Wenn Polizei, Staatsanwaltschaft oder eine andere Ermittlungsbehörde bei einem Unternehmen anfragt und personenbezogene Daten, Unterlagen oder sonstige Informationen verlangt, entsteht häufig erheblicher Zeitdruck. Nicht selten wird erwartet, dass die gewünschten Angaben möglichst kurzfristig übermittelt werden. Unternehmen oder Einrichtungen (wo das ja relativ häufig auftritt) sollten solche Anfragen jedoch weder reflexartig erfüllen noch pauschal zurückweisen. Denn für die rechtliche Bewertung kommt es entscheidend darauf an, wer welche Informationen aus welchem Grund und auf welcher Rechtsgrundlage verlangt. Ebenso wichtig ist die Frage, ob das Unternehmen tatsächlich zur Herausgabe verpflichtet ist oder ob eine Datenübermittlung lediglich datenschutzrechtlich zulässig sein könnte.
Die wichtigste Regel lautet daher:
Nicht jede Behördenanfrage muss beantwortet werden. Nicht jede Behördenanfrage darf beantwortet werden. Und nicht jede zulässige Datenübermittlung ist zugleich verpflichtend. Und ganz besondere Aufmerksamkeit ist erforderlich, wenn die Daten einem Berufsgeheimnis und Beschlagnahmeschutz unterliegen.
Eine Anfrage der Polizei ist noch keine Rechtsgrundlage
Dass ein Schreiben von einer Polizeidienststelle oder Staatsanwaltschaft stammt, bedeutet für sich genommen nicht, dass sämtliche angeforderten Daten herausgegeben werden dürfen oder müssen.
Die Strafprozessordnung räumt Staatsanwaltschaft und Polizei weitreichende Ermittlungsbefugnisse ein. Die Staatsanwaltschaft hat nach § 160 StPO den Sachverhalt zu erforschen und dabei sowohl belastende als auch entlastende Umstände zu ermitteln. § 161 StPO enthält allgemeine Ermittlungsbefugnisse der Staatsanwaltschaft. Auch die Polizei hat nach § 163 StPO Ermittlungsaufgaben.
Davon zu unterscheiden ist jedoch die Frage, ob ein privates Unternehmen aufgrund dieser Anfrage zur Mitwirkung verpflichtet ist. Gerade diese Trennung wird in der Praxis häufig übersehen.
Das Unternehmen muss deshalb regelmäßig zwei Fragen getrennt beantworten:
1. Darf die Behörde die betreffende Information verlangen?
und
2. Darf oder muss das Unternehmen diese Information tatsächlich übermitteln?
Erst wenn beide Seiten geprüft worden sind, sollte über eine Herausgabe entschieden werden.
Zunächst muss geklärt werden, um welche Art von Anfrage es sich handelt
Die Überschrift eines Schreibens ist nicht entscheidend. Maßgeblich ist sein tatsächlicher Inhalt.
Bei einer Behördenanfrage kann es sich beispielsweise handeln um
- eine unverbindliche Bitte um Informationen,
- ein Auskunftsersuchen,
- ein konkretes Herausgabeverlangen,
- eine Zeugenladung,
- eine Sicherstellung oder Beschlagnahme,
- eine Durchsuchungsmaßnahme oder
- eine Maßnahme der Gefahrenabwehr.
Die Rechtsfolgen unterscheiden sich erheblich.
Eine bloße Bitte um freiwillige Auskunft ist rechtlich etwas anderes als eine auf eine konkrete gesetzliche Vorschrift gestützte Herausgabepflicht oder eine Beschlagnahme. Deshalb sollte das Unternehmen erforderlichenfalls zunächst von der anfragenden Behörde eine Konkretisierung verlangen. Eine zweite Meinung bei der Einordnung ist auch immer hilfreich.
Zeugenladung ist nicht gleich Auskunftsersuchen
Besondere Vorsicht ist geboten, wenn Beschäftigte eines Unternehmens als Zeugen angesprochen oder geladen werden. Nach § 161a StPO sind Zeugen grundsätzlich verpflichtet, auf eine Ladung der Staatsanwaltschaft zu erscheinen und zur Sache auszusagen, soweit kein Zeugnis- oder Auskunftsverweigerungsrecht besteht.
Bei einer Ladung durch Ermittlungspersonen der Staatsanwaltschaft – insbesondere durch die Polizei – besteht diese Verpflichtung nach § 163 Abs. 3 StPO nur dann, wenn der Ladung ein Auftrag der Staatsanwaltschaft zugrunde liegt (was m.E. meist anzunehmen ist).
Außerdem ist zu beachten: Ein Unternehmen als juristische Person ist nicht selbst „Zeuge“. Es muss daher geklärt werden, welche natürliche Person geladen wird und in welcher Eigenschaft sie aussagen soll.
Zusätzlich können Zeugnis- und Auskunftsverweigerungsrechte relevant sein. Dies gilt besonders bei Berufsgeheimnisträgern und Informationen aus geschützten Vertrauensverhältnissen.
Herausgabe, Sicherstellung und Beschlagnahme unterscheiden
Werden Unterlagen, Datenträger oder andere Gegenstände verlangt, muss ebenfalls genau geprüft werden, welche Maßnahme vorliegt. § 94 StPO regelt die Sicherstellung und Beschlagnahme von Gegenständen, die für eine Untersuchung als Beweismittel von Bedeutung sein können. Befinden sich entsprechende Gegenstände im Gewahrsam einer Person und werden sie nicht freiwillig herausgegeben, bedarf es grundsätzlich einer Beschlagnahme. § 95 StPO enthält unter den dortigen Voraussetzungen eine Herausgabepflicht. Daneben können insbesondere Beschlagnahmeverbote nach § 97 StPO und Schutzvorschriften für Berufsgeheimnisträger nach § 160a StPO eingreifen.
Vor einer „freiwilligen“ Herausgabe sollte deshalb geklärt werden, ob tatsächlich nur um freiwillige Mitwirkung gebeten wird oder bereits eine verbindliche Maßnahme vorliegt. Wenn personenbezogenen Daten betroffen sind, kann man ohne weitere rechliche Prüfung keine Daten einfach freiwillig herausgeben.
Findet bereits eine Durchsuchung oder Beschlagnahme statt, sollte (darf!) die Maßnahme nicht behindert werden. Gleichzeitig empfiehlt es sich, soweit dies ohne Behinderung der Maßnahme möglich ist, den Umfang der Maßnahme, die handelnden Personen und die mitgenommenen oder kopierten Unterlagen nachvollziehbar zu dokumentieren und frühzeitig anwaltlichen Beistand hinzuzuziehen. Sofern eine Beschlagnahmeverbot besteht sollte ausdrücklich daraus hingewiesen werdern.
Auch die DSGVO gilt bei der Übermittlung an Ermittlungsbehörden
Ein weiterer häufiger Irrtum besteht darin, anzunehmen, dass eine Datenweitergabe an Polizei oder Staatsanwaltschaft datenschutzrechtlich nicht geprüft werden müsse. Das ist für private Unternehmen grundsätzlich nicht richtig. Die Übermittlung personenbezogener Daten an eine Behörde ist eine Verarbeitung personenbezogener Daten. Das Unternehmen benötigt deshalb für die eigene Datenübermittlung eine datenschutzrechtliche Grundlage.
In Betracht kommen je nach Sachverhalt beispielsweise Art. 6 Abs. 1 lit. c DSGVO bei einer rechtlichen Verpflichtung oder unter bestimmten Voraussetzungen andere Rechtsgrundlagen des Art. 6 DSGVO. Art. 6 DSGVO verlangt grundsätzlich eine Rechtsgrundlage für jede Verarbeitung. Dabei muss ein wichtiger Unterschied beachtet werden:
Eine datenschutzrechtliche Erlaubnis zur Weitergabe ist nicht automatisch eine Verpflichtung zur Weitergabe.
Eine Behörde kann daher um Informationen bitten, deren Übermittlung datenschutzrechtlich möglicherweise zulässig (oder schlicht unzulässig) wäre, ohne dass das Unternehmen verpflichtet wäre, diese freiwillig zur Verfügung zu stellen.
