Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums der Justiz und für Verbraucherschutz vom 1. März 2019 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. Deutscher Bundestag Drucksache 19/8108 19. Wahlperiode 04.03.2019 Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Stephan Thomae, Grigorios Aggelidis, Renata Alt, weiterer Abgeordneter und der Fraktion der FDP – Drucksache 19/7808 – Kundendaten insolventer Clouddienst-Anbieter V o r b e m e r k u n g d e r F r a g e s t e l l e r Das Auslagern des Soft- oder Hardwarebetriebs im Rahmen von Geschäftsmodellen des Cloud-Computing gewinnt immer mehr an Marktrelevanz. Dies beinhaltet , dass zahlreiche Kunden solcher Clouddienst-Anbieter auch ihre Daten auf externen Servern ablegen. Kunden können Privatpersonen sein, die dort persönliche Daten abspeichern. Aber auch Unternehmen nutzen die Möglichkeit der Auslagerung von IT-Infrastrukturen für ihren geschäftlichen Betrieb und das Ablegen großer Datenmengen, die oftmals von erheblicher wirtschaftlicher Bedeutung für den Kunden sind. Für den Kunden ist daher die Möglichkeit, auf seine Daten zuzugreifen, von großer Relevanz. Während das bei laufenden Vertragsverhältnissen kaum zu praktischen Problemen führt, ist die Lage für den Insolvenzfall auf Seiten des Clouddienst-Anbieters unklar. Nach § 103 Absatz 1 der Insolvenzordnung (InsO) steht dem Insolvenzverwalter ein Wahlrecht zu, ob er das Schuldverhältnis anstelle des Anbieters mit dem Kunden fortführen möchte. Wird das Schuldverhältnis nicht fortgeführt, stehen dem Insolvenzgläubiger in der Regel nur Zahlungsansprüche zu, so dass die Zugriffsmöglichkeiten auf seine Daten grundsätzlich verloren gehen. Insbesondere in den Vereinigten Staaten haben sich deshalb vertragliche „Dateneigentumsklauseln“ etabliert, die eine rechtliche Zuordnung der Daten zum Clouddienst-Anbieter ausschließen, um im Insolvenzfall eine Zugehörigkeit der Daten zur Insolvenzmasse zu verhindern. Vorabfassung - w ird durch die lektorierte Version ersetzt. Drucksache 19/8108 – 2 – Deutscher Bundestag – 19. Wahlperiode 1. Wie beurteilt die Bundesregierung die Zugehörigkeit von Kundendaten zur Insolvenzmasse eines Clouddienst-Anbieters als Vermögenswert i. S. d. § 35 Absatz 1 InsO? 3. Steht dem Kunden nach Auffassung der Bundesregierung ein Aussonderungsanspruch an den Daten zu, die er auf dem Server des Cloudanbieters gespeichert hat? 4. Wie beurteilt die Bundesregierung die Bestimmbarkeit einzelner Datensätze als notwendiges Kriterium hinsichtlich eines Aussonderungsanspruchs nach § 47 InsO im Rahmen der Speicherung a) auf einer Private Cloud bzw. b) auf einer Public Cloud? 5. Sieht die Bundesregierung diesbezüglich Handlungsbedarf? 6. Welchen Handlungsbedarf sieht die Bundesregierung, um die rechtliche Zuordnung von Daten unabhängig von der Eigentumsposition des Datenträgers vorzunehmen? Die Fragen 1 und 3 bis 6 werden gemeinsam beantwortet. Im Unterschied zu den Datenträgern, auf denen Daten gespeichert sind, lassen sich Daten als solche nicht ohne weiteres unter die sachen- und vermögensrechtlichen Begriffe fassen, an denen die insolvenzrechtliche Unterscheidung zwischen massezugehörigen und massefremden Gegenständen anknüpft. Der Bundesgerichtshof hat zwar in einem schadensrechtlichen Zusammenhang von Daten als einem „selbständigen vermögenswerten Gut“ gesprochen (BGHZ 133, 155). Auch hat das OLG Düsseldorf (Urteil vom 27. September 2012, Az. 6 U 241/11) in der Insolvenz einer Werbeagentur einen Anspruch des Auftraggebers auf Herausgabe der für die Versendung von Newslettern überlassenen Kundendaten auf § 667 Alt. 1, § 675 BGB gestützt und ein entsprechendes Aussonderungsrecht nach § 47 der Insolvenzordnung (InsO) bejaht. Die vertragliche, technische und organisatorische Ausgestaltung von Cloud- und anderen Datendiensten kann aber im Einzelnen sehr unterschiedlich ausfallen. Vor diesem Hintergrund lassen sich die Fragen der Massezugehörigkeit und der Aussonderungsfähigkeit von Daten sowie die weiteren, sich daraus ergebenden Folgefragen bislang nicht abschließend und allgemein beantworten. Die genannten Entscheidungen und die hieran anknüpfende rechtswissenschaftliche Diskussion geben aber auch keinen Anlass zu der Befürchtung, dass die sich stellenden Fragen auf der Grundlage des geltenden Rechts von der Rechtsprechung nicht in angemessener Weise bewältigt werden könnten. 2. Nach welchen Kriterien beurteilt die Bundesregierung die Bezifferbarkeit a) des materiellen und immateriellen Schadens für den Kunden im Falle des Datenverlustes bzw. b) eines Zahlungsanspruchs des Insolvenzgläubigers hinsichtlich seiner Kundendaten? Die Bezifferbarkeit von Schäden richtet sich auch bei Datenverlusten nach dem allgemeinen Schadensrecht (§§ 249 ff. BGB; vgl. auch dazu BGHZ 133, 155) bzw. nach den insolvenzrechtlichen Vorschriften, auf denen die Bezifferung beruht (§§ 45, 103 Absatz 2 InsO). Vorabfassung - w ird durch die lektorierte Version ersetzt. Deutscher Bundestag – 19. Wahlperiode – 3 – Drucksache 19/8108 7. Welche Maßnahmen plant die Bundesregierung bei der Frage der rechtlichen Zuordnung von Daten hinsichtlich des Cloud-Computings zur Erhöhung von Rechtssicherheit für Anbieter und Kunden? Es wird auf die Antwort zu Frage 1 verwiesen. Darüber hinaus weist die Bundesregierung auf das Ergebnis der gerade abgeschlossenen Trilogverhandlungen über die Richtlinie digitale Inhalte hin. Danach soll ein Verbraucher gegenüber dem Anbieter von Cloud Computing-Diensten nach Vertragsbeendigung unter bestimmten Bedingungen einen Anspruch auf Herausgabe der nicht personenbezogenen Daten haben. Mit dem Inkrafttreten der Richtlinie ist für den Sommer 2019 zu rechnen. 8. Hält die Bundesregierung die vertragliche Ausgestaltung durch sogenannte Dateneigentumsklauseln für die Zuordnung für ausreichend? Es wird auf die Antwort zu Frage 1 verwiesen. 9. Welche Verwertungsrechte stehen dem Insolvenzverwalter nach Ansicht der Bundesregierung hinsichtlich der Kundendaten zu? 10. Wie sind nach Ansicht der Bundesregierung die rechtlichen Konfliktlinien aufzulösen, die zwischen Verwertungsrechten des Insolvenzverwalters und a) der Datenschutz-Grundverordnung, b) des Schutzes des Datenbankherstellers nach dem Urheberrechtsgesetz bzw. c) des geplanten Gesetzes zur Umsetzung der Richtlinie (EU) 2016/943 zum Schutz von Geschäftsgeheimnissen vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung (Bundestagsdrucksache 19/4724) entstehen? Die Fragen 9 und 10 werden wegen des inhaltlichen Zusammenhangs gemeinsam beantwortet. Ein Verwertungsrecht des Insolvenzverwalters besteht nur an dem zur Insolvenzmasse gehörenden Vermögen des Schuldners (§ 159 InsO). Ist der Kunde gemäß § 47 InsO zur Aussonderung seiner Daten berechtigt, sind diese nicht Teil der Insolvenzmasse; an ihnen besteht mithin auch kein Verwertungsrecht. Fallen die Daten hingegen in die Insolvenzmasse, kann der Verwalter sie auch verwerten. Die Frage 10a zielt auf die tatsächliche Anwendung und Umsetzung der Verordnung (EU) 2016/679 (im Folgenden: Datenschutz-Grundverordnung bzw. DSGVO), die seit 25. Mai 2018 gilt und den Umgang mit personenbezogenen Daten in der EU regelt, bei der Insolvenzverwaltung ab. Die Überwachung und Durchsetzung der Einhaltung der Datenschutz-Grundverordnung bei Insolvenzverwaltern obliegt jedoch alleine den unabhängigen Aufsichtsbehörden gemäß Artikel 57 Absatz 1 Buchstabe a DSGVO. Dies hat die Bundesregierung bereits in mehreren Kleinen Anfrage (z. B. „Auswirkungen der EU-Datenschutz-Grundverordnung “ der Fraktion DIE LINKE., Bundestagsdrucksache 19/3341, S. 2) eindeutig klargestellt. Die Bundesregierung achtet diese in der DSGVO ausdrücklich festgeschriebene Unabhängigkeit der Datenschutzaufsichtsbehörden. Eine rechtliche Aussage kann daher mit Blick auf diese Unabhängigkeit der Datenschutzaufsichtsbehörden seitens der Bundesregierung nicht getroffen werden. Im Übrigen wird auf die Antwort zu Frage 1 verwiesen. Vorabfassung - w ird durch die lektorierte Version ersetzt. Drucksache 19/8108 – 4 – Deutscher Bundestag – 19. Wahlperiode 11. Wie beurteilt die Bundesregierung die datenschutzrechtliche Stellung des Insolvenzverwalters , wenn der Clouddienst-Anbieter Auftragnehmer einer Auftragsdatenverarbeitung war? Die Bundesregierung verweist auf die Antwort zu Frage 10a. Die dort genannten Erwägungen zur Anwendung und Umsetzung der DSGVO gelten entsprechend. 