Inhalt SONDERAUSGABE CYBERCRIME & CYBERJUSTICE ... - ZIS

Mesut S. Ҫekin_____________________________________________________________________________________scheidung des BGH 29 von Belang, auf die namentlich Kort 30im Zusammenhang mit IT-Outsourcing hingewiesen hat. Inseiner Entscheidung stellt der BGH fest, dass der Datenaustauschzwischen einem Versicherungsunternehmen und derenHandelsvertretern unter dem Gesichtspunkt der Arbeitsteiligkeit,welcher in § 203 Abs. 3 S. 2 StGB Anerkennung findet,privilegiert ist und deswegen kein Verstoß gegen § 203 StGBvorliege. Der Gehilfenbegriff muss sich mithin auch aufNicht-Angehörige eines Organisationsverbundes erstrecken.Zur Verdeutlichung: Wenn selbst externe, selbstständige Agenteneines Versicherungsunternehmens mittlerweile als Angehörigedes Unternehmens gelten, 31 so muss der Kreis dersonstigen Gehilfen begrifflich auch Dritte erfassen können,wobei auf die Voraussetzungen dieser Erfassung noch zurückzukommenist.Ein weites Verständnis des Gehilfenbegriffs des § 203StGB legen auch die entsprechend weiten Gehilfenbegriffe in§ 278 BGB und § 53a StPO nahe: § 278 BGB setzt keineorganisatorische Einbindung des sog. Erfüllungsgehilfen inden Betrieb des Schuldners voraus. 32 Und § 53a StPO zeigtebenfalls, dass kein festes Dienst- oder Arbeitsverhältnis erforderlichist, um als Gehilfe zu fungieren. 33Gegen diese Verweise auf §§ 203 Abs. 1 Nr. 6 StGB, 278BGB, 53a StPO kann allerdings angeführt werden, dass derGesetzgeber in bestimmten Bereichen die Auslagerung derDatenverarbeitung explizit vorgesehen hat. Insbesondere dasSozialrecht kennt in § 302 Abs. 2 S. 1 bis 3 SGB V die Möglichkeit,eine elektronische Abrechnung gegenüber Krankenkassendurch sog. Rechenzentren vornehmen zu lassen, womitdie Zulässigkeit von IT-Outsourcing verbunden wird. 34Auch andere Landeskrankenhausgesetze enthalten Regelungen,die die Weitergabe sensibler Patientendaten regeln. 35 Esließe sich insofern argumentieren: Wäre der Gesetzgeber von29 BGH NJW 2010, 2509.30 Kort, NStZ 2011, 193 (194).31 Vgl. Kargl (Fn. 11), § 203 Rn. 36. Gerade im Versicherungswesenwird es in der Regel der im Außendienst tätigeVersicherungsagent sein, der zuerst mit den relevanten Geheimnisseni.S.d. Vorschrift in Berührung kommt; die Entgegennahmeder Daten beim Kunden vor Ort ermöglicht es demjeweiligen Versicherungsunternehmen erst, überhaupt tätigzu werden; vgl. hierzu Kort, NStZ 2011, 193 (194): „Erstrecht muss sich der Gedanke der möglichen Arbeitsteiligkeitbei einer strengen Auflagen unterliegenden Auftragsdatenverarbeitungin der Ausgestaltung eines stark den Auftragnehmerund dessen Mitarbeiter bindenden Datenschutzvertragswiederfinden.