Source: https://entscheide.weblaw.ch/cache.php?link=BGE-144-I-126
Timestamp: 2019-10-18 21:32:14+00:00

Document:
BGE-144-I-126 - 2018-03-02 - BGE - Verfassungsrecht - Speicherung und Aufbewahrung von Randdaten der Telekommunikation. Streitgegenstand bildet die...
Speicherung und Aufbewahrung von Randdaten der Telekommunikation. Streitgegenstand bildet die verwaltungsrechtliche Frage, ob die Speicherung und Aufbewahrung von mit dem Fernmeldeverkehr verbundenen Randdaten konform mit der Verfassung bzw. der EMRK sind (E. 2.2). Art. 15 Abs. 3 des bis zum 28. Februar 2018 geltenden Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs (aBÜPF) verpflichtete die Fernmeldedienstanbieter - gleich wie das heute geltende BÜPF -, die für die Teilnehmeridentifikation notwendigen Daten sowie die Verkehrs- und Rechnungsdaten ihrer Kunden zu speichern und während sechs Monaten aufzubewahren (E. 3). Die Speicherung und die Aufbewahrung von Randdaten stellen einen Eingriff in die Grundrechte der Betroffenen dar, insbesondere in das Recht auf Achtung des Privatlebens, das den Anspruch auf informationelle Selbstbestimmung miteinschliesst (E. 4). Die Intensität dieses Grundrechtseingriffs ist allerdings zu relativieren: Die gespeicherten Daten betreffen nicht den Inhalt der Kommunikation und werden von den Fernmeldeunternehmen weder gesichtet noch miteinander verknüpft; für einen Zugriff der Strafverfolgungsbehörden müssen die qualifizierten gesetzlichen Voraussetzungen der Strafprozessordnung erfüllt sein (E. 5). Art. 15 Abs. 3 aBÜPF bildete für die Randdatenspeicherung eine hinreichende gesetzliche Grundlage (E. 6). Die Randdatenspeicherung und -aufbewahrung dient namentlich der Aufklärung von Straftaten; damit liegt ein gewichtiges öffentliches Interesse vor (E. 7). Die datenschutzrechtlichen Bestimmungen sehen wirksame und angemessene Garantien zum Schutz vor Missbrauch und behördlicher Willkür vor. Unter diesen Rahmenbedingungen ist auch die sechsmonatige Aufbewahrungsdauer verhältnismässig (E. 8).
Enregistrement et conservation de données secondaires de télécommunication. L'objet du litige porte sur la question - de droit administratif - de savoir si l'enregistrement et la conservation de données secondaires de télécommunication sont conformes à la Constitution, respectivement à la CEDH (consid. 2.2). L'art. 15 al. 3 de la loi fédérale sur la surveillance de la correspondance par poste et télécommunication, dans sa version en vigueur jusqu'au 28 février 2018 (aLSCPT), imposait aux fournisseurs de services de télécommunication - à l'instar de la loi actuellement en vigueur - l'enregistrement, et leur conservation durant six mois, des données permettant l'identification de leurs clients ainsi que les données relatives au trafic et à la facturation (consid. 3). L'enregistrement et la conservation de données secondaires de télécommunication portent atteinte aux droits fondamentaux des utilisateurs concernés, en particulier à leur droit au respect de la vie privée, qui comprend celui de l'autodétermination informationnelle (consid. 4). L'intensité de cette ingérence doit cependant être relativisée: les données conservées ne concernent pas le contenu des communications, elles ne sont pas visionnées par les entreprises de télécommunication ni mises en lien les unes avec les autres; l'accès des autorités pénales à ces informations est soumis aux conditions strictes du code de procédure pénale (consid. 5). L'art 15 al. 3 aLSCPT constituait une base légale suffisante pour la conservation des données secondaires (consid. 6). L'enregistrement et la conservation de telles données sont en particulier utilisés dans le cadre d'enquêtes pénales, ce qui relève d'un intérêt public important (consid. 7). Les dispositions en matière de protection des données prévoient des garanties efficaces et adéquates contre une utilisation abusive et l'arbitraire des autorités. Dans ces circonstances, une durée de conservation de six mois apparaît également proportionnée (consid. 8).
Memorizzazione e conservazione di dati marginali di telecomunicazione. Oggetto del litigio è la questione di diritto amministrativo di sapere se la memorizzazione e la conservazione di dati marginali collegati con il traffico delle telecomunicazioni sono conformi alla Costituzione risp. alla CEDU (consid. 2.2). Secondo l'art. 15 cpv. 3, in vigore fino al 28 febbraio 2018, della legge federale sulla sorveglianza della corrispondenza postale e del traffico delle comunicazioni (vLSCPT), gli offerenti di prestazioni di telecomunicazioni erano tenuti - come secondo la legge attualmente in vigore - a conservare per sei mesi i dati necessari all'identificazione degli utenti, come anche i dati relativi al traffico e alla fatturazione (consid. 3). La memorizzazione e la conservazione di dati marginali costituiscono un'ingerenza nei diritti fondamentali degli interessati, in particolare nel diritto al rispetto della vita privata, che comprende quello all'autodeterminazione informativa (consid. 4). L'intensità di questa ingerenza nei diritti fondamentali dev'essere tuttavia relativizzata: i dati memorizzati non concernono il contenuto della comunicazione e non vengono esaminati o correlati tra loro; l'accesso da parte delle autorità di perseguimento penale a queste informazioni presuppone l'adempimento delle qualificate condizioni legali del codice di diritto processuale penale (consid. 5). L'art. 15 cpv. 3 vLSCPT costituisce una base legale sufficiente per la memorizzazione di dati marginali (consid. 6). La memorizzazione e la conservazione di questi dati serve segnatamente - come la LSCPT attualmente in vigore - a chiarire reati penali; si è quindi in presenza di un interesse pubblico importante (consid. 7). Le norme sulla protezione di dati prevedono garanzie efficaci e adeguate per la tutela da abusi e dall'arbitrio delle autorità. In questi limiti anche la durata di conservazione di sei mesi è proporzionale (consid. 8).
A. A., B., C., D., E. und F. (nachfolgend: Gesuchsteller) wandten sich je mit Schreiben vom 20. Februar 2014 an den Dienst Überwachung Post- und Fernmeldeverkehr (nachfolgend: Dienst ÜPF) und stellten folgende identische Begehren: "1. [Die jeweilige Anbieterin von Fernmeldediensten] sei anzuweisen, die gemäss Art. 15 Abs. 3 BÜPF [Bundesgesetz vom 6. Oktober 2000 betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF; SR 780.1)] gespeicherten Verkehrs- und Rechnungsdaten des Gesuchstel lers zu löschen und deren Speicherung in Zukunft zu unterlassen, soweit die betroffenen Daten nicht für die Erbringung der vertraglichen Leistungen gegenüber dem Gesuchsteller zwingend erforderlich sind. 2. [Die jeweilige Anbieterin von Fernmeldediensten] sei anzuweisen bzw. zu verpflichten, keine gemäss Art. 15 Abs. 3 BÜPF gespeicherten Verkehrs- und Rechnungsdaten des Gesuchstellers an den Dienst ÜPF oder an andere Behörden oder an Gerichte herauszugeben. (...)"