12. Wie beurteilt die Bundesregierung die Einordnung von Daten als dingliche Rechtsposition? Besteht aus Sicht der Bundesregierung zur Klärung gesetzgeberischer Handlungsbedarf ? Es wird auf die Antwort zu Frage 1 verwiesen. 13. Welche Maßnahmen plant die Bundesregierung, um dem Kunden die Herausgabe seiner Kundendaten vom Insolvenzverwalter zu ermöglichen? Die Bundesregierung verfolgt die Entwicklung. Sie wird tätig werden, wenn sich erweisen sollte, dass die Rechtsprechung im geltenden Recht an Grenzen stößt, die ihr die Entwicklung sachangemessener Lösungen nicht erlauben. Dass dies gegenwärtig nicht der Fall ist, bestätigt im Übrigen auch der Abschlussbericht der Arbeitsgruppe „Digitaler Neustart“ der Konferenz der Justizministerinnen und Justizminister der Länder vom 15. Mai 2017, in dem es auf Seite 68 zusammenfassend heißt: „Hinsichtlich des Schutzes von Daten in der Insolvenz des Cloudbetreibers bzw. bei der Einzelzwangsvollstreckung in das jeweilige Speichermedium besteht kein Regelungsbedarf. Aus heutiger Sicht sind keine Defizite feststellbar , die ein Eingreifen des Gesetzgebers erfordern.“ 14. Wie beurteilt die Bundesregierung diesbezüglich das luxemburgische Modell (Artikel 567 Absatz 2 des Code de Commerce)? Die Regelung gewährt dem Kunden in der Insolvenz des Anbieters einen Herausgabeanspruch bezüglich seiner Daten, vorausgesetzt er ist deren Eigentümer oder hat sie dem Anbieter anvertraut und die Daten können von allen übrigen Daten getrennt werden. Die Regelung geht damit aus Sicht der Bundesregierung nicht über den Schutz hinaus, der dem Kunden im Falle eines Aussonderungsrechts nach § 47 InsO gewährt würde. Zudem könnte die Regelung jedenfalls insoweit, als sie ein verselbstständigtes Eigentum an Daten voraussetzt, nicht ohne weiteres in das geltende deutsche Recht überführt werden. 15. Für wie weitgehend hält die Bundesregierung einen auf Herausgabe von Daten gerichteten Anspruch des Insolvenzgläubigers hinsichtlich a) der Zugangsverschaffung durch den Insolvenzverwalter bzw. b) der Löschung des Datensatzes beim Insolvenzverwalter? Es wird zunächst auf die Antwort zu Frage 1 verwiesen. Für einen Anspruch auf Herausgabe von Daten gemäß den §§ 667, 675 BGB hat der Bundesgerichtshof (Urteil vom 17. April 1996, Az. VIII ZR 5/95) entschieden , diese sei dadurch zu bewirken, dass der Auftraggeber eine Kopie seiner Daten zurückerhält und der Auftragnehmer gleichzeitig die Daten im eigenen Bestand löscht. Vorabfassung - w ird durch die lektorierte Version ersetzt. Deutscher Bundestag – 19. Wahlperiode – 5 – Drucksache 19/8108 16. Hat nach Ansicht der Bundesregierung der Insolvenzgläubiger einen Anspruch auf die Datenübermittlung in einem für ihn nutzbaren Format? Wenn ja, woran bemisst sich die Feststellung der Nutzbarkeit? Es wird auf die Antwort zu Frage 1 verwiesen. 17. Welche Maßnahmen plant die Bundesregierung für die Schaffung von Auskunftsrechten des Clouddienst-Kunden für nichtpersonenbezogene Daten? Es wird auf die Antworten zu den Fragen 1 und 13 verwiesen. 