Warum ein Softwareprodukt nicht nur einem Gesetz unterliegt

Als Team, das Software entwickelt, begegnet uns diese Frage meistens am Projektanfang. Die Organisation fragt, welche Regeln die Software einhalten muss, und die Antwort steht nicht in einem einzigen Gesetz. Diese Verteilung schon im Entwurf zu berücksichtigen, ist viel günstiger, als später nachzubessern.

Die Frage "Was sagt das IT-Recht dazu" hat keine Antwort, weil es keinen einzigen Text namens IT-Recht gibt. Das ist das Erste, was jeder in diesem Bereich Tätige lernt, und das Schwierigste, es einer Mandantin oder einem Mandanten zu erklären.

In der Türkei werden IT-Tätigkeiten an der Schnittstelle von mindestens sechs verschiedenen Gesetzen geregelt. Keines davon erfasst die anderen. Alle funktionieren nach ihrer eigenen Logik, ihrem eigenen Sanktionsregime und ihrer eigenen Aufsichtsbehörde. Das Ergebnis ist Folgendes. Es ist nicht möglich, anhand eines einzigen Textes eine Liste von Pflichten zu erstellen, und derselbe Vorfall kann gleichzeitig unter mehreren Regimen Folgen auslösen.

Eine Datenschutzverletzung begegnet Ihnen an drei verschiedenen Stellen

Das lässt sich an einem konkreten Beispiel zeigen. Nehmen wir an, auf die Kundendatenbank eines E-Commerce-Unternehmens wurde unbefugt zugegriffen und Daten wurden nach außen abgezogen.

Der erste Strang ist verwaltungsrechtlich. Artikel 12 des Gesetzes Nr. 6698 regelt die Pflichten zur Datensicherheit, und Absatz fünf desselben Artikels verlangt, dass die Verletzung der Behörde gemeldet wird. Die Behörde bewertet die Angemessenheit der getroffenen technischen und administrativen Maßnahmen und verhängt bei unzureichender Bewertung ein Bußgeld.

Der zweite Strang ist strafrechtlich. Die Tat der Person, die den Zugriff verschafft hat, kann den Tatbestand des Eindringens in ein Computersystem nach Artikel 243 des Gesetzes Nr. 5237 erfüllen, das Abziehen der Daten den Tatbestand der rechtswidrigen Weitergabe oder Beschaffung von Daten nach Artikel 136. Dieses Verfahren läuft unabhängig von der verwaltungsrechtlichen Verantwortlichkeit des Unternehmens.

Der dritte Strang ist zivilrechtlich. Die Person, deren Daten durchgesickert sind, kann den Ersatz des erlittenen Schadens verlangen. Der letzte Absatz von Artikel 11 des Gesetzes behält dieses Recht ausdrücklich vor.

Die drei Stränge schließen sich nicht gegenseitig aus, sie wirken gleichzeitig. Die Zahlung des Bußgelds der Behörde beendet nicht das Strafverfahren, und der Ausgang des Strafverfahrens entscheidet nicht von selbst über den Schadensersatzanspruch.

Welche Frage beantworten die Gesetze

Der praktischste Weg, die Zersplitterung dieses Gebiets zu verstehen, besteht darin zu sehen, welche Frage jeder Text beantwortet.

Das Gesetz Nr. 6698 beantwortet die Frage "Dürfen Sie dieses Datum verarbeiten?". Verarbeitungsbedingungen, Informationspflicht, Sicherheitsmaßnahmen und die Rechte der betroffenen Person stehen hier.

Das Gesetz Nr. 5651 beantwortet die Frage "Wer ist für diesen Inhalt verantwortlich?". Die Unterscheidung zwischen Inhalteanbieter, Hostinganbieter, Zugangsanbieter und Anbieter gemeinschaftlicher Nutzung sowie die Verfahren zur Entfernung von Inhalten und Sperrung des Zugangs sind in diesem Gesetz geregelt. Das Haftungsregime ändert sich vollständig danach, welche dieser vier Eigenschaften auf die Person zutrifft.

Das Gesetz Nr. 5237 beantwortet die Frage "Ist diese Handlung eine Straftat?".

Das Gesetz Nr. 6563 beantwortet die Frage "Dürfen Sie diese kommerzielle Mitteilung versenden, und was müssen Sie als Diensteanbieter offenlegen?".

Das Gesetz Nr. 5070 beantwortet die Frage "Ersetzt diese elektronische Signatur die eigenhändige Unterschrift?".

In einem Projekt stellen sich diese Fragen meist alle gleichzeitig. Eine Entscheidung, die nur eine davon berücksichtigt, erzeugt Blindheit gegenüber den übrigen vier.

Verstreute Zuständigkeit bedeutet verstreute Aufsicht

Was dieses Bild noch komplizierter macht, ist, dass unterschiedliche Gesetze unterschiedlichen Behörden anvertraut sind.

Die Behörde für den Schutz personenbezogener Daten beaufsichtigt Datenverarbeitungstätigkeiten. Die türkische Behörde für Informationstechnologie und Kommunikation ist im Bereich der elektronischen Kommunikation zuständig und wirkt an der Umsetzung von Zugangssperrentscheidungen mit. Das Handelsministerium ist für die Anwendung der Vorschriften zum elektronischen Handel zuständig.

Die praktische Folge davon ist Folgendes. Bei einem einzigen Produkt können Sie mehreren Aufsichtsbehörden gegenüber verantwortlich sein, und diese Behörden sind nicht an die Entscheidung der jeweils anderen gebunden. Eine positive Einschätzung der einen Behörde hindert die andere nicht daran, zu einem anderen Ergebnis zu kommen.

Wo in der Praxis Fehler gemacht werden

Die große Mehrheit der Fehler, die ich in diesem Bereich sehe, teilt ein gemeinsames Merkmal. Die rechtliche Bewertung erfolgt, nachdem die technischen Entscheidungen bereits getroffen wurden.

Das Datenmodell ist aufgebaut, die Tabellen sind angelegt, die Integrationen sind geschrieben. Kurz bevor das Produkt live geht, wird der Anwältin oder dem Anwalt gesagt: "Schauen Sie doch mal drüber." In dieser Phase ist das Sagbare begrenzt, denn alles Gesagte bedeutet nun eine nachträgliche Korrektur, und diese nachträgliche Korrektur schafft in Bezug auf die bis dahin gesammelten Daten ein eigenes Problem.

Dabei sind alle folgenden Fragen solche, die beim Aufbau des Datenmodells hätten beantwortet werden können. Welche Kategorien personenbezogener Daten werden verarbeitet. Auf welcher Rechtsgrundlage beruht jede Kategorie. Wie lange ist die Aufbewahrungsfrist, und welche Komponente setzt sie um. Welche Tabellen werden bei einem Löschantrag berührt. Erfolgt eine Übermittlung ins Ausland.

Fünf Fragen. Alle können in einem Meeting beantwortet werden. Die Kosten, die entstehen, wenn sie nicht beantwortet werden, liegen ein Vielfaches über den Kosten dieses Meetings.

Die eigentliche Schwierigkeit des Gebiets

Die Schwierigkeit des IT-Rechts liegt nicht in der Komplexität der Regeln. Einzeln gelesen, sind die Regeln verständlich.

Die Schwierigkeit besteht darin zu wissen, in welchem Moment welche Regel greift. Die Entscheidung eines Ingenieurs "speichern wir dieses Feld auch noch, könnte man mal brauchen" löst Folgen nach drei verschiedenen Gesetzen aus, und die Person, die diese Entscheidung trifft, weiß das meist nicht. Diese Wissenslücke schließt man nicht durch eine dickere Compliance-Akte, sondern dadurch, dass die Juristin oder der Jurist am Tisch sitzt, an dem die Entscheidung getroffen wird.