C. Das Bundesgericht weist die Beschwerde der sechs Privatpersonen gegen diesen Entscheid ab. (Zusammenfassung)
2.2 Streitgegenstand vor Bundesgericht bildet nach dem Gesagten einzig die Frage, ob die Speicherung und Aufbewahrung von mit dem Fernmeldeverkehr der Beschwerdeführer verbundenen Randdaten verfassungs- bzw. konventionskonform sind. Betroffen ist somit nur die verwaltungsrechtliche Seite des zweigeteilten Rechts der Überwachung des Post- und Fernmeldeverkehrs (vgl. dazu ausführlich E. 7.2 und E. 8.2 ff. des angefochtenen Entscheids). Vom Prozessthema nicht erfasst wird der Aspekt des Zugriffs auf diese Daten durch die Strafverfolgungsbehörden zu Überwachungszwecken, der in der Strafprozessordnung geregelt ist (Art. 269 ff . StPO). Auf diesbezügliche Anträge, Rügen und Ausführungen der Beschwerdeführer
geführt werden können, ohne dass der Staat Einblick erhält und daraus gewonnene Erkenntnisse gegen die Betroffenen verwendet. Geschützt ist dabei nicht nur der Inhalt der Kommunikation; vielmehr werden auch die Randdaten des Kommunikationsvorgangs erfasst (BGE 140 I 353 E. 8.3 S. 369; BGE 140 IV 181 E. 2.3 f. S. 183 f.). Der Schutz der Privatsphäre umfasst den Anspruch jeder Person auf Schutz vor Missbräuchen ihrer persönlichen Daten (so ausdrücklich Art. 13 Abs. 2 BV). Im Bereich des Datenschutzes garantiert das verfassungsmässige Recht auf informationelle Selbstbestimmung, dass grundsätzlich ohne Rücksicht darauf, wie sensibel die fraglichen Informationen tatsächlich sind, jede Person gegenüber fremder, staatlicher oder privater Bearbeitung von sie betreffenden Informationen bestimmen können muss, ob und zu welchem Zweck diese Informationen über sie bearbeitet werden (BGE 142 II 340 E. 4.2 S. 346; BGE 140 I 2 E. 9.1 S. 22 f.; BGE 138 II 346 E. 8.2 S. 359 f.). Der Begriff des Bearbeitens umfasst aus datenschutzrechtlicher Sicht auch das Beschaffen und Aufbewahren von Personendaten (Art. 3 lit. e des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz [DSG; SR 235.1]). Art. 10 EMRK und Art. 17 BV schützen die Medienfreiheit (BGE 141 I 211 E. 3.1 S. 213 f.). Die Verfassungsbestimmung gewährleistet ausdrücklich die Freiheit von Presse, Radio und Fernsehen sowie andere Formen der öffentlichen fernmeldetechnischen Verbreitung von Darbietungen und Informationen (Abs. 1). Die Zensur ist verboten (Abs. 2) und das Redaktionsgeheimnis garantiert (Abs. 3). Die Medienfreiheit gehört zu den zentralen Ausprägungen des allgemeinen Grundrechts freier Meinungsäusserung. Normativer Kern der Medienfreiheit ist die Sicherung des ungehinderten Nachrichtenflusses und des freien Meinungsaustauschs. Geschützt ist die Recherchetätigkeit der Journalisten zur Herstellung von Medienerzeugnissen und zu deren Verbreitung in der Öffentlichkeit (BGE 143 I 194 E. 3.1 S. 200). Als subsidiäres Auffanggrundrecht dazu gewährleistet die Meinungsfreiheit das Recht jeder Person, ihre Meinung frei zu bilden und sie ungehindert zu äussern und zu verbreiten (Art. 16 BV; BGE 137 I 209 E. 4.2 S. 211 f.). Der Schutzbereich umfasst die Gesamtheit der Mitteilungen menschlichen Denkens und alle möglichen Kommunikationsformen (BGE 127 I 145 E. 4b S. 151 f.). Die Meinungsfreiheit kann nicht nur durch direkte Eingriffe beeinträchtigt werden, sondern auch mittelbar, wenn der Einzelne aufgrund einer behördlichen
Massnahme davon absieht, erneut von seinem Recht Gebrauch zu machen (sog. "chilling effect" oder "effet dissuasif"; BGE BGE 143 I 147 E. 3.3 S. 152 f.). Die Unschuldsvermutung gemäss Art. 6 Ziff. 2 EMRK und Art. 32 Abs. 1 BV gewährleistet, dass jede Person bis zur rechtskräftigen strafrechtlichen Verurteilung als unschuldig gilt. Sie verbrieft das Recht, als unschuldig behandelt zu werden, bis ein zuständiges Gericht nach Durchführung eines fairen Verfahrens die strafrechtliche Schuld in rechtsgenüglicher Weise nachgewiesen und festgestellt hat (Urteil 2C_1065/2014 vom 26. Mai 2016 E. 8.1, nicht publ. in: BGE 142 II 268). Im Allgemeinen gilt dabei das sog. Selbstbelastungsprivileg ("nemo tenetur se ipsum accusare"), das im Strafprozess ein Schweigerecht und ein Recht gewährleistet, nicht zu seiner eigenen Verurteilung beitragen zu müssen (BGE 142 IV 207 E. 8 S. 213 f.).
zum Grundrechtsgericht, Neue Zeitschrift für Verwaltungsrecht 11/2014 S. 682). Demnach wird weder der "nemo tenetur"-Grundsatz noch die Unschuldsvermutung beeinträchtigt. Da die streitbetroffenen Randdaten den Beschwerdeführern als Benutzer von Fernmeldediensten und Teilnehmer an Telekommunikationen grundsätzlich zugeordnet werden können, stellt deren Speicherung und Aufbewahrung indes einen Eingriff in ihr Recht auf informationelle Selbstbestimmung dar. Gleichermassen liegt nach der Rechtsprechung des EGMR durch die blosse Aufbewahrung von das Privatleben betreffenden Informationen, insbesondere wenn sie systematisch erfolgt (vgl. EGMR-Urteile Uzun gegen Deutschland vom 2. September 2010 [Nr. 35623/05] § 46; Rotaru gegen Rumänien vom 4. Mai 2000 [Nr. 28341/95] § 43 und 46), ein Eingriff in die von Art. 8 EMRK geschützten Rechte vor (EGMR-Urteile S. und Marper gegen Grossbritannien, § 67; Leander gegen Schweden vom 26. März 1987 [Nr. 9248/81] § 48; Gardel gegen Frankreich vom 17. Dezember 2009 [Nr. 16428/05] § 58; Brunet gegen Frankreich vom 18. September 2014 [Nr. 21010/10] § 31),unabhängig davon, ob die Daten zu einem späteren Zeitpunkt verwendet werden oder nicht (EGMR-Urteile Amann gegen Schweiz, § 69; Aycaguer gegen Frankreich vom 22. Juni 2017 [Nr. 8806/12] § 33).Überdies ist die mit der Speicherung und Aufbewahrung von Randdaten der Telekommunikation verbundene Informationsbeschaffung geeignet, in die insbesondere durch Art. 8 Ziff. 1 EMRK und Art. 13 Abs. 1 BV geschützte Privatsphäre derjenigen Personen einzugreifen, die auf solchen Wegen kommunizieren. Dem verfassungsmässigen Anspruch der persönlichen Freiheit (Art. 10 Abs. 2 BV) kommt hier keine darüber hinausgehende Bedeutung zu. Inwiefern die Bewegungs- und Versammlungsfreiheit tangiert sein sollen, legen die Beschwerdeführer nicht in rechtsgenüglicher Weise dar. Die Beschwerdeführer berufen sich im Weiteren auf die Meinungs- und Medienfreiheit. Ein direkter bzw. mittelbarer Eingriff erscheint insoweit nachvollziehbar, als durch die Speicherung und Aufbewahrung von Randdaten des Fernmeldeverkehrs eine Datenspur erfasst wird, die allenfalls Rückschlüsse auf das Kommunikationsverhalten der Betroffenen, auf die Recherchetätigkeit von Medienschaffenden sowie auf journalistische Quellen zulässt. Insoweit ist nicht auszuschliessen, dass Letztere davor zurückschrecken könnten, mit Journalisten in Kontakt zu treten. Ob diese Garantien tatsächlich
5.1 Gemäss Art. 8 Ziff. 2 EMRK darf in das Recht auf Achtung des Privatlebens nur eingegriffen werden, soweit dies gesetzlich vorgesehen und in einer demokratischen Gesellschaft notwendig ist für die nationale oder öffentliche Sicherheit, für das wirtschaftliche Wohl des Landes, zur Aufrechterhaltung der Ordnung, zur Verhütung von Straftaten, zum Schutz der Gesundheit oder der Moral oder zum Schutz der Rechte und Freiheiten anderer. Nach der entsprechenden Bestimmung von Art. 36 BV bedürfen Einschränkungen von Grundrechten einer gesetzlichen Grundlage. Schwerwiegende Einschränkungen müssen im Gesetz selbst vorgesehen sein (Abs. 1). Einschränkungen von Grundrechten müssen zudem durch ein öffentliches Interesse oder durch den Schutz von Grundrechten Dritter gerechtfertigt (Abs. 2) und verhältnismässig sein (Abs. 3). Ein schwerer Eingriff in ein Grundrecht bedarf einer klaren und ausdrücklichen Regelung in einem formellen Gesetz. Bei einem leichten Eingriff genügt ein Gesetz im materiellen Sinn. Ob ein Eingriff in ein Grundrecht schwer ist, beurteilt sich nach objektiven Kriterien. Nicht entscheidend ist das subjektive Empfinden des Betroffenen (BGE 143 I 194 E. 3.2 S. 201; BGE 141 I 211 E. 3.2 S. 214 f.).
