Haftung im E-Business

Transkript

1 Haftung im E-Business E-Business-Recht HS 2012 David Rosenthal 2 1

2 Datendiebstahl Hacking 3 Datendiebstahl nur, wenn... Daten gegen einen "unbefugten Zugriff besonders gesichert" waren Security, nicht Safety Passwortschutz, Kryptographie, etc. Täter muss Zugangssperrung erkennen Daten "beschafft" wurden Täter muss die Daten gebrauchen können Port-Scan genügt i.d.r. nicht Auch das milder bestrafte Hacking (Art. 143bis StGB) setzt ein "besonders gesichertes" System voraus, in welches der Täter "eindringt" 4 2

3 Quelle: Aber: Zivilrechtliche Haftung durchaus möglich Art. 7 Abs. 1 DSG: "Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden." 5 Rechtsfolgen von Rechtsverletzungen Zivilrecht Schadenersatz, Abwehransprüche, etc. Vertragsfolgen (z.b. Konventionalstrafe) Vertragsauflösung (z.b. Vertrag mit dem Provider) Strafrecht Strafuntersuchungen Bussen Freiheitsstrafen für Verantwortliche Verwaltungsrecht Verwaltungsuntersuchungen Bewilligungsentzug Bussen auch für Unternehmen 6 3

4 Schadenersatz 1 Haftung für unerlaubte Handlung (Art. 41 OR) Schaden Rechtswidrig verursacht Verletzung eines absoluten Rechtsguts (z.b. Personen- und Sachschäden, nicht aber Vermögensschäden) Verstoss gegen eine Schutznorm (z.b. Art. 7/12 DSG) Verursachung muss "adäquat" sein Schädigendes Ereignis muss typischerweise geeignet sein, solche Schäden zu verursachen Fahrlässigkeit oder Vorsatz Haftung für unerlaubte Handlung setzt kein Vertragsverhältnis voraus; gibt es einen Vertrag, kann auch bei dessen Verletzung gehaftet werden (Art. 97 OR) 7 Schadenersatz 2 Fahrlässigkeit? Das Ausserachtlassen derjenigen Sorgfalt, die die Verkehrssitte von den mit dem Handelnden in gleichen Lebensverhältnissen stehenden Personen unter den erkennbaren, konkreten Umständen erfordert Unternehmen haften teilweise auch für Taten ihrer Mitarbeiter Für während Ausübung ihrer Arbeit begangene unerlaubte Handlung haftet das Unternehmen für Personen, die es nicht sorgfältig ausgewählt, instruiert und überwacht hat oder wenn es nicht für die nötige Organisation gesorgt hat (Art. 55 OR) Für Vertragsverletzungen haftet das Unternehmen für zur Vertragserfüllung beigezogene Mitarbeiter wie wenn es selbst gehandelt hätte (Art. 101 OR) 8 4

5 Haftung des Arbeitnehmers 1 Auch der Arbeitnehmer kann haften Gegenüber Dritten für unerlaubte Handlungen Gegenüber dem Arbeitgeber für diesem absichtlich oder fahrlässig zugefügte oder trotz entsprechender Pflicht nicht verhinderte Schäden (Art. 321e Abs. 1 OR) Bei der Haftung gegenüber dem Arbeitgeber bestimmt sich das Mass der Sorgfalt jedoch u.a. nach Berufsrisiko Erforderlichen Fachkenntnissen für die Arbeit Tatsächlichen Fähigkeiten des Arbeitnehmers Aber: Haftung auch, wenn der Arbeitnehmer wusste, dass er der Arbeit nicht gewachsen sein würde ("Übernahmeverschulden") 9 Haftung des Arbeitnehmers 2 Auch bei Nichtbefolgung von Weisungen Weisungsrecht befreit jedoch nicht von eigenen Entscheidungen, insbesondere bei Spezialisten Widerrechtliche oder unsittliche Weisungen muss und darf der Arbeitnehmer nicht befolgen Pflicht zur Anzeige von illegalen Handlungen umstritten Gang an die Öffentlichkeit nur als "ultima ratio" Arbeitgeber hat auch Weisungspflicht Bei mangelhafter oder fehlender Weisung wird der Arbeitgeber bei Schäden haftpflichtig 10 5

