Source: http://docplayer.org/2231723-Wird-verschluesseln-pflicht-bayerische-datenschutzaufsicht-mahnt-wegen-mangelnder-mail-server-verschluesselung-ab.html
Timestamp: 2018-01-18 06:16:29
Document Index: 197622738

Matched Legal Cases: ['EuG', 'Art. 8', 'EuG', 'Art. 10', 'Art. 2', 'Art. 8', 'Art. 10', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'BGH', 'BGH', 'EuG', 'EuG', 'BGH', 'BGH', 'Art. 5', 'EuG', 'EuG', 'BGH', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'BGH', 'EuG', 'EuG']

Wird Verschlüsseln Pflicht? Bayerische Datenschutzaufsicht mahnt wegen mangelnder Mail-Server- Verschlüsselung ab - PDF
Wird Verschlüsseln Pflicht? Bayerische Datenschutzaufsicht mahnt wegen mangelnder Mail-Server- Verschlüsselung ab
Download "Wird Verschlüsseln Pflicht? Bayerische Datenschutzaufsicht mahnt wegen mangelnder Mail-Server- Verschlüsselung ab"
1 Infobrief Recht 11/ 2014 November 2014 Wird Verschlüsseln Pflicht? Bayerische Datenschutzaufsicht mahnt wegen mangelnder Mail-Server- Verschlüsselung ab Macht die Schotten dicht oder doch nicht? Oberlandesgericht Köln hält Verpflichtung zur Einrichtung von Netzsperren durch Internetzugangsanbieter für unzumutbar Weniger Papier ist mehr! Europäischer Gerichtshof macht den Weg für digitale Leseplätze frei
2 DFN-Infobrief Recht 11 / 2014 Seite 2 Wird Verschlüsseln Pflicht? Bayerische Datenschutzaufsicht mahnt wegen mangelnder Mail-Server-Verschlüsselung ab von Susanne Thinius Das Bundesdatenschutzgesetz (BDSG) verpflichtet Unternehmen zum Verschlüsseln von Mailservern nach dem neusten Stand der Technik. Nun hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) mehrere hundert Unternehmen in Bayern wegen mangelhaften -Versands abgemahnt. Steht ein solches Vorgehen Hochschulen und ihren Rechenzentren ebenfalls unmittelbar bevor? Es kann passieren! Hintergrund Das BayLDA hatte im September 2014 bei 2236 bayerischen (privaten) Unternehmen das Sicherheitsniveau der benutzen Mailserver überprüft. Ziel war es, die eingesetzten Verschlüsselungstechniken auf ihre Sicherheit hin zu testen. Bei 772 Unternehmen wurden diesbezüglich Mängel festgestellt. Daraufhin forderte das BayLDA die Unternehmen auf, die Lücken zu beseitigen. Baden-Württemberg hatte es eine vergleichbare Überprüfung durch den dort zuständigen Landesdatenschutzbeauftragten gegeben. Die Primärfunktion eines Mailservers ist der Datenaustausch per . Daher sind Maßnahmen zum Schutz personenbezogener Daten, die ihm Rahmen der -Übertragung anfallen (Name des Empfängers und Versenders, -Adresse, etc.) gesetzlich erforderlich. Konkret hatten die betroffenen Unternehmen bei ihren Mailservern weder das STARTTLS- noch das Perfect Forward Secrecy-Verfahren nach dem Stand der Technik eingesetzt, um den Datentransport durch Verschlüsselung abzusichern. Für diese Feststellung wurden die eingetragenen Mailserver der verantwortlichen Stellen also diejenigen Stellen, die die personenbezogenen Daten für sich selbst oder im Auftrag verarbeiten ( 3 Abs. 7 BDSG) durch gewöhnliche DNS-Abfragen (Domain Name System) in Erfahrung gebracht. Zudem stellte das BayLDA fest, dass bei 44 Mailservern die sogenannte Heartbleed-Lücke nicht geschlossen worden war. Diese Prüfung erfolgte im Rahmen einer anlasslosen und zufälligen Online-Prüfung mit einer eigens dafür entwickelten Software, welche die Server einer automatischen Analyse hinsichtlich der datenschutzrechtlichen Anforderungen unterzog. Das BayLDA stellte dadurch vermehrt fest, dass die sichere Konfiguration von Mailservern und der damit einhergehende Schutz personenbezogener Daten, also die Einzelangaben über persönliche und sachliche Verhältnisse, oft vernachlässigt wurde und dementsprechend Verbesserungsbedarf bestand. Auch in Die zugrundeliegenden Normen Nach 9 S. 1 BDSG haben öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes (insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen) zu gewährleisten. Das Verschlüsselungsverfahren ist in Satz 3 der Anlage zu 9 BDSG als eine solche erforderliche Maßnahme benannt. Ferner besagt 9 S. 2 BDSG, dass Aufwand und Schutzzweck in einem angemessenen Verhältnis zueinander stehen müssen. Die erwähnte Anlage zu 9 BDSG enthält einen Katalog von Zwecken zum Schutz personenbezogener Daten. Hier werden Datensicherungsmaßnahmen für Fälle automatisierter Verarbeitung und Nutzung konkretisiert. Beispielhaft seien Nr. 2 (Zugangskontrolle), Nr. 3 (Zugriffskontrolle) und Nr. 4 (Weitergabekontrolle) zu nennen. Unter Datensicherungsmaßnahmen versteht man diejenigen Maßnahmen, die den ordnungs-
3 DFN-Infobrief Recht 11 / 2014 Seite 3 gemäßen Ablauf der Datenverarbeitung durch die Sicherung von Hardware, Software und Daten vor Verlust, Beschädigung oder Missbrauch schützen. Fraglich ist nun, ob 9 BDSG und dessen Anlage überhaupt Anwendung finden auf die hier interessierenden Hochschulen. Hochschulen sind als juristische Personen des öffentlichen Rechts öffentliche Stellen der Länder, so 2 Abs. 2 BDSG. Das BDSG gilt gemäß 1 Abs. 2 Nr. 2 für öffentliche Stellen der Länder aber nur, soweit der Datenschutz nicht bereits durch Landesgesetz geregelt ist. In jedem Bundesland gibt es allerdings ein Landesdatenschutzgesetz, weshalb Landesrecht vor Bundesrecht primär zur Anwendung kommen dürfte. STARTTLS-, Perfect Forward Secrecy- Verfahren und Heartbleed Doch was verbirgt sich eigentlich hinter Begriffen wie STARTLS und Co.? Zur Verschlüsselung von Mailserverkommunikation ist der Einsatz des sogenannten STARTTLS-Protokolls erforderlich. Sofern zusätzlich die Verschlüsselungsprotokolle SSL (Secure Sockets Layer) beziehungsweise TLS (Transport Layer Security) zur Anwendung kommen, wird das sogenannte Perfect Forward Secrecy Verfahren für einen noch effektiveren Schutz der übermittelten Daten notwendig. SSL ist ein Verfahren, welches verhindert, dass Angreifer die Daten bei der Übertragung einsehen können. Die Landesdatenschutzgesetze haben nun jedoch größtenteils die Regelungen zur Datensicherung aus dem BDSG beibehalten und sogar die Beschreibung der erforderlichen Maßnahmen der (technischen) Entwicklung angepasst. Die hier gemachten Ausführungen zum BDSG können daher größtenteils auf das Landesrecht übertragen werden. Die folgenden ( 9 BDSG entsprechenden) Vorschriften der jeweiligen Landesdatenschutzgesetze regeln die Datensicherung: Berlin 5, Brandenburg 10, Bremen 7 Abs. 3 und 4, Hamburg 8, Niedersachsen 7, Nordrhein-Westfalen 10, Rheinland-Pfalz 9, das Saarland 7, Sachsen 9, Sachsen- Anhalt 6 und Thüringen 9. Erforderlich für den Einsatz der automatisierten Datenverarbeitung sind zusätzlich eine Risikoanalyse und ein Sicherungskonzept (geregelt durch Verordnung der jeweiligen Landesregierung, beispielsweise in 19 Abs. 3 DSG M-V, 9 Abs. 3 SächsDSG und 5 Abs. 3 LDSG SH). Zur Gewährleistung der Einhaltung der Vorschriften des BDSG kann die zuständige Aufsichtsbehörde (hier: das BayLDA) gemäß 38 Abs. S. 1 BDSG die Maßnahmen zur Beseitigung festgestellter Verstöße anordnen. Darunter fallen nach erfolgloser Abmahnung der verantwortlichen Stellen die Verhängung eines Bußgeldes, bei schwerwiegenden Verstößen gegen Datenschutzvorschriften allerdings auch die Untersagung einzelner Verfahren oder die Untersagung der Datenverarbeitung, 38 Abs. 5 S. 2 BDSG. Auf Landesebene ist der Landesbeauftragte für Datenschutz und Informationsfreiheit zuständige Aufsichtsbehörde im Sinne des 38 BDSG (so beispielsweise laut 22 Abs. 5 DSG NRW). Konkret ist STARTTLS ein Verfahren zur sicheren -Kommunikation, bei dem auf Serverseite die Verschlüsselung des Datenaustauschs auf Transportebene eingeleitet wird (Transportverschlüsselung), so dass personenbezogene Daten in den Nachrichten verschlüsselt übertragen werden. Wenn Daten über ein TLS-Protokoll ausgetauscht werden, so handeln die beteiligten Stellen einen kryptografischen Schlüssel aus, mit dem die Inhalte verschlüsselt werden. Perfect Forward Secrecy wiederum verhindert die nachträgliche Entschlüsselung des verschlüsselten -Verkehrs bei unrechtmäßiger Erlangung eines geheimen Schlüssels. Gezielte Angriffe von Geheimdiensten oder Cyberkriminellen können zwar trotz Transportverschlüsselung nicht gänzlich verhindert, aber durch Perfect Forward Secrecy zumindest deutlich erschwert werden. STARTLS ist nach Ansicht der Aufsichtsbehörden zwar kein Ersatz für eine Ende-zu-Ende-Verschlüsselung, aber immerhin ein zusätzlicher Baustein zur Erhöhung der Kommunikationssicherheit. Heartbleed ist ein Fehler in bestimmten Versionen von Open- SSL, einer Open Source Implementierung der Verschlüsselungsprotokolle SSL/TLS. Diese Protokolle schützen die Verbindung zwischen Server und dem jeweiligen Internetnutzer. Durch die erwähnte Sicherheitslücke ist es Unbefugten möglich, Serverpasswörter und Sicherheitsschlüssel auszuspähen. Der Heartbleed Bug trat im April diesen Jahres auf. An der WWU in Münster beispielsweise wurden die Besitzer der betroffenen Server-Zertifikate direkt informiert und einige Zertifikate ausgetauscht. Ferner wurden die mit Heartbleed- Sicherheitslücken behafteten Versionen von OpenSSL gegen sichere Versionen ausgetauscht.
4 DFN-Infobrief Recht 11 / 2014 Seite 4 Schlussfolgerungen für Hochschulen und Fazit Gerade in Zeiten der Totalüberwachung hat das Thema Verschlüsselung mehr denn je an Aktualität gewonnen. Grund dafür ist die unbegrenzte und kaum mehr zu kontrollierende Überwachung der elektronischen Kommunikation. s sind mittlerweile allerdings aus der Kommunikationsstruktur von Hochschulen wie auch Unternehmen nicht mehr wegzudenken. Damit die Kommunikation annähernd sicher abläuft das Versenden unverschlüsselter s wird vom BayLDA vom Grad der Geheimhaltung wie der Versand einer Postkarte behandelt müssen öffentliche wie auch nicht-öffentliche Einrichtungen gewisse Datenschutzstandards in Form von Verschlüsselungen ihrer Mailserver einhalten und durchführen. Die jeweiligen Landesdatenschutzbehörden (so auch das BayLDA) sind für die Einhaltung und Überwachung der Datenschutzstandards zuständig. Das Vorgehen des BayLDA ist aus mehreren Gründen auch für die im DFN-Netzwerk zusammengeschlossenen Einrichtungen relevant. Zum einen stützt das BayLDA sein Vorgehen auf 9 S. 1 BDSG in Verbindung mit Satz 2 Nr. 2 bis 4, S. 3 der Anlage zu 9 S. 1 BDSG. Diese Vorschrift verlangt im Rahmen des organisatorischen und technischen Datenschutzes den Einsatz von dem Stand der Technik entsprechenden Verschlüsselungsverfahren. Durch das Vorgehen des BayLDA und seiner Forderungen wird deutlich, was das Kriterium Stand der Technik konkret bedeutet. Da die Landesdatenschutzgesetze dem 9 BDSG ähnlich lautende Bestimmungen enthalten (beispielsweise in 10 DSG NRW), könnten die jeweiligen Landesaufsichtsbehörden an die Mailserver universitärer Rechenzentren die gleichen Anforderungen hinsichtlich der eingesetzten Verschlüsselungsverfahren stellen. Zudem ist davon auszugehen, dass die Landesdatenschutzbehörden ähnliche (anlasslose) Überprüfungen durchführen werden beziehungsweise dies bereits getan haben. Denn auch und vielleicht gerade Hochschulen sind vor Fehlern im System und Ausspähungen durch Unbefugte nicht gefeit. Für eine noch sicherere Kommunikation sprechen sich nun sowohl die Bundesregierung mit ihrem Vorschlag einer verpflichtenden Ende-zu-Ende-Verschlüsselung bei -Diensten aus wie auch die Konferenz der Datenschutzbeauftragten in ihrer Anlage zur Entschließung vom ( Gewährleistung der Menschenrechte bei der elektronischen Kommunikation, abrufbar unter: attachments/990/kommunikation.pdf? ). In dieser Anlage forderten die Datenschutzbeauftragten außerdem die Bereitstellung einer von jeder Person einfach bedienbaren Verschlüsselungsinfrastruktur, eine sichere und vertrauenswürdige Bereitstellung von Internetangeboten, die Förderung der Vertrauenswürdigkeit informationstechnischer Systeme durch Zertifizierung, die Sensibilisierung von Nutzerinnen und Nutzern moderner Technik, die ausreichende Finanzierung für Maßnahmen der Informationssicherheit und einiges mehr. Jetzt gilt es jedoch zunächst, die bestehenden Verschlüsselungsmaßnahmen einzusetzen und Sicherheitslücken zu schließen, um aus den Fehlern der freien Wirtschaft zu lernen - nicht nur zur Vermeidung möglicher Bußgelder, sondern insbesondere zur Gewährleistung einer sicheren Kommunikation.
5 DFN-Infobrief Recht 11 / 2014 Seite 5 Macht die Schotten dicht oder doch nicht? Oberlandesgericht Köln hält Verpflichtung zur Einrichtung von Netzsperren durch Internetzugangsanbieter für unzumutbar von Florian Klein Die Haftung von Internetzugangsanbietern war in letzter Zeit nicht nur vor deutschen Gerichten häufig ein Streitthema. Im Mittelpunkt dieser Streitigkeiten steht regelmäßig die Frage, ob Internetzugangsanbieter verpflichtet werden können, den Zugang zu bestimmten Internetseiten zu sperren, wenn diese für Rechtsverletzungen genutzt werden können und die jeweiligen Rechteinhaber Unterlassungsansprüche geltend machen. Eine derartige Konstellation lag nun dem Oberlandesgericht (OLG) Köln (Urt. v Az. 6 U 192/11) zur Entscheidung vor, welches einer solchen Verpflichtung nach ausführlicher Auseinandersetzung mit den verschiedenen technischen Sperrmechanismen sowie detaillierter und differenzierter rechtlicher Einordnung im konkreten Fall eine klare Absage erteilte. I. Hintergrund und Rechtslage Dass die Verpflichtung von Access-Providern zur Einrichtung von Netzsperren überhaupt zur Diskussion steht, ist auf die zahlreichen Rechtsverletzungen (insbesondere Urheberrechtsverletzungen) zurückzuführen, die Tag für Tag mithilfe der Möglichkeiten des Internets begangen werden. Dabei ist es für die Rechteinhaber in der Praxis häufig sehr schwer, wenn nicht gar aussichtlos, gegen die eigentlichen Täter vorzugehen und dadurch beispielsweise die Löschung von rechtswidrig hochgeladenen, urheberrechtsverletzenden Inhalten zu bewirken. Um ihre Rechte dennoch auf möglichst breiter Ebene zu schützen, werden deshalb die Internetzugangsanbieter (Access-Provider) in Anspruch genommen, die durch eine Sperrung des Zugangs zu bestimmten Seiten die Nutzung solcher rechtswidrigen Inhalte zumindest erschweren sollen. Ob diesen jedoch gerichtlich Sperrungsverpflichtungen auferlegt werden können oder ob solche möglicherweise sogar durch einen bloßen Hinweis auf Webseiten mit rechtswidrigen Inhalten entstehen können, ist aus rechtlicher Sicht noch nicht endgültig geklärt. Indem Access-Provider ihren Kunden einen Internetzugang zur Verfügung stellen, leisten sie einen wenn auch sehr geringen und entfern ten Verursachungsbeitrag zur Rechtsverletzung. Zwar scheidet eine unmittelbare Täterschaft insofern aus, allerdings wird häufig diskutiert, das Instrument der sogenannten Störerhaftung zur Haftungsbegründung zu bemühen. Ein Störer kann vom Rechteinhaber auf Unterlassung bzw. Beseitigung der Rechtsverletzung in Anspruch genommen werden. Störer ist dabei nach ständiger Rechtsprechung jeder, der ohne Täter oder Teilnehmer zu sein in irgendeiner Weise willentlich und adäquat kausal zur Verletzung des geschützten Rechtsguts beiträgt. Um eine Entgrenzung der Störerhaftung zu verhindern, ist allerdings zusätzlich erforderlich, dass der Störer zumutbare Prüfpflichten verletzt hat. Deren Umfang bestimmt sich danach, ob und inwieweit dem potentiellen Störer nach den Umständen des Einzelfalls eine Prüfung zuzumuten ist. Ob die Störerhaftung unterdessen überhaupt als Rechtsgrundlage ausreicht und ob deren Voraussetzungen bei Access-Providern erfüllt sind, sind die Kernfragen der Diskussion. Probleme bereiten hier insbesondere die Fragen, inwiefern durch solche Netzsperren das Fernmeldegeheimnis berührt wird und ob es eine hinreichende Rechtsgrundlage für derartige Verpflichtungen gibt. Den Auftakt der (ober-)gerichtlichen Entscheidungen der jüngeren Vergangenheit zur Problematik der Netzsperren durch Access-Provider bildete ein Urteil des OLG Hamburg (Urteil vom Az. 5 U 68/10). Dieses sah in IP-, URL- und DNS-Sper-
6 DFN-Infobrief Recht 11 / 2014 Seite 6 ren einen Eingriff in das grundrechtlich geschützte Fernmeldegeheimnis, welcher mangels spezieller gesetzlicher Regelung, die einen solchen Eingriff rechtfertigen könnte, rechtswidrig sei. (s. hierzu Klein, Löst dem Internet die Fesseln! in: DFN- Infobrief Recht 03/2014). Kurze Zeit später folgte ein Urteil des Gerichtshofs der Europäischen Union (EuGH, Urt. v C ), der feststellte, dass die EU-Grundrechte es zulassen, dass ein nationales Gericht einen Access-Provider zur Einrichtung von Netzsperren verpflichtet. Dies gilt allerdings nur unter bestimmten einschränkenden Voraussetzungen. So darf die gerichtliche Anordnung beispielweise nicht die konkret zu ergreifenden Maßnahmen vorschreiben. Hier wird dem Anbieter also ein gewisser Spielraum bei der Entscheidung belassen, welche Art von Sperren er einsetzen möchte, damit er die für ihn am besten umsetzbare Lösung wählen kann und möglichst wenig belastet wird. Außerdem dürfen die ergriffenen Maßnahmen den Internetnutzern nicht unnötig die Möglichkeit vorenthalten, in rechtmäßiger Weise Zugang zu den verfügbaren Informationen zu erlangen. Ferner müssen sie bewirken, dass unerlaubte Zugriffe auf die geschützten Werke verhindert oder zumindest erschwert werden und dass die Kunden des Access-Providers ernsthaft entmutigt werden, auf die ihnen rechtswidrig zugänglich gemachten Inhalte zuzugreifen. Aus diesem Urteil ergibt sich im Ergebnis aber nur, dass Netzsperren mit europäischem Recht vereinbar sein können. Insofern ist auch Art. 8 Abs. 3 der InfoSoc-Richtlinie (RL 2001/29/ EG) zu beachten. Dieser verlangt von den Mitgliedstaaten, dass sie sicherstellen, dass Rechtsinhaber gerichtliche Anordnungen gegen Vermittler beantragen können, deren Dienste von einem Dritten zur Verletzung eines Urheberrechts oder ähnlicher Schutzrechte genutzt werden. Weder aus dem Urteil des EuGH noch aus dieser Norm lässt sich allerdings eine Zulässigkeit von Sperrungen nach deutschem Recht oder gar ein Anspruch darauf ableiten. Sollte im Rahmen der Sperrmaßnahmen auf den Inhalt und/oder die Umstände des jeweiligen Kommunikationsvorgangs zugegriffen werden, läge darin ein Eingriff in das durch Art. 10 Abs. 1 Grundgesetz (GG) und 88 Telekommunikationsgesetz (TKG) geschützte Fernmeldegeheimnis, der einer besonderen Rechtfertigung bedarf (s. hierzu auch Kuta, Bis hierhin und nicht weiter!, DFN-Infobrief Recht 06/2014). In dem nun vorliegenden Urteil des OLG Köln prüft das Gericht ähnlich wie das OLG Hamburg die Relevanz von DNS-, IP- und URL-Sperren im Hinblick auf das Fernmeldegeheimnis und setzt sich mit der Frage auseinander, ob es eine hinreichende Rechtsgrundlage gibt, um die Access-Provider zur Einrichtung solcher Sperren zu verpflichten. II. Die Entscheidung des Gerichts Das OLG Köln kommt anders als das OLG Hamburg zu dem Ergebnis, dass nur bei URL-Sperren im Gegensatz zu IP- und DNS-Sperren ein Eingriff in das Fernmeldegeheimnis gegeben ist, für den eine spezialgesetzliche Rechtsgrundlage erforderlich ist. Da das Instrument der Störerhaftung diesen Anforderungen nicht genügt, hält es eine Verpflichtung von Access-Providern zur Einrichtung von URL-Sperren für unzumutbar und unzulässig. Im Ergebnis soll dies auch für DNSund IP-Sperren gelten, obwohl die Störerhaftung insofern als Rechtsgrundlage grundsätzlich ausreichen soll. Ausschlaggebend für diese Bewertung war, dass Aufwand, Kosten und Konsequenzen solcher Sperren im konkreten Fall außer Verhältnis zu ihrem Nutzen standen. 1. Sachverhalt Ausgangspunkt der Entscheidung war eine Klage einiger Hersteller von Tonträgern gegen ein Telekommunikationsunternehmen, das seinen Kunden den Zugang zum Internet vermittelte. Die klagenden Tonträgerhersteller sahen sich durch das Download-Angebot von Internettauschbörsen in ihren Rechten verletzt und forderten deshalb den beklagten Access-Provider dazu auf, beispielsweise durch Sperrung des Zugangs zu bestimmten Internetdiensten weitere Rechtsverletzungen durch Dritte oder Kunden zu verhindern. Hauptsächlich ging es dabei um goldesel.to, eines der größten deutschsprachigen Internetportale, auf dem angeblich illegale Downloads von Musik-, Film-, Buch- und Softwaredateien mittels einer umfangreichen Auflistung von Links vermittelt wurden. Zuvor hatten sich die Tonträgerhersteller als Inhaber der ausschließlichen Nutzungsrechte bestimmter, konkret benannter Musikstücke weitgehend erfolglos an den Host-Service-Provider dieses Internetdienstes gewandt. Zur Begründung ihres Sperrungsverlangens beriefen sich die Kläger auf die Störerhaftung. Insbesondere hielten sie DNS- oder IP-Adressen-Sperren für sowohl technisch als auch rechtlich möglich, wobei gelegentlich eine Aktualisierung der Liste der zu blockierenden URLs und/oder IP-Adressen erforderlich sei. Dem trat das beklagte Telekommunikationsunternehmen
7 DFN-Infobrief Recht 11 / 2014 Seite 7 entgegen und verweigerte die Einrichtung von Netzsperren jeglicher Art. 2. Urteil Im Ergebnis gab das OLG Köln dem beklagten Telekommunikationsunternehmen Recht und wies die Klage auf Verpflichtung zur Einrichtung von Netzsperren ab. Rechtsverletzung und Unterlassungsanspruch aus EU- Richtlinie Zunächst stellen die Richter fest, dass eine Verletzung der Rechte der Tonträgerhersteller vorliege, da von der Seite goldesel.to in erheblichem Umfang urheberrechtlich geschützte Werke zum Download angeboten würden und es unzweifelhaft sei, dass dieses Angebot auch auf eine urheberrechtswidrige Nutzung der jeweiligen Werke abziele. Dem stehe auch nicht entgegen, dass auf der Seite selbst nur Links auf die an anderem Orte im Internet angebotenen Inhalte befindlich seien. Des Weiteren sieht es das Gericht als erwiesen an, dass die Internetanschlüsse des Beklagten sowohl für die rechtswidrige Zugänglichmachung der geschützten Werke genutzt wurden als auch ein Download über diese möglich war. Im nächsten Punkt verneinen die Richter die Frage, ob sich ein Anspruch auf Einrichtung der Netzsperren durch den Beklagten unmittelbar aus Art. 8 Abs. 3 InfoSoc-Richtlinie ergibt. Obwohl insofern vorgeschrieben ist, dass gerichtliche Anordnungen gegen bestimmte Vermittler möglich sein müssen, sei eine unmittelbare Anwendung einer Richtlinie, welche einer Umsetzung in nationales Recht durch die jeweiligen Mitgliedstaaten bedarf, in einem Rechtsstreit zwischen Privaten ausgeschlossen. Voraussetzungen der Störerhaftung Erst danach wird umfassend eine Haftung des Telekommunikationsunternehmens als Störer diskutiert und im Ergebnis abgelehnt. Dazu befasst sich das Gericht mit der Problematik der Verletzung von Prüfpflichten, die für eine Störerhaftung vorliegen müsse. Der jeweilige Pflichtenumfang richte sich nach den konkreten Umständen unter Berücksichtigung der Funktion und Aufgabenstellung des vermeintlichen Störers sowie der Eigenverantwortung des unmittelbaren Rechtsverletzers. Einzubeziehen sei auch, ob der potentielle Störer eigene erwerbswirtschaftliche Zwecke verfolgt und dabei wirtschaftlich von der Begehung von Rechtsverletzungen profitiert. Auch die Leichtigkeit der Erkennbarkeit einer Rechtsverletzung spiele insofern eine Rolle. Insgesamt dürften aber keine Kontrollmaßnahmen verlangt werden, die sein Geschäftsmodell wirtschaftlich gefährden oder zu einer unverhältnismäßigen Erschwerung seiner Tätigkeit führen. Weitergehende Pflichten seien jedoch bei einer besonderen Gefahrgeneigtheit des Dienstes möglich, welche vorliegen könne, wenn ein Geschäftsmodell von vornherein auf Rechtsverletzungen durch die Nutzer angelegt ist. Prüfpflichten dürften allerdings nicht so weit reichen, dass dem Internetdienstleister technisch unmögliche oder unzumutbare Maßnahmen abverlangt werden. Die Zumutbarkeit bestimmter Maßnahmen zur Unterbindung von Rechtsverletzungen durch Kunden sei dabei Voraussetzung eines entsprechenden Unterlassungsanspruchs gegen den Internetdiensteanbieter aufgrund der Störerhaftung. Bei der Auslegung des Instituts der Störerhaftung sei außerdem das höherrangige europäische Recht zu berücksichtigen, welches vorschreibt, dass gerichtliche Anordnungen gegen Vermittler bei Urheberrechtsverletzungen erlassen werden können. Andererseits ergebe sich aus der Richtlinie 2000/31/EG, dass Internetdiensteanbietern keine allgemeine Verpflichtung auferlegt werden dürfe, die von ihnen übermittelten Informationen zu überwachen oder aktiv nach Indizien für rechtswidrige Tätigkeiten zu forschen. Deshalb sei eine Verpflichtung zur aktiven Überwachung des gesamten Datenverkehrs der Kunden europarechtswidrig. Inwieweit Überwachungspflichten bestehen können, müsse zudem Ergebnis einer Abwägung mit der ebenfalls (grundrechtlich) geschützten unternehmerischen Freiheit der Zugangsvermittler und der Informationsfreiheit der Internetnutzer sein. Reichweite und Verletzung des Fernmeldegeheimnisses durch Netzsperren Trotz eindeutiger Richtlinienbestimmungen dürften jedoch die zwingenden Grenzen des nationalen Rechts nicht überschritten werden. Sofern das nationale Recht nicht einmal im Wege der Auslegung mit der Richtlinie in Übereinstimmung gebracht werden kann, sei es Sache des Gesetzgebers, eine Anpassung des nationalen Rechts an das europäische Recht vorzunehmen. Als solche zwingende Grenze komme das Fernmeldegeheimnis aus Art. 10 Abs. 1 GG in Betracht. Dieses schützt nicht nur die Kommunikationsinhalte, sondern auch die Vertraulichkeit der
8 DFN-Infobrief Recht 11 / 2014 Seite 8 näheren Umstände des Kommunikationsvorgangs. Zu diesen Umständen gehört, ob, wann und wie oft zwischen welchen Personen oder Einrichtungen Telekommunikation stattgefunden hat oder auch nur versucht worden ist. Bemerkenswert ist, dass das OLG Köln ausdrücklich feststellt, dass das Fernmeldegeheimnis auch uneingeschränkt für den Zugang zum Internet gilt, obwohl dieser nicht ausschließlich für die vom Fernmeldegeheimnis ursprünglich erfasste Individualkommunikation genutzt werden kann, sondern auch für die nicht geschützte Massenkommunikation. Ausschlaggebend für diese Beurteilung ist die Erwägung, dass eine Unterscheidung zwischen Individualund Massenkommunikation ohne Kontrolle des Inhalts nicht möglich ist und gerade eine solche Kontrolle dem Schutzzweck des Fernmeldegeheimnisses widersprechen würde. Das Fernmeldegeheimnis kann Netzsperren jedoch nur entgegenstehen, wenn diese aufgrund ihrer Funktionsweise überhaupt in das Fernmeldegeheimnis eingreifen. Bei IP-Adressen, URL und Domain-Namen handele es sich zwar durchaus um grundsätzlich geschützte nähere Umstände der Telekommunikation. Allerdings verbiete das Fernmeldegeheimnis nur eine Kenntnisnahme vom Inhalt oder den Umständen der Kommunikation, nicht dagegen die Verhinderung oder Erschwerung der Kommunikation als solcher. Für URL-Sperren, bei denen nicht komplette Domains oder IP-Adressen, sondern konkrete Zieladressen bzw. Unterseiten gesperrt werden, halten die Richter jedoch eine andere Beurteilung für geboten. Zwar erfolge im Ergebnis ebenfalls bloß eine Verhinderung der Kommunikation mit der Zieladresse, allerdings könnten URL-Sperren nur eingerichtet werden, wenn der Access-Provider sich weitgehender als sonst erforderlich Kenntnis vom Kommunikationsinhalt verschafft. Eine URL erlaube schon Rückschlüsse auf den Inhalt der abgerufenen Daten und zur Erkennung der Anfrage einer bestimmten URL durch den Nutzer müsse der gesamte Datenverkehr des Nutzers überprüft werden, was durch den Einsatz eines zusätzlichen Proxy-Servers erfolge. Der Eingriff in die Kommunikation ist hier also deutlich intensiver als bei den anderen beiden Arten von Netzsperren, sodass das Fernmeldegeheimnis bei URL- Sperren berührt ist. Da DNS- und IP-Adressen-Sperren nach Ansicht des OLG Köln (und in Widerspruch zur Ansicht des OLG Hamburg) nicht in das Fernmeldegeheimnis eingreifen, soll für sie auch keine spezialgesetzliche Grundlage erforderlich sein, sondern das allgemeine Institut der Störerhaftung als gesetzliche Grundlage ausreichen. Für URL-Sperren dagegen bedürfe es einer ausdrücklichen und eindeutigen gesetzlichen Grundlage. Bei DNS-Sperren, die vereinfacht ausgedrückt durch eine Änderung des Eintrags des zu sperrenden Domain-Namens auf den DNS-Servern erfolgen, liege aber nur eine solche schlichte Verhinderung der Kommunikation vor. Dass der Access-Provider durch die Anfrage des Internetnutzers bereits Kenntnis von den geschützten Umständen der Kommunikation erlange, sei unschädlich, weil diese Kenntnis nicht über diejenige hinausgehe, die mit jedem Kommunikationsvorgang über den Access- Provider verbunden sei. Allein die Verweigerung des Zugangs verschaffe ihm noch keine weitergehenden Informationen, solange nicht gespeichert werde, dass ein erfolgloser Zugriffsversuch stattgefunden hat. Für IP-Adressen-Sperren, bei denen die Routing-Tabellen auf den Routern so verändert werden, dass der Nutzer die angefragte IP-Adresse selbst bei direkter Eingabe nicht mehr erreichen kann, gelte Ähnliches. Auch hier liege bloß eine Erschwerung bzw. Verhinderung der Kommunikation mit einem bestimmten Internetangebot vor, die vom Fernmeldegeheimnis nicht erfasst sei. Somit steht für die Richter fest, dass auch reine Zugangsvermittler grundsätzlich im Wege der Störerhaftung in Anspruch genommen werden können. Insbesondere sei die Rechtsprechung des EuGH zu beachten, die eine Ermöglichung der Inanspruchnahme von Zugangsvermittlern fordert. Deshalb dürfe die Auslegung des deutschen Rechts nicht mehr dazu führen, dass Access-Provider bezüglich Rechtsverletzungen im Internet allgemein von der Haftung freigestellt sind. Störerhaftung im konkreten Fall Im Folgenden wendet das Gericht dann die Grundsätze der Störerhaftung auf den konkreten Fall an. Eine Haftung als Täter oder Teilnehmer scheide für das beklagte Telekommunikationsunternehmen aus, allerdings sei sein Verhalten die Bereitstellung des Internetzugangs adäquat kausal für die streitgegenständlichen Urheberrechtsverletzungen. Schwieriger zu beurteilen ist die Verletzung zumutbarer Prüfungspflichten. Hierbei geht es primär um die technische Möglichkeit und Zumutbarkeit solcher Sperren, welche für jede Art
9 DFN-Infobrief Recht 11 / 2014 Seite 9 von Sperren einzeln zu prüfen ist. Bevor diese differenzierende Einzelprüfung erfolgt, benennen die Richter jedoch noch einige Umstände, die für alle Sperrmaßnahmen berücksichtigt werden müssten. So sei auf Seiten der Urheberrechtsinhaber der grundrechtliche Schutz des Eigentums zu beachten, während zugunsten des Beklagten zu Buche schlage, dass er als Internetzugangsvermittler ein legitimes und gesellschaftlich erwünschtes Geschäftsmodell betreibe und sein Angebot dabei auch keine besondere Gefahrgeneigtheit aufweise. Ferner sei die Störerhaftung zwar nicht subsidiär gegenüber der Haftung der eigentlichen Täter, sodass sie grundsätzlich auch zur Anwendung kommen kann, wenn die unmittelbaren Rechtsverletzer belangt werden können. Allerdings sei die Tatsache, dass Dritte zu einer effektiveren Abstellung der Rechtsverletzungen in der Lage seien, im Rahmen der Prüfung der Zumutbarkeit einzubeziehen. Zugunsten der Kläger unterstellte das OLG Köln jedoch, dass ein Vorgehen gegen die in Russland ansässigen Host-Provider der Seite goldesel.to nicht effektiv möglich sei. Außerdem weisen die Richter darauf hin, dass auf der Seite goldesel.to nicht die geschützten Inhalte selbst angeboten werden, sondern nur Links gesammelt sind, die das Auffinden der Inhalte im Internet erleichtern. Insofern gebe es für die Nutzer also die Möglichkeit, bei einer Sperre der Seite auf andere Seiten mit Linksammlungen auszuweichen, was ebenfalls eine Rolle bei der Zumutbarkeit von Sperren spiele. Schließlich sei auch noch festzuhalten, dass die diskutierten Sperrmaßnahmen zwar allesamt technisch möglich seien, aber sie in gleicher Weise umgangen werden könnten. Unzumutbarkeit der Netzsperren Für DNS- und IP-Adressen-Sperren bedeutet das nach Ansicht der Richter Folgendes: Beide Arten von Sperren würden den Zugriff auf die Seite goldesel.to insgesamt blockieren. Dadurch wären also nicht nur die sechs Musik-Alben, an denen die Kläger die Rechte besitzen, vor dem Zugriff über die dort vorgehaltenen Links geschützt, sondern zusätzlich eine unüberschaubare Vielzahl der anderen abrufbaren Musik-, Film-, Buch- und Softwareangebote, zu deren Rechtewahrnehmung die Kläger gar nicht berechtigt seien. Der erreichte Schutz würde somit weit über das Maß hinausgehen, das die Kläger aufgrund ihrer eigenen Rechtsposition verlangen könnten. Selbst wenn ein Großteil der anderen Angebote ebenfalls rechtswidrig sei, verbleibe immer noch ein Teil, dessen Zugänglichmachung im Internet aus verschiedenen Gründen rechtmäßig sein könne sei es, dass bestimmte Werke in bestimmten EU- Mitgliedstaaten gemeinfrei und damit gar nicht geschützt seien oder aber dass sie von den Urhebern selbst kostenlos ins Internet eingestellt wurden (z.b. das freie Betriebssystem Linux). Nach dem Vortrag der Kläger machten legitime Angebote nur knapp 4% des Gesamtangebots aus, was in absoluten Zahlen jedoch bedeute, dass ca Musiktitel und ca Dateien insgesamt legal abrufbar seien, welche von einer DNS-/IP- Adressen-Sperre ebenfalls betroffen wären. Eine solche Menge könne weder für sich genommen noch im Vergleich zu den sechs Musik-Alben der Kläger als vernachlässigbar eingestuft werden, zumal die Zahlen der Klägerin sich nur auf die Kategorie der Musikwerke bezogen. Außerdem dürften Netzsperren nach Ansicht des EuGH nicht dazu führen, dass Internetnutzer, die Dienste des Access-Providers zum rechtmäßigen Informationszugang nutzen, beeinträchtigt werden. Neben der möglichen Beeinträchtigung des Zugangs zu rechtmäßigen Inhalten sei zu bedenken, dass DNS- und IP-Adressen- Sperren nur eine geringe Effektivität aufweisen. Inwiefern die Umgehungsmöglichkeiten tatsächlich genutzt würden, sei zwar streitig, aber von einer massiven Reduzierung der Zugriffe auf gesperrte Seiten könne nicht ausgegangen werden. Auch sei mit Gegenmaßnahmen der Betreiber der gesperrten Seite zu rechnen, um ihrerseits die Sperren zu umgehen. Hinsichtlich der DNS-Sperren könnte die Möglichkeit der Umgehung durch Wechsel auf andere Nameserver zwar durch eine Sperre des Ports 53 unterbunden werden, über welchen die Kommunikation mit Nameservern läuft, allerdings würde dadurch erheblich in die Infrastruktur des Internets eingegriffen, nur um den Zugriff auf eine einzige Internetseite zu verhindern, was als unverhältnismäßig anzusehen sei. Bei IP-Adressen-Sperren gebe es zwar keine Ausweichmöglichkeit auf alternative Nameserver, aber es sei zu berücksichtigen, dass unter einer IP-Adresse mehrere Domains erreichbar sein können, zu denen der Zugang durch die Sperre ebenfalls blockiert würde. Schließlich müssten noch die wirtschaftlichen Belange des Access-Providers einbezogen werden, wobei es vor allem um den mit der Einrichtung der Sperren verbundenen technischen und finanziellen Aufwand geht. Denn die Sperren dienten nicht der Wahrung von Gemeinwohlbelangen, sondern nur dem individuellen Nutzen der Kläger. Während für die Einrichtung und Erweiterung einer DNS-Sperre nur ein geringer Aufwand erfor-
10 DFN-Infobrief Recht 11 / 2014 Seite 10 derlich sei und nur geringe Risiken für den operativen Betrieb bestünden, seien IP-Adressen-Sperren mit einem erheblichen Planungs- und Testaufwand verbunden und könnten zu einer Reihe von Problemen bei der Erbringung des Dienstes führen. Auch die nachfolgende Unterhaltung der Sperrvorrichtungen erfordere einen nicht unbeträchtlichen organisatorischen Aufwand und binde personelle Kapazitäten zur Überwachung der Aktualität der Sperren. Der beklagte Access-Provider schätzte im konkreten Fall die Kosten für die Einrichtung der Sperren auf mindestens eine Million Euro. Aufgrund des (unzureichenden) klägerischen Vortrags im konkreten Prozess sieht das Gericht es als nicht hinreichend bewiesen an, dass dem Internetzugangsanbieter wirtschaftlich zumutbare Maßnahmen zur Verfügung stehen, mittels derer eine Einschränkung der rechtswidrigen Nutzung der geschützten Inhalte realisierbar sei. Selbst wenn dieser Punkt außer Acht gelassen würde, würden die negativen Auswirkungen solcher Sperren immer noch zu ihrer Unzumutbarkeit führen. Abschließend erörtert das Gericht noch die konkrete Zumutbarkeit von URL-Sperren, die es ebenfalls verneint. URL-Sperren hätten zwar den Vorteil, dass sie die Blockierung des Zugangs zu legitimen Inhalten vermeiden. Allerdings würden sie ins Fernmeldegeheimnis eingreifen und bedürften einer spezialgesetzlichen Ermächtigung. Hilfsweise wird die Unzumutbarkeit von URL-Sperren aber noch auf weitere Erwägungen gestützt: Filterungen dürften nicht den gesamten Datenverkehr der Kunden erfassen, sondern nur den Datenverkehr mit goldesel.to. Außerdem wäre der wirtschaftliche und technische Aufwand für die Einrichtung der Sperre sehr hoch, da der Einsatz spezieller Hard- und Software erforderlich sei und die Systeme auf Server-Farmen betrieben werden müssten, um bei dem beklagten Access-Provider angesichts seiner Größe seinen Zweck erfüllen zu können. Mangels Zumutbarkeit der Einrichtung solcher Sperren lehnte das OLG Köln somit eine Störerhaftung vollumfänglich ab und verneinte einen entsprechenden Unterlassungsanspruch der Kläger. III. Fazit und Konsequenzen für die Hochschulpraxis Wieder einmal wurde dem Begehren nach einer Einrichtung von Netzsperren durch Internetzugangsanbieter eine Absage erteilt, was für die Hochschulrechenzentren, die als Anbieter von Internetzugängen für Studenten und Mitarbeiter als Access-Provider anzusehen sind und sich ähnlichen Forderungen ausgesetzt sehen könnten, eine gute Nachricht ist. Bemerkenswert ist jedoch, dass das OLG Köln dies allein auf die Umstände des Einzelfalls stützt und sogar eindeutig feststellt, dass eine generelle Freistellung der Zugangsvermittler von Ansprüchen wegen Rechtsverletzungen im Internet nicht mehr möglich sein soll. Tatsächlich liegt hier die Vermutung nahe, dass im Hinblick auf die InfoSoc-Richtlinie ein Umsetzungsdefizit im deutschen Recht vorliegt, da gerichtliche Anordnungen gegen Access-Provider häufig mangels gesetzlicher Grundlage nicht erlassen werden können. Dennoch ist es richtig, die Verantwortung hier beim deutschen Gesetzgeber zu sehen und auf dessen Tätigwerden zu warten, statt im Wege einer angreifbaren, richterlichen Rechtsfortbildung die Grenzen der nationalen Gesetze überzustrapazieren. Unterdessen kann man sich auch fragen, ob Netzsperren in der Form, wie der EuGH es sich vorstellt, in der Praxis überhaupt möglich sind, da es häufig schwierig sein wird, unerlaubte Zugriffe auf geschützte Werke zu verhindern oder zu erschweren, zugleich aber den Zugriff auf rechtmäßig zugängliche Inhalte nicht zu behindern und dabei auch noch das Fernmeldegeheimnis zu wahren. Aus dem Urteil des OLG Köln lassen sich im Hinblick auf das geltende Recht auch einige Lehren für die Hochschulen ziehen. So dürfte die Einrichtung von URL-Sperren übereinstimmend mit dem OLG Hamburg als Eingriff in das Fernmeldegeheimnis und damit mangels spezialgesetzlicher Grundlage wohl als nicht zumutbar angesehen werden. Entsprechenden Forderungen von Rechteinhabern sollten die Rechenzentren daher eher nicht nachkommen. Bezüglich der IP-Adressen- und DNS-Sperren ergibt sich dagegen ein differenzierteres Bild. Zumindest das OLG Köln hält diese aufgrund der Störerhaftung für grundsätzlich möglich, allerdings können die konkreten Umstände zu einer Unzumutbarkeit führen. Eine Abwägung im Einzelfall dürfte daher unumgänglich sein. Ist der technische, finanzielle und personelle Aufwand zur Einrichtung solcher Sperren sehr hoch und geht es um Webseiten, auf denen neben rechtsverletzenden Inhalten eine Vielzahl von Inhalten rechtmäßig zugänglich ist, die von einer Zugangssperre ebenfalls betroffen wären, sollte dies eine Verweigerung der Einrichtung von Sperren rechtfertigen können. Wie das Urteil zeigt, reicht es dafür auch schon aus,
11 DFN-Infobrief Recht 11 / 2014 Seite 11 wenn absolut gesehen eine nicht unerhebliche Zahl legitimer Inhalte tangiert wäre, ohne dass es erforderlich ist, dass die legitimen Inhalte die rechtswidrigen Inhalte überwiegen. Darüber hinaus ist gerade bei Hochschulrechenzentren noch zu beachten, dass deren Dienste für Wissenschaft und Forschung von großer Bedeutung sind, was in die Abwägung einzufließen hat. Für diese Zwecke kann es erforderlich sein, einen ungehinderten Zugang zum Internet nutzen zu können, auch wenn Wissenschaft und Forschung natürlich nicht als Vorwand für die Begehung von Rechtsverletzungen missbraucht werden dürfen. Schließlich muss noch berücksichtigt werden, welche Auswirkungen und Risiken solche Sperren für die Stabilität und Sicherheit des Netzes haben. Die Einrichtung von DNS- oder IP-Adressen-Sperren kann also nicht ohne Weiteres verlangt werden, sondern dürfte praktisch auch bei Hochschulrechenzentren noch auf Ausnahmefälle beschränkt sein. Dies gilt umso mehr, als das OLG Hamburg diese ohnehin als Eingriff in das Fernmeldegeheimnis ansieht und dafür eine besondere gesetzliche Grundlage fordert. Die nationale Rechtslage bietet zurzeit noch gute Argumente, um sich Sperrungsbestrebungen zu widersetzen, sodass entsprechende Begehren von Rechteinhabern in jedem Fall mit dem Hochschuljustiziariat besprochen werden sollten. Ob ein Vorgehen gegen Internetzugangsanbieter überhaupt möglich sein sollte, ist eine Frage, über die sich trefflich streiten lässt, die aber nach aktueller europäischer Rechtslage grundsätzlich zu bejahen ist. Dennoch wäre es zumindest überlegenswert, angesichts der hohen gesellschaftlichen Bedeutung der Dienste von Access-Providern von einer Möglichkeit der Inanspruchnahme abzusehen, zumal der jeweilige Tatbeitrag dieser Diensteanbieter verschwindend gering ist. Vorrangig sollte stets eine Inanspruchnahme der eigentlichen Täter sein. Sofern dies in Anbetracht der internationalen Dimension des Internets nicht möglich ist, müsste diese Konsequenz in Kauf genommen werden, da auch im Offline-Bereich eine Rechtsdurchsetzung auf globaler Ebene oft faktisch ausgeschlossen ist. Da die Revision zugelassen wurde, darf man jedenfalls mit Spannung erwarten, wie der Bundesgerichtshof in letzter Instanz zur Thematik der Netzsperren Stellung nehmen und welche Schlüsse er aus dem oben erwähnten EuGH-Urteil ziehen wird.
12 DFN-Infobrief Recht 11 / 2014 Seite 12 Weniger Papier ist mehr! Europäischer Gerichtshof macht den Weg für digitale Leseplätze frei von Philipp Roos Nachdem der Generalanwalt des Europäischen Gerichtshofs (EuGH) Niilo Jääskinen bereits für eine wissenschaftsfreundliche Auslegung der urheberrechtlichen Bibliotheksschranke plädiert hatte, schloss sich der EuGH diesen Erwägungen ganz überwiegend an (Urteil v C-117/13). Die Schlussanträge des Generalanwalts wurden im DFN-Infobrief Recht 8/2014 ausführlich besprochen. Der EuGH ebnet somit den Weg für die Einrichtung digitaler Leseplätze in Bibliotheken, aber auch in Museen und Archiven. I. Hintergrund Die Bibliotheksschranke aus 52b Urheberrechtsgesetz (UrhG) soll es öffentlich zugänglichen Bibliotheken, Museen oder Archiven ermöglichen, in bestimmten Grenzen ihren Buchbestand zu digitalisieren und ihn den Nutzern an digitalen Leseplätzen zur Verfügung zu stellen. Dabei liegt es auf der Hand, dass dies mit den Interessen der Buchverlage kollidiert, die befürchten, in Folge der Regelung wirtschaftliche Einbußen zu erleiden. In einem als Musterprozess geführten Verfahren zwischen dem Eugen Ulmer Verlag und der TU Darmstadt, die als eine der ersten Hochschulen digitale Leseplätze eingerichtet hatte, musste sich schließlich der Bundesgerichtshof (BGH) mit der Auslegung der Bibliotheksschranke auseinandersetzen. Innerhalb der Verhandlungen kristallisierte sich heraus, dass für das korrekte Verständnis der deutschen Norm die Einbeziehung von Wertungen der europarechtlichen Vorgaben unerlässlich ist. So beruht 52b UrhG auf einer EU-Richtlinie (Richtlinie 2001/29/ EG zur Harmonisierung bestimmter Aspekte des Urheberrechts und der verwandten Schutzrechte in der Informationsgesellschaft, im Folgenden: InfoSoc-RL). Der BGH setzte folgerichtig das Verfahren aus und stellte dem EuGH drei sog. Vorlagefragen, um zu gewährleisten, dass das nationale Verständnis der Norm in Einklang mit den europäischen Vorgaben steht. II. Die Entscheidung des Gerichts Der EuGH musste über drei Fragen entscheiden, die der BGH an ihn gerichtet hatte. 