- Anzeigen -

Sie sind hier: Home » Recht » Datenschutz und Compliance

Bundesdatenschutzgesetz und Kontrollrecht


Prism & Co: Muss mir das Bundesinnenministerium antworten?
Das Bundesministerium des Innern (BMI) hat die Fragen von Peter Schaar zur Einbeziehung deutscher Behörden in Prism, Tempora und Xkeyscore nicht beantwortet


Von Peter Schaar, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)

(02.10.13) - Meine Aufgabe ist es, die Einhaltung der Vorschriften über den Datenschutz bei den Bundesbehörden zu kontrollieren. So sieht es § 24 Abs. 1 des Bundesdatenschutzgesetzes vor. Trotzdem hat das Bundesministerium des Innern (BMI) meine Fragen zur Einbeziehung deutscher Behörden in Prism, Tempora und Xkeyscore nicht beantwortet.

Die Behauptung des BMI, man habe meine Fragen nicht beantworten müssen, da der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit nicht zuständig sei, sondern die G-10 Kommission des Bundestags, trifft nicht zu.

Nach dem G-10 (vgl. § 15 Ab s. 5 Satz 2) Gesetz erstreckt sich die Kontrolle der G-10 Kommission auf die Erhebung, Verarbeitung und Nutzung der Daten, die nach dem G-10 Gesetz erlangt worden sind. Dies habe ich bei meinen Fragen beachtet, denn nur bezüglich der personenbezogenen G10-Daten habe ich gemäß § 24 Abs. 2 BDSG kein Kontrollrecht.

Dass die Behauptung des Bundesinnenministeriums, ich sei nicht zuständig, nicht zutrifft, verdeutlichen auch die Fragen, die ich in meinem späteren Schreiben an das BMI gestellt habe. Dort hatte ich u.a. unter Bezug auf Medienberichte zur Beantwortung folgender Fragen aufgefordert:

Haben der vom Spiegel (30/2013, S. 16 ff) berichtete regelmäßige Analyseaustausch zwischen BfV und NSA und die enge Kooperation dieser Behörden zur Verfolgung von deutschen und nichtdeutschen Extremisten stattgefunden? Welche personenbezogenen Daten (merke: die nicht nach dem G-10 Gesetz erhoben worden sind) sind insoweit übermittelt worden? Hat die NSA das BfV – wie vom SPIEGEL berichtetet – geschult, um die Fähigkeiten der Deutschen auszubauen, heimische Daten zu gewinnen, zu filtern und weiter zu verarbeiten? Wann, mit welchem Teilnehmerkreis und mit welchen Daten-(Beständen) erfolgte dies? Welche Technik (Hard- und Software) war bzw. ist Grundlage dieser Kooperation?

Mit Hinweis auf den Bericht im Deutschlandradio (Nachrichten, 21.07.2013, 18.00 Uhr) zum testweisen Einsatz einer Spähsoftware im BfV hatte ich auch um Informationen zu deren technischen Möglichkeiten, den verwendeten Daten und den eingesetzten Bereichen gebeten.

Ferner hatte ich Fragen zu Xkeyscore gestellt, da dieses Programm/System nach der o.g. Mitteilung des Spiegel (auch) im BfV zur Auswertung großer Datenbestände eingesetzt worden sein soll. Dabei hatte ich auch um die Beantwortung der Fragen gebeten, deren Beantwortung dem Spiegel unter Hinweis auf Geheimhaltungsgründe vorenthalten worden war.

Auch bezüglich der Telekommunikationsüberwachung habe ich ausdrücklich keine einzelfallspezifischen personenbezogenen Angaben abgefragt, sondern nur abstrakt um Auskunft gebeten, ob das Bundesamt für Verfassungsschutz (BfV) Daten aus bzw. im Zusammenhang mit Telekommunikationsverkehren (TKV) erhoben und diese an US-und/oder britische Stellen übermittelt hat. Nur so kann ich bewerten, ob Datenschutzvorgaben eingehalten wurden. Ferner habe ich um Mitteilung gebeten, in wie vielen Fällen, in welchem Umfang und auf welcher Rechtsgrundlage dies der Fall war.

Ergänzend habe ich gefragt, ob das BfV derartige Daten auch "im Auftrag" für Dritte erhoben hat und ob das Bundesinnenministerium über Kenntnisse verfügt, dass ausländische Stellen oder Personen personenbezogene Daten unmittelbar in Deutschland oder vom Ausland aus über inländische Personen erhoben haben. All dies fällt nicht in die ausschließliche Kontrollkompetenz der G10-Kommission.Alle diese Fragen blieben unbeantwortet – trotz mehrfacher Aufforderungen und Fristsetzungen. Aufgrund dieser wiederholten Weigerungen, die meine Arbeit massiv behindern, hatte ich keine andere Möglichkeit, als das BMI und BfV wegen Verstoßes gegen ihre gesetzlichen Mitwirkungspflichten gemäß § 25 BDSG zu beanstanden.

Ich denke, es spricht auch für sich, dass z.B. das Bundeskanzleramt, der Bundesnachrichtendienst und der Militärische Abschirmdienst die Beantwortung meiner Fragen nicht verweigert haben. Deren Antworten, die teilweise als Verschlusssachen eingestuft sind, werte ich zurzeit aus, um weitere Maßnahmen zu ergreifen.

Ich würde mich freuen, wenn das BMI seine rechtsirrige Ansicht korrigieren und mir die erbetenen Auskünfte doch noch erteilen würde. Schließlich handelt es sich um das für den Datenschutz zuständige Ministerium.
(BfDI: ra)

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • Facebook-Fanpages & Datenschutz-Verantwortung

    Der Gerichtshof der Europäischen Union (EuGH) hat mit einem Urteil bestätigt, dass der Betreiber einer Facebook-Fanpage - neben Facebook - datenschutzrechtlich dafür verantwortlich ist, dass Facebook Daten der Fanpagebesucher zur Erstellung von Besucherstatistiken erhebt. Ausgangspunkt der Entscheidung ist ein seit 2011 anhängiger Verwaltungsrechtsstreit zwischen der Wirtschaftsakademie Schleswig-Holstein GmbH und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD). Das Unternehmen vertrat die Auffassung, es dürfe eine Facebook-Fanpage betreiben, ohne sich darum kümmern zu müssen, ob Facebook das Datenschutzrecht einhält.

  • Fanpage-Urteil & Online-Verantwortung

    Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. begrüßt im Grundsatz das Urteil des Europäischen Gerichtshof (EuGH), dass Betreiber von Facebook-Fanseiten datenschutzrechtlich gemeinsam mit Facebook für die von dem Sozialen Dienst auf ihren Seiten gesammelten Nutzer-Daten verantwortlich sind. "Das ist ein Meilenstein für die Klärung datenschutzrechtlicher Verantwortung generell bei Online-Sachverhalten", sagte der BvD-Vorstand Dr. Kai-Uwe Loser nach dem Urteil in Berlin. Allerdings entstünden dadurch für Webseiten-Betreiber neue Herausforderungen und Risiken, die sie nicht im Handumdrehen lösen könnten. "Wir setzen darauf, dass die Aufsichtsbehörden wie in der Vergangenheit mit Augenmaß reagieren und zunächst über die Auswirkungen aufklären", sagte Loser. Zwar leiste das Urteil einen Beitrag, Plattformen wie Facebook zum Einlenken beim Datenschutz zu bringen. "Gleichwohl sollte die Auseinandersetzung nicht auf dem Rücken der Nutzer ausgetragen werden, nur weil nicht in ausreichendem Maß gegen die Anbieter vorgegangen werden kann."

  • Risiken der Datenverarbeitung bei Facebook

    Neben der aktuellen Entschließung der 95. Datenschutzkonferenz aus der vergangenen Woche begrüßt die Bundesbeauftragte für den Datenschutz und Informationsfreiheit (BfDI), Andrea Voßhoff, dass der Deutsche Bundestag die aktuelle Diskussion über Facebook und Cambridge Analytica dazu nutzt, das Risiko der Datenverarbeitung im Internet grundlegend aufzuarbeiten. Andrea Voßhoff sagte: "Der aktuell diskutierte Vorfall hat die Risiken der Datenverarbeitung bei Facebook ans Licht geholt. Diese dürfen jetzt nicht wieder im Dunkeln versinken. So gravierend die Vorwürfe dabei sein mögen, dürfen sie nicht darüber hinwegtäuschen, dass sie vermutlich nur ein kleines Puzzlestück des datenschutzrechtlich problematischen Geschäftsmodells von entsprechenden Unternehmen sind. Auch wenn man vermeintlich die Spitze des Eisberges umschifft hat, lauert unter der Wasseroberfläche nach wie vor die Gefahr. Um diese in den Griff zu bekommen, muss man sich endlich ein detailliertes Bild der unteren sieben Achtel des Eisbergs verschaffen."

  • Datenübermittlungen in die USA

    Nach Aufhebung der Safe Harbor-Entscheidung der Europäischen Kommission 2000/520/EG durch den EuGH im sogenannten Schrems-Urteil (Rechtssache C-362/14) fehlte seit dem 6. Oktober 2015 eine wesentliche Rechtsgrundlage für die Übermittlung personenbezogener Daten aus der Europäischen Union in die USA. Mit der Entscheidung der Europäischen Kommission (2016/1250) vom 12. Juli 2016 steht mit dem "EU-US-Privacy Shield" nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses zur Verfügung. Aus Sicht der europäischen Datenschutzbehörden bestehen allerdings weiterhin gewichtige Kritikpunkte an diesem Angemessenheitsbeschluss, die im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden sollten.

  • Unterstützung bei Rechtsunsicherheiten

    Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. sieht vor dem Start der europaweiten Datenschutz-Grundverordnung (DSGVO) für Unternehmen keinen Grund zur Panik. "Bei vielen Unternehmen dominiert gerade die Furcht vor Kontrollen und Sanktionen nach dem Stichtag 25. Mai", sagte BvD-Vorstand Thomas Spaeing zur Eröffnung der BvD-Verbandstage 2018 in Berlin. Zwar könne es vereinzelt vor allem bei Unternehmen, die sich noch nicht mit den neuen Anforderungen auseinandersetzten, zu Überprüfungen kommen. Das Gros der Betriebe könnten aber nach dem Wechsel ihre Datenschutz-Prozesse weiter ausbauen. Der BvD steht zur Vorbereitung der Umstellung mit Vertretern von Bundesministerien sowie den Aufsichtsbehörden von Bund und Ländern über den Stichtag 25. Mai hinaus in engem Austausch. Unter anderem nimmt der BvD-Vorstand im Juli an einem weiteren Treffen der Verbände auf Einladung des Bundesinnen- und Bundeswirtschaftsministeriums teil.