Revision Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF): Positionspapier der vier grossen Fernmeldedienstanbieter

Transkript

1 Revision Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF): Positionspapier der vier grossen Fernmeldedienstanbieter Sehr geehrte Damen und Herren Das bestehende BÜPF ist über 10 Jahre alt. In dieser Zeit hat sich die Technologie (Mobilfunk und Kommunikation über Internet) weiterentwickelt. Damit die Strafverfolgung bzw. Überwachung auch weiterhin wirksam gewährleistet und korrekt durchgeführt werden kann, ist eine Gesetzesanpassung angezeigt. Die grossen 4 Fernmeldedienstanbieterinnen (FDA) begrüssen eine Revision des BÜPF, wenn damit bisherige Mängel behoben werden, die Überwachung neuer Technologien unter Wahrung der üblichen Grundsätze (insb. Verhältnismässigkeitsprinzip) geregelt wird und die FDA für ihre Aufwände vollumfänglich entschädigt werden. Der vorliegende Revisionsvorschlag vermag diesbezüglich nicht zu überzeugen. Die zulässigen Überwachungsmassnahmen und die Pflichten der Anbieter werden - entgegen des selber gesteckten Revisionsziels - weder klar noch abschliessend geregelt. Es dürfte daher tendenziell zu mehr anstatt zu wirksamerer Überwachung kommen. Dies führt zu ausufernden Kosten, welche gemäss vorliegendem Entwurf grossmehrheitlich von den Telekomanbietern getragen werden müssen. Ein Grossteil der zur Durchführung von Überwachungsaufgaben nötigen Systeme wird einzig und ausschliesslich zu diesem Zweck angeschafft; sie wären für die Diensterbringung an die Kunden nicht nötig. Ein Vergleich etwa mit Banken oder anderen Editionsverpflichteten, welche nur Daten herauszugeben haben, welche sowieso schon vorhanden sind, ist daher abwegig. Die Überwachungskosten werden weiter nicht - wie es in der Strafprozessordnung vorgesehen ist - den strafrechtlich verurteilten Personen auferlegt. Diese Subventionierung der Straftäter ist aus Sicht der FDA und ihrer Kunden nicht haltbar. Der BÜPF Entwurf muss diesbezüglich korrigiert werden. Aus Gründen der Rechtssicherheit müssen die Pflichten der FDA auf Gesetzesstufe abschliessend geregelt sein. Bei der Festlegung von deren Pflichten muss stets der Verfassungsgrundsatz der Verhältnismässigkeit berücksichtigt werden. Ob eine gestützt auf das BÜPF angeordnete konkrete Überwachungsmassnahme mit verhältnismässigem technischen Aufwand umsetzbar ist, kann behördenseitig der Dienst ÜPF am besten einschätzen, weshalb ihm eine entsprechende Entscheidkompetenz einzuräumen ist. Aus Sicht der grossen 4 FDA sind namentlich die folgenden Punkte der Vorlage mangelhaft und bedürfen einer Überarbeitung. 1. Keine klare Regelung der Pflichten der FDA 1.1. Es fehlt ein klarer Rahmen der Überwachungspflichten der FDA Der Entwurf enthält hinsichtlich der Überwachungspflichten zahlreiche Schlupflöcher und Delegationsnormen, welche im Ergebnis alle erdenklichen zukünftigen Überwachungsmassnahmen ermöglichen. Es mangelt an einer klaren Begrenzung der möglichen Überwachungsarten, welche den FDA hinsichtlich ihrer Pflichten die nötige Rechtssicherheit geben

2 Seite 2/5 würde. Die FDA würden für ihre Umsetzungskosten gar nicht, für die Durchführung neuer Überwachungstypen nur teilweise entschädigt. Bei der Erweiterung der Anbieterpflichten ging leider sowohl im Gesetzestext als auch noch viel mehr in der Botschaft das Augenmass verloren und wurde der auch bei der Rechtsetzung zu beachtende Verfassungsgrundsatz der Verhältnismässigkeit (Art. 5 Abs. 2 Bundesverfassung) nur selten berücksichtigt. So sollen z.b. gemäss Botschaft die blossen Anrufversuche neu zu den sog. Randdaten ( wer hat wen wann wie lange angerufen ) gehören. Allein die Umsetzung dieser durch die Hintertüre eingeführten - Neuerung würde die FDA zweistellige Millionenbeträge kosten Insbesondere zu weit gehende Delegationsnormen Im bisherigen Gesetz hat der Bundesrat im Wesentlichen nur die Kompetenz, Vollzugsvorschriften zum Gesetz im formellen Sinn zu erlassen. Gemäss dem vorliegenden Entwurf hätte er laut den neuen Delegationsnormen von Art. 21 Abs. 1 lit. d, 22 Abs. 2, Art. 23 und Art. 31 eigentliche Gesetzgebungskompetenzen, mit welchen er die Verpflichtungen der FDA hinsichtlich der Registrierungs- und Auskunftspflichten wie auch hinsichtlich der Überwachungspflichten laufend ausbauen könnte, was für die FDA mit kaum kalkulierbaren Kostenrisiken verbunden wäre. Mit vorliegendem Entwurf besteht die Gefahr, dass der Gesetzgeber die Kompetenz, vorzuschreiben, welche Überwachungsformen zulässig sind und welche nicht, vollständig aus der Hand gibt. Die einzelnen Pflichten, mit welchen in die Rechte der Anbieter eingegriffen werden, sind verhältnismässig und mit Blick auf die Rechtssicherheit abschliessend im Gesetz zu regeln. Anrufversuche sollen weiterhin nicht zu den Randdaten gehören. Die Kompetenzen des Bundesrats sind auf den Gesetzesvollzug zu beschränken Neue Pflichten beim Aboabschluss Einschneidende neue Pflichten werden den FDA namentlich im Zusammenhang mit der Registrierung und Auskunftgabe bezüglich ihrer Kundendaten aufgebürdet. Dazu gehört insbesondere die Auskunftserteilung über das Geburtsdatum von Kunden. Damit darüber Auskunft erteilt werden kann, muss das Geburtsdatum zuerst einmal bei jedem Kunden erfasst werden. Je nach Umsetzungsvorschrift bedeutet dies womöglich zudem, dass der Kunde sich für die Datenerfassung persönlich bei der Fernmeldedienstanbieterin melden muss. Gemäss Botschaft zum E-BÜPF könnte der Bundesrat sogar vorsehen, dass beim Vertragsabschluss eine Kopie des Ausweises der Kunden gemacht werden muss. Damit wäre ein unverhältnismässig grosser Aufwand sowohl für die Kunden als auch für die FDA verbunden. Weiter würde dadurch der Verkauf von Telekommunikationsdienstleistungen über Internet oder Telefon verunmöglicht, was für gewisse Anbieter und Produkte eine unverhältnismässig grosse Einschränkung der Vertriebsmöglichkeiten bedeuten würde. Sollten in den Detailvorschriften Registrierungspflichten allenfalls gar rückwirkend vorgeschrieben werden, so würde der Aufwand der FDA extrem ansteigen. Von einer Vorschrift zur Erfassung von Geburtsdatum und Ausweiskopie ist daher abzusehen. Weiter ist dem Bundesrat keine Kompetenz zu geben, zusätzliche Datenerfassungen vorzuschreiben. Ferner ist darauf zu achten, dass allfällige Registrierungspflichten nicht rückwirkend gelten. 2. Rechtsstaatliche Mängel 2.1. Der konzeptionelle Fehler im BÜPF wird nicht beseitigt Gemäss Art. 16 lit. a und b des E-BÜPF (bisher: Art. 13 Abs. 1 lit. a) kann der ÜPF Überwachungsanordnungen der kantonalen Strafjustizbehörden nicht zurückweisen, selbst dann

3 Seite 3/5 nicht, wenn diese Anordnungen klar gegen das BÜPF verstossen sollten. Damit werden die kantonalen Zwangsmassnahmengerichte über das Bundesgesetz gestellt, was in der Literatur auch schon als konzeptioneller Fehler bezeichnet wurde Ungenügendes Beschwerderecht Zwar sollen die FDA gemäss Art. 42 neu wenigstens ein Beschwerderecht gegen die Verfügungen des ÜPF bekommen. Dieses Beschwerderecht wird aber im Entwurf in verschiedener Hinsicht gleich wieder in Frage gestellt, vorab durch den grundsätzlichen Entzug der aufschiebenden Wirkung (Art. 42 Abs. 3) wie auch durch die Strafnorm von Art. 39 Abs. 1 lit. a, wonach auch das Nichtbefolgen einer angefochtenen Verfügung strafbar bleiben würde. Weiter sollen offenbar den FDA auch die möglichen Rügegründe entgegen den allgemeinen Regeln der Bundesverwaltungsrechtspflege eingeschränkt werden (Art. 42 Abs. 2), wobei die in der Botschaft gemachten Ausführungen dazu sich nicht mit dem Wortlaut von Art. 42 Abs. 2 decken und unklar sind. Der ÜPF muss kantonale Überwachungsanordnungen auf ihre Konformität mit dem BÜPF verbindlich überprüfen können. In Fällen von Verletzungen des BÜPF muss er die Anordnungen mittels Verfügung zurückweisen können. Das Beschwerderecht der FDA muss sich nach den allgemeinen Regeln der Bundesverwaltungsrechtspflege richten, ohne dass es in sachwidriger Weise eingeschränkt wird. 3. Kosten und Entschädigungen (Art. 38) Durch das bestehende Entschädigungsmodell werden die operativen Kosten der FDA für die Fernmeldeüberwachung gemäss einer im Sommer 2012 vom EJPD in Auftrag gegebenen Studie 2 zu weniger als 50% gedeckt. Die Investitionen in die Überwachungsinfrastruktur werden überhaupt nicht entschädigt. Zwar ist zu begrüssen, dass die FDA auch gemäss neuem BÜPF grundsätzlich noch entschädigt werden sollen. Durch die fehlende Rechtssicherheit bezüglich der in Zukunft zu erbringenden Überwachungsleistungen sowie die zunehmende Infrastrukturlastigkeit neuer Überwachungsformen ist mit dem vorgeschlagenen Modell jedoch ein deutlicher Anstieg der Überwachungskosten für die FDA zu erwarten. Weiter schwächt die nur teilweise Entschädigung die lokalen Anbieter im internationalen Wettbewerb, weil international tätige Anbieter wie z.b. Google, Skype oder Whatsapp dem BÜPF nicht unterstellt sind. Speziell vor dem Hintergrund der an sich möglichen Auferlegung der Verfahrens- und Überwachungskosten an die Beschuldigten oder Verurteilten (Art. 422, 425 und 426 StPO) erscheint die Abwälzung des Grossteils der Überwachungskosten an die FDA (und damit an jeden einzelnen Endkunden) als nicht korrekt. Aus den dargelegten Gründen fordern die 4 grossen Anbieterinnen eine Anpassung von Artikel 38, welche vorsieht, dass die FDA für die Kosten der Fernmeldeüberwachung vollumfänglich (inkl. der Kosten für deren Überwachungsinfrastruktur) entschädigt werden. 1 ZUM KONZEPTIONELLEN FEHLER IM BÜPF,S: ANDREAS HEINIGER, Schrankenlose Fernmeldeüberwachung aufgrund eines konzeptionellen Fehlers im BÜPF?, in: Jusletter 17. September

4 Seite 4/5 4. Weitere ausgewählte, wichtige Punkte 4.1 Ausdehnung der Aufbewahrungspflicht von 6 auf 12 Monate Verkehrs- und Rechnungsdaten (auch Randdaten genannt) werden gemäss den einschlägigen Vorschriften des heutigen BÜPF 6 Monate aufbewahrt. Danach werden sie grundsätzlich gelöscht, sofern diese Daten nicht im Einzelfall ausnahmsweise länger benötigt werden (z.b. im Fall einer bestrittenen Rechnung). Die Ausführung in der Botschaft zu Art. 26 Abs. 5, wonach die FDA alle oder einen Teil der Verkehrsdaten ohnehin schon für mindestens 1 Jahr aufbewahren würden, trifft nicht zu. Würde die Aufbewahrungsfrist gesetzlich von 6 auf 12 Monate verlängert, so müsste also entgegen den Ausführungen in der Botschaft sehr wohl mit erheblichen Kostenfolgen gerechnet werden. Hinzu kommt, dass die mögliche zeitliche Ausdehnung der Aufbewahrungsfrist auch im Zusammenhang mit der sachlichen Ausdehnung der Aufbewahrungspflicht zu sehen ist: Neu sollen auch IP-Verbindungsdaten aufbewahrt werden müssen, was im Vergleich zur Aufbewahrung von Telefonieverbindungsdaten viel aufwändiger und für die Rechnungsstellung an die Kunden überhaupt nicht nötig ist. Weiter wird in der Botschaft die These aufgestellt, dass die Frist von 6 Monaten oft schon abgelaufen sei, bis die Behörden in der Lage seien, die Herausgabe von historischen Daten anzuordnen. Dafür wird jedoch keine Begründung angegeben. Es muss bezweifelt werden, ob die durch eine Ausweitung von 6 auf 12 Monate entstehenden Mehrkosten sowohl bei den FDA wie auch auf Seiten der Strafjustizbehörden und des ÜPF im Interesse der Strafverfolgung überhaupt einen Vorteil bringen, welcher diese Mehrkosten rechtfertigen könnte. Auf die Ausweitung der Aufbewahrungspflicht von 6 auf 12 Monate ist deshalb zu verzichten. 4.2 Auskünfte über die Identifikation der Täterschaft bei Straftaten über das Internet (Art. 22) Mit dem vorgeschlagenen Wortlaut besteht - wie schon im aktuellen BÜPF - das Risiko, dass nicht nur statische Kundeneckwerte, sondern eigentliche Verbindungsdaten bekanntgeben werden müssen. Für diese sog. Randdaten gelten aber viel strengere formelle und materielle Voraussetzungen. Hier besteht somit - wie ein kürzlicher (Fehl-)Entscheid des Bundesgerichts 3 bestätigt - ein reelles Umgehungsrisiko. Art. 22 ist zu streichen, da dessen eigentlicher Zweck schon mit Art. 21 erreicht werden kann. 4.3 Nachweis Auskunfts- und Überwachungsbereitschaft Neu wird von den grossen FDA ein Nachweis der Auskunfts- und Überwachungsbereitschaft verlangt (Art. 33). In diesem Zusammenhang ist vorab nicht einsichtig, weshalb dieser Nachweis von den FDA auf eigene Kosten und erst noch unter Auferlegung einer Gebühr für die entsprechenden Aufwendungen des ÜPF(!) erfolgen soll, und dies selbst dann, wenn die entsprechenden FDA ihre Pflichten voll erfüllen (Art. 33 Abs. 4). Zusätzlich ist nicht nachvollziehbar, weshalb diese FDA dann trotz Zertifizierung auch vom Dienst ÜPF selbst durchgeführte Überwachungen dulden und unverzüglich Zugang zu ihren Anlagen gewähren müssen (Art. 26, Abs. 1b), genau gleich wie die vom Bundesrat von Überwachungspflichten befreiten Anbieter. Sowohl die diskriminierende Zertifizierungsgebühr wie auch die unverzügliche Zugangsgewährung in Art. 26 Abs. 1b sind ersatzlos zu streichen. 3 BGE 1B_481/2012, URTEIL VOM 22. JANUAR 2013: URTEILSBESPRECHUNG IM JUSLETTER VOM

5 Seite 5/5 4.4 Die vom Gesetzgeber ganz generell zu klärende Frage Seit Inkrafttreten des BÜPF am sind in den vergangenen Jahren die Arten von zu erbringenden Überwachungsleistungen auch ohne entsprechende Gesetzesrevisionen schon schrittweise ausgebaut worden, was zumindest teilweise auch mit bestehenden Unklarheiten oder gar Mängeln (insbesondere dem konzeptionellen Fehler ) im bisherigen Gesetz zu erklären ist. Das Bundesgericht wie auch das Bundesverwaltungsgericht haben in den vergangenen Jahren einige umstrittene Entscheidungen 4 gefällt, welche zu einer Entwicklung geführt haben, welche immer mehr in Richtung einer Überwachung von ganzen Verkehrsströmen anstelle der Überwachung von konkreten Kunden respektive Anschlüssen geht (dies obschon an sich die StPO streng genommen nur letzteres erlauben würde). Die eingetretene Entwicklung ist sowohl aus Sicht der Kunden der FDA und Bürger dieses Landes problematisch (zumal Überwachungsmassnahmen, welche sich gegen unbestimmt viele Personen richten, mangels Mitteilung von niemandem angefochten werden können) wie auch aus der wirtschaftlichen Sicht der FDA (da ihnen durch die eingetretene Entwicklung Kosten und Netzbelastungen aus dem Ruder zu laufen drohen). Daher besteht ein allgemeines Interesse daran, dass das Parlament ganz grundsätzlich prüft, welche Arten von Überwachungsmassnahmen es überhaupt zulassen will, wobei, falls es sich für einen stetig möglichen Ausbau an Überwachungsmassnahmen entscheiden sollte, die damit verbundenen Infrastrukturkosten auf keinen Fall den FDA angelastet werden dürfen. 4 Ausführlich zu den entsprechenden Gerichtsentscheiden: ANDREAS HEINIGER, Schrankenlose Fernmeldeüberwachung aufgrund eines konzeptionellen Fehlers im BÜPF?, in: Jusletter 17. September 2012