UE240472

E. 1 Begründung der Staatsanwaltschaft zur Nichtanhandnahmeverfügung Die Staatsanwaltschaft begründete die angefochtene Verfügung im Wesentlichen damit, der Beschwerdeführer werfe den Beschwerdegegnern 1 vor, am 31. Mai 2024 um 14:52 Uhr ein E-Mail mit vertraulichen und sensiblen Daten unverschlüs- selt an seine nicht autorisierte E-Mail-Adresse "A._____@bluewin.ch" versandt zu haben. In diesem E-Mail seien Daten über ihn, wie Geldbeträge bzw. Versiche- rungsleistungen, und persönliche Daten wie sein Geburtsdatum, enthalten gewe- sen. Aus den Akten ergebe sich, dass es in diesem E-Mail um die Saldierung seines Depots (Vorsorgepolice) gegangen sei, das per 1. Mai 2024 abgelaufen sei. In des- sen Anlage habe sich ein Formular befunden, aus welchem der Betrag der Erle- bensfallleistung sowie sein Name, sein Geburtsdatum und seine Adresse ersicht- lich seien. Im Schreiben der B._____ AG vom 24. Juli 2024 habe diese zur Nutzung der E-Mail-Adresse des Beschwerdeführers Stellung genommen und ausgeführt, zur E-Mail-Domain bluewin.ch bestehe eine zwingende TLS-Regelung, nach wel-

- 3 - cher das jeweilige E-Mail unabhängig von einer gewählten Klassifizierung per TLS während des Transports verschlüsselt werde oder der Versand fehlschlage. Die B._____ AG könne daher keinen datenschutzwidrigen, unverschlüsselten E-Mail- Versand erkennen. Darüber hinaus läge insbesondere kein vorsätzlicher Verstoss gegen das Datenschutzgesetz vor. Es sei bei objektiver Betrachtung nicht ersichtlich, wie die Beschwerdegegner 1 vorsätzlich irgendwelche Informations-, Auskunfts-, Mitwirkungs-, Sorgfaltspflichten oder berufliche Schweigepflichten durch ihr Verhalten bzw. das Versenden einer verschlüsselten Nachricht an den Beschwerdeführer verletzt haben sollen, weshalb die Voraussetzungen für die Eröffnung einer Untersuchung nicht erfüllt seien (Urk. 3 S. 1 f.).

E. 2 Begründung der Beschwerde Zur Begründung seiner Beschwerde brachte der Beschwerdeführer im Wesentli- chen vor, im Vergleich zur TLS-Regelung stelle eine Ende-zu-Ende-Verschlüsse- lung (E2EE-Regelung) sicher, dass niemand ausser den beiden Parteien, die mit- einander kommunizieren würden, die Nachricht einsehen könne. Rechtsanwalt X._____ habe ihm gegenüber bestätigt, dass der elektronische Transport von ver- traulichen, sensiblen und geheimen Daten zwingend eine E2EE-Verschlüsselung voraussetze und dass eine TLS-Regelung ungeeignet gewesen wäre; dabei habe dieser auf die Bestimmungen im Datenschutzgesetz verwiesen zwecks Prüfung, ob sich die Beschwerdegegner 1 mit dem gewählten Vorgehen strafbar gemacht hät- ten (Urk. 2 S. 1 ff.).

E. 3 Rechtliches und Folgerungen

a) Gemäss Art. 309 Abs. 1 StPO verfügt die Staatsanwaltschaft die Eröff- nung einer Untersuchung, wenn sich aus den Informationen und Berichten der Po- lizei, aus der Strafanzeige oder aus ihren eigenen Feststellungen ein hinreichender Tatverdacht ergibt, wenn sie Zwangsmassnahmen anordnet sowie wenn sie von

- 4 - der Polizei über schwere Straftaten oder andere schwerwiegende Ereignisse infor- miert wurde. Gelangt sie hingegen zum Schluss, dass die fraglichen Straftatbe- stände oder die Prozessvoraussetzungen eindeutig nicht erfüllt sind, Verfahrens- hindernisse bestehen oder gemäss Art. 8 StPO aus Opportunitätsgründen auf eine Strafverfolgung zu verzichten ist, verfügt sie die Nichtanhandnahme (Art. 310 Abs. 1 StPO). Die Staatsanwaltschaft darf dann die Untersuchung – z.B. aufgrund einer Anzeige – nicht an Hand nehmen, wenn mit Sicherheit feststeht, dass der zur Beurteilung vorliegende Sachverhalt unter keinen Straftatbestand fällt oder wenn mit anderen Worten eine Anzeige von vornherein aussichtslos ist, weil offensicht- lich keine Straftatbestände oder Prozessvoraussetzungen erfüllt sind. Ebenso ist keine Untersuchung an Hand zu nehmen, wenn Prozesshindernisse, wie z.B. Ver- jährung, gegeben sind. Eine Nichtanhandnahmeverfügung darf jedoch nicht erge- hen, wenn es bloss zweifelhaft ist, ob ein Straftatbestand vorliegt (vgl. zum Ganzen: Jositsch/Schmid, Handbuch des schweiz. Strafprozessrechts, 4. Aufl., Zürich/ St. Gallen 2023, N 1231; Jositsch/Schmid, StPO Praxiskommentar, 4. Aufl., Zürich/ St. Gallen 2023, N 3 f. zu Art. 309 StPO, N 1 ff. zu Art. 310 StPO; Nathan Lands- hut/Thomas Bosshard, in: Donatsch/Lieber/Summers/Wohlers, Kommentar zur StPO, 3. Auflage, Zürich 2020, N 11-14 und N 19-23 zu Art. 309 StPO, N 2 ff. zu Art. 310 StPO). Ohnehin gilt ganz grundsätzlich, dass nur strafbar ist, was das Ge- setz ausdrücklich unter Strafe stellt (Art. 1 StGB).

b) Gemäss Art. 61 lit. c des Datenschutzgesetzes (DSG) macht sich straf- bar, wer vorsätzlich die Mindestanforderungen an die Datensicherheit, die der Bun- desrat nach Art. 8 Abs. 3 DSG erlassen hat, nicht einhält. Gemäss Art. 8 Abs. 1 DSG gewährleisten der Verantwortliche und der Auftragsbearbeiter durch geeig- nete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Die Massnahmen müssen es ermöglichen, Verletzungen der Da- tensicherheit zu vermeiden (Art. 8 Abs. 2 DSG). Nach Art. 8 Abs. 3 DSG erlässt der Bundesrat Bestimmungen über die Mindestanforderungen an die Datensicherheit. Der Bundesrat hat dies in der Datenschutzverordnung (DSV) getan. Die Daten- schutzverordnung hält fest, welche Kriterien dabei zu berücksichtigen sind, und gibt Leitlinien vor, wie die Massnahmen auszugestalten sind (Art. 1, 2 und 3 DSV). Das Datenschutzgesetz und die Datenschutzverordnung enthalten keine verbindlichen

- 5 - Vorgaben für Daten- bzw. Informationssicherheits-standards. Die Einhaltung eines etablierten Standards bedeutet nicht zwingend, dass eine angemessene Datensi- cherheit gewährleistet ist. Sie ist aber als gewichtiges Indiz dafür zu werten, und die Wahrscheinlichkeit von erheblichen Verstössen gegen die Anforderungen nach Art. 8 DSG ist bei der korrekten Umsetzung eines etablierten Standards gering (BSK DSG-Stamm-Pfister, 4. Auflage 2024, N 36 zu Art. 8 DSG). Beim Erläutern der Mindestanforderungen legte der Bundesrat Wert auf die Kompatibilität mit der EU-Datenschutz-Grundverordnung (DSGVO) sowie darauf, die Vorschriften mit dem Stand der Technik abzustimmen. Ersteres wird damit begründet, dass schwei- zerische Unternehmen, die in der EU tätig sind, und eine DSGVO-konforme Daten- sicherheit gewährleisten, auch in der Schweiz davon ausgehen können, dass sie die Mindestanforderungen erfüllen (Erläuternder Bericht zur Verordnung über den Datenschutz (Datenschutzverordnung, DSV) vom 31. August 2022, S. 10). Konkret bedeutet dies, dass schweizerische Unternehmen, welche die Anforderungen der DSGVO in Bezug auf technische und organisatorische Massnahmen bereits erfül- len, auch den Anforderungen des schweizerischen Datenschutzrechts genügen. Die DSGVO schreibt ebenfalls keine konkrete Verschlüsselungsmethode vor. Statt- dessen gilt ein risikobasierter Ansatz: Unternehmen müssen geeignete Massnah- men auf Basis einer Risikoanalyse wählen. Höhere Sicherheitsanforderungen gel- ten laut DSGVO insbesondere für besondere Kategorien personenbezogener Da- ten im Sinne von Art. 9 DSGVO. Rechnungsdaten bzw. Adressdaten rechtfertigen diesen Schutzstatus nicht – auch nicht bei Privatpersonen. Zu den besonders schützenswerten Daten zählen z. B. Informationen zur ethnischen Herkunft, politi- schen Meinung, Religion, Gesundheit oder sexuellen Orientierung und genetische und biometrische Daten (Art. 9 Abs. 1 DSGVO). Nur wenn solche Daten betroffen sind, gelten erhöhte Sicherheitsanforderungen. Angesichts dieser Rechtslage trifft die vom Beschwerdeführer vertretene Auffas- sung, wonach es sich im vorliegenden Fall (der finanzielle Daten und Adressdaten betrifft) um besonders schützenswerte Daten handle, die eine E2EE-Verschlüsse- lung erfordern würden, nicht zu, und die Staatsanwaltschaft hat in der Begründung ihrer Nichtanhandnahmeverfügung zu Recht festgehalten, es sei bei objektiver Be- trachtung nicht ersichtlich, wie die Beschwerdegegner 1 vorsätzlich irgendwelche

- 6 - Informations-, Auskunfts-, Mitwirkungs-, Sorgfaltspflichten oder berufliche Schwei- gepflichten durch ihr Verhalten bzw. das Versenden einer verschlüsselten Nach- richt an den Beschwerdeführer verletzt haben sollen. Zusammenfassend ist die Beschwerde abzuweisen. III. Kosten- und Entschädigungsfolgen Ausgangsgemäss sind die Kosten für das Beschwerdeverfahren dem Beschwerde- führer aufzuerlegen (Art. 428 Abs. 1 StPO). Diese sind in Anwendung von § 2 Abs. 1 lit. b-d und gestützt auf § 17 Abs. 1 der Gebührenverordnung des Oberge- richts vom 8. September 2010 (GebV OG) auf Fr. 900.– festzusetzen und mit der geleisteten Prozesskaution von Fr. 1'800.– zu verrechnen. Der Restbetrag der Kau- tion (Fr. 900.–) ist dem Beschwerdeführer unter Vorbehalt des Verrechnungsrechts des Staates zurückzuerstatten. Mangels erheblicher Umtriebe ist den Beschwerdegegnern 1 keine Entschädigung zuzusprechen. Es wird beschlossen:

E. 3a Gemäss Art. 309 Abs. 1 StPO verfügt die Staatsanwaltschaft die Eröff- nung einer Untersuchung, wenn sich aus den Informationen und Berichten der Po- lizei, aus der Strafanzeige oder aus ihren eigenen Feststellungen ein hinreichender Tatverdacht ergibt, wenn sie Zwangsmassnahmen anordnet sowie wenn sie von

- 4 - der Polizei über schwere Straftaten oder andere schwerwiegende Ereignisse infor- miert wurde. Gelangt sie hingegen zum Schluss, dass die fraglichen Straftatbe- stände oder die Prozessvoraussetzungen eindeutig nicht erfüllt sind, Verfahrens- hindernisse bestehen oder gemäss Art. 8 StPO aus Opportunitätsgründen auf eine Strafverfolgung zu verzichten ist, verfügt sie die Nichtanhandnahme (Art. 310 Abs. 1 StPO). Die Staatsanwaltschaft darf dann die Untersuchung – z.B. aufgrund einer Anzeige – nicht an Hand nehmen, wenn mit Sicherheit feststeht, dass der zur Beurteilung vorliegende Sachverhalt unter keinen Straftatbestand fällt oder wenn mit anderen Worten eine Anzeige von vornherein aussichtslos ist, weil offensicht- lich keine Straftatbestände oder Prozessvoraussetzungen erfüllt sind. Ebenso ist keine Untersuchung an Hand zu nehmen, wenn Prozesshindernisse, wie z.B. Ver- jährung, gegeben sind. Eine Nichtanhandnahmeverfügung darf jedoch nicht erge- hen, wenn es bloss zweifelhaft ist, ob ein Straftatbestand vorliegt (vgl. zum Ganzen: Jositsch/Schmid, Handbuch des schweiz. Strafprozessrechts, 4. Aufl., Zürich/ St. Gallen 2023, N 1231; Jositsch/Schmid, StPO Praxiskommentar, 4. Aufl., Zürich/ St. Gallen 2023, N 3 f. zu Art. 309 StPO, N 1 ff. zu Art. 310 StPO; Nathan Lands- hut/Thomas Bosshard, in: Donatsch/Lieber/Summers/Wohlers, Kommentar zur StPO, 3. Auflage, Zürich 2020, N 11-14 und N 19-23 zu Art. 309 StPO, N 2 ff. zu Art. 310 StPO). Ohnehin gilt ganz grundsätzlich, dass nur strafbar ist, was das Ge- setz ausdrücklich unter Strafe stellt (Art. 1 StGB).

E. 3b Gemäss Art. 61 lit. c des Datenschutzgesetzes (DSG) macht sich straf- bar, wer vorsätzlich die Mindestanforderungen an die Datensicherheit, die der Bun- desrat nach Art. 8 Abs. 3 DSG erlassen hat, nicht einhält. Gemäss Art. 8 Abs. 1 DSG gewährleisten der Verantwortliche und der Auftragsbearbeiter durch geeig- nete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Die Massnahmen müssen es ermöglichen, Verletzungen der Da- tensicherheit zu vermeiden (Art. 8 Abs. 2 DSG). Nach Art. 8 Abs. 3 DSG erlässt der Bundesrat Bestimmungen über die Mindestanforderungen an die Datensicherheit. Der Bundesrat hat dies in der Datenschutzverordnung (DSV) getan. Die Daten- schutzverordnung hält fest, welche Kriterien dabei zu berücksichtigen sind, und gibt Leitlinien vor, wie die Massnahmen auszugestalten sind (Art. 1, 2 und 3 DSV). Das Datenschutzgesetz und die Datenschutzverordnung enthalten keine verbindlichen

- 5 - Vorgaben für Daten- bzw. Informationssicherheits-standards. Die Einhaltung eines etablierten Standards bedeutet nicht zwingend, dass eine angemessene Datensi- cherheit gewährleistet ist. Sie ist aber als gewichtiges Indiz dafür zu werten, und die Wahrscheinlichkeit von erheblichen Verstössen gegen die Anforderungen nach Art. 8 DSG ist bei der korrekten Umsetzung eines etablierten Standards gering (BSK DSG-Stamm-Pfister, 4. Auflage 2024, N 36 zu Art. 8 DSG). Beim Erläutern der Mindestanforderungen legte der Bundesrat Wert auf die Kompatibilität mit der EU-Datenschutz-Grundverordnung (DSGVO) sowie darauf, die Vorschriften mit dem Stand der Technik abzustimmen. Ersteres wird damit begründet, dass schwei- zerische Unternehmen, die in der EU tätig sind, und eine DSGVO-konforme Daten- sicherheit gewährleisten, auch in der Schweiz davon ausgehen können, dass sie die Mindestanforderungen erfüllen (Erläuternder Bericht zur Verordnung über den Datenschutz (Datenschutzverordnung, DSV) vom 31. August 2022, S. 10). Konkret bedeutet dies, dass schweizerische Unternehmen, welche die Anforderungen der DSGVO in Bezug auf technische und organisatorische Massnahmen bereits erfül- len, auch den Anforderungen des schweizerischen Datenschutzrechts genügen. Die DSGVO schreibt ebenfalls keine konkrete Verschlüsselungsmethode vor. Statt- dessen gilt ein risikobasierter Ansatz: Unternehmen müssen geeignete Massnah- men auf Basis einer Risikoanalyse wählen. Höhere Sicherheitsanforderungen gel- ten laut DSGVO insbesondere für besondere Kategorien personenbezogener Da- ten im Sinne von Art. 9 DSGVO. Rechnungsdaten bzw. Adressdaten rechtfertigen diesen Schutzstatus nicht – auch nicht bei Privatpersonen. Zu den besonders schützenswerten Daten zählen z. B. Informationen zur ethnischen Herkunft, politi- schen Meinung, Religion, Gesundheit oder sexuellen Orientierung und genetische und biometrische Daten (Art. 9 Abs. 1 DSGVO). Nur wenn solche Daten betroffen sind, gelten erhöhte Sicherheitsanforderungen. Angesichts dieser Rechtslage trifft die vom Beschwerdeführer vertretene Auffas- sung, wonach es sich im vorliegenden Fall (der finanzielle Daten und Adressdaten betrifft) um besonders schützenswerte Daten handle, die eine E2EE-Verschlüsse- lung erfordern würden, nicht zu, und die Staatsanwaltschaft hat in der Begründung ihrer Nichtanhandnahmeverfügung zu Recht festgehalten, es sei bei objektiver Be- trachtung nicht ersichtlich, wie die Beschwerdegegner 1 vorsätzlich irgendwelche

- 6 - Informations-, Auskunfts-, Mitwirkungs-, Sorgfaltspflichten oder berufliche Schwei- gepflichten durch ihr Verhalten bzw. das Versenden einer verschlüsselten Nach- richt an den Beschwerdeführer verletzt haben sollen. Zusammenfassend ist die Beschwerde abzuweisen. III. Kosten- und Entschädigungsfolgen Ausgangsgemäss sind die Kosten für das Beschwerdeverfahren dem Beschwerde- führer aufzuerlegen (Art. 428 Abs. 1 StPO). Diese sind in Anwendung von § 2 Abs. 1 lit. b-d und gestützt auf § 17 Abs. 1 der Gebührenverordnung des Oberge- richts vom 8. September 2010 (GebV OG) auf Fr. 900.– festzusetzen und mit der geleisteten Prozesskaution von Fr. 1'800.– zu verrechnen. Der Restbetrag der Kau- tion (Fr. 900.–) ist dem Beschwerdeführer unter Vorbehalt des Verrechnungsrechts des Staates zurückzuerstatten. Mangels erheblicher Umtriebe ist den Beschwerdegegnern 1 keine Entschädigung zuzusprechen. Es wird beschlossen: