Category Archives: EMRK

Länderübergreifende Kontrolle der deutschen Aufsichtsbehörden zur Umsetzung der SchremsII-Entscheidung

Posted on by

Wie heute bekannt wurde (Pressemitteilung der Berliner Behörde, PDF), führen die deutschen Aufsichtsbehörden gemeinsam abgestimmte Kontrollen zur Einhaltung datenschutzrechtlicher Vorgaben zu internationalen Datenübermittlungen mithilfe von fünf verschiedenen Fragebögen in fünf Themenkomplexen durch. Jede Behörde entscheidet individuell, in welchen dieser Themenfelder sie durch Versenden der Fragebögen tätig wird und an welche Unternehmen sie herantritt. Daher kann es sein, dass manche Behörden nur einen oder wenige Fragebögen wirklich nutzen und andere wiederrum alle Fragebögen versenden. Die wie im Folgenden aufgeführt bezeichneten Fragebögen sind unter folgenden Links abrufbar:

Innerhalb dieses Blogbeitrags möchte ich auf einige Themen näher eingehen, die bei einer ersten groben Durchsicht der Fragebögen aufgefallen sind.

Selbstbezichtigungsfreiheit vs. Pflicht zur Zusammenarbeit mit den Aufsichtsbehörden

Anders als bei manch anderen Fragebögen, die in der Vergangenheit versendet wurden (siehe bspw. zum Fragebogen der Thüringer Behörde zu Webseiten hier), enthalten die öffentlich verfügbaren Versionen keinen Hinweis darauf, ob die Beantwortung der Fragen freiwillig oder verpflichtend ist. Wahrscheinlich wird dies in den Begleitschrieben der Behörden näher erläutert.

Eine sehr allgemein gehaltene Pflicht von Unternehmen zur Zusammenarbeit mit den Aufsichtsbehörden ist in Art. 31 DSGVO geregelt. Wie weit diese Pflicht reicht, ist derzeit noch vollkommen unklar. Sie wird nicht so ausgelegt werden können, dass Unternehmen sich selbst bezichtigen müssen. Dagegen sind Unternehmen nach dem nemo tenetur Grundsatz aus Art. 47 der Charta der Grundrechte der Europäischen Union geschützt. Hierbei ist jedoch zu beachten, dass der EuGH in mehreren Fällen geurteilt hat, dass die Beantwortung von Tatsachenfragen dem nemo tenetur Prinzip nicht entgegensteht (siehe bspw. EuGH, Rs. T-112/98, Rn. 78 zur Beantwortung von Tatsachenfragen ggü. der Kommission) und Unternehmen auch dann zur Beantwortung solcher Fragen verpflichtet sind, wenn die Antworten für sie selbstbelastend wirken. Dies wird man auch auf die Fragen der deutschen Behörden übertragen müssen, soweit sie sich ausschließlich auf Tatsachen beziehen.

Anderes gilt ggf. für Fragen, bei denen die Behörden nicht nach Tatsachen fragen. So z.B. in Frage 9 des Fragebogens zum E-Mail-Versand / Frage 12 zum Hosting / Frage 11 zum Webtracking / Frage 9 zu Bewerberportalen, in welcher um eine Beschreibung der Gründe für die Rechtmäßigkeit der Verwendung von Standardvertragsklauseln und nach Nachweisen gefragt wird. Innerhalb des Fragebogens zum konzerninternen Datenverkehr wird für den Fall, dass Unternehmen zum Schluss gelangt sind, dass der Empfänger im Drittland die Pflichten aus Standardvertragsklauseln erfüllen kann, nach Gründen für die Schlussfolgerung und Nachweisen gefragt (Frage 8).

Fragen zum Verzeichnis von Verarbeitungstätigkeiten

Die Fragen der verschiedenen Bögen überschneiden sich zum Teil. So wird in jedem Fall nach den Rollen von Dienstleistern (Auftragsverarbeiter oder gemeinsam Verantwortlicher) und nach einem Auszug aus dem Verzeichnis von Verarbeitungstätigkeiten gefragt. Zu Letzterem sind Unternehmen nach Art. 30 Abs. 4 DSGVO verpflichtet. Hierbei sollten Unternehmen beachten, dass von der Frage nach dem Verzeichnis nicht nur die Zusammenarbeit mit Dienstleistern betroffen ist, sondern bspw. nach den „die den Einsatz des Internetangebots betreffenden Teilen“ oder nach „den Betrieb der WWW-Seiten betreffenden Teilen“ gefragt wird. Nach meinem Verständnis meint dies in den beiden zitierten Fällen alle Einträge im Verzeichnis, die eine auf der Website erfolgende Datenverarbeitung betreffen. Man könnte mutmaßen, dass die Behörden sich durch diese weiteren Informationen aus dem Verzeichnis eine noch weiterreichende Prüfung von Websites ermöglichen wollen. Unternehmen sollten ihr Verzeichnis definitiv noch einmal prüfen, bevor sie es als Bestandteil einer Antwort an die Behörde herausgeben.

Frage nach einer möglichen Kenntnisnahme von Daten im Drittland

Innerhalb aller Fragebögen möchten die Behörden von Unternehmen eine Antwort auf die folgende Frage erhalten:

„Sofern die (mögliche) Kenntnisnahme der personenbezogenen Daten in den USA erfolgt, unterfallen Sie oder ein Empfänger der Section 702 des Foreign Intelligence Surveillance Act (FISA) der USA, der US-Behörden Zugang zu den Daten bei Anbietern elektronischer Kommunikationsdienste ermöglicht?“

Im Fragebogen zum konzerninternen Datenverkehr heißt es außerdem wie folgt:

„Bitte beachten Sie, dass es sich auch schon dann um eine Übermittlung im Sinne des Kapitel V DSGVO handelt, wenn Daten, die z.B. in Deutschland gespeichert sind, von einer in einem Drittland befindlichen Person per Fernzugriff aufgerufen werden können.“

Hierbei fällt auf, dass die Aufsichtsbehörden wiederholt auf eine „mögliche“ Kenntnisnahme und auf einen möglichen Fernzugriff für eine „Übermittlung“ abstellen. In der DSGVO gibt es jedoch keinerlei Anhaltspunkte dafür, dass bereits eine rein mögliche, aber nicht tatsächlich erfolgende Kenntnisnahme oder ein solch theoretisch möglicher Fernzugriff eine Datenübermittlung ist. Folglich ist es fragwürdig, was die Behörden aus der Antwort auf Ihre Frage machen möchten. Es ist zumindest denkbar, dass Unternehmen auf die Frage mit „ja“ antworten, für sie aber mangels einer tatsächlich erfolgten Übermittlung die Vorgaben der DSGVO zu Datenübermittlungen jedoch überhaupt nicht gelten und daher für den Dienstleister die Pflichten aus den SCC in Bezug auf die rein theoretische Übermittlung nicht gelten.

Frage zur Änderung der Rechtslage

Grundsätzlich gibt es bei den Fragebögen vielfach Überschneidungen. Innerhalb des Fragebogens zu Bewerberportalen und jenem zum konzerninternen Datenverkehr ist interessanterweise eine Frage zu Datenübermittlungen enthalten, die nicht in den anderen Bögen aufgeführt ist und wie folgt lautet:

„Da sich die Rechtslage im Drittland ändern kann: Wie stellen Sie eine schnelle Reaktion und datenschutzkonforme Anpassung an neue Gegebenheiten sicher? Beschreiben Sie insbesondere den Melde- und den Reaktionsprozess zwischen Ihrem Unternehmen und dem Empfänger im Drittland.“

Die Frage wird für Unternehmen (zumindest auf dem Papier) einfach zu beantworten sein. Innerhalb der SCC gibt es eine Pflicht des im Drittland ansässigen Datenverarbeitenden, das in der EU ansässige Unternehmen über Änderungen in der Rechtslage zu informieren. Daher könnte es ausreichend sein, dass in einem in der Frage beschriebenen Fall die Kommunikation per E-Mail erfolgt und die Parteien in so einem Fall zusammenkommen und die Notwendigkeit prüfen, zusätzliche Maßnahmen für Datenübermittlungen zu vereinbaren oder eine zuständige Aufsichtsbehörde zu kontaktieren.

Frage nach geplanten Maßnahmen und deren Umsetzungsplan

Innerhalb der Fragebögen wird für den Fall, dass die Umstellung auf andere Systeme geplant ist, um Auskunft dazu gebeten, auf welche Lösungen Umstellungen geplant sind, und um Mitteilung zum Stand der Umsetzung nebst Zeitplan für den Abschluss gebeten. Unternehmen sollten aus meiner Sicht bei der Beantwortung dieser Frage vorsichtig sein. Einerseits spricht die Frage an sich dafür, dass sich die Behörden auch derzeit noch mit einem Umsetzungsplan zufrieden geben könnten und nicht die abrupte Umstellung auf solche Anbieter fordern, die Daten ausschließlich in der EU oder dem EWR verarbeiten. Andererseits ist gut denkbar, dass die Behörden in einem zweiten „Schwung“ in Zukunft Unternehmen dazu befragen werden, wie weit die Umsetzung vorangeschritten ist.

Verwaltungsakt oder kein Verwaltungsakt?

Auch bei dieser Aktion stellt sich aus meiner Sicht wieder einmal die Frage, ob die Fragebögen und etwaige Begleitschreiben der Behörde ein Verwaltungsakt sind oder nicht. Oft versuchen Datenschutzbehörden noch einen Verwaltungsaktcharakter abzulehnen, etwa unter Hinweis auf eine fehlende Rechtsbehelfsbelehrung. Dies spielt aber für die Qualifikation als Verwaltungsakt keine entscheidende Rolle. Meines Erachtens sprechen gute Gründe dafür, dass entsprechende behördliche Anschreiben mit diesen Fragebögen als Verwaltungsakt zu qualifizieren sind. Auch das Verwaltungsgericht Mainz ging etwa in einem Urteil davon aus (Urt. v. 09.05.2019, 1 K 760/18.MZ), dass den Behörden eine entsprechende Verwaltungsaktbefugnis beim Versand eines Fragenkatalogs zusteht. Natürlich muss man dennoch das jeweilige Anschreiben und die dortigen Belehrungen sichten, um dann entscheiden zu können, ob die Merkmale eines Verwaltungsakts vorliegen.

Die Rolle von „Übereinkommen Nr. 108+“ im Rahmen der Prüfung des Datenschutzniveaus in Drittländern nach der DSGVO

Posted on by

Nach der Entscheidung des EuGH in der Rechtssache Schrems II (C-311/18) wird vermehrt deutlich, dass der Inhalt dieses Urteils bei weitem nicht nur Auswirkungen auf Datenübermittlungen in die USA hat. Wenn kein Angemessenheitsbeschluss der Europäischen Kommission existiert, fordert der EuGH von datenexportierenden Verantwortlichen, dass sie vor der Übermittlung prüfen, ob in dem jeweiligen Drittland ein gleichwertiges Schutzniveau für personenbezogene Daten existiert.

Es stellt sich die Frage, welche Bedeutung das Übereinkommen Nr. 108+ (man spricht von „Nr. 108+“, da das alte Übereinkommen im Jahre 2018 angepasst wurde) des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Übereinkommen Nr. 108) bei der Prüfung des Schutzniveaus in Drittländer spielt, die Vertragspartei dieses völkerrechtlichen Übereinkommens sind. Mein Kollege Philipp Quiel und ich haben uns hierzu ein paar tiefergehende Gedanken gemacht und die Vorgaben der DSGVO für ein „gleichwertiges Schutzniveau“ den Regelungen des Übereinkommen Nr. 108+ gegenübergestellt. Den Beitrag kann man hier herunterladen (PDF).

Ergänzung vom 31.8.2020: aufgrund des Feedbacks auf Twitter haben wir die gegenüberstellende Analyse um die Regelungen des Übereinkommens 108 und Informationen zum Gültigkeitsstatus ergänzt. Danke.

Ministerkomitee des Europarates: Leitfaden der Menschenrechte von Internetnutzern

Posted on by

Am 16. April 2014 hat das Ministerkomitee des Europarates (Die Versammlung der Außenminister der Mitgliedstaaten) eine Empfehlung mit dem Titel „Guide to human rights for Internet users“ verabschiedet. Derartige Empfehlungen sind für die Mitgliedstaaten nicht bindend, geben jedoch die Sichtweise der für die Verabschiedung erforderlichen Mehrheit der Mitgliedstaaten wieder.
Die Empfehlung ist zweigeteilt. Zu Beginn richtet sie sich mit Forderungen an die Mitgliedstaaten. Der zweite Teil stellt den eigentlichen Leitfaden für die Bürger dar.

Empfehlungen an Mitgliedstaaten
Das Ministerkomitee stellt zunächst klar, dass die in der Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK) aufgestellten Rechte und Freiheiten sowohl offline als auch online gelten.

Zudem besitzen die Mitgliedstaaten im Rahmen der Wahrung des Schutzes der Menschenrechte auch die Pflicht, die Aufsicht über private Unternehmen auszuüben. Privatrechtliche Vereinbarungen müssen sich an den durch die Grundrechte aufgestellten Prinzipien messen lassen.

Das Internet besitzt besonderen Wert als öffentliches Gut. Bürger besitzen ein berechtigtes Interesse, das Internet ohne diskriminierende Einschränkungen, sicher und zuverlässig nutzen zu können.

Bürger sollten Unterstützung erhalten, wie sie ihre Menschenrechte online wirksam ausüben könne. Hierzu gehöre auch der Zugang zu wirksamen Rechtsschutzmöglichkeiten, wenn ihre Rechte und Freiheiten eingeschränkt wurden.

Für die Sicherstellung der gleichwertigen Geltung von Menschenrechten auch im Internet empfiehlt das Ministerkomitee den Mitgliedstaaten:

  • Die Umsetzung und Anwendung des Leitfadens der Menschenrechte für Internetnutzer unter den Bürgern, den öffentlichen Stellen und den privaten Unternehmen zu fördern und konkrete Maßnahmen für seine Anwendung durchzuführen;
  • Kontinuierlich Einschränkungen von Menschenrechten im Internet zu überwachen, zu prüfen und auch aufzuheben, wenn diese nicht im Einklang mit den Vorgaben der EMRK im Lichte der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR) stehen;
  • Sicherzustellen, das Internetnutzer Zugang zu wirksamen Rechtsschutzmöglichkeiten besitzen, wenn ihre Rechte eingeschränkt wurden. Dies erfordere eine Koordinierung und Zusammenarbeit der relevanten Einrichtungen. Zudem müsse eine Zusammenarbeit mit der privaten Wirtschaft und Bürgerrechtsorganisationen stattfinden.
  • Auch mit Staaten zusammenzuarbeiten, die nicht Mitglied des Europarates sind, um Maßstäbe und Verfahren zu entwickeln, die Einfluss auf den Schutz der Rechte und Freiheiten im Internet besitzen.
  • Private Unternehmen zu unterstützen und zu fördern, im Rahmen ihrer unternehmerische Gesellschaftsverantwortung in einen Dialog mit staatlichen Behörden und der Zivilgesellschaft zu treten.

Leitfaden der Menschenrechte von Internetnutzern
In dem Leitfaden selbst werden den Bürgern Informationen zu verschiedenen Menschenrechten (etwa Meinungsfreiheit, Zugang zu Informationen, Versammlungsfreiheit etc.), jeweils mit Bezug zum Internet, gegeben. Beispielhaft sei hier das Recht auf Schutz des Privatlebens (Art. 8 EMRK) genannt. Dessen Schutzbereich umfasst auch den Schutz personenbezogener Daten (zu dem Schutzumfang der EMRK und im Vergleich hierzu durch die Charta der Grundrechte der Europäischen Union hatte ich bereits einmal etwas geschrieben). Der Leitfaden weist darauf hin, dass eine Nutzung des Internets grundsätzlich mit einer Verarbeitung personenbezogener Daten einhergeht. Die Verarbeitung darf jedoch nur auf der Grundlage eines Gesetzes oder einer Einwilligung erfolgen. Zudem dürfe der Bürger nicht Gegenstand einer ständigen Überwachungsmaßnahme sein. Bei einer Einschränkung dieses Rechts, etwa zum Zwecke der Kriminalitätsbekämpfung, muss der Bürger über die Grundlagen des Eingriffs und seine Rechtsschutzmöglichkeiten informiert werden. Auch am Arbeitsplatz müsse die Privatsphäre des Bürgers beachtet werden. Überwachungsmaßnahmen durch den Arbeitgeber müssten vorher mitgeteilt werden.

Fazit
Der verabschiedete Leitfaden ist absolut begrüßenswert. Er versucht in einer möglichst bürgernahen und unjuristischen Sprache über die Rechte im Internet aufzuklären und sollte jedem interessierten Bürger als Informationsquelle dienen. Abgesehen von dem Leitfaden selbst, sind die Empfehlungen an die Mitgliedstaaten ebenfalls nicht uninteressant. Insbesondere das Votum für eine engere Einbeziehung des privaten Sektors in Form einer geminsamen Zusammenarbeit mit staatlichen Stellen zum Nutzen der Bürger fällt deutlich aus und ist meines Erachtens auch ein richtiger Weg.

Europarat: Abgeordnete fordern besseren Schutz der Bürger im Internet

Posted on by

Am 11. März hat der Ausschuss für Kultur, Wissenschaft, Bildung und Medien der Parlamentarischen Versammlung des Europarates einen Bericht des deutschen Bundestagsabgeordneten Axel Fischer zur Verbesserung des Schutzes der Nutzer und der Sicherheit im Internet angenommen („Improving user protection and security in cyberspace“ PDF).

Der Bericht enthält sowohl den Entwurf eines Entschlusses als auch den Entwurf einer Empfehlung der Parlamentarischen Versammlung des Europarates. Über beide Entwürfe werden am 9. April in Straßburg verhandelt.

Entwurf eines Entschlusses

Mit der Verabschiedung des Entschlusses würde die Parlamentarische Vollversammlung kein bindendes Recht schaffen, jedoch ihre Position in Bezug auf das Thema Datenschutz, Überwachung und Privatheit im Internet zum Ausdruck bringen. Einige Kernpunkte, die in dem Entschluss angeprangert und auch gefordert werden:

  • Das Vertrauen der Bürger in Internetdienste wurde durch die Enthüllungen und Informationen über Eingriffe in ihre privaten Daten durch europäische und amerikanische Behörden und auch private Unternehmen erschüttert
  • Alle Mitgliedstaaten sind aufgefordert in Zusammenarbeit mit der Internetwirtschaft eine weltweite Initiative zur Verbesserung des Schutzes der Nutzer und der Sicherheit des Internets zu starten
  • Mitgliedstaaten sollen unter anderem folgende Prinzipien effektiv umsetzen und achten:
  1. das Privatleben, die Korrespondenz und die persönlichen Daten müssen auch online geschützt sein
  2. das Abfangen, die Überwachung, die Profilbildung und das Speichern persönlicher Daten durch öffentliche Stellen und Unternehmen ist nur aufgrund einer gesetzlichen Grundlage erlaubt und verstößt nicht gegen Art. 8 EMRK
  3. Mitgliedstaaten besitzen eine positive Rechtspflicht gegenüber ihren Bürgern, diese vor dem Abfangen, Überwachen der Profilbildung und der Speicherung ihrer persönlichen Daten zu schützen
  • Internetzugangs- und Diensteanbieter sollten automatisch Verschlüsselungstechniken einsetzen
  • Gesetzestreue Internetnutzer haben das Recht auf Anonymität
  • Cloud-Computing-Anbieter sollten die Schutzstandards für Nutzer nicht dadurch umgehen, dass sie ihre Datenzentren in „schwächere“ Rechtssysteme verlagern
  • Mitgliedstaaten sollten gesetzliche Grundlagen zur Regulierung von Online-Spiele-Anbietern schaffen; hierbei sollte dasjenige Recht anwendbar sein, in dem sich der Nutzer befindet, auf den der Dienst ausgerichtet ist
  • Betroffene müssen die Möglichkeit effektiven Rechtsschutzes besitzen

Entwurf einer Empfehlung

Der Entwurf für eine Empfehlung enthält konkrete Forderungen der Parlamentarischen Versammlung an das Ministerkomitee, die von jenem auch beantwortet werden müssen. Einige der Kernpunkte sind hier:

  • Als besonders dringliche Angelegenheit die derzeit stattfindende Überarbeitung des Übereinkommens zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Übereinkommen 108) abzuschließen
  • Über-europäische Bestrebungen zur Internationalisierung der ICANN zu unterstützen und zu koordinieren
  • Beobachterstaaten einzuladen, mit den Mitgliedstaaten aktiv bei der Verbesserung des Schutzes der Nutzer und der Sicherheit des Internets mitzuwirken

Die beiden Entwürfe, die noch durch eine Begründung des Berichterstatters Fischer begleitet werden, finden teilweise sehr deutliche und klare Worte, wenn es um die erforderlichen Maßnahmen zum Schutz der Internetnutzer geht. Insbesondere der klare Hinweis auf eine staatliche Schutzpflicht oder ein Recht auf Anonymität sind durchaus bemerkenswert. Es bleibt jedoch abzuwarten, ob die Parlamentarische Versammlung im April die Entwürfe auch ohne Änderungen übernimmt.

Europäischer Gerichtshof für Menschenrechte: Ex-Geheimdienstmitarbeiter darf öffentlich über illegale Überwachung informieren

Posted on by

Der Europäische Gerichtshof für Menschenrechte (EGMR) hat mit Urteil vom 8.1.2013 (40238/02, auf Französisch; hier die offizielle englische Zusammenfassung) entschieden, dass die gegen einen ehemaligen rumänischen Geheimdienstmitarbeiter verhängte Gefängnisstrafe, wegen der Veröffentlichung von illegalen Überwachungsmaßnahmen, ihn in seinem Grundrecht auf freie Meinungsäußerung (Art. 10 EMRK) verletzt.

Der ehemalige Geheimdienstler war beim rumänischen Nachrichtendienst angestellt und u. a. für elektronische Abhöraktionen zuständig. Im Rahmen seiner Tätigkeit wurden ihm mehrere Unregelmäßigkeiten innerhalb der Behörde und, nach seiner Ansicht, Verletzungen der rumänischen Verfassung im Rahmen von angeordneten Überwachungen bekannt. Als er diese Vorfälle seinen Kollegen und direkten Vorgesetzten mitteilte, unternahmen diese nichts bzw. maßregelten ihn für sein Verhalten. Danach wandte er sich an einen parlamentarischen Abgeordneten, der Mitglied in dem Kontrollgremium war, welches die Tätigkeit des Geheimdienstes überwachte. Dieser Abgeordnete riet dem Mitarbeiter direkt an die Öffentlichkeit zu gehen, da eine Untersuchung in dem Gremium wenig bringen würde, da dessen Vorsitzender und der Behördenleiter des Geheimdienstes zu enge und gute Kontakte pflegten. So hielt der Mitarbeiter im Mai 1996 in der Tat eine öffentliche Pressekonferenz ab, in der er die Medien über die von ihm aufgedeckten Gesetzesverletzungen informierte. Es wurde ein Strafverfahren wegen des Sammelns und des Bekanntmachens geheimer Informationen während des Dienstes gegen ihn eingeleitet, welches mit der Verhängung einer 2 jährigen Haftstrafe, die jedoch ausgesetzt wurde, endete.

Der EGMR erkannte in der Verurteilung eine rechtswidrige Verletzung des Rechts auf freie Meinungsäußerung nach Art. 10 EMRK, da diese in ein der demokratischen Gesellschaft weder notwendig, noch erforderlich war.

Zunächst prüfte das Gericht, ob der Mitarbeiter andere Möglichkeiten hatte, die Informationen zu veröffentlichen. Da jedoch seine Vorgesetzten in die Rechtsverletzungen involviert waren, war der Weg über den Abgeordneten und dann direkt an die Presse erforderlich. Zwar wurden in Rumänien nach dem Geschehen spezielle Gesetze zum Schutz von Informanten im öffentlichen Dienst erlassen, die jedoch keine Anwendung auf den hier maßgebenden Zeitpunkt fanden.

Danach ging das Gericht auf den Wert der Informationen für die Öffentlichkeit ein. Die Überwachung von Telefonaten sei gerade in Staaten wie Rumänien, die aus ihrer Vergangenheit an solche Überwachungstätigkeiten gewohnt waren, besonders relevant. Zudem war durch die aufgedeckten Tätigkeiten die Gesellschaft direkt betroffen, da im Prinzip jeder Bürger unter den dargelegten Umständen überwacht werden könnte. Zudem bezog sich die Information auf missbräuchliche Handlungen von hochrangigen Staatsbediensteten und betraf damit die demokratischen Grundlagen des Staates. Sie betrafen wichtige Themen für die öffentliche politische Debatte in einer demokratischen Gesellschaft, an der die öffentliche Meinung ein besonderes Interesse habe. Die rumänischen Gerichte berücksichtigten diese Argumente jedoch nicht.

Auch ging das Gericht auf Richtigkeit der veröffentlichten Informationen ein. Die Beweise sprachen dafür, dass es keine Anzeichen dafür gab, dass die Überwachung aus Gründen der öffentlichen Sicherheit angeordnet worden sei, die eine solche Tätigkeit rechtfertigen könnte. Zudem sprach alles dafür, dass die Überwachungen ohne vorherige Autorisierung angeordnet wurden. Das rumänische Gericht weigerte sich diesen Beweisen in vollem Umfang nachzugehen und habe daher den Sachverhalt nicht in aller erforderlichen Tiefe aufgearbeitet.

Hinsichtlich des Motivs des ehemaligen Mitarbeiters stellte der EGMR fest, dass nichts dafür spreche, dass der Informant aus anderen Gründen an die Öffentlichkeit ging, als diese über die Gesetzesverstöße und die Missachtung der Rechte aus der Verfassung aufzuklären. Dies bereits deshalb, da er zunächst versuchte den direkten Dienstweg zu beschreiten.

Gutachten für britisches Parlament: Tätigkeit des Geheimdienstes teilweise illegal

Posted on by

In einem Gutachten für den Vorsitzenden der Parlamentariergruppe des britischen Parlaments zu Drohnen (All Party Parliamentary Group on Drones) untersuchen zwei englische Rechtsanwälte die Rechtmäßigkeit des Abfangens, Verwendens und der Übertragung von Geheimdienstdaten durch die britische Regierung. Den Bericht gibt es hier (PDF).

Untersuchte Szenarien
Die Autoren untersuchen in dem Bericht die Tätigkeit des britischen Geheimdienstes, insbesondere des Nachrichtendienstes GCHQ, im Zusammenhang mit fünf Szenarien:

  1. Der GCHQ greift massenhaft Daten ab, die zwischen zwei in England ansässigen Personen verschickt, jedoch durch Kabel übertragen werden, die zwischen England und Amerika verlaufen. Die Daten stammen aus der Nutzung des Internets, des Telefons und von E-Mails.
  2. Der GCHQ hat diese Daten gespeichert und zu einer sog. Lebensmuster-Analyse freigegeben, wobei dies sowohl für bekannte Terroristen/Straftäter als auch unverdächtige Personen erfolgte.
  3. Der GCHQ hat der amerikanischen NSA Zugang zu diesen Daten gegeben und ihre Speicherung gestattet.
  4. Die NSA teilt diese Daten mit der CIA, wodurch sie zur Festlegung von Zielen bei Drohnenangriffen genutzt werden können.
  5. Amerikanische Militärstreitkräfte operieren von einem britischen Militärstützpunkt, unter dem NATO Truppenstatut. Dieser Stützpunkt wird als Kommunikationsknotenpunkt zur Datenübermittlung, sowohl aus, als auch in die USA benutzt. Ein Teil der Daten, welche in die USA übertragen werden, wurden unter Verstoß gegen internationales Recht erlangt. Einige Daten, welche aus den USA über den britischen Stützpunkt übermittelt werden, enthalten Informationen und Anweisungen, um Drohnenangriffe zu unterstützen.

Im Prinzip stellen diese Szenarien eine aufeinander aufbauende Kette dar. Die Autoren machen deutlich, dass sobald ein Glied der Kette wegen Verstoßes gegen geltendes Recht wegfällt, alle weiteren Schritte ebenfalls unrechtmäßig sind.
Ich möchte den 33-Seiten starken Bericht hier nicht in aller Einzelheit besprechen. Allein die wesentlichen Ergebnisse seien genannt.

Ergebnisse

  • Nach dem geltenden englischen Recht, insbesondere dem für elektronische Spionagetätigkeiten relevanten „Regulation of Investigatory Powers Act 2000“ (RIPA), ist der GCHQ nicht befugt massenhaft inländische Inhaltsdaten abzufangen. Also den Inhalt von E-Mails oder Telefonaten zwischen zwei Personen die sich innerhalb des Vereinigten Königreichs aufhalten. Der GCHQ ist jedoch berechtigt massenhaft ausländische Inhaltsdaten abzufangen, also den Inhalt der Kommunikation zwischen dem Vereinigten Königreich und einem anderen Land. Der GCHQ ist auch berechtigt massenhaft Kommunikationsdaten (auch als Metadaten bekannt) abzufangen. Das massenhafte Abfangen dieser Daten, auch wenn es nach dem RIPA rechtmäßig erfolgen mag, stellt einen unverhältnismäßigen Eingriff in das nach Art. 8 der Europäischen Menschenrechtskonvention (EMRK) geschützte Recht auf Achtung des Privatlebens britischer Bürger dar.
  • Unter dem derzeit geltenden gesetzlichen Rahmen ist der GCHQ berechtigt die massenhaft gesammelten Daten einer Lebensmuster-Analyse. Die Autoren erachten den derzeitigen gesetzlichen Rahmen in Bezug auf die Speicherung, Verwendung und Löschung von Kommunikationsdaten für unverhältnismäßig, so dass er sich wahrscheinlich als rechtswidrig erweist. Die gesetzlichen Vorgaben des RIPA in Bezug auf ausländische Inhaltsdaten sind nach ihrer Ansicht wahrscheinlich ebenfalls rechtswidrig.
  • Nach dem RIPA ist der GCHQ berechtigt, massenhaft gesammelte Daten an die NSA zu übermitteln, wenn der jeweilige Minister davon überzeugt ist, dass die Mechanismen zur Speicherung und Löschung dieser Daten in dem Empfangsstaat angemessen sind. Diese Übertragung abgefangener Daten stellt einen erneuten Eingriff in das Grundecht der Betroffenen aus Art. 8 EMRK dar. Nach Ansicht der Autoren bieten die derzeitigen gesetzlichen Vorgaben keinen ausreichenden Schutz für die jeweils Betroffenen. Die britische Regierung könnte diese Situation zumindest dadurch verbessern, dass sie eine Absichtserklärung oder andere bilaterale Vereinbarungen in Bezug auf Datenübermittlungen abschließt und veröffentlicht. Dort müsste festgelegt werden, wie Daten zu speichern sind, wann sie gelöscht werden müssen und zu welchen Zwecken diese Daten nach britischem recht verwendet werden dürfen.
  • Wenn die britische Regierung davon Kenntnis hat, dass sie Daten übermittelt, welche für Drohnenangriffe gegen Nichtkombattanten eingesetzt werden könnten, dann ist diese Datenübermittlung wahrscheinlich rechtswidrig. Eine einzelne Person, die an einer solchen Übermittlung beteiligt ist, macht sich wahrscheinlich der Beihilfe zum Mord strafbar. Eine Vielzahl verschiedener Gründe spricht dafür, dass die Regierung dazu verpflichtet ist, angemessene Maßnahmen zu ergreifen, diese Möglichkeit zu untersuchen. Jedoch scheint es derzeit so, dass die gesetzlichen Vorgaben die britische Regierung nicht dazu verpflichten, es zu verhindern oder zu prüfen, ob ihre Agenten auf diese Weise zu Gehilfen von Straftaten werden. Wenn dem so sei, dann sehen die Autoren dieses Ergebnis als Gegensatz zu den Grundsätzen der öffentlichen Ordnung und guter Regierungsführung.
  • Die britische Regierung ist befugt gegen amerikanische Soldaten Strafen zu verhängen, die von NATO-Stützpunkten auf britischem Gebiet aus operieren. Wenn Daten, die unter Verstoß gegen britische Gesetze erlangt oder genutzt wurden, über eine britische NATO Basis übermittelt werden, dann kann die britische Regierung jeden amerikanischen Militärangehörigen strafrechtlich verfolgen, der an dieser Übermittlung beteiligt ist. Für die Autoren hat es den Anschein, dass die britische Regierung selbst nicht immer genau Kenntnis davon hat, was auf Militärstützpunkten geschieht, dir von NATO Truppen kontrolliert werden. Daher stellt sich diese strafrechtliche Verfolgungsmöglichkeit in der Praxis möglicherweise nur als theoretisch dar.

Das Grundrecht auf Datenschutz in Europa

Posted on by

Im Zuge der Enthüllungen in der NSA-Affäre und den andauernden Verhandlungen für eine Reform des europäischen Datenschutzrechts wird häufig darauf verwiesen, dass der Schutz personenbezogener Daten in Europa ein Grundrecht darstellt (so etwa die EU Justizkommissarin Viviane Reding in einem Interview). Nachfolgend möchte ich darauf eingehen, wo dieses Grundrecht auf Datenschutz gesetzlich festgeschrieben und wie es tatsächlich ausgestaltet ist. Dazu beschränke ich mich jedoch auf die Ebene der EU und des Europarates (zu weiteren internationalen Datenschutzabkommen hatte ich bereits einmal etwas geschrieben).

A. Europäische Menschenrechtskonvention

Auf der supranationalen Ebene des Europarats, dem sowohl alle europäischen Mitgliedstaaten, aber auch andere Nationen wie die Türkei oder Russland angehören, garantiert die Europäische Menschenrechtskonvention (EMRK) Personen, welche der Hoheitsgewalt der einzelnen Mitgliedstaaten unterliegen, gewisse Grundrechte und –freiheiten.
Continue reading →