Welche Bedeutung hat § 24 BDSG?
Bei Anfragen im Zusammenhang mit Straftaten wird zu Recht häufig § 24 BDSG genannt. Nach § 24 Abs. 1 Nr. 1 BDSG kann eine nichtöffentliche Stelle personenbezogene Daten unter den dort genannten Voraussetzungen zu einem anderen Zweck verarbeiten, wenn dies zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist und die entgegenstehenden Interessen der betroffenen Person nicht überwiegen. Daraus sollte jedoch keine pauschale Herausgabepflicht abgeleitet werden. § 24 BDSG kann unter bestimmten Voraussetzungen eine zweckändernde Verarbeitung ermöglichen. Ob die konkrete Übermittlung zulässig ist, muss dennoch im Einzelfall geprüft werden. Erforderlichkeit, Interessen der betroffenen Person und weitere Schutzvorschriften bleiben zu berücksichtigen.
Besondere Vorsicht bei Gesundheitsdaten und Berufsgeheimnissen
Besonders anspruchsvoll wird die Prüfung, wenn Gesundheitsdaten, genetische oder biometrische Daten oder andere besondere Kategorien personenbezogener Daten betroffen sind. Hier genügt die Prüfung des Art. 6 DSGVO nicht. Zusätzlich müssen die besonderen Voraussetzungen des Art. 9 DSGVO berücksichtigt werden. Art. 9 DSGVO stellt die Verarbeitung solcher Daten grundsätzlich unter einen besonderen Schutz. § 24 Abs. 2 BDSG verlangt für die zweckändernde Verarbeitung besonderer Kategorien personenbezogener Daten zusätzlich einen Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO oder § 22 BDSG. Aber bei Ärzten, therapeutischen Einrichtungen, Pflegeeinrichtungen, Beratungsstellen und anderen Berufsgeheimnisträgern kommen weitere Vorschriften hinzu. Insbesondere können § 203 StGB sowie Zeugnisverweigerungsrechte und strafprozessuale Beschlagnahmeverbote relevant werden. Eine datenschutzrechtliche Rechtsgrundlage beseitigt eine daneben bestehende berufliche oder strafrechtlich geschützte Verschwiegenheitspflicht nicht automatisch. Zeugnisverweigerungsrechte sind hier auch so etwas wie eine Verweigerungspflicht. Gerade bei Gesundheits- und Sozialdaten sollte deshalb vor einer Offenlegung regelmäßig eine besonders sorgfältige Einzelfallprüfung erfolgen.
Polizeiliche Gefahrenabwehr ist von Strafverfolgung zu unterscheiden
Nicht jede Anfrage der Polizei erfolgt zur Strafverfolgung. Die Polizei kann auch zur Gefahrenabwehr (Sicherheitheit und Ordnung) tätig werden. Welche Befugnisse ihr dabei zustehen, richtet sich grundsätzlich nach dem jeweils einschlägigen Polizeirecht des Bundeslandes. Deshalb kann bei einer polizeilichen Anfrage von erheblicher Bedeutung sein, in welchem Bundesland die Maßnahme erfolgt und auf welche konkrete gefahrenabwehrrechtliche Vorschrift sich die Polizei beruft.
Bei einer akuten Gefahr für Leib oder Leben darf eine notwendige Hilfe selbstverständlich nicht durch unnötige Formalitäten verzögert werden. Die Polizei ist dann u.U. auch befugt unmittelbaren Zwang anzuwenden. Auch dann sollte die Datenübermittlung jedoch grundsätzlich auf die Informationen beschränkt werden, die zur Abwehr der konkreten Gefahr erforderlich sind. Die Entscheidung sollte anschließend nachvollziehbar dokumentiert werden.
Keine sensible Auskunft aufgrund eines bloßen Telefonanrufs
Auch die Identität des Anfragenden gehört zur Prüfung. Ein Anruf mit der Behauptung „Hier ist die Polizei“ oder eine E-Mail mit einem vermeintlich behördlichen Absender sollte bei sensiblen Daten nicht ohne Weiteres Grundlage einer Offenlegung sein. Bei Zweifeln empfiehlt es sich, die Identität unabhängig zu überprüfen, beispielsweise über eine selbst ermittelte offizielle Telefonnummer der betreffenden Dienststelle. Besonders bei ungewöhnlichen Anfragen sollte nicht ausschließlich auf Telefonnummern, E-Mail-Adressen oder Links zurückgegriffen werden, die in der eingegangenen Nachricht angegeben sind.
Datenminimierung gilt auch gegenüber Behörden
Selbst wenn eine Datenübermittlung grundsätzlich zulässig oder verpflichtend ist, bedeutet dies nicht, dass der vollständige vorhandene Datenbestand herausgegeben werden darf.
Unternehmen sollten prüfen,
- welche Person betroffen ist,
- welcher Zeitraum relevant ist,
- welche Datenkategorien tatsächlich benötigt werden,
- ob Informationen über unbeteiligte Dritte enthalten sind und
- ob Teile von Dokumenten geschwärzt werden können oder müssen.
Der Grundsatz der Datenminimierung gehört zu den zentralen Grundsätzen des Datenschutzrechts. Eine Formulierung wie „übersenden Sie sämtliche zu der Person vorhandenen Informationen“ sollte deshalb nicht ungeprüft zum Export des vollständigen Kunden-, Patienten- oder Beschäftigtendatensatzes führen.
Müssen Betroffene über die Übermittlung informiert werden?
Bei einer späteren Weiterverarbeitung für einen anderen Zweck können insbesondere Art. 13 Abs. 3 beziehungsweise Art. 14 Abs. 4 DSGVO relevant werden. Auch diese Entscheidung gehört deshalb in die dokumentierte rechtliche Prüfung. Das deutsche Datenschutzrecht sieht daneben in §§ 32 und 33 BDSG weitere Ausnahmen von Informationspflichten vor. Es wäre jedoch zu pauschal, Betroffene grundsätzlich nie über eine Datenweitergabe an Ermittlungsbehörden zu informieren. Umgekehrt kann eine Information im konkreten Fall Ermittlungen gefährden oder aufgrund gesetzlicher Vorschriften ausgeschlossen oder zurückzustellen sein.
Ein praktikabler Ablauf für Unternehmen
Für Unternehmen und Einrichtungen empfiehlt es sich, bereits vor dem ersten Behördenersuchen einen verbindlichen internen Prozess festzulegen.
In der Praxis haben sich insbesondere folgende Schritte bewährt:
- Anfrage sichern und dokumentieren. Schreiben, E-Mail, Anlagen, Eingangsdatum und sonstige Informationen sollten unverändert erhalten bleiben.
- Keine spontane Sachauskunft erteilen. Der Eingang kann bestätigt werden. Die eigentliche Datenübermittlung sollte erst nach Prüfung erfolgen.
- Identität und Zuständigkeit verifizieren. Behörde, Dienststelle, Ansprechpartner, Aktenzeichen und unabhängige Kontaktmöglichkeit sollten festgestellt werden.
- Art der Maßnahme bestimmen. Handelt es sich um eine freiwillige Anfrage, Zeugenladung, Herausgabeverlangen, Beschlagnahme oder Gefahrenabwehr?
- Rechtsgrundlage der Behörde und eigene Rechtsgrundlage getrennt prüfen.
- Pflicht und bloße Erlaubnis unterscheiden.
- Besondere Schutzvorschriften prüfen. Dies gilt insbesondere für Gesundheitsdaten, Berufsgeheimnisse und mögliche Zeugnisverweigerungsrechte.
- Datenumfang minimieren. Nur erforderliche und von der Rechtsgrundlage erfasste Daten freigeben.
- Empfänger und Übermittlungsweg absichern.
- Die Entscheidung dokumentieren. Festgehalten werden sollten insbesondere Rechtsgrundlage, Datenumfang, Empfänger, Zeitpunkt, Prüfer und die Entscheidung über mögliche Informationspflichten.
Ein Vier-Augen-Prinzip und die frühzeitige Einbindung des Datenschutzbeauftragten können hierbei sinnvoll sein.
Wann sollte anwaltlicher Rat eingeholt werden?
Eine kurzfristige rechtliche Prüfung ist insbesondere empfehlenswert bei
- Durchsuchungen, Beschlagnahmen oder Sicherstellungen,
- sehr kurzen behördlichen Fristen,
- unklarer Rechtsgrundlage,
- weit gefassten Datenanforderungen,
- Gesundheits- oder Sozialdaten,
- Berufsgeheimnissen,
- möglichen Zeugnis- oder Auskunftsverweigerungsrechten,
- Zeugenladungen mit unklarer Grundlage,
- Datenübermittlungen an ausländische Behörden,
- gefahrenabwehrrechtlichen Maßnahmen,
- bereits erfolgten möglicherweise unzulässigen Datenübermittlungen oder
- gleichzeitig bestehenden datenschutz-, strafprozess- und berufsrechtlichen Fragestellungen.
Gerade in diesen Fällen kann eine vorschnelle Datenweitergabe ebenso problematisch sein wie die unberechtigte Verweigerung einer rechtmäßigen Maßnahme.
Schriftliche Handlungsempfehlung für Ihr Unternehmen oder Ihre Einrichtung
Damit Beschäftigte bei einem Auskunftsersuchen von Polizei, Staatsanwaltschaft oder anderen Behörden nicht erst im konkreten Ernstfall entscheiden müssen, empfiehlt sich eine schriftliche unternehmensbezogene Handlungsempfehlung. Eine solche Handlungsempfehlung kann insbesondere einen verbindlichen internen Ablauf, Zuständigkeiten, eine Sofort-Checkliste, einen Entscheidungsbaum, Vorgaben zur Identitätsprüfung und Datenübermittlung sowie Muster für Rückfragen und die interne Dokumentation enthalten.
Eine entsprechende schriftliche Handlungsempfehlung zum Umgang mit Auskunftsersuchen von Polizei und Justizbehörden kann auf Nachfrage über meine Kanzlei bezogen beziehungsweise auf die Anforderungen Ihres Unternehmens oder Ihrer Einrichtung angepasst werden.
Eine individuelle Fassung ist insbesondere dann sinnvoll, wenn regelmäßig besonders schutzbedürftige Daten verarbeitet werden, etwa im Gesundheits-, Pflege- oder Sozialbereich.
Beratung bei konkreten Behördenanfragen und zum Datenschutzrecht
Meine Kanzlei berät Unternehmen und Einrichtungen bei datenschutzrechtlichen und IT-rechtlichen Fragestellungen sowie bei der Gestaltung rechtssicherer interner Datenschutzprozesse.
Bei einem konkreten Auskunftsersuchen unterstütze ich insbesondere bei der Prüfung,
- ob und in welchem Umfang eine Herausgabe- oder Auskunftspflicht besteht,
- auf welcher datenschutzrechtlichen Grundlage Daten übermittelt werden dürfen,
- ob Berufsgeheimnisse oder Zeugnisverweigerungsrechte betroffen sind,
- welche Daten tatsächlich herausgegeben werden dürfen oder müssen,
- wie gegenüber der anfragenden Behörde reagiert werden sollte und
- welche Dokumentations- und Informationspflichten zu berücksichtigen sind.
Daneben unterstütze ich Unternehmen bei der Erstellung und Überarbeitung interner Datenschutzrichtlinien, organisatorischer Abläufe und Handlungsempfehlungen sowie bei sonstigen Fragestellungen aus Datenschutz-, Datensicherheits- und IT-Recht.
Bei einer bereits eingegangenen behördlichen Anfrage sollte aufgrund möglicher kurzer Fristen möglichst frühzeitig geprüft werden, welche Reaktion erforderlich ist.
Thematisch passende Beiträge auf meiner Website
BGH: Klinik wird zur Auskunftserteilung über die Adresse eines Patienten verpflichtet – ein thematisch verwandter Beitrag zur Weitergabe von Patientendaten, datenschutzrechtlichen Grenzen und § 203 StGB. Beitrag auf anwalt-willich.de öffnen