“32 Vgl. zu § 278 BGB jüngst BGH NJW 2011, 139 (140Rn. 18): keine „Bindung an die Weisungen des Schuldners“;dem folgend Grüneberg, in: Palandt, Bürgerliches Gesetzbuch,Kommentar, 72. Auf. 2012, § 278 Rn. 7.33 Meyer-Goßner, Strafprozessordnung, Kommentar, 55. Aufl.2012, § 53a Rn. 2.34 Schünemann (Fn. 8), § 203 Rn. 119; näher Lips/Schönberger,NJW 2007, 1567.35 Eingehend Hartmann, Outsourcing in der Sozialverwaltungund Sozialdatenschutz, 2002, passim.der grundsätzlichen Zulässigkeit des IT-Outsourcing ausgegangen,so hätte in diesen Gesetzen ein Hinweis auf die Vorschriftendes Bundesdatenschutzgesetzes (BDSG) ausgereichtund es hätte keiner Spezialregelung in den genannten Gesetzenbedurft.2. Der Gehilfenbegriff im Lichte des DatenschutzrechtsDa eine systematische Auslegung also zu keinem eindeutigenErgebnis führt, soll ein Blick auf die Wertungen des Datenschutzrechtsgeworfen werden.Dem Datenschutzrecht lässt sich die Wertung des Gesetzgebersentnehmen, dass eine Datenübermittlung zulässig seinkann, wenn die Voraussetzungen des § 11 BDSG vorliegen,so dass eine zulässige Einschränkung des Persönlichkeitsrechtsvorliegt. Klarzustellen ist an dieser Stelle aber, dassder Begriff des Geheimnisses i.S.d. § 203 StGB nicht deckungsgleichmit dem der „personenbezogenen Daten“ i.S.d.§ 3 Abs. 1 BDSG ist. 36 Personenbezogene Daten könnennämlich auch scheinbar belanglose oder selbst offenkundigeTatsachen sein, so dass personenbezogen nicht gleichzusetzenist mit höchstpersönlich oder sensibel. 37 Mithin kann einezulässige Auslagerung personenbezogener Daten die strafrechtlicheVerantwortlichkeit gemäß § 203 StGB nicht per seausschließen. 38Gemäß § 3 Abs. 7 BDSG gelten sowohl der Auftraggeberals auch der Auftragnehmer als verantwortliche Stellen. Währendder Auftragnehmer gemäß § 3 Abs. 8 S. 3 BDSG nichtDritter ist, „bleibt der Auftraggeber als Herr der Daten für dieBeachtung der datenschutzrechtlichen Vorgaben für die vonihm veranlassten Verarbeitungen verantwortlich.“ 39 Dabeimuss das auslagernde Unternehmen auf die technischen undorganisatorischen Maßnahmen des IT-Dienstleisters besondersachten. Der schriftlich erteilte Auftrag muss darüberhinaus insbesondere folgende Punkte enthalten: 40 den Umfang, die Art und den Zweck der vorgesehenenErhebung, Verarbeitung oder Nutzung von Daten, die Artder Daten und den Kreis der Betroffenen; die Kontrollrechte des Auftraggebers und die entsprechendenDuldungs- und Mitwirkungspflichten des Auftragnehmers; den Umfang der Weisungsbefugnisse, die sich der Auftraggebergegenüber dem Auftragnehmer vorbehält.Das auslagernde Unternehmen bzw. der Outsourcende hatsich vor Beginn der Datenverarbeitung und sodann regelmäßigvon der Einhaltung der beim Auftragnehmer getroffenen36 Vgl. Schneider, in: Schneider (Hrsg.), Handbuch des EDV-Rechts, 4. Aufl. 2009, B. Rn. 252 und 253.37 Vgl. ausführlich Weichert, in: Däubler/Klebe/Wedde/Wiechert,Bundesdatenschutzgesetz, Kompaktkommentar, 3. Aufl.2010, § 3 Rn. 2 ff.38 Deutlich hierzu Cierniak (Fn. 13), § 203 Rn. 51, der sichgegen eine an § 11 BDSG orientierte Auslegung ausspricht.39 Gola/Schomerus, Bundesdatenschutzgesetz, Kommentar,10. Aufl. 2010, § 3 Rn. 50.40 Vgl. § 11 BDSG._____________________________________________________________________________________428ZIS 8-9/2012