Kreditkartenfahndung „Operation Mikado“ bleibt datenschutzwidrig [ergänzt am 03.08.2009]

In der laufenden Datenschutzbeschwerde wegen der „Operation Mikado“ habe ich eine weitere E-Mail an die für meine Bank zuständige Datenschutz-Aufsichtsbehörde versandt:

Sehr geehrte Frau …,

zum oben genannten Verfahren möchte ich noch eine kurze Anmerkung machen:

Vor einigen Tagen ging durch die Presse, dass das Amtsgericht Halle das Vorgehen der Staatsanwaltschaft im Fall „Mikado“ als rechtmäßig bewertet hat. In dem Beschluss des Amtsgerichts ist die Vorgehensweise der Staatsanwaltschaft detailliert dargestellt (http://udovetter.de/lawblog/070313a.pdf).

Unabhängig davon, dass diese Entscheidung nicht rechtskräftig ist und ihr nicht zuzustimmen ist, ist es vorliegend wichtig, zwischen der Rechtmäßigkeit des Vorgehens der Staatsanwaltschaft und der Rechtmäßigkeit des Vorgehens der Banken und ihrer Auftragnehmer zu unterscheiden. Selbst wenn die Staatsanwaltschaft die Strafprozessordnung und die Grundrechte nicht verletzt hätte (was anders zu sehen ist), bedeutete dies keineswegs, dass die Banken rechtmäßigerweise die Daten durchsucht und die Treffer ausgehändigt haben.

Wegen Datenschutzrecht und insbesondere dem Bankgeheimnis dürfen Banken den Strafverfolgungsbehörden nur zuarbeiten, wenn sie dazu verpflichtet sind, nicht freiwillig in vorauseilendem Gehorsam. Im vorliegenden Fall waren die Banken nicht zur Mitwirkung verpflichtet:

Als Rasterfahndung bewertet fehlte es der Operation bereits an einer richterlichen Anordnung.

Eine Pflicht zur Zeugenaussage bestand auch nicht. Erstens lag keine Vorladung an die Staatsanwaltschaft vor. Zweitens müssen Zeugen nur das aussagen, was sie aus eigener Wahrnehmung wissen. Sie müssen sich keinesfalls Kenntnisse erst noch beschaffen. Das steht so auch in den einschlägigen Kommentaren zur Strafprozessordnung (z.B. Meyer-Gossner).

Schließlich hat auch keine Beschlagnahmeanordnung vorgelegen. Eine Beschlagnahme hätte nämlich richterlich genehmigt werden müssen (§ 98 StPO). Datenverarbeitende Stellen dürfen nicht „zur Abwendung einer Beschlagnahme“, die noch überhaupt nicht angeordnet ist, schon personenbezogene Daten, die dem Bankgeheimnis unterliegen, durchsuchen und herausgeben. Es muss vielmehr die Vorlage eines richterlichen Herausgabe- bzw. Durchsuchungsbeschlusses abgewartet werden. Der Richter wird die beantragte Anordnung ablehnen, wenn sie rechtswidrig ist. Diese gesetzlich vorgesehene Prüfung darf nicht umgangen werden. Sie dient nicht nur dem (verzichtbaren) Schutz der Bank, sondern auch dem Schutz der eigentlich betroffenen Bankkunden.

Die Landesbank Berlin hat bei der „Operation Mikado“ als einzige die Vorlage eines richterlichen Beschlusses verlangt. Daraufhin hat die Staatsanwaltschaft Halle einen solchen erwirkt und vorgelegt. Zumindest dieses Vorgehen hätten alle Banken wählen müssen. (Allerdings hat auch die Landesbank Berlin rechtswidrig gehandelt, weil sie nur die Herausgabe von Namen und Anschriften von der Vorlage eines richterlichen Beschlusses abhängig gemacht hat. Die Datendurchsuchung und die Herausgabe der Kreditkartennummern hat sie ohne rechtliche Verpflichtung und damit illegal vorgenommen.)

Mit freundlichen Grüßen,

Ergänzung vom 21.04.2009:

E-Mail der Aufsichtsbehörde vom 17.04.2009:

Sehr geehrte[…],

in unserem letzten Schreiben haben wir Ihnen mitgeteilt, dass wir die datenschutzrechtliche Beurteilung der Nutzung der bei den Kreditkartenunternehmen gespeicherten personenbezogenen Kundendaten zurückstellen, bis die Zulässigkeit der Datenerhebung durch die Staatsanwaltschaft rechtskräftig entschieden ist. Nach dem in der Zwischenzeit veröffentlichen Beschluss des Bundesverfassungsgerichts vom 17. Februar 2009 (2 BvR 1372/07, 2 BvR 1765/07, Pressemitteilung Nr. 34/2009 vom 02.04.2009) stellt die Einbeziehung derjenigen Kreditkarteninhaber, die die Suchkriterien nicht erfüllen, in die Abfrage der Kreditkartendaten durch die Staatsanwaltschaft keinen Eingriff in das Recht auf informationelle Selbstbestimmung darstellt. Die Kreditkartendaten seien bei den Unternehmen nur maschinell geprüft worden, mangels Übereinstimmung mit den Suchkriterien aber nicht als Treffer angezeigt und der Staatsanwaltschaft daher auch nicht übermittelt worden. Für die Annahme eines Eingriffs genüge es nicht, dass die Daten bei den Unternehmen in einen maschinellen Suchlauf eingestellt werden. Im übrigen war der Eingriff zulässig.

Im Hinblick auf diese Entscheidung des Bundesverfassungsgerichts sind die Nutzung der bei den Kreditkartenunternehmen gespeicherten Daten für die Abfrage der Staatsanwaltschaft und die Übermittlung der Trefferdaten an die Staatsanwaltschaft datenschutzrechtlich zulässig.

Um Kenntnisnahme wird gebeten.

Soweit in Einzelfällen festgestellt wurde, dass die für die Kreditkartenunternehmen tätigen Auftragsdatenverarbeiter die im Auftrag gespeicherten Kontodaten ohne Weisung des Auftraggebers für die Abfrage der Staatsanwaltschaft genutzt haben, wurden die Unternehmen aufgefordert, hierzu künftig Regelungen in die nach dem BDSG abzuschließenden Verträge (§ 11 Abs. 2 BDSG) aufzunehmen.

Mit freundlichen Grüßen

Meine E-Mail vom 21.04.2009:

Sehr geehrte[…],

ich danke für Ihre Nachricht vom 17.04.2009.

Wie ich in meiner letzten E-Mail (s.u.) ausgeführt habe, hat das Bundesverfassungsgericht nur entschieden, dass die Datenerhebung durch die Staatsanwaltschaft rechtmäßig war. Es hat aber nicht darüber entschieden, ob die Datenübermittlung durch die Banken rechtmäßig war. Es brauchte nicht zu prüfen, ob die Banken gegen Datenschutzrecht oder Bankgeheimnis verstoßen haben.

Eben dies ist aber aus den in meiner E-Mail angeführten Gründen der Fall. Ich halte das Vorgehen der Banken, einem Auskunftersuchen nach § 161a StPO ohne Zwang nachzukommen, daher weiterhin für unzulässig und hoffe, dass Sie zu dem selben Ergebnis kommen.

Mit freundlichem Gruß

Ergänzung vom 03.08.2009:

E-Mail der Aufsichtsbehörde vom 03.08.2009:

Sehr geehrte[…],

für Ihren Hinweis in Ihrer E-Mail vom 14. Mai 2009 bedanken wir uns. Indessen vermögen wir Ihre Auffassung, dass ein schutzwürdiges Interesse der Bankkunden an einem Ausschluss der Rasterung der Kreditkartendaten so lange anzunehmen sei, wie die Bank zur Mitwirkung an der Strafverfolgung nicht verpflichtet ist, nicht zu teilen.

Ob ein schutzwürdiges Interesse an dem Ausschluss der Datenübermittlung oder -nutzung besteht, kann nicht alleine anhand des Bankgeheimnisses und danach, ob eine Mitwirkungspflicht der Bank vorliegt, beantwortet werden. Das Bankgeheimnis bedeutet eine Verschwiegenheitspflicht der Bank nach außen, betrifft indessen nicht bankinterne Vorgänge. Ein bankinterner Suchlauf ist daher zwar nach dem Bundesdatenschutzgesetz, nicht aber am Maßstab des Bankgeheimnisses zu bewerten. Darüber hinaus ist das Bankgeheimnis nicht von einer nur von gesetzlichen Mitwirkungspflichten überwundenen Absolutheit. Wäre dies anders, wäre es einer Bank im Extremfall selbst bei positivem Wissen um Tatsachen, die einen Kunden zweifelsfrei als Schwerkriminellen überführen, verboten, dies den Strafermittlungsbehörden mitzuteilen. Genau diese Möglichkeit räumt § 28 Abs. 3 Satz 1 Nr. 2 BDSG der Bank aber grundsätzlich ein. Die Vorschrift liefe im Bankenbereich leer, wenn einer solchen Mitteilung schlechthin das Bankgeheimnis entgegen stünde.

Bezogen auf die Operation „Mikado“ ist bei einer Bewertung der rechtlichen Zulässigkeit eines bankinternen Suchlaufs unter Verwendung von Kreditkartendaten die Frage, ob Bankkunden ein schutzwürdiges Interesse an dem Ausschluss einer Übermittlung oder Nutzung ihrer Kreditkartendaten haben, am Maßstab der konkreten Ausgestaltung des durchgeführten Suchlaufs zu würdigen.

Danach können wir schutzwürdige Interessen der Bankkunden am Ausschluss der Nutzung ihrer Daten im Falle der Operation „Mikado“ nicht erkennen. Der Suchlauf war mit der Kombination von Überweisungen über genau 79,99 $ an einen bestimmten Empfänger bei einer bestimmten Bank in einer Art und Weise ausgestaltet, dass nur Treffer hinsichtlich Personen zu erwarten waren, für die eine erhebliche Wahrscheinlichkeit für die Tatbegehung bestand. Nur diese Personen wurden identifiziert und nur deren personenbezogene Daten wurden an die Staatsanwaltschaft übermittelt. Im Übrigen blieb es bei einer rein maschinellen Überprüfung der Bankkunden, deren Daten anonym und spurenlos aus dem Suchlauf ausgeschieden wurden. Dies stellt – wie das Bundesverfassungsgericht entschieden hat – kein Eingriff in das informationelle Selbstbestimmungsrecht der Bankkunden dar. Insoweit sehen wir nicht, wo im Sinne des § 28 Abs. 3 Satz 1 Nr. 2 BDSG ein schutzwürdiges Interesse der Kunden am Ausschluss der Nutzung ihrer Daten für einen solchen Suchlauf liegen sollte.

Auch eine Verletzung des Bankgeheimnisses durch die Übermittlung der Treffer aus dem Suchlauf sehen wir nicht. Die Datenübermittlung war nach § 28 Abs. 3 Satz 1 Nr. 2 BDSG zulässig. Das Bankgeheimnis ist zwar bei der Prüfung, ob ein schutzwürdiges Interesse der Betroffenen am Ausschluss der Übermittlung der Daten vorliegt, zu berücksichtigen. Solange aber nur personenbezogene Daten von Personen übermittelt werden, bei denen ein erheblicher Tatverdacht besteht, fehlt es an der Schutzwürdigkeit entgegenstehender Interessen der Betroffenen.

Mit freundlichen Grüßen

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (noch nicht bewertet)
Loading...
6.889mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Metaowl-Watchblog

8 Kommentare »


  1. Idee gut - Inhalt nochmal überarbeiten? — 15. März 2007 @ 19.43 Uhr

    Wirkt etwas „krude“ formuliert und enthält Grammatikfehler:
    „Wegen Datenschutzrecht und insbesondere dem Bankgeheimnis“

    Uuuuaaaah. Der Genitiv ist noch lange nicht abgeschafft. Das ist Dialekt!


  2. Idee gut + gute Umsetzung — 15. März 2007 @ 22.30 Uhr

    Tja, „Der Dativ ist dem Genitiv sein Tod“ von B.Sick 🙂

    Nettes Buch, nur zu empfehlen.


  3. Anonymous — 16. März 2007 @ 14.43 Uhr

    Hmm soweit ich weiss, ist es mittlerweile grammatikalisch korrekt, wenn auch umgangssprachlich, nach „wegen“ den Dativ zu benutzen… und wenn schon. So wie ich das sehe, kommt es hier auf den Geschmack der Suppe an und nicht auf die Farbe.


  4. Welche Behörde? — 16. März 2007 @ 20.38 Uhr

    Hallo!

    Ich werde diesen Brief ebenfalls weiterleiten.

    Eine Frage habe ich vorher jedoch: Welche ist denn die zuständige Aufsichtsbehörde? Die der Stadt in der ich wohne und in der sich meine Filiale befindet oder die, in der meine Bank ihren zentralen Sitz hat?

    Gruß, die Sophie


  5. Re: Welche Behörde? — 16. März 2007 @ 21.36 Uhr

    Hallo, Sophie,

    zuständig ist die Aufsichtsbehörde, in deren Bezirk deine Bank ihren Sitz hat.


  6. Re: Welche Behörde? — 16. März 2007 @ 23.02 Uhr

    Dankeschön! Sowohl für die Hilfe als auch den Brief selbst…


  7. Antwort auf diesen Brief von der Datenschutzbehörde — 24. März 2007 @ 15.50 Uhr

    Hallo,

    ich habe diesen Brief (danke übrigens dafür!!!) nun auch an meine zuständige Stelle gesandt, insbesonders mit der Bitte, die Rechtswidrigkeit des Verhaltens meiner Bank festzustellen. Hier die Antwort:

    Sehr geehrter Herr …..,

    wie bereits in meiner Mail vom 12. Februar 2007 mitgeteilt, war das Auskunftsverfahren datenschutzechtlich nicht zu beanstanden.
    Rechtsgrundlage für das Auskunftsersuchen waren die §§ 160 der Strafprozeßordnung. Anhaltspunkte für eine Verletzung von
    datenschutzrechtlichen Vorschriften durch die XYZ Bank bestehen nicht. Insbesondere sind nicht Daten zu Tausenden von
    unbeteiligten Kreditkarteninhabern abgefragt und schon gar nicht an die Staatsanwaltschaft übermittelt worden.

    Mit freundlichen Grüßen

    Also bleibt wohl nur nur der Rechtsweg…. *grmbl*

    mfg


  8. Anonymous — 21. April 2007 @ 13.40 Uhr

    hallo leute,
    ich würde mich nicht an irgendwelchen grammatikfehlern hochziehen, sondern einfach mal feststellen, dass fast alle banken in vorauseilendem gehorsam die gewünschten daten gescannt und herausgegeben haben – ohne gesetzliche grundlage! ich finde kinderpornografie auch zum kotzen, aber wann kommt die nächste sauerei, die angeblich nur mit neuen kreativen methoden bekämpft werden muss. die sache ist doch die, dass erstmal alles mit angeblicher bekämpfung des terrorismus durchgedrückt wird und anschließend „schwerverbrecher“ wie parksünder oder mauerpinkler damit verfolgt werden …

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: