. 12 Abs. 2 DSG 8 Das Verhältnis zwischen den Grundsätzen der Datenbearbeitung (Art. 4 bis 7 DSG), Art. 12 DSG (Persönlichkeitsverletzung) und Art. 13 DSG (Rechtfertigungsgründe) gab bereits vor der Revision des DSG mehrfach Anlass zu Diskussionen. Auch existiert in der herrschenden Lehre keine einheitliche Meinung im Hinblick auf die Auslegung von Art. 12 Abs. 2 lit. a DSG. Der EDÖB identifiziert in der herrschenden Lehre insgesamt vier verschiedene Auslegungsvarianten im Verhältnis zwischen den oben genannten Artikel.

9 Sowohl nach der Vorversion des Datenschutzgesetzes (Stand 22. November 2006) als auch nach neuem Datenschutzgesetz (Stand 01. Januar 2008) darf gemäss Art. 12 Abs. 1 DSG, wer Personendaten bearbeitet, dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Dieser Grundsatz wird in Art. 12 Abs. 2 DSG konkretisiert. In diesem Rahmen sind sowohl nach Wortlaut des DSG vor der Revision vom 01. Januar 2008 als auch nach Wortlaut des DSG nach der Revision vom 01. Januar 2008 jeweils zwei Interpretationsvarianten möglich. Die in der herrschenden Lehre diskutierten vier Interpretationsvarianten werden nachfolgend dargestellt und verglichen.

Das Datenschutzgesetz vor der Revision vom 01. Januar 2008

10 Der Wortlaut von Art. 12 Abs. 2 lit. a der alten Version des Bundesgesetzes über den Datenschutz (Stand 22. November 2006; aDSG) besagt: „Er darf insbesondere nicht ohne Rechtfertigungsgrund Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten“. Dieser Wortlaut liess insgesamt die nachfolgenden beiden in der Lehre vertretenen Interpretationsmöglichkeiten zu:

Interpretationsvariante 1:

11 Mitunter wurde die Meinung vertreten, dass gemäss Art. 12 Abs. 2 lit. a aDSG zu überprüfen sei, ob für die Datenbearbeitung Rechtfertigungsgründe gemäss Art. 13 aDSG insgesamt vorliegen würden. Demnach könnte nach dieser Meinung eine Verletzung einzelner Grundsätze der Datenbearbeitung auch dann gerechtfertigt werden, wenn ein Rechtfertigungsgrund für die Datenbearbeitung insgesamt vorliegt.

1 E. AEBI-MUELLER; in M. Amstutz, et. al; Handkommentar zum Schweizer Privatrecht; zu Art. 28 ZGB; Rz. 29

5/12

12 Nach Meinung des EDÖB war eine solche Interpretation gemäss dem Wortlaut des aDSG theoretisch denkbar. Er hat sie jedoch abgelehnt. Hätte man nämlich das aDSG in dieser Art ausgelegt, so wäre es möglich gewesen, jegliche Art der Datenbearbeitung (unabhängig von der Art und Weise der Bearbeitung, insbesondere der Erhebung der Daten) alleine damit zu rechtfertigen, dass für die Bearbeitung der Daten insgesamt ein Rechtfertigungsgrund vorliegt. Beispielsweise dürften nach dieser Interpretation Daten auch immer dann geheim bearbeitet werden, wenn bloss ein Rechtfertigungsgrund zur Datenbearbeitung, nicht aber ein Rechtfertigungsgrund zur geheimen Datenbearbeitung vorliegt. Auch eine nachträgliche Änderung des Bearbeitungszwecks wäre nach dieser Interpretation möglich, ohne dass die betroffene Person hierüber Kenntnis hätte oder dass um ihr Einverständnis gefragt würde, wenn ein Rechtfertigungsgrund für den neuen Bearbeitungszweck vorläge.

13 Eine solche Auslegung widerspricht nach Meinung des EDÖB dem Recht auf informationelle Selbstbestimmung der betroffenen Person und damit dem in Art. 1 aDSG beschriebenen Zweck des Bundesgesetzes über den Datenschutz. Da eine geheime Datenbearbeitung möglich wäre, hätten die betroffenen Personen folglich auch keine Kenntnis von der Datenbearbeitung. Dies hätte zu Folge, dass sie mangels Kenntnis ihr Auskunftsrecht gemäss Art. 8 DSG nicht mehr gehörig geltend machen könnten. Ausserdem wäre die Überprüfung ob eine Datenbearbeitung dem DSG entspricht auf die Prüfung reduziert, ob ein Rechtfertigungsgrund für das Sammeln und das Bearbeiten der Daten vorliegt. Dies würde die in Art. 4 DSG festgehaltenen Grundsätze der Datenbearbeitung obsolet machen. Eine solche Interpretation ist daher nach systematischer und teleologischer Auslegung abzulehnen. Zudem hat das Bundesgericht im Rahmen der Beurteilung von widerrechtlichen Persönlichkeitsverletzungen im Rahmen von Art. 28 des Schweizerischen Zivilgesetzbuches (ZGB; SR 210) eine solche Interpretation abgelehnt (BGE 97 II 97, S. 106 f.; Erwägung 4d).

Interpretationsvariante 2:

14 Die Literatur2 hat in der Auslegung des aDSG die Meinung vertreten, dass ein Verstoss gegen die Grundsätze der Datenbearbeitung nur dann möglich sein soll, wenn für jeden einzelnen Verstoss gegen einen Grundsatz Rechtfertigungsgründe angefügt werden können. In diesem Rahmen wurden die Grundsätze der Datenbearbeitung in einem ersten Schritt überprüft. In einem zweiten Schritt wurde dann geprüft, ob Rechtfertigungsgründe für die Verletzung des jeweiligen Grundsatzes vorliegen, um im dritten Schritt zu entscheiden, ob insgesamt eine widerrechtliche Persönlichkeitsverletzung stattgefunden hat.

15 So wäre es zum Beispiel denkbar, eine Verletzung des Erkennbarkeitsprinzips damit zu rechtfertigen, dass der Bearbeitungszweck nicht erreicht werden könnte, wenn die Daten nicht geheim erhoben werden. Als Beispiel kann hier die Marktforschung aufgeführt werden. Da die Kenntnis, dass das Konsumverhalten eines Probanden analysiert wird, bereits einen Einfluss

2 DAVID ROSENTHAL; in: David Rosenthal, Yvonne Jöhri; Handkommentar zum Datenschutzgesetz; zu Art. 12 Abs. 2 DSG; Ziff. 19-23 und Art. 13 Abs. 1 DSG Ziff. 6-19; RAMPINI CORRADO; in: Maurer-Lambrou Urs et al. (Hrsg.), Kommentar zum Schweizerischen Datenschutzgesetz, 2. auflage, Basel 2006, Art. 13 DSG N. 24; AEBI-MÜLLER REGINA E., Personbezogene Informationen im System des zivilrechtlichen Persönlichkeitsschutzes: Unter besonderer Berücksichtigung der Rechtslage in der Schweiz und in Deutschland, Abhandlungen zum schweizerischen Recht Heft 710, Bern 2005, S. 277 und f.; WEBER ROLF H., E-Commerce und Recht: Rahmenbedingungen elektronischer Geschäftsformen, Zürich 2001; JACCARD MICHEL, La protection des données sur Internet en droit suisse, Lex Electronica, vol. 6/n°2 2001, Nr. 28 http://www.lex-electronica.org/articles/v6-2/jaccard.htm; WALTER JEAN- PHILIPPE, La protection des données dans le cyberespace, Medialex 2000/2, S. 92; BRUN ALAIN, La directive eurpéenne relative à la protection des données: convergences et divergences avec le droit suisse, in: Epiney Astrid/Freiermuth marianne (Hrsg.), Datenschutz in der Schweiz und in Europa, Freiburg 1999; PAGE GÉRALD, Le droit de l’informatique, Fiches juridiques suisses 1405, Genève 1996; HÜNIG MARKUS, in: Maurer-Lambrou Urs/Vogt Nedim Peter (Hrsg.), Kommentar zum Schweizerischen Datenschutzgesetz, Basel 1995, Art. 12 DSG N. 10; STEINAUER PAUL-HENRI, Le droit privé matériel, in: Gillard Nicolas (Hrsg.), La nouvelle loi fédérale sur la protection des données, publication CEDIDAC 28, Lausanne 1994, p. 102 ff.

6/12

auf sein Kaufverhalten hat und damit die Forschungsergebnisse beeinflusst werden, ist es notwendig die Daten in einem ersten Schritt ohne das Wissen des Probanden heimlich zu erheben. Würde dies nicht gemacht, könnte diese Forschungsmethode nicht oder nur eingeschränkt eingesetzt werden. In einem solchen Fall könnte eine Datenbearbeitung, die gegen den Grundsatz des Erkennbarkeitsprinzips verstösst, gemäss Art. 12 Abs. 2 lit. a aDSG gerechtfertig werden.

16 Eine solche Auslegung ist nach Meinung des EDÖB im Einklang mit dem aDSG. Allerdings ist hierbei strikt darauf zu achten, dass für jede einzelne Verletzung eines jeden Grundsatzes der Datenbearbeitung ein Rechtfertigungsgrund gemäss Art. 13 DSG vorliegt (vgl. hierzu auch BGE 97 II 97). Es ist nach Meinung des EDÖB nicht möglich, Verletzungen der Grundsätze der Datenbearbeitung einzig und alleine damit zur rechtfertigen, dass ein Rechtfertigungsgrund für die Bearbeitung der Daten vorliegt.

Das Datenschutzgesetz nach der Revision vom 01. Januar 2008

17 Der Wortlaut von Art. 12 Abs. 2 lit. a des Bundesgesetzes über den Datenschutz (Stand 01. Januar 2008; DSG; SR 235.1) besagt: „Er darf insbesondere nicht Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten“. In der aktuellen Version des DSG ist es daher nicht mehr möglich, Rechtfertigungsgründe für eine Verletzung gegen die Grundsätze anzubringen. Aus diesem Grund sind die Interpretationsvarianten 1 und 2 auf das aktuell geltende DSG nicht mehr anwendbar. Obengenannter Wortlaut des aktuellen DSG lässt insgesamt nur noch die nachfolgenden beiden Interpretationsmöglichkeiten zu:

Interpretationsvariante 3:

18 Eine Verletzung der Grundsätze der Datenbearbeitung ist nicht mehr möglich. Aus diesem Grund wird in der Literatur3 die Meinung vertreten, dass die Grundsätze der Datenbearbeitung (insbesondere das Erkennbarkeitsprinzip) weit auszulegen sind. Bei der weiten Auslegung der Datenschutzgrundsätze muss daher in die Erwägungen mit einbezogen werden, ob und in wieweit die betroffene Person mit einer solchen Datenbearbeitung hätte rechnen müssen oder hätte rechnen können.

19 Am Beispiel der Marktforschung könnte in diesem Sinne die nachfolgende Argumentationslogik angeführt werden: Da das Risiko besteht, dass ein Kunde sein Kaufverhalten ändert, sobald ihm bekannt ist, dass er dabei beobachtet wird, hat der Marktforscher ein überwiegendes privates Interesse daran, dass er die betroffene Person ohne dessen Kenntnis beobachtet. Da aber der Kunde im weitesten Sinne ebenfalls von der Marktforschung profitiert und unter gewissen Voraussetzungen (z.B. dass die Daten gemäss Art. 13 Abs. 2 lit. e DSG vor der Veröffentlichung anonymisiert werden) grundsätzlich davon ausgegangen werden kann, dass es ihm unter den gegebenen Umständen egal ist, ob und in wieweit sein Verhalten geheim beobachtet wird oder er unter gewissen Voraussetzungen (beispielsweise, weil allgemein informiert wurde, dass innerhalb einer bestimmten Supermarktkette regelmässig „verdeckte“ Marktanalysen durchgeführt werden) sogar mit einer solchen Bearbeitung rechnen musste, kann davon ausgegangen werden, dass entweder an der Erkennbarkeit kein Interesse besteht oder eine solche aus den Umständen heraus gegeben ist.

20 Eine solche Auslegung spiegelt nach Meinung des EDÖB den Willen des Gesetzgebers wider und ist im Einklang mit der aktuellen Fassung des DSG. Allerdings ist bei der weiten Auslegung

3 BONDALLAZ STEPHANE, Le „droit à une télécommunication protégée“ ou la nécessité de reconsidérer la protection de la vie privée dans les environnements numériques, in: Jusletter 25. Februar 2008, Rz 22; Cottier Bertil, La révision de la loi fédérale sur la protection des données: mieux vaut tard que jamais, in: Jusletter 17 Dezember 2007, Rz 37; HUBER RENE, Die Teilrevision des Eidgenossischen Datenschutzgesetzes – ungenügende Pinselrenovation, Recht 2006/6, S. 214 ; Bundesamt für Justiz, Änderung von Art. 12 Abs. 2 Bst. A DSG: Auslegungshilfe, http://www.ejpd.admin.ch/ejpd/de/home/themen/staat_und_buerger/ref_gesetzgebung/ref_abgeschlossene_proje kte0/ref_datenschutz.html.

7/12

der Datenschutzgrundsätze stets darauf zu achten, dass diese nicht zu ausufernd ist und die schützenswerten Interessen aller Betroffenen in die Abwägungen angemessen einfliessen.

Interpretationsvariante 4:

21 Nach der Interpretationsvariante 44 ist ebenfalls keine Verletzung der Grundsätze der Datenbearbeitung möglich. Werden allerdings die Grundsätze der Datenbearbeitung eng ausgelegt, so kann es zu dem stossenden Ergebnis kommen, dass aufgrund von Art. 12 Abs. 2 lit. a DSG eine Datenbearbeitung nicht erlaubt sein könnte, obwohl der Lebenssachverhalt die Persönlichkeit der betroffenen Person nicht bzw. nicht nennenswert verletzt.

22 Am Beispiel der Marktforschung könnte, daher gemäss dieser Interpretationsvariante festgehalten werden, dass die geheime Datenbearbeitung von der betroffenen Person nicht erkannt wird und somit gegen das Erkennbarkeitsprinzip verstösst (enge Auslegung). Da ein solcher Verstoss gemäss dem Wortlaut Art. 12 Abs. 2 lit. a DSG unzulässig ist, läge damit eine widerrechtliche Persönlichkeitsverletzung vor.

23 Eine solche Interpretation würde zu einer restriktiven Auslegung des Datenschutzgesetzes führen.

Vergleich und Bewertung der Interpretationsvarianten:

24 Den vier verschiedenen Interpretationsvarianten liegen grundsätzlich unterschiedliche angestrebte Datenschutzniveaus zugrunde. Die Interpretationsvariante 1 würde den Datenschutz grösstenteils seines Inhalts berauben, indem Verstösse gegen die Grundsätze der Datenbearbeitung erlaubt würden. Für eine solche Meinung finden sich in der relevanten Literatur keine Hinweise. Die Interpretationsvarianten 2 und 3 führen zu einem Datenschutzniveau, welches im Rahmen der herrschenden Lehre als angemessen angesehen wird. Die Interpretationsvariante 4 führt zu einem Datenschutzniveau, welches im Einzelfall eine erhebliche Einschränkung des Datenbearbeiters zur Folge haben kann. Eine Mindermeinung vertritt in der Literatur diese Interpretationsvariante.

Gleichwertigkeit der Interpretationsvarianten 2 und 3:

25 Bei der Abklärung, ob eine widerrechtliche Persönlichkeitsverletzung vorliegt kommen in beiden Interpretationsvarianten unterschiedliche Vorgehensweisen zur Anwendung, welche nachfolgend im Vergleich kurz dargestellt werden:

Vorgehensweise Interpretationsvariante 2 Vorgehensweise Interpretationsvariante 3

1. Überprüfung, ob eine Verletzung des jeweiligen Grundsatzes der Datenbearbeitung vorliegt (enge Auslegung der Grundsätze der Datenbearbeitung).

2. Überprüfung, ob ein Verstoss gegen den jeweils verletzten Grundsatz der Datenbearbeitung (enge Auslegung) mit einem Rechtfertigungsgrund ge mäss Art. 13 DSG gerechtfertigt wer den kann. 1. Überprüfung ob eine Verletzung des jeweiligen Grundsatzes der Datenbearbeitung vorliegt (weite Auslegung der Grundsätze der Datenbearbeitung,

welche die enge Auslegung und die Rechtfertigungsgründe in die Verhältnismässigkeitsabwägung, ob der jeweilige Grundsatz verletzt ist, mit einschliesst).

4 Wermelinger Amédéo/Schweri Daniel, Teilrevision des Eidgenössischen Datenschutzrechts – Es nützt nicht viel, schadet es etwas?, in: Jusletter 3. März 2008, Rz 41.

2.

8/12

3. Schlussfolgerung ob ein Verstoss gegen den jeweiligen Grundsatz gerechtfertigt werden kann.

3. Schlussfolgerung ob überhaupt ein Verstoss gegen den jeweiligen Grundsatz vorliegt. 4. Feststellung ob eine widerrechtliche Persönlichkeitsverletzung vorliegt. 4. Feststellung ob eine Verletzung des jeweiligen Grundsatzes der Datenbearbeitung und damit eine widerrechtliche Persönlichkeitsverletzung vorliegt.

Im Ergebnis können aber beide Interpretationsvarianten (je nach Auslegung der Rechtfertigungsgründe in der Interpretationsvariante 2 und der Grundsätze der Datenbearbeitung in der Interpretationsvariante 3) immer zum gleichen Ergebnis führen, da grundsätzlich die gleichen Überlegungen in die Überprüfung der Grundsätze einfliessen.

Der Wille des Gesetzgebers 26 Nach 12 Abs. 2 lit. a aDSG waren gemäss dem Gesetzeswortlaut („Er darf insbesondere nicht ohne Rechtfertigungsgründe Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten“) die Interpretationsvarianten 1 und 2 möglich. In der heute gültigen Version von Art. 12 Abs. 2 lit. a DSG („Er darf insbesondere nicht Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten“) sind grundsätzlich nur noch die Interpretationsvarianten 3 und 4 möglich. Dies spiegelt auch den Willen des Gesetzgebers wider, wie dies das Bundesamt für Justiz in seiner Auslegungshilfe vom 10. Oktober 2006 verdeutlich5. Rosenthal6 argumentiert hingegen, dass sich der Gesetzgeber falsch ausgedrückt habe und es sich bei der Streichung der Worte „ohne Rechtfertigungsgrund“ um ein Versehen des Gesetzgebers handle7. Diese Argumentation ist abzulehnen. In der Anwendung des DSG wurde in der Vergangenheit mitunter von der vom Gesetzgeber unerwünschten Interpretationsvariante 1 ausgegangen. Um diese Interpretationsvariante aber bereits vom Gesetz her auszuschliessen, hat der Gesetzgeber die Worte „ohne Rechtfertigungsgrund“ für den Art. 12 Abs. 2 lit. a DSG im Wissen um die Gleichwertigkeit der Interpretationsvarianten 2 und 3 bewusst gestrichen.

Schlussfolgerung: Auslegung von Art. 12 Abs. 2 lit. a DSG

27 In seinem Urteil hat das Bundesverwaltungsgericht die Interpretationsvariante 1 gewählt, welche nach Meinung des EDÖB bereits unter altem Recht nicht dem Willen des Gesetzgebers entsprochen hat und unter dem derzeit geltenden DSG klar gegen den Wortlaut von Art. 12 Abs. 2 lit. a DSG verstösst, welcher keine Rechtfertigungsgründe für eine Verletzung der Grundsätze der Datenbearbeitung zulässt. Damit ist das Urteil des Bundesverwaltungsgerichts als nicht im Einklang mit dem Bundesgesetz vom 01. Januar 2008 über den Datenschutz einzustufen.

28 Würde man der Auslegung (Interpretationsvariante 1) des Bundesverwaltungsgerichts folgen, so würde das Datenschutzniveau der Schweiz erheblich gesenkt. Die Grundsätze der Datenbe-

5 Bundesamt für Justiz, Änderung von Art. 12 Abs. 2 Bst. A DSG: Auslegungshilfe, http://www.ejpd.admin.ch/ejpd/de/home/themen/staat_und_buerger/ref_gesetzgebung/ref_abgeschlossene_proje kte0/ref_datenschutz.html 6 DAVID ROSENTHAL (in: David Rosenthal, Yvonne Jöhri; Handkommentar zum Datenschutzgesetz; zu Art. 4 Abs. 4 DSG; Ziff. 59), der die Meinung vertritt, dass der Gesetzgeber auch im Falle des Erkennbarkeitsgrundsatzes eine Abwägung der Interessen wollte, sich aber falsch ausdrückte, weil er dies nicht als Frage der Rechtfertigung erkannte. Dies sei für private Datenbearbeiter auf dem Wege der Auslegung zu korrigieren. 7 DAVID ROSENTHAL; in: David Rosenthal, Yvonne Jöhri; Handkommentar zum Datenschutzgesetz; zu Art. 12 Abs. 2 DSG; Ziff. 16

9/12

arbeitung würden damit ausgehöhlt und die Beurteilung, ob eine Datenschutzverletzung vorliegt würde auf die Frage reduziert, ob es, unabhängig von den eingesetzten Mitteln (geheime Datenbearbeitung, nachträgliche Zweckänderung, Täuschung bei der Erhebung der Daten, etc.), für die Bearbeitung der Daten einen Rechtfertigungsgrund gibt. In anderen Worten ausgedrückt würde das bedeuten, dass bei der Bearbeitung von personenbezogenen Daten der Zweck der Bearbeitung die Mittel der Bearbeitung heiligt. Frei nach diesem Grundsatz hat das Bundesverwaltungsgericht sein Urteil gefällt, indem es in Erwägungen 12.3.2 auf Seite 27 urteilt: „Vielmehr sind die Daten gerade objektiv notwendig, um die vermuteten Urheberrechtsverletzer identifizieren und anschliessend gegen diese vorgehen zu können. Demgegenüber erscheint der Eingriff in die Persönlichkeitsrechte der betroffenen Personen nicht ausgesprochen schwerwiegend“. Eine solche verkürzte Sichtweise entspricht nicht dem Willen des Gesetzgebers und ist nach Meinung des EDÖB abzulehnen, da keine der Auslegungsprinzipien (grammatikalische, systematische, teleologische) diese Interpretationsvariante stützt.

29 Da dem Urteil des Bundesverwaltungsgerichts in diesem Bereich Leitwirkung zukommt, wären die Folgen einer solchen Interpretation sowohl für die Bürger der Schweiz als auch für die Schweiz selbst folgenschwer. Die Bürger der Schweiz wären in weiten Teilen ihrer Auskunftsrechte gemäss Art. 8 DSG beraubt (siehe Rz. 12). Bei Vorliegen eines Rechtfertigungsgrundes für die Datenbearbeitung wäre aufgrund der verkürzten Sichtweise des Bundesverwaltungsgerichts auch jegliche Art der Datenbearbeitung (zweckwidrig und/oder heimlich) gerechtfertigt. Eine betroffene Person könnte sich gegen eine solche Datenbearbeitung noch nicht einmal zur Wehr setzen, da sie entweder gar nicht weiss, dass Daten über sie bearbeitet werden oder da sich nicht weiss, dass ihre Daten zu einem ganz anderen Zweck bearbeitet werden, als bei der Beschaffung angegeben wurde. Damit würde eine Situation geschaffen, in welcher die informationelle Selbstbestimmung der betroffenen Personen weitgehend aufgehoben würde, was allerdings gerade dem Zweck des Bundesgesetzes über den Datenschutz (Art. 1 DSG) widerspricht.

30 Ganz abgesehen davon, dass gemäss dem Wortlaut von Art. 12 Abs. 2 lit. a DSG („Er darf insbesondere nicht Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten.“) gar keine Rechtfertigungsgründe zugelassen sind, müssten die Interessen aller Beteiligter und der Umfang der Datenbearbeitung durch die Beklagte und Beschwerdegegnerin in die Verhältnismässigkeitsabwägung einfliessen, um letztendlich entscheiden zu können, ob die Datenbearbeitung zulässig ist. Auch hier greift das Bundesverwaltungsgericht zu kurz, indem es behauptet, dass ohne die Sammlung der technischen Informationen eine Verfolgung der Urheberrechtsverletzer nicht möglich wäre. Es führt aus, dass die Daten objektiv notwendig seien, um die vermuteten Urheberrechtsverletzer identifizieren und anschliessend gegen sie vorgehen zu können unabhängig davon, ob diese für ein Strafverfahren oder für ein Zivilverfahren verwendet werden. Im Hinblick auf die Notwendigkeit über diese Daten zu verfügen, erscheine der Eingriff in die Persönlichkeitsrechte der betroffenen Personen nicht ausgesprochen schwerwiegend. Damit sagt das Bundesverwaltungsgericht nichts anderes, als dass der Zweck der Datenbearbeitung (Ahndung von mutmasslichen Urheberrechtsverletzungen) die eingesetzten Mittel (geheime, täuschende und zweckwidrige Datenbearbeitung) heilige. Eine solche Interpretation des Datenschutzgesetzes ist nach Meinung des EDÖB klar abzulehnen, da sie weder dem Wortlaut des Gesetzes entspricht, noch den Willen des Gesetzgebers widerspiegelt.

31 Vor diesem Hintergrund muss das Urteil des Bundesverwaltungsgerichts nach Meinung des EDÖB zwingend revidiert werden. Zu 2: unvollständige Würdigung des Sachverhalts 32 Bereits in den Erwägungen zum Rechtmässigkeitsprinzip (Art. 4 Abs. 1 DSG) klärt das Bundesverwaltungsgericht lediglich ab, ob und in wieweit die Datenerfassung ausdrücklich verboten ist. Diese Betrachtung greift nach Meinung des EDÖB zu kurz. Das Rechtmässigkeitsprinzip findet entgegen der Meinung des Bundesverwaltungsgericht nicht nur dort Anwendung, wo eine Datenbearbeitung ausdrücklich verboten ist, sondern auch immer dann, wenn eine Datenbearbei-

10/12

tung gegen irgendeine Rechtsnorm (inklusive den Bestimmungen zu den Persönlichkeitsrechten im Rahmen der Anwendung des Datenschutzgesetzes) verstösst. Der EDÖB ist der Meinung, dass durch die Datenbearbeitung der Logistep AG die Persönlichkeit der betroffenen Personen verletzt ist. Damit liegt auch gleichzeitig ein Verstoss gegen das Rechtmässigkeitsprinzip von Art. 4 Abs. 1 DSG vor. Das Bundesverwaltungsgericht hat die Überprüfung des Rechtmässigkeitsprinzips aber einzig und alleine darauf reduziert, zu überprüfen, ob eine gesetzliche Grundlage besteht, welche eine derartige Datenbearbeitung explizit verbietet (Erwägungen 8.3.2). Da dies nicht der Fall ist, hat es im Umkehrschluss darauf geschlossen, dass sie daher erlaubt sein müsse. Eine solche Sichtweise ist klar abzulehnen.

33 In den Erwägungen zum Prinzip von Treu und Glauben anerkennt das Bundesverwaltungsgericht, dass wider Treu und Glauben handelt, wer Daten durch absichtliche Täuschung beschafft, weil er beispielsweise die betroffene Person über seine Identität oder den Zweck der Bearbeitung falsch informiert, oder wer heimlich Daten beschafft, ohne dabei eine Rechtsnorm zu verletzen (vgl. Botschaft zum DSG, BBl 1988 II, S. 449; Erwägungen 9.3.1). Das Bundesverwaltungsgericht kommt in den Erwägungen 9.3.4 und 9.3.5 zu dem Schluss, dass eine Verletzung des Erkennbarkeitsprinzips vorliegt, da die Daten im Regelfall ohne Wissen der betroffenen Personen beschafft werden. Dennoch folgert das Bundesverwaltungsgericht, dass angesichts der Umstände, die die Logistep AG erst zur Datensammlung bewegen, eine solche Verletzung vor dem Grundsatz von Treu und Glauben standhält (Erwägungen 9.3.6). Als Begründung hierfür führt das Bundesverwaltungsgericht an, dass sich die betroffenen P2P-Netzwerkteilnehmer vermutungsweise urheberrechtlich strafbar gemacht haben und von den Urheberrechtsinhabern nicht stillschweigend hingenommen werden kann, dass Urheberrechtsverletzungen begangen werden und die Verletzer unbescholten davon kommen, wenn – im rechtlich zulässigen Rahmen – Massnahmen dagegen ergriffen werden können.

34 Allerdings hat das Bundesverwaltungsgericht nicht überprüft, ob sich die von der Logistep AG ergriffenen Massnahmen im rechtlich zulässigen Rahmen bewegen. Gerade dies wird aber vom EDÖB bestritten. Aus diesem Grund ist es notwendig, dass nicht nur die Datenbearbeitung durch die Logistep AG vor Eröffnung des Strafverfahrens sondern auch die weitere Datenbearbeitung durch die Urheberrechtsinhaber nach der Einleitung eines Strafverfahrens in die Erwägungen mit einbezogen wird, um im Hinblick auf einen Verstoss gegen die Grundsätze des Datenschutzgesetzes eine angemessene Interessensabwägung durchführen zu können. Das Bundesverwaltungsgericht unterlässt eine solche und gibt sich pauschal mit der Begründung zufrieden, dass sich mit Berufung auf die Ahndung mutmasslicher Urheberrechtsverletzer, sämtliche vorangegangenen Datenschutzverletzungen rechtfertigen lassen. Hierbei blendet das Bundesverwaltungsgericht aus, dass der IP-Adressinhaber nicht der Urheberrechtsverletzer (Nutzung des Internetanschlusses durch mehrere Benutzer) sein muss und regelmässig gutgläubige Inhaber von Internetanschlüssen mit ungerechtfertigten Zivilforderungen konfrontiert werden. Es berücksichtigt dabei nicht, dass die meisten Strafverfahren aufgrund des Opportunitätsprinzips nicht weiterverfolgt werden und dass weder die Urheberrechtsinhaber noch die Beklagte und Beschwerdegegnerin ein Interesse an einer Strafverfolgung haben. Damit kann aber auch der Urheberrechtsverletzer nicht zweifelsfrei identifiziert werden, wie dies bei einem ordentlich zu Ende geführten Strafverfahren, das in einem Urteil mündet, der Fall ist. Vielmehr verwendet die Beklagte und Beschwerdegegnerin sowie die Urheberrechtsinhaber die eingereichten Strafanzeigen fast ausschliesslich zur Identifikation von mutmasslichen Urheberrechtsverletzern, mit dem Ziel diese vor einer rechtskräftigen Verurteilung mit Zivilforderungen zu konfrontieren. Dass auch die Beklagte und Beschwerdegegnerin ausschliesslich an der Identifizierung und Geltendmachung von Zivilforderungen interessiert ist, zeigt sich aus den Verträgen, welche die Beklagte und Beschwerdegegnerin mit den Urheberrechtsinhabern abgeschlossen hat. Die Beklagte und Beschwerdegegnerin übernimmt nicht nur das Kostenrisiko für die gerichtlichen Verfahren erster Instanz (§3 (2) des Dienstleistungsvertrags [in den Vorakten zur Klageschrift; Anhang 3]) sondern erhält neben Setup-Kosten in Höhe von EUR 650,- (§4 (1) des Dienstleistungsvertrags) zusätzlich EUR 189,- für jeden erfassten und abgemahnten Rechtsverletzer sowie zusätzlich eine erfolgsabhängige Vergütung in Höhe von 50% der eingegangenen Schadensersatzzahlungen (§4 (2) des Dienstleistungsvertrags). Einzig durch die Einleitung ei-

11/12

nes Strafverfahrens und einer anschliessenden Akteneinsicht haben die Urheberrechtsinhaber die Möglichkeit das Fernmeldegeheimnis zu umgehen, um gegenüber den identifizierten (oft gutgläubigen) Inhabern von IP-Adressen Zivilforderungen geltend zu machen. Damit ist das von der Beklagten und Beschwerdegegnerin im Auftrag der Urheberrechtsinhaber angestrengte Strafverfahren lediglich Mittel zum Zweck, um gegenüber den mutmasslichen Urheberrechtsverletzern Zivilforderungen geltend zu machen. Deshalb werden auch regelmässig die Strafverfahren gar nicht zu Ende geführt (vgl. Vorakten: Anhang 6 und 7 der Anhang zur Klageschrift). Anders wäre könnte die Datenbearbeitung der Beklagten und Beschwerdegegnerin zu beurteilen, wenn sie ausschliesslich auf die Ermittlung und strafrechtliche Verurteilung der Urheberrechtsverletzer abzielen würde und seitens der Beklagten kein wirtschaftliches Interesse an der Geltendmachung von Zivilforderungen gegenüber Personen, die noch nicht zweifelsfrei als Urheberrechtsverletzer identifiziert sind, bestehen würde. In diesem Sinne hat der EDÖB auch das Vorgehen der IFPI beurteilt, der es mit dem Ausforschen von IP-Adressen einzig um die strafrechtliche Verfolgung von Urheberrechtsverletzern geht.

35 Das Bundesverwaltungsgericht anerkennt, dass die Suche nach den urheberrechtlich geschützten Werken und die Aufzeichnung der entsprechenden Daten ohne Wissen der betroffenen Adressinhaber geschieht und somit die Beklagte und Beschwerdegegnerin das Zweckmässigkeitsprinzip fortlaufend verletzt. Gleichzeitig bringt das Bundesverwaltungsgericht allerdings vor, dass für die Verletzung des Zweckmässigkeitsprinzips ein überwiegendes privates und öffentliches Interesse vorliegen würde, was im Hinblick auf die von der Beklagten und Beschwerdegegnerin gewählten Vorgehensweise (siehe Erwägungen zu 34) bestritten wird.

36 Betrachtet man die Datenbearbeitung durch die Beklagte und Beschwerdegegnerin, so lässt sich die Parallele zu den verdeckten Ermittlungen ziehen. Das Bundesgericht hält in seinem Urteil vom 16. Juni 2008 fest, dass „gemäss den Ausführungen in der Botschaft [zum Bundesgesetz über die verdeckt Ermittlung (BVE; SR 312.8)] verdeckte Ermittlung das Anknüpfen von Kontakten zu verdächtigen Personen [sei], die darauf abzielen, die Begehung einer strafbaren Handlung festzustellen und zu beweisen, wobei vorwiegend passiv die deliktische Tätigkeit untersucht wird“ (BGE 134 IV 266; S. 270; E 3.1.1). Hiervon „ist laut Botschaft die Observation zu unterscheiden, welche grundsätzlich das gezielte Beobachten von Vorgängen an öffentlichen oder allgemein zugänglichen Orten – allenfalls unter Einsatz von Bild- und Tonaufnahmegeräten – umfasst. Sowohl bei einer Observation als auch bei einer verdeckten Ermittlung gehe es darum, Beweise für eine strafbare Handlung zu erlangen, wobei diese Tätigkeit für die verdächtigten Personen nicht erkennbar sein soll. Während bei einer Observation von aussen gezielt beobachtet werde, erfolge bei einer verdeckten Ermittlung das Einschleusen von dafür eingesetzten Polizeibeamten in einen bestimmten Personenkreis“ (BGE 134 IV 266; S. 270; E 3.1.1). Weiterhin führt das Bundesgericht aus, dass verdeckte Ermittlung das Anknüpfen von Kontakten durch Polizeiangehörige zu verdächtigen Personen ist, die darauf abzielen, die Begehung einer strafbaren Handlung festzustellen und zu beweisen, wobei die Polizeiangehörigen nicht als solche erkennbar sind. „Von der Observation unterscheidet sich die verdeckte Ermittlung dadurch, dass die Polizeiangehörigen die verdächtigen Personen nicht lediglich gezielt zwecks Aufklärung von Straftaten beobachten, sondern zu diesem Zweck mit den verdächtigen Personen über irgendein Medium kommunizieren“ (BGE 134 IV 266; S. 275; E 3.6.1), wobei eine verdeckte Ermittlung nach überwiegenden Ansichten im Schrifttum jedenfalls ein gewisses Mass an Täuschungs- und/oder Handlungs- und Eingriffsintensität voraussetzt (BGE 134 IV 266; S. 276; E 3.6.2). In diesem Rahmen ist massgebend, „dass der Verdächtige überhaupt getäuscht wird, weil der mit ihm zu Ermittlungszwecken kommunizierende Polizeiangehörige nicht als solcher erkennbar ist. Alleine schon wegen dieser Täuschung bedarf die verdeckte Ermittlung in jedem Fall einer besonderen gesetzlichen Regelung, ganz unabhängig davon, welche Eingriffsintensität die verdeckte Ermittlung im konkreten Einzelfall aufweist“ (BGE 134 IV 266; S. 277; E 3.6.4).

37 Das Vorgehen der Beklagten und Beschwerdegegnerin ist mit der eines verdeckten Ermittlers vergleichbar. Die Beklagte gibt sich im P2P-Netzwerk als gewöhnlicher Nutzer aus und tritt mit dem vermeintlichen Urheberrechtsverletzer über das Internet in Kontakt und kommuniziert mit

12/12

ihm, indem es das urheberrechtlich geschützte Werk abruft. Durch das Auftreten als gewöhnlicher Nutzer innerhalb des P2P-Netzwerks täuscht sie den mutmasslichen Urheberrechtsverletzer, wie dies ein verdeckter Ermittler der Untersuchungsbehörde tut.

38 Angesichts der im BVE verankerten strengen Anforderungen an die verdeckte Ermittlung zur Verfolgung von besonders schweren Straftaten (Art. 4 Abs. 1 BVE) erscheint die Schlussfolgerung des Bundesverwaltungsgerichts stossend, indem es zur Ermittlung mutmasslicher Urheberrechtsverletzer (welches lediglich ein Antragsdelikt darstellt) durch Private solche Täuschungshandlungen sogar dann zulässt, wenn es den Urheberrechtsinhabern lediglich um die Geltendmachung von zivilrechtlichen Forderungen geht.

39 Aus diesem Grund ist der EDÖB der Meinung, dass ein derart schwerer Eingriff in die Persönlichkeit der betroffenen Personen, wie sie von der Beklagten und Beschwerdegegnerin vorgenommen wird und der nicht nur die mutmasslichen Urheberrechtsverletzer selbst, sondern auch in vielen Fällen gutgläubige Inhaber von IP-Adressen trifft, gegen das Datenschutzgesetz verstösst. Die von der Beklagten und Beschwerdegegnerin sowie den Urheberrechtsinhabern vorgenommene Datenbearbeitung kann auch nicht alleine damit begründet werden, dass eine solche Datenbearbeitung zur Durchsetzung der Urheberrechte benötigt wird. Sollte daher das Bundesgericht zu dem Schluss kommen, dass die Datenbearbeitung der Beklagten gegen die allgemeinen Datenschutzbestimmungen verstösst und nicht in einer Art und Weise eingeschränkt werden können (z.B. durch bestimmte Auflagen im Rahmen des Strafverfahrens), dass sie den gesetzlichen Anforderungen entspricht, ist nach Meinung des EDÖB für die von der Beklagten und Beschwerdegegnerin durchgeführte Datenbearbeitung eine gesetzliche Grundlage notwendig.

40 Der EDÖB erkennt die Notwendigkeit für einen ausreichenden Urheberrechtsschutz an. Dennoch dürfen die Massnahmen zur Durchsetzung von Urheberrechten die Persönlichkeit der betroffenen Personen nur im rechtlich zulässigen Rahmen einschränken. Eine systematische und proaktive Überwachung von Peer-to-Peer Netzwerken, zu einem Zeitpunkt, in dem noch nicht einmal ein Anfangsverdacht auf eine konkrete Urheberrechtsverletzung besteht, geht nach Meinung des EDÖB viel zu weit.

3. Anträge 41 Gemäss den oben genannten Ausführungen sei die Beklagte und Beschwerdeführerin anzuweisen, ihre Datenbearbeitung unverzüglich einzustellen und es sei ihr zu verbieten, die bereits erhobenen Daten an die Urheberrechtsinhaber weiterzugeben.

EIDGENÖSSISCHER DATENSCHUTZ- UND ÖFFENTLICHKEITSBEAUFTRAGTER

Hanspeter Thür

Anlage: Urteil des Bundesverwaltungsgerichts (A-3144/2008) vom 27. Mai 2009 Die weiteren fallrelevanten Dokumente befinden sich in den Vorakten.