Randdaten bzw. deren Kombination mit anderweitig erhobenen Daten ermöglicht somit, Profile zu erstellen, insbesondere Persönlichkeits- bzw. Bewegungsprofile oder solche über das Kommunikationsverhalten an sich. Aufgrund dessen liegt auch eine abschreckende Wirkung im Bereich der Nutzung von Fernmeldediensten nahe (vgl. Urteile Klass und andere gegen Deutschland vom 6. September 1978 [Nr. 5029/71] § 41; Szabó und Vissy gegen Ungarn, § 53). Die Möglichkeit der Verknüpfung von Randdaten, allenfalls in Kombination mit anderen Daten, besteht allerdings erst auf der Stufe der (rückwirkenden) Überwachung des Fernmeldeverkehrs, die einen zusätzlichen Eingriff bewirkt und vorliegend ausserhalb des Streitgegenstands liegt (vgl. E. 2.2 hiervor). Erst der Zugang zu den Randdaten und deren Auswertung im Einzelfall ermöglicht es den Strafverfolgungsbehörden, Erkenntnisse aus den gesammelten Informationen zu gewinnen und durch deren Verbindung allenfalls gewisse (Bewegungs-)Muster zu bilden. Demgegenüber werden die Randdaten auf der der Überwachung vorgelagerten Stufe der Speicherung und Aufbewahrung noch nicht zusammengeführt, weshalb auch keine sensiblen Profile gebildet werden können, die eine Beurteilung von wesentlichen Aspekten des Privatlebens erlauben würden. Ebenso wenig stehen die Randdaten den zuständigen staatlichen Stellen unmittelbar in ihrer Gesamtheit zur Verfügung. Vielmehr werden sie durch die einzelnen privaten Fernmeldedienstanbieterinnen erfasst und verbleiben während der Aufbewahrungsdauer in deren Sphäre, ohne dass eine Sichtung oder Verknüpfung mit anderen Daten stattfinden würde. Insofern ist zwischen zwei verschiedenen grund- und menschenrechtsrelevanten Massnahmen zu differenzieren, die eine unterschiedliche Eingriffsschwere aufweisen: Während die Speicherung und Aufbewahrung von Randdaten der Telekommunikation aufgrund der Masse der erfassten Daten und der grossen Anzahl der betroffenen Personen zwar wesentlich ist, nimmt der Eingriff mit dem Zugriff und der Nutzung dieser Daten durch die zuständigen Behörden erheblich an Intensität zu, wobei aber auch diesbezüglich anzumerken ist, dass die Anordnung einer rückwirkenden Überwachung im Einzelfall Verhältnismässigkeitsgesichtspunkten zu genügen hat, was allfälligen Profilbildungen enge Grenzen setzt.
die zuständigen staatlichen Stellen betroffen ist, findet auch in der Rechtsprechung des EGMR ihre Stütze. Im Fall Malone gegen Grossbritannien war neben der Zulässigkeit einer inhaltlichen Telefonüberwachung zu beurteilen, ob die Weitergabe an die Polizei von Verbindungsranddaten, namentlich die gewählten Telefonnummern sowie der Zeitpunkt und die Dauer der Anrufe, die der Fernmeldedienstanbieter mittels eines speziellen Messsystems (sog. "metering" bzw. "comptage") aufgezeichnet hatte, konventionskonform ist. Der EGMR hielt dazu fest, die Erfassung solcher Randdaten an sich, die von einer Überwachung des Inhalts der Kommunikation unterschieden werden müsse, sei mit Blick auf die Konvention unbedenklich; erst die Übermittlung dieser Daten an die Polizei sei mit Blick auf Art. 8 EMRK problematisch (EGMR-Urteil vom 2. August 1984 [Nr. 8691/79] § 83 f.). Der Gerichtshof bestätigte diese Praxis in einem kürzlich ergangenen Entscheid, in dem die Konventionskonformität einer Aufzeichnung von Telekommunikationsranddaten (ein- und ausgehende Telefonate mit Teilnehmeridentifikation) und deren rückwirkende Überwachung zu überprüfen war (EGMR-Urteil Figueiredo Teixeira gegen Andorra vom 8. November 2016 [Nr. 72384/14] § 43). Diese Rechtsprechung legt in Übereinstimmung mit dem Vorerwähnten nahe, dass es sich bei der reinen Speicherung und Aufbewahrung von Randdaten der Telekommunikation nicht um einen schweren Eingriff handelt. Wie nachfolgend aufzuzeigen ist, läge indes selbst bei der Annahme eines solchen eine hinreichende gesetzliche Grundlage vor.
Bestimmtheit der anzuwendenden Rechtssätze. Diese müssen so präzise formuliert sein, dass die Rechtsunterworfenen ihr Verhalten danach ausrichten und die Folgen eines bestimmten Verhaltens mit einem den Umständen entsprechenden Grad an Gewissheit erkennen können (BGE 143 I 310 E. 3.3.1 S. 314; BGE 139 I 280 E. 5.1 S. 284; je mit Hinweisen). Das Gebot der Bestimmtheit rechtlicher Normen darf dabei nicht absolut verstanden werden. Der Gesetzgeber kann nicht darauf verzichten, allgemeine und mehr oder minder vage Begriffe zu verwenden, deren Auslegung und Anwendung der Praxis überlassen werden muss (BGE 143 I 310 E. 3.3.1 S. 315; MEYER-LADEWIG/NETTESHEIM, in: EMRK, Handkommentar, Meyer-Ladewig und andere [Hrsg.], 4. Aufl. 2017, N. 105 zu Art. 8 EMRK). Der Grad der erforderlichen Bestimmtheit lässt sich nicht abstrakt festlegen. Er hängt unter anderem von der Vielfalt der zu ordnenden Sachverhalte, von der Komplexität und von der erst bei der Konkretisierung im Einzelfall möglichen und sachgerechten Entscheidung ab (BGE 143 I 253 E. 6.1 S. 264; BGE 141 I 201 E. 4.1 S. 204; BGE 139 I 280 E. 5.1 S. 284).
Definition für Randdaten des Fernmeldeverkehrs an, die in materieller Hinsicht der geltenden Begriffsbestimmung entspricht (Botschaft vom 27. Februar 2013 zum Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs [nachfolgend: Botschaft zum nBÜPF], BBl 2013 2683, 2739 Ziff. 2.6). Dabei handelt es sich um Daten, aus denen hervorgeht, mit wem, wann, wie lange und von wo aus die überwachte Person Verbindung hat oder gehabt hat, sowie die technischen Merkmale der entsprechenden Verbindung (BBl 2016 1991). Insofern ist für jeden Benutzer von Fernmeldediensten bzw. jeden Teilnehmer an Telekommunikationen ersichtlich, dass die mit seinen Kommunikationsvorgängen zusammenhängenden äusseren Daten während sechs Monaten von den Anbieterinnen gespeichert und aufbewahrt werden, insbesondere auch ohne konkreten Verdacht auf eine Straftat. Inwiefern es noch präziseren Angaben im Gesetz bedürfte, leuchtet nicht ein. Eine detaillierte Auflistung aller zu erfassenden Randdaten erwiese sich angesichts des zu ordnenden Sachverhalts und der damit einhergehenden Komplexität nicht als stufen- und sachgerecht (vgl. EGMR-Urteile Zakharov gegen Russland vom 4. Dezember 2015 [Nr. 47143/06] § 244 und 247; Malone gegen Grossbritannien, § 68; Kennedy gegen Grossbritannien vom 18. Mai 2010 [Nr. 26839/05] § 159; Szabó und Vissy gegen Ungarn, § 64). Eine solche Aufzählung wäre sehr technisch und für einen Laien - wie von den Beschwerdeführern selbst bemängelt - wohl kaum verständlich. Der Vorinstanz ist daher darin beizupflichten, dass es vorliegend für eine hinreichende gesetzliche Grundlage ausreichen muss, dass der Umfang und der Zweck der Speicherung und Aufbewahrung von Telekommunikationsranddaten in den Grundzügen im Gesetz festgelegt sind. Diesen Anforderungen genügt Art. 15 Abs. 3 aBÜPF, der eine Vorratshaltung von Randdaten für allfällige künftige Strafverfahren, zum Vollzug von Rechtshilfeersuchen, für die Suche und Rettung von vermissten Personen sowie für die nachrichtendienstliche Informationsbeschaffung bezweckt (vgl. Art. 1 Abs. 1 aBÜPF). Dass die Fernmeldedienstanbieterinnen dabei mehr Daten erfassen, als für die Rechnungsstellung notwendig ist, lässt sich aus dieser Bestimmung ermessen. Ausserdem ist für den Einzelnen aufgrund des Umfangs der Datenspeicherung voraussehbar, dass daraus - jedenfalls bei einer Verknüpfung mit weiteren Daten im Rahmen einer (rückwirkenden) Überwachung - sensible Informationen gewonnen werden können.
elektronischen Kommunikationsmittel sowie auf sämtliche Verkehrsdaten erstrecke, ohne irgendeine Differenzierung, Einschränkung oder Ausnahme vorzusehen. Insbesondere betreffe sie alle Personen, die elektronische Kommunikationsmittel benutzten, ohne dass diese auch nur mittelbar oder entfernt Anlass zur Strafverfolgung geben könnten. Auch verlange die Richtlinie keinen Zusammenhang zwischen den auf Vorrat gespeicherten Daten und der Bedrohung für die öffentliche Sicherheit. So beschränke sie sich weder auf Daten eines bestimmten Zeitraums, Gebiets oder eines Kreises von Personen, die in irgendeiner Weise in schwere Straftaten verwickelt sein oder aus anderen Gründen zur Verhütung oder Verfolgung solcher Delikte beitragen könnten. Zudem sehe die Richtlinie eine Mindestdauer von sechs Monaten für die Vorratsdatenspeicherung vor, ohne dass eine Unterscheidung der Datenkategorien je nach deren etwaigen Nutzen für das verfolgte Ziel oder anhand der betroffenen Personen getroffen werde (Urteil des EuGH vom 8. April 2014 C-293/12 und C-594/12 Digital Rights Ireland, Randnr. 57 ff.). Der EuGH bestätigte diese Rechtsprechung in seinem zweiten Urteil zur Vorratsdatenspeicherung, worin er zum Schluss gelangte, dass eine nationale Regelung, die eine allgemeine und unterschiedslose Speicherung von Daten vorsehe, aus den bereits genannten Gründen nicht vor Unionsrecht standhalte. Allerdings verbiete Letzteres den Mitgliedsstaaten nicht, eine Regelung zu erlassen, die eine gezielte Vorratsspeicherung von Verkehrs- und Standortdaten ermögliche, sofern sich diese hinsichtlich der Datenkategorien, der elektronischen Kommunikationsmittel, des Personenkreises und der Aufbewahrungsdauer auf das absolut Notwendige beschränke. Um diesen Erfordernissen zu genügen, müsse die nationale Regelung klar und präzise sein sowie ausreichende Garantien zum Schutz vor Missbrauchsrisiken enthalten. Sie habe anzugeben, unter welchen Umständen und Voraussetzungen eine Massnahme der Vorratsdatenspeicherung angeordnet werden dürfe. Insbesondere müsse sie auf objektive Anhaltspunkte gestützt sein, die es ermöglichten, diejenigen Personen zu erfassen, die einen zumindest mittelbaren Zusammenhang zu schweren Straftaten aufwiesen. Eine solche Begrenzung lasse sich auch durch ein geografisches Kriterium gewährleisten, wenn objektive Hinweise dafür bestünden, dass in gewissen Gebieten ein erhöhtes Risiko für die Vorbereitung oder Begehung von Straftaten bestehe (Urteil des EuGH vom 21. Dezember 2016 C-203/15 und C-698/15 Tele2 Sverige, Randnr. 108 ff.).
Genehmigung durch ein unabhängiges Gericht bedarf. Darauf ist nachfolgend näher einzugehen. Neben der eigentlichen (inhaltlichen) Überwachung (Art. 270 -272 i.V.m. Art. 269 StPO) sieht Art. 273 StPO die Möglichkeit vor, dass die Staatsanwaltschaft Auskünfte über die Verkehrs- und Rechnungsdaten bzw. die Teilnehmeridentifikation einholt. Voraussetzung für den Zugang zu solchen Randdaten des Fernmeldeverkehrs ist, dass der dringende Verdacht eines Verbrechens oder Vergehens (oder einer Übertretung nach Art. 179 septies StGB) besteht, dass die Schwere der Straftat die Überwachung rechtfertigt und dass die bisherigen Untersuchungshandlungen erfolglos geblieben sind oder die Ermittlungen sonst aussichtslos wären oder unverhältnismässig erschwert würden (Art. 273 Abs. 1 Ingress i.V.m. Art. 269 Abs. 1 lit. b und c StPO; BGE 141 IV 108 E. 4.4 S. 117 f.; BGE 137 IV 340 E. 5.2 S. 346 f.; EGMR-Urteile Uzun gegen Deutschland, § 70; Zakharov gegen Russland, § 243 ff.). Mithin haben die Auskünfte, die bis sechs Monate rückwirkend verlangt werden können (Art. 273 Abs. 3 StPO und Art. 15 Abs. 3 aBÜPF), dem Gebot der Verhältnismässigkeit zu genügen (Art. 197 Abs. 1 lit. c und d StPO; EGMR-Urteil Zakharov gegen Russland, § 260). Wie die inhaltliche Kommunikationsüberwachung (Art. 272 Abs. 1 StPO), bedürfen Massnahmen nach Art. 273 StPO der Genehmigung durch das Zwangsmassnahmengericht (Art. 273 Abs. 2 StPO), das gestützt auf die substanziierte und mit den wesentlichen Verfahrensakten belegte Eingabe der Staatsanwaltschaft (Art. 274 Abs. 1 StPO) innert fünf Tagen seit der Anordnung der Überwachung oder der Auskunftserteilung mit kurzer Begründung darüber entscheiden muss (Art 274 Abs. 2 StPO; EGMR-Urteile Klass und andere gegen Deutschland, § 55 f.; Szabó und Vissy gegen Ungarn, § 77). Dabei hat sich die Genehmigung namentlich darüber zu äussern, ob Vorkehren zum Schutz von Berufsgeheimnissen getroffen werden müssen (Art. 274 Abs. 4 lit. a StPO). Dokumente und Datenträger aus nicht genehmigten Überwachungen sind sofort zu vernichten und dürfen nicht verwendet werden (Art. 277 StPO; EGMR-Urteil Uzun gegen Deutschland vom 2. September 2010 [Nr. 35623/05] § 71 f.). Grundsätzlich teilt die Staatsanwaltschaft den überwachten Personen spätestens mit Abschluss des Vorverfahrens den Grund, die Art und die Dauer der Überwachung mit (Art. 279 Abs. 1 StPO; für Vorbehalte vgl. Art. 279 Abs. 2 StPO; EGMR-Urteile Klass und andere gegen Deutschland, § 58; Uzun gegen Deutschland, § 72; Szabó und Vissy gegen Ungarn, § 86).
Ihnen steht dagegen der Beschwerdeweg offen (Art. 279 Abs. 3 StPO), der letztlich bis an das Bundesgericht führen kann (Art. 78 ff . BGG). Wird eine Überwachung des Fernmeldedienstes angeordnet, prüft der Dienst ÜPF unter anderem, ob die Überwachung eine gemäss dem anwendbaren Recht überwachungsfähige Straftat betrifft und von der zuständigen Behörde angeordnet worden ist (Art. 13 Abs. 1 lit. a aBÜPF). Er weist die Anbieterinnen an, die für die Überwachung notwendigen Massnahmen zu treffen (Art. 13 Abs. 1 lit. b aBÜPF) und nimmt die von ihnen übermittelten Randdaten entgegen, bevor er sie an die anordnende Behörde weiterleitet (Art. 13 lit. e aBÜPF und Art. 8 Abs. 3 aVÜPF; BGE 141 IV 108 E. 4.6 S. 118). Dabei setzt er die Vorkehren der Genehmigungsbehörde zum Schutz von Berufsgeheimnissen um und bewahrt die Überwachungsanordnung nach Einstellung der Massnahme während eines Jahres auf (Art. 13 Abs. 1 lit. f und i aBÜPF).
