Unternehmen können Auskunftsersuchen von Polizei oder anderen Ermittlungsbehörden erhalten. Was ist dabei aus Datenschutzsicht zu beachten?
Weitergabe von Daten an die Polizei ist eine Verarbeitung nach der DSGVO
Auch die Weitergabe personenbezogener Daten an Behörden ist eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO. Das Unternehmen, das die Daten offenlegt, braucht dafür eine eigene Rechtsgrundlage nach Art. 6 DSGVO.
Dabei sind vor allem zwei Fragen zu unterscheiden: Darf die Behörde die Daten verlangen? Und darf bzw. muss das Unternehmen sie herausgeben?
Art. 2 Abs. 2 lit. d DSGVO nimmt Verarbeitungen durch zuständige Behörden zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten aus dem Anwendungsbereich der DSGVO aus. Diese Ausnahme betrifft aber die Verarbeitung durch die zuständige Behörde. Gibt ein privates Unternehmen Daten an die Behörde weiter, bleibt es für diese eigene Verarbeitung verantwortlich. Die DSGVO bleibt für die Datenweitergabe durch das Unternehmen daher weiterhin anwendbar. Dabei sind eine passende Rechtsgrundlage sowie die weiteren datenschutzrechtlichen Grundsätze und Pflichten zu beachten.
Welche Rechtsgrundlage kommt in Betracht?
Für Unternehmen enthält die DSGVO keine besondere Rechtsgrundlage speziell für die Weitergabe von Daten zu Strafverfolgungszwecken. Die passende Rechtsgrundlage muss daher in Art. 6 DSGVO gesucht werden.
Rechtliche Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO
Zunächst kommt Art. 6 Abs. 1 lit. c DSGVO in Betracht. Danach ist eine Verarbeitung zulässig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.
Die Verpflichtung muss sich nach Art. 6 Abs. 3 DSGVO aus dem Unionsrecht oder aus dem Recht eines Mitgliedstaates ergeben, dem das Unternehmen unterliegt. Eine Anfrage der Polizei allein reicht daher noch nicht aus. Es muss geprüft werden, ob sich aus dem einschlägigen Recht tatsächlich eine konkrete Pflicht des Unternehmens zur Mitwirkung oder zur Herausgabe der angeforderten Daten ergibt.
Das ist besonders für international tätige Unternehmen wichtig, die Anfragen von Behörden aus verschiedenen Ländern erhalten können. Bei ausländischen Behördenanfragen ist zu unterscheiden, ob die von der Behörde genannte Vorschrift auch für das angefragte Unternehmen eine rechtliche Verpflichtung begründet. Allein daraus, dass die Behörde nach ihrem nationalen Recht Daten verlangen darf, folgt noch nicht, dass das Unternehmen diese Daten auch herausgeben muss.
Bei Anfragen von Behörden aus Drittstaaten kommt zusätzlich Art. 48 DSGVO ins Spiel. Danach kann eine Entscheidung oder ein Ersuchen einer Drittstaatenbehörde nicht allein deshalb eine Datenübermittlung rechtfertigen, weil es nach dem Recht dieses Drittstaates verbindlich ist. Neben einer Rechtsgrundlage nach Art. 6 DSGVO sind daher auch die Voraussetzungen für eine Drittlandübermittlung nach Kapitel V DSGVO zu berücksichtigen.
Zusätzlich kann unter bestimmten Voraussetzungen auch Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse, als Rechtsgrundlage in Betracht kommen.
Zweckänderung nach § 24 BDSG
Daneben spielt bei deutschen Unternehmen regelmäßig § 24 Abs. 1 Nr. 1 BDSG eine Rolle.
Die angefragten Daten wurden meist ursprünglich für ganz andere Zwecke erhoben – beispielsweise zur Vertragsabwicklung, Kundenbetreuung oder Durchführung eines Beschäftigungsverhältnisses. Werden diese Daten später zur Strafverfolgung an eine Behörde übermittelt, liegt eine Weiterverarbeitung zu einem anderen Zweck nahe.
§ 24 Abs. 1 Nr. 1 BDSG erlaubt nichtöffentlichen Stellen eine solche Verarbeitung unter anderem dann, wenn sie zur Verfolgung von Straftaten erforderlich ist und die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung nicht überwiegen.
Wichtig ist die Unterscheidung: § 24 BDSG kann eine Verarbeitung erlauben. Eine Pflicht zur Herausgabe begründet die Vorschrift aber nicht.
Ein Beispiel liefert der Tätigkeitsbericht 2023 des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI). Dort hatte eine Hausverwaltung Mieterdaten für einen Handschriftenvergleich an die Polizei weitergegeben.
Der HmbBfDI stellte klar: § 161 StPO kann die Anforderung der Daten durch die Ermittlungsbehörde legitimieren. Für die Datenweitergabe durch das private Unternehmen braucht es aber eine eigene datenschutzrechtliche Grundlage.
Nach § 24 Abs. 1 Nr. 1 BDSG dürfen Unternehmen personenbezogene Daten verarbeiten und damit auch gegenüber Behörden offenlegen, wenn dies zur Verfolgung von Straftaten erforderlich ist. Dabei sind die berechtigten Interessen der betroffenen Person an dem Ausschluss der Verarbeitung zu berücksichtigen.Besteht der Verdacht, dass der Betroffene eine Straftat begangen haben könnte, steht sein Interesse an einem Ausschluss der Verarbeitung einer Offenlegung der Daten regelmäßig nicht im Wege.
Form des Auskunftsersuchens
Für Unternehmen ist bei Eingang eines Auskunftsersuchens zunächst von Bedeutung, dass die Anfrage möglichst schriftlich oder in anderer dokumentierbarer Form vorliegt. Dies erleichtert es, im Rahmen der Rechenschaftspflicht später darzulegen, auf welcher Grundlage und in welchem Umfang Daten herausgegeben wurden. Eine Datenweitergabe allein auf Grundlage eines Telefonanrufs lässt sich dagegen nur eingeschränkt nachvollziehen und dokumentieren.
Aus der Anfrage sollten zumindest folgende Angaben geprüft werden:
- die anfragende Behörde,
- ein Akten- oder Geschäftszeichen,
- der Hintergrund bzw. Zweck der Anfrage,
- die von der Behörde herangezogene Rechtsgrundlage,
- die konkret angeforderten Daten sowie
- ggf. der relevante Zeitraum usw.
Fehlen wesentliche Angaben, sollte zunächst bei der Behörde nachgefragt werden.
Auch Auskünfte über personenbezogene Daten sollten grundsätzlich nicht telefonisch erteilt werden. Einfache Negativauskünfte können im Einzelfall eine Ausnahme sein, etwa wenn lediglich bestätigt wird, dass keine entsprechenden Daten vorhanden sind.
Prüfung der Identität des Anfragenden
Auch wenn die Anfrage schriftlich vorliegt und sich dokumentieren lässt, bleibt die Frage, ob sie tatsächlich von der angegebenen Behörde bzw. der anfragenden Person stammt.
Ein Schreiben mit Behördenlogo ist noch kein Echtheitsnachweis. Gerade weil eine erfolgreiche Täuschung unmittelbar zur Offenlegung personenbezogener Daten führen kann, kommt bei Zweifeln eine unabhängige Verifizierung der Identität der anfragenden Stelle in Betracht. Werden personenbezogene Daten an einen unbefugten Empfänger offengelegt, kann dies selbst eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO darstellen.
Zur Verifizierung kann ein unabhängiger Kontaktweg genutzt werden. Möglich ist etwa, die offizielle Telefonnummer der Behörde zu verwenden und unter Angabe des Aktenzeichens nach der zuständigen Person oder Abteilung zu fragen. Eine Verifizierung ausschließlich über die in der Anfrage selbst angegebenen Kontaktdaten bietet dagegen nur eine eingeschränkte zusätzliche Sicherheit.
Welche Daten können herausgegeben werden?
Auch bei einer rechtmäßigen Anfrage gilt der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Entscheidend ist daher, welche Daten von der Anfrage tatsächlich erfasst werden und für welchen Zeitraum sie verlangt werden. Für die Datenweitergabe kommen grundsätzlich nur diejenigen Daten in Betracht, die von der Behörde konkret angefordert werden und für den genannten Zweck erforderlich sind.
Es ist nicht unüblich, dass ein Auskunftsersuchen nach der Aufzählung bestimmter Daten noch eine offene Formulierung enthält, etwa die Bitte um „weitere Daten, soweit diese für die Ermittlungen relevant sind“.
Eine solche Formulierung ist nicht ohne Weiteres als Grundlage für eine umfassende Datenübermittlung zu verstehen. Welche Informationen für die Ermittlungen benötigt werden, ist grundsätzlich von der Ermittlungsbehörde zu bestimmen und zu konkretisieren. Bei sehr weit oder offen formulierten Anfragen kann daher zunächst eine Konkretisierung durch die Behörde erforderlich sein.
Dokumentation der Bearbeitung
Die Bearbeitung eines Auskunftsersuchens sollte auch intern nachvollziehbar dokumentiert werden. Hintergrund ist insbesondere die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Das Unternehmen muss gegebenenfalls darlegen können, auf welcher Grundlage und in welchem Umfang personenbezogene Daten weitergegeben wurden.
Nicht zuletzt kann eine solche Dokumentation auch bei späteren Prüfungen internationaler Datentransfers eine Rolle spielen. Im Rahmen eines Transfer Impact Assessments kann beispielsweise die dokumentierte praktische Erfahrung des Unternehmens mit früheren Auskunfts- oder Zugriffsersuchen staatlicher Stellen von Bedeutung sein.
Muss die betroffene Person informiert werden?
Grundsätzlich gilt: Wurden die Daten unmittelbar bei der betroffenen Person erhoben und später für einen anderen Zweck weiterverarbeitet, kann Art. 13 Abs. 3 DSGVO eine zusätzliche Information erforderlich machen. Bei Daten, die nicht unmittelbar bei der betroffenen Person erhoben wurden, ist insbesondere Art. 14 Abs. 4 DSGVO zu beachten. In diesem Fall kann insbesondere auch die Ausnahme nach Art. 14 Abs. 5 lit. c DSGVO relevant sein, wenn die Erlangung oder Offenlegung der Daten gesetzlich ausdrücklich geregelt ist.
Für deutsche Unternehmen enthalten insbesondere §§ 32 und 33 BDSG ergänzende Ausnahmen von den Informationspflichten. Dabei ergänzt § 32 BDSG die Informationspflichten nach Art. 13 DSGVO, während § 33 BDSG den Fall des Art. 14 DSGVO betrifft. So sieht § 32 Abs. 1 Nr. 5 BDSG beispielsweise eine Ausnahme vor, wenn die Information eine vertrauliche Datenübermittlung an öffentliche Stellen gefährden würde.
Gerade bei laufenden Ermittlungen kann eine Information den Ermittlungszweck beeinträchtigen. Ob und in welchem Umfang Informationspflichten eingeschränkt werden können, richtet sich nach den jeweils anwendbaren gesetzlichen Vorschriften.
Auch eine Einschätzung der Ermittlungsbehörde dazu, ob eine Information die Ermittlungen beeinträchtigen könnte, kann hierbei von Bedeutung sein. Fehlt eine solche Angabe, kann dieser Punkt im Rahmen einer Rückfrage geklärt werden.
Auch die Gründe für eine unterbliebene Information können für die interne Dokumentation relevant sein. Teilweise sieht das BDSG eine solche Dokumentation ausdrücklich vor, etwa in § 33 Abs. 2 BDSG.
Ein Behördenstempel ersetzt keine Datenschutzprüfung
Für die datenschutzkonforme Datenweitergabe ist das Unternehmen verantwortlich, das die Daten offenlegt. Dass die Anfrage von einer Behörde stammt, kann Anhaltspunkte für eine mögliche Rechtsgrundlage liefern. Die Anfrage selbst stellt jedoch noch keine Rechtsgrundlage dar. Unabhängig davon bleiben die weiteren einschlägigen Datenschutzanforderungen zu beachten.
