Geheimdienstaufsicht fordert grundlegende Neukonzeption des Auskunftsrechts im Nachrichtendienstgesetz

Die Geschäftsprüfungs­delegation (GPDel) des Schweizerischen Parlaments fordert in ihrem jüngsten Bericht eine grundlegende Neukonzeption des Auskunftsrechts im Nachrichtendienst­gesetz (NDG), nachdem erneut illegale Überwachungsmass­nahmen aufgeflogen sind. Obwohl das Auskunftsrecht untauglich konzipiert ist, erachtet es das Bundesverwaltungsgericht sogar als ausreichend, um eine «rechtmässige» Überwachung durch die Kabelaufklärung gerichtlich durchsetzen zu können. Eine Farce.

In der letzten Woche wurde der Jahresbericht 2019 (PDF) der Geschäftsprüfungskommis­sionen (GPK) und der Geschäftsprüfungs­delegation (GPDel) der eidgenössischen Räte veröffentlicht. Die GPDel ist mit der Überwachung des Geheimdienstes beauftragt.

Die GPDel kommt im Bericht zu einem vernichtenden Befund zur Schnüffeltätigkeit des Nachrichtendienst des Bunde (NDB; Seite 82):

Aufgrund ihrer Abklärungen kommt die GPDel zum Schluss, dass der NDB zurzeit nicht gewährleisten kann, dass seine Daten in Übereinstimmung mit den Vorgaben des NDG bearbeitet werden. Ein grosser Teil der Daten wurden nie darauf überprüft, ob sie die Schranken von Artikel 5 NDG verletzen. Weiter haben sich bis zum Sommer dieses Jahres im System IASA NDB rund 7.7 Mio. Dokumente angesammelt, die ausschliesslich über die Freitextsuche auffindbar sind. Sie dürfen während 15 Jahre aufbewahrt werden, ohne dass sie in diesem Zeitraum einer Qualitätskontrolle unterzogen werden müssen.

Der Bericht sowie der Befund stellen auch unsere Beschwerde gegen die Kabelaufklärung nochmals in ein neues Licht, da Datenauskunftsbegehren aufgeschoben, nur unvollständig und/oder mit langer Verzögerung beantwortet werden. So ist auch das Auskunftsbegehren der Digitalen Gesellschaft und einiger Privatpersonen aus dem Umfeld bis jetzt und seit über 6 Monaten ohne jegliche Antwort geblieben.

Dies ist darum besonders Interessant, da das Bundesverwaltungsgericht die Abweisung unsere Beschwerde u.a. damit begründet hat, dass mit dem datenschutzrechtlichen Auskunftsrecht die Möglichkeit bestehe, die Verletzung von Grundrechten durch den Geheimdienst zu rügen und damit eine «rechtmässige» Überwachung gerichtlich durchzusetzen.

Doch der Reihe nach.

Vorgeschichte

2015 hat der Staatschutz vom Kanton Basel-Stadt die Ständerätin Anita Fetz fichiert, da sie an einem Podium zu einem SP-Wahlanlass – im alevitisch-kurdischen Kulturzentrum in Basel – teilgenommen hat. Im Jahr darauf stösst die kantonale Aufsicht (bei der sie damals Mitglied war) bei einer Stichprobe auf den Eintrag. In der Folge stellen u.a. die Partei BastA!, die Alternative Linke Bern und die Juso Bern Einsichtsgesuche. Die Wochenzeitung (WOZ) schreibt anfangs 2019 ausführlich dazu:

Der WOZ liegen diese Auskünfte des Nachrichtendiensts des Bundes (NDB) vor. Das vermutete Muster bestätigt sich: Der NDB sammelt Informationen über die Organisation friedlicher Demos, registrierte BastA!-Parteisekretärin Franziska Stiers öffentliches Wirken (zum Beispiel einen Facebook-Like zur Gegenveranstaltung einer Pegida-Demo) und auch Aktivitäten der SP-Grossrätin und Anwältin Tanja Soland. In einer der elf Datenbanken des NDB sind einer ihrer Vorstösse (zum Rechtsextremismus) und die regierungsrätliche Antwort abgelegt, aber auch eine Anklageschrift und zwei Urteile in Strafprozessen, in denen sie als Verteidigerin vor Gericht auftrat. Soland wird in den Datenbanken als Drittperson geführt, gilt also nicht als gefährlich beziehungsweise staatsgefährdend. […]

In Bern steht die Alternative Linke (AL) unter Beobachtung. In den ihr vom NDB zugeschickten Einträgen stellt die AL fest, dass sie fälschlicherweise als Organisatorin einer Demo aufgeführt ist. Immerhin: In der Extremistendatenbank ist sie nicht verzeichnet. Das gilt auch für die Juso Bern, die allerdings relativ dicke Post erhalten hat. Allen diesen Fällen ist gemeinsam, dass der NDB übliche politische Aktivitäten erfasst. Das ist laut Artikel 5, Absatz 5 des Nachrichtendienstgesetzes rechtswidrig.

Der Artikel 5 des Nachrichtendienstgesetzes (NDG) besagt:

Abs. 5: Er [der NDB] beschafft und bearbeitet keine Informationen über die politische Betätigung und über die Ausübung der Meinungs-, Versammlungs- oder Vereinigungsfreiheit in der Schweiz.

Abs. 6: Er kann Informationen nach Absatz 5 über eine Organisation oder Person ausnahmsweise beschaffen und personenbezogen erschliessen, wenn konkrete Anhaltspunkte vorliegen, dass diese ihre Rechte ausübt, um terroristische, verbotene nachrichtendienstliche oder gewalttätig-extremistische Tätigkeiten vorzubereiten oder durchzuführen.

Abs. 8: Er kann über Organisationen und Gruppierungen auf der Beobachtungsliste nach Artikel 72 oder deren Exponentinnen und Exponenten auch Informationen nach Absatz 5 beschaffen und bearbeiten, wenn damit die Bedrohungen, die von diesen Organisationen und Gruppierungen ausgehen, beurteilt werden können.

Ebenfalls im Frühling 2019 ruft der Verein grundrechte.ch dazu auf, Auskunftsersuchen zu stellen und bittet parallel die GPDel und den Eidgenössischen Datenschutzbeauftragten (EDÖB) um Intervention. Dabei kommen weitere Fichen zum Vorschein. Auch wir stellen mehrere Auskunftsersuchen.

Untersuchung GPDel

Im Verlauf der Untersuchungen der Geschäftsprüfungsdelegation kommen 3.3 Millionen Zeitungsartikel und Meldungen von Nachrichtenagenturen sowie die Texte von Internetseiten zum Vorschein, die im Informationssystem IASA NDB gehortet werden. Der Geheimdienst behauptet, diese Informationen unterlägen nicht den Schranken von Artikel 5, da sie sich nicht «personenbezogen erschliessen» liessen (Seite 76):

Die GPDel und das BJ [Bundesamt für Justiz] haben bisher die Auffassung vertreten, dass eine personenbezogene Erschliessung auch dann vorliegt, wenn die Informationen mittels Freitextsuche gefunden werden können. Dieselbe Auslegung vertrat auch das BVGer [Bundesverwaltungsgericht] in einem Schreiben an den NDB in einem Verfahren um Überprüfung der Mitteilung des EDÖB nach Art. 65 NDG im August 2018 in einem Einzelfall. Das Gericht geht von einer personenbezogenen Erschliessung aus, wenn der Bearbeiter die zu einer bestimmten Person gehörenden Personendaten mit vernünftigem Aufwand findet, worunter auch eine Volltextsuche fällt. Die Leitung des Informationsmanagements des NDB erachtete diese Rechtsauslegung im Zusammenhang mit dem NDG jedoch nicht als stringent und wies in einem internen Mail auch auf die problematischen Konsequenzen hin, welche eine solche Auslegung für die Datenbearbeitungspraxis im Dienst haben würde. Beispielsweise würde es schlicht unmöglich sein, im OSINT-Portal die notwendige inhaltliche Triage der tausenden Pressemeldungen nach den Kriterien von Artikel 5 Absatz 5 NDG zu gewährleisten.

Diese internen Diskussionen zeigen der GPDel, dass der NDB seine Datenbearbeitung so organisiert hat, dass er die Anforderungen, welche die Schranken von Artikel 5 NDG an die Verwendung der Freitextsuche stellen, mangels genügender Personalressourcen unmöglich erfüllen kann. Für die GPDel stellt sich ausserdem die Frage, warum der NDB tausende von Pressemeldungen beschafft, für deren Bearbeitung offensichtlich niemand Zeit hat.

Die GPDel kommt entsprechend zum Schluss (Seite 74):

Die Mehrheit der Zeitungsartikel und Meldungen von Nachrichtenagenturen sowie die Texte von Internetseiten, welche beim NDB ediert wurden, hätten vom Dienst weder beschafft noch bearbeitet werden dürfen. Es fehlt in der Regel eine thematische Zuständigkeit gemäss Artikel 6 NDG und oft wird Artikel 5 NDG verletzt.

Praktisch jede der analysierten täglichen Ereignisübersichten des Bundessicherheitsdienstes (BSD) enthält Meldungen, welche nicht den Vorgaben des NDG entsprechen. […]

Das Auskunftsrecht gilt grundsätzlich für alle Daten des NDB, die personenbezogen erschlossen sind Darunter fallen alle Personendaten, die über eine Datenbankabfrage oder eine Freitextsuche gefunden werden können.

Auskunftsunrecht

Dass das Auskunftsrecht gemäss Nachrichtendienstgesetz untauglich konzipiert ist, zeigt folgender, ausführliche Befund (Seite 76 f):

Für die Daten in den Informationssystemen ELD, OSINT-Portal und Quattro P, die administrativen Daten in GEVER NDB (administrative Daten) sowie die Daten in den Speichersystemen nach Artikel 58 NDG und 36 Absatz 5 NDG gilt laut Artikel 63 Absatz 1 NDG immer das Auskunftsrecht gemäss DSG 134. Nach Artikel 8 DSG erhalten die Gesuchsteller grundsätzlich Auskunft über alle ihre Daten oder werden darüber informiert, dass der NDB keine Informationen über sie bearbeitet. Der NDB kann das Einsichtsrecht jedoch gestützt auf Artikel 9 DSG einschränken, aufschieben oder verweigern, wenn es das überwiegende öffentliche Interesse oder dasjenige von Dritten erfordert oder wenn durch die Auskunft der Zweck eines Strafverfahrens oder eines anderen Untersuchungsverfahrens gefährdet würde.

Steht einer uneingeschränkten Auskunft aus Sicht des NDB nichts im Weg, so gilt das Auskunftsrecht gemäss DSG auch für die Informationssysteme IASA NDB, IASA-GEX NDB, INDEX NDB, ISCO, den Restdatenspeicher sowie für die nachrichtendienstlichen Daten von GEVER NDB (Art. 63 Abs. 2 NDG). Falls keine Daten über einen Gesuchsteller bearbeitet werden, wird dieser allerdings erst nach drei Jahren darüber informiert (Artikel 63 Absatz 5 NDG).

Überwiegt das Interesse Dritter oder das Interesse des NDB an einer Geheimhaltung, wird gemäss Artikel 63 Absatz 4 NDG die Auskunft so lange aufgeschoben, bis kein Geheimhaltungsinteresse mehr besteht. Spätestens aber nach Ablauf der Aufbewahrungsdauer der Daten der betroffenen Person erteilt ihr der NDB nach dem Verfahren des DSG Auskunft. Eine Einschränkung der Auskunft nach Artikel 9 DSG ist in diesem Zeitpunkt nur dann noch möglich, wenn ein Geheimhaltungsinteresse auch nach Auflauf der Aufbewahrungsdauer weiterbesteht, d.h. nachdem die Information gelöscht worden ist. Artikel 8 Absatz 7 BPI 135 war diesbezüglich präziser.

Bei einem Aufschub der Auskunft kann der Gesuchsteller durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) prüfen lassen, ob seine Daten rechtmässig bearbeitet werden und ob der Aufschub gerechtfertigt ist. Die Beurteilung des EDÖB und die Umsetzung seiner Empfehlungen können danach noch vom BVGer überprüft werden. Dieses kann mittels Verfügung erkannte Mängel vom NDB beheben lassen.

Artikel 63 NDG regelt abschliessend, welche Informationssysteme dem Auskunftsrecht unterstehen. Der NDB betreibt jedoch noch weitere Informationssysteme, insbesondere das System zur Erfassung besonders sensitiver Daten gemäss Artikel 7 VIS-NDB und die Fileablage SiLAN. Zur Fileablage SiLAN scheint der NDB üblicherweise vollständig Auskunft zu erteilen. Der Betrieb der beiden Informationssysteme erfolgt im Widerspruch zu den Vorgaben des NDG und die entsprechende Regelung des Auskunftsrechts fehlt.

Artikel 44 Absatz 3 NDG erlaubt es dem NDB, Daten zwischen Informationssystemen hin- und herzuschieben oder in mehreren Informationssystemen gleichzeitig abzuspeichern. Mit Blick auf das Auskunftsrecht erachtet die GPDel diese Bestimmung als problematisch, da sie dazu führen kann, dass für die exakt gleiche Information unterschiedliche Auskunftsverfahren gelten

Die GPDel kommt dann bezüglich den 3.3 Millionen illegal gespeicherter Presseartikel zu den Schlüssen (Seite 78 f):

Erstens gibt es keine gemeinsame Aufbewahrungsdauer, welche für die Daten in den sechs verschiedenen Systemen gilt. Zweitens lassen sich Daten, die ausschliesslich mittels Freitextsuche gefunden werden können, oft keinem Datenbankobjekt zuordnen. In diesem Fall ist eine Bestimmung der Aufbewahrungsdauer, wie sie unter Artikel 18 BWIS erfolgte, nicht mehr möglich. Es stellt sich deshalb die Frage, ob in diesen Fällen der NDB dem Gesuchsteller nach der Löschung einer einzelnen Meldung jeweils Auskunft erteilen müsste. Für einen Aufschub der Auskunft bis zum Zeitpunkt, in welchem keine Informationen mehr über den Gesuchsteller in den Systemen nach Artikel 63 Absatz 2 NDG vorhanden sind, bietet das NDG nach Ansicht der GPDel keine gesetzliche Grundlage. Dies gilt insbesondere für jene Personen, zu denen kein eigenes Datenbankobjekt in einem der Informationssysteme nach Artikel 63 Absatz 2 NDG existiert.

Die Verweigerung oder der Aufschub einer Auskunft zielt im Grunde genommen darauf ab, spezifische Informationen, deren Geheimhaltung für die Funktionsweise des NDB wichtig ist, zu schützen. Wird allerdings die Auskunft nach Artikel 63 Absatz 2 NDG aufgeschoben, so betrifft dies nicht nur eine spezifische sensible Information, sondern auch alle anderen Informationen zum betroffenen Gesuchsteller, die in den übrigen fünf Informationssystemen enthalten sind. So führt beispielsweise ein schützenswerter Quellenbericht in IASA-GEX NDB, der den Namen einer Person enthält, die nicht im Fokus des Dienstes steht, dazu, dass auch die Auskunft über alle Presseartikel zu dieser Person in IASA NDB aufgeschoben wird.

Dieses Problem stellt sich insbesondere, weil der Inhalt der Systeme, für welche gestützt auf Artikel 63 Absatz 2 NDG die Auskunft aufgeschoben werden kann, äusserst heterogen ist. So informierte der NDB anfangs Oktober 2019 die GPDel, dass sich 3.3 Mio. Presseartikel in IASA NDB befinden, die älter als zwei Jahre sind und dass der Direktor NDB beschlossen habe, sie noch vor Monatsende zu löschen.

Aus Sicht der GPDel lässt sich der Aufschub einer Auskunft über öffentlich bekannte Informationen nach Ablauf der Aufbewahrungsdauer grundsätzlich nicht rechtfertigen. In diesem Sinn erscheint es auch angebracht, dass der NDB allen bisherigen Gesuchsteller, für welche die Auskunft aufgeschoben wurde und die in den 3.3 Mio. in IASA NDB gelöschten Dateien erwähnt werden, innert nützlicher Frist über die gelöschten Pressemeldungen Auskunft erteilt.

Aus Sicht der GPDel sollte nicht nur die Konzeption des Auskunftsrechts im NDG
grundlegend überprüft, sondern auch eine Vereinfachung der Systemlandschaft ins Auge gefasst werden. Es ist deshalb auf jeden Fall zu vermeiden, dass der NDB weitere, neue Informationssysteme einführt.

Soweit der klare Befund der Geschäftsprüfungsdelegation.

Uneinsichtiger Geheimdienst

Der Geheimdienst gibt sich jedoch in zentralen Punkten uneinsichtig (Seite 84):

Insbesondere lehnt er eine Revision der von der GPDel bemängelten internen Weisungen über die Erfassung und Anonymisierung von Informationen, die den Schranken von Artikel 5 NDG unterliegen, ab da sie aus Sicht des NDB gesetzeskonform seien.

Weiter ist der NDB nicht bereit, die betroffenen Gesuchsteller zu informieren, nachdem im Rahmen der ersten Sofortmassnahme (der Löschung der 3.3 Mio Daten in IASA NDB) Daten über sie gelöscht, respektive anonymisiert worden sind.

Keine Datenauskunft (zur Kabelaufklärung)

Die Digitale Gesellschaft hat im Juli 2019 und gemeinsam mit verschiedenen Privatpersonen aus dem Umfeld der Organisation Einsichtsgesuche gestellt. Diese sind bis heute nicht beantwortet worden.

In einer Stellungnahme an das Bundesgericht zu unserer Beschwerde gegen die Kabelaufklärung macht Jean-Philipp Gaudin, Direktor des NDB, jedoch geltend, dass wir im Juli 2019 Auskunftsersuchen gestellt hätten, und dass damit die mit unserer Beschwerde gegen die Kabelaufklärung gestellten Gesuche vom 31. August 2017 gegenstandslos geworden seien.

Das ist tnteressant. Gegen diese anlasslose und verdachtsunabhängige Massenüberwachung hatte die Digitale Gesellschaft am Bundesverwaltungsgericht Beschwerde erhoben. Das Gericht hat mit seinem Urteil vom 4. Juni 2019 den Beschwerdeführerinnen und Beschwerdeführern das Recht auf Beschwerde verweigert. Es begründet seinen Entscheid u.a. damit, dass mit dem datenschutzrechtlichen Auskunftsrecht die Möglichkeit bestehe, die Verletzung von Grundrechten durch den Geheimdienst zu rügen und damit eine «rechtmässige» Überwachung gerichtlich durchzusetzen.

Die überwachten Personen verfügen aber gerade nicht über ein Auskunftsrecht, das bereits die Kabelaufklärung an sich umfasst. Ein – beschränktes und wie oben dokumentiert, untauglich konzipiertes – Auskunftsrecht besteht lediglich für Daten, die nachträglich in einem geheimdienstlichen Informationssystem abgespeichert werden. Eine solche Speicherung beim Geheimdienst erfolgt erst, nachdem die gescannten Datenströme zu einem Treffer geführt haben und ein solcher Treffer einer Person zugeordnet wurde. Und auch dieses Recht auf Auskunft wird entweder verschleppt, aufgeschoben oder als gegenstandslos erklärt, wie sich eben wieder gezeigt hat.

Da der Nachrichtendienst auf der Relevanz des bestehenden Auskunftsrechts insistierte, haben wir beim Bundesgericht bereits in unserer Stellungnahme vom September 2019 beantragt, dass der Geheimdienst verpflichtet werden soll, seine Auskunftspraxis akkurat und nachvollziehbar darzulegen, und dass die nun vorliegenden Ergebnisse der Untersuchungen der GPDel im zu fällenden Urteil berücksichtigt werden.

Das Bundesgericht hat die Gelegenheit nicht genutzt, beim NDB entsprechende Informationen einzufordern. Der Geheimdienst seinerseits hat auf weitere Bemerkungen verzichtet. Mit einem Urteil ist in diesem Jahr zu rechnen.

Nicht funktionierende Aufsicht

Falls eine Auskunft vom NDB aufgeschoben worden ist, kann die gesuchstellenden Person vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) verlangen, dass dieser prüfe, ob allfällige Daten rechtmässig bearbeitet werden und ob überwiegende Geheimhaltungsinteressen den Aufschub rechtfertigen. Der EDÖB ist auch zuständig für die Einhaltung des Datenschutzgesetzes (und des darin geregelten Auskunftsrechts).

Dieser fühlt sich aber nicht zuständig (Seite 87):

Anlässlich dieser Anhörung liess sich die GPDel auch erläutern, inwiefern die AB-ND [Unabhängige Aufsichtsbehörde über die nachrichtendienstlichen Tätigkeiten] die Aufsichtseingabe des Vereins «grundrechte.ch» vom 21. Mai 2019 an die GPDel und den EDÖB zum Anlass genommen hatte, die Bearbeitung von Informationen über die politische Betätigung und über die Ausübung der Meinungs-, Versammlungs- oder Vereinigungsfreiheit durch den NDB zu überprüfen.

Wie die GPDel erfuhr, hatte der EDÖB nach Rücksprache mit dem Leiter der AB-ND diese Aufsichtseingabe formell der AB-ND überstellt. Begründet wurde dies mit der gesetzlichen Aufsichtsfunktion der AB-ND über den NDB und ihren substanziellen Personalressourcen. Der EDÖB hingegen habe mit dem NDG keine zusätzlichen Ressourcen für seine Aufsichtstätigkeiten im nachrichtendienstlichen Bereich erhalten.

Dieses Vorgehen von EDÖB und AB-ND ist für die GPDel nicht nachvollziehbar, da Artikel 27 DSG explizit vorsieht, dass der EDÖB die Einhaltung der Datenschutzvorschriften durch Bundesorgane auch auf Meldung Dritter hin überprüft.

Es ist kein Geheimnis, dass der EDÖB unter mangelnden Ressourcen leidet. Ganz grundlegenden Verstössen nicht nachzugehen, stellt aber eine Kapitulation vor den gestellten Aufgaben dar.

Zusammenfassung

Der Geheimdienst sammelt illegal mehrere Millionen Zeitungsartikel und Meldungen von Nachrichtenagenturen sowie die Texte von Internetseiten. Nachdem die GPDel darauf stösst, vernichtet er diese – verweigert aber die Einsicht. Der EDÖB sieht sich nicht als zuständig. Die GPDel kommt im Folgenden zum Schluss, dass das Einsichtsrecht grundlegend neu konzipiert werden soll.

Der Nachrichtendienst und das Bundesverwaltungsgericht erachten die Kabelaufklärung als rechtmässig, da mit dem datenschutzrechtlichen Auskunftsrecht die Möglichkeit bestehe, die Verletzung von Grundrechten durch den Geheimdienst zu rügen und damit eine «rechtmässige» Überwachung gerichtlich durchzusetzen. Dies obwohl der Geheimdienst zusätzlich gar nicht in der Lage ist, Auskunft über die Kabelaufklärung an sich (also der massenhafte Durchsuchung der Datenströme) zu gewähren.

Starker Tobak.