Unternehmen Hilfsbeamte der Sicherheits- und Finanzbehörden!? Meike Kamp Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Transkript

1 Unternehmen Hilfsbeamte der Sicherheits- und Finanzbehörden!? Meike Kamp Datenschutz Schleswig-Holstein

2 Jüngste Entwicklungen in der Erweiterung staatlicher Auskunftsbefugnisse Terrorismusbekämpfungsergänzungsgesetz vom 9. Januar 2007 Auskunftsersuchen des Bundesamtes für Verfassungsschutz, des Bundesnachrichtendienstes und des militärischen Abschirmdienstes Betroffen sind insbesondere Luftfahrtunternehmen und Kreditund Finanzdienstleister Automatisierte Kontenabrufe durch das Bundeszentralamt für Steuern für die Finanzbehörden Urteil des BVerfG vom 13. Juni 2007 erklärt die Möglichkeit des Abrufes durch die Finanzbehörden für verfassungskonform. Erweiterung des Auskunftsrechts des Diensteanbieters in 14 Absatz 2 TMG und 15 Absatz 5 Satz 4 TMG Herausgabe der Vorratsdaten nach den Entwurfsvorschriften der 113b ff. TKG-E Folie 2 von 20

3 Ausgangspunkt Staatliche Stellen greifen zur Informationsbeschaffung immer umfangreicher auf Datenbestände bzw. Verarbeitungsmöglichkeiten privater Unternehmen zu. In der Konsequenz müssen Unternehmen sich mit der Frage auseinandersetzen, ob und wie die Herausgabeverlangen, Zugriffe und Informationsanforderungen zu bearbeiten sind. Insbesondere stellt sich dabei die Frage, wie jenseits von Beschlagnahmeanordnungen, Rasterfahndung und automatisiertem Kontoabruf mit einfachen Auskunftsersuchen umzugehen ist. Folie 3 von 20

4 Fragestellungen auf Seiten der Unternehmen Ist dem Auskunftsersuchen ohne wenn und aber Folge zu leisten? Besteht eine eigenständige Prüfungspflicht bevor Kundenbzw. Mitarbeiterdaten offenbart werden? Welchen Umfang kann eine solche Prüfungspflicht haben? Wie kann im Unternehmen sichergestellt werden, dass Auskunftsersuchen unter Beachtung einer etwaigen Prüfungsverpflichtung datenschutzkonform bearbeitet werden? Darstellung anhand von 93 AO, 161 StPO, 6b BDSG Folie 4 von 20

5 Erhebungsbefugnis durch staatliche Stellen = Übermittlungsbefugnis durch private Stellen? Beinhalten die staatlichen Auskunftsbefugnisse gleichzeitig eine Speicherungs- und Übermittlungsverpflichtung der privaten Stellen? Liegt eine bereichsspezifische Sonderregel i.s.d. 1 Absatz 3 BDSG bzw. eine andere Rechtsvorschrift i.s.d. 4 Absatz 1 BDSG vor? Wenn ja, schränkt die Spezialnorm das Recht auf informationelle Selbstbestimmung verfassungskonform ein? Wirkt sich die verfassungskonforme Interpretation der Spezialnorm auch auf die Mitwirkungsverpflichtung der privaten Stelle aus? Wenn nein, in welchem Umfang kommt das BDSG (ergänzend) zur Anwendung und wie wirkt sich das auf eine etwaige Prüfungspflicht der Unternehmen aus? Sind die 28 Absatz 3 Nr. 1 bzw. Nr. 2 Übermittlung zur Wahrung berechtigter Interessen eines Dritten bzw. zur Strafverfolgung und Abwehr von Gefahren anwendbar? Welche Prüfpflichten bestehen bei der Übermittlung nach 28 Absatz 3 Nr. 1 bzw. Nr. 2 an staatliche Stellen? Folie 5 von 20

6 Qualifikation als Spezialnorm Deckungsgleichheit Inhaltliche Regelung für exakt den gleichen Sachverhalt i.d.r. nur für einzelne Phasen der Datenverarbeitung oder nutzung bzw. für einzelne Individualrechte Keine Deckungsgleichheit ist gegeben, wenn zwar bestimmte Verarbeitungsvorgänge vorausgesetzt werden, aber die Verarbeitung personenbezogener Daten nicht ausdrücklich erwähnt wird. wenn unterschiedliche Datenarten anfallen und nur eine bestimmte Datenart erfasst ist. Folie 6 von 20

7 Verfassungskonforme Spezialnorm? Eingriff in das informationelle Selbstbestimmungsrecht: Zur Wahrung eines überwiegenden Allgemeininteresses erforderlich Unter Beachtung des Verhältnismäßigkeitsgrundsatzes Normenklar formuliert: Zu verarbeitende Datenarten sind genannt. Zweck der Verarbeitung ist benannt. Folie 7 von 20

8 Auskunftsersuchen der Finanzbehörden gem. 93 Absatz 1 Satz 1 AO und andere Personen haben der Finanzbehörde die zur Feststellung eines für die Besteuerung erheblichen Sachverhaltes erforderlichen Auskünfte zu erteilen Verpflichtung zur Erteilung von Auskünften erfasst den Verarbeitungsschritt der Übermittlung. Bereichsspezifische Sonderregel mit Subsidiaritätskonsequenz des 1 Absatz 3 BDSG gegeben. Verhältnismäßigkeit und Normenklarheit des 93 AO? Zweck und Umfang der Erhebung nach 93 Absatz 1 Satz 1 der zur Feststellung eines für die Besteuerung erheblichen Sachverhaltes erforderlichen Auskünfte? Auf Seiten des Auskunftspflichtigen nach 93 Absatz 3 Satz 1 die Auskünfte sind wahrheitsgemäß nach bestem Wissen und Gewissen zu erteilen? Folie 8 von 20

9 Verfassungskonforme Interpretation des 93 Absatz 1 AO nach BVerfG vom 6. April 1989? Überwiegendes Interesse der Allgemeinheit: Einschränkung des RiS aus Gründen der finanziellen Sicherheit des Staates und der Gleichmäßigkeit der Besteuerung Verhältnismäßigkeitsgrundsatz: Auskunftsverweigerungsrechte der 102ff. AO Es können keine unzumutbaren Auskünfte verlangt werden. Die Auskunftspflicht erstreckt sich nicht auf den Bereich der persönlichen Intimsphäre. Auskunftsverpflichtung setzt voraus, dass erfragte Tatsachen entscheidungserheblich und aufklärungsbedürftig sind. Hinlänglich begründeter Anlass muss gegeben sein (aufgrund konkreter Momente oder allgemeiner Erfahrungen im Einzelfall Heranziehung des Auskunftspflichtigen geboten). Keine Mitwirkungspflichten bei Ermittlungen ins Blaue hinein Ebenso bei Informationserhebung auf Vorrat zu unbestimmten oder noch nicht bestimmbaren Zwecken Auswirkung auf den Umfang der Mitwirkungspflicht des Auskunftspflichtigen? Was ist zu prüfen? Folie 9 von 20

10 Prüfungspflicht des Unternehmens bei Anfragen nach 93 AO Überprüfbare Vorgaben der Auskunftsbefugnis (ggf. formelle Anforderungen): Anforderungen, die explizit im Gesetz stehen (z.b. Zuständigkeit der anfragenden Stelle) Vorgaben, die keine Interpretationsspielräume beinhalten Vorgaben, die ohne zusätzliche Kenntnisse anhand der Anfrage selbst überprüft werden können. Danach muss im Auskunftsersuchen nach 93 AO enthalten sein: ob eine Sachverhaltsaufklärung durch die Beteiligten nicht zum Ziele führt oder keinen Erfolg verspricht ( 93 Absatz 1 Satz 3 AO). worüber Auskünfte erteilt werden sollen und ob die Auskunft für die Besteuerung des Auskunftspflichtigen oder für die Besteuerung anderer Personen angefordert wird ( 93 Absatz 2 AO). Folie 10 von 20

11 Prüfungspflicht des Unternehmens bei Anfragen nach 93 AO Wenn keine Mitwirkungspflicht bei Ermittlungen ins Blaue hinein bzw. bei Ermittlungen auf Vorrat zu unbestimmten bzw. noch nicht bestimmten Zwecke besteht, dann: muss der Zweck bei der Auskunftsanfrage konkretisiert sein. muss es zur Vermeidung von Datenübermittlungen auf Vorrat, zumindest plausibel sein, dass die angeforderten Datenarten für den angegebenen Zweck auch tatsächlich entscheidungserheblich und aufklärungsbedürftig sind. Folie 11 von 20

12 Auskunftsersuchen der Strafverfolgungsbehörden gem. 161 Absatz 1 StPO ist die Staatsanwaltschaft befugt, von allen Behörden Auskunft zu verlangen und Ermittlungen jeder Art entweder selbst vorzunehmen oder durch die Behörden und Beamten des Polizeidienstes vornehmen zu lassen Ermittlungen aller Art als Rechtsgrundlage für die Erhebung bei Privaten? Private als Adressaten nicht ausdrücklich genannt. Personenbezogene Datenverarbeitung wird nicht ausdrücklich erwähnt. 161 StPO beinhaltet keine Mitwirkungsverpflichtung der angefragten privaten Stelle. 161 beinhaltet keine Übermittlungsbefugnis als bereichsspezifische Sonderregel bzw. andere Rechtsvorschrift i.s.d. 4 Absatz 1 BDSG, die die Vorschriften des BDSG verdrängt. Die Übermittlung muss durch 28 Absatz 3 Nr. 2 BDSG gerechtfertigt sein. Folie 12 von 20

13 Übermittlungsbefugnis des 28 Absatz 3 Nr. 2 BDSG Die Auskunftserteilung ist freiwillig; 28 Absatz 3 Nr. 2 BDSG statuiert keine Übermittlungsverpflichtung, sondern eine Übermittlungsbefugnis. Folge einer Verweigerung können allerdings Beschlagnahmeanordnungen ( 98 StPO), Rasterfahndung ( 98a Absatz 2 StPO) oder Vorladung, 161a StPO, sein. Übermittlung muss zur Verfolgung von Straftaten erforderlich sein und es darf kein Grund zu der Annahme bestehen, dass der Betroffene ein schutzwürdiges Interesse am Ausschluss der Übermittlung hat. Erforderlichkeit: 28 Absatz 3 Nr. 2 BDSG formuliert das Vorliegen einer objektiven Erforderlichkeit für die Strafverfolgung! Schutzwürdige Interessen: Ein Grund zur Annahme reicht aus; die übermittelnde Stelle muss sich nicht sicher sein! Folie 13 von 20

14 Erforderlichkeit und Interessenabwägung Für eine Übermittlung muss das Unternehmen in die Lage versetzt sein, eine Erforderlichkeitsprüfung und eine Interessenabwägung durchzuführen. Erforderlichkeit kann nur bestehen, wenn bereits ein Ermittlungsverfahren eingeleitet ist Anfrage muss Aktenzeichen der Ermittlungsakte benennen. Anfrage soll durch die StA selbst durchgeführt werden weitere Instanz, die die Notwendigkeit der Anfrage überprüft. Anfrage muss begründet werden: Letztlich kann das Unternehmen die Entscheidung der Erforderlichkeit nur in Kenntnis aller Umstände treffen. Kenntnis des Ermittlungsstandes und aller bisher vorliegenden Tatsachen ist i.d.r. gegeben. Verweigerung der Übermittlung: für den Fall der Einschlägigkeit von z.b. 98, 98a StPO müssen diese spezifisch geregelten Eingriffsbefugnisse auch genutzt werden und die entsprechenden gesetzlichen Anforderungen (z.b. richterliche Anordnung) auch erfüllt werden. Forderung nach einer detaillierten Begründung Folie 14 von 20

15 Erforderlichkeit und Interessenabwägung Forderung nach einer detaillierten Begründung Angefragte Daten beziehen sich nur auf den Beschuldigten/die Beschuldigte Begründung, warum die Angaben nicht beim Beschuldigten direkt erhoben werden bzw. nicht ausschließlich dort erhoben werden Konkrete Fragestellungen, keine allgemeinen Datenforderungen (vgl. Nr. 14 Absatz 3 RiStBV bei öffentlichen Stellen) Darlegung des Zwecks der Datenerhebung und der weiteren Verwendung: StA muss Sachverhalt erforschen, um entweder hinreichenden Tatverdacht festzustellen oder Verfahren einzustellen. Dabei sollen sich die Ermittlungen auf die für die gesetzlichen Tatbestandsmerkmale maßgebenden (äußeren und inneren) Tatsachen und Vorgänge konzentrieren. Nennung von konkreten Straftatbestände um angefragte Datenarten zumindest auf Schlüssigkeit, d.h. auf Relevanz in Bezug zu den einzelnen Tatbestandsmerkmale prüfen zu können. Folie 15 von 20

16 Zugriff auf Bildaufzeichnung nicht-öffentlicher Stellen Herausgabe zu präventiven Zwecken? Generalklauseln in den Polizeigesetzen der Länder können in der Regel als Ermächtigungsgrundlagen nicht ausreichen: Intensität des Eingriffs ist mit der polizeilichen Ton- und Bildaufzeichnung vergleichbar. Eingriffsschwellen der Generalklauseln im Vergleich zu den spezifischen Anforderungen an polizeiliche Ton- und Bildaufzeichnung sind in der Regel viel geringer. Zugriff zu Zwecken der Beweissicherung im Rahmen eines strafrechtlichen Ermittlungsverfahrens: Beschlagnahme gem. 94, 98 StPO Jenseits einer Beschlagnahmeanordnung: 6 b Absatz 3 Satz 2 BDSG zur Verfolgung von Straftaten erforderlich siehe 28 Absatz 3 Nr. 2 BDSG Benachrichtigung gem. 6b Absatz 4 Schutzwürdige Interessen gem. 6b Absatz 5 Folie 16 von 20

17 Verfahren zur Bearbeitung von Auskunftsersuchen im Unternehmen als teil-standardisiertes Verfahren? Ordnungsgemäße Prüfung muss organisatorisch sichergestellt werden: Definition klarer Zuständigkeiten für die Bearbeitung der Anfragen Weiterleitung der Anfragen an zuständige Stellen im Unternehmen durch Anweisungen gewährleisten Einbindung der Rechtsabteilung bzw. des betrieblichen Datenschutzbeauftragten Sicherstellung einer inhaltlich korrekten Prüfung: Festlegung der Anforderungen, die das Auskunftsersuchen erfüllen muss Dokumentation der Bearbeitung des Herausgabeverlangens welche Informationen sind an wen geflossen? Welche Transparenzverpflichtungen gegenüber den Betroffenen dürfen/müssen erfüllt werden? Folie 17 von 20

18 Verfahren zur Bearbeitung von Auskunftsersuchen im Unternehmen als (Standard-)Verfahren? Anpassungen im Auftragsdatenverarbeitungsvertrag: Entscheidung über das Ob und Wie der Beantwortung von Auskunftsanfragen müssen durch den Auftraggeber als verantwortliche Stelle getroffen werden. Ausdrücklicher Hinweis im Auftragsdatenverarbeitungsvertrag (z.b. bei ausgelagerter Datenverarbeitung) Verfolgung der Entwicklungen im Bereich der staatlichen Auskunftsbefugnisse: Welche Verpflichtungen bestehen? Neue gesetzliche Vorgaben überwachen und Kriterien für die Herausgabe aktualisieren Datenschutzrechtliche Interessenabwägungen erhält ggf. neue Akzente: Die Möglichkeit des staatlichen Zugriffes ist ggf. bereits bei der Erhebung und Speicherung im Rahmen der Interessenabwägung zu berücksichtigen. (Siehe z.b. 14 Absatz 2 TMG: Es besteht keine Speicherpflicht; allerdings müssen die Daten auf Anordnung herausgegeben werden, die gespeichert sind.) Folie 18 von 20

19 Fazit Eine eigenständige Prüfungspflicht der Unternehmen besteht. Umfang der Prüfungspflicht hängt von der Erhebungs- bzw. Übermittlungsbefugnis ab: Bereichsspezifische Sonderregel: Zumindest die Anforderungen der Norm müssen erfüllt sein; Plausibilitätsprüfung. 28 Absatz 3 Nr. 2 BDSG: konkrete Begründung, konkrete Fragen, Darlegung des Zwecks, Schlüssigkeitsprüfung im Hinblick auf strafrechtliche Tatbestände. Verweigerung ist möglich, spezifische Ermittlungsmaßnahmen mit speziellen Anforderungen müssen genutzt werden. 6b Absatz 3 Satz 2: Siehe 28 Absatz 3 Nr. 2 BDSG Auskunftsersuchen von staatlichen Stellen müssen in das Datenschutzkonzept miteinbezogen werden: Organisatorische Sicherstellung der Prüfung Auftragsdatenverarbeitungsvertrag ggf. anpassen Berücksichtigung bei der datenschutzrechtlichen Interessenabwägung Folie 19 von 20

20 Vielen Dank für Ihre Aufmerksamkeit! Kontakt: Meike Kamp /