18. Wie beurteilt die Bundesregierung die Möglichkeit der Zurückbehaltung von Daten seitens des Insolvenzverwalters hinsichtlich etwaiger a) persönlichkeitsrechtlicher Aspekte der betreffenden Daten, b) drohender wirtschaftlicher Nachteile durch eine Vorenthaltung für den Kunden als Insolvenzgläubiger bzw. c) datenschutzrechtlicher Pflichten des Kunden als Verantwortlichen im Falle der Auftragsdatenverarbeitung? Der Insolvenzverwalter kann einem Aussonderungsverlangen nach § 47 InsO grundsätzlich alle Einwendungen und Einreden entgegenhalten, die dem Schuldner gegen den mit der Aussonderung geltend gemachten Anspruch zustehen würden oder die dem Verwalter aufgrund eigenen Rechts dagegen zustehen. Im Übrigen wird auf die Antwort zu Frage 1 verwiesen. 19. Welches Recht ist nach Auffassung der Bundesregierung auf die Herausgabe von Daten bei einem Clouddienst-Anbieter anzuwenden? Welchen Einfluss hat hierbei der Sitz des Clouddienst-Anbieters, das Vorhandensein einer Niederlassung in Deutschland oder des Speicherortes? Ein etwaiger vertraglicher Herausgabeanspruch unterliegt dem Recht, das auf den Vertrag zwischen dem (insolventen) Kunden und dem Clouddienst-Anbieter anwendbar ist. Die Parteien können das auf den Vertrag anwendbare Recht in den Grenzen von Artikel 3 und gegebenenfalls von Artikel 6 der Verordnung (EG) Nr. 593/2008 über das auf vertragliche Schuldverhältnisse anzuwendende Recht (Rom I-VO) wählen. In Ermangelung einer Rechtswahl dürfte der Vertrag im Regelfall dem Recht des Staates unterliegen, in dem der Clouddienst-Anbieter seine Hauptverwaltung hat (vgl. Artikel 4 Absatz 1 Buchstabe b und Artikel 19 Absatz 1 Satz 1 Rom I-VO), oder – unter den Voraussetzungen des Artikels 6 Rom I-VO – dem Recht des Staates, in dem der Verbraucher seinen gewöhnlichen Aufenthalt hat. Dies gilt unabhängig vom Speicherort und (vorbehaltlich des Artikels 19 Absatz 2 Rom I-VO) auch unabhängig davon, ob der Clouddienst-Anbieter eine Niederlassung in Deutschland hat. Die – davon zu trennende – Frage, wie der Herausgabeanspruch im Insolvenzverfahren durchzusetzen ist, unterliegt nach Artikel 7 der Verordnung (EU) 2015/848 des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren (EuInsVO) und, sofern die EuInsVO nicht anwendbar ist, nach § 335 InsO grundsätzlich dem Recht des Staates, in dem das Insolvenzverfahren durchgeführt wird. Ungeklärt ist, ob Artikel 8 EuInsVO und § 351 InsO mit der Folge anwendbar sind, dass dingliche Rechte an außerhalb des Eröffnungsstaats belegenen Daten von den Wirkungen des Verfahrens nicht berührt werden. Vorabfassung - w ird durch die lektorierte Version ersetzt. Drucksache 19/8108 – 6 – Deutscher Bundestag – 19. Wahlperiode 20. Hält die Bundesregierung es für erforderlich, die Transparenz über das anwendbare Insolvenzrecht aus Sicht der Kunden zu erhöhen? Wenn nein, warum nicht? Wenn ja, welche Maßnahmen hält die Bundesregierung für erforderlich oder plant sie? Die Bundesregierung sieht keine Notwendigkeit, die Transparenz über das anwendbare Insolvenzrecht aus Sicht der Kunden zu erhöhen. Der Bundesregierung sind keine Fälle bekannt, in denen den Kunden eines insolventen Anbieters von Clouddiensten Nachteile dadurch entstanden sind, dass sie in Unkenntnis des anwendbaren Insolvenzrechts den entsprechenden Vertrag abgeschlossen haben. 21. Welche Kenntnisse hat die Bundesregierung über den jeweiligen Marktanteil von Clouddienst-Anbietern in Deutschland, die den Mittelpunkt ihrer Interessen in a) Deutschland, b) einem anderen Mitgliedstaat der Europäischen Union bzw. c) außerhalb der Europäischen Union haben? Der Bundesregierung liegen keine entsprechenden Erkenntnisse vor. 22. Welche Kenntnisse hat die Bundesregierung bezüglich des Anteils der über Clouddienste ausgelagerten Datenspeicherung, bei dem der physische Speicherort a) teilweise im Ausland bzw. b) vollständig im Ausland ist? Der Bundesregierung liegen keine entsprechenden Erkenntnisse vor. Vorabfassung - w ird durch die lektorierte Version ersetzt. Satz: Satzweiss.com Print, Web, Software GmbH, Mainzer Straße 116, 66121 Saarbrücken, www.satzweiss.com Druck: Printsystem GmbH, Schafwäsche 1-3, 71296 Heimsheim, www.printsystem.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333