129-Logo

»Datenschutz«

Die gesetzlichen Regelungen unterlaufend

Auch im aktuellen Bericht des Sächsischen Datenschutzbeauftragten spielen die beiden Strukturermittlungsverfahren gegen Chemiefans eine besondere Rolle. Auf sieben Seiten wird ausführlich über das datenschutzrechtliche »Fehlverhalten« der Polizei und der Generalstaatsanwaltschaft verwiesen. Scharfe Kritik übte der Datenschutzbeauftragte u.a. daran, dass Kommunikation aus dem privaten Kernbereich sowie Gespräche mit Berufsgeheimnisträgern nicht sofort gelöscht, teilweise nicht einmal erkannt wurden. Außerdem wurden viele Drittbetroffenen nicht oder erst sehr spät über die TKÜ-Maßnahmen informiert. Die Beanstandungen des Datenschutzbeauftragten gehen teilweise soweit, dass er die Arbeitsweise des ermittelnden Operativen Abwehrzentrums der Leipziger PD als »grob falsch« und »die gesetzlichen Regelungen unterlaufend« einschätzt. Den ausführlichen Bericht dokumentieren wir hier in Auszügen:

(…) nachdem Ende 2016 in den Medien über die Einstellung eines Ermittlungsverfahrens wegen Bildung einer kriminellen Vereinigung und über umfangreiche Telekommunikationsüberwachungen in diesem Verfahren berichtet worden war und ich auf eine erste allgemeine Anfrage an die Generalstaatsanwaltschaft Dresden eine plausible Antwort zum Umfang der Maßnahmen erhalten hatte, erreichten mich Anfang 2017 datenschutzrechtliche Petitionen von ehemaligen Beschuldigten, die erfahren hatten, dass Drittbetroffene der TKÜ-Maßnahmen (Personen, gegen die sich nicht die TKÜ-Anordnung selbst richtet, die aber mit überwachten Personen bzw. Anschlüssen kommunizierten und dadurch von der Überwachung erfasst wurden) nach einer Benachrichtigung und einem Antrag auf gerichtliche Überprüfung der Telekommunikationsüberwachung teil-weise noch vor ehemaligen Beschuldigten Einsicht in größere Bestandteile der Verfahrensakten erhalten hätten. Daraufhin wandte ich mich erneut an die Generalstaatsanwaltschaft und diskutierte den Umfang der Akteneinsicht für Drittbetroffene bzw. deren Rechtsanwälte. In dieser Konstellation gilt es, das berechtigte Interesse Drittbetroffener zu erfahren, aufgrund welcher Umstände TKÜ-Maßnahmen angeordnet wurden, sowie das schutzwürdige Interesse von Beschuldigten und Dritten, deren Daten sich in den Ermittlungsakten finden, abzuwägen und in angemessenen Ausgleich zu bringen. Im Ergebnis der Erörterungen mit der Generalstaatsanwaltschaft konnte eine Einigung über den Umfang der Akteneinsicht für Drittbetroffene erzielt werden, die unter Beachtung der einschlägigen Rechtsprechung des Bundesgerichtshofes sowohl Interessen der Drittbetroffenen als auch Belange der ehemaligen Beschuldigten angemessen berücksichtigt. Aufgrund von neuerlichen Hinweisen in datenschutzrechtlichen Petitionsvorgängen und Medienberichten über Journalisten und Rechtsanwälte, die von den TKÜ-Maßnahmen mitbetroffen gewesen sein sollen, wandte ich mich im Sommer 2017 erneut an die Generalstaatsanwaltschaft. Daneben erhielt ich Hinweise darauf, dass zum Teil ganz erheblich mitbetroffene Dritte nicht benachrichtigt worden sein sollen; auch diese Hinweise habe ich aufgegriffen und mich dazu im frühen Herbst 2017 an die Generalstaatsanwaltschaft Dresden gewandt. Meine Prüfung konzentrierte sich nachfolgend auf die Frage, ob die gesetzliche Pflicht zur unverzüglichen Löschung der Aufzeichnungen von Kommunikation aus dem Kernbereich privater Lebensgestaltung oder mit bestimmten Berufsgeheimnisträgern eingehalten wurde, und ob bei der Benachrichtigung von Drittbetroffenen den gesetzlichen Vorgaben entsprochen wurde. Das Ermittlungsverfahren war im Herbst 2013 wegen des Anfangsverdachts der Bildung einer kriminellen Vereinigung zunächst durch die Staatsanwaltschaft Dresden eingeleitet worden. Im November 2015 wurde das Verfahren, das sich gegen 14 Beschuldigte aus Leipzig richtete, durch die Generalstaatsanwaltschaft Dresden übernommen. Diese stellte im Oktober 2016 das Ermittlungsverfahren hinsichtlich aller Beschuldigten nach § 170 Absatz 2 StPO ein. Polizeiliche Ermittlungshandlungen nahm das Operative Abwehrzentrum (OAZ) vor, das eine Organisationseinheit der Polizeidirektion Leipzig war und im Oktober 2017 in das Polizeiliche Terrorismus- und Extremismus-Abwehrzentrum (PTAZ) überführt wurde, das dem Landeskriminalamt Sachsen (LKA) angehört. Von Dezember 2013 bis August 2014 erließ das Amtsgericht Dresden auf Anträge der Staatsanwaltschaft Dresden insgesamt 26 Anordnungen zur Überwachung der Telekommunikation von Beschuldigten des Verfahrens gemäß § 100a StPO, wobei es sich um Erst- und Folgeanordnungen handelte. Die Durchführung der richterlich angeordneten Maßnahmen begann im Dezember 2013, die letzte Maßnahme wurde im November 2014 beendet. Im Rahmen dieser verdeckten Ermittlungsmaßnahmen wurde die überwachte Kommunikation aufgezeichnet, 56.118 Verkehrs- und 838 Bestandsdatensätze wurden erhoben. In den mir vorgelegten Ermittlungsunterlagen fanden sich keine Hinweise auf besondere Abreden zwischen Staatsanwaltschaft Dresden und OAZ zum Vorgehen beim Erkennen von Kommunikationsaufzeichnungen, die den Kernbereich privater Lebensgestaltung oder besonders geschützte Berufsgeheimnisträger betreffen. Löschungen von Aufzeichnungen über Kommunikation in diesen sensiblen Bereichen wurden erst zwischen der später zuständigen Generalstaatsanwaltschaft Dresden und dem OAZ thematisiert. Nach Absprache im Juli 2016 informierte das OAZ die Generalstaatsanwaltschaft über aufgezeichnete Gespräche, die (möglicherweise) dem Kernbereich zuzurechnen waren bzw. mit Berufsgeheimnisträgern geführt worden waren. Im September 2016 bat daraufhin die Generalstaatsanwaltschaft um Löschung der betreffenden Gesprächsaufzeichnungen. Das OAZ kam dieser Bitte nach. Vor dieser Löschung im Herbst 2016 wurden seit Beginn der TKÜ-Maßnahmen im Dezember 2013 keine Aufzeichnungen gelöscht. Mit anderen Worten: Aufgezeichnete Kommunikationsinhalte, die nach § 100a Absatz 4 Satz 3 StPO a. F. (jetzt § 100d Absatz 2 Satz 2 StPO) und § 160a Absatz 1 Satz 3 i.V.m. Satz 5 StPO unverzüglich hätten gelöscht werden müssen, wurden zum Teil über zweieinhalb Jahre gespeichert. Ende September 2016 bat die Generalstaatsanwaltschaft das OAZ, zur Vorbereitung von Benachrichtigungen eine Liste von betroffenen Anschlussinhabern zu erstellen. Im Oktober 2016 hielt die Generalstaatsanwaltschaft fest, dass unmittelbar betroffene Anschlussinhaber eine Benachrichtigung erhalten sollen und dass die Benachrichtigung der Regelfall sei und nur ausnahmsweise unterbleiben könne, etwa, wenn der Anschlussinhaber Arbeitgeber des Betroffenen oder der Nutzer nicht identifizierbar sei. Im Rahmen der Bearbeitung bei mir eingegangene datenschutzrechtlicher Petitionen ehemaliger Beschuldigter und Drittbetroffener häuften sich allerdings Hinweise, dass von TKÜ-Maßnahmen zum Teil ganz erheblich Mitbetroffene nicht benachrichtigt worden waren. Es stellte sich heraus, dass die Polizei grundsätzlich zu hohe Anforderungen an die Übereinstimmung zwischen Nutzer und Anschlussinhaber gestellt hatte. So sei, wie die Polizei mir mitteilte, ihr eine eindeutige Zuordnung von Anschlussinhaberin und Nutzerin in einem Fall, in dem 324 Kommunikationsereignisse aufgezeichnet (darunter auch kernbereichsrelevante Kommunikation) und über 500 Seiten Protokolle gefertigt worden waren, nicht möglich gewesen, obwohl als Nutzerin eine Person mit einer alltäglichen, üblichen Abkürzung eines voll ausgeschriebenen Vornamens erfasst worden war und die Bestandsdatenerhebung eine Person mit zur Abkürzung passenden Vornamen und einem Nachnamen als Anschlussinhaberin ergeben hatte. In einem anderen Fall war ein Drittbetroffener als Inhaber der Rufnummer eines Mobilfunkanschlusses gespeichert und zu seiner Person 24 Kommunikationsereignisse erfasst worden. Bestandsdaten wurden erhoben, die dabei erlangte Anschrift stimmte mit der Anschrift aus dem Sächsischen Melderegister überein. Der Polizei waren damit Vor- und Nachname des Drittbetroffenen bekannt. In der aufgezeichneten Kommunikation war der Betroffene auch mit seinem zutreffenden Vornamen angesprochen worden. Gleichwohl soll dies für eine hinreichend sichere Identifizierung des Anschlussnutzers nicht ausreichend gewesen sein. In diesen und weiteren der Generalstaatsanwaltschaft vorgetragenen Einzelfällen wurde durch letztere die nachträgliche Benachrichtigung von Mitbetroffenen veranlasst. Meine umfangreiche datenschutzrechtliche Prüfung des Vorgangs umfasste Akteneinsichten, längeren Schriftwechsel mit den beteiligten Behörden sowie mündliche Erörterungen. Im Sommer 2018 habe ich nach alledem das Landeskriminalamt wegen der Verletzung seiner Mitwirkungspflichten bei der Einhaltung von Verfahrensregelungen im Rahmen von Maßnahmen der Telekommunikationsüberwachung (TKÜ) nach § 100a StPO gemäß § 29 Absatz 1 SächsDSG gegenüber dem Sächsischen Staatsministerium des Innern förmlich beanstandet. Ebenso erging eine Beanstandung der Staatsanwaltschaft Dresden wegen Verstößen gegen die gesetzliche Pflicht, Aufzeichnungen von Kommunikation aus dem Kernbereich privater Lebensgestaltung bzw. mit besonders geschützten Berufsgeheimnisträgern unverzüglich zu löschen, gegenüber dem Sächsischen Staatsministerium der Justiz. Das Unterlassen von Löschungen aufgezeichneter Kommunikation, die den Kernbereich privater Lebensgestaltung betraf bzw. mit besonders geschützten Berufsgeheimnisträgern geführt wurde, in der Phase der Verfahrensleitung der Staatsanwaltschaft Dresden verstieß gegen gesetzliche Löschungsverpflichtungen nach § 100a Absatz 4 Satz 3 StPO a. F. (jetzt § 100d Absatz 2 Satz 2 StPO) und § 160a Absatz 1 Satz 3 i.V.m. Satz 5 StPO. Die Staatsanwaltschaft als „Herrin des Ermittlungsverfahrens“ ist für derartige Löschungen zuständig. Von ihrer Verantwortung wird sie nicht dadurch entbunden, dass sie dabei auf die Zuarbeit der ermittlungsführenden Polizeidienststelle angewiesen ist. Letztere führt die TKÜ-Maßnahmen tatsächlich durch und erhält zuerst Kenntnis vom Inhalt der überwachten Kommunikation. Die im Nachgang zum Urteil des Bundesverfassungsgerichts zum „Großen Lauschangriff“ (Urteil vom 3. März 2004 - 1 BvR 2378/98), in dem Begriff und Schutz des Kernbereichs privater Lebensgestaltung eine zentrale Rolle spielen, erarbeiteten Verwaltungsvorschriften sehen vor, dass die ermittlungsführende Stelle bei Feststellung der Aufzeichnung entsprechender Informationen dies bei der zuständigen Staatsanwaltschaft anzeigt, um eine Entscheidung (der Staatsanwaltschaft) über die Löschung herbeizuführen. Seitens des OAZ unterblieben derartige Informationen und Anregungen an die verfahrensleitende Staatsanwaltschaft Dresden vollständig. Selbst nach Beendigung der letzten TKÜ-Maßnahme im November 2014 verging ein Jahr, ohne dass entsprechende Anzeigen an die Staatsanwaltschaft Dresden erfolgten. Dass dies aber angesichts der Erhebung kernbereichs- und berufsgeheimnisrelevanter Kommunikationsinhalte seit Dezember 2013 hätte geschehen müssen, um der gesetzlichen Pflicht zur unverzüglichen Löschung nachkommen zu können, liegt auch unter Berücksichtigung des Umstands, dass nicht sämtliche Aufnahmen sofort angehört und protokolliert werden und so den Ermittlern nicht sofort nach Erlangung zur Kenntnis gelangen, auf der Hand. Die Staatsanwaltschaft ihrerseits darf sich nicht stillschweigend darauf verlassen, dass die ermittlungsführende Polizeidienststelle ihre Zuarbeiten stets mit der erforderlichen Sorgfalt erledigt; auch in diesem Punkt leitet die Staatsanwaltschaft das Verfahren und hat – ggf. durch Hinweise oder Nachfragen – sicherzustellen, dass die Handlungen vor-genommen werden, die die Erfüllung gesetzlicher Verpflichtungen ermöglichen. Dies gilt insbesondere, wenn sich die Staatsanwaltschaft generell die Entscheidung über die Löschung von Aufzeichnungen vorbehält. Die Besprechungen zwischen Staatsanwaltschaft Dresden und dem OAZ hätten für entsprechende Hinweise oder Nachfragen ebenso Gelegenheit geboten wie der Schriftwechsel zwischen beiden Stellen. Auch die bloße Anzahl der Anordnungen nach § 100a StPO, die in der Regel jeweils eine Überwachung der Telekommunikation für den Zeitraum von drei Monaten vorsahen, musste nahelegen, dass bei einem derart hohen Aufkommen an überwachter und aufgezeichneter Kommunikation auch gesetzlich besonders geschützte Kommunikation betroffen sein würde, sodass – wenn nicht schon bei Absprachen zum Vorgehen noch vor den ersten TKÜ-Maßnahmen – zumindest im Lauf des Jahres 2014 ein klarer Hinweis der Staatsanwaltschaft an das OAZ erforderlich gewesen wäre. Der Staatsanwaltschaft Dresden war aus polizeilichen Anregungen weiterer TKÜ-Anordnungen sowie aus Berichten des OAZ bekannt, dass Telekommunikation antrags- und anordnungsgemäß tatsächlich von Dezember 2013 an überwacht, aufgezeichnet und ausgewertet wurde. Gleichwohl ergingen keine Hinweise oder Nachfragen zu eventuellen Aufzeichnungen von Kommunikation aus dem Kernbereich privater Lebensgestaltung oder mit Berufsgeheimnisträgern. Wegen der Versäumnisse sowohl seitens der Polizei als auch seitens der Staatsanwaltschaft wurden Aufzeichnungen gesetzlich besonders geschützter Kommunikation entgegen unmissverständlichen gesetzlichen Vorgaben nicht unverzüglich, sondern erst nach vielen Monaten und – nach dem Übergang der Zuständigkeit für das Ermittlungsverfahren – auf Veranlassung der Generalstaatsanwaltschaft Dresden gelöscht. Der Schutz des Kernbereichs privater Lebensgestaltung und von bestimmten Berufsgeheimnissen vor einem verdeckten Eindringen staatlicher Stellen ist rechtstaatlich essentiell. Die gesetzliche Befugnis zum Eingriff in Kommunikationsgrundrechte besteht in der aktuellen Ausgestaltung nur, weil zugleich andere gesetzliche Vorschriften vor unverhältnismäßigen und verfassungswidrigen Eingriffen schützen. Ein laxer Umgang mit diesen Schutzregelungen verletzt nicht nur Grundrechte der Betroffenen, sondern beschädigt auch die Reputation der Strafverfolgungsbehörden. Hinsichtlich des Vorwurfs, durch zu hohe Anforderungen an die Identität von Anschlussinhabern und tatsächlichen Anschlussnutzern bei der Erstellung der Liste von zu benachrichtigenden Personen (Beteiligte der überwachten Kommunikation nach § 101 Absatz 4 Satz 1 Nummer 3 StPO) Mitteilungen an Mitbetroffene und damit deren Rechtsschutzmöglichkeiten vereitelt zu haben, habe ich von einer Beanstandung des LKA gegenüber dem Sächsischen Staatsministerium des Innern abgesehen. Zwar halte ich den seinerzeitigen Ansatz des OAZ, die Übereinstimmung „lediglich“ des Vornamens von Anschlussinhaber und Nutzer als nicht ausreichend für eine die Benachrichtigung rechtfertigende Feststellung der Übereinstimmung anzusehen und nur nach ein-eindeutiger Verifizierung eine Benachrichtigung anzuregen, für grob falsch und geeignet, die gesetzliche Regelung zu unterlaufen und zum Teil erheblich Mitbetroffenen Rechtsschutzmöglichkeiten faktisch zu verwehren. Insbesondere die oben aufgeführten Beispiele verdeutlichen, dass zu hohe Anforderungen an Hinweise auf die Identität von Anschlussinhaber und Nutzer zu unvertretbaren Ergebnissen führen und gesetzliche Schutzvorschriften ins Leere laufen lassen. Allerdings habe ich anerkannt, dass OAZ und Generalstaatsanwaltschaft sich über das Vorgehen bei der Benennung von zu benachrichtigenden Personen überhaupt austausch-ten. Ich vermute, dass dabei beide Seiten davon ausgingen, dass ihre jeweilige Position hinsichtlich der Feststellungen der Übereinstimmung von Anschlussinhaber und Nutzer durch die jeweils andere Behörde berücksichtigt und umgesetzt bzw. gebilligt werde, dass tatsächlich aber insoweit – unerkannte – Differenzen bestanden. Des Weiteren habe ich anerkannt, dass nach Einstellung des Ermittlungsverfahrens bereits vor Einleitung meiner datenschutzrechtlichen Prüfung eine relativ große Zahl an Mitbetroffenen benachrichtigt wurde und keine Anhaltspunkte für eine systematische Umgehung von Benachrichtigungspflichten vorlagen. Das LKA hat mich im Rahmen meiner Kontrolle darüber informiert, dass es Maßnahmen ergriffen habe, um aufgezeigte Verstöße gegen gesetzliche Vorschriften künftig zu vermeiden. Dazu gehörten Sensibilisierungs- und Schulungsmaßnahmen für mit TKÜ-Maßnahmen befasste Mitarbeiter und die Überarbeitung bzw. Fortschreibung verwaltungsinterner bzw. behördenübergreifender Richtlinien zur Durchführung von TKÜ-Maßnahmen. Das Sächsische Staatsministerium der Justiz hat die Beanstandung zum Anlass genommen, den Generalstaatsanwalt des Freistaates Sachsen aufzufordern, eine entsprechende Sensibilisierung der Mitarbeiter der Staatsanwaltschaften in Sachsen durchzuführen. Ich gehe danach davon aus, dass sächsische Staatsanwaltschaften und Polizeidienststellen in aktuellen und künftigen Ermittlungsverfahren besonderes Augenmerk auf die Einhaltung grundrechtsschützender Verfahrensvorschriften legen. Neben der Stärkung der Rechte von Betroffenen kann dadurch auch die Begrenzung – vermeidbaren – nachträglichen Aufwands durch behördliche und gerichtliche Überprüfungen erreicht werden (...)

Der Bericht des Datenschutzbeauftragten 2018 ist auch online einsehbar: https://www.saechsdsb.de/