Datenweitergabe an die Polizei: Dürfen Unternehmen personenbezogene Daten herausgeben?
Einleitung
Immer wieder erhalten Unternehmen Anfragen von Ermittlungsbehörden, die um die Herausgabe personenbezogener Daten bitten. Dabei stellt sich die Frage: Dürfen oder müssen Unternehmen diesen Anfragen nachkommen? Besonders § 161 Abs. 1 StPO wird häufig als Grundlage für solche Ersuchen genannt. Doch reicht das aus? Und was sagt die DSGVO dazu? Dieser Artikel gibt eine umfassende rechtliche Einschätzung und zeigt, wie Unternehmen sich rechtssicher verhalten können.
1. Grundlagen der Datenweitergabe an die Polizei
Die Herausgabe personenbezogener Daten ist stets ein Eingriff in das Grundrecht auf informationelle Selbstbestimmung. Eine Datenweitergabe ist daher nur zulässig, wenn sie auf einer hinreichenden gesetzlichen Grundlage beruht. Mögliche Rechtsgrundlagen sind:
- § 161 Abs. 1 StPO (Ermittlungsbefugnis der Staatsanwaltschaft)
- § 24 Abs. 1 Nr. 1 BDSG (Datenübermittlung zur Verfolgung von Straftaten)
- Art. 6 Abs. 1 lit. c) DSGVO (gesetzliche Verpflichtung zur Datenweitergabe)
- Art. 6 Abs. 1 lit. f) DSGVO (berechtigtes Interesse an der Strafverfolgung)
Ohne eine klare gesetzliche Grundlage oder eine sorgfältige Interessenabwägung sollten Unternehmen keine Daten herausgeben, um rechtliche Risiken zu vermeiden.
2. Reicht § 161 Abs. 1 StPO als Rechtsgrundlage aus?
Laut § 161 Abs. 1 StPO kann die Staatsanwaltschaft Ermittlungen jeder Art anstellen und dazu auch Auskünfte von Dritten einholen. Allerdings folgt daraus keine Verpflichtung für Unternehmen, die angeforderten Daten herauszugeben. Eine Pflicht zur Mitwirkung wäre nur gegeben, wenn eine spezielle Rechtsvorschrift dies vorschreibt oder eine richterliche Anordnung vorliegt.
Nach der Rechtsprechung und Kommentarliteratur ist § 161 Abs. 1 StPO keine eigene Erlaubnisnorm für die Datenverarbeitung durch private Unternehmen【17】. Es handelt sich lediglich um eine Befugnisnorm für die Ermittlungsbehörden. Das bedeutet, dass Unternehmen ohne eine ausdrückliche gesetzliche Verpflichtung oder eine Interessenabwägung keine Daten herausgeben dürfen.
3. § 24 BDSG als mögliche Grundlage
Eine weitere mögliche Rechtsgrundlage für die Datenweitergabe ist § 24 Abs. 1 Nr. 1 BDSG. Diese Vorschrift erlaubt die Übermittlung personenbezogener Daten an Strafverfolgungsbehörden, wenn die Verfolgung von Straftaten dies erfordert und keine schutzwürdigen Interessen des Betroffenen entgegenstehen. In der Praxis ist daher eine Interessenabwägung notwendig【17】:
- Liