In einem aktuellen Leitentscheid erklärt das Bundesgericht die Schweizer Regelung zur Vorratsdatenspeicherung für zulässig. Das höchste Schweizer Gericht gelangt damit zu einem grundlegend anderen Schluss als der Europäische Gerichtshof (EuGH). Dieser hatte in zwei Urteilen eine allgemeine und unterschiedslose Vorratsspeicherung sämtlicher Verkehrs- und Standortdaten als unverhältnismässig beurteilt. Diese Einschätzung teilt das Bundesgericht, wie bereits die Vorinstanz, nicht, obwohl auch das Schweizer Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) eine solche pauschale Datenspeicherung sämtlicher Personen verlangt, die Fernmeldedienste nutzen. Die Beschwerdeführer haben bereits angekündigt, das Urteil beim Europäischen Gerichtshof für Menschenrechte (EGMR) anzufechten. Das Letzte Wort ist deshalb noch nicht gesprochen. Aus Sicht der Fernmeldedienstanbieterinnen von erheblicher Tragweite ist allerdings, dass sich das datenschutzrechtliche Auskunftsrecht der betroffenen Personen laut Bundesgericht auch auf die über sie gespeicherten Randdaten erstreckt.

Ausgangslage: Unzulässigkeit im Ausland und umstrittene Schweizer Gesetzesrevision

Bereits im April 2014 erklärte der Europäische Gerichtshof (EuGH) die massgebende EU-Richtlinie, welche eine Vorratsdatenspeicherung zwischen sechs und maximal 24 Monaten vorsah, für unverhältnismässig und damit ungültig (vgl. MLL-News vom 11.4.2014). Daran anknüpfend gelangte auch der österreichische Verfassungsgerichtshof zum gleichen Schluss hinsichtlich der nationalen Umsetzung der EU-Richtlinie (vgl. MLL-News vom 9.7.2014). Ausgehend davon sah sich Grossbritannien sodann gezwungen, die Vorratsdatenspeicherung per Notgesetz zu sichern (vgl. MLL-News vom 15.8.2014).

In der Schweiz war zu diesem Zeitpunkt eine Totalrevision des BÜPF in vollem Gang. Die Vorlage war stark umstritten (vgl. hierzu MLL-News vom 18.4.2016). Letzten Endes lief die Referendumsfrist gleichwohl am 7. Juli 2016 unbenutzt ab. Vor diesem Hintergrund wurde der Ausgang des aktuellen Verfahrens mit grosser Spannung verfolgt. Obwohl das revidierte Gesetz mittlerweile in Kraft getreten ist (vgl. MLL-News vom 2.12.2017), beurteilte das Bundesgericht die Beschwerde gestützt auf die gesetzliche Übergangsregelung noch nach dem „alten“ Recht.

Die Digitale Gesellschaft gegen den Dienst ÜPF

Auslöser des Verfahrens war ein Gesuch der Organisation „Digitale Gesellschaft“. Darin verlangte sie vom Dienst Überwachung Post- und Fernmeldeverkehr (Dienst ÜPF) unter anderem, keine sog. Randdaten mehr zu speichern und bereits gespeicherte Randdaten zu löschen, soweit die betroffenen Daten nicht für die Erbringung der vertraglichen Leistungen gegenüber den Gesuchstellern erforderlich sei.

Verfassungswidriger Grundrechtseingriff durch Vorratsspeicherung von sog. Randdaten?

Die strittige Vorratsdatenspeicherung betrifft die Aufbewahrung sogenannter Randdaten. Als Randdaten gelten äussere Daten des Kommunikationsvorgangs, aus denen über einen längeren Zeitraum hervorgeht, mit wem, wann, wie lange und von wo aus eine Person Verbindung hat oder gehabt hat, sowie die technischen Merkmale der entsprechenden Verbindung (vgl. Art. 8 lit. b nBÜPF). Die Randdaten werden unabhängig von der Form der Übertragung – wie z.B. Telefon, SMS/MMS, E-Mail oder Internet – gespeichert. Davon zu unterscheiden ist der Inhalt der Kommunikation, welcher nicht erfasst wird. Randdaten können namentlich auf gerichtliche Anordnung hin in einem späteren Strafverfahren verwendet werden.

Nach Ansicht der Beschwerdeführer verletzt die Speicherung und Aufbewahrung von Randdaten in schwerwiegender Weise deren grund- und völkerrechtlichen Anspruch auf Achtung des Fernmeldeverkehrs resp. auf Vertraulichkeit ihrer Kommunikation und ihr Recht auf Schutz vor Missbrauch persönlicher Daten. Ferner würden weitere Grundrechte wie die Meinungs- und Versammlungsfreiheit eingeschränkt, da die Speicherung von Randdaten ein subjektives Gefühl des Überwachtwerdens bewirke.

Laut Bundesgericht kein schwerer Grundrechtseingriff

Anders als noch das Bundesverwaltungsgericht (MLL-News vom 29.11.2016), entschied das Bundesgericht in seinem Urteil vom 2. März 2018 (1C_598/2016), dass die im bisherigen BÜPF vorgesehene Vorratsdatenspeicherung keinen schweren Eingriff in die Grundrechte der Betroffenen darstelle. Es räumte zwar ein, dass die Zusammenführung von Randdaten bzw. deren Kombination mit anderweitig erhobenen Daten es ermögliche, Profile zu erstellen, insbesondere Persönlichkeits- bzw. Bewegungsprofile oder solche über das Kommunikationsverhalten an sich. Das Bundesgericht betonte allerdings, dass im vorliegenden (verwaltungsrechtlichen) Verfahren nur die Speicherung der Daten durch die Fernmeldeanbieterinnen und nicht der Aspekt des Zugriffs auf diese Daten durch die Strafverfolgungsbehörden zu beurteilen sei.

Laut Bundesgericht ermöglicht denn auch erst der Zugang zu den Randdaten und deren Auswertung durch die Strafverfolgungsbehörden im Einzelfall, Erkenntnisse aus den gesammelten Informationen zu gewinnen und durch deren Verbindung allenfalls gewisse (Bewegungs-) Muster zu bilden. Demgegenüber würden die Randdaten auf der vorgelagerten Stufe der Speicherung noch nicht zusammengeführt, weshalb auch keine sensiblen Profile gebildet werden könnten, die eine Beurteilung von wesentlichen Aspekten des Privatlebens erlauben würden. Ferner verbleiben die Daten gemäss Bundesgericht während der Aufbewahrungsdauer in der Sphäre der Fernmeldedienstanbieterinnen, ohne dass eine Sichtung oder Verknüpfung mit anderen Daten stattfinden würde.

Folglich handelt es sich nach Ansicht des Bundesgerichts aufgrund der Masse der erfassten Daten und der grossen Anzahl der betroffenen Personen zwar um einen wesentlichen Grundrechtseingriff, der aber erst mit dem Zugriff und der Nutzung dieser Daten durch die Behörden erheblich an Intensität zunimmt.

Genügende gesetzliche Grundlage und sehr gewichtiges öffentliches Interesse

Eingriffe in Grundrechte sind nur dann zulässig, wenn hierfür eine gesetzliche Grundlage und ein öffentliches Interesse bestehen. Beide Anforderungen sind gemäss Bundesgericht im vorliegenden Fall gegeben.

In Bezug auf die gesetzliche Grundlage erachtete das Bundesgericht die (bisherige) Regelung in Art. 15 Abs. 3 BÜPF als genügend klar formuliert, damit die Rechtsunterworfenen ihr Verhalten danach ausrichten und die Folgen ihres Verhaltens erkennen können. Aus der Regelung im BÜPF gehe hervor, dass die Fernmeldedienstanbieterinnen mehr Daten erfassen als für die Rechnungsstellung nötig. Zudem sei für den Einzelnen aufgrund des Umfangs der Datenspeicherung erkennbar, dass daraus – jedenfalls bei einer Verknüpfung mit weiteren Daten – sensible Informationen gewonnen werden können.

Die Vorratsdatenspeicherung verfolgt sodann gemäss Bundesgericht primär das Ziel, die Verfügbarkeit von Randdaten für die Aufklärung von Straftaten sicherzustellen. Sie diene deshalb nicht nur der öffentlichen Sicherheit und Ordnung, indem sie zur Ermittlung und damit Verhütung von Straftaten beiträgt, sondern schütze ebenso die Rechte und Freiheiten Dritter. Folglich liege ein sehr gewichtiges öffentliches Interesse vor.

Vorratsdatenspeicherung nach BÜPF ist verhältnismässig

Die entscheidende Frage war deshalb auch vor Bundesgericht, ob die Vorratsdatenspeicherung verhältnismässig ist. Unter Berufung auf die Urteile des EuGH argumentierten die Beschwerdeführer, dass es auch bei der Regelung des BÜPF an einer Eingrenzung der Vorratsdatenspeicherung in persönlicher, sachlicher und zeitlicher Hinsicht fehle. Der EuGH verneinte die Verhältnismässigkeit im Wesentlichen deshalb, weil sich die strittige Vorratsdatenspeicherung generell auf alle Personen, alle elektronischen Kommunikationsmittel sowie auf sämtliche Verkehrsdaten erstrecke, ohne irgendeine Differenzierung, Einschränkung oder Ausnahme vorzusehen.

Das Bundesgericht verweist einleitend darauf, dass die Urteile des EuGH zwar für die Rechtsfortbildung in der Schweiz nicht bedeutungslos, gleichwohl aber nicht verbindlich seien. Abgesehen von gewissen Zweifeln an der Praktikabilität einzelner, darin vorgesehener Einschränkungen der Datenerfassung, treffen die Urteile des EuGH die Vorratsdatenspeicherung im Kern, so das Bundesgericht weiter. Das Wesen der Vorratsdatenspeicherung bestehe gerade darin, die Randdaten über eine gewisse Zeitspanne aufzubewahren, ohne zu wissen, ob sie für eine allfällige künftige Strafuntersuchung von Bedeutung sein werden oder nicht. Für dieses System habe sich der Schweizer Gesetzgeber ausdrücklich ausgesprochen und diesen Entscheid im Rahmen der Totalrevision des BÜPF bekräftigt. Das von den Beschwerdeführern erwähnte „quick freeze“-Verfahren, welches weniger stark in die Grundrechte eingreifen würde, wurde vom Parlament explizit verworfen. Da dieses Verfahren jedoch eine geringere Zwecktauglichkeit aufweise als das geltende System und somit nicht den vom Gesetzgeber erwünschten Erfolg herbeiführen könne, kann daraus gemäss Bundesgericht ohnehin nicht die fehlende Verhältnismässigkeit der geltenden Vorratsdatenspeicherung abgeleitet werden.

Das Bundesgericht erläutert sodann die Voraussetzungen, unter welchen die Strafverfolgungsbehörden Zugriff auf die gespeicherten Daten haben. Nach der gesetzlichen Regelung hätten die Strafverfolgungsbehörden keinen direkten und uneingeschränkten Zugriff auf die Daten. Vielmehr unterliege der Zugriff strengen Anforderungen, die insbesondere hinsichtlich des Personenkreises, der Art sowie des Umfangs der Daten zu massgeblichen Einschränkungen führen, und zusammen mit zahlreichen Schutzmechanismen dazu beitragen, das Ermessen und die Zugriffsmöglichkeiten der Strafbehörden einzudämmen.

Gleichwohl betont das Bundesgericht, dass die systematische Datenspeicherung von angemessenen und wirkungsvollen rechtlichen Schutzvorkehrungen begleitet werden müsse, so dass Missbräuchen und Willkür vorgebeugt werden kann. Auch diesbezüglich teilte das Bundesgericht jedoch die Bedenken der Beschwerdeführer nicht. Das Bundesgericht entgegnet zunächst, geschuldet sei kein absoluter Schutz vor Missbrauch der Daten. Ein solcher könne auch nie gänzlich verhindert werden. Vielmehr müssen die technischen und organisatorischen Massnahmen bei gesamthafter Beurteilung den bestehenden Risiken und dem Stand der Technik angemessen sein. Das Bundesgericht verweist dabei auf die Vorgaben der Datenschutzverordnung hinsichtlich Datensicherheit (Art. 8 ff. VDSG) sowie interne Richtlinien des Dienstes ÜPF. Insbesondere Verstösse gegen das Fernmeldegeheimnis seien sodann auch strafrechtlich sanktioniert. Laut Bundesgericht sind schliesslich keinerlei Anzeichen dafür ersichtlich, das Hacker oder ausländische Behörden auf Randdaten hätten zugreifen wollen oder diese Daten durch die Fernmeldedienstanbieterinnen unbefugten Dritten zugänglich gemacht worden seien. Es dürfe deshalb davon ausgegangen werden, dass die geltenden Vorschriften zur Datensicherheit eingehalten würden.

In Bezug auf die Aufbewahrungsdauer der Daten von sechs Monaten hielt das Bundegericht fest, dass die Aufklärung schwerer Delikte oft viel Zeit in Anspruch nehme. Es handle sich oft um komplexe und umfangreiche Verfahren, in die viele Personen involviert seien.

Vor diesem Hintergrund betrachtete das Bundesgericht sechsmonatige Speicherung als angemessen und die Vorratsdatenspeicherung insgesamt als verhältnismässig.

Datenschutzrechtliches Auskunftsrecht gilt auch für Randdaten

Besonders hervorzuheben sind schliesslich die Ausführungen des Bundesgerichts zum datenschutzrechtlichen Auskunftsrecht (Art. 8 DSG). Die Frage, ob und inwiefern den Betroffenen gegenüber den Fernmeldedienstanbieterinnen ein Auskunftsrecht zusteht, stellte sich im Rahmen der Beurteilung der Schutzvorkehrungen gegen unsachgemässe Datenbearbeitungen.

Die Fernmeldedienstanbieterinnen vertraten den Standpunkt, dass sie keine Auskünfte zu den über eine Person gespeicherten Randdaten erteilen müssen. Sie beriefen sich dabei auf die Regelung im Fernmelderecht (Art. 45 FMG i.V.m. Art. 81 f. FDV), welche eine Ausnahme zum datenschutzrechtlichen Auskunftsrecht darstelle. Dieser Auffassung widersprach das Bundesgericht und wies auf die zentrale Bedeutung des Auskunftsrechts hin. Sofern den Betroffenen lediglich Auskünfte über die für die Rechnungsstellung nötigen Daten erteilt werden müssten, so wie dies die fernmelderechtliche Regelung verlangt, würden die Betroffenen gemäss Bundesgericht nicht nur der Möglichkeit beraubt, die Einhaltung des Datenschutzrechts zu kontrollieren, sondern auch ihre übrigen Rechte wahrzunehmen, insb. sich beim EDÖB zu beschweren.

Die Bedenken der Fernmeldedienstanbieterinnen, dass die Gesuchsteller über das Auskunftsrecht auch sensible Informationen über andere Benutzer ihrer Anschlüsse erhältlich machen können, teilte das Bundesgericht nicht. Insbesondere könne dieser Missbrauchsgefahr mittels geeigneter Authentifizierungsmassnahmen begegnet werden. Konkrete bzw. weitergehende Ausführungen dazu sucht man im Urteil allerdings vergeblich.

Fazit und kritische Anmerkungen

Aus diesen Gründen gelangte das Bundesgericht letztlich zum Schluss, dass der aus der Vorratsdatenspeicherung resultierende Eingriff in die Grundrechte durch das öffentliche Interesse an der Aufklärung von Straftaten und die Wahrung der öffentlichen Gesundheit gerechtfertigt ist. Die Beschwerdeführer haben allerdings bereits angekündigt, dass sie den Fall an den Europäischen Gerichtshof für Menschenrechte (EGMR) weiterziehen werden.

Diese Entscheidung muss und kann man angesichts der äusserst grundlegenden Bedeutung und der zahlreichen anderslautenden Urteilen von europäischen Gerichten bestenfalls als mutig oder überraschend bezeichnen. Überzeugend ist der Leitentscheid jedenfalls aus mehreren Gründen nicht. So erscheint bereits fragwürdig, dass das Bundesgericht zahlreiche Kritikpunkte, welche die Beschwerdeführer gegenüber den gesetzlichen Voraussetzungen für einen Zugriff der Strafverfolgungsbehörden auf die Randdaten vorbrachten, ausblendete. Selbst wenn das aus formell-rechtlichen Gründen vertretbar wäre, zeigt das Urteil und die Argumentation des Bundesgerichts, dass eine solche Trennung zwischen (verwaltungsrechtlicher) Speicherung der Daten und (strafprozessualem) Zugriff auf die Daten nicht möglich. So konnte das Bundesgericht das – im Grundsatz unbestrittene – öffentliche Interesse denn auch nur damit begründen, dass die Speicherung letzten Endes der Aufklärung von Verbrechen dient, welche aber nur möglich ist, wenn überhaupt ein Zugriff durch die Behörden erfolgt. Auch bei der Beurteilung der Verhältnismässigkeit der Aufbewahrungsdauer argumentierte das Bundesgericht damit, dass die Aufklärung von schweren Verbrechen viel Zeit in Anspruch nehme. Insofern ist unverständlich, wieso bspw. der Einwand der Beschwerdeführer, die Verwendung der Randdaten beschränke sich insb. im Bereich von Internetdelikten nicht auf Fälle schwerer Kriminalität, von vornherein ausgeblendet wurde.

Im Urteil wird auch zu wenig berücksichtigt, dass die gespeicherten Randdaten nicht nur an die Strafverfolgungsbehörden weitergegeben werden können. Nach Art. 15 Abs. 2 BÜPF wird auf Gesuch hin auch dem Nachrichtendienst des Bundes Auskunft über die gespeicherten Randdaten gegeben. Die in der Revision zum Nachrichtendienstgesetz (NDG) in der Schweiz vorgeschlagenen Befugnisse kranken teilweise an denselben Schwächen, welche das Bundesverfassungsgericht in Deutschland als verfassungswidrig qualifiziert hat (MLL-News vom 29. August 2016). Die Randdaten werden damit (auch) für Bearbeitungen gespeichert, welche nach vorliegender Auffassung nur schwer mit den verfassungsrechtlichen Prinzipien zu vereinbaren sind. Natürlich kann man aus formellen Gründen argumentieren, dass diese Rügen gegenüber Anordnungen gestützt auf das NDG geltend zu machen sind. Die beabsichtigte Bearbeitung der gespeicherten Daten sollte allerdings bei der Verhältnismässigkeitsprüfung berücksichtigt werden.

Zudem ist darauf hinzuweisen, dass diejenigen Randdaten, welche für den „gewöhnlichen“ Geschäftsbetrieb der Telekommunikationsdienstleister nicht erforderlich sind, ausschliesslich für die Zwecke der Strafverfolgung bzw. Gefahrenabwehr gespeichert werden. Dies anerkennen auch das Bundesgericht und seine Vorinstanz. Bei der Speicherung dieser Daten wäre damit aber zu prüfen, ob die Strafverfolgungsbehörden oder der Nachrichtendienst die Daten in diesem Zeitpunkt selber auch erheben dürften. Aus rechtsstaatlicher Sicht kann es eigentlich nicht angehen, dass private Unternehmen zu Massnahmen verpflichtet werden, welche den Behörden gleichzeitig nicht erlaubt wären. Die Strafverfolgungsbehörden dürften, so wie in Art. 15 Abs. 3 BÜPF vorgesehen, sicherlich keine Daten erheben. Strafprozessuale Massnahmen sind erst bei hinreichendem Verdacht auf eine Straftat zulässig. Die Randdaten werden jedoch anlasslos erhoben. Der Nachrichtendienst des Bundes darf nach Art. 26 NDG Überwachungen im Sinne des BÜPF anordnen. Diese sind allerdings genehmigungspflichtig und dürfen nur bei einer konkreten Bedrohung angeordnet werden. Art. 19 NDG enthält eine Definition der konkreten Bedrohung. Dabei handelt es sich durchaus um schwerwiegende Rechtsgüter. Allerdings ist dort auch sehr unbestimmt vorgesehen, dass die Massnahmen angeordnet werden dürfen, wenn die Wahrung weiterer wichtiger Landesinteressen dies erfordert. Die Befugnisse nach Art. 26 NDG können daher auch für unverhältnismässige Zwecke verwendet werden.

Schliesslich entspricht leider auch dieser Entscheid einer Tendenz in der Gesetzgebung (und auch in der Rechtsprechung) elementare rechtsstaatliche Prinzipien aus Ergebnisorientierung zu vernachlässigen. Rechtsstaatliche Schranken werden z.B. dadurch umgangen, dass private Unternehmen zu Aktivitäten verpflichtet werden, welche den Behörden gleichzeitig verboten wären. Ein typisches Beispiel sind die Überwachungspflichten im Geldwäschereigesetz, welche verdachtsunabhängig erfolgen und jeden Bankkunden treffen. Über die Meldepflicht im Geldwäschereigesetz gelangen die Daten aus der verdachtsunabhängigen Überwachung der Bankkunden an die Strafverfolgungsbehörden. Dasselbe geschieht vorliegend mit den gespeicherten Randdaten, welche für die Erbringung der Fernmeldedienstleistungen nicht erforderlich sind. Die Rechtsstaatlichkeit bedingt eine Grundtoleranz für die Tatsache, dass nicht jede Massnahme, die geeignet ist, Rechtsverstösse zu verhindern oder aufzuklären, gerechtfertigt sein kann.