Kreditkartenfahndung „Operation Mikado“ bleibt datenschutzwidrig [ergänzt am 03.08.2009]
In der laufenden Datenschutzbeschwerde wegen der „Operation Mikado“ habe ich eine weitere E-Mail an die für meine Bank zuständige Datenschutz-Aufsichtsbehörde versandt:
Sehr geehrte Frau …,
zum oben genannten Verfahren möchte ich noch eine kurze Anmerkung machen:
Vor einigen Tagen ging durch die Presse, dass das Amtsgericht Halle das Vorgehen der Staatsanwaltschaft im Fall „Mikado“ als rechtmäßig bewertet hat. In dem Beschluss des Amtsgerichts ist die Vorgehensweise der Staatsanwaltschaft detailliert dargestellt (http://udovetter.de/lawblog/070313a.pdf).
Unabhängig davon, dass diese Entscheidung nicht rechtskräftig ist und ihr nicht zuzustimmen ist, ist es vorliegend wichtig, zwischen der Rechtmäßigkeit des Vorgehens der Staatsanwaltschaft und der Rechtmäßigkeit des Vorgehens der Banken und ihrer Auftragnehmer zu unterscheiden. Selbst wenn die Staatsanwaltschaft die Strafprozessordnung und die Grundrechte nicht verletzt hätte (was anders zu sehen ist), bedeutete dies keineswegs, dass die Banken rechtmäßigerweise die Daten durchsucht und die Treffer ausgehändigt haben.
Wegen Datenschutzrecht und insbesondere dem Bankgeheimnis dürfen Banken den Strafverfolgungsbehörden nur zuarbeiten, wenn sie dazu verpflichtet sind, nicht freiwillig in vorauseilendem Gehorsam. Im vorliegenden Fall waren die Banken nicht zur Mitwirkung verpflichtet:
Als Rasterfahndung bewertet fehlte es der Operation bereits an einer richterlichen Anordnung.
Eine Pflicht zur Zeugenaussage bestand auch nicht. Erstens lag keine Vorladung an die Staatsanwaltschaft vor. Zweitens müssen Zeugen nur das aussagen, was sie aus eigener Wahrnehmung wissen. Sie müssen sich keinesfalls Kenntnisse erst noch beschaffen. Das steht so auch in den einschlägigen Kommentaren zur Strafprozessordnung (z.B. Meyer-Gossner).
Schließlich hat auch keine Beschlagnahmeanordnung vorgelegen. Eine Beschlagnahme hätte nämlich richterlich genehmigt werden müssen (§ 98 StPO). Datenverarbeitende Stellen dürfen nicht „zur Abwendung einer Beschlagnahme“, die noch überhaupt nicht angeordnet ist, schon personenbezogene Daten, die dem Bankgeheimnis unterliegen, durchsuchen und herausgeben. Es muss vielmehr die Vorlage eines richterlichen Herausgabe- bzw. Durchsuchungsbeschlusses abgewartet werden. Der Richter wird die beantragte Anordnung ablehnen, wenn sie rechtswidrig ist. Diese gesetzlich vorgesehene Prüfung darf nicht umgangen werden. Sie dient nicht nur dem (verzichtbaren) Schutz der Bank, sondern auch dem Schutz der eigentlich betroffenen Bankkunden.
Die Landesbank Berlin hat bei der „Operation Mikado“ als einzige die Vorlage eines richterlichen Beschlusses verlangt. Daraufhin hat die Staatsanwaltschaft Halle einen solchen erwirkt und vorgelegt. Zumindest dieses Vorgehen hätten alle Banken wählen müssen. (Allerdings hat auch die Landesbank Berlin rechtswidrig gehandelt, weil sie nur die Herausgabe von Namen und Anschriften von der Vorlage eines richterlichen Beschlusses abhängig gemacht hat. Die Datendurchsuchung und die Herausgabe der Kreditkartennummern hat sie ohne rechtliche Verpflichtung und damit illegal vorgenommen.)
Mit freundlichen Grüßen,
Ergänzung vom 21.04.2009:
E-Mail der Aufsichtsbehörde vom 17.04.2009:
Sehr geehrte[…],
in unserem letzten Schreiben haben wir Ihnen mitgeteilt, dass wir die datenschutzrechtliche Beurteilung der Nutzung der bei den Kreditkartenunternehmen gespeicherten personenbezogenen Kundendaten zurückstellen, bis die Zulässigkeit der Datenerhebung durch die Staatsanwaltschaft rechtskräftig entschieden ist. Nach dem in der Zwischenzeit veröffentlichen Beschluss des Bundesverfassungsgerichts vom 17. Februar 2009 (2 BvR 1372/07, 2 BvR 1765/07, Pressemitteilung Nr. 34/2009 vom 02.04.2009) stellt die Einbeziehung derjenigen Kreditkarteninhaber, die die Suchkriterien nicht erfüllen, in die Abfrage der Kreditkartendaten durch die Staatsanwaltschaft keinen Eingriff in das Recht auf informationelle Selbstbestimmung darstellt. Die Kreditkartendaten seien bei den Unternehmen nur maschinell geprüft worden, mangels Übereinstimmung mit den Suchkriterien aber nicht als Treffer angezeigt und der Staatsanwaltschaft daher auch nicht übermittelt worden. Für die Annahme eines Eingriffs genüge es nicht, dass die Daten bei den Unternehmen in einen maschinellen Suchlauf eingestellt werden. Im übrigen war der Eingriff zulässig.
Im Hinblick auf diese Entscheidung des Bundesverfassungsgerichts sind die Nutzung der bei den Kreditkartenunternehmen gespeicherten Daten für die Abfrage der Staatsanwaltschaft und die Übermittlung der Trefferdaten an die Staatsanwaltschaft datenschutzrechtlich zulässig.
Um Kenntnisnahme wird gebeten.
Soweit in Einzelfällen festgestellt wurde, dass die für die Kreditkartenunternehmen tätigen Auftragsdatenverarbeiter die im Auftrag gespeicherten Kontodaten ohne Weisung des Auftraggebers für die Abfrage der Staatsanwaltschaft genutzt haben, wurden die Unternehmen aufgefordert, hierzu künftig Regelungen in die nach dem BDSG abzuschließenden Verträge (§ 11 Abs. 2 BDSG) aufzunehmen.
Mit freundlichen Grüßen
Meine E-Mail vom 21.04.2009:
Sehr geehrte[…],
ich danke für Ihre Nachricht vom 17.04.2009.
Wie ich in meiner letzten E-Mail (s.u.) ausgeführt habe, hat das Bundesverfassungsgericht nur entschieden, dass die Datenerhebung durch die Staatsanwaltschaft rechtmäßig war. Es hat aber nicht darüber entschieden, ob die Datenübermittlung durch die Banken rechtmäßig war. Es brauchte nicht zu prüfen, ob die Banken gegen Datenschutzrecht oder Bankgeheimnis verstoßen haben.
Eben dies ist aber aus den in meiner E-Mail angeführten Gründen der Fall. Ich halte das Vorgehen der Banken, einem Auskunftersuchen nach § 161a StPO ohne Zwang nachzukommen, daher weiterhin für unzulässig und hoffe, dass Sie zu dem selben Ergebnis kommen.
Mit freundlichem Gruß
Ergänzung vom 03.08.2009:
E-Mail der Aufsichtsbehörde vom 03.08.2009:
Sehr geehrte[…],
für Ihren Hinweis in Ihrer E-Mail vom 14. Mai 2009 bedanken wir uns. Indessen vermögen wir Ihre Auffassung, dass ein schutzwürdiges Interesse der Bankkunden an einem Ausschluss der Rasterung der Kreditkartendaten so lange anzunehmen sei, wie die Bank zur Mitwirkung an der Strafverfolgung nicht verpflichtet ist, nicht zu teilen.
Ob ein schutzwürdiges Interesse an dem Ausschluss der Datenübermittlung oder -nutzung besteht, kann nicht alleine anhand des Bankgeheimnisses und danach, ob eine Mitwirkungspflicht der Bank vorliegt, beantwortet werden. Das Bankgeheimnis bedeutet eine Verschwiegenheitspflicht der Bank nach außen, betrifft indessen nicht bankinterne Vorgänge. Ein bankinterner Suchlauf ist daher zwar nach dem Bundesdatenschutzgesetz, nicht aber am Maßstab des Bankgeheimnisses zu bewerten. Darüber hinaus ist das Bankgeheimnis nicht von einer nur von gesetzlichen Mitwirkungspflichten überwundenen Absolutheit. Wäre dies anders, wäre es einer Bank im Extremfall selbst bei positivem Wissen um Tatsachen, die einen Kunden zweifelsfrei als Schwerkriminellen überführen, verboten, dies den Strafermittlungsbehörden mitzuteilen. Genau diese Möglichkeit räumt § 28 Abs. 3 Satz 1 Nr. 2 BDSG der Bank aber grundsätzlich ein. Die Vorschrift liefe im Bankenbereich leer, wenn einer solchen Mitteilung schlechthin das Bankgeheimnis entgegen stünde.
Bezogen auf die Operation „Mikado“ ist bei einer Bewertung der rechtlichen Zulässigkeit eines bankinternen Suchlaufs unter Verwendung von Kreditkartendaten die Frage, ob Bankkunden ein schutzwürdiges Interesse an dem Ausschluss einer Übermittlung oder Nutzung ihrer Kreditkartendaten haben, am Maßstab der konkreten Ausgestaltung des durchgeführten Suchlaufs zu würdigen.
Danach können wir schutzwürdige Interessen der Bankkunden am Ausschluss der Nutzung ihrer Daten im Falle der Operation „Mikado“ nicht erkennen. Der Suchlauf war mit der Kombination von Überweisungen über genau 79,99 $ an einen bestimmten Empfänger bei einer bestimmten Bank in einer Art und Weise ausgestaltet, dass nur Treffer hinsichtlich Personen zu erwarten waren, für die eine erhebliche Wahrscheinlichkeit für die Tatbegehung bestand. Nur diese Personen wurden identifiziert und nur deren personenbezogene Daten wurden an die Staatsanwaltschaft übermittelt. Im Übrigen blieb es bei einer rein maschinellen Überprüfung der Bankkunden, deren Daten anonym und spurenlos aus dem Suchlauf ausgeschieden wurden. Dies stellt – wie das Bundesverfassungsgericht entschieden hat – kein Eingriff in das informationelle Selbstbestimmungsrecht der Bankkunden dar. Insoweit sehen wir nicht, wo im Sinne des § 28 Abs. 3 Satz 1 Nr. 2 BDSG ein schutzwürdiges Interesse der Kunden am Ausschluss der Nutzung ihrer Daten für einen solchen Suchlauf liegen sollte.
Auch eine Verletzung des Bankgeheimnisses durch die Übermittlung der Treffer aus dem Suchlauf sehen wir nicht. Die Datenübermittlung war nach § 28 Abs. 3 Satz 1 Nr. 2 BDSG zulässig. Das Bankgeheimnis ist zwar bei der Prüfung, ob ein schutzwürdiges Interesse der Betroffenen am Ausschluss der Übermittlung der Daten vorliegt, zu berücksichtigen. Solange aber nur personenbezogene Daten von Personen übermittelt werden, bei denen ein erheblicher Tatverdacht besteht, fehlt es an der Schutzwürdigkeit entgegenstehender Interessen der Betroffenen.
Mit freundlichen Grüßen
| 2.924mal gelesen |
Beitrag per E-Mail versenden
|
Seite drucken
|
Verwandte Artikel
Weitere Artikel zum Schlagwort Mikado · Weitere Artikel zum Thema Datenschutz im Privatsektor, Datenschutz im Staatssektor







Antwort der Hamburgische Datenschutzbehörde — 13. Februar 2007 @ 12.24 Uhr
Hallo,
ich habe ein VISA-Karte von BArclaycard. Den Brief habe ich an die zuständige Datenschutzbehörde in Hamburg geschickt. Als Antwort kam folgendes:
„Sehr geehrter Herr …..,
bei der von Ihnen angesprochenen Auswertung von Kreditkartenzahlungen handelte es sich nicht um eine Rasterfahndung,
sondern um eine Ermittlungsmaßnahme gegen bestimmte Straftäter. Die Auskunft der Kreditkartenunternehmen erfolgte
aufgrund von § 161 a der Strafprozeßordnung als Rechtsgrundlage. Die Kreditkartenunternehmen wurden aufgefordert, die
Kunden zu benennen, die in einem ganz konkreten Zeitraum einen bestimmten Betrag auf ein bestimmtes Konto gezahlt
hatten. Die Kreditkartenunternehmen haben nur die Daten von Kunden herausgefunden und an die Staatsanwaltschaft
weitergegeben, die sich auf die angefragten Kriterien bezogen. Datenschutzrechtlich war das Verfahren nicht zu
beanstanden.
Mit freundlichen Grüßen
….“
Ich hoffe mal, das die zuständigen Gerichte das anders sehen (die Klagen laufen doch noch, oder?); ansonsten wirds wohl düster bzgl. Datenschutz…..
mfg
Zusatz — 30. Januar 2007 @ 20.19 Uhr
Hallo Patrick
vielen Dank für das Online-Stellen der Beschwerde. Ich habe sie in ähnlichem Wortlaut an den Landes-DSB geschickt.
Ich habe sie noch um einen Punkt erweitert:
Ich bat darum, dass der DSB die Bank auffordert, die Verträge zwischen ihr und dem Dienstleister offenlegt.
Wer weiß, wieviel Freiraum dem Dienstleister gelassen wird.
Wäre der Spielraum zu groß, dann würde die Bank aber ihrer datenschutzrechtlichen Sorgfaltspflicht, die sie bei Auftragsdatenverarbeitung einhalten muss, verletzen.
Ich hoffe, der DSB prüft sorgfältig.
Und selbst wenn in den Verträgen die Handhabung restriktiv festgelegt sein sollte, und der Dienstleister „auf eigene Rechnung“ die Daten abgeglichen hat, dann müsste die Bank ab diesem Zeitpunkt erneut die Zuverlässigkeit des Dienstleisters prüfen, in diesem Fall wohl auch eine Vertragsverletzung feststellen.
Dass sich beide auf den jeweils anderen rausreden, kann ja wohl nicht sein!
Webmaster — 25. Januar 2007 @ 17.32 Uhr
Günter: Die Bayern CARD-Services GmbH und andere Kreditkartenabwickler werden juristisch gesehen im Auftrag deiner Bank tätig. Deine Bank haftet dafür, denn sie muss dafür sorgen, dass bei ihren Auftragnehmern der Datenschutz eingehalten wird. Sie kann sich daher nicht die Hände rein waschen mit dem Argument: „Ich war es nicht.“
Zum Thema „Klage gegen Kreditinstitute“ (siehe oben): Ja, auf der Basis dieser Argumentation müsste eine Klage gegen die kartenausstellende Bank möglich sein.
Eine gesetzliche Regelung der Frage findet sich in § 11 Bundesdatenschutzgesetz.
Bank eiert rum — 25. Januar 2007 @ 17.23 Uhr
Mein kreditkartenausstellendes Geldinstitut (eine Kreissparkasse) hat mir (nachdem die erste Aussage wohl falsch war, da berief sie sich auf eine richterliche Anordnung) nun im zweiten Anlauf folgendes mitgeteilt:
„Die Staatsanwaltschaft Halle hat die Bayern CARD-Services GmbH, Türkenstr. 9, 80277 München
am 11.07.2006 mit Schreiben 442 000 22993/06 aufgefordert, sämtliche Kreditkartenumsätze nach
den bereits erläuterten Hinweisen zu überprüfen.“
Zugleich versichterte mir das Geldinstitut, keine Daten weitergegeben zu haben.
Für mich sind das Ausflüchte, um keine Kunden zu verlieren. Sauber ist diese Sache gewiss nicht abgelaufen, aber die Medien haben auch alles dazu getan, diesen Fall nicht allzu sehr publik zu machen und so wird das ganze wohl leider im Sande verlaufen.
Grüße Günter
Anonymous — 24. Januar 2007 @ 1.01 Uhr
@Axel
Es gibt einmal deine Bank und dann gibt es das Kredikartenunternehmen.
Deine Bank bekommt vom Kredietkartenunternehmen die für dich ausgestellte Kreditkarte und übergibt diese an dich. Weiterhin bucht dein Kreditkartenunternehmen alle deine Umsätze und stellt diese deiner Bank zur Lastschrift in Rechnung. Den eigentlichen Vertag hast du nun aber mal mit deiner Bank geschlossen, nicht mit dem Kreditkartenunternehmen. Durchsucht wurden die Datenbestände der Kreditkartenunternehmen. In den Geschäftsbedingungen der Banken mit den Kreditkartenunternehmen steht aber nirgends, das sie deine Daten einfach so an die Staatsanwaltschaft auf Grund eines Gereralverdachts übergeben dürfen. Das bedarf noch immer einer Richterlichen Genehmigung.
Hoffe dir geholfen zu haben.
Andreas
Widerspruch? — 22. Januar 2007 @ 18.26 Uhr
Hallo,
in diesem Brief wird gesagt, dass die Ermittlung/Datenverarbeitung bei der kartenausgebenden Bank durchgeführt wurden, bzw. die Bank für die Herausgabe der Daten verantwortlich ist.
„Für die Verwendung der in diesem Zusammenhang anfallenden Daten ist die […] Bank AG verantwortlich und nicht die Visa Europe Services Inc.“
Herr Vetter schreibt in seiner „juristischen Würdigung“, dass die entsprechenden Daten von den Kreditkartenunternehmen herausgegeben wurden, bzw. der Datenabgleich bei diesen erfolgte.
„Nach Angaben der Ermittlungsbehörden durchsuchten die deutschen Kreditkartenfirmen daraufhin ihre Datenbestände auf Zahlungen, die den genannten Kriterien entsprechen.“ Quelle: http://www.lawblog.de/index.php/archives/2007/01/10/mikado/ – Punkt II
Wie ist es denn nun gewesen? Wenn ich schon irgendwelche Schreiben per Paste&Copy an Behörden verschicke, dann sollten sie wenigstens inhaltlich stimmen…
Gruß Axel
Rechtschreibfehler — 22. Januar 2007 @ 17.07 Uhr
Auf Veranlassung der Staatsanwaltschaft Halle wurden vor (letzter Buchstabe korrigiert)
Klage gegen Kreditinstitute — 22. Januar 2007 @ 15.02 Uhr
Ich habe zwar keine Kreditkarte, aber wie will ein kreditkartenbesitzer überprüfen ob er in zukunft tatsächlich nicht mit in die „rasterfahndung“ aufgenommen wird.
Der fakt an sich das die kunden daten an dritte weiter gegeben wird verstößt bestimmt gegen die datenschutzbestimmungen denen jeder kreditkarteninhaber zustimmen muss, wenn er eine neue karte haben möchte. Es müsste doch möglich sein somit gegen das kreditkarteninstitut seines „vertrauens“ zu klagen weil diese gegen ihre datenschutzbestimmungen verstoßen.
ich würde es sehr begrüßen wenn sich mal jemand dazu zu wort meldet der sich in der rechtslage etwas besser auskennt als otto normal.
mfg
Super Sache — 21. Januar 2007 @ 20.22 Uhr
Hab den Brief soeben an den Datenschutzbeauftragen für Bremen geschickt – habe eine Kreditkarte bei der Sparkasse Bremen AG.
Kreditkartenfahndung — 20. Januar 2007 @ 11.15 Uhr
Nach allgemeiner Lebenserfahrung ist es anzunehmen, dass Deutsche Politiker korrupt sind.
Den Anfangsverdacht liegt hier also vor.
Wann werden endlich alle Konten unserer Politiker (aller Parteien) durchsucht?