8.3.5 Die Beschwerdeführer bemängeln in diesem Zusammenhang, die datenschutzrechtlichen Grundsätze würden nicht eingehalten und es bestehe kein hinreichender Schutz vor Missbrauch. Während das aBÜPF selbst keine Bestimmungen über den Datenschutz bzw. die Datensicherheit enthält, verweist Art. 9 Abs. 1 aVÜPF namentlich auf die Verordnung zum Bundesgesetz vom 14. Juni 1993 über den Datenschutz (VDSG; SR 235.11). In Art. 9 Abs. 2 aVÜPF wird überdies präzisierend festgehalten, dass die Fernmeldedienstanbieterinnen bei der Übertragung der Überwachungsdaten die Anweisungen des Dienstes ÜPF zu befolgen haben und sie für die Datensicherheit bis zum Übergabepunkt der Daten an den Dienst ÜPF verantwortlich sind. Die Richtlinien vom 22. Oktober 2015 über die organisatorischen und administrativen Anforderungen (OAR) sowie die technischen Anforderungen (TR TS) bei der rechtmässigen Überwachung des Fernmeldeverkehrs (vgl. Art. 33 Abs. 1bis aVÜPF; beide abrufbar unter www.li.admin.ch/de/dokumentation/downloads, besucht am 6. Dezember 2017) verweisen für die Gewährleistung der Datensicherheit durch die Fernmeldedienstanbieterinnen und den Dienst ÜPF auf das DSG (vgl. Ziff. 11.2 bzw. Ziff. 14.2), das ohnehin für Datenbearbeitungen durch private Personen oder Bundesorgane gilt (Art. 2 Abs. 1 DSG). Nach dessen Art. 7 müssen Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden, wobei der Bundesrat nähere Bestimmungen über die Mindestanforderungen an die Datensicherheit erlässt. Gemäss Art. 20 VDSG treffen die verantwortlichen Bundesorgane die nach den Art. 8 -10 VDSG erforderlichen technischen und organisatorischen Massnahmen zum Schutz der Persönlichkeit und der Grundrechte der Personen, über die Daten bearbeitet werden (Satz 1). Diese Bestimmung gilt nach den zutreffenden und unbestritten gebliebenen Ausführungen der Vorinstanz auch für die Fernmeldedienstanbieterinnen, zumal sie bei der Speicherung und Aufbewahrung von Randdaten des Fernmeldeverkehrs mit öffentlichen Aufgaben des Bundes betraut worden sind (Art. 3 lit. h DSG; vgl. E. 12.7.3 des angefochtenen Entscheids). Wer Personendaten bearbeitet bzw. ein Datenkommunikationsnetz betreibt, hat nach Art. 8 Abs. 1 VDSG für die Vertraulichkeit, Verfügbarkeit und Integrität der Daten zu
Sicherheitsziele massgeblich beeinträchtigt werden könnten (vgl. BAERISWYL, a.a.O., N. 33 zu Art. 7 DSG). Überdies vermag die Kontrolle durch den EDÖB, der seine Funktionen unabhängig und ohne Weisungen ausübt (Art. 26 Abs. 3 DSG), diesbezüglich Abhilfe zu verschaffen. Nach Art. 27 DSG überwacht er die Einhaltung der bundesrechtlichen Datenschutzvorschriften durch die Bundesorgane (Abs. 1), wobei er bei seinen Abklärungen Akten herausverlangen, Auskünfte einholen und sich die Datenbearbeitung vorführen lassen kann (Abs. 3 Satz 1). Insofern verfügt der EDÖB auch im Bereich der Speicherung und Aufbewahrung von Telekommunikationsranddaten durch die Fernmeldedienstanbieterinnen bzw. der Weiterleitung solcher Informationen an den Dienst ÜPF im Falle einer Überwachungsanordnung über umfassende Befugnisse zur Überprüfung der Datensicherheit. Dabei darf erwartet werden, dass er diesen Rechten im Rahmen seiner Aufsichtstätigkeit, die er von sich aus oder auf Ersuchen Dritter hin einleiten kann (vgl. RENÉ HUBER, in: Basler Kommentar, Datenschutzgesetz, Öffentlichkeitsgesetz, 3. Aufl. 2014, N. 6 ff. zu Art. 27 DSG; YVONNE JÖHRI, in: Handkommentar zum Datenschutzgesetz, 2008, N. 6 zu Art. 27 DSG), auch tatsächlich nachlebt und insoweit Unregelmässigkeiten aufdeckt. Stellt er bei seinen Abklärungen eine Verletzung von Datenschutzbestimmungen fest, empfiehlt er dem verantwortlichen Bundesorgan, das Bearbeiten zu ändern oder zu unterlassen (Art. 27 Abs. 4 DSG). Gegen allfällige Verfügungen, die infolge abgelehnter oder nicht befolgter Empfehlungen ergehen können, kann er den Rechtsweg beschreiten (Art. 27 Abs. 5 und 6 DSG). Mangels gegenteiliger Anhaltspunkte oder Hinweise darf nach der Rechtsprechung des Bundesgerichts und des EGMR letztlich jedoch davon ausgegangen werden, dass die einschlägigen Datenschutzvorschriften zur sicheren Bearbeitung personenbezogener Informationen vorliegend eingehalten werden (vgl. BGE 137 I 167 E. 9.1.3 S. 191 f.; BGE 133 I 77 E. 5.4 S. 87; EGMR-Urteil Klass und andere gegen Deutschland, § 59). Dies gilt insbesondere auch mit Blick auf die (teilweise) Auslagerung der Datenbearbeitung ins Ausland. In Übereinstimmung mit den Ausführungen der Vorinstanz (vgl. E. 12.7.3 des angefochtenen Entscheids) muss sich der Auftraggeber insbesondere vergewissern, dass der Dritte die Datensicherheit gewährleistet (Art. 10a Abs. 2 DSG). Denn das Bundesorgan, das Personendaten durch Dritte bearbeiten lässt, bleibt für den Datenschutz verantwortlich (vgl. Art. 16 Abs. 1 DSG und Art. 22 Abs. 2 VDSG).
Untersteht der Dritte dem DSG nicht, vergewissert es sich, dass andere gesetzliche Bestimmungen einen gleichwertigen Datenschutz gewährleisten, andernfalls stellt es diesen auf vertraglichem Weg sicher (Art. 22 Abs. 3 VDSG). Bei der Übertragung eines Teils der Datenbearbeitung an einen Dritten im Ausland - z.B. im Rahmen eines IT-Outsourcings - ist zudem Art. 6 DSG zu beachten (vgl. ROSENTHAL, a.a.O., N. 7 zu Art. 6 und N. 28 zu Art. 10a DSG; BÜHLER/RAMPINI, in: Basler Kommentar, Datenschutzgesetz, Öffentlichkeitsgesetz, 3. Auflage 2014, N. 6 zu Art. 10a DSG; EDÖB, Tätigkeitsbericht 18 [2010/2011], Datenübermittlung ins Ausland im Rahmen eines "Outsourcing"; a.M. BAERISWYL, a.a.O., N. 43 zu Art. 10a DSG). Nach dessen Abs. 1 dürfen Personendaten nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Person schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Ein Indiz dafür, ob dies der Fall ist, lässt sich der Staatenliste des EDÖB entnehmen (Art. 31 Abs. 1 lit. d DSG i.V.m. Art. 7 VDSG; abrufbar unter www.edoeb.admin.ch/datenschutz/00626/00753/index.html, besucht am 6. Dezember 2017). Danach weist Rumänien, das von den Beschwerdeführern als Beispiel angeführt wird, entgegen ihrer Auffassung ein angemessenes Datenschutzniveau für das Bearbeiten von Daten natürlicher Personen auf. Insofern bieten die datenschutzrechtlichen Bestimmungen einen ausreichenden Schutz vor unbefugten Datenbearbeitungen und Zweckentfremdungen. Wie bereits an anderer Stelle ausgeführt (vgl. E. 7 hiervor), verfolgt die Vorratshaltung von Randdaten des Fernmeldeverkehrs primär das Ziel, deren Vorhandensein für allfällige künftige Strafverfahren zu gewährleisten (Art. 1 i.V.m. Art. 15 Abs. 3 BÜPF). Dies ist für die betroffenen Personen bereits bei der Datenbeschaffung erkennbar (vgl. E. 6.2 hiervor). Es leuchtet daher nicht ein, inwiefern ein Verstoss gegen den Bearbeitungsgrundsatz der Zweckbindung vorliegen soll.
Die Fernmeldedienstanbieterinnen berufen sich auf diese Ausnahme, um die Bekanntgabe der streitbetroffenen Randdaten an die Beschwerdeführer zu verweigern. Zur Begründung führen sie aus, das nur die Daten der Rechnungsstellung umfassende fernmelderechtliche Auskunftsrecht (Art. 45 FMG i.V.m. Art. 81 f . der Verordnung vom 9. März 2007 über Fernmeldedienste [FDV; SR 784.101.1]) gehe als lex specialis Art. 8 DSG vor. Dieser Argumentation kann indes nicht gefolgt werden. Die Fernmeldedienstanbieterinnen verkennen, dass der durch Art. 13 BV bzw. Art. 8 EMRK gewährleistete Anspruch auf Auskunft und Einsicht eine unentbehrliche Voraussetzung für die Verwirklichung des Schutzes der Privatsphäre darstellt (BGE 138 I 6 E. 7.5.2 S. 38 mit Hinweis). In diesem Sinne dient das Auskunftsrecht nach Art. 8 DSG der Durchsetzung des Persönlichkeitsschutzes, indem es den betroffenen Personen ermöglichen soll, die über sie in einer Datensammlung bearbeiteten Daten zu kontrollieren mit dem Ziel, die Einhaltung der datenschutzrechtlichen Grundsätze und Bestimmungen zu überprüfen und gegebenenfalls durchzusetzen (vgl. Botschaft vom 23. März 1988 zum Bundesgesetz über den Datenschutz, BBl 1988 II 413, 433 Ziff. 213.1; BGE 138 III 425 E. 5.3 S. 431 f.). Dies bezwecken denn auch die Beschwerdeführer mit ihren Auskunftsbegehren. Letztere erschöpfen sich nicht in der Verfolgung eines mit der Erbringung von Fernmeldedienstleistungen verbundenen Anspruchs im Sinne des FMG. Vielmehr zielen sie darauf ab, alle über sie in den Datensammlungen der Fernmeldedienstanbieterinnen vorhandenen Daten im Sinne des BÜPF in Erfahrung zu bringen, um deren rechtmässige Bearbeitung zu überprüfen. Dass die in den Datensammlungen erfassten Randdaten der Telekommunikation über die blossen Daten zur Rechnungsstellung hinausgehen, räumen die Fernmeldedienstanbieterinnen denn auch selbst ein. Eingedenk der mit den Gesuchen der Beschwerdeführer verfolgten Zielsetzung bedeutete
eine Beschränkung ihres Anspruchs auf das fernmelderechtliche Auskunftsrecht im Ergebnis, sie nicht nur der Möglichkeit zu berauben, die Einhaltung der materiellen Bestimmungen des Datenschutzes zu kontrollieren, sondern auch die Wahrnehmung ihrer übrigen Datenschutzrechte zu vereiteln (vgl. BGE 140 V 464 E. 4.2 S. 465; BGE 139 V 492 E. 3.2 S. 494; BGE 125 II 473 E. 4b S. 476). Dazu gehören namentlich die Ansprüche gemäss Art. 25 Abs. 1 DSG. Danach kann bei Vorliegen eines schutzwürdigen Interesses vom verantwortlichen Bundesorgan verlangt werden, dass es das widerrechtliche Bearbeiten von Personendaten unterlässt (lit. a), die Folgen eines widerrechtlichen Bearbeitens beseitigt (lit. b), oder die Widerrechtlichkeit des Bearbeitens feststellt (lit. c). Ferner verleiht Art. 25 Abs. 3 lit. a DSG dem Gesuchsteller namentlich das Recht auf Berichtigung unrichtiger Daten (vgl. dazu ferner Art. 5 Abs. 2 DSG). Gegen Verfügungen über solche datenschutzrechtlichen Ansprüche steht den betroffenen Personen der Rechtsweg offen (vgl. Art. 33 Abs. 1 DSG), womit sie die Sache einer Überprüfung durch ein unabhängiges Gericht zuführen können (vgl. JÖHRI, a.a.O., N. 39 zu Art. 25 DSG; MONIQUE STURNY, in: Datenschutzgesetz [DSG], 2015, N. 3 f. zu Art. 33 DSG). Im hier zu beurteilenden Fall stellen diese Rechte einen wirksamen Grundrechtsschutz sicher, zumal sie die Möglichkeit eröffnen, eine rechtmässige Speicherung und Aufbewahrung von Randdaten der Telekommunikation durch die Fernmeldedienstanbieterinnen gegebenenfalls auch gerichtlich durchzusetzen (vgl. EGMR-Urteil Zubkov und andere gegen Russland vom 7. November 2017 [Nr. 29431/05] § 129). Insofern geht es vorliegend nicht an, den Anspruch der Beschwerdeführer im Sinne einer Ausnahme nach Art. 9 Abs. 1 lit. a DSG auf die Daten der Rechnungsstellung zu verkürzen (vgl. dazu auch Erläuterungsbericht des Eidg. Departements für Umwelt, Verkehr, Energie und Kommunikation [UVEK] vom 15. Oktober 2014 zur Revision von Verordnungen zum FMG, S. 9, wonach Art. 81 Abs. 1 FDV wie bis anhin nicht beabsichtige, etwaige weitergehende, datenschutzrechtliche Auskunftsrechte einzuschränken). Vielmehr können sie sich auf das datenschutzrechtliche Auskunftsrecht gemäss Art. 8 DSG berufen, um alle Angaben in Erfahrung zu bringen, die sich auf ihre Person beziehen bzw. ihnen zugeordnet werden können (vgl. GRAMIGNA/MAURER-LAMBROU, in: Basler Kommentar, Datenschutzgesetz, Öffentlichkeitsgesetz, 3. Aufl. 2014, N. 23 zu Art. 8 DSG). Soweit die Fernmeldedienstanbieterinnen in
8.3.8 Zur Durchsetzung einer rechtmässigen Datenbearbeitung durch die Bundesorgane steht den betroffenen Personen im Weiteren ein Anspruch auf Löschung bzw. Vernichtung zu (Art. 25 Abs. 3 lit. a DSG), der grundrechtlich geschützt ist (BGE 126 I 7 E. 3c/aa S. 12). Voraussetzung dafür ist, dass die Daten vom verantwortlichen Bundesorgan überhaupt nicht bzw. nicht mehr bearbeitet werden dürfen (vgl. JAN BANGERT, in: Basler Kommentar, Datenschutzgesetz, Öffentlichkeitsgesetz, 3. Aufl. 2014, N. 58 zu Art. 25 /25bis DSG; JÖHRI, a.a.O., N. 29 zu Art. 25 DSG; STURNY, a.a.O., N. 24 zu Art. 25 DSG). Dies ist insbesondere dann der Fall, wenn die Datenbearbeitung zur Erfüllung der öffentlichen Aufgabe nicht (mehr) erforderlich ist bzw. rechtmässig erhobene Daten zu lange aufbewahrt werden (vgl. BGE 120 Ia 147 E. 2a S. 150; EGMR-Urteil Zakharov gegen Russland, § 255; MÜLLER/SCHEFER, Grundrechte in der Schweiz, 4. Aufl. 2008, S. 169; KIENER/KÄLIN, Grundrechte, 2. Aufl. 2013, S. 180; SCHWEIZER/RECHSTEINER: in: Datenschutzrecht, 2015, Rn. 2.39). In seiner aktuellen Fassung sieht Art. 15 Abs. 3 BÜPF eine Aufbewahrungsdauer von sechs Monaten vor, weshalb die gespeicherten Randdaten der Telekommunikation nach deren Ablauf durch die Fernmeldedienstanbieterinnen (unwiderruflich) zu löschen sind, sofern nicht spezielle Rechtfertigungsgründe eine längere Aufbewahrung gebieten (z.B. wenn das Entgelt für eine Fernmeldedienstleistung
zu verteidigen, untergraben oder gar zerstört würde. Unter Berücksichtigung, dass der EGMR den Konventionsstaaten im Rahmen von Art. 8 EMRK einen gewissen Ermessensspielraum zugesteht und er sich in seiner Rechtsprechung (noch) nicht einlässlich mit der Frage der Vorratshaltung von Randdaten der Telekommunikation befasst hat, erscheinen die Einschränkungen des Rechts auf Achtung des Privatlebens und des Anspruchs auf informationelle Selbstbestimmung nicht als unverhältnismässig. Kann mit anderen Worten nicht von vornherein auf die Konventionswidrigkeit des schweizerischen Systems der Vorratsdatenspeicherung geschlossen werden, überwiegen bei einer Gesamtwürdigung aufgrund des Vorerwähnten die öffentlichen Interessen an der Aufklärung von Straftaten bzw. an der Wahrung der öffentlichen Gesundheit die privaten Interessen der Beschwerdeführer an der Löschung resp. Unterlassung einer künftigen Speicherung ihrer Telekommunikationsranddaten. Die Rüge der Verletzung von Grundrechten, insbesondere Art. 8 EMRK und Art. 13 BV, erweist sich somit als unbegründet. Die von den Beschwerdeführern angeführten Urteile ausländischer Verfassungsgerichte sowie die weiteren von ihnen beigebrachten Dokumente und Stellungnahmen vermögen an dieser Beurteilung nichts zu ändern. Da der Eingriff insoweit gerechtfertigt ist, bedarf es entgegen ihrer Auffassung überdies keiner Einwilligung in die Speicherung und Aufbewahrung der Randdaten ihres Fernmeldeverkehrs.
Entscheid : 144 I 126
Datum : 02. März 2018
Status : 144 I 126
Regeste : Speicherung und Aufbewahrung von Randdaten der Telekommunikation. Streitgegenstand bildet die...
BÜPF Art. 1 Sachlicher Geltungsbereich SR 780.1 Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs
a im Rahmen eines Strafverfahrens;
b zum Vollzug eines Rechtshilfeersuchens;
c im Rahmen der Suche nach vermissten Personen;
d im Rahmen der Fahndung nach Personen, die zu einer Freiheitsstrafe verurteilt wurden oder gegen die eine freiheitsentziehende Massnahme angeordnet wurde.;
e im Rahmen des Vollzugs des Nachrichtendienstgesetzes vom 25. September 2015 2 (NDG).
2 Für Auskünfte über den Zahlungsverkehr, der dem Postgesetz vom 17. Dezember 2010 3 (PG) untersteht, gelten die Bestimmungen über die Zeugnispflicht und über die Auskunftspflicht gegenüber einer Behörde.
BÜPF Art. 5 Beratendes Organ SR 780.1 Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs
1 Das EJPD kann ein beratendes Organ einsetzen, dem Vertreterinnen und Vertreter des EJPD, des Dienstes, der Kantone, der Strafverfolgungsbehörden, des Nachrichtendienstes des Bundes (NDB) und der Anbieterinnen von Post- und Fernmeldediensten angehören. 1
BÜPF Art. 15 Auskünfte über Fernmeldedienste SR 780.1 Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs
a den Behörden des Bundes und der Kantone, welche eine Überwachung des Fernmeldeverkehrs anordnen oder genehmigen dürfen oder den von diesen bezeichneten Behörden: zwecks Bestimmung der zu überwachenden Dienste und Personen sowie der mit diesen in Verbindung stehenden Personen;
b dem Bundesamt für Polizei und den Polizeibehörden der Kantone und Gemeinden: zwecks Erfüllung von Polizeiaufgaben;
c den zuständigen Behörden des Bundes und der Kantone: zwecks Erledigung von Verwaltungsstrafsachen;
d dem NDB: zwecks Erfüllung von Aufgaben nach dem NDG 2 .
2 Der Dienst erteilt zudem der zuständigen Behörde des Bundes nach den Artikeln 10 Absatz 3 und 23 des Bundesgesetzes vom 19. Dezember 1986 3 gegen den unlauteren Wettbewerb (UWG) auf Gesuch Auskünfte über die Daten nach Artikel 21, damit diese Strafanzeige wegen unlauteren Wettbewerbs nach Artikel 3 Absatz 1 Buchstabe u UWG einreichen kann. 4
DSG Art. 5 Richtigkeit der Daten SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 7 Datensicherheit SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 9 Einschränkung des Auskunftsrechts SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 10a Datenbearbeitung durch Dritte SR 235.1 Bundesgesetz über den Datenschutz
a die Daten nur so bearbeitet werden, wie der Auftraggeber selbst es tun dürfte; und
b keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet.
DSG Art. 16 SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 25 Ansprüche und Verfahren SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 25bis Verfahren im Falle der Bekanntgabe von amtlichen Dokumenten, die Personendaten enthalten - Solange ein Verfahren betreffend den Zugang zu amtlichen Dokumenten im Sinne des Öffentlichkeitsgesetzes vom 17. Dezember 2004 2 , welche Personendaten enthalten, im Gange ist, kann die betroffene Person im Rahmen dieses Verfahrens die Rechte geltend machen, die ihr aufgrund von Artikel 25 des vorliegenden Gesetzes bezogen auf diejenigen Dokumente zustehen, die Gegenstand des Zugangsverfahrens sind. SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 31 Weitere Aufgaben SR 235.1 Bundesgesetz über den Datenschutz
1 Der Beauftragte hat insbesondere folgende weiteren Aufgaben: 1
a Er unterstützt Organe des Bundes und der Kantone in Fragen des Datenschutzes.
b Er nimmt Stellung zu Vorlagen über Erlasse und Massnahmen des Bundes, die für den Datenschutz erheblich sind.
c Er arbeitet mit in- und ausländischen Datenschutzbehörden zusammen.
d Er begutachtet, inwieweit die Datenschutzgesetzgebung im Ausland einen angemessenen Schutz gewährleistet.
e Er prüft die ihm nach Artikel 6 Absatz 3 gemeldeten Garantien und Datenschutzregeln.
f Er prüft die Zertifizierungsverfahren nach Artikel 11 und kann dazu Empfehlungen nach Artikel 27 Absatz 4 oder 29 Absatz 3 abgeben.
g Er nimmt die ihm durch das Öffentlichkeitsgesetz vom 17. Dezember 2004 6 übertragenen Aufgaben wahr.
h Er sensibilisiert die Bevölkerung in Bezug auf den Datenschutz.
DSG Art. 35 Verletzung der beruflichen Schweigepflicht SR 235.1 Bundesgesetz über den Datenschutz
1 Wer vorsätzlich geheime, besonders schützenswerte Personendaten oder Persönlichkeitsprofile unbefugt bekannt gibt, von denen er bei der Ausübung seines Berufes, der die Kenntnis solcher Daten erfordert, erfahren hat, wird auf Antrag mit Busse bestraft. 1
FDV: 80
FDV Art. 80 Bearbeitung von Verkehrs- und Rechnungsdaten - Die Anbieterinnen von Fernmeldediensten dürfen die persönlichen Daten der Kundinnen und Kunden bearbeiten, soweit und solange dies für den Verbindungsaufbau, für die Erfüllung ihrer Pflichten nach dem Bundesgesetz vom 18. März 2016 2 (BÜPF) betreffend die Überwachung des Post- und Fernmeldeverkehrs und für den Erhalt des für die entsprechenden Leistungen geschuldeten Entgelts notwendig ist. SR 784.101.1 Verordnung über Fernmeldedienste
FDV Art. 81 Mitteilung von Verkehrs- und Rechnungsdaten SR 784.101.1 Verordnung über Fernmeldedienste
1 Solange die Möglichkeit der Anfechtung ihrer Rechnung besteht, können die Kundinnen und Kunden von ihrer Anbieterin verlangen, ihnen im Einzelfall oder bei jeder Rechnungsstellung alle Daten mitzuteilen, welche für die Rechnungsstellung verwendet werden. Sofern dafür Rufnummern der anrufenden Anschlüsse verwendet werden, sind diese ohne die letzten vier Ziffern anzugeben. 1
FMG Art. 43 Pflicht zur Geheimhaltung - Wer mit fernmeldedienstlichen Aufgaben betraut ist oder betraut war, darf Dritten keine Angaben über den Fernmeldeverkehr von Teilnehmerinnen und Teilnehmern machen und niemandem Gelegenheit geben, solche Angaben weiterzugeben. SR 784.10 Fernmeldegesetz
FMG Art. 45 Auskunft SR 784.10 Fernmeldegesetz
2 Wer diese Daten zur Ermittlung missbräuchlich hergestellter Verbindungen oder unlauterer Massenwerbung benötigt, kann von der Anbieterin von Fernmeldediensten Auskunft über Namen und Adressen der anrufenden Anschlüsse verlangen. 1
StGB: 321ter
StGB Art. 321ter Verletzung des Post- und Fernmeldegeheimnisses SR 311.0 Schweizerisches Strafgesetzbuch
1 Wer als Beamter, Angestellter oder Hilfsperson einer Organisation, die Post- oder Fernmeldedienste erbringt, einem Dritten Angaben über den Post-, Zahlungs- oder den Fernmeldeverkehr der Kundschaft macht, eine verschlossene Sendung öffnet oder ihrem Inhalt nachforscht, oder einem Dritten Gelegenheit gibt, eine solche Handlung zu begehen, wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.
2 Ebenso wird bestraft, wer eine nach Absatz 1 zur Geheimhaltung verpflichtete Person durch Täuschung veranlasst, die Geheimhaltungspflicht zu verletzen.
3 Die Verletzung des Post- und Fernmeldegeheimnisses ist auch nach Beendigung des amtlichen oder dienstlichen Verhältnisses strafbar.
4 Die Verletzung des Post- und Fernmeldegeheimnisses ist nicht strafbar, soweit sie zur Ermittlung des Berechtigten oder zur Verhinderung von Schäden erforderlich ist.
5 Vorbehalten bleiben Artikel 179 octiessowie die eidgenössischen und kantonalen Bestimmungen über die Zeugnispflicht und über die Auskunftspflicht gegenüber einer Behörde.
StPO Art. 15 Polizei SR 312.0 Schweizerische Strafprozessordnung - Strafprozessordnung
StPO Art. 269 Voraussetzungen SR 312.0 Schweizerische Strafprozessordnung - Strafprozessordnung
StPO Art. 270 Gegenstand der Überwachung - Es dürfen Post- und Fernmeldeverkehr folgender Personen überwacht werden: 1 SR 312.0 Schweizerische Strafprozessordnung - Strafprozessordnung
1 die beschuldigte Person die Postadresse oder den Fernmeldedienst der Drittperson benutzt, oder
2 die Drittperson für die beschuldigte Person bestimmte Mitteilungen entgegennimmt oder von dieser stammende Mitteilungen an eine weitere Person weiterleitet.
a der beschuldigten Person;
b von Drittpersonen, wenn aufgrund bestimmter Tatsachen angenommen werden muss, dass:
StPO Art. 272 Genehmigungspflicht und Rahmenbewilligung SR 312.0 Schweizerische Strafprozessordnung - Strafprozessordnung
StPO Art. 273 Teilnehmeridentifikation, Standortermittlung und technische Merkmale des Verkehrs SR 312.0 Schweizerische Strafprozessordnung - Strafprozessordnung
1 Besteht der dringende Verdacht, ein Verbrechen, ein Vergehen oder eine Übertretung nach Artikel 179 septiesStGB 2 sei begangen worden, und sind die Voraussetzungen nach Artikel 269 Absatz 1 Buchstaben b und c dieses Gesetzes erfüllt, so kann die Staatsanwaltschaft die Randdaten des Fernmeldeverkehrs gemäss Artikel 8 Buchstabe b des Bundesgesetzes vom 18. März 2016 3 betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) und die Randdaten des Postverkehrs gemäss Artikel 19 Absatz 1 Buchstabe b BÜPF der überwachten Person verlangen.
StPO Art. 274 Genehmigungsverfahren SR 312.0 Schweizerische Strafprozessordnung - Strafprozessordnung
StPO Art. 277 Verwertbarkeit von Ergebnissen aus nicht genehmigten Überwachungen SR 312.0 Schweizerische Strafprozessordnung - Strafprozessordnung
StPO Art. 279 Mitteilung SR 312.0 Schweizerische Strafprozessordnung - Strafprozessordnung
VDSG: 7
VDSG Art. 7 Liste der Staaten mit angemessener Datenschutzgesetzgebung - Der Beauftragte veröffentlicht eine Liste der Staaten, deren Gesetzgebung einen angemessenen Datenschutz gewährleistet. SR 235.11 Verordnung zum Bundesgesetz über den Datenschutz
VDSG Art. 8 Allgemeine Massnahmen SR 235.11 Verordnung zum Bundesgesetz über den Datenschutz
1 Wer als Privatperson Personendaten bearbeitet oder ein Datenkommunikationsnetz zur Verfügung stellt, sorgt für die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten, um einen angemessenen Datenschutz zu gewährleisten. 1 Insbesondere schützt er die Systeme gegen folgende Risiken:
a unbefugte oder zufällige Vernichtung;
b zufälligen Verlust;
c technische Fehler;
d Fälschung, Diebstahl oder widerrechtliche Verwendung;
a Zweck der Datenbearbeitung;
b Art und Umfang der Datenbearbeitung;
c Einschätzung der möglichen Risiken für die betroffenen Personen;
d gegenwärtiger Stand der Technik.
VDSG Art. 9 Besondere Massnahmen SR 235.11 Verordnung zum Bundesgesetz über den Datenschutz
e Speicherkontrolle: unbefugte Eingabe in den Speicher sowie unbefugte Einsichtnahme, Veränderung oder Löschung gespeicherter Personendaten sind zu verhindern;
f Benutzerkontrolle: die Benutzung von automatisierten Datenverarbeitungssystemen mittels Einrichtungen zur Datenübertragung durch unbefugte Personen ist zu verhindern;
VDSG Art. 10 Protokollierung SR 235.11 Verordnung zum Bundesgesetz über den Datenschutz
1 Der Inhaber der Datensammlung protokolliert die automatisierte Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen, wenn die präventiven Massnahmen den Datenschutz nicht gewährleisten können. Eine Protokollierung hat insbesondere dann zu erfolgen, wenn sonst nicht nachträglich festgestellt werden kann, ob die Daten für diejenigen Zwecke bearbeitet wurden, für die sie erhoben oder bekannt gegeben wurden. Der Beauftragte 2 kann die Protokollierung auch für andere Bearbeitungen empfehlen.
VDSG Art. 20 Grundsätze SR 235.11 Verordnung zum Bundesgesetz über den Datenschutz
2 Die verantwortlichen Bundesorgane melden dem Datenschutzverantwortlichen nach Artikel 11 aAbsatz 5 Buchstabe e DSG oder, falls kein solcher besteht, dem Beauftragten unverzüglich alle Projekte zur automatisierten Bearbeitung von Personendaten, damit die Erfordernisse des Datenschutzes sogleich berücksichtigt werden. Die Meldung an den Beauftragten erfolgt über das ISB, wenn das Projekt auch bei diesem angemeldet werden muss. 2
4 Im Übrigen sind die Weisungen anwendbar, die von den verantwortlichen Bundesorganen gestützt auf die Bundesinformatikverordnung vom 26. September 2003 3 erlassen wurden. 4
VDSG Art. 22 Datenbearbeitung im Auftrag SR 235.11 Verordnung zum Bundesgesetz über den Datenschutz
120-IA-147 • 125-II-473 • 126-I-7 • 127-I-145 • 128-I-3 • 129-I-35 • 131-I-223 • 132-I-7 • 133-I-77 • 135-II-105 • 136-I-87 • 136-III-168 • 137-I-167 • 137-I-209 • 137-IV-249 • 137-IV-340 • 138-I-256 • 138-I-331 • 138-I-6 • 138-II-346 • 138-III-425 • 139-I-16 • 139-I-180 • 139-I-280 • 139-IV-195 • 139-IV-98 • 139-V-492 • 140-I-2 • 140-I-305 • 140-I-353 • 140-IV-181 • 140-V-464 • 141-I-201 • 141-I-211 • 141-II-338 • 141-IV-108 • 142-II-268 • 142-II-340 • 142-II-35 • 142-IV-207 • 142-IV-34 • 143-I-147 • 143-I-194 • 143-I-253 • 143-I-310 • 144-I-126 • 99-IB-39
1C_598/2016 • 2C_1065/2014
fernmeldeverkehr • deutschland • kommunikation • ungarn • monat • russland • frankreich • benutzung • bundesgericht • betroffene person • vorinstanz • datenschutz • personendaten • stelle • datensammlung • datensicherheit • verdacht • gesuchsteller • journalist • streitgegenstand
A-4941/2014
AS 2001/3096 • AS 2001/3111
1988/II/413 • 1998/IV/4241 • 2013/2683 • 2016/1991
2015 N 1156 • 2015 N 1160 • 2015 N 1161 • 2015 N 1162 • 2015 N 1165

References: BGE 
 Art. 15
 Art. 15
 Art. 15
 Art. 15
 BGE 
 Art. 13
 BGE 
 BGE 
 Art. 10
 Art. 17
 BGE 
 BGE 
 Art. 6
 Art. 32
 BGE 
 EGMR 
 § 46
 § 43
 Art. 8
 § 67
 § 48
 § 58
 § 31
 § 69
 § 33
 Art. 8
 Art. 13
 Art. 8
 Art. 36
 BGE 
 § 41
 § 53
 EGMR 
 EGMR 
 Art. 8
 § 83
 § 43
 BGE 
 Art. 8
 BGE 
 BGE 
 § 244
 § 68
 § 159
 § 64
 Art. 15
 Art. 1
 EuGH 
 EuGH 
 EuGH 
 Art. 269
 Art. 273
 Art. 179
 Art. 269
 BGE 
 BGE 
 § 70
 § 243
 Art. 15
 § 260
 Art. 273
 § 55
 § 77
 § 71
 Art. 279
 § 58
 § 72
 § 86
 Art. 8
 BGE 
 Art. 9
 Art. 9
 Art. 33
 Art. 7
 Art. 20
 Art. 8
 Art. 8
 Art. 7
 Art. 27
 Art. 27
 Art. 27
 EGMR 
 BGE 
 BGE 
 § 59
 Art. 16
 Art. 22
 Art. 6
 Art. 6
 Art. 10
 Art. 10
 Art. 10
 Art. 7
 Art. 15
 Art. 81
 Art. 8
 Art. 13
 Art. 8
 Art. 8
 BGE 
 BGE 
 BGE 
 BGE 
 Art. 25
 Art. 25
 Art. 5
 Art. 33
 Art. 25
 Art. 33
 § 129
 Art. 9
 Art. 81
 Art. 8
 Art. 8
 Art. 25
 Art. 25
 Art. 25
 BGE 
 § 255
 Art. 15
 EGMR 
 Art. 8
 Art. 8
 Art. 13
 Art. 1
 Art. 5
 Art. 15
 Art. 5
 Art. 7
 Art. 9
 Art. 10
 Art. 16
 Art. 25
 Art. 25
 Art. 31
 Art. 35
 Art. 80
 Art. 81
 Art. 43
 Art. 45
 Art. 321
 Art. 15
 Art. 269
 Art. 270
 Art. 272
 Art. 273
 Art. 274
 Art. 277
 Art. 279
 Art. 7
 Art. 8
 Art. 9
 Art. 10
 Art. 20
 Art. 22