ch_vb · JAAC 70.95 · 2003-05-22 · de


JAAC 70.95
Auszug aus dem Entscheid der Eidgenössischen
Datenschutzkommission vom 22. Mai 2003/15. März
2004
Accès indirect aux renseignements sur le traitement de données
personnelles dans le domaine de la sûreté intérieure (protection de
l’Etat).
Art. 18 LMSI. Art. 14 LOC.
- Examen du rôle de la CFPDT à la lumière des travaux préparatoires.
Ni la LMSI, ni la LOC, ni les travaux préparatoires de ces lois, ne
contiennent rien qui indique que la CFPDT interviendrait en tant
que commission d’arbitrage par analogie aux dispositions de la
LPD dans le domaine privé; ici, la CFPDT a une fonction de juge
contrôlant et surveillant le PFPDT. Par conséquent, pour son contrôle,
la CFPDT dispose des mêmes pouvoirs d’examen, d’appréciation et de
recommandation que le PFPDT (consid. 1).
- La CFPDT et le PFPDT exercent à la place de la personne concernée
non seulement son droit d’accès aux renseignements, mais aussi
tous les droits que lui accorde l’art. 25 LPD; il n’est pas admissible de
restreindre une telle activité de contrôle prévue par la loi pour des
raisons de manque de ressources des organes de contrôle (consid. 2).
- Limites de l’examen. Les aspects de la proportionnalité et de
l’exactitude des informations enregistrées sont examinés par le
PFPDT et la CFPDT sous la forme d’un contrôle de la plausibilité et de
l’arbitraire. Les questions concernant la légalité du traitement des
données peuvent en revanche être examinées au moyen d’un contrôle
abstrait des normes (consid. 3).
- Objet des contrôles. Dans le cadre de leur contrôle, le PFPDT
et la CFPDT doivent déterminer si des données concernant le
demandeur sont traitées sans base légale ou sur la base de dispositions
1

d’ordonnances contraires à la loi, et ils doivent émettre des
recommandations pour que soient éliminées les irrégularités constatées
(consid. 4 et 5).
- Le PFPDT doit consigner de manière convenable les contrôles effectués
(consid. 6).
- Inadmissibilité de l’enregistrement systématique (indépendant de
l’existence d’indices, exigés par la loi, d’une mise en danger de la sûreté
intérieure ou extérieure) de toutes les condamnations pour certains
délits communiqués en vertu de l’art. 265 PPF (consid. 8)
Indirekte Auskunft betreffend die Bearbeitung von Personendaten im
Bereich der inneren Sicherheit (Staatsschutz).
Art. 18 BWIS. Art. 14 ZentG.
- Prüfung der Aufgabe der EDÖK anhand der Gesetzesmaterialien.
Weder das BWIS, noch das ZentG, noch die dazugehörigen Materialien
enthalten Hinweise, dass die EDÖK in ihrer Funktion als Schiedsgericht
in Analogie zur Regelung des Datenschutzgesetzes im Privatbereich
eingesetzt worden wäre, da der EDÖK dort eine richterliche Kontroll-
und Aufsichtsfunktion über den EDÖB zukommt. Es ergibt sich somit,
dass die EDÖK für ihre Kontrolle über dieselben Überprüfungs-,
Beurteilungs- und Empfehlungsbefugnisse verfügt wie der EDÖB (E. 1).
- EDÖB und EDÖK nehmen nicht nur das Auskunftsrecht der betroffenen
Person, sondern alle ihr nach Art. 25 DSG zustehenden Rechte
stellvertretend wahr; eine Einschränkung der gesetzlich vorgesehenen
Kontrolltätigkeit wegen beschränkter Ressourcen der Kontrollorgane ist
nicht zulässig (E. 2).
- Grenzen der Überprüfung. Im Sinne einer Plausibilitäts- oder
Willkürkontrolle überprüfen EDÖB und EDÖK die Aspekte der
Verhältnismässigkeit und den Wahrheitsgehalt der registrierten
Informationen. Fragen der Gesetzmässigkeit der Datenbearbeitung
lassen sich demgegenüber im Sinne einer abstrakten Normenkontrolle
überprüfen (E. 3).
- Gegenstand der Kontrollen. Der EDÖB und die EDÖK müssen im
Rahmen ihrer Kontrollen abklären, ob Daten über die Gesuchsteller
ohne gesetzliche Grundlage beziehungsweise gestützt auf
gesetzeswidrige Verordnungsbestimmungen bearbeitet werden, und sie
haben entsprechende Empfehlungen zur Behebung festgestellter Mängel
in der Datenbearbeitung zu erlassen (E. 4 und 5).
- Der EDÖB hat die durchgeführten Kontrollen angemessen zu
dokumentieren (E. 6).
- Die systematische Registrierung aller nach Art. 265 BStP gemeldeten
Verurteilungen wegen bestimmter Delikte unabhängig vom Vorliegen
der gesetzlich vorausgesetzten Anhaltspunkte für eine Gefährdung der
inneren oder äusseren Sicherheit ist nicht zulässig (E. 8).
2

Informazione indiretta concernente l’elaborazione di dati personali nel
campo della sicurezza interna (protezione dello Stato).
Art. 18 LSI. Art. 14 LUC.
- Esame dei compiti della CFPDT sulla base dei materiali legislativi. Né
la LSI né la LUC e nemmeno i relativi materiali legislativi contengono
indicazioni, secondo cui la CFPDT potrebbe essere impiegata nell’ambito
privato quale commissione arbitrale in analogia alla regola della legge
federale sulla protezione dei dati. Questo perché in ambito privato la
CFPDT esercita un controllo giudiziario e di sorveglianza sull’IFPD.
Risulta pertanto che la CFPDT, per svolgere i suoi controlli, dispone
delle stesse competenze di verifica, valutazione e raccomandazione
dell’IFPD (consid. 1).
- L’IFPD e la CFPDT esercitano non solo il diritto di informazione
al posto della persona interessata, ma tutti i diritti che spettano a
quest’ultima secondo l’art. 25 LPD; non è ammissibile una limitazione
dell’attività di controllo prevista dalla legge a causa delle risorse
limitate degli organi di controllo (consid. 2).
- Limiti dell’esame. Per un controllo della plausibilità o dell’arbitrario,
l’IFPD e la CFPDT verificano gli aspetti della proporzionalità e
la veridicità delle informazioni registrate. Questioni di legalità
dell’elaborazione dei dati sono invece verificate secondo un controllo
astratto delle norme (consid. 3).
- Oggetto dei controlli. Nel quadro dei loro controlli, l’IFPD e la CFPDT
devono esaminare se i dati sui richiedenti sono stati elaborati senza
base legale risp. basandosi su disposizioni di ordinanze illegali e
devono quindi emanare raccomandazioni per eliminare le lacune
constatate nell’elaborazione dei dati (consid. 4 und 5).
- L’IFPD deve adeguatamente documentare i controlli effettuati (consid.
6).
- Non è ammissibile la registrazione sistematica di tutte le condanne
annunciate secondo l’art. 265 PPF per determinati delitti, prescindendo
dal rispetto delle disposizioni legali per una messa in pericolo della
sicurezza interna ed esterna (consid. 8).
Zusammenfassung des Sachverhalts:
A. X beantragte in seinem eigenen Namen und im Namen des von ihm
vertretenen Y beim Bundesamt für Polizei (BAP, nunmehr fedpol) Einsicht
in alle über ihn und V gespeicherten Daten, insbesondere solche in ISIS
(Institute for Security and International Studies). Der Eidgenössische
Datenschutzbeauftragte (EDSB; nunmehr Eidgenössischer Datenschutz-
und Öffentlichkeitsbeauftragter [EDÖB]) teilte den Gesuchstellern in der
stets gleichlautenden Mitteilung nach Art. 18 Abs. 1 des Bundesgesetzes
vom 21. März 1997 über Massnahmen zur Wahrung der inneren Sicherheit
3

(BWIS, SR 120) mit, dass in bezug auf sie entweder keine Daten unrechtmässig
bearbeitet werden, oder dass der EDSB bei Vorhandensein allfälliger Fehler
in der Datenbearbeitung eine Empfehlung zu deren Behebung an das
Bundesamt gerichtet habe. Daraufhin verlangten die Gesuchsteller von
der Eidgenössischen Datenschutzkommission (EDSK), der EDSB bzw. das
Bundesamt für Polizei (BAP) seien anzuweisen, ihnen Einsicht in die über sie
gespeicherten Daten zu gewähren. Zur Begründung wurde angeführt, die
Verweigerung der Auskunft verletze Art. 8 des Bundesgesetzes vom 19. Juni
1992 über den Datenschutz (DSG, SR 235.1).
B. Anlässlich des von ihr durchgeführten Augenscheins im Bundesamt
für Polizei (beim Dienst für Analyse und Prävention [DAP] und bei
der Bundeskriminalpolizei [BKP]) stellte die EDSK fest, dass sich die
Einsichtsgesuche sowohl auf ISIS als auch auf JANUS beziehen.
C. Aus den Vorakten ergibt sich, dass der EDSB im Rahmen der Überprüfung
der Auskunftsersuchen der Gesuchsteller keine Empfehlungen abgegeben
hat. Es findet sich in den Akten lediglich ein Schreiben hinsichtlich
Abfrageroutinen, welches für die nachfolgende materielle Beurteilung nicht
relevant ist.
D. An einer nächsten Sitzung stellte die EDSK fest, dass es sich bei den in
Zusammenhang mit den beiden hängigen Verfahren zu entscheidenden
Fragen um Grundsatzfragen handelt, und beschloss die Erweiterung der
EDSK um zwei Mitglieder.
E. Danach erging ein Zwischenentscheid, mit welchem der EDSB eingeladen
wurde, zusätzliche Sachverhaltsabklärungen hinsichtlich der tatsächlich
durchgeführten Datenbearbeitungen zu treffen und zu prüfen, ob für
diese Datenbearbeitungen eine genügende gesetzliche Grundlage existiert,
insbesondere:
a) ob im Falle der Gesuchsteller Daten (namentlich als Konsequenz der
Reorganisation des BAP) ohne die notwendige gesetzliche Grundlage
bearbeitet wurden.
b) ob für die Bearbeitung von Informationen über die strafrechtliche
Verurteilung des Gesuchstellers X im Rahmen einer systematischen
Speicherung strafrechtlicher Verurteilungen zu Art. 261bis des
Schweizerischen Strafgesetzbuches vom 21. Dezember 1937 (StGB, SR
311.0) eine genügende gesetzliche Grundlage vorhanden ist. Allenfalls
wären zusätzliche Sachverhaltsabklärungen hinsichtlich der Herkunft der
Information über die strafrechtliche Verurteilung zu treffen und zu klären,
ob die Speicherung dieser Informationen in ISIS für Zwecke des präventiven
Staatsschutzes eine Zweckentfremdung dieser Daten darstellt.
F. In der Folge führte der EDSB im Zusammenhang mit den vorliegenden
Auskunftsgesuchen eine zweite Überprüfung beim BAP durch. Hinsichtlich
der Einträge in ISIS gelangte er zum Schluss, dass keine unrechtmässigen
Datenbearbeitungen über die Gesuchsteller vorliegen. In seiner
Stellungnahme setzte sich der EDSB ferner mit dem Zwischenentscheid
der EDSK auseinander und verlangte sinngemäss eine Wiedererwägung.
Auf die Ausführungen des EDSB wird nachfolgend - soweit sie sich auf
noch offene Punkte beziehen - eingegangen. Der EDSB verzichtete auf
4

die Durchführung derjenigen von der EDSK verlangten Abklärungen, die
Gegenstand seiner «Wiedererwägung» waren. Namentlich kontrollierte er die
Datenbearbeitungsprotokolle nicht.
Aus den Erwägungen:
1.a. Für die Beurteilung der bei der EDSK eingegangen Begehren um
Überprüfung der Mitteilung des EDSB durch die EDSK nach Art. 18 Abs. 2
BWIS bzw. Art. 14 Abs. 3 des Bundesgesetzes vom 7. Oktober 1999 über
kriminalpolizeiliche Zentralstellen des Bundes (ZentG, SR 360) musste die
EDSK vorfrageweise prüfen, in welcher Funktion sie in diesen Verfahren
eingesetzt ist und welches Recht darauf Anwendung findet. Massgebend sind
Art. 18 Abs. 1 und Abs. 2 BWIS bzw. Art. 14 Abs. 2 und Abs. 3 ZentG. Inhaltlich
sind die beiden Bestimmungen identisch. Die Gesetze regeln die Frage, in
welcher Funktion die EDSK hier eingesetzt ist und welche Kompetenzen ihr
dabei zukommen, nicht explizit. Ausdrücklich bestimmen sie nur, dass das
Begehren an die EDSK um Überprüfung der Meldung des EDSB, bzw. des
Vollzugs seiner Empfehlungen kein Rechtsmittel ist, die EDSK somit nicht als
Rekurskommission eingesetzt wurde.
b. Weder die beiden Gesetze noch die Materialien enthalten einen Hinweis,
dass die EDSK in ihrer Funktion als Schiedskommission in Analogie zur
Regelung des Datenschutzgesetzes im Privatbereich (Art. 33 Abs. 1 Bst. a
in Verbindung mit Art. 29 Abs. 4 DSG) eingesetzt worden wäre. Allgemein
wurde in der parlamentarischen Diskussion in vielen Voten hinsichtlich
der Kontrolle durch den EDSB gerügt, dass dieser nur unverbindliche
Empfehlungen erlassen könne. In den Materialien zum BWIS findet sich
ferner ein (unwidersprochen gebliebenes) Votum, worin betont wird, dass
die EDSK im Verfahren nach Art. 18 BWIS keine Entscheidkompetenz
habe (Votum Loretan, AB 1996 N 733). Dies spricht klar dagegen, dass der
Gesetzgeber die EDSK in Analogie zur Lösung des DSG für den Privatbereich
als Schiedskommission vorsah, da der EDSK dort Entscheidkompetenz
zukommt.
c. Da die EDSK in den Verfahren nach Art. 14 ZentG bzw. Art. 18 BWIS in
keiner der vom DSG vorgesehenen Funktionen eingesetzt wurde, ist eine
genauere Analyse der massgebenden Gesetzesbestimmungen notwendig. Nach
dem Gesetzestext hat die EDSK die Aufgabe, auf Verlangen einer betroffenen
Person die Mitteilung des EDSB oder den Vollzug der von ihm abgegebenen
Empfehlung zu überprüfen. Gegenstand der Überprüfung durch die EDSK
ist somit die Wahrnehmung der gesetzlichen Prüfungsaufgabe durch den
EDSB einerseits und der Vollzug seiner Empfehlungen andererseits. In der
Diskussion der Räte zum ZentG wurde für das Auskunftsverfahren oft der
Begriff des «Autoritätsbeweises» verwendet. Das Auskunftsrecht wurde
«ersetzt durch den Autoritätsbeweis, den Glauben der betroffenen Bürgerinnen
und Bürger an die moralische Autorität und die sachliche Kompetenz einer
väterlichen Figur, hier des Datenschutzbeauftragten, oder eines Kollektivs, der
Eidgenössischen Datenschutzkommission» (Votum Ständerat Plattner, AB 1994
S 727; vgl. ferner zahlreiche weitere Voten mit analoger Umschreibung des
Autoritätsbeweises in: AB 1994 S 726 ff. u. AB 1994 N 1481 zu Art. 14 ZentG).
Der Kommissionssprecher des Ständerates prägte im Zusammenhang mit
der Überprüfungsmöglichkeit durch die EDSK den Begriff des «zweistufigen
Autoritätsbeweises» (AB 1994 S 726). An gleicher Stelle führte er bezüglich
5

Aufgabe der EDSK aus: «Aus politischen Gründen hält es die Kommission
jedoch für vertretbar, einer betroffenen Person die Möglichkeit zu eröffnen,
an die Eidgenössische Datenschutzkommission zu gelangen, damit diese auch
das Wirken des Datenschutzbeauftragten im Einzelfall noch überprüfe.» Der
parlamentarischen Diskussion zu Art. 18 BWIS lag ein gleiches Verständnis des
Auskunftsrechts bzw. der Aufgabe des EDSB bzw. der EDSK zu Grunde, wenn
auch dort teilweise eine andere Terminologie verwendet wurde (vgl. AB 1996
N 733 ff. u. 2118 ff.).
Damit geht die Aufgabe der EDSK in Verfahren nach Art. 18 BWIS bzw. Art.
14 ZentG eindeutig über eine blosse Ombudsfunktion hinaus, deren Aufgabe
es ist zu vermitteln, bzw. Menschen, die Hilfe bei der Durchsetzung ihrer
Rechte benötigen zu beraten, sie allenfalls an kompetente Stellen zu verweisen.
Im Gegenteil hat die EDSK in den Verfahren nach Art. 14 ZentG und Art. 18
BWIS die Aufgabe, die Eingaben der Gesuchsteller zu prüfen, Abklärungen
beim BAP zu treffen, eine Beurteilung hinsichtlich der Rechtmässigkeit der
Datenbearbeitungen bzw. der Vollständigkeit und Korrektheit der Kontrollen
durch den EDSB bzw. den Vollzug seiner Empfehlungen vorzunehmen, um
wenn nötig ihrerseits Empfehlungen zur Behebung von festgestellten Mängeln
zu erlassen. Inhaltlich handelt es sich um eine richterliche Kontroll- und
Aufsichtsfunktion über den EDSB hinsichtlich der Wahrnehmung seiner
Aufgaben nach Art. 14 Abs. 2 ZentG und Art. 18 Abs. 1 BWIS sowie über die
Zentralstellen (heute Bundeskriminalpolizei [BPK]) und den Dienst für Analyse
und Prävention (DAP) beim BAP, namentlich hinsichtlich des Vollzugs der
Empfehlungen des EDSB.
d. Nach Art. 61 Abs. 1 des Bundesgesetzes vom 20. Dezember 1968 über das
Verwaltungsverfahren (VwVG, SR 172.021) entscheidet die Beschwerdeinstanz
in der Sache selbst oder weist diese ausnahmsweise mit verbindlichen
Weisungen an die Vorinstanz zurück.
Es stellt sich die Frage, wie weit diese Bestimmung auch in Verfahren nach Art.
18 Abs. 2 BWIS bzw. Art. 14 Abs. 3 ZentG zur Anwendung gelangt. Namentlich
kann eine Rückweisung der Sache an die Vorinstanz im eigentlichen Sinne
nicht erfolgen. In Verfahren nach VwVG haben die Gesuchsteller Parteirechte
und können somit den neuen Entscheid der Vorinstanz wieder mit den
üblichen Rechtsmitteln anfechten. Das ist in den Verfahren nach Art. 14
ZentG und Art. 18 BWIS nicht möglich. Aus diesem Grund hat die EDSK
im vorliegenden Verfahren die Sache zwar mit Zwischenentscheid «an die
Vorinstanz zurückgewiesen», den EDSB aber zu einer erneuten Prüfung
und Berichterstattung an die EDSK aufgefordert. Nachdem der EDSB die
gewünschte Überprüfung nur teilweise durchgeführt hat, entscheidet die EDSK
über die offenen Fragen selbst.
e. Wie erwähnt kann die betroffene Person von der EDSK verlangen, dass
diese die Mitteilung des EDSB oder den Vollzug der von ihm abgegebenen
Empfehlungen überprüfe. Die kursorische, stets gleichlautende Mitteilung des
EDSB bezieht sich unmittelbar auf seine Überprüfung, ob beim DAP oder bei
einer Zentralstelle (neu der Bundeskriminalpolizei) unrechtmässig Daten über
die betroffene Person bearbeitet wurden. Sofern dies der Fall ist, erlässt der
EDSB Empfehlungen zur Behebung der «Fehler».
6

Die Möglichkeit an die EDSK zu gelangen, wurde in der parlamentarischen
Diskussion des ZentG als zweiter Schritt der um Auskunft ersuchenden
Person dargestellt, als Möglichkeit, die Mitteilung des EDSB durch die
EDSK noch einmal überprüfen zu lassen. Dabei wurden die beiden
Überprüfungsmöglichkeiten als gleichwertige, einander nachfolgende Schritte
genannt (vgl. bspw. Votum Stamm oder Votum von Bundesrat Koller in:
AB 1994 N 1484 ff.; ferner Voten Zimmerli, Plattner oder Danioth in: AB
1994 S 726 ff). Die gleiche Sonderregelung des Auskunftsrechts sollte für
das BWIS übernommen (vgl. insbesondere Votum Engler in: AB 1996 N
2119). Aus Art. 14 Abs. 3 ZentG und Art. 18 Abs. 2 BWIS ergibt sich somit,
dass die EDSK für ihre (Nach‑)Kontrolle über dieselben Überprüfungs‑,
Beurteilungs- und Empfehlungsbefugnisse verfügt wie der EDSB. Das
entspricht sinngemäss Art. 61 Abs. 1 VwVG, wonach eine Beschwerdeinstanz
dieselbe Entscheidkompetenz hat wie die Vorinstanz.
2.a. Nach Art. 14 Abs. 3 ZentG und Art. 18 Abs. 2 BWIS überprüft die EDSK
«das Wirken des EDSB» und den Vollzug seiner Empfehlungen. Somit ist
zunächst festzustellen, welche Aufgaben der EDSB im Rahmen der indirekten
Auskunftsverfahren nach BWIS und ZentG im einzelnen wahrzunehmen
hat. Der EDSB hält in seiner Stellungnahme zum Zwischenentscheid der
EDSK dafür, dass es lediglich um eine stellvertretende Ausübung des
Auskunftsrechts gehe, hingegen keine weitergehenden Überprüfungen
vorgenommen werden müssten. Er habe in Analogie zu Art. 8 DSG zu prüfen,
ob die Personendaten rechtmässig gespeichert oder aufbewahrt werden,
bzw. er müsse der EDSB verhindern, dass Daten unrechtmässig gespeichert
würden. Dagegen sei er zur Überprüfung der Datenbearbeitungsprotokolle,
zur Überprüfung der Rechtmässigkeit von Zugriffsrechten innerhalb des
BAP oder zur Überprüfung der Gesetzmässigkeit von Verordnungen im
Rahmen der Auskunftsverfahren nach Art. 14 ZentG bzw. Art. 18 BWIS
nicht verpflichtet. Wenn sich nun der EDSB per Analogie auf Art. 8 DSG
beruft, so ist darauf hinzuweisen, dass eine betroffene Person nach Art. 8
DSG Auskunft darüber verlangen kann, ob über sie Daten bearbeitet werden.
Der Inhaber der Datensammlung muss ihr gem. Abs. 2 alle über sie in der
Datensammlung vorhandenen Daten, den Zweck der Datenbearbeitung
gegebenenfalls die Rechtsgrundlagen des Bearbeitens, die Kategorien der
bearbeiteten Personendaten, die Kategorien der an der Sammlung Beteiligten
sowie die Kategorien der Datenempfänger mitteilen. Gestützt auf diese
Auskunft können die Betroffenen unter anderem überprüfen, ob die sie
betreffenden Daten zu Recht in der Datensammlung bearbeitet werden,
ob die über sie eingetragenen Daten richtig sind, ob deren Bearbeitung
verhältnismässig ist, ob für die mit den gespeicherten Daten vorgenommenen
Bearbeitungen eine genügende gesetzliche Grundlage (einschliesslich des
Verordnungsrechts) vorhanden ist, ob die Bekanntgabe von Personendaten
über sie rechtmässig erfolgte, etc. Aufgrund dieser Überprüfungen können
die Betroffenen dann auch gegenüber einer Bundesbehörde Ansprüche
nach Art. 25 DSG geltend machen. Nach Art. 25 DSG kann eine betroffene
Person verlangen, dass das Bundesorgan das widerrechtliche Bearbeiten von
Personendaten unterlässt, dessen Folgen beseitigt und die Widerrechtlichkeit
des Bearbeitens feststellt (Abs. 1). Ferner existieren ein Berichtigungs‑ und
ein Bestreitungsrecht, ein Sperrrecht sowie das Recht auf Weiterleitung eines
entsprechenden Entscheides an Dritte oder die Publikation dieses Entscheides
(Abs. 3). Ähnliches gilt gegenüber einer privaten Daten bearbeitenden Person
7

nach Art. 15 DSG. Ohne das Auskunftsrecht, das Basis für die Wahrnehmung
solcher Ansprüche ist, können die Betroffenen ihre Abwehrrechte nach DSG
kaum wirksam ausüben. Dies zeigt sich bei den Datenbearbeitungen in JANUS
und ISIS, wo die Kontrolle durch die direkt Betroffenen ausgeschlossen ist
und diese sich höchstens bezüglich der Daten, die nach Art. 17 BWIS an dritte
Stellen weitergegeben wurden und die sie durch diese zur Kenntnis bekamen,
für den Schutz ihrer Persönlichkeit wehren können.
b. Der Auftrag von Art. 14 Abs. 2 ZentG und Art. 18 Abs. 1 BWIS (Prüfung, ob
rechtmässig Daten über die betroffene Person bearbeitet werden) geht daher,
wie der EDSB schon dargelegt hat, über die stellvertretende Wahrnehmung
des Auskunftsrechtes nach Art. 8 DSG hinaus. Das datenschutzrechtliche
Auskunftsrecht gibt der betroffenen Person zwar das Recht, die sie
betreffenden Daten einzusehen und Informationen über die Datenbearbeitung
zu erlangen; doch hat die betroffene Person aufgrund von Art. 8 DSG kein
Recht, sich zur Bearbeitung zu äussern oder Änderungen zu verlangen.
Dies muss nach Art. 15 und 25 DSG geschehen. Entsprechend soll von EDSB
und EDSK nicht bloss das Auskunftsrecht stellvertretend ausgeübt werden,
sondern sie sollen sinngemäss auch die der betroffenen Person nach Art.
25 DSG zustehenden Rechte insoweit stellvertretend wahrnehmen. Dabei
stossen sie allerdings unter Umständen insofern an Grenzen, als sich die
Rechtsschutzinteressen der betroffenen Person nur vermuten und beschränkt
objektivieren lassen und als nicht Geheimhaltungsanliegen entgegen
stehen. Die Empfehlungen des EDSB zur Behebung allfälliger Fehler in der
Datenbearbeitung stellen aber dennoch in gewissem Sinne eine ersatzweise
Ausübung jener Rechte dar, die die betroffene Person geltend machen könnte,
wenn sie wüsste, dass Daten über sie nicht rechtmässig bearbeitet werden.
c. Der EDSB verweist in seinen Stellungnahmen verschiedentlich auf die
Verhältnismässigkeit auch seiner Kontrollen bzw. auf seine beschränkten
Ressourcen. Dem ist grundsätzlich beizupflichten. Ein Vergleich der
Ressourcen von BAP einerseits und EDSB und EDSK andererseits spricht
für sich. Aus grundsätzlicher Sicht ist dem jedoch entgegenzuhalten, dass
der Bund zwei Informationssysteme (JANUS und ISIS) betreibt, in welchen
insgesamt Daten über etwa eine Viertelmillion Menschen in einem hoch
sensiblem Bereich bearbeitet werden: Am 1. Juli 2001 waren in JANUS über
ungefähr 62’500 natürliche und juristische Personen Stammdaten gespeichert.
Unter den Stammdaten waren Angaben über ungefähr 116’500 Drittpersonen
und 126’500 Vorgänge registriert. In ISIS waren ungefähr 50’000 Personen
registriert (vgl. dazu Antwort des Bundesrates auf die Einfache Anfrage
01.1068 von Nationalrat de Dardel, AB 2001 N 1460). Dieser Antwort auf
die parlamentarische Anfrage lässt sich auch entnehmen, dass sich in den
letzten zwei Jahren in JANUS die Datenfluktuation im Rahmen von ungefähr
10’000 Personeneinträgen hielt (gelöschte und neu registrierte Einträge). In
den beiden Systemen zusammen sind also Informationen über etwa eine
Viertelmillion Menschen gespeichert.
Die Daten in diesen Informationssystemen werden sowohl von Behörden des
Bundes als auch von Behörden der Kantone bearbeitet. Diesen Behörden
werden Daten in einem Abrufverfahren bekannt gegeben (vgl. dazu Art.
15 Abs. 3 BWIS und Art. 12 ZentG), zum Teil können sie selber Daten
ins System eingeben. Zusätzlich können Daten aus den Systemen im
Einzelfall zu vielfältigsten Zwecken bekannt gegeben werden (Art. 16 f.
8

der Verordnung vom 30. November 2001 über das Informationssystem der
Bundeskriminalpolizei [JANUS-Verordnung, SR 360.2], Art. 5 f. der Verordnung
vom 30. November 2001 über die Wahrnehmung kriminalpolizeilicher
Aufgaben im Bundesamt für Polizei [SR 360.1], Art. 13 der Verordnung vom 30.
November 2001 über das Staatsschutz-Informations-System [ISIS-Verordnung
SR 120.3] und Art. 18 der Verordnung vom 27. Juni 2001 über Massnahmen
zur Wahrung der inneren Sicherheit [VWIS], SR 120.2). Die Zwecke der
Datenbearbeitung sind sowohl präventiv-polizeilicher als auch repressiver
Natur (vgl. dazu Art. 2 ISIS-Verordnung; und Art. 2 JANUS-Verordnung).
In JANUS werden zwecks operativer Datenanalyse (Verdachtsforschung;
vgl. dazu Adrian Lobsiger, «Verbrechensbekämpfung» durch den Bund?,
Bern 1999, S. 150 ff. u. S. 273 ff.) und zwecks strategischer Datenanalyse
(Lagebeurteilungen) systematisch Daten verknüpft (Art. 2 Abs. 2 und Art.
3 Abs. 3 der Verordnung über die Wahrnehmung kriminalpolizeilicher
Aufgaben im Bundesamt für Polizei in Verbindung mit Art. 5 Abs. 1 Bst. c
JANUS-Verordnung). Wie weit solche Datenverknüpfungen auch in ISIS
erfolgen, lässt sich den massgebenden Rechtsgrundlagen nicht entnehmen.
Zusammengefasst handelt es sich bei JANUS und ISIS um umfangreiche
Informationssysteme, an welche eine relativ grosse Zahl von Behörden von
Bund und Kantonen direkt angeschlossen sind, und in denen - nicht zuletzt
auch unter verfassungsrechtlichen Gesichtspunkten - teilweise äusserst
heikle Bearbeitungen vorgenommen werden. Namentlich die Möglichkeit
der umfassenden Verknüpfung von Personendaten in JANUS geht über die
übliche Funktion von Informationssystemen im Sinne einer automatisierten
Kartei weit hinaus.
Den Betroffenen ist die direkte Einsicht in die Daten verwehrt. Erst nach
Jahren werden sie allenfalls anlässlich der Löschung der Daten über deren
Bearbeitung informiert (Art. 18 Abs. 6 BWIS; Art. 14 Abs. 4 ZentG), wobei die
Praxis des BAP hinsichtlich nachträglicher Information der Betroffenen keiner
besonderen gesetzlichen Kontrolle unterliegt. BWIS und ZentG sehen dafür
nur eine indirekte Kontrolle durch staatliche Instanzen vor. Der Bund hat
entweder die Gesetze zu ändern, oder die gesetzlichen Kontrollorgane mit
den Ressourcen auszustatten, die sie für die Durchführung der gesetzlichen
Kontrollen benötigen. Eine Einschränkung der gesetzlich vorgesehenen
Kognition oder ein Verzicht auf die Dokumentation der durchgeführten
Kontrollen in den Akten im Hinblick auf die beschränkten Ressourcen der
Kontrollorgane ist diesen verwehrt.
3. Da wie gesagt die persönlichen Rechtschutzinteressen der betroffenen
Person nur beschränkt objektivierbar sind und nur angenommen
werden können, ist fraglich, welche Rechte sich ohne Mitwirkung der
betroffenen Person überhaupt stellvertretend durch EDSB und EDSK ausüben
lassen. Besonders problematisch scheinen diesbezüglich Prüfungen der
Datenrichtigkeit und der Verhältnismässigkeit der Datenbearbeitung. Ferner
stellt sich das Problem, dass im Rahmen der vorliegenden Verfahren teilweise
umfangreiche polizeiliche Ermittlungen überprüft werden müssen, dem
EDSB und der EDSK aber die spezifischen (polizeilichen) Kenntnisse der
Vorgänge fehlen. Im weitern sind die Kontrollen von EDSB und EDSK primär
auf datenschutzrechtliche Aspekte beschränkt. Eine Überprüfung unter
strafprozessualen Gesichtspunkten (bspw., ob Informationen aus einem
der Systeme überhaupt für Strafverfahren verwendet werden dürfen)
9

ist vom Datenschutzrecht her nur begrenzt durchführbar. Trotz dieser
offensichtlichen Schwierigkeiten können der EDSB und die EDSK nicht
generell auf die Überprüfung dieser Punkte verzichten. Hinsichtlich der
Überprüfung der Verhältnismässigkeit fällt ins Gewicht, dass im Polizeibereich
die Zulässigkeit von Datenbearbeitungen bzw. deren Schranken oft gerade
über die Notwendigkeit der Datenbearbeitung für die Erfüllung der Aufgaben
der entsprechenden Organisationseinheit definiert wird (vgl. z. B. Art. 3 Abs. 4,
Art. 13 Abs. 3, Art. 14 Abs. 1, Art. 15 Abs. 5, Art. 17 Abs. 1, Art. 17 Abs. 2 Bst. b,
Art. 17 Abs. 3 Bst. a und Bst. d BWIS; Art. 9, Art. 10 Abs. 1, Art. 13 Abs. 1 Bst. b,
Art. 16 Abs. 2 und Abs. 3, Art. 18 Abs. 1 ISIS-Verordnung; Art. 3, Art. 11 Abs. 3,
Art. 13 Abs. 2 Bst. a, Art. 14 Abs. 1 ZentG; Art. 4 Abs. 2, Art. 8 Abs. 3, Art. 9 Abs.
1 der Verordnung über die Wahrnehmung kriminalpolizeilicher Aufgaben
im Bundesamt für Polizei; Art. 3, Art. 10 Abs. 1 - Abs. 3 JANUS-Verordnung).
Würden der EDSB und die EDSK auf die Überprüfung der Verhältnismässigkeit
wegen der erwähnten Schwierigkeiten allgemein verzichten, würde gerade
eine der wesentlichsten im Recht enthaltenen Schutzvorkehren gegen
unrechtmässige Datenbearbeitungen aus den Kontrollen ausgeschlossen.
Zumindest im Sinne einer Plausibilitäts- oder Willkürkontrolle
prüfen demnach beide Kontrollinstanzen grundsätzlich Aspekte der
Verhältnismässigkeit. Diese Überprüfung wird immerhin dadurch erleichtert,
dass insbesondere das BWIS und das dazugehörige Ausführungsrecht
verschiedene Regelungen enthalten, die eine gewisse Konkretisierung
des Verhältnismässigkeitsprinzips für die Datenbearbeitungen in ISIS
darstellen (vgl. dazu E. 8e und f). Ähnliches gilt für die Überprüfung des
Wahrheitsgehaltes der registrierten Informationen. So kann bspw. überprüft
werden, ob die massgebliche Quelle aufgrund ihrer Funktion für den Inhalt
der Informationen eine gewisse Gewähr bietet und ob eine gewisse Gewähr
dafür besteht, dass sie über die gemeldeten Sachverhalte tatsächlich gesicherte
Informationen besitzt. Unter Umständen ist auch eine Prüfung möglich,
ob aufgrund der gesamten Umstände eine gewisse Wahrscheinlichkeit
für die Wahrheit der gespeicherten Informationen besteht. Fragen der
Gesetzmässigkeit der Datenbearbeitung, namentlich der Gesetzmässigkeit des
Ausführungsrechtes, lassen sich schliesslich weitgehend ohne Einbezug der
betroffenen Person überprüfen, im Sinne einer abstrakten Normenkontrolle
mit bestimmten Sachverhaltsannahmen. Da die Überprüfung der anderen
Voraussetzungen für Grundrechtseingriffe (namentlich die Überprüfung der
Verhältnismässigkeit) tatsächlich an Grenzen stösst, müssen zumindest die
gesetzlichen Voraussetzungen für die Datenbearbeitungen genau überprüft
werden.
4.a. Die Kontrolle des EDSB und der EDSK beginnt mit der Feststellung des
Sachverhaltes: Er bzw. sie ermittelt, ob Daten über die gesuchstellende
Person in ISIS oder JANUS vorhanden sind und wenn ja, zu welchen
Zwecken diese Daten konkret bearbeitet wurden. Wie registrierte Daten
bearbeitet werden, lässt sich teilweise den Ausdrucken aus den Systemen
ISIS und JANUS entnehmen. Im weiteren sind die vorgenommenen
Datenbearbeitungen aus den Datenbearbeitungsprotokollen ersichtlich. Im
erwähnten Zwischenentscheid wurde der EDSB aufgefordert, die notwendigen
zusätzlichen Sachverhaltsabklärungen vorzunehmen und zusammen
mit der Verwaltung eine praktikable Lösung für die Überprüfung der
Bearbeitungsprotokolle zu finden (E. 4 des Zwischenentscheids).
10

Eine Überprüfung der Datenbearbeitungsprotokolle fand auch nach dem
Zwischenentscheid der EDSK nicht statt. Warum der EDSB mit dem BAP
auch keine Lösung für die Kontrolle der Bearbeitungsprotokolle erarbeitet
hat, ist nicht bekannt. Da die Bearbeitungsprotokolle nach Art. 10 Abs. 2 der
Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz (VDSG,
SR 235.11) nur «während eines Jahres revisionsgerecht festzuhalten» sind,
lässt sich diese Überprüfung bezogen auf den Fall der Gesuchsteller nun wohl
definitiv nicht mehr nachholen, jedenfalls was die Datenbearbeitungen ein
Jahr vor Gesuchseinreichung betrifft. Indessen handelt es sich um eine Frage
grundsätzlicher Natur, die sich in jedem neuen Fall nach Art. 14 ZentG und Art.
18 BWIS stellen wird, weshalb sie nachfolgend trotzdem erörtert wird.
Nach Art. 21 Abs. 1 der ISIS-Verordnung gilt für die Datensicherheit Art.
20 VDSG. Dieser verweist wiederum auf die Art. 8-10 VDSG (Art. 20 Abs. 1
VDSG). Art. 10 Abs. 1 VDSG schreibt die Protokollierung bei automatisierten
Datenbearbeitungen vor, wenn der Datenschutz nicht mit präventiven
Massnahmen gewährleistet werden kann. «Eine Protokollierung hat
insbesondere dann zu erfolgen, wenn sonst nicht nachträglich festgestellt
werden kann, ob die Daten für diejenigen Zwecke bearbeitet wurden, für
die sie erhoben oder bekannt gegeben wurden.» Sinn der Protokollierung
der Datenbearbeitungen ist somit sicherzustellen, dass die Daten nur
für die erlaubten Zwecke bearbeitet werden. Werden Daten für Zwecke
bearbeitet, die das Gesetz nicht erlaubt, handelt es sich um unrechtmässige
Datenbearbeitungen.
b. In der Stellungnahme zum Zwischenentscheid der EDSK wendete der
EDSB hinsichtlich der Überprüfung der Protokolle der Datenbearbeitungen
ein, dass in der parlamentarischen Diskussion von einer stellvertretenden
Ausübung des Auskunftsrechtes durch EDSB und EDSK die Rede gewesen sei.
Das Auskunftsrecht nach Art. 8 DSG gebe dem Betroffenen aber nur Anspruch
auf Auskunft über die in der Datensammlung vorhandenen Daten, den Zweck,
gegebenenfalls die Rechtsgrundlage des Bearbeitens sowie die Kategorien
der bearbeiteten Personendaten und der an der Sammlung Beteiligten und
der Datenempfänger. Aus diesen Gründen verzichtete er namentlich auf die
Überprüfung der Bearbeitungsprotokolle.
Wie bereits festgehalten, wird in Verfahren nach Art. 14 ZentG bzw. Art.
18 BWIS nicht nur das Auskunftsrecht des Betroffenen stellvertretend
durch den EDSB und die EDSK wahrgenommen, sondern er und sie müssen
grundsätzlich auch gestützt auf die erlangten Informationen stellvertretend
die objektiv angezeigten Ansprüche der betroffenen Person nach Art. 25 DSG
ausüben. Gegenstand von Verfahren nach Art. 25 DSG sind in erster Linie
die tatsächlich durchgeführten Datenbearbeitungen. Die Formulierung von
Art. 18 BWIS und Art. 14 ZentG (rechtmässig Daten bearbeiten) legt auch hier
den Schluss nahe, dass zumindest in Fällen, in denen die Kontrolle des EDSB
oder der EDSK ergibt, dass bspw. eine Vielzahl von Informationen über den
Gesuchsteller gespeichert sind oder dass die gespeicherten Informationen
intensiv bearbeitet wurden, auch zu prüfen ist, welche Bearbeitungen mit den
gespeicherten Daten tatsächlich durchgeführt wurden.
c. Die Protokollierung soll im weiteren sicherstellen, dass die tatsächlich
erfolgten Bearbeitungen nachträglich noch nachvollzogen werden können.
Werden die Datenbearbeitungen aber nur protokolliert, ohne dass anhand
11

der Protokolle tatsächlich Kontrollen durchgeführt werden, verliert die
Massnahme wesentlich an Wirksamkeit, jedenfalls dann, wenn dieser
Umstand bei den Datenbearbeitenden bekannt ist (vgl. dazu auch Kurt
Pauli, Kommentar zum Schweizerischen Datenschutzgesetz, hrsg. von
Maurer/ Vogt, Basel 1995, N. 15 zu Art. 7 DSG). Es ist offensichtlich, dass eine
Kontrolle der Datenbearbeitungsprotokolle mit einem enormen Aufwand
verbunden ist und zudem nur teilweise wirksam wäre (vgl. dazu auch Pauli,
a.a.O.), was den EDSB auch in diesem Punkt auf die Verhältnismässigkeit
seiner Kontrollen verweisen liess. Ferner kann eine intensive Kontrolle der
Bearbeitungsprotokolle unter Umständen auch die Persönlichkeitsrechte
der Datenbearbeitenden tangieren. Die praktischen Probleme gründen
primär darauf, dass die Daten elektronisch bearbeitet werden, die Kontrolle
der Protokolle aber auch bei elektronischer Datenbearbeitung manuell
erfolgt. Angesichts des Aufwandes für den Betrieb so umfangreicher
Informationssysteme wie JANUS und ISIS erscheint der Aufwand für die
Entwicklung einer Auswertungssoftware offensichtlich verhältnismässig.
Durch eine entsprechend kreierte Auswertungssoftware könnten zumindest
die Fälle von völlig unplausiblen Datenbearbeitungen herausgefiltert werden
(was im übrigen hinsichtlich der Persönlichkeitsrechte der Mitarbeitenden
des BAP ebenfalls vertretbar erscheint). Eine Auswertungssoftware würde
ebenfalls erlauben festzustellen, welche Zugriffe im konkreten Fall erfolgten.
5. Laut seiner Stellungnahme verzichtet der EDSB auf die Überprüfung der
Gesetzmässigkeit der Ausführungsverordnungen im Rahmen der Verfahren
nach Art. 14 ZentG bzw. Art. 18 BWIS. Werden Personendaten gestützt
auf eine gesetzwidrige Verordnungsbestimmung bearbeitet, handelt es
sich schon vom Wortlaut her um eine unrechtmässige Bearbeitung von
Personendaten. Eine betroffene Person könnte nach Art. 25 Abs. 1 Bst. c DSG
die Feststellung der Widerrechtlichkeit der Bearbeitung verlangen. Daraus
folgt im Hinblick auf die eingangs gemachten Überlegungen (vgl. E. 2), dass
EDSB und EDSK entsprechend dem Wortlaut von Art. 14 ZentG bzw. Art. 18
BWIS unter Umständen anlassbezogen bei der Prüfung der Rechtmässigkeit
eine Normenkontrolle durchzuführen haben.
Wohl überprüft der EDSB die Rechtmässigkeit der Verordnungen in
der Ämterkonsultation. Er scheint der Meinung zu sein, dass sich aus
diesem Grund erneute Überprüfungen in Verfahren nach Art. 14 ZentG
und Art. 18 BWIS erübrigen. Da allerdings der EDSB im Kontrollfall
bei einer rechtswidrigen Bearbeitung eine Empfehlung erlässt, wird
er diese auch aussprechen, selbst wenn er die gleichen Punkte schon
in der Ämterkonsultation gerügt hat. Der Einbezug des EDSB in die
Ämterkonsultation kann und wird in Verfahren nach Art. 14 ZentG und
Art. 18 BWIS die Normenkontrolle im Anwendungsfall nicht vollständig
ersetzen. Gleichfalls ist die Rechtmässigkeit von Datenbekanntgaben,
insbesondere die Rechtmässigkeit von Zugriffsrechten zu überprüfen,
soweit von solchen Gebrauch gemacht wurde. Für die auf den 1.
Januar 2001 umgesetzte Reorganisation des BAP sind nicht alle aus
datenschutzrechtlicher Sicht notwendigen Grundlagen vorhanden: Wie
die EDSK festgestellt hat, ist eine Konsequenz der Reorganisation, dass
die Unterabteilung «Analyse Staatsschutz» Zugriff auf JANUS hat. Eine
gesetzliche Grundlage für diesen (Kurz‑) Zugriff besteht derzeit nicht.
Das BAP möchte sich für die Reorganisation auf Art. 43 des Regierungs-
12

und Verwaltungsorganisationsgesetzes vom 21. März 1997 (RVOG, SR
172.010) stützen, übersieht jedoch, dass die Bestimmung dem Bundesrat
lediglich eine Organisationskompetenz erteilt, jedoch keine Kompetenz
zur Derogation gesetzlich verankerter Datenschutzvorschriften. Da die
Datenbearbeitungsprotokolle nicht überprüft wurden, kann heute im Fall
der Gesuchsteller nicht mehr festgestellt werden, ob unrechtmässige Zugriffe
auf ihre Daten erfolgten.
Zusammenfassend lässt sich festhalten, dass der EDSB wie die EDSK
im Rahmen ihrer Kontrolle abklären müssen, ob Daten über die
Gesuchsteller ohne gesetzliche Grundlage bzw. gestützt auf gesetzeswidrige
Verordnungsbestimmungen bearbeitet werden, und sie haben entsprechende
Empfehlungen zur Behebung festgestellter Mängel in der Datenbearbeitung zu
erlassen.
6. Der EDSB verzichtet, wie er darlegte, aus Sicherheitsgründen darauf, die
Ergebnisse seiner Überprüfung schriftlich festzuhalten, sofern er keine
Empfehlung erlässt. In seiner Stellungnahme schlug er im Einvernehmen
mit dem BAP ein System vor, wonach die Ausdrucke aus den Systemen und die
übrigen Dokumente (auch im Hinblick auf eine spätere Auskunftserteilung
an die betroffene Person) beim BAP aufbewahrt werden. Bezüglich der
Dokumentation seiner rechtlichen Überlegungen machte der EDSB geltend,
dass namentlich das Notieren der einschlägigen rechtlichen Grundlagen einen
unverhältnismässigen Aufwand verursache, jedenfalls soweit es sich um
seines Erachtens zulässige Datenbearbeitungen handle. Aus dem Anspruch
auf Akteneinsicht ergibt sich eine Pflicht zur Führung von Akten. Ob eine
Aktenführungspflicht besteht, hängt von der konkreten Interessenlage
ab (vgl. Kölz/Häner, Verwaltungsverfahren und Verwaltungsrechtspflege
des Bundes, 2. Aufl. 1998, Rz. 297). Da auch für Datenbearbeitungen des
DAP und der Bundeskriminalpolizei ein Akteneinsichtsrecht zeitlich
nicht unbegrenzt ausgeschlossen werden kann, ein solches vielmehr
im Zeitpunkt der nachträglichen Information der betroffenen Personen
(Art. 18 Abs. 6 BWIS bzw. Art. 14 Abs. 4 ZentG) möglich ist, empfahl die
EDSK in ihrem Zwischenentscheid dem EDSB, seine Abklärungen in den
Akten zu dokumentieren. Sodann muss der EDSB seine Überprüfungen
zuhanden der EDSK angemessen dokumentieren, sofern ein Gesuchsteller
um Überprüfung der Mitteilung des EDSB bzw. des Vollzugs seiner
Empfehlungen durch die EDSK ersucht. Der Bericht sollte in den Grundzügen
die Feststellung des Sachverhaltes, die rechtlichen Erwägungen sowie allfällige
Massnahmen dokumentieren. Allein das Notieren und Aufbewahren von
Dokumentennummern beim EDSB genügt für die Überprüfungen durch die
EDSK nicht. Ob es ausreicht, die rechtlichen Überlegungen des EDSB nur im
Fall von Fehlerbeanstandungen festzuhalten, ist fraglich. Indessen scheint
die hinsichtlich Aktenaufbewahrung gefundene Lösung (Aufbewahrung der
Akten beim BAP) angesichts der Geheimhaltungsinteressen im vorliegenden
13

Bereich zweckmässig. Insbesondere stellt der EDSB durch das Notieren der
Dokumentennummern sicher, dass Akten nicht nachträglich entfernt werden
können.
7. (Feststellung zum vorliegenden Fall)
8.a. Die EDSK stellte anlässlich ihres Augenscheins fest, dass eine
entsprechende Verurteilung des Gesuchstellers X Anlass zur Registrierung
unter dem Sachstamm Art. 261bis StGB (Rassendiskriminierung) war.
Dabei handelte es sich nicht um eine Registrierung im Einzelfall, sondern
um Einträge im Rahmen der systematischen Registrierung aller
Verurteilungen wegen Verletzung dieser Strafnorm. Unter dem Stamm
261bis StGB waren nach Auskunft des BAP zu jenem Zeitpunkt 249 Einträge
registriert. Verurteilungen wegen anderer Straftatbestände werden ebenfalls
in ISIS systematisch registriert. Somit ist im vorliegenden Fall nicht nur die
Verhältnismässigkeit der Registrierung des Gesuchstellers X im Einzelfall
zu überprüfen, sondern es stellt sich die Frage nach der Rechtmässigkeit
der systematischen Registrierung von Verurteilungen wegen bestimmter
Straftaten in ISIS allgemein.
b. Die diesbezügliche Praxis des BAP hinsichtlich Verurteilungen nach
Art. 261bis StGB in ISIS stützt sich seit dem 4. Mai 2001 auf die «Weisung
291» des DAP. Danach «werden die dem DAP zur Kenntnis gebrachten
Strafanzeigen und Urteile im Zusammenhang mit Art. 261bis StGB unter einem
entsprechenden Sachstamm registriert.» Die Weisung wurde vom Chef des
DAP nach Rücksprache mit dem Generalsekretariat des Eidgenössischen
Justiz- und Polizeidepartements (EJPD) erlassen. Somit handelt es sich nicht
um eine Rechtsnorm. Hingegen ist seit dem 1. August 2001 die Verordnung
über Massnahmen zur Wahrung der inneren Sicherheit (VWIS) vom 27.
Juni 2001 in Kraft, welche die Sicherheitsorgane ermächtigt, Personendaten
über administrative oder strafrechtliche Verfolgungen und Sanktionen zu
bearbeiten, soweit dies zur Erfüllung ihrer Aufgaben notwendig ist (Art. 13
Abs. 1 VWIS). Ferner wird die Bundesanwaltschaft durch Anhang 1 Ziff. 4
Bst. c dieser Verordnung verpflichtet, dem DAP Mitteilungen von Urteilen
und Einstellungsbeschlüssen über Strafsachen zu machen, deren Verfolgung
und Beurteilung der Bundesgerichtsbarkeit unterstehen. Zudem muss die
Bundesanwaltschaft dem DAP die ihr nach der Verordnung vom 10. November
2004 über die Mitteilung kantonaler Strafentscheide (Mitteilungsverordnung,
SR 312.3) zugehenden Informationen zuleiten, sofern diese Strafentscheide in
den Anwendungsbereich des BWID fallen.
c. In der «Weisung 291» des DAP vom 4. Mai 2001 des DAP wird auf die
Mitteilungsverordnung Bezug genommen. Diese stützt sich auf Art. 265 Abs.
1 des Bundesgesetzes vom 15. Juni 1934 über die Bundesstrafrechtspflege
(BStP, SR 312.0). Gegen Entscheidungen in Strafsachen, die in der
Mitteilungsverordnung genannt werden, stehen dem Bundesanwalt
die Rechtsmittel des kantonalen Rechts (Art. 266 BStP) sowie die Eidg.
Nichtigkeitsbeschwerde (Art. 270 Bst. d Ziff. 3 BStP) zu. Zweck der
Mitteilungspflicht ist die Begründung der «Beschwerdelegitimation» des
14

Bundesanwaltes. Aus der Stellungnahme des EDSB ergibt sich, dass in casu das
Urteil betr. X dem BAP effektiv aus dieser Quelle (Mitteilung der Urteile nach
Art. 265 Abs. 1 BStP) zugekommen war.
d. Das DSG ist zwar nicht anwendbar auf hängige Strafverfahren (Art. 2 Abs. 2
Bst. c DSG), doch handelt es sich bei der Speicherung von Verurteilungen
in ISIS für Zwecke des präventiven Staatsschutzes gerade nicht um eine
Bearbeitung von Personendaten im Rahmen eines Strafverfahrens, sondern
um die Verwendung von Informationen aus abgeschlossenen Strafverfahren
für andere Zwecke. Für solche Bearbeitungen gilt das DSG, wobei der Frage
der Zweckentfremdung besondere Bedeutung zukommt. (vgl. dazu M.
Buntschu, Kommentar zum Schweizerischen Datenschutzgesetz, Basel 1995,
N. 48 zu Art. 2). Nach Art. 4 Abs. 3 DSG dürfen Personendaten nur zu dem
Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den
Umständen ersichtlich oder gesetzlich vorgesehen ist.
Der EDSB betrachtet die Speicherung der Urteile in ISIS für Zwecke des
präventiven Staatsschutzes als rechtmässig, weil der BStP in Art. 265 keine
Zweckbindung für die Verwendung der gemeldeten Urteile enthalte. Es
fragt sich, ob diese Auslegung nicht Art. 4 Abs. 3 DSG widerspricht, wonach
der Zweck der Bearbeitung gesetzlich vorgesehen sein müsse. Der EDSB
möchte es in casu genügen lassen, wenn der Verwendungszweck vom
Gesetz nicht gerade ausgeschlossen wird. Zum Schluss, dass Art. 265 BStP
keine Zweckbindung enthalte, gelangte der EDSB offenbar aufgrund des
Wortlautes der Bestimmung, der eine Mitteilung (auch) an die betroffenen
Ämter erlaubt. In der Botschaft vom 28. Januar 1998 über die Änderung
des Strafgesetzbuches, der Bundesstrafrechtspflege und des Bundesgesetzes
vom 22. März 1974 über das Verwaltungsstrafrecht (BBl 1998 1559) wurde
zu Art. 265 Abs. 1 BStP indessen ausgeführt, dass die Mitteilungspflicht
«Rechtsgrundlage für die Kompetenz des Bundesanwaltes, Rechtsmittel
zu ergreifen» bilde. Die im Rahmen dieser Revision des BStP explizit
vorgesehene Möglichkeit der Mitteilung an andere Verwaltungsbehörden
war lediglich eine Anpassung an die bereits bestehende Praxis, wonach
Entscheide ebenfalls zwecks Einlegung von Rechtsmitteln direkt den sachlich
zuständigen Verwaltungsbehörden zuzustellen waren (vgl. Botschaft a.a.O.).
Eine Verwendung der Urteile für Zwecke des präventiven Staatsschutzes ist
somit im BStP nicht vorgesehen.
Man kann sich fragen, ob allenfalls das BWIS eine solche Verwendung
erlaube. Die Informationsbeschaffung durch den DAP ist in Art. 14 BWIS
geregelt. Art. 14 Abs. 2 BWIS enthält einen allgemeinen Katalog der Mittel
der Datenbeschaffung. Im vorliegenden Zusammenhang könnten als
gesetzliche Grundlage insbesondere das Recht der Informationsbeschaffung
durch Einholen von Auskünften (Bst. b) und das Recht zur Einsicht in
amtliche Akten (Bst. c) in Betracht kommen. Man könnte hier argumentieren,
dass die Kompetenz zur Informationsbeschaffung durch das Einholen
von Auskünften oder die Einsicht in amtliche Akten generell erlaube alle
Informationen, die in irgendeiner Funktion beim DAP anfallen, auch für
Zwecke des präventiven Staatsschutzes zu bearbeiten. Namentlich seien
auch Strafverfolgungsorgane nach Art. 13 Abs. 1 Bst. a BWIS zur Erteilung
von Auskünften und, wenn sie eine konkrete Gefährdung der inneren oder
äusseren Sicherheit feststellen, zu Meldungen an den DAP verpflichtet (Art.
13 Abs. 2 BWIS). Möglicherweise argumentiert jemand gar, dass es eine
15

reine Rationalisierungsmassnahme darstelle, wenn direkt die Mitteilungen
nach Art. 265 BStP für die Registrierung in ISIS verwendet werden. Aus
verfassungsrechtlicher Sicht (vgl. Art. 164 der Bundesverfassung der
Schweizerischen Eidgenossenschaft vom 18. April 1999 [BV], SR 101) ist jedoch
fraglich, ob der so offen gehaltener Katalog von Art. 14 Abs. 2 BWIS eine
genügende gesetzliche Grundlage ist, um als gesetzlich vorgesehener Zweck
im Sinne von Art. 4 Abs. 3 DSG gelten zu können. Jedenfalls ermächtigt Art.
14 BWIS nicht zu einer flächendeckenden Informationsbeschaffung. Nach
der Botschaft (BBl 1994 II 1179) ist «Informationsbeschaffung auf Vorrat ...
nicht zulässig.» Somit wäre wohl bspw. die flächendeckende Beschaffung von
Informationen über alle strafrechtlichen Verurteilungen bei bestimmten
Delikten oder gar zu allen strafrechtlichen Verurteilungen von Art. 14
BWIS nicht gedeckt. Dementsprechend wurde bei Erlass der gesetzlichen
Grundlagen für das automatisierte Strafregister ein Zugriff des DAP auf
das Strafregister für Zwecke des präventiv-polizeilichen Staatsschutzes
zwar diskutiert, dann aber abgelehnt (vgl. Botschaft vom 17. September
1997 betreffend die Schaffung und Anpassung gesetzlicher Grundlagen für
Personenregister, BBl 1997 IV 1307 sowie AB 1998 S 1033).
e. Auch das BWIS selbst enthält Schranken für die Bearbeitung von Daten
aus Strafverfahren nach Abschluss des Strafverfahrens: Nach Abschluss des
Strafverfahrens dürfen nach Art. 15 Abs. 6 BWIS Daten über beschuldigte
Personen nicht allgemein weiterbearbeitet werden, sondern nur, «wenn
Anhaltspunkte bestehen, dass sie über Gefährdungen der inneren und äusseren
Sicherheit Aufschluss geben können» (Art. 15 Abs. 6 Bst. a BWIS).
Diese Regelung, die eine Konkretisierung des Verhältnismässigkeitsprinzips
für die Datenbearbeitungen des DAP ist, setzt einen Einzelfallentscheid voraus,
in welchem zu prüfen ist, ob Anhaltspunkte für eine Gefährdung der inneren
und äusseren Sicherheit bestehen. Die Praxis des DAP zur systematischen
Registrierung aller nach Art. 265 BStP gemeldeten Urteile unabhängig vom
Vorliegen der gesetzlich vorausgesetzten Anhaltspunkte für eine Gefährdung
der inneren oder äusseren Sicherheit widerspricht somit Art. 13 Abs. 2 BWIS
und sprengt den Rahmen von Art. 15 Abs. 6 BWIS. Vom Wortlaut her geht Art.
13 VWIS über Art. 15 Abs. 6 BWIS hinaus, weil er nicht mehr auf die im Gesetz
verankerten Restriktionen für die Bearbeitung von Daten nach Abschluss des
Strafverfahrens bezug nimmt, sondern die Zulässigkeit der Datenbearbeitung
einzig von deren Notwendigkeit zur Aufgabenerfüllung abhängig macht.
Indessen steht der Wortlaut von Art. 15 VWIS einer gesetzeskonformen
Auslegung nicht entgegen, da er nicht verhindert, dass für den Sonderfall
der Bearbeitung von Personendaten nach Abschluss des Strafverfahrens die
Voraussetzungen von Art. 15 Abs. 6 BWIS eingehalten werden.
Weder der Gesuchsteller X noch Y verfügen über einen eigenen
Personenstamm in ISIS. Sie sind als sogenannte Drittpersonen im System
registriert. Als Drittpersonen gelten nach Art. 3 Bst. i der ISIS-Verordnung
«Personen oder Organisationen, die in einem Bezug zu einer mit einem
Stammdatensatz erfassten Person oder Organisation stehen, selber aber die
Voraussetzungen zur eigenständigen Registrierung nicht erfüllen.» Somit setzt
auch die Registrierung als Drittperson einen Einzelfallentscheid darüber
voraus, dass eine bestimmte Person oder eine bestimmte Organisation
«in einem Bezug zu einer mit einem Stammdatensatz erfassten Person
oder Organisation stehen.» Inhaltlich stellt diese Regelung wiederum eine
16

Konkretisierung des Verhältnismässigkeitsprinzips dar. Drittpersonen
dürfen nur registriert werden, wenn Anlass zu der Vermutung besteht, dass
sie eine Gefahr für die innere oder äussere Sicherheit im Sinne des BWIS
darstellen. Auf welche Fakten sich diese Vermutung stützen muss, wird
durch die Verordnung ebenfalls präzisiert. Ein allgemeiner Verdacht gegen
ein bestimmtes Umfeld oder bestimmte Personengruppen genügt für die
Registrierung als Drittperson nicht; vorausgesetzt wird vielmehr ein konkreter
Bezug zu Personen oder Organisationen, die selber als Stammperson
registriert sind. Für die Registrierung der Verurteilungen verzichtet der DAP
allerdings auf einen solchen konkreten Bezug. Der DAP hat statt dessen einen
Sachstamm geschaffen, unter dem systematisch alle Verurteilungen erfasst
werden, indem die betroffenen Personen dort als Drittpersonen registriert
werden.
Mit anderen Worten verzichtet der DAP (durch die Errichtung von
Sachstämmen verbunden mit der Möglichkeit, darunter Drittpersonen
zu registrieren) bei bestimmten strafrechtlichen Verurteilungen auf den
konkreten Bezug zu Stammpersonen und stellt statt dessen auf die Vermutung
ab, dass die Begehung bestimmter Delikte allgemein eine Gefahr im Sinne des
BWIS darstellt, losgelöst vom Vorhandensein konkreterer Anzeichen für eine
Gefahr, so wie es in Art. 3 Bst. i der ISIS-Verordnung in Verbindung mit Art. 13
und 15 BWIS vorausgesetzt wird. Nicht nur die systematische Registrierung
aller Verurteilungen zu bestimmten Delikten ist somit rechtswidrig, sondern
auch die Errichtung von Sachstämmen, soweit damit für Drittpersonen der
Bezug zu Stammpersonen nach Art. 3 Bst. i der ISIS-Verordnung gelöst wird.
g. Man könnte sich noch fragen, ob der DAP die Daten über die Gesuchsteller
im Einzelfall bearbeiten dürfte, - d. h. wenn sie nicht Teil einer systematischen
Registrierung sämtlicher Verurteilungen wären. Die Prüfung der
Verhältnismässigkeit in diesem Fall ist schwieriger. Ausschlaggebend scheinen
folgende Überlegungen: Die Gesuchsteller sind nicht als Stammpersonen
eingetragen, sondern nur als Drittpersonen. Offenbar schätzt also auch der
DAP die Situation so ein, dass von den Gesuchstellern selber keine Gefahr für
die innere oder äussere Sicherheit ausgeht, dass sie aber mit entsprechenden
Organisationen oder Personen in Verbindung stehen könnten. Indessen
scheint es sich bei dieser Annahme nur um eine nicht belegbare Vermutung
zu handeln, weil die Gesuchsteller nicht bei einer bestimmten Stammperson
eingeordnet werden konnten, sondern der Ausweg über den Sachstamm
gewählt wurde. Vielleicht wäre es eines Tages, bei einer Weiterbearbeitung
der Daten, einmal möglich, einen solchen Bezug zu konkreten Stammpersonen
zu schaffen, doch fehlt dieser Bezug heute offensichtlich. Dies zeigt, dass es
sich um eine - verfassungsrechtlich eben unzulässige - Datenbeschaffung
auf Vorrat handelt. Eine Datenbearbeitung auf Vorrat scheint in jedem Fall
unverhältnismässig.
h. Selbst wenn nach Erlass des vorliegenden Entscheides nachträglich ein
solcher Bezug zu einer Stammperson hergestellt werden könnte, ist auf
die Regelung von Art. 16 Abs. 3 der ISIS-Verordnung zu verweisen, wonach
Angaben über Drittpersonen, die seit über drei Jahren ohne eigenen Stamm
registriert sind, anlässlich der Gesamtbeurteilung gelöscht werden. Nach
Ablauf von drei Jahren genügt für die Registrierung als Drittperson also
ein Bezug zu einer Stammperson nicht mehr. Für die Weiterbearbeitung
dieser Daten wird nach Ablauf dieser Frist vielmehr vorausgesetzt, dass
17

die betroffene Person selber im System als Stammperson registriert ist.
Diese Regelung dient ebenfalls dem Ziel, die Verhältnismässigkeit der
Datenbearbeitungen zu gewährleisten.
Die Einträge über das Verfahren des Gesuchstellers stammen aus den
Jahren 1998-2002. Der letzte Eintrag bezieht sich auf eine Beschwerde des
Gesuchstellers (erfasst am 2.1.2001). Die hier in Frage stehenden Einträge über
den Gesuchsteller müssten also jetzt gelöscht werden, selbst wenn ein Bezug
zu einer Stammperson bestünde.
i. Abschliessend lässt sich im Sinne der obigen Erwägungen sagen, dass eine
gewisse Überprüfung der Verhältnismässigkeit der Datenbearbeitungen
durchaus möglich ist, doch präsentiert sie sich primär unter dem Aspekt
der Einhaltung der spezifischen Zwecke der massgeblichen Gesetzes-
und Verordnungsbestimmungen. Es scheint daher eine Auslegung des
Rechts im Vordergrund zu stehen, die die massgeblichen Normen nicht
bloss als reine Ordnungsvorschriften interpretiert, sondern nach deren
Sinn und Zweck insbesondere im Hinblick auf eine Konkretisierung
des Verhältnismässigkeitsprinzips fragt. Daraus lassen sich auch für
polizeiliche Datenbearbeitungen Leitplanken für die Abgrenzung
von unverhältnismässigen bzw. verhältnismässigen Eingriffen in die
Persönlichkeitsrechte der Betroffenen ableiten.
Gestützt auf die obigen Erwägungen wird erkannt:
1. In den Verfahren nach Art. 14 ZentG und Art. 18 BWIS nimmt die EDSK
eigentliche richterliche Kontroll- und Aufsichtsfunktionen wahr über den
EDSB hinsichtlich der Wahrnehmung seiner Aufgaben nach Art. 14 Abs.
2 ZentG und Art. 18 Abs. 1 BWIS und gegenüber den Zentralstellen (heute
Bundeskriminalpolizei) bzw. über das Bundesamt hinsichtlich des Vollzugs der
Empfehlungen des EDSB.
2. EDSB und EDSK nehmen nicht nur für eine betroffene Person das
Auskunftsrecht stellvertretend wahr, sondern üben auch sinngemäss die
dieser nach Art. 25 DSG zustehenden Rechte stellvertretend aus, soweit dies
aufgrund der Besonderheiten der Verfahren nach Art. 14 ZentG bzw. Art. 18
BWIS, insbesondere unter Berücksichtigung der Geheimhaltungsanliegen
möglich ist.
3. Der Bund muss die beiden Kontrollorgane mit den Ressourcen ausstatten,
die sie für die Durchführung der gesetzlichen Kontrollen benötigen.
Eine Einschränkung der gesetzlich vorgesehenen Kognition oder ein
weitergehender Verzicht auf die Aktenführung und die Dokumentation der
durchgeführten Kontrollen ist den beiden Kontrollorganen im Hinblick auf die
beschränkten Ressourcen verwehrt.
4. Die Verhältnismässigkeit der Datenbearbeitungen und des
Wahrheitsgehaltes der bearbeiteten Informationen ist zumindest im Sinne
einer Plausibilitäts- und einer Willkürkontrolle zu überprüfen.
5. Der EDSB und die EDSK stellen namentlich fest, ob Daten über die
Gesuchsteller ohne gesetzliche Grundlage bzw. gestützt auf gesetzeswidrige
Verordnungsbestimmungen bearbeitet werden und diesbezüglich
Empfehlungen zur Behebung von Mängeln in der Datenbearbeitung zu
18

erlassen sind. Die Überprüfung der Rechtmässigkeit des Gesetzes- und
Verordnungsrechts in der Ämterkonsultation durch den EDSB ersetzt diese
Überprüfung nicht.
6. Stellt der EDSB bei seinen Kontrollen fest, dass ein über das Auskunftsrecht
hinausgehendes Interesse des Betroffenen an Auskünften über die
Datenbearbeitungen des DAP bzw. der Bundeskriminalpolizei besteht, hat
er auch die Bearbeitung der Daten im konkreten Fall in die Überprüfung
nach Art. 14 ZentG bzw. Art. 18 BWIS einzubeziehen. Ein solches Interesse
ist namentlich anzunehmen, wenn die Kontrolle des EDSB ergibt, dass eine
Vielzahl von Informationen über den Gesuchsteller gespeichert sind oder dass
die gespeicherten Informationen intensiv bearbeitet wurden.
7. EDSB und BAP haben möglichst alle Voraussetzungen zu schaffen, dass
solche Kontrollen tatsächlich durchgeführt werden können (bspw. durch die
Entwicklung einer Auswertungssoftware, die eine elektronische Kontrolle der
Datenbearbeitungsprotokolle erlaubt).
8. Der EDSB hat seine Abklärungen in den Akten angemessen
zu dokumentieren. Allein das Notieren und Aufbewahren von
Dokumentennummern beim EDSB genügt den Anforderungen an die
Dokumentation der Kontrollen nicht. Zu dokumentieren wären auch die
hauptsächlichen rechtlichen Erwägungen des EDSB hinsichtlich Zulässigkeit
bzw. Unzulässigkeit einer Datenbearbeitung.
9. Die Praxis des DAP zur systematischen Registrierung aller nach Art.
265 BStP gemeldeten Urteile unabhängig vom Vorliegen der gesetzlich
vorausgesetzten Anhaltspunkte für eine Gefährdung der inneren oder
äusseren Sicherheit verletzt Art. 15 Abs. 6 BWIS.
10. Die Errichtung von Sachstämmen verletzt Art. 3 Bst. i der ISIS-Verordnung,
soweit dadurch für Drittpersonen auf den in dieser Bestimmung
vorausgesetzten Bezug zu Stammpersonen verzichtet wird.
Gestützt auf diesen Entscheid erlässt die EDSK folgende Empfehlungen:
1. Dem EDSB wird empfohlen seine Abklärungen und Überprüfungen im Sinne
der obigen Erwägungen angemessen in den Akten zu dokumentieren.
2. Dem EDSB wird empfohlen, wenn ein Anlass dazu besteht, in
Überprüfungen nach Art. 14 ZentG bzw. Art. 18 BWIS auch Aspekte wie die
Datenrichtigkeit oder die Verhältnismässigkeit der Datenbearbeitung soweit
möglich einzubeziehen.
3. Dem EDSB wird empfohlen die Rechtmässigkeit der festgestellten
Datenbearbeitungen vollständig zu überprüfen. Namentlich sollten sich die
Überprüfungen auch auf die Normenkontrolle des Verordnungsrechts sowie
auf gewährte Zugriffe auf die Daten erstrecken.
4. Dem EDSB und dem BAP wird empfohlen, eine Auswertungssoftware für die
Kontrolle der Datenbearbeitungsprotokolle zu entwickeln.
5. Dem EDSB und der Bundeskanzlei wird empfohlen, den Personalbestand
des EDSB soweit aufzustocken, dass Überprüfungen nach Art. 14 ZentG bzw.
Art. 18 BWIS gesetzeskonform ohne rechtliche Einbussen durchgeführt
werden können.
19

6. Dem DAP wird empfohlen, auf die systematische Registrierung von
Verurteilungen zu bestimmten Delikten zu verzichten.
7. Dem DAP wird empfohlen, auf die Errichtung von Sachstämmen zu
verzichten, soweit darunter Drittpersonen gespeichert werden, die in keinem
Bezug zu Stammpersonen stehen.
20

Schweizerisches Bundesarchiv, Digitale Amtsdruckschriften
Archives fédérales suisses, Publications officielles numérisées
Archivio federale svizzero, Pubblicazioni ufficiali digitali
JAAC 70.95 - Auszug aus dem Entscheid der Eidgenössischen Datenschutzkommission vom
22. Mai 2003/15. März 2004
In
Verwaltungspraxis der Bundesbehörden
Dans
Jurisprudence des autorités administratives de la Confédération
In
Giurisprudenza delle autorità amministrative della Confederazione
Jahr
2006
Année
Anno
Band
70
Volume
Volume
Seite
---
Page
Pagina
Ref. No
150 007 490
Das Dokument wurde durch das Schweizerische Bundesarchiv und die Bundeskanzlei konvertiert.
Le document a été digitalisé par les Archives Fédérales Suisses et la Chancellerie fédérale.
Il documento è stato convertito dall'Archivio federale svizzero e della Cancelleria federale.