Nach größeren Cyberangriffen werden erbeutete Daten häufig im Darknet veröffentlicht, weitergegeben oder zum Verkauf angeboten. Für Unternehmen kann es verlockend erscheinen, solche Daten etwa für Marktanalysen, Wettbewerbsbeobachtung, Bonitätsprüfungen oder sonstige wirtschaftliche Zwecke zu nutzen.
Rechtlich ist dabei erhebliche Vorsicht geboten.
Enthält ein Datenleck personenbezogene Daten, unterliegt deren Verarbeitung grundsätzlich den Anforderungen der DSGVO. Bereits das Speichern, Durchsuchen, Auswerten, Sortieren oder Verknüpfen solcher Informationen kann eine Verarbeitung personenbezogener Daten darstellen.
Eine technische Verfügbarkeit schafft keine Rechtsgrundlage
Dass Daten öffentlich auffindbar, im Darknet abrufbar oder käuflich erhältlich sind, bedeutet nicht, dass Unternehmen diese ohne Weiteres nutzen dürfen.
Für die Verarbeitung personenbezogener Daten ist grundsätzlich eine tragfähige Rechtsgrundlage erforderlich. Bei Gesundheitsdaten, biometrischen Daten, politischen Meinungen oder anderen besonderen Kategorien personenbezogener Daten gelten zusätzliche Anforderungen.
Gerade wenn für das Unternehmen erkennbar ist, dass die Daten aus einem Cyberangriff oder einer sonstigen rechtswidrigen Beschaffung stammen, dürfte sich eine zulässige Verarbeitung für gewöhnliche wirtschaftliche Zwecke regelmäßig nur schwer begründen lassen.
Neben datenschutzrechtlichen Verstößen können dabei zugleich strafrechtliche Risiken entstehen.
§ 42 BDSG enthält extra Strafvorschriften für bestimmte Fälle der unberechtigten Verarbeitung nicht allgemein zugänglicher personenbezogener Daten. Insbesondere bei entgeltlichem Handeln oder Bereicherungs- beziehungsweise Schädigungsabsicht.
Darüber hinaus kann § 202d StGB zur Datenhehlerei relevant werden, wenn rechtswidrig erlangte, nicht allgemein zugängliche Daten beschafft, weitergegeben oder verbreitet werden und die weiteren gesetzlichen Voraussetzungen erfüllt sind.
Besonders kritisch ist ein unmittelbarer Erwerb von einer Hacker- oder Ransomware-Gruppe. Fließen Zahlungen direkt an eine entsprechend organisierte Täterstruktur, können je nach Einzelfall zusätzliche strafrechtliche Risiken bis hin zur möglichen Unterstützung einer kriminellen Vereinigung nach §§ 129, 129b StGB relevant werden .
Enthalten die Datensätze auch Geschäftsgeheimnisse, werden zudem auch Vorschriften des Geschäftsgeheimnisgesetzes betroffen sein.
Fazit
Für Unternehmen gilt daher: Die Verfügbarkeit eines Datenleaks bedeutet weder, dass dessen Inhalte rechtmäßig genutzt werden dürfen, noch dass ein Erwerb rechtlich folgenlos bleibt.
Neben erheblichen datenschutzrechtlichen Risiken können abhängig von Herkunft, Inhalt, Erwerbsweg und Verwendungszweck auch strafrechtliche Konsequenzen hinzukommen. Der Erwerb und die Nutzung von Daten aus bekannten Leaks sollten daher vorab rechtlich geprüft werden.