Tatort Schweiz: Datenleck im Kantonsgericht Schaffhausen

Datenpannen kennen wir aus der Vergangenheit schon zur Genüge. Auf der Website des Kantonsgerichts Schaffhausen lagen sensible Personendaten offen – frei einsehbar für alle, die zufällig oder gezielt vorbeischauten. Betroffen: Prozessbeteiligte mit Namen, Adressen, Geburtsdaten.

Datenleck bestand mindestens drei Tage

Drei Tage lang konnte jede Person mit Internetzugang die persönlichen Daten von Klägern und Beklagten einsehen. Was da zugänglich war, ist in der Schweiz eigentlich geschützt: eine Traktandenliste mit allen gerichtsrelevanten Angaben zu Prozessbeteiligten – normalerweise nur für Berechtigte abrufbar.

Massiver Eingriff in die Persönlichkeitsrechte

Das Leck betraf 15 Verfahren. Neben kleineren Delikten auch schwere: mehrfache Vergewaltigung, Raub. Adressen, Geburtsdaten, Anwaltsnamen – alles lag offen. Die Verhandlungen waren für die Zeit zwischen Mitte Mai und Ende Juni angesetzt.

Die Datenpanne fiel am 15. Mai auf – also noch bevor die Prozesse begannen. Theoretisch hätten Unbefugte die Zeit nutzen können, um Einfluss auf die Verhandlungen zu nehmen. Wie entspannt Behörden in der Schweiz mit diesem Vorfall umgingen, überrascht.

Datenschutzbeauftragter bezeichnet Leck als nicht dramatisch

Christoph Storrer, Datenschutzbeauftragter des Kantons Schaffhausen, kommt zu einem anderen Schluss: Das Leck sei nicht dramatisch. Seine Begründung: Zwischen öffentlichen und nicht öffentlichen Sitzungen sei zu unterscheiden. Die betroffenen Daten gehörten zu öffentlich zugänglichen Verhandlungen.

Datenschutzrechtlich wesentlich gravierender wäre es laut Storrer gewesen, wenn Daten aus nicht öffentlichen Sitzungen ins Netz gelangt wären – etwa aus Scheidungsverfahren.

Datenleck – kein Grund zur Intervention

Die Datenschutzbehörde sieht deshalb keinen Handlungsbedarf. Storrer räumte zwar ein, dass es sich um eine Verletzung von Persönlichkeitsrechten handelte – aber eben um keine dramatische. Betroffene könnten gegen das Gericht haftungsrechtliche Ansprüche geltend machen, sofern ihnen durch das Leck ein konkreter Schaden entstand.

Ob Datenschutz in der Schweiz also greift, hängt offenbar von der Einordnung des Einzelfalls ab. Das Kantonsgericht Schaffhausen reagierte immerhin schnell: Sobald die Panne bekannt wurde, ersetzte man die Liste durch eine anonymisierte Version.

Ursache war wohl ein Versehen – ein Mitarbeiter gab die falsche Liste frei. Ob das dienstrechtliche Konsequenzen hat, ist nicht bekannt.