Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03475.jsonl.gz/576

Bei der Entwicklung von IoT-Geräten spielt der Datenschutz eine zentrale Rolle. Sobald über längere Zeit Daten erfasst und gespeichert werden, besteht die Gefahr, dass in die Privatsphäre von Personen eingegriffen wird. So kann beispielsweise aus den Verbrauchsdaten eines Wasserzählers auf die Lebensgewohnheiten der Bewohner einer Wohnung geschlossen werden.
Das Bundesgericht hatte sich in einem aktuellen Fall mit der Frage zu befassen, ob eine Gemeinde zu Recht intelligente Wasserzähler installieren liess, welche die Stundenwerte des Verbrauchs über einen Zeitraum von 252 Tagen speicherten und die Daten stets über Funk zur Ablesung bereithielten. Ein Hausbewohner wehrte sich gegen die Speicherung seiner Daten (Schweizerisches Bundesgericht, Entscheid 1C_273/2020 vom 5. Januar 2021).
Beim Wasserverbrauch gibt es einen Einheitstarif, daher ist es für die Abrechnung nicht relevant, zu welcher Tageszeit das Wasser verbraucht wird. Der Zählerstand wurde denn auch nur einmal pro Jahr ausgelesen. Es stellte sich die Frage, ob auf dem Zähler die Stundenwerte gespeichert werden durften, obwohl dies für die Abrechnung gar nicht notwendig war.
Das Bundesgericht sah die Privatsphäre des Bewohners verletzt: Wenn das Wasserwerk bloss einmal pro Jahr den Verbrauchswert auslesen möchte, ist es nicht erforderlich, dass der Zähler Stundenwerte speichert. Für die Wasserrechnung ist nur der Zählerstand am Stichtag relevant. Die Speicherung von Stundenwerten verstösst daher gegen das Prinzip der Datensparsamkeit. Daran ändert auch die Verschlüsselung der Daten nichts.
Für Hersteller von IoT-Geräten ist es daher wichtig, das Prinzip der Datensparsamkeit im Entwicklungsprozess von Anfang an zu berücksichtigen. Der Wasserzähler sollte in der Basisversion so konzipiert werden, dass er bloss den aktuellen Zählerstand speichert, sofern der Bewohner keine detaillierte Statistik über seinen Wasserverbrauch wünscht.
“Sufficiency of disclosure”, zu dt. “ausreichende Offenbarung", ist die eigentliche “Lehre“ des Patents, die der Anmelder als Gegenleistung für einen Patentschutz für die Erfindung offenbaren muss. Nur wenn der Anmelder die Öffentlichkeit über seine Erfindung informiert und diese so offenlegt, dass sie nacharbeitbar ist, wird ihm als Gegenleistung ein zeitlich begrenztes Monopol verliehen. Hierdurch soll erreicht werden, dass aufbauend auf der jeweiligen Erfindung Weiterentwicklungen getätigt werden können und so der technologische Fortschritt vorangetrieben werden kann.
Gemäss Europäischem Patentübereinkommen (EPÜ) ist die zu patentierende Lehre „so deutlich und vollständig zu offenbaren, dass ein Fachmann sie ausführen kann" (Art. 83 EPÜ), d.h. die Erfindung muss für einen Fachmann aufgrund der in der Patentanmeldung zur Verfügung stehenden Informationen ohne unzumutbaren Aufwand und über die gesamte Anspruchsbreite zum Zeitpunkt der Anmeldung nacharbeitbar sein. Es ist somit zwingend, dass bereits eine Erstanmeldung eine vollständige Offenbarung enthält.
Nur zu oft muss eine Erstanmeldung überstürzt hinterlegt werden, da eine Veröffentlichung der ersten Ergebnisse ansteht. In forschungsaktiven Gebieten (wie aktuell die Entwicklung eines Impfstoffs gegen das Corona-Virus) ist eine rasche Anmeldung oftmals notwendig, einerseits um der Konkurrenz zuvorzukommen, andererseits um die Chancen auf finanzielle Unterstützung von Investoren zu verbessern. Die Annahme, eine "quick and dirty" verfasste Anmeldung genüge dem Zweck sich ein gültiges Prioritätsdatum (erstes Anmeldedatum) zu sichern, mit der Begründung die Offenbarung könne bis zur Nachanmeldung immer noch durch Daten und Resultate vervollständigt werden, ist trügerisch. Denn damit wird das Risiko eingegangen, dass die Erfindung mangels Daten nur unzureichend offenbart ist oder dass sich die im Frühstadium befindliche Erfindung womöglich noch ändert und das endgültige Produkt zum Anmeldezeitpunkt gar nicht mehr abgedeckt ist. Dies kann sich für den angestrebten Patentschutz nicht nur limitierend, sondern sogar tödlich auswirken:
Die Erfindung muss in der Erstanmeldung bereits plausibel dargelegt werden, d.h. eine neue Verbindungsgruppe sollte im Allgemeinen durch mindestens ein experimentelles Beispiel für die Synthese einer repräsentativen Verbindung belegt werden, eine neue Verwendung eines Wirkstoffs durch entsprechende Versuche plausibel begründet werden können. Sind solche Nachweise nicht vorhanden, ist die Anmeldung unzureichend offenbart, d.h. sie ist nicht oder nicht vollständig nacharbeitbar und kann somit im Allgemeinen keine Priorität begründen. Ein blosses Nachreichen von experimentellen Daten kann den Mangel einer unzureichenden Offenbarung in der Erstanmeldung nicht beheben.
Die Folgen eines Verlusts des Prioritätstags sind häufig nur schwer absehbar und können gravierend sein. Wenn beispielsweise direkt nach Einreichung einer unzureichend offenbarten Prioritätsanmeldung die Forschung veröffentlicht wurde, dann wird die eigene Veröffentlichung zum neuheitsschädlichen Stand der Technik. Sollte die Priorität dann nicht beansprucht werden können, kann dies bis zum Verlust des Patentschutzes und der damit verbundenen Exklusivität führen. Dies ist natürlich vor allem für Startups besonders gravierend, da hier das geistige Eigentum den Kernwert des Unternehmens für Investoren ausmacht.
Das Kriterium einer ausreichenden Offenbarung trifft Life Science oder pharmazeutische Erfindungen, und insbesondere Erfindungen zu einer neuen medizinischen Indikation eines bekannten Stoffes („second medical use“) besonders hart. Was Prototypen und deren Beschreibung für die meisten mechanischen Erfindungen sind, sind hier Daten aus aufwändigen und zeitraubenden pharmakologischen Experimenten, deren Durchführung womöglich noch einer Bewilligungspflicht unterworfen ist. Je früher in der Entwicklung einer Life Science Erfindung eine Patentanmeldung eingereicht wird, desto weniger Daten stehen zur Verfügung und das Risiko, dass die Offenbarung unzureichend ist, steigt. Je länger jedoch mit der Einreichung gewartet wird, desto eher läuft man Gefahr, dass die Konkurrenz schneller ist, oder Daten bereits vor der Einreichung an die Öffentlichkeit dringen.
Eine Erstanmeldung muss ausreichende experimentelle Nachweise beinhalten, die beispielsweise die neue Wirkung eines bekannten Stoffes plausibel darlegen. Es muss abgeklärt werden, ob in vitro Tests ausreichend sind oder ein der Krankheit entsprechendes Tiermodell für in vivo Tests hinzugefügt werden muss. Sollten sogar klinische Studien notwendig sein, muss beachtet werden, dass diese je nach Art der Indikation einer Offenbarungs- und Bewilligungspflicht unterworfen sind und deren Registrierung möglicherweise für die Öffentlichkeit einsehbar ist. Das Datum der Veröffentlichung der Registrierung kann der Anmelder nach Einreichung der Unterlagen praktisch nicht beeinflussen. Der Anmelder befindet sich deshalb in der Zwickmühle eine möglicherweise unzureichend offenbarte Anmeldung einreichen zu müssen oder die Neuheit aufgrund der eigenen klinischen Studien zu gefährden.
Eine weitere Problematik stellt die Breite der Patentansprüche dar. Der Fachmann muss die Erfindung im gesamten, beanspruchten Umfang ausführen können. Verallgemeinerungen werden zugestanden, solange der Umfang der Ansprüche mit der Offenbarung masshält, d.h. je breiter die Ansprüche desto mehr Beispiele und Daten sind zu deren Stützung notwendig. Auch eine allfällige Einschränkung der Ansprüche muss durch entsprechende Formulierungen und Beispiele in der Anmeldung gestützt sein. Im Life Science Bereich werden beispielsweise chemische Substanzgruppen durch allgemeine Formeln beschrieben, die unzählige Variationen zulassen, sodass die Zahl der möglichen Verbindungen sprunghaft ansteigt. Die blosse Angabe einer allgemeinen Formel, die unzählige Verbindungen umfasst, ohne ausreichende Substantiierung durch Beispiele und Angaben zu bevorzugten Verbindungen kann nicht genügen. Wird eine Auswahl bevorzugter Verbindungen erst in der Nachanmeldung genannt, riskiert man, dass das Prioritätsdatum für diese Auswahl nicht anerkannt wird. Sollten deshalb ausgesuchte Verbindungen für eine Weiterentwicklung im Vordergrund stehen, müssen diese spezifisch genannt und durch ausreichende Daten substantiiert werden, um einen soliden Patentschutz sicherzustellen. Zu diesen Daten gehören unter anderem Angaben zur Herstellung und Isolierung der ausgesuchten Verbindungen.
Erstanmeldungen wird oft unverdienterweise viel zu wenig Bedeutung beigemessen. Dabei ist deren Verfassen wohl eine der kritischsten Aufgaben eines Patentanwaltes oder einer Patentanwältin. Eine Erstanmeldung muss sich nach dem Prinzip von Leistung (Patentschutz) und Gegenleistung (vollständige Offenbarung) richten. Sowohl eine unzureichend gestützte Verallgemeinerung, als auch eine ungetreue Wiedergabe zur Nacharbeitung kann das Prioritätsdatum und damit die gesamte Anmeldung gefährden.
Gleichermassen sollte nach Möglichkeit auf eigene Veröffentlichungen bis zur Einreichung der Nachanmeldung nach 12 Monaten bzw. sogar bis zur Publikation der Anmeldung nach 18 Monaten verzichtet werden. Hierzu sind nicht nur Beiträge in der Wissenschaftsliteratur, sondern auch nicht vertrauliche Kommunikationen mit Dritten, Posterpräsentationen und Vorträge zu zählen. Denn dieser eigens generierte Stand der Technik kann Erweiterungen in der Nachanmeldung verunmöglichen bzw. die gesamte Anmeldung gefährden, sollte das Prioritätsdatum nicht anerkannt werden. Ist eine Veröffentlichung unvermeidbar, sollte deren Inhalt sowie die Gültigkeit der Priorität vorab mit professioneller Unterstützung geprüft werden.
Nur durch Einhalten dieser minimalen Regeln kommt ein gültiger (und notwendiger) Patentschutz ab dem Prioritätsdatum überhaupt in Frage.
Unternehmen quer durch verschiedene Industrien entwickeln ihre Produkte weiter und statten diese mit «smarten» Zusatzfunktionen aus. Diese smarten Funktionen benötigen in der Regel eine Cloud-Anbindung bzw. eine Kommunikation mit anderen smarten Geräten, um Daten oder Befehle auszutauschen. Die Vernetzung der Geräte wird als «Internet of Things», kurz IoT bezeichnet. Dabei sehen sich Unternehmen unterschiedlichen rechtlichen Herausforderungen gegenüber. Auf drei wichtige Fragen im Zusammenhang mit dieser Entwicklung soll nachfolgend eingegangen werden.
IoT-Geräte sind meist mit Sensoren ausgestattet und sammeln Daten. Sobald es sich dabei um Personendaten handelt, müssen die Vorschriften der Datenschutzgesetzgebung eingehalten werden. Gerade im Bereich IoT ist es teilweise nicht leicht zu erkennen, dass überhaupt Personendaten gesammelt werden, daher erscheint eine sorgfältige Prüfung besonders wichtig. Im Idealfall sollte bereits bei der Entwicklung von IoT bzw. vernetzten Produkten routinemässig eine Prüfung stattfinden, ob der Datenschutz beim geplanten Produkt oder den damit verbundenen Dienstleistungen gewährleistet ist. In unserem Beitrag zum Thema «Cloud» gehen wir auf weitere Cloud-spezifische Fragestellungen ein.
Der «klassische» Patentschutz für technische Lösungen ist weiterhin hoch relevant, jedoch zeichnet sich ab, dass dieser in Zukunft ergänzt werden muss. Die Vernetzung von Geräten (IoT) und den damit verbundenen neuen Geschäftsmodellen der Datenverarbeitung kann nur durch einen weiter gefassten Patentschutz Rechnung getragen werden. Dabei spielen vermehrt Softwarelösungen eine zentrale Rolle, die als patentfähiger Teil einer technischen Lösung von Unternehmen erarbeitet und geschützt werden sollte, um den jeweiligen Wettbewerbsvorsprung zu sichern.
Um dies systematisch umzusetzen, es genügt es nicht mehr, schlicht darauf zu warten, bis die Entwicklungsabteilung nach langer Entwicklungsarbeit eine Erfindung vermeldet. Erfindungen mit digitalem Kontext müssen vielmehr gezielt angestrebt und generiert, d.h. es müssen aktiv schutzfähige Produkte, insbesondre mit Softwarekomponenten, entwickelt werden. Ein frühzeitiges Zusammenwirken verschiedener Bereiche ist dabei essentiell, typischerweise sind das F&E, Produktentwicklung, Vertrieb, sowie die Patent- und Rechtsberatung.
IP ist damit nicht mehr ein erfreuliches Nebenprodukt von Forschung und Entwicklung, sondern ein wertschöpfendes Motiv über den gesamten Entwicklungsprozess eines Produkts.
Die gängige – aber falsche – Meinung, Software sei nicht patentierbar, kann bei der Routineprüfung von Freedom-to-Operate für ein neu entwickeltes smartes Produkt für aktive Schutzrechte aus dem Software- oder IoT-Bereich blind machen. Dies gilt besonders für Unternehmen deren traditionelle Kerntechnologie diese Bereiche nicht oder nur wenig tangiert. Durch die Verschiebung bzw. Erweiterung der eigenen Produktentwicklung in neue Technologiebereiche sollte auch das Risikomanagement im Unternehmen im Hinblick auf die IP-Fragen geschärft und aktualisiert werden.
Schwerwiegende Folgen sind möglich, wenn im neuen Produkt arglos fremde Software eingesetzt wird, oder wenn das Patent eines «atypischen» bzw. neuen Mitbewerbers verletzt wird, den man nicht auf dem Radar hatte. Als bekanntes Beispiel eines solchen atypischen bzw. neuen Mitbewerbers, der seine Patente verletzt sah, kann hier Broadcom genannt werden. Der Chiphersteller strengte im Jahr 2018 Patent-Verletzungsverfahren gegen VW und Audi an. In diesen Verfahren ging es um Bauteile für das vernetzte Auto. Weil Broadcom kein klassischer Automobil-Zulieferer ist, ist es zunächst nicht offensichtlich, dass es sich um einen Mitbewerber der Autohersteller handelt.
Als innovatives Unternehmen ist es wichtiger denn je, die eigene IP-Strategie zu überprüfen und wo nötig anzupassen um den neuen Herausforderungen Rechnung zu tragen. Wir unterstützen Sie und Ihr Unternehmen gerne im Rahmen unserer systematischen und ganzheitlichen IP-Beratung. In unserem Beitrag zum Thema «IP-Value Creation» stellen wir unseren Ansatz zur Wertschöpfung mit IP vor.
Mit dem Austritt des Vereinigten Königreichs (UK) aus der Europäischen Union und dem Ende der Übergangsfrist am 31. Dezember 2020 gilt UK ab dem 1. Januar 2021 als Drittstaat. Daher sind bei der Übertragung von Personendaten aus einem EU-Land nach UK künftig die Grundsätze der Art. 45 und 46 DSGVO zu beachten. Um die Datenübertragung wie bisher weiterzuführen, müsste die Europäische Kommission einen Angemessenheitsbeschluss erlassen, in welchem sie das Datenschutzniveau von UK als angemessen beurteilt (Art. 45 Abs. 1 DSGVO).
Die Vereinbarung zwischen der EU und UK vom 24. Dezember 2020 sieht eine viermonatige Übergangsfrist vor, die auf sechs Monate verlängert werden kann. Bis Mitte 2021 sind Übertragungen von Personendaten aus der EU nach UK daher abgesichert. Ob danach bereits ein Angemessenheitsbeschluss vorliegt, ist fraglich: Die Snowden-Enthüllungen im Jahr 2013 haben gezeigt, dass die britischen und amerikanischen Geheimdienste eng zusammenarbeiten und zahlreiche Daten aus UK in die USA weitergeleitet werden. Der Europäische Gerichtshof hat mit dem sog. Schrems-II-Entscheid C-311/18 festgehalten, dass das Datenschutzniveau der USA aus europäischer Sicht unzureichend sei. Die amerikanischen Überwachungsprogramme erlaubten den Geheimdiensten, auf Daten zuzugreifen, ohne dass dieser Zugriff irgendeiner gerichtlichen Kontrolle unterläge. Diese Einschätzung könnte auch beim Angemessenheitsbeschluss für UK relevant werden: Weil die britischen Geheimdienste eng mit den amerikanischen kooperieren, besteht das Risiko, dass die EU den Angemessenheitsbeschluss verweigert. Dies würde die Übertragung von Personendaten nach UK deutlich erschweren.
Die Problematik zeigt, dass die europäische Datenschutzpolitik Mitgliedsstaaten und Drittstaaten ungleich behandelt: Solange ein Land EU-Mitglied ist, spielt es bei der Datenübertragung keine Rolle, ob sein Datenschutzniveau ausreichend ist. Erst mit dem Austritt wird die Übermittlung aufgrund der Regelung von Art. 45 und 46 DSGVO zum Problem. Der EuGH stellt einen strengen Massstab an die USA und kritisiert die weitgehenden Befugnisse der amerikanischen Geheimdienste und die fehlende gerichtliche Kontrolle. Dabei ist fraglich, ob die Befugnisse der Geheimdienste der EU-Mitgliedsstaaten nicht teilweise ebenso weit gehen.
Für die Schweiz ergibt sich folgendes Bild: Der Angemessenheitsbeschluss der EU ist bei der Übertragung von Personendaten aus der Schweiz nach UK nicht unmittelbar relevant. Gemäss Art. 6 Abs. 1 des Schweizer Datenschutzgesetzes dürfen Personendaten nur dann aus der Schweiz ins Ausland übertragen werden, wenn die Gesetzgebung im Zielland einen angemessenen Datenschutz gewährleistet. Bei seiner jüngsten Aktualisierung der Staatenliste im September 2020 beurteilte der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte EDÖB das Datenschutzniveau in UK als ausreichend (vgl. die Staatenliste unter https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/handel-und-wirtschaft/uebermittlung-ins-ausland.html). Es bleibt abzuwarten, ob sich an dieser Einschätzung in Zukunft etwas verändert. Sollte die EU den Angemessenheitsbeschluss für UK verweigern, so dürfte der EDÖB diese Einschätzung nachvollziehen, so wie er dies bei der Einschätzung zu den USA im Nachgang zum Schrems-II-Entscheid getan hat.
Cloud-Computing ermöglicht es einem Unternehmen, ohne eigenes Rechenzentrum schnell und flexibel Rechenkapazität bereitzustellen und zu nutzen. Für viele Unternehmen ergibt sich dadurch ein Kostenvorteil im Vergleich zum Betrieb eines eigenen Rechenzentrums. Zudem sind viele heutige Geschäftsmodelle ohne Cloud-Computing gar nicht denkbar: Die meisten schnell wachsenden Unternehmen hätten Mühe, ohne Cloud-Computing ihre Rechenkapazität genügend schnell auszubauen. Viele Inhalte müssen weltweit zur Verfügung gestellt werden, weshalb sich ein Cloud-Netzwerk mit verschiedenen Standorten anbietet. Aus rechtlicher Sicht stellt sich beim Cloud-Computing eine Vielzahl an Fragen. Nachfolgend sollen drei wichtige Fragen kurz beleuchtet werden:
In der Regel werden in der Cloud nebst anderen Daten auch Personendaten verarbeitet. Daher müssen die Bestimmungen der anwendbaren Datenschutzgesetze beachtet werden.
Beim Cloud-Computing liegt ein Fall der Auftragsdatenbearbeitung vor: Der Cloud-Anbieter verarbeitet die übermittelten Daten im Auftrag des Kunden. Gemäss der europäischen Datenschutz-Grundverordnung sowie dem revidierten Schweizer Datenschutzgesetz muss die Auftragsdatenverarbeitung vertraglich geregelt werden. Es muss ein Weisungs- und Kontrollrecht des Auftraggebers sowie ein Grundstandard der Datensicherheit vereinbart werden. Grössere Cloud-Anbieter verfügen in der Regel über vorgefertigte Vertragsmuster für die Auftragsdatenverarbeitung.
Zudem müssen die Regeln zur Datenübertragung ins Ausland beachtet werden. Grundsätzlich dürfen Personendaten nur in Länder übertragen werden, die ein angemessenes Datenschutzniveau bieten. Insbesondere bei den USA ist dies nicht gewährleistet. Solche Übertragungen müssen anderweitig abgesichert werden, ansonsten sind sie zu unterlassen. Bei grösseren Cloud-Anbietern können die Serverstandorte meist regional eingegrenzt werden. Es ist empfehlenswert, diese Region auf Europa zu beschränken und vorzusehen, dass keine Personendaten diese Region verlassen.
Gerät der Cloud-Anbieter in Konkurs, so stellt sich das Problem, dass der Cloud-Nutzer unter Umständen nicht mehr an seine Daten gelangen kann. Nach der heute geltenden Rechtslage in der Schweiz besteht im Konkurs eines Unternehmens kein Aussonderungsrecht für Daten einer Drittperson. Das Schweizer Recht kennt auch kein Eigentumsrecht an Daten. Daten fallen nicht unter den Begriff der Sache im Zivilgesetzbuch, da ihnen die notwendige Körperlichkeit fehlt.
Der Sachverhalt kann in der Regel nicht nur mit Blick auf das Schweizer Recht geklärt werden, da die meisten grossen Cloud-Anbieter ihren Sitz im Ausland haben. Dennoch gilt auch bei Daten auf einer Cloud dasselbe wie bei jedem PC: Regelmässige Backups schützen sowohl vor technischem wie auch vor faktischem Datenverlust.
Mit der Auslagerung von Speicherplatz in die Cloud steigt das Risiko, dass Dritte auf die gespeicherten Daten zugreifen. Besteht eine entsprechende Rechtsgrundlage, so kann eine Behörde vom Cloud-Anbieter die Herausgabe von Daten verlangen. Als Beispiel für eine solche Rechtsgrundlage ist der CLOUD Act zu nennen. Der CLOUD Act ist ein US-amerikanisches Gesetz, welches US-Unternehmen verpflichtet, den US-Behörden unter gewissen Umständen Zugriff auf gespeicherte Daten zu gewähren. Dies gilt selbst dann, wenn sich die Daten nicht in den USA befinden.
Je nach Sensitivität der Daten muss eine Abwägung getroffen werden, ob die Auslagerung auf einen Cloud-Dienst gerechtfertigt werden kann. Grosse Cloud-Anbieter raten ihren Kunden zudem, die gespeicherten Daten zu verschlüsseln. Im Idealfall werden alle Daten vor der Übermittlung auf den Cloud-Server verschlüsselt, so dass weder der Cloud-Anbieter noch ein allfälliger Dritter die Daten im Klartext lesen kann.
Falls Sie zu den obengenannten Punkten Fragen haben, helfen wir Ihnen gerne weiter. Sie erreichen uns über das Kontaktformular oder telefonisch unter +41 44 225 70 70.
Seite 1 von 3