Fast jedes Unternehmen und jede Einrichtung hat bereits ein Auskunftsersuchen von einer Ermittlungs- und Strafverfolgungsbehörde (Staatsanwaltschaft, Polizei, Zoll etc.) erhalten. Häufig handelt es sich zunächst um telefonische Anfragen und fast immer ist „besondere Eile“ geboten. Schließlich möchte man ja „nicht die Täter schützen, oder“? Die zuständigen Mitarbeiter sehen sich dann häufig in einem Zwiespalt und fragen sich: „Darf ich die Daten herausgeben? Muss ich?“
DIE RECHTLICHE ZULÄSSIGKEIT STELLT DOCH DIE ANFRAGENDE BEHÖRDE SICHER, ODER?
Nein! Zunächst einmal ist es wichtig, dass Sie sich vor Augen halten, dass die anfragende Behörde Fragen stellen darf, dies aber noch nicht zwingend heißt, dass Sie diese auch beantworten dürfen/müssen. Grundsätzlich ist nämlich die übermittelnde Stelle für die Datenverarbeitung verantwortlich, sodass erhebliche Bußgelder oder Klageverfahren drohen können. Gerade im Falle von Ermittlungsverfahren ist das Eskalationsrisiko hoch! Ausnahmen vom Verantwortlichkeitsgrundsatz können sich in bestimmten Fällen jedoch aus dem Landesrecht oder spezialgesetzlichen Vorschriften z.B. für Übermittlungen durch eine öffentliche Stelle des Landes an eine andere öffentliche Stelle, beispielsweise gemäß § 6 Abs. 1 Satz 2 Sächsisches Datenschutzdurchführungsgesetz (SächsDSDG) ergeben.
Sowohl die übermittelnde als auch die empfangende Stelle benötigen auch in Straf- und Ermittlungsverfahren für die Datenverarbeitung eine Rechtsgrundlage („Verbot mit Erlaubnisvorbehalt“). In der Regel werden die Daten ursprünglich für einen anderen Zweck erhoben worden sein, sodass es sich um eine „Weiterverarbeitung zu einem anderen Zweck“ handelt. Die Datenschutz-Grundverordnung enthält keine spezielle Übermittlungsgrundlage zur Abwehr von Gefahren für die staatliche/öffentliche Sicherheit und die Verfolgung von Straftaten. Diese ergeben sich jedoch zum Teil aus dem Bundes- bzw. Landesrecht, beispielsweise § 24 Bundesdatenschutzgesetz (BDSG), § 4 Abs. 1 Nr. 3 SächsDSDG. Gemäß § 24 Abs. 1 Nr. 1 BDSG ist die Übermittlung zulässig, wenn die Daten zur Verfolgung von Straftaten (keine Ordnungswidrigkeiten!) erforderlich sind und die Interessen des Betroffenen an dem Ausschluss der Übermittlung nicht überwiegen. Für die empfangende Behörde wird sich die Erhebungs- bzw. Ermittlungsbefugnis i.d.R. aus den spezialgesetzlichen Regelungen ergeben (beispielsweise Strafprozessordnung, Polizeigesetze der Länder, Mindestlohngesetz, Schwarzarbeitsbekämpfungsgesetz).
DATENSCHUTZ IST KEIN TÄTERSCHUTZ
Immer wieder sieht sich der Datenschutz mit dem Vorwurf konfrontiert, dass er die Täter schützen würde. Dies ist jedoch nicht der Fall! Vielmehr sind generelle/großflächige Überwachungsmaßnahmen bereits mit Blick auf die – unserem Rechtssystem zu Recht zu Grunde liegende – Unschuldsvermutung problematisch, da man damit alle betroffenen Personen einem Generalverdacht aussetzt. Umgekehrt ist die Verarbeitung der Daten der Täter aber auf Basis konkreter Verdachtsmomente und im erforderlichen – das heißt insbesondere auch verhältnismäßigen – Umfang zulässig. Im Rahmen der Interessenabwägung spielt auch das Verhalten der betroffenen Person, also z.B. dessen Schuld oder der konkrete Vorwurf eine wesentliche Rolle. Das Interesse, einer Strafverfolgung zu entgehen, wird aber gerade nicht geschützt. Gleichzeitig sollen „Bagatellvorwürfe“ nicht zu einem unverhältnismäßigen Risiko für unsere Freiheitsrechte z.B. durch einen stetigen Überwachungsdruck führen.
Straf- und Ermittlungsbehörden wollen und sollen – zum Wohle der Allgemeinheit und im Rahmen ihrer gesetzlichen Aufgaben – Beweise sammeln bzw. Tatverdächtige finden. Hierfür müssen umfangreiche Daten erarbeitet werden und es ist verständlich, dass auch bestehende Datensammlungen von Unternehmen und sonstigen Einrichtungen genutzt werden (sollen). Dabei darf aber nicht übersehen werden, dass sich die angefragte Stelle in einer zum einen rechtlich angreifbaren Position befindet, zum anderen aber natürlich i.d.R. auch ein legitimes Interesse besteht, die eigenen Mitarbeiter, Kunden o.ä. zu schützen. Die Straf- und Ermittlungsbehörden sollten dies daher im Rahmen Ihrer Anfragen berücksichtigen und bei ihren Anfragen Sorgfalt und Verständnis zeigen.
AUCH WENN DRUCK AUFGEBAUT WIRD: BLEIBEN SIE RUHIG UND GELASSEN!
Verlangen Sie grundsätzlich ein schriftliches Auskunftsersuchen bzw. bei sensiblen Anfragen einen entsprechenden Bescheid der Staatsanwaltschaft. Telefonische Auskünfte sollten grundsätzlich nicht erteilt werden, da Sie in diesem Fall i.d.R. nicht sicherstellen können, dass die anfragende Person tatsächlich offiziell im Auftrag der Behörde anfragt. Lässt sich dies im Einzelfall aufgrund besonderer Eile nicht umgehen, prüfen Sie die Echtheit, indem Sie die Hauptnummer der Dienststelle recherchieren und sich verbinden lassen. Unterziehen Sie auch Anfragen per Mail und Fax einer bestmöglichen Echtheitskontrolle. Unabhängig davon fehlen bei mündlichen Anfragen im Zweifel wichtige Nachweise („Rechenschaftspflicht“).
Neben einem Ermittlungs- bzw. Aktenzeichen sollte sich aus der Anfrage immer ergeben, um welchen Tatvorwurf es sich handelt bzw. was der Zweck der Anfrage ist und auf welche Rechtsgrundlage die Ermittlungsbehörde sich stützt. Dies benötigen Sie, um zu prüfen, ob die Anfrage sich im Rahmen der Zuständigkeit der anfragenden Stelle bewegt und für die Aufgabenerfüllung erforderlich ist sowie gegebenenfalls im Rahmen einer erforderlichen Interessenabwägung.
Das Auskunftsersuchen sollte grundsätzlich auch beinhalten, inwieweit eine Pflicht zur Auskunft besteht. Ist dies nicht der Fall, sollte eine etwaige Verpflichtung erfragt werden. Eine datenschutzrechtliche Übermittlungsbefugnis beinhaltet grundsätzlich keine Verpflichtung. Eine solche kann sich aber aus der Strafprozessordnung (u.a. §§ 95, 98a 161a Abs. 1 oder 163 Abs. 3 StPO) oder spezialgesetzlichen Normen z.B. durch § 32 Bundesmeldegesetz, §§ 15 ff. Mindestlohngesetz ergeben. Die Abklärung einer Auskunftspflicht dient der zusätzlichen Absicherung der übermittelnden Stelle, da die Datenübermittlung in diesem Fall auch von Art. 6 Abs. 1 lit. c DS-GVO („rechtliche Verpflichtung“) gedeckt ist.
Es sollten immer nur die tatsächlich erforderlichen Daten übermittelt werden. Beispielsweise sollte eine Herausgabe vollständiger Personallisten der letzten Jahre hinsichtlich der Verhältnismäßigkeit hinterfragt werden. Sind Sie der Ansicht, dass abgefragte Daten keine Aussagen zu den fraglichen Punkten treffen, so besprechen Sie dies im Vorfeld mit der anfragenden Stelle. Lassen die von der anfragenden Stelle übermittelnden Daten keine eindeutige Zuordnung zu einer Person zu (z.B. Namensgleichheit), so bitten Sie um weitere Informationen bzw. versuchen Sie den Kreis im Gespräch mit der ermittelnden Stelle weiter einzuschränken.
Selbstverständlich sind bei der Datenübermittlung an Behörden entsprechende technische und organisatorische Maßnahmen (z.B. Artt. 32, 25 DS-GVO) zu gewährleisten, z.B. persönliche Übergabe, Verschlüsselung, Einschreiben.
Zu guter Letzt muss geprüft werden, inwieweit die Betroffenen über die Datenübermittlung informiert werden müssen (Art. 13 DS-GVO). Offizielle Auskunftsanfragen bzw. Bescheide der Staatsanwaltschaft untersagen dies i.d.R., um eine Gefährdung des Ermittlungsverfahrens auszuschließen. Unabhängig davon kann die Informationspflicht aber auch bereits gesetzliche ausgeschlossen sein (z.B. §§ 32, 33 BDSG, § 8 SächsDSDG oder spezialgesetzlich). Im Zweifel fragen Sie bitte im Vorfeld einer Information bei der anfragenden Stelle nach.
FAZIT
Der richtige Umgang mit Auskunftsanfragen von Straf- und Ermittlungsbehörden ist abhängig von den Umständen des Einzelfalls und birgt u.U. hohe Haftungsrisiken. Die Bearbeitung sollte entsprechend sorgfältig erfolgen und dokumentiert werden. Im Zweifel sollten Sie die Anfrage daher immer an Ihre/n Datenschutzbeauftragte/n weiterleiten und mit diesem/r das weitere Vorgehen besprechen.
Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.
