Interne Dokumente zur Weltraumtheorie: Wie sich BND und Kanzleramt vor der Öffentlichkeit fürchteten

In der Mangfall-Kaserne in Bad Aibling hört der BND Satellitenverkehr aus Regionen wie Afghanistan und Somalia ab, bereitet ihn auf und teilt ihn mit der NSA. Bad Aibling ist in Deutschland und doch ist der BND der Meinung, er müsse sich bei den Satellitendaten, die in Bad Aibling anfallen, nicht an deutsche Gesetze wie das BND-Gesetz halten. Denn: Die abgehörten Satelliten befinden sich im Weltall und da gelte kein deutsches Recht. Obwohl in Bad Aibling seit vielen Jahren abgehört wird, hat sich der BND das erst 2013 ausgedacht, als Bad Aibling durch die Snowden-Enthüllungen in die Schlagzeilen geriet. Wir veröffentlichen hier interne Kommunikation und Dokumente, die zeigen, wie unsicher sich BND und Kanzleramt mit dieser Theorie von Beginn an waren.

Wie an einem Tag die Weltraumtheorie geboren wurde

„BND leitet massenhaft Metadaten an die NSA weiter“ – diese Spiegel-Meldung vom 4. August 2013 hat wohl dazu geführt, dass die Chefetagen von BND und Bundeskanzleramt den darauf folgenden Montagmorgen in hektischer Aufregung verbracht haben. Schon in den frühen Morgenstunden telefonierten BND und Bundeskanzleramt – das Kanzleramt wollte eine Stellungnahme des BND zu dessen Weitergabepraxis von Metadaten an ausländische Nachrichtendienste (AND). Doch schon am vorangegangenen Wochenende hatten BND-Präsident Gerhard Schindler und Ulrich Pferr aus dem BND-Leitungsstab begonnen, sich die Grundzüge ihrer neuen Datenweitergabe-Theorie auszudenken – es waren die Geburtsstunden der Weltraumtheorie. Doch nicht nur im BND arbeitete man unter Hochdruck daran, innerhalb eines Montags ein Kurzgutachten zur eigenen Rechtsposition zu erstellen. Auch im Kanzleramt war man nicht untätig.

Gegen 11 Uhr morgens teilte das Kanzleramt der BND-Leitung unter Bezug auf ein Telefonat mit dem damaligen BND-Vizepräsidenten Guido Müller mit, wie sich die rechtliche Situation aus Sicht des Kanzleramtes darstellt. Dabei referenziert man auf eine Weisung, die bereits 1995 vom Kanzleramt an den BND ging. Darin ist explizit ausgeführt, dass bei Übermittlung von Daten „stets die §§ 9, 10 BNDG zu beachten“ sind. Sowohl die Erhebung, Verarbeitung und Übermittlung der „Kommunikationsdaten von Ausländern im Ausland sowie dazugehörige Metadaten“ fallen unter das BND-Gesetz. So war es schon immer gewesen.

„Datenerhebung ist im Weltall und ausländische Metadaten haben keinen Personenbezug“

Acht Stunden später, um 19:03 Uhr, übersandte der BND dem Kanzleramt seine Stellungnahme, die vom BND-Gesetz nichts mehr wissen will. Im Kurzgutachten zur Weitergabe von Metadaten an AND wird die Geltung des BND-Gesetzes für Daten, die an der Abhörstation in Bad Aibling anfallen, bestritten [Hervorhebungen von uns]:

Die an die NSA weitergeleiteten Metadaten werden zum einen in Afghanistan durch eine dortige Satellitenempfangsanlage und durch dortiges Abgreifen von Richtfunkstrecken erhoben, so dass es sich um eine Datenerhebung im Ausland handelt. Die Satellitenempfangsanlagen in Bad Aibling greifen von ausländischen Satelliten (zum Beispiel von Satelliten, die Verkehre der Region Afghanistan/Pakistan führen) Datenströme ab und leiten sie nach Bad Aibling. Die Erhebung findet somit an ausländischen Satelliten statt, also ebenfalls außerhalb des Geltungsbereichs des BNDG.

Der BND ging sogar noch weiter und stellte, sollte man dieser These nicht folgen, eine weitere Theorie auf:

Selbst wenn man in diesem Punkt eine andere Auffassung vertreten würde und somit § 9 BNDG anzuwenden wäre, stellen Metadaten der Telekommunikation von Ausländern im Ausland (Telefonnummer oder E-Mail-Adresse) keine personenbezogenen Daten dar.

Das wurde damit begründet, dass der Personenbezug für ausländische Metadaten nicht so einfach hergestellt werden könne wie in Deutschland. Laut BND würde es also einen „unverhältnismäßigen Aufwand“ darstellen, den Anschlussinhaber zu einer Telefonnummer im Ausland zu ermitteln. Dass der BND aber nicht in der Lage sein soll, für auch nur eine einzige der erfassten Kommunikationen einen Personenbezug herzustellen, ist überaus unglaubwürdig. Noch deutlicher als bei Telefonnummern wird das Ganze bei Mail-Adressen. Der Personenbezug von guenther.oettinger@ec.europa.eu ist offenkundig. Liegt ein solcher bei einem Datum vor, ist das BND-Gesetz anzuwenden.

Kreative Rechtsinterpretation trifft auf Gegenwehr

Interessanterweise stützte sich auch der Selektorenbeauftragte Kurt Graulich auf die Argumentation des BND zum Personenbezug bei ausländischen Metadaten, als er für den NSA-Untersuchungsausschuss die vom BND abgelehnten Selektoren begutachtete. In seinem Gutachten finden sich fast wortgleiche Passagen, wie Thorsten Denkler im November 2015 bei der Süddeutschen Zeitung feststellte. Im unten stehenden Volltext des Kurzgutachtens kann man sich davon direkt überzeugen, dass zwei von drei Teilen des Kurzgutachtens zu großen Teilen in Graulichs Bericht stehen. Während er bei der Passage zur Weltraumtheorie noch erwähnt, die Sicht des BND darzustellen – auch wenn er die wörtlichen Zitate nicht kennzeichnet -, fehlt dieser Hinweis bei den übernommenen Passagen zum Personenbezug bei Metadaten. Zur besseren Visualisierung haben wir die wortgleichen Bereiche grau hinterlegt.

Diese, gelinde gesagt, kreativen Rechtsinterpretationen stießen bei der Datenschutzbeauftragten des BND und im Bundeskanzleramt nicht auf direkte Gegenliebe. Christina Polzin, Leiterin des Referates 601 für Datenschutz, Recht der Nachrichtendienste und G-10-Angelegenheiten, schrieb am Dienstag, dem Tag nach Erhalt des Gutachtens, deutlich in einem Vermerk:

Ich habe mehrfach ausführlich begründet, warum diese Rechtsauffassungen m.E. nicht vertretbar sind. Zudem habe ich darauf hingewiesen, dass es aus meiner Sicht keine gute Beratung von ChefBK darstellt, ihm diese Argumentation vorzuschlagen (Gefahr der kritischen Perzeption im PKGr und Öffentlichkeit). Stattdessen sollte § 19 Abs. 3 BVerfSchG als Rechtsgrundlage herangezogen werden.

Am nächsten Tag folgte eine ausführlichere Absage an die Weltraumtheorie in Form einer Bewertung des BND-Kurzgutachtens „aus Sicht 601“. In dem sogenannten Non-Paper wird argumentiert, dass die Erhebung der Daten nicht ausschließlich im Ausland erfolge. „Auswertung, Speicherung, Übermittlung im Sinne datenschutzrechtlicher Verarbeitung“ geschehen in Bad Aibling, also im Inland. Und selbst wenn das BND-Gesetz keine Anwendung fände, würde für die „sich unbestritten physikalisch in Deutschland […] befindlichen personenbezogenen Daten“ das Bundesdatenschutzgesetz gelten. Doch hiervon ist im BND-Kurzgutachten nicht die Rede.

Berechtigte Sorge vor öffentlicher Bloßstellung

Es werden „weitreichende Folgen“ der im Kurzgutachten vertretenen Meinung prophezeit, sie stünden im Widerspruch zum bisherigen Verhalten des BND und ebenso zu den vom Kanzleramt genehmigten Dienstvorschriften. Auch politisch seien die Ausführungen problematisch. Eine juristisch „kaum zu bestehende intensive öffentliche Diskussion“ und „negative Auswirkungen auf Ansehen und Tätigkeit des BND“ wären zu befürchten, datenschutzrechtlich würde man hinter die USA und Großbritannien zurückfallen und seine bisherigen Äußerungen relativieren. Außerdem sei die Auffassung, dass die erfassten Metadaten nicht personenbezogene Daten seien, „rechtlich nicht vertretbar“.

Kurzum: Mit der Weltraumtheorie kann man sich leicht lächerlich machen. Und bewegt sich auf rechtlichem Glatteis. Abteilung 601 sollte Recht behalten. Vierzehn Monate später bekamen die BND-Theorien ihren ersten Auftritt im NSA-Untersuchungsausschuss. Damals sagte H.F., die BND-Datenschutzbeauftragte, dazu aus, wie sie bei der Entwicklung dieser Rechtsposition überstimmt wurde. Die Weltraumtheorie wurde zum Symbol der absurden Rechtsbiegungen des BND. Kai Biermann titelte auf Zeit Online „Anarchos vom BND“, Thomas Stadler bescheinigte dem BND, selbst „völlig losgelöst von der Erde“ zu sein.

Zu den vordersten Freunden der Weltraumtheorie im Kanzleramt gehörte Günther Heiß, Leiter der Abteilung 6 für Nachrichtendienste und damit Vorgesetzter der skeptischen Christina Polzin aus Referat 601. Während letztere ihre Zweifel äußerte – die auch Heiß in Form des Non-Papers vorlagen – bestätigte er zur gleichen Zeit dem Chef des Bundeskanzleramtes die Auffassung des BND. Und überschrieb damit alle, die Zweifel geäußert hatten.

Auch der Bundesdatenschutzbeauftragte fragt nach

Und als wären die internen Unstimmigkeiten nicht genug, machte Kanzleramt und BND noch etwas anderes Sorgen: Mitten in der Diskussion rückte ihnen auch noch der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) auf die Pelle. Wir berichteten bereits im Mai 2015 über die Nachfragen des damaligen BfDI Peter Schaar an den BND, eine davon am 8. August 2013 zur Rechtsgrundlage der Datenweitergabe in Bad Aibling – angestoßen durch vorangegangene Berichterstattung.

Damals beleuchteten wir insbesondere die BND-internen Regungen und Windungen um die Anfragen des BfDI, aber auch im Kanzleramt lief die Beantwortung alles andere als geradlinig und auskunftsbereit. Denn – auch wenn man sich gerade die Weltraumtheorie zurechtgebogen hatte – besonders sicher fühlte man sich damit nicht. Zudem hatte man Angst, dass der BfDI einen Kontrollbesuch in Bad Aibling anberaumen könnte.

Daher begann man zu überlegen, wie man der Beantwortung der lästigen Fragen weitestmöglich aus dem Weg gehen könnte. Man beschloss, erst einmal zu bewerten, ob der BfDI überhaupt eine Kontrollbefugnis hat, denn „[w]ir müssen berücksichtigen, dass die Vereinbarung [zur Datenweitergabe] eingestuft ist und als Schutzwortvorgang nur dem berechtigten Personenkreis zugänglich gemacht werden darf.“ Aber Fehlanzeige. Am 9. August kam Christina Polzin zu dem Schluss, dass man dem BfDI seine Kontrollbefugnis nicht einfach absprechen kann:

Gründe, warum BfDI aus rechtlichen Gründen in Bad Aibling keine Kontrollbefugnis haben könnte, bestehen nur theoretisch: Nach § 24 Abs. 4 S. 4 BDSG könnte BKAmt – vergleichbar mit einer Sperrerklärung – im Einzelfall feststellen, dass Auskunft, Einsicht und Zutritt verweigert werden können, sofern dadurch die Sicherheit des Bundes gefährdet wird. Öffentlich zu argumentieren, ein Besuch des BfDI in Bad Aibling würde die Sicherheit des Bundes gefährden, erscheint jedoch nicht denkbar. Ebensowenig kann man mit „Geheimschutz“ argumentieren, denn entsprechende Ermächtigungen liegen bei BfDI natürlich vor.

Angst vor Kontrollbesuch

Gleichzeitig fürchtete Polzin, dass man „mit sehr kritischer Öffentlichkeit durch BfDI rechnen“ muss, wenn man die jüngst übernommene Meinung aus dem BND-Kurzgutachten präsentiert. Als Ausweg hielt man den BfDI hin und verwies bei telefonischen Nachfragen auf eine „andauernde Prüfung“, auch nach der offiziellen Antwortfrist am 12. August. Am 13. August gab der aus dem NSA-Ausschuss wohlbekannte Philipp Wolff – Leiter der Projektgruppe Untersuchungsausschuss im Kanzleramt – an die Leiter der Abteilung 6 und des Referats 601 zur Kenntnis, dass man nunmehr „schriftlich mit Email auf Arbeitsebene“ vertrösten wolle. Er gestand jedoch auch ein, dass er nicht beurteilen könne, ob der BfDI diese Antwort zunächst akzeptieren würde und gab das Risiko zu bedenken, dass der BfDI eine „kurzfristige Datenschutzkontrolle“ in Bad Aibling anberaumen könnte.

Die Verantwortlichen im Kanzleramt waren in Aufruhr. Man konnte weder vor noch zurück. Zum einen wollte man dem BfDI keine Auskunft geben und ihn nicht nach Bad Aibling lassen, zum anderen hatte man Angst davor, dass sich der BfDI im Falle einer Nicht-Auskunft:

[…] zeitnah öffentlichkeitswirksam dahingehend äußert, dass BND/BKAmt die von ihm angefragte Rechtsgrundlage der Übermittlung von Daten an die NSA nicht mitteilen – trotz entsprechender gesetzlicher Verpflichtung aus § 24 Abs. 4 BDSG.

Welche Antworten der BfDI letztlich bekommen hat, wissen wir nicht – unsere Informationsfreiheitsanfrage dazu wurde abgelehnt. Ein Antwortentwurf, den wir bereits veröffentlicht haben, deutet jedoch auf einsilbiges Abwimmeln und das Verschweigen der Dimension der Datenweitergabe hin.

Wir versuchen’s erstmal mit Weltraumtheorie. Und wenn das nicht klappt…

Bis der BfDI, vertreten durch Gabriele Löwnau, tatsächlich in Bad Aibling vorbeischaute, vergingen noch einige Wochen. Die Bekanntgabe des Besuchs am 2. und 3. Dezember 2013 erfolgte am 19. November. Es wurde angekündigt, schwerpunktmäßig interessiere man sich für die „Erhebung, Verwendung und Übermittlung personenbezogener Daten an ausländische, insbesondere US-amerikanische Stellen“ und das „Analysetool XKeyscore zur Verarbeitung personenbezogener Daten“.

Immer noch scheuten sich BND und Kanzleramt, dem BfDI die Weltraumtheorie zu präsentieren. In einer Vorbesprechung des Kontrollbesuchs zwischen Vertretern beider Behörden einigte man sich auf eine merkwürdig anmutende Lösung: Erstmal Weltraumtheorie und – falls der BfDI „die Linie nicht mitträgt“ – erklärt man, dass man trotzdem datenschutzrechtliche Maßnahmen trifft. Also: Erstmal versuchen und wenn das nicht klappt so tun, als sei sowieso alles in Ordnung. Doch wozu das Ganze? Warum dachte man sich eine Theorie aus, bei der man von Beginn an wusste, dass man sich angreifbar und lächerlich machen würde? Und die man nicht einmal unbedingt benötigt?

War die Weltraumtheorie nicht eigentlich überflüssig?

Um das zu verstehen, muss man sich anschauen, was bei der Datenübertragung an ausländische Nachrichtendienste beachtet werden muss, wenn der BND sich an das BND-Gesetz halten würde. Denn ein Austausch der Satellitendaten mit den USA wäre rechtlich keineswegs unmöglich, auch unter Beachtung des G-10- und BND-Gesetzes. Gerade das besagt auch die Weisung aus dem Jahr 1995 und auf deren Grundlage hat der BND jahrelang gearbeitet, gleichwohl die Weisung kaum für die heutigen Dimensionen von Massendaten ersonnen wurde. Rein formell war das kein Problem. Ein viel größeres Problem muss für den BND die Pflicht zur Protokollierung der Datenweitergabe dargestellt haben, die mit der Beachtung des BND-Gesetzes einhergeht. Denn nach § 19 des Bundesverfassungsschutzgesetzes – das hier auch auf den BND angewendet wird – sind Übermittlungen zu protokollieren.

Da stellt sich die Frage: Hat der BND einfach nicht protokolliert, was weitergegeben wurde oder will er die Protokollierung schlichtweg nicht herausgeben? Vieles deutet darauf, das Letzteres zutrifft. Die Anmerkung in der Vorbesprechung zum Besuch des BfDI, dass man ja immer noch sagen könne, man treffe datenschutzrechtliche Maßnahmen und nicht zuletzt Aussagen von Zeugen vor dem NSA-Untersuchungsausschuss.

Dokumentation gab es – aber wie sah sie aus?

So Christina Polzin vom Bundeskanzleramt, die vor dem Ausschuss aussagte, der Grund, warum die Leitung des Kanzleramtes für die Weltraumtheorie gestimmt habe läge darin, dass man besorgt gewesen sei, die Dokumentationspflicht könne nicht erfüllt werden. Gleich darauf relativierte sie, das hätte „man aber hinbekommen können.“ Sie antwortete klar mit „ja“ auf die Frage, ob damals Dokumentationspflichten erfüllt wurden und führte weiter aus:

Die Aktenlage im BND, die dokumentiert, welche Arten von Metadaten an wen und in welchem Umfang übertragen werden, stellt meiner Meinung nach eine Dokumentation dar. Dokumentation steht außer Frage. Hätte detaillierter sein können, aber es wurde dokumentiert. BND weiß, was er übermittelt, daher erfüllt. Das knüpft auch an § 19, Absatz 3 an. Man hätte das durchaus anpassen können, hat BND auch getan.

Auch andere Zeugen wie der Referatsleiter H.K. aus Bad Aibling bestätigten, dass es zumindest rudimentäre Dokumentationen gab, „wer was bekommt“. Mittlerweile wurden auch dem NSA-Untersuchungsausschuss infolge eines Beweisbeschlusses aus dem Dezember 2015 Akten vorgelegt, die die Datenweitergabe an ausländische Nachrichtendienste dokumentieren sollen. Überzeugend sind die nach Aussage von Konstantin von Notz, Obmann der Grünen im Ausschuss, aber nicht:

Was dem Untersuchungsausschuss als Dokumentation der Datenübermittlungen an die NSA verkauft wurde, erfüllt in keiner Weise die rechtlichen Anforderungen an den Datenaustausch. Diese Praxis ist in unseren Augen klar rechtswidrig. Die Bundesregierung fordern wir noch einmal dazu auf, die unkontrollierte Datenübermittlung umgehend zu stoppen.

Die Erfindung der Weltraumtheorie bringt das krude und inakzeptable Rechtsverständnis des Bundesnachrichtendienstes zum Ausdruck. Der BND erklärt die Datenerhebung über Weltraumsatelliten und die anschließende Weiterverarbeitung zu einem gesetzesfreien Vorgang und schafft sich damit Narrenfreiheit zu Lasten von Grundrechten. Dass die Bundesregierung bis heute nichts an dieser Praxis geändert hat, ist rechtsstaatlich nicht hinnehmbar.

Auch Patrick Sensburg von der CDU, Vorsitzender des NSA-Untersuchungsausschusses, kann die Weltraumtheorie nicht überzeugen:

Aus den Vernehmungen ist meiner Meinung nach deutlich geworden, dass die sogenannte Weltraumtheorie nur eine Erfindung des BND nach den Veröffentlichungen von Edward Snowden war. Vor 2013 gab es sie offensichtlich noch nicht.

Die Weltraumtheorie bewegt sich juristisch schon auf sehr dünnem Eis. Bezeichnend ist auch, dass sie außerhalb des BND anscheinend gänzlich unbekannt ist.

Update: Auch Martina Renner, Obfrau der Linken im Ausschuss, hat uns ein Statement zugeschickt:

Die Übermittlung von Daten an die NSA, die in Bad Aibling stattgefunden hat und weiter stattfindet, wurde faktisch nicht dokumentiert. Das Gesetz schreibt eindeutig vor, dass die Übermittlungen protokolliert werden müssen, aber was uns im Untersuchungsausschuss präsentiert wurden, waren lediglich Statistiken über die Mengen. Wessen Daten warum weitergegeben wurden, wann und an wen: das ist nicht nachvollziehbar.

Der BND und das Kanzleramt, das ist deutlich geworden, haben sich nur damit beschäftigt, welche Vorgaben beachtet werden müssten. Das Ergebnis dieser Überlegungen entspricht dem Muster, das mir immer wieder begegnet: die wenigen Gesetze, die der BND zu befolgen hat, werden so kreativ ausgelegt, dass von ihrer ursprünglichen Intention nichts mehr übrigbleibt. Für die Datenübermittlungen heißt das, dass es darum ging, so wenig wie möglich zu dokumentieren.

Im Nachhinein ist es so unmöglich festzustellen, ob die Voraussetzungen für die Übermittlung tatsächlich vorgelegen haben. Eine Kontrolle fand nicht statt, und ist auch rückwirkend nicht mehr möglich. Ich sehe meine These bestätigt, dass dieser Dienst unkontrollierbar ist.

Wie geht es weiter?

Man kann BND und Bundeskanzleramt nur raten: Wenn man von Anfang an massive Zweifel und Angst vor der Öffentlichkeit hat, sollte man vielleicht auf die kritischen Stimmen in den eigenen Reihen hören. Dass das Kanzleramt zusieht, wie der BND gegen die eigene Weisung Recht so lange biegt, bis es bricht, kann nicht Sinn einer Recht- und Fachaufsicht sein.

Die geplante, derzeit stockende BND-Reform wird zeigen, was man aus den Skandalen gelernt hat. Und ob man versuchen wird, die bisherigen BND-Praktiken zu legalisieren oder sie einzuschränken und zu kontrollieren. Doch zu der aktuellen Version eines Gesetzesentwurfs aus dem Bundeskanzleramt, der dem Parlament bis zur Sommerpause vorgelegt werden soll, ist kaum etwas bekannt. Sachdienliche Hinweise nehmen wir über die üblichen Kanäle gerne entgegen.

Im Folgenden die genannten Dokumente im Volltext – soweit nicht anders gekennzeichnet:

---

Übermittlung von Aufkommen an ausländische öffentliche Stellen außerhalb des Geltungsbereichs des Art. 10 GG

Von: ██████
An: leitung-leiter@bnd.bund.de, leitung-grundsatz@bnd.bund.de
Datum: 05.08.2013, 11:03
Cc: Hans-Jörg Schäper; Christina Polzin; Philipp Wolff

Betreff: Übermittlung von Aufkommen an ausländische öffentliche Stellen außerhalb des Geltungsbereichs des Art. 10 GG (Siehe angehängte Datei: Auszug Grundsätze BNDG 1995.pdf)

Bezug: Heutiges Telefonat BKAmt/StÄV AL 6, Herr Schäper, mit BND/VPr, Herr Müller

Sehr geehrte Damen und Herren,

wie mit Bezug soeben besprochen, stellt sich aus Sicht des BKAmtes die rechtliche Situation wie folgt dar: Die Übermittlung von Aufkommen, das dem Geltungsbereich des Art. 10 GG unterfällt, erfolgt durch den BND an ausländische öffentliche Stellen ausschließlich auf der Grundlage des G-10-Gesetzes.

Kommunikationsdaten von Ausländern im Ausland sowie dazugehörige Metadaten erhebt der BND im Rahmen seiner Auftragserfüllung gemäß § 1 Abs. 2 BNDG. Diese personenbezogenen Daten werden gemäß § 2 BNDG entsprechend dem BNDG verarbeitet. Übermittlungen auch personenbezogener Daten von Nichtgrundrechtsträgern (insbesondere Ausländern im Ausland) erfolgen an ausländische öffentliche Stellen auf der Grundlage der gesetzlichen Übermittlungsbestimmungen. Dabei handelt es sich insbesondere um die Regelung des § 9 Abs. 2 BNDG i. V. m. § 19 Abs. 3 BVerfSchG. Nach § 19 Abs. 3 BVerfSchG darf der BND personenbezogene Daten an ausländische Stellen übermitteln, wenn die Übermittlung zur Erfüllung seiner Aufgaben oder zur Wahrung erheblicher Sicherheitsinteressen des Empfängers erforderlich ist.

In einer Weisung des BKAmtes an den BND von 1995 (Anlage) wird explizit ausgeführt, dass bei der Übermittlung von Informationen, unabhängig davon, ob diese im In- oder Ausland erhoben wurden, stets die §§ 9, 10 BNDG (mit ihrer Verweisung in das BVerfSchG) zu beachten sind.

Mit freundlichen Grüßen,
Im Auftrag
██████

---

Grundsätze zur Anwendung des Bundesnachrichtendienstgesetzes (Auszug)

Datum: Juli 1995
Autorin: Bundeskanzleramt

6. Insbesondere: Erhebung von Informationen im Ausland

Das BNDG ist die spezielle datenschutzrechtliche Befugnisregelung für Eingriffe in das Recht auf informationelle Selbstbestimmung. In dieses Recht kann im Geltungsbereich des Grundgesetzes nur aufgrund einer ausdrücklichen gesetzlichen Ermächtigung eingegriffen werden. Aus diesem Grund bestand Bedarf für eine gesetzliche Grundlage zur Erhebung von Informationen im Ausland.

Für das Ausland wurde keinerlei Regelung getroffen außer der, daß der BND (auch dort) Informationen sammeln darf: § 1 Abs. 2 S. 2 BNDG. Das BDSG hat nur Geltung in seinem spezifischen Geltungsbereich, der sich auf das Inland sowie auf den Verkehr mit Deutschen im Ausland beschränkt.

§ 2 BNDG

Verarbeitung von Informationen unabhängig vom Erhebungsort

§ 2 BNDG enthält die Befugnis zur Verarbeitung aller Informationen, unabhängig davon, ob diese im In- oder Ausland erhoben worden sind. Bei der Verarbeitung wird nicht wie bei der Erhebung nach dem Ort der jeweiligen Tätigkeit differenziert. Bei der Übermittlung sind jedoch stets die §§ 9, 10 BNDG zu beachten.

---

BND-Kurzgutachten zur Weitergabe von Metadaten an AND (außerhalb des Anwendungsbereiches des G 10)

[Redaktionshinweis: Die gräulich hinterlegten Teile des Kurzgutachtens finden sich wortgleich im Abschlussbericht des Selektorenbeauftragten Kurt Graulich wieder.]

Datum: 5. August 2013

Vorbemerkung

Alle vom BND an die NSA in Bad Aibling weitergegebenen Daten werden G-10-bereinigt. Eine Übermittlung von Daten von deutschen Telekommunikationsverkehren, die dem Fernmeldegeheimnis nach Art. 10 GG unterfallen, wird damit verhindert.

1. Erhebung im Ausland

§ 1 Abs. 2 BNDG lautet: Der Bundesnachrichtendienst sammelt zur Gewinnung von Erkenntnissen über das Ausland, die von außen- und sicherheitspolitischer Bedeutung für die Bundesrepublik Deutschland sind, die erforderlichen Informationen und wertet sie aus. Werden dafür im Geltungsbereich dieses Gesetzes Informationen einschließlich personenbezogener Daten erhoben, so richtet sich für die Erhebung, Verarbeitung und Nutzung nach den §§ 2 bis 6 und 8 bis 11.

Die Bestimmungen der §§ 2 bis 6 und 8 bis 11 BNDG finden somit nur für Datenerhebungen im Inland Anwendung. Die Vorschrift für die Übermittlung von personenbezogenen Daten durch den BND ist § 9 BNDG i. V. mit § 19 Bundesverfassungsschutzgesetz geregelt. Werden also Informationen einschließlich personenbezogener Daten im Ausland außerhalb des Geltungsbereichs des BNDG erhoben, findet § 9 BNDG nach § 1 Abs. 2 Satz 2 BNDG keine Anwendung (argumentum e contrario). In diesem Fall greifen auch nicht die dortigen Vorgaben für eine Übermittlung.

Der Gesetzgeber sah sich bei Schaffung des BNDG vor dem Hintergrund des Urteils des BVerfG zur Volkszählung (BVerfGE 65, S. 1 ff) zum Schutze des Allgemeinen Persönlichkeitsrechts gehalten, für in Deutschland stattfindende Eingriffe in Lebenssachverhalte eine verfassungsgemäße Eingriffsbefugnis (betreffend die Datenerhebung sowie – Verarbeitung und Nutzung) zu schaffen. Anknüpfungspunkt ist hierbei der Lebenssachverhalt, in den eingegriffen werden soll. Werden bspw. Daten durch Observationen in Deutschland erhoben, sind hierbei die vorgenannten Bestimmungen des BNDG zu beachten. Diese Auffassung wird systematisch gestützt durch die Tatsache, dass für den BND als Auslandsnachrichtendienst im BND-Gesetz keine eigene Übermittlungsnorm für die Datenweitergabe an ausländische Stellen geschaffen wurde, sondern lediglich eine Verweisung auf die Übermittlungsvorschrift des Inlandsnachrichtendienstes BfV.

Gleichzeitig war es dem Gesetzgeber aufgrund des völkerrechtlichen Souveränitätsprinzips verwehrt, in einem deutschen Gesetz Eingriffsbefugnisse für das und im Ausland zu schaffen. Vor diesem Hintergrund stellen Datenerhebungen, die ausschließlich an ausländischen Lebenssachverhalten ansetzen, keine Datenerhebungen im Geltungsbereich des BNDG, d.h. in Deutschland, dar. Dies ist vorliegend der Fall:

Die an die NSA weitergeleiteten Metadaten werden zum einen in Afghanistan durch eine dortige Satellitenempfangsanlage und durch dortiges Abgreifen von Richtfunkstrecken erhoben, so dass es sich um eine Datenerhebung im Ausland handelt. Die Satellitenempfangsanlagen in Bad Aibling greifen von ausländischen Satelliten (zum Beispiel von Satelliten, die Verkehre der Region Afghanistan/Pakistan führen) Datenströme ab und leiten sie nach Bad Aibling. Die Erhebung findet somit an ausländischen Satelliten statt, also ebenfalls außerhalb des Geltungsbereichs des BNDG.

Im Gegensatz zu Lebenssachverhalten, in denen ein unmittelbarer Deutschlandbezug gegeben ist, beispielsweise wenn Daten bei in Deutschland ansässigen Unternehmen oder im Rahmen einer Observation in Deutschland erhoben werden, besteht bei den vorliegend betroffenen reinen Auslandstelekommunikationen kein derartiger Deutschlandbezug. Während eine Person, die ein in Deutschland ansässiges Unternehmen (TK, Bank, Fluggesellschaft) nutzt oder sich in Deutschland aufhält, davon ausgehen darf und kann, dass diesbezügliche Datenerhebungen auf Basis einer klaren verfassungsgemäßen Eingriffsbefugnis erfolgen, gilt dies bei Lebenssachverhalten wie der reinen Auslandstelekommunikation nicht.

Da somit vorliegend keine Daten im Sinne des § 1 Abs. 2 S. 2 BNDG „im Geltungsbereich des Gesetzes erhoben“ werden, findet in der Konsequenz auch § 9 BNDG keine Anwendung.

2. Keine personenbezogenen Daten

Selbst wenn man in diesem Punkt eine andere Auffassung vertreten würde und somit § 9 BNDG anzuwenden wäre, stellen Metadaten der Telekommunikation von Ausländern im Ausland (Telefonnummer oder E-Mail-Adresse) keine personenbezogenen Daten dar. Ein Datum ist nach der Legaldefinition des § 3 Abs. 1 BDSG dann personenbezogen, wenn es eine Person bestimmt oder bestimmbar macht. Eine Bestimmbarkeit ist dann nicht gegeben, wenn die Person nur mit unverhältnismäßigem Aufwand ermittelbar ist (vergl. § 3 Abs. 6 BDSG).

Auch Metadaten können personenbezogen sein. Bei Metadaten handelt es sich um strukturierte Daten, die andere Daten beschreiben, d.h. die Informationen über Merkmale anderer Daten enthalten, aber nicht diese Daten selbst. Ein ausgesprochenes Merkmal von Metadaten ist daher oft, dass sie maschinell lesbar und auswertbar sind. Ausländische Telefonnummern und E-Mail-Adressen können daher personenbezogene Daten darstellen, wenn eine Bestimmbarkeit vorliegt. Für die Bestimmbarkeit kommt es auf die Kenntnisse, Mittel und Möglichkeiten des BND als speichernde Stelle an. Der Bezug muss mit den normalerweise zur Verfügung stehenden Hilfsmitteln und ohne verhältnismäßigen Aufwand durchführbar sein.

Der Begriff des Personenbezugs ist daher relativ, d.h. dieselben Daten können für den einen anonym und für den anderen der betroffenen Person zuordenbar sein. Sofern daher eine Bestimmbarkeit nur mit unverhältnismäßigem Aufwand möglich ist, liegt kein personenbezogenes Datum vor.

Bei „deutschen“ Telefonnummern oder E-Mail-Adressen ist dies der Fall, da die deutschen Sicherheitsbehörden nach dem Telekommunikationsgesetz die Bestandsdaten bei den Providern abfragen und damit die Person relativ einfach ermitteln können (§§ 112, 113 TKG).

Dahingehend besteht diese einfache Abfragemöglichkeit bei ausländischen Anschlusskennungen gerade nicht. Zunächst fehlt es insoweit bereits an der vorgenannten gesetzlichen Befugnis zur Anschlussinhaberfeststellung nach dem Telekommunikationsgesetz. Aber auch in praktischer Hinsicht besteht keine Möglichkeit, mit einem verhältnismäßigen Aufwand den konkreten Anschlussinhaber einer bestimmten Anschlusskennung im Ausland festzustellen. Während aufgrund der (internationalen) Vorwahlen noch das betreffende Land sowie (bei Festnetzanschlüssen) auch die Stadt/Region ohne unverhältnismäßigem Aufwand festgestellt werden können, gilt dies für die Feststellung des konkreten ausländischen Anschlussinhabers nicht mehr. Häufig fehlt es in den relevanten ausländischen Staaten an aktuellen, vollständigen Rufnummernverzeichnissen wie man sie aus Deutschland kennt.

Die Bewertung eines nicht mehr verhältnismäßigen Aufwandes wird auch dadurch gestützt, dass es sich bei den weitergeleiteten Metadaten, soweit sie nicht ohnehin lediglich technische Parameter und somit schon deshalb keine personenbezogenen Daten darstellen, um Daten in einem Rohzustand handelt, die vor ihrer Verwertung erst technisch aufbereitet werden müssen.

3. Datenübermittlung an NSA nach § 9 Abs. 2 BNDG i. V. m. § 19 Abs. 3 BVerfSchG

Selbst wenn man von einer Erhebung personenbezogener Daten im Inland und den anfallenden Metadaten als personenbezogenen Daten ausginge, wäre ausreichende Rechtsgrundlage § 9 Abs. 2 BNDG i. V. m. § 19 Abs. 3 BVerfSchG. Hiernach darf der BND personenbezogene Daten an ausländische öffentliche Stellen sowie an über- und zwischenstaatliche Stellen übermitteln, wenn die Übermittlung zur Erfüllung seiner Aufgaben oder zur Wahrung erheblicher Sicherheitsinteressen des Empfängers erforderlich ist. Die Übermittlung unterbleibt, wenn auswärtige Belange der Bundesrepublik Deutschland oder überwiegende schutzwürdige Interessen des Betroffenen entgegenstehen.

Die an die NSA weitergeleiteten Metadaten werden zum einen in Afghanistan durch eine dortige Satellitenempfangsanlage und durch dortiges Abgreifen von Richtfunkstrecken erhoben. Sie dienen vorrangig dem Schutz von Leib und Leben der in Afghanistan eingesetzten deutschen und alliierten Streitkräfte. Soweit zum anderen die Satellitenempfangsanlagen in Bad Aibling von ausländischen Satelliten neben Verkehren der Region Afghanistan/Pakistan auch andere Regionen aufklären, so liegen diese jedenfalls im Auftrag der Bundesregierung für den BND. So handelt es sich beispielsweise um [geschwärzt]

Im Rahmen der nach § 19 Abs. 3 BVerfSchG anzustellenden Güterabwägung ist somit beachtlich, dass nur Metadaten von Telekommunikationsverkehrsbeziehungen erfasst werden, bei denen aufgrund der Gefahren- bzw. Krisengebietsbezogenheit von einer potentiellen Relevanz für die Wahrung erheblicher Sicherheitsinteressen des Empfängers ausgegangen werden kann.

Verglichen mit dem „klassischen“ Fall der Übermittlung personenbezogener Daten gemäß § 19 Abs. 3 BVerfSchG, den der Gesetzgeber vor Augen hatte, nämlich der Übermittlung konkreter Einzelhinweise zu bestimmten, namentlich bekannten Personen, sind die im Rahmen der Weitergabe von Metadaten übermittelten Erkenntnisse von einer sehr viel geringeren Konkretheit bzw. Tiefe. Insbesondere zu einer Nutzung zu Lasten eines Betroffenen unter Missachtung dessen überwiegender schutzwürdiger Interessen im Sinne der Übermittlungsbestimmungen sind die übermittelten Metadaten grundsätzlich nicht geeignet.

Es kann somit festgestellt werden, dass (in der Gesamtschau den gesetzlichen Übermittlungsvoraussetzungen des § 9 Abs. 2 BNDG i. V. m. § 19 Abs. 3 BVerfSchG Rechnung getragen wird.

---

Vermerk: Besprechung heute (6. August 2013) mit AL 6, SV AL 6, Präs BND

Datum: 6. August 2013

Betreff: WG: WG: Übermittlung von Aufkommen an ausländische öffentliche Stellen außerhalb des Geltungsbereichs des Art. 10 GG
Vermerk: Besprechung heute (6. August 2013) mit AL 6, SV AL 6, Präs BND:

AL 6 und Präs BND bekräftigten die im beiliegenden Vermerk dargestellte Rechtsauffassung zu Punkt 1 und 2 (keine Geltung BNDG, keine personenbezogene Daten). Ich habe mehrfach ausführlich begründet, warum diese Rechtsauffassungen m. E. nicht vertretbar sind. Zudem habe ich darauf hingewiesen, dass es aus meiner Sicht keine gute Beratung von ChefBK darstellt, ihm diese Argumentation vorzuschlagen (Gefahr der kritischen Perzeption im PKGr und Öffentlichkeit). Stattdessen sollte § 19 Abs. 3 BVerfSchG als Rechtsgrundlage herangezogen werden.

Im Ergebnis blieben AL 6 und Präs BND bei ihrer Meinung und ihrem Vorhaben, die Argumentation auf das beigefügte Rechtsgutachten zu stützen.

Christina Polzin

---

Bewertung Kurzgutachten (BND) zur Weitergabe von Metadaten an AND

Datum: 7. August 2013
Autorin: Bundeskanzleramt, Referat 601

1. Die Formulierung in der Vorbemerkung „[…]. Eine Übermittlung von Daten von deutschen Telekommunikationsverkehren, die dem Fernmeldegeheimnis nach Art. 10 GG unterfallen, wird damit verhindert. […]“ legt nahe, dass es auch deutsche Telekommunikationsverkehre geben könnte, die nicht dem Fernmeldegeheimnis nach Art. 10 GG unterliegen. Dem ist nicht so. Hier wird davon ausgegangen, dass auch BND diese Ansicht teilt. Anderes ist hier nicht bekannt.

2. BND legt im Folgenden unter Ziff. 1. „Erhebung im Ausland“ dar, dass für im Ausland erhobene Daten ein grundsätzlich anderes Rechtsregime Anwendung finde, als für Daten, welche im Geltungsbereich des BNDG (Inland) erhoben würden. Er begründet dies unter Verweis auf das Volkszählungsurteil des BVerfG mit der auf Inland und deutsche Staatsbürger beschränkten Grundrechtsgeltung, hier des Rechts auf informationelle Selbstbestimmung, Art. 2 Abs. 1 i. V. m. 1 Abs. 1 GG. Sofern der Lebenssachverhalt ausschließlich auslandsbezogen sei, könne das BNDG keine Geltung beanspruchen, es bedürfe auch keiner Befugnisnorm zum Eingriff in ein Grundrecht. Der potentiell betroffene Ausländer sei kein Grundrechtsträger. Diese Meinung habe der historische Gesetzgeber des BNDG in der Vorschrift des § 1 Abs. 2 S. 2 BNDG zum Ausdruck gebracht: Soweit im Geltungsbereich des Gesetzes Informationen einschließlich personenbezogener Daten erhoben werden, so richtet sich ihre Erhebung, Verarbeitung und Nutzung nach den §§ 2 bis 6 und 8 bis 11 (BNDG). E contrario folge hieraus, dass das BNDG keine Anwendung finde, wenn die Daten nicht im Geltungsbereich dieses Gesetzes – sprich im Ausland – erhoben würden. Eine Regelung für im Ausland erhobene Daten sei dem Gesetzgeber auch aufgrund des völkerrechtlichen Souveränitätsprinzips verwehrt. Ein solcher Fall liege bei den ausschließlich auf ausländische Lebenssachverhalte ausgerichteten Datenerhebungen im Kontext Bad Aibling vor. Die Datenerfassung – mithin auch die Erhebung der Daten im rechtlichen Sinne – finde an sich im Ausland befindlichen Richtfunkstrecken sowie Satellitenempfangsanlagen statt. Im Anschluss erfolge lediglich eine Weiterleitung nach Bad Aibling. Das BNDG finde somit auf diese Daten keine Anwendung. Insbesondere sei BND auch nicht an die Übermittlungsvorschriften – hier § 9 BNDG mit der Verweisung auf § 19 Abs. 3 BVerfSchG (Übermittlung an ausländische öffentliche Stellen) – gebunden. Andere rechtliche Regelungen, die mglw. für den Umgang mit den entsprechenden Daten Geltung beanspruchen könnten, finden im Kurzgutachten keine Erwähnung.

3. Rechtlich ist diese Ansicht m. E. kaum vertretbar.

– Dies selbst dann, wenn man die im Kurzgutachten vertretene Meinung teilt, dass BNDG nicht gilt, sofern die Daten im Ausland erhoben werden: Ein Erheben von Daten im datenschutzrechtlichen Sinne ist das Beschaffen von Daten über einen Betroffenen, also eine zielgerichtete „Aktivität, durch die die erhebende Stelle Kenntnis von den betreffenden Daten erhält oder Verfügung über diese begründet“ (Simitis, BDSG, 2011, § 3 Rn. 102 m. w. N.). Unter Zugrundelegung der Angaben des BND werden die Daten zwar technisch im Ausland ersterfasst. Ihrer Zweckbestimmung (Auswertung, Speicherung, Übermittlung im Sinne datenschutzrechtlicher Verarbeitung) können sie jedoch lediglich im Anschluss an die weitere Erfassung der Daten durch die Satellitenempfangsanlagen in Bad Aibling zugeführt werden. Erst hier ist der technisch erforderliche Vorgang abgeschlossen, so dass die erhebende Stelle (BND) „Kenntnis von den betreffenden Daten erhält“ (s. o.). Die Erhebung ist mithin nicht schon im Ausland, sondern erst im Inland zur Vollendung gelangt. Die sich im Ausland befindliche Erfassunganlage ist lediglich ein notwendiger Mittler zur Erhebung der Daten; abgeschlossen ist diese dort jedoch nicht.

– Zwar ist die grundrechtsdogmatisch und am Wortlaut des § 1 Abs. 2 S. 2 BNDG orientierte im Kurzgutachten niedergelegte Meinung durchaus praxisorientiert und findet im spärlich vorhandenen Schrifttum auch Erwähnung (vgl. Krieger, Die Reichweite der Grundrechtsbindung bei nachrichtendienstlichem Handeln, Berliner Online-Beiträge zum Völker- und Verfassungsrecht Nr. 1/2008, 10 f., freilich unter Beschränkung auf die Datenerhebung und unter Zugrundelegung des Erfordernisses eines weiteren mglw. verfassungsunmittelbaren und/oder völkerrechtlichen Rechtsrahmens für die Erhebung von Daten im Ausland). Die Annahme, dass aus den geschilderten Argumenten folge, dass Grundrechte unter den beschriebenen Umständen keinerlei Geltung beanspruchen, erscheint jedoch nicht vertretbar. So geht schon das aus § 1 Abs. 2 b. 2 BNDG abgeleitete Wortlautargument gekoppelt mit dem erwähnten e contrario Schluss des Verfassers fehl. Für im Ausland erhobene Daten müsste nach der im Kurzgutachten dargelegten Meinung gelten: Ihre Erhebung, Verarbeitung und Nutzung richtet sich nicht nach den §§ 2 bis 6 und 8 bis 11. Fände § 11 BNDG jedoch keine Anwendung, würde sich die rechtliche Beurteilung der sich unbestritten physikalisch in Deutschland (sprich im Geltungsbereich deutscher Gesetze) befindlichen personenbezogenen Daten nach den Vorschriften des BDSG richten. Eine Anwendung des BDSG – hier insbesondere der Übermittlungsvorschriften – erstrebt der Verfasser des Kurzgutachtens jedoch erkennbar nicht.

– Der vom Verfasser des Kurzgutachtens angenommene Ausschluss des Rechts auf informationelle Selbstbestimmung gemäß Art. 2 Abs. 1 i. V. m. 1 Abs. 1 GG ist auch aus verfassungsrechtlichen Gründen für in Deutschland vorhandene Daten nicht vertretbar. Zwar erscheint die Frage durchaus berechtigt, welcher Rechtsrahmen für die bloße Erhebung sofern sie ausschließlich im Ausland erfolgt, gilt (auf die bloße Erhebung, nicht auf die Verarbeitung stellt auch der Wortlaut des § 1 Abs. 2 S. 2 BNDG ab; eine solche Erhebung im Ausland liegt jedoch hier nicht vor, s. o.). Jede weitere Verarbeitung – insbesondere auch die Übermittlung – ist jedoch auch grundrechtsrelevant im Sinne eines Eingriffs in den Schutzbereich der Art. 2 Abs. 1 i. V. m. 1 Abs. 1 GG (so schon seit dem Volkszählungsurteil st. Rspr. BVerfG, beispielhaft: BVerfG 100, 313 ff.). Ein derartiger Eingriff kann mithin nur bei vorhandener Befugnisnorm verfassungsrechtlich gerechtfertigt sein. Eine solche stellt im hiesigen Übermittlungskontext (Übermittlung von Daten an ausländische öffentliche Stellen) § 9 BNDG i. V. m. § 19 Abs. 3 BVerfSchG dar. Verarbeitung und Nutzung von Daten in Deutschland unterfallen mithin den Vorschriften des BNDG; auch sofern sie einen ausländischen Lebenssachverhalt betreffen.

– Auch das Argument des Verfassers, eine Regelung für im Ausland erhobene Daten sei dem Gesetzgeber des BNDG aufgrund des völkerrechtlichen Souveränitätsprinzips verwehrt, geht mithin fehl. Beim in Rede stehenden Sachverhalt handelt es sich gerade nicht um die Erhebung der Daten im Ausland, sondern um die Verarbeitung (hier Übermittlung) der Daten im Inland. Dass der deutsche Gesetzgeber diesen Vorgang einer gesetzlichen Regelung zuführen kann, scheint unbestreitbar.

– Dies deckt sich auch mit der von BKAmt und BND seit Inkrafttreten des BNDG vertretenen Rechtsansicht: „Verarbeitung von Informationen unabhängig vom Erhebungsort: § 2 BNDG enthält die Befugnis zur Verarbeitung aller Informationen, unabhängig davon, ob diese im In- oder Ausland erhoben worden sind. Bei der Verarbeitung wird nicht wie bei der Erhebung nach dem Ort der jeweiligen Tätigkeit differenziert. Bei der Übermittlung sind jedoch stets die §§ 9, 10 BNDG zu beachten.“ (BKAmt, Verfügung vom 13. Juli 1995, 611-15100-Bu 11/95).

4. In praktischer Hinsicht hätte die vom Verfasser des Kurzgutachtens vertretene Rechtsmeinung für den BND weitreichende Folgen. Sie steht im Widerspruch zur bisherigen auf der hier dargelegten Rechtsmeinung gründenden Verfahrensweise des BND und entspricht auch nicht den von BKAmt genehmigten Dienstvorschriften (hier insb. die sog. „DV Übermittlung“).

– Würde BND auch bei der Datenverarbeitung grundsätzlich zwischen Daten differenzieren, die er im Ausland oder im Inland erhoben hat, müsste er seine Dateilandschaft grundsätzlich umgestalten. So müsste ein Dateisystem für Auslandsdaten vorgehalten werden (keine Löschfristen, keine Prüfkompetenz BfDI, keine Übermittlungsbeschränkungen etc.) sowie ein Dateisystem für nach BNDG zu verarbeitenden Daten. Ein solches Dateisystem besteht nicht. Eine entsprechende Differenzierung müsste auch dem BfDI und mithin öffentlichkeitswirksam kommuniziert werden. Für den BfDI würde eine solche Umstellung eine weitgehende Einschränkung seiner Prüfkompetenz bedeuten. So erhebt der BND tatsächlich die meisten Daten im Ausland. Die einer rechtlichen Regelung (BNDG) unterworfenen Daten würden lediglich einen vergleichsweise geringen Restbestand ausmachen.

– Desweiteren müssten die dienstinternen Vorschriften zum Datenschutz grundlegend überarbeitet werden. Sie gehen von einer umfassenden Datenverarbeitung nach BNDG aus.

5. Zu bedenken sind nicht zuletzt die politischen Implikationen der im Kurzgutachten geäußerten Rechtsmeinung:

– Mit einer juristisch m. E. kaum zu bestehenden intensiven öffentlichen Diskussion (BfDI, BMJ, Presse) und entsprechend negativen Auswirkungen auf Ansehen und Tätigkeit des BND (insb. Schaffung neuer, restriktiver gesetzlicher Grundlagen) wäre zu rechnen.

– Der deutsche Rechtsstandard in datenschutzrechtlicher Sicht würde hinter den Rechtsstandard der USA und GBR zurückfallen (entsprechende Regelungen sind insb. in GBR als vergleichbarem EU-Staat vorhanden, Intelligence Service Act von 1994).

– Bisher getätigte Äußerungen („Stärke des Rechts…“) würden relativiert.

6. Die in Ziff. 2 geäußerte Ansicht, dass es sich bei den erfassten Metadaten (Verbindungsdaten, insb. auch Rufnummern, Mailadressen etc) nicht um personenbezogene Daten handle, ist rechtlich nicht vertretbar. So erscheint ausgeschlossen, dass kein einziges der angefallenen Daten zu keinem Zeitpunkt durch den BND auf eine bestimmbare natürliche Person zurückgeführt werden könnte (vgl. zur Definition personenbezogener Daten: Simitis, BDSG, 2011, § 3 Rn 4 ff., Gola/Schumerus, BDSG, 2012, § 3, Rn 2 ff. m. w. N.). Insbesondere schließt die erforderliche technische Aufbereitung des im Kurzgutachten beschriebenen Rohdatenstroms die Bestimmbarkeit nicht aus. So ist die technische Aufbereitung nichts Anderes als die tatsächliche Umsetzung des rechtlichen Erfordernisses der Bestimmbarkeit. Sie wohnt dem Begriff inne.

---

Tätigkeit von bzw. Kooperation mit ausländischen Sicherheitsbehörden, insbesondere Nachrichtendiensten (AND)

Datum: 08. August 2013
Autorin: Gabriele Löwnau, Referatsleiterin beim BfDI für Datenschutz in den Sicherheitsbehörden
Empfänger: Bundeskanzleramt und BND

Bezug:

1. Medienberichte – u.a. www.heise.de vom 07.08.2013; taz.de
2. Bisheriger Schriftverkehr – zuletzt mein Schreiben vom 22.07.2013 – Az. wie vor

Unter Bezugnahme auf aktuelle Medienberichte (Bezug 1) bitte ich in Ergänzung meiner Schreiben (Bezug 2) um Mitteilung bzw. Übersendung folgender ergänzender Informationen bis

zum 12. August 2013 DS.

Mit Zustimmung des Bundeskanzleramtes soll der BND mit der NSA bzw. US-Stellen, insbesondere im Jahr 2002, Vereinbarungen zur Zusammenarbeit u.a. am BND-Standort im bayerischen Bad Aibling geschlossen haben. Ich bitte um die Übersendung dieser Vereinbarung(en) und die Beantwortung folgender Fragen:

1. Auf welcher/welchen Rechtsgrundlagen basiert diese Zusammenarbeit? Sollte insoweit § 9 Abs. 2 BNDG i. V. m. § 19 Abs. 4 Sätze 2 bis 5 BVerfSchG als Rechtsgrundlage fungiert haben, bitte ich um detaillierte Darlegung, wie die Voraussetzungen des § 19 Abs. 4 Sätze 3 bis 5 BVerfSchG umgesetzt worden sind. Diese lauten wie folgt:
   

   Das Bundesamt für Verfassungsschutz führt einen Nachweis über den Zweck, die Veranlassung, die Aktenfundstelle und die Empfänger der Übermittlungen nach Satz 1. Die Nachweise sind gesondert aufzubewahren, gegen unberechtigten Zugriff zu sichern und am Ende des Kalenderjahres, das dem Jahr ihrer Erstellung folgt, zu vernichten. Der Empfänger darf die übermittelten Daten nur zu dem Zweck verwenden, zu dem sie ihm übermittelt worden sind. Der Empfänger ist auf die Verwendungsbeschränkung und darauf hinzuweisen, dass das Bundesamt für Verfassungsschutz sich vorbehält, um Auskunft über die Verwendung der Daten zu bitten.

   Insbesondere bitte ich die nach § 19 Abs. 4 Satz 3 BVerfSchG zu führenden Unterlagen zu übersenden, keine Löschungen nach § 19 Abs. 4 Satz 4 BVerfSchG durchzuführen, noch zu löschende Daten ausschließlich für meine datenschutzrechtliche Kontrolle zu sperren und mitzuteilen, inwieweit und welche konkreten Maßnahmen durch das BKAmt und/oder den BND nach § 19 Abs. 4 Satz 5 BVerfSchG getroffen worden sind. Ich bitte zudem um Mitteilung, inwieweit sich der behördliche Datenschutzbeauftragte des BND mit dieser Thematik bereits befasst und welche Maßnahmen er mit welchen Ergebnissen insoweit durchgeführt hat?

2. Wie ist diese Zusammenarbeit inhaltlich konkret ausgestaltet und in der Praxis durchgeführt worden? Welche (Arten) personenbezogener Daten sind in welchem Umfang (Anzahl) auf dieser Grundlage an US-Stellen übermittelt worden?
3. Wann, in welcher Form und mit welchem Inhalt hat das Bundeskanzleramt die nach § 9 Abs. 2 Satz 1 2. Halbsatz BNDG erforderliche Zustimmung erteilt? Wann, in welcher Form und mit welchem Inhalt sind die entsprechenden Zustimmungen vom BND beantragt worden?

Abhängig von den Stellungnahmen behalte ich mir kurzfristige, umfängliche Kontrollen auch vor Ort ausdrücklich vor.

Im Auftrag
Löwnau

---

Mailverkehr I: Kooperation mit ausländischen Sicherheitsbehörden

Von: Christina Polzin
An: Hans-Jörg Schäper; Günter Heiß
Datum: 8. August 2013, 11:08
Cc: Philipp Wolff; ██████

Betreff: WG: Kooperation mit ausländischen Sicherheitsbehörden

Anbei ein soeben eingegangenes Schreiben des BfDI. BfDI vermutet § 9 Abs. 2 BNDG i. V. m. § 19 Abs. 4 BVerfSchG sei die Rechtsgrundlage für die Übermittlungen des BND in Bad Aibling an die NSA.

Hinweis: Anders als bei den Überlegungen des Referates 601 stellt BfDI auf § 19 Absatz 4 BVerfSchG (Übermittlung an andere Stellen) ab, nicht auf § 19 Abs. 3 (Übermittlung an ausländische öffentliche Stellen).

Beide Absätze unterscheiden sich in folgender Hinsicht: Nach Absatz 3 ist keine Zustimmung des BK-Amtes erforderlich, nach Abs. 4 ist diese erforderlich.

M. E. ist es richtig anzunehmen, dass die NSA eine „öffentliche ausländische Stelle“ i. S. d. Absatzes 3 ist. Es ist daher nicht nachvollziehbar, dass der BfDI hier auf Absatz 4 (strengere Voraussetzungen als nach Absatz 3) abstellt. Unabhängig davon erwartet BfDI bis zum 12. August eine Antwort auf die Frage nach der Rechtsgrundlage der Übermittlungen. Er betont, dass er sich eine kurzfristige Kontrolle vor Ort vorbehält (Das Recht auf jederzeitigen Zutritt zu den Dienststellen und Einsicht in entsprechende Unterlagen hat er gem. § 24 Abs. 4 BDSG. Lediglich G-10-Daten unterliegen gem. § 24 Abs. 2 Satz 3 BDSG NICHT seiner Kontrolle).

Ein kurzfristiger Kontrollbesuch des BfDI in Bad Aibling sowie kritische Medienberichterstattung im Fall einer aus BfDI-Sicht unzureichenden Beantwortung können nicht ausgeschlossen werden.

Wie soll verfahren werden?
Viele Grüße,
Christina Polzin

---

Mailverkehr II: Kooperation mit ausländischen Sicherheitsbehörden II

Von: Hans-Jörg Schäper
An: Christina Polzin; Günther Heiß
Datum: 8. August 2013, 11:39
Cc: Philipp Wolff; ██████

Betreff: AW: Kooperation mit ausländischen Sicherheitsbehörden

Liebe Frau Polzin,

m. E. sollten wir das Vorgehen mit Herrn Heiß besprechen. Wir müssen berücksichtigen, dass die Vereinbarung eingestuft und als Schutzwortvorgang nur dem berechtigten Personenkreis zugänglich gemacht werden darf.

Zudem sind die Kontrollrechte zu bewerten. So ist das Einsichtsrecht nach Abs. 1 auf personenbezogene Daten beschränkt.

Beste Grüße
Hans-Jörg Schäper

---

Mailverkehr III: Kooperation mit ausländischen Sicherheitsbehörden III

Von: Christina Polzin
An: Hans-Jörg Schäper; Günther Heiß
Datum: 9. August 2013, 15:35
Cc: Philipp Wolff; ██████

Betreff: AW: Kooperation mit ausländischen Sicherheitsbehörden

Lieber Herr Schäper, lieber Herr Heiß,

aus Anlass des neuen BfDI-Schreibens haben wir uns über den Umfang der Kontrollrechte des BfDI und insbesondere um die Problematik eines möglicherweise bevorstehenden Kontrollbesuches in Bad Aibling Gedanken gemacht. Dazu folgende Anmerkungen:

BfDI will mit dem aktuellen Schreiben wissen, auf welcher Rechtsgrundlage BND die dort anfallenden Daten an NSA übermittelt. Sollte die Antwort deutlich über die von BfDI gesetzte Frist hinaus (12. August) ausbleiben, ist davon auszugehen, dass BfDI zeitnah die Öffentlichkeit darüber informieren wird, dass BND und BKAmt sich nicht in der Lage sehen, ihm die der Tätigkeit des BND in Bad Aibling zugrunde liegende Rechtsgrundlage zu nennen.

Sollte BfDI eine Antwort dahingehend erhalten, dass die datenschutzrechtlichen Vorschriften nicht gelten (vgl. BND-„Kurzgutachten zur Weitergabe von Metadaten an AND“), ist mit sehr kritischer öffentlicher Reaktion durch BfDI zu rechnen. Die Kontrollkompetenz des BfDI ist umfassend und beinhaltet gem. § 24 Abs. 1 BDSG die Kontrolle der „Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz.“ Man wird dem BfDI seine Kontrollbefugnis hinsichtlich des Umgangs mit personenbezogenen Daten in Bad Aibling also nicht absprechen können. BfDI könnte jederzeit eine datenschutzrechtliche Kontrolle der Dienststelle Bad Aibling ankündigen – mglw. noch nächste Woche. Hierzu fühlt er sich rechtlich eventuell sogar verpflichtet: Seine Kontrollbefugnis nach § 24 BDSG korreliert zur Klärung dringender datenschutzrechtlicher Fragen mit einer Kontrollverpflichtung (so auch die einschlägigen Kommentare).

Gründe, warum BfDI aus rechtlichen Gründen in Bad Aibling keine Kontrollbefugnis haben könnte, bestehen nur theoretisch: Nach § 24 Abs. 4 S. 4 BDSG könnte BKAmt – vergleichbar mit einer Sperrerklärung – im Einzelfall feststellen, dass Auskunft, Einsicht und Zutritt verweigert werden können, sofern dadurch die Sicherheit des Bundes gefährdet wird. Öffentlich zu argumentieren, ein Besuch des BfDI in Bad Aibling würde die Sicherheit des Bundes gefährden, erscheint jedoch nicht denkbar.

Ebensowenig kann man mit „Geheimschutz“ argumentieren, denn entsprechende Ermächtigungen liegen bei BfDI natürlich vor.

Gruß,
Christina Polzin

---

Anfragen BfDI wegen PRISM u.a. – hier: Übermittlungen BND an NSA, Bad Aibling

Autor: Philipp Wolff
Datum: 13. August 2013

I. Votum

Kenntnisnahme.

II. Sachverhalt

BfDI hat mit zwischenzeitlich drei Schreiben an Bundeskanzleramt und Bundesnachrichtendienst vom 5. Juli (Anlagen 1 und 2), 23. Juli (Anlage 3) und 8. August 2013 (Anlage 4) Fragen tatsächlicher und rechtlicher Art insbesondere zur Übermittlung von Daten des BND an ausländische Nachrichtendienste gestellt. Das zuletzt übersandte Schreiben beschränkt sich auf die Übermittlung von in Bad Aibling anfallenden Daten des BND an die NSA.

Im Schreiben vom 5. Juli 2013 hat BfDI um „kurzfristige“ Beantwortung gebeten. Im Schreiben vom 23. Juli hat BfDI eine Frist zur Beantwortung bis zum 9. August, im Schreiben vom 8. August 2013 bis zum 12. August 2013 gesetzt. Im zuletzt übersandten Schreiben behält sich BfDI „abhängig von den Stellungnahmen“ eine „kurzfristige, umfängliche Kontrolle auch vor Ort“ in Bad Aibling vor. Bisher haben BND/BKAmt auf die Schreiben nicht geantwortet. Telefonisch wurde auf eine andauernde Prüfung verwiesen.

III. Bewertung

Abt. 6 beabsichtigt, BfDI nun schriftlich mit Email auf Arbeitsebene auf die noch andauernde Prüfung seiner umfangreichen Fragen zu verweisen: Sobald eine umfassende, abgestimmte Antwort auf die teilweise komplexen Fragen (genaue Angaben zu Fallzahlen von Übermittlungen, Datenvolumina) möglich sei, werde man diese BfDI mitteilen.

Inwiefern BfDI eine solche Antwort zunächst akzeptiert, kann hier nicht beurteilt werden. Insbesondere scheint denkbar, dass er entsprechend dem von ihm geäußerten Vorbehalt im Schreiben vom 8. August seine Kontrollbefugnis aus § 24 BDSG wahrnimmt und eine kurzfristige Datenschutzkontrolle in Bad Aibling ankündigt. In diesem Zusammenhang wären zumindest die gesetzlichen Grundlagen der Übermittlung von Bad Aibling-Daten des BND an die NSA darzulegen – auch die Frage der Anwendbarkeit datenschutzrechtlicher Vorschriften.

Auch wäre in diesem Zusammenhang zu entscheiden, inwiefern eine Kontrolle des BfDI am Standort in Bad Aibling grundsätzlich abzulehnen wäre. Das Bundesdatenschutzgesetz (BDSG) sieht die Möglichkeit vor, sowohl Zutritt als
auch Auskunft zu verweigern, sofern die oberste Bundesbehörde (hier BKAmt) feststellt, dass die Auskunft oder Einsicht die Sicherheit des Bundes oder eines Landes gefährden würde (mglw.: Force Protection AFG in Kooperation mit USA, XKeyscore), § 24 Abs. 4 S. 4 BDSG. Sofern datenschutzrechtliche Vorschriften nicht zur Anwendung gebracht würden, erscheint es auch denkbar, dass BfDI generell nicht zur Kontrolle des Standorts befugt ist (BfDI kontrolliert lediglich die Einhaltung der Vorschriften über den Datenschutz, § 24 Abs. 1 a.E.; er hat keine darüber hinausreichende allgemeine Prüfkompetenz).

Nicht auszuschließen ist, dass der BfDI sich zeitnah öffentlichkeitswirksam dahingehend äußert, dass BND/BKAmt die von ihm angefragte Rechtsgrundlage der Übermittlung von Daten an die NSA nicht mitteilen – trotz entsprechender gesetzlicher Verpflichtung aus § 24 Abs. 4 BDSG.

Wolff

---

Datenschutzrechtliche Beratung und Kontrolle gern. §§ 24, 26 Abs. 3 BDSG der Datenerhebung und -verwendung von personenbezogenen Daten in der Dienststelle Bad Aibling

Datum: 19. November 2013

Von: BfDI
An: BNDPr Schindler

Sehr geehrter Herr Schindler,

zum Zweck der datenschutzrechtlichen Beratung und Kontrolle beabsichtige ich, durch meine Mitarbeiter Frau MR’n Löwnau, Herrn RD Dr. Kremer, Herrn RD Ernestus und Frau RAR’n Perschke in der Zeit vom 2. bis 3. Dezember 2013 einen zweitägigen Besuch beim Bundesnachrichtendienst in Bad Aibling durchzuführen. Schwerpunkte der Beratung und Kontrolle ist die Erhebung, Verwendung und Übermittlung personenbezogener Daten an ausländische, insbesondere US-amerikanische Stellen. Von besonderem Interesse ist die Verwendung des Analysetools XKeyscore zur Verarbeitung personenbezogener Daten.

Bezüglich der weiteren Einzelheiten des Besuchs werden sich meine Mitarbeiter rechtzeitig mit dem behördlichen Datenschutz Ihrer Behörde in Verbindung setzen.

Ich bitte, meinen Mitarbeitern bei der Durchführung des Besuchs die notwendige Unterstützung zu gewähren.

Mit freundlichen Grüßen

Peter Schaar

---

Ergebnisprotokoll: Vorbesprechung des Kontrollbesuchs des BfDI in Bad Aibling am 02.12. und 03.12.2013

Ort: BND (LGSW)
Datum: 25. November 2013
Beginn: 13:00 Uhr
Ende: 15:00 Uhr
Verfasser: ██████

Teilnehmer: BND

• Frau RD‚in Dr. F. (behördliche Datenschutzbeauftragte BND) und Mitarbeiterin
• Herr B. (UAL TA)
• Herr RD Dr. K. (PLSA)
• Herr RD G. (PLSD)
• Herr ORR F. (TAG)
• Frau RR‚in S. (TAG)

BKAmt

• Herr RD Wolff (Referat 601)
• ██████ (Referat 601)
• ██████ (Referat 603)

Thema: Vorbesprechung des Kontrollbesuchs des BfDI in Bad Aibling am 02.12. und 03.12.2013

Besprechungsergebnisse:

Frau Dr. F. begrüßt alle Anwesenden und führt folgendes aus:

• Der BND wird auf Entscheidung des PrBND beim Kontrollbesuch des BfDI in Bad Aibling den Standpunkt vertreten, dass das BNDG bei der Übermittlung von Daten an die USA, die über Satellit erhoben wurden, keine Anwendung findet. Und zwar, weil die Erfassung dieser Daten nicht auf deutschem Boden und damit außerhalb des Geltungsbereichs des BNDG erfolgte (sog. Weltraumtheorie).
• Diese Linie des PrBND wird auch vom BKAmt (Abt. 6) und der Hausleitung des BKAmtes getragen.
• Für den Fall, dass der BfDI diese Linie nicht mitträgt, soll deutlich gemacht werden, dass trotzdem datenschutzrechtliche Maßnahmen bei der Übermittlung von Kommunikationsdaten an die USA seitens des BND getroffen werden.

Zur Praxis der Datenerhebung und der technischen Umsetzung in Bad Aibling berichtet Herr B. folgendes:

• Die USA haben dem BND die technische Anlage in Bad Aibling zur weiteren Nutzung überlassen (MoU).
• Die Erfassung von Kommunikationsdaten an entsprechenden Übertragungssatelliten ist keine Spezialfähigkeit des BND, sondern kann bspw. auch von der NSA selbst durchgeführt werden.
• Vor Übermittlung der erhobenen Daten an die USA wird ein mehrstufiger Filterprozess durchlaufen/die USA erhalten vom BND keinen sog. „Fulltake“:

  Erfassungen aus dem Ausland (z. B. Afghanistan) ohne Deutschlandbezug und ohne Beteiligung deutscher Staatsbürger werden als sog. Rohdatenstrom an die USA übermittelt.

  Zudem werden auf vorher ausgesuchten Satellitenstrecken Metadaten (Verkehrsdaten) erfasst und nach einer G-10-Filterung (hier: Positiv-/Negativ-Liste, E-Mailadressen, IP-Adressen) an die USA übermittelt.

  Inhaltsdaten werden ebenfalls nur auf vorher festgelegten Satellitenstrecken erfasst und nach deutschen und europäischen Interessen sowie nach G-10-Gesichtspunkten gefiltert und anschließend an die USA übermittelt.

Das BKAmt weist darauf hin,

• dass der Datenaustausch nicht auf Grundlage des MoU (2002) erfolgt, sondern auf deutschem Recht basiert.
• dass dem BfDI deutlich gemacht werden sollte, dass der BND keine Übermittlungen vergleichbar mit § 19 Abs. 4 BVerfSchG (an andere Stellen / Privat) ausführt.

Frau Dr. F. weist ergänzend darauf hin, dass es sich bei dem Programm „XKeyscore“ beim BND nicht um eine dateianordnungspflichtige Datei, sondern um ein sog. Auswertetool handelt. Die in XKeyscore kurzfristig gespeicherten Daten werden alle in Dateien beim BND überführt, für die bereits Dateianordnungen bestehen (z. B. Deista, INBE oder PBDB).

Im Auftrag

██████