1. Lizenzangebot als vertragliche Regelung? Die erste Frage des BGH betraf den Umstand, ob ein angemessenes Lizenzangebot des Verlags dazu führt, dass die Bibliotheksschranke nicht mehr eingreifen kann. So sieht Art. 5 Abs. 3 Buchstabe n der InfoSoc-RL vor, dass die Bibliotheksschranke nur dann eingreift, wenn keine Regelungen über Verkauf und Lizenzen gelten. In 52b UrhG heißt es, dass der Wiedergabe eines Werkes an einem digitalen Leseplatz keine vertraglichen Regelungen entgegenstehen dürfen. Der EuGH kommt zu dem Ergebnis, dass ein bloßes Lizenzangebot keine vertragliche Regelung im Sinne der Norm sei. Dies stellt sich als Kernaussage des Urteils dar, da die Bedeutung der Bibliotheksschranke ansonsten erheblich eingeschränkt wäre. Das Gericht gelangt zu diesem Ergebnis, indem es sich auf den Wortlaut sowie die Zweckbestimmung der InfoSoc-RL beruft. So ergebe sich aus sämtlichen Übersetzungen der Richtlinie, dass der Unionsgesetzgeber tatsächlich vereinbarte Vertragsklauseln im Blick gehabt habe. Auch der Zweck der Bestimmung spreche dafür, dass der Rechteinhaber die Bibliotheksschranke nicht durch eine einseitige, in seinem Belieben stehende Handlung außer Kraft setzen können soll. Im Mittelpunkt stehe das Allgemeininteresse an der Förderung der Forschung und privater Studien. Überdies enthalte die Norm durch mehrere eingrenzende Tatbestandsmerkmale schon den erforderlichen Interessenausgleich. 2. Vorherige Digitalisierung mitumfasst? In der zweiten Vorlagefrage ging es darum, ob die Bibliotheksschranke auch die regelmäßig notwendige Digitalisierung
13 DFN-Infobrief Recht 11 / 2014 Seite 13 also eine Vervielfältigungshandlung des Werkes mitumfasst. Der EuGH leitet aus der Richtlinie her, dass ein akzessorisches Vervielfältigungsrecht besteht. Ansonsten drohe es, dass die Bestimmung ihren sachlichen Gehalt verlieren würde. Gleichzeitig betont das Gericht, dass die normale Verwertung des Werkes nicht beeinträchtigt werden dürfe, was 52b UrhG durch seine Einschränkungen jedoch sicherstelle. 3. Ausdruck und Möglichkeit zur Speicherung auf USB- Sticks Zuletzt wollte der BGH wissen, ob die Bibliotheksschranke im Falle des Ausdruckens einzelner Seiten und der Speicherung auf einem USB-Stick eingreift und diese Handlungen rechtfertigt. Dies verneint der EuGH. So betont er, dass entsprechende Vervielfältigungshandlungen nicht erforderlich seien und somit auch kein akzessorisches Recht bestehen könne. Zugleich lässt das Gericht aber eine Hintertür offen: Ausdruck und Speicherung auf einem USB-Stick könnten sich unter Umständen durch nationale Rechtsvorschriften rechtfertigen lassen. III. Fazit und Konsequenzen für die Hochschulpraxis Sämtlichen Erwägungen des EuGH kann ohne Bedenken gefolgt werden und die Argumente des Gerichts wissen zu überzeugen. Er schließt sich im Ergebnis den Schlussanträgen des Generalanwalts vollständig an. Mit der Auslegung von 52b UrhG bzw. seinem Verständnis von den Vorgaben aus der Info- Soc-RL ebnet der EuGH den Weg für digitale Leseplätze. Damit wird dem Willen des Unionsgesetzgebers Geltung verschafft. Die Entscheidung erscheint insbesondere richtig, wenn man sich die Konsequenzen der vom Ulmer Verlag vorgetragenen Argumentation vor Augen führt. Hätte sich der EuGH der Auffassung der Verlage angeschlossen, wäre 52b UrhG in der Praxis wertlos geworden: Ein Angebot des Verlags hätte gereicht, um 52b UrhG auszuschließen. So aber ermöglicht es der EuGH den Bibliotheken, digitale Leseplätze mit der nötigen Rechtssicherheit einzurichten. Sie können dabei von den Verlagen unabhängig agieren, soweit in möglichen anderen Lizenzverträgen zwischen der Bibliothek und dem Rechteinhaber nichts Gegenteiliges vereinbart wurde. Zu beachten ist, dass 52b UrhG auch die Interessen der Urheber und der Rechteinhaber berücksichtigt. Die Norm verlangt, dass sich das Werk im Bestand der Einrichtung befinden muss und schränkt zusätzlich ein, dass nicht mehr Exemplare gleichzeitig zugänglich gemacht werden dürfen, als der Bestand der Einrichtung umfasst. Zudem erhalten die Urheber eine angemessene Vergütung für die Zugänglichmachung, die nur von einer Verwertungsgesellschaft wie der VG Wort wahrgenommen wird. Auch betreffend die Möglichkeit des Ausdrucks und der Speicherung von auf den elektronischen Leseplätzen aufgerufenen Seiten eines Werkes wissen die Ausführungen des EuGH zu überzeugen. Das Gericht beschränkt sich diesbezüglich allerdings nur auf das Wesentliche, ohne dass die Frage für das deutsche Recht damit endgültig geklärt wäre. Hierbei geht es um die Reichweite der Privatkopierfreiheit in 53 UrhG. Ohnehin wenig umstritten war die Ansicht des EuGH, dass die voherige Vervielfältigung von 52b UrhG als Annex-Kompetenz mitumfasst sein muss. Nunmehr obliegt es dem Ersten Zivilsenat des BGH, unter Berücksichtigung der Vorgaben aus Luxemburg eine Entscheidung zu treffen. Die Ausführungen des EuGH lassen lediglich Deutungsspielraum, wenn es um die Möglichkeit des Ausdruckens oder Speicherns auf einem USB-Stick geht. Die grundsätzliche Zulässigkeit digitaler Leseplätze erscheint jedoch sichergestellt. Das bedeutet für die Hochschulbibliotheken, dass sie mit der rechtssicheren Einrichtung von digitalen Leseplätzen beginnen können. Die Entscheidung des EuGH hat damit das Potenzial, das Bild der Bibliotheken im 21. Jahrhundert radikal zu verändern. Anmerkung Zur Vertiefung und Ergänzung kann der vorangegangene Artikel zu den Schlussanträgen des Generalanwalts herangezogen werden: Roos, DFN-Infobrief Recht 8/2014, S. 2-5 ( Bibliothek 2.0: Alles digital, oder was? ).
14 DFN-Infobrief Recht 11 / 2014 Seite 14 Impressum Der DFN-Infobrief Recht informiert über aktuelle Entwicklungen in Gesetzgebung und Rechtsprechung und daraus resultierende mögliche Auswirkungen auf die Betriebspraxis im Deutschen Forschungsnetz. Herausgeber Verein zur Förderung eines Deutschen Forschungsnetzes e. V. DFN-Verein Alexanderplatz 1, D Berlin Redaktion Forschungsstelle Recht im DFN Ein Projekt des DFN-Vereins an der WESTFÄLISCHEN WILHELMS-UNIVERSITÄT, Institut für Informations-, Telekommunikations- und Medienrecht (ITM), Zivilrechtliche Abteilung Unter Leitung von Prof. Dr. Thomas Hoeren Leonardo-Campus 9 D Münster Nachdruck sowie Wiedergabe in elektronischer Form, auch auszugsweise, nur mit schriftlicher Genehmigung des DFN-Vereins und mit vollständiger Quellenangabe.