6 Haftung der Unternehmensleitung VR-Mitglieder sowie Dritte müssen ihre Aufgaben in der Geschäftsführung "mit aller Sorgfalt erfüllen und die Interessen der Gesellschaft in guten Treuen wahren"* Beizug von Spezialisten, falls erforderlich VR bleibt für die Oberaufsicht verantwortlich* Festlegung und Vorgabe von Zielen Werden Gesetze, Weisungen, etc. befolgt? Eigene Gesellschaft geht dem Konzern vor * vgl. Art. 716a, 717 und 754 OR sowie Art. 158 StGB 11 Wer zur Unternehmensleitung zählt Formelle Organe = Mitglieder des VR Materielle Organe = wem Organfunktionen formell delegiert werden (z.b. Geschäftsführer) Direktor im HR: Organ durch Kundgabe Faktische Organe = wer an Entscheidungen in einer Weise mitwirkt, die wesentlich mehr ist als Vorbereitung und Grundlagenbeschaffung Selbständige, eigenverantwortliche, dauernde Zuständigkeit nicht alltäglicher Entscheidungen 12 6

7 Strafbarkeit Strafbar sind i.d.r. nur natürliche Personen Strafbarkeit erfordert oft (aber nicht immer) Vorsatz Aber: Wer eine Tatbestandsverwirklichung zwar nicht wünscht aber damit rechnet und sie in Kauf nimmt, handelt bereits vorsätzlich Anstiftung und Gehilfenschaft ist ebenfalls strafbar z.b. IT-Verantwortliche, die die Infrastruktur zur Verfügung stellen bzw. die Straftat mit Wissen und Willen zulassen Straftaten, die an IT-Mitteln begangen werden z.b. Malware, Raubkopien, Verletzung von Geheimhaltungs- und Aufbewahrungspflichten Straftaten, die mit Hilfe von IT-Mitteln begangen werden z.b. Betrug, Erpressung 13 Art. 144bis Strafgesetzbuch (StGB) 14 7

8 "Obwohl X um einen möglichen Missbrauch wissen musste, richtete er einen offenen Wireless-LAN Zugang zum Internet ein. Dieses leichtfertige Verhalten führte genau zu diesem Missbrauch, welcher Grund zur Eröffnung der vorliegenden Untersuchung war. Entsprechend sind X die Kosten aufzuerlegen." 15 Strafen für Unternehmen Art. 102 Abs. 1 Strafgesetzbuch (StGB) 16 8

9 Interne Begrenzung der Haftung Technische Massnahmen z.b. Zugangskontrollen, Firewalls, Audit-Trails, Filter, sichere Systemkonfigurationen, Backups, Verschlüsselung, geeignete Entwicklungstools, leistungsfähige und redundante Systeme Organisatorische Massnahmen z.b. Reglemente und Weisungen, Schulung, Dokumentation, Kontrollen, sinnvolle Verteilung von Aufgaben, definierte Prozesse, Planungen 17 Meist unterschätzt: Regeln und dokumentieren Gesetze verlangen Reglementierung und Dokumentation explizit oder implizit Dies zeigt Schwachstellen auf, erleichtert den Überblick und reduziert Abhängigkeiten Erleichtert Überwachung und Sanktionierung Macht einen guten Eindruck ("Governance") ein Zeichen von sorgfältigem Verhalten Aber: Regeln müssen auch umgesetzt werden 18 9

10 Externe Begrenzung der Haftung Vertragliche Haftungsbeschränkungen Setzen einen Vertrag voraus Art. 100 OR: Im Schweizer Recht kann niemand seine Haftung eigenes grob fahrlässiges Handeln vertraglich ausschliessen Aber: Klare, transparente Information kann Haftung vorbeugen Dritte sollen wissen, worauf sie sich einlassen, so dass es gar nicht zur Haftung kommt Beispiele: Warnhinweise auf Websites, Privacy Policies, Hinweise auf Beschränkungen bei Finanzanlagen Sich nicht auf rechtliche Schlaumeiereien verlassen 19 -Disclaimer wirksam? "This message is confidential and intended for the named addressee(s) only. If you are not the intended recipient, please contact the sender by return and then delete this message from your system. You should not copy or use it or disclose ist contents to any other person. If any part of this message is illegible or if you suspect that the message may have been intercepted or amended, please contact the sender. XXXX AG cannot accept any responsibility for the accuracy or completeness of this message without further investigation." 20 10

11 21 Haftung für Links auf illegale Inhalte Hauptfrage: Macht sich der Verweiser den verwiesenen Inhalt zu eigen? Bewertung anhand verschiedener Kriterien Kontext des Links: Welchen Zweck hat der Link? Umfeld des Links: In welchem Zusammenhang wird der Link eingesetzt? Art des Links: Wohin auf der Website führt der Link? Bezirksgericht Zürich vom 10. September 2002: Freispruch für Assistenzprofessor der ETHZ Linkte auf Anti-Nazi-Website, die wiederum Links auf rassendiskriminierende Websites enthielt 22 11

12 Rechtlich unwirksam (kein Vertragsschluss) Rechtlich wirksam (Werbevorschriften der Finma für kollek. Anlageinstrumente) Rechtlich unwirksam (kein Vertragsschluss)

13 Und die Haftung der Provider? 25 Haftung der Provider 1 Strafrechtliche vs. zivilrechtliche Verantwortlichkeit Rechtsansprüche häufig als Druckmittel bei Verletzung von geistigem Eigentum durch Kunden der Provider Kommerzielle Provider gehen Ärger meist aus dem Weg EU: Haftung spezialgesetzlich beschränkt Unterlassungsansprüche sind aber weiterhin möglich Zahlreiche Urteile Schweiz: Sonderregelung bisher abgelehnt Diskussion: Wer soll für das Internet verantwortlich sein, wenn sich die wahren Täter nicht fassen lassen? Provider als Richter? Zivilrechtliche Haftung als das grössere praktische Problem Verschiedene parlamentarische Vorstösse zur Einführung spezifischer Bestimmungen zur Haftung von Providern verschiedener Art 26 13

14 Schweiz: Urteile primär im Strafrecht BGE 121 IV 109 ("Telekiosk") Obergericht Zürich, 7. Dezember 1998 ("Mailbox") Strafgericht Basel-Landschaft, 16. Dezember 1999 ("Computerviren") Praxis der Eidg. Spielbankenkommission Strafgericht Basel-Stadt, 31. Januar 2003 ("Lyrics Server") Tribunal d'accusation du Canton de Vaud, Arrêt du 2 avril 2003 ("appel-aupeople") und Weiterungen Einige unpublizierte zivilrechtliche Entscheidungen seither z.b. Urteil des KGer Jura vom 4. Februar 2011 ("Autocomplete") 27 Haftung der Provider 2 Unterscheidung nach Rolle des Providers Content Provider: Volle Verantwortlichkeit Access Provider: Nach überwiegender Meinung für unerlaubte Inhalte im Internet nicht verantwortlich Freiwillige Sperrungen kommen aber teilweise vor Hosting Provider: Verantwortlich, wenn er vom unerlaubten Inhalt konkret und zuverlässig weiss und seine Infrastruktur dafür trotzdem weiterhin bereitstellt Für eine zivilrechtliche Haftung genügt ein "hätte wissen sollen" Verschiedene Formen: Web-Hoster, Online-Forums-Betreiber, Betreiber von Auktionsplattform, Betreiber von Social-Media-Plattformen Gehilfenschaft durch fortgesetztes Zurverfügungstellen der eigenen Plattform für rechtswidrige Aktivitäten Bei reinen Mediendelikten: Provider wird verantwortlich, wenn der Urheber nicht verantwortlich gemacht werden kann) [Art. 28 und 322bis StGB ] 28 14

15 Haftung von Hosting Providern Keine Pflicht zur präventiven Kontrolle Handeln nur auf konkrete Hinweise hin Vorsatz Heisst: Der Provider weiss nicht nur, dass er die Verbreitung eines bestimmten, unerlaubten Inhalts fördert, sondern will das auch (oder nimmt dies mindestens in Kauf) Fahrlässigkeit Will den unerlaubten Inhalt zwar nicht fördern, tut dies aber dennoch, weil er seinen Sorgfaltspflichten nicht nachkommt War die Schädigung bei branchenüblicher Sorgfalt für den Provider vorherzusehen und zu verhindern? 29 Zivilrechtliche Haftung Bewusstes Wegschauen nutzt (hier) nichts Hinweis einer berechtigten PersonBehörde Hinweis ist substanziiert und glaubhaft Hinweis muss sich auf den Einzelfall beziehen Rechtsverletzung muss offenkundig sein Wahrung des Fernmeldegeheimnisses Verhinderung nur aktueller Rechtsverletzungen Person des Schädigers und seine Reaktion Gefährdungs- bzw. Schädigungspotenzial Auswirkung eines Eingreifens bzw. Interessen des Kunden Was können Provider wirklich tun? 30 15

16 Ein Blick nach Deutschland Urteil BGH vom 25. Oktober 2011 (VI ZR 9310) Es ging um einen persönlichkeitsverletzenden Blog "Der Hostprovider ist erst verantwortlich, wenn er Kenntnis von der Verletzung des Persönlichkeitsrechts erlangt. Dies setzt voraus, dass die Beanstandung des Betroffenen so konkret gefasst ist, dass der Rechtsverstoss auf der Grundlage der Behauptungen des Betroffenen unschwer bejaht werden kann." Gericht verlangte die Weiterleitung der Beschwerde an den Verantwortlichen des Blog; antwortet dieser nicht, ist anzunehmen, dass sie berechtigt ist Urteil BGH vom 12. Juli 2012 (I ZR 1811) ("Alone in the Dark") Es ging um die "Störerhaftung" von Rapidshare für raubkopierter Filme Löschung einer beanstandeten Datei genügte nicht; sie hätte auch nach dem Namen des Films in den Dateinamen auf ihren Servern und entsprechenden Links auf ihre Server in einschlägigen Linksammlungen suchen müssen

17 Wer ist privatrechtlich verantwortlich? Urheber des Eintrags? Access-Provider des Urhebers? Betreiber von Rottenneighbor.com? Dessen Hosting-Provider? Access-Provider des Abrufers? Art. 28 Abs. 1 ZGB: "Wer in seiner Persönlichkeit widerrechtlich verletzt wird, kann zu seinem Schutz gegen jeden, der an der Verletzung mitwirkt, das Gericht anrufen." 33 Was heisst "verantwortlich" im Privatrecht? Gerichtlich durchsetzbare Ansprüche Widerrechtliche Persönlichkeitsverletzung Verbot, eine Verletzung zu begehen * Pflicht, eine Verletzung zu beseitigen * Pflicht, den erzielten Gewinn herauszugeben Pflicht, Genugtuung zu leisten Pflicht, Schadenersatz zu bezahlen * kann auch vorsorglich angeordnet werden 34 17

18 Vorgehen in der Praxis Wenn der Urheber bekannt ist: Abmahnen und ggf. Vorgehen gegen den Urheber Identifizierung bei Internet-Straftat möglich (Art. 14 BÜPF) Sonst: Weg über den Provider Plattformbetreiber bzw. Provider identifizieren Rechtsverletzung melden, Abschaltung fordern Ggf. dasselbe beim Domain-Namen-Provider tun Falls in der Schweiz: Klage in Betracht ziehen Falls im Ausland: Klage vor Ort oder Abmahnung des "Upstream"-Providers 35 Danke für Ihre Aufmerksamkeit. David Rosenthal T Homburger AG Prime Tower Hardstrasse 201 CH-8005 Zurich P.O. Box 314 CH-8037 Zurich 18