Wenn eine Behörde aus dem Ausland wissen will, wer hinter der IP-Adresse eines deutschen Internetproviders steckt, meldet sie sich beim Bundeskriminalamt. Das BKA kann dann Auskunft beim Anbieter einholen und an die ausländische Polizei weiterleiten. Es darf aber nicht einfach auf alle Anfragen reagieren. Vorher muss es prüfen, ob die Anfrage gerechtfertigt ist.
Das ist nicht immer ausreichend passiert, bescheinigt dem BKA ein Prüfbericht der Bundesdatenschutzbehörde. Die deutsche Polizei-Zentralstelle hat manchmal mit vorauseilendem Gehorsam auf die Anfragen ausländischer Behörden reagiert und Daten erhoben, obwohl die Auskunftswünsche „unsubstantiiert“ waren.
Um welche Fälle es geht und welche Behörde angefragt hatte, lässt sich aus dem Prüfbericht nicht herauslesen, die entscheidenden Beispiele sind geschwärzt. Der Europaabgeordnete Patrick Breyer von den Piraten hatte ihn über eine Informationsfreiheitsanfrage erhalten. Aus den ungeschwärzten Teilen lassen sich nur die groben Rahmenbedingungen herauslesen.
Datenerhebungen ohne konkreten Tatbestand
In einem Fall habe das BKA auf Anfrage einer ausländischen Behörde Kontaktpersonen eines Verdächtigen abgefragt, die im gleichen Haus wohnten oder schon einmal mit dieser Person in Kontakt standen. Ein strafrechtlich relevanter Zusammenhang zwischen der verdächtigten Person und den Betroffenen war aus den Anfragen, laut den Prüfer:innen, nicht ersichtlich.
Weiter führt der Bericht Fälle auf, in denen das BKA Bestandsdaten von großen Gruppen erhoben hatte, ohne dass ein spezifischer Verdacht bekannt war. Bei einer Versammlung, an der mutmaßliche „Anarchisten“ teilnehmen sollten, erhob das BKA personenbezogene Daten von mehreren Personen. Laut der Anfrage aus dem Ausland hatten einige Teilnehmer:innen die gleiche Telefonnummer benutzt – gegen die auf die Mobilnummer registrierte Person lagen aber weder Staatsschutzerkenntnisse noch ein konkreter Tatverdacht vor.
Schützt nur Anonymität vor falschem Verdacht?
Laut dem Bericht sind solche Anfragen als allgemeine Netzwerkdurchsuchung einzuordnen. Eine Datenerhebung sei in diesem Fall nur unter Angabe einer hinreichend konkretisierten Gefahrenlage zulässig.
Wenn das BKA vorschnell Daten erhebt, heißt das noch nicht, dass es diese Daten dann auch an die anfragende Behörde weiterleitet. Doch die Prüfer:innen empfehlen dem BKA, mit der Datenerhebung erst dann zu beginnen, wenn die ausländische Behörde klare Hinweise für einen Tatverdacht geliefert hat. Eine formelle Beanstandung gab es von der Datenschutzbehörde jedoch nicht: Laut dem Bericht gebe die Polizeibehörde nur „restriktiv Auskunft“ und fordere die ausländische Behörde vor der Übermittlung auf, ihre Anfrage zu konkretisieren, bevor die Daten schließlich übermittelt werden.
Nach Einschätzung von Patrick Breyer, Europaabgeordneter der Piratenpartei, „kundschaftet das BKA mithilfe der Bestandsdatenauskunft Personen aus, die einer Straftat nicht auch nur verdächtig sind, und liefert diese an ausländische Behörden aus – mit ungewissen Konsequenzen“. Laut Breyer bestätige sich mit diesem Bericht die Annahme, dass nur die Anonymität vor falschem Verdacht schütze. Ginge es nach dem Politiker, sollten anonyme SIM-Karten aus diesem Grund wieder erlaubt werden.
Dokumentationschaos beim BKA
Ein großes Problem sieht die Datenschutzbehörde in der Dokumentation der Datenerhebungen. So werden die Fälle je nach Organisationseinheit auf verschiedene Weise in diversen Verzeichnissen und Laufwerken abgespeichert und nicht im einheitlichen System. Manchen Fällen ist kein Aktenzeichen zugeordnet.
Wegen dieses Dokumationsdurcheinanders war es den Prüfer:innen auch nicht möglich, eine Stichprobe durchzuführen. Stattdessen suchte die entsprechende Organisationseinheit des BKA die Fälle zur Überprüfung heraus. Das ist nicht nur ein Problem für die Kontrolle, immerhin konnten die Prüfer:innen sich nicht selbst heraussuchen, was sie zu sehen bekommen. Das ist auch aus fachlicher Sicht ein großes Problem. Informationen, die auch für andere Abteilungen relevant sind, würden diesen nicht zur Verfügung stehen.
Die Dokumentation erfülle die erforderten Anforderungen nicht: „Unterlagen über Grundrechtseingriffe sind stets aktenrelevant“, tadelt die Bundesdatenschutzbehörde. Die Dokumentationspraxis: „dringend verbesserungswürdig“.
Folgen für die Täter: wie immer keine.
Genau für solche Fälle brauchen wir eine verdeutliche Verschärfung des Strafrechts im Falle eines Amtsmissbrauchs.
Ob der Staat eine Zukunft hat, sieht man an den Schadensersatzregelungen – vermutlich keine.
Je überbordender und kollateralbehafteter das Vorgehen wird, desto wichtiger sind angemessene Entschädigungen, sowie eine Beweislastverteilung, die nicht (gänzlich) auf den Schultern der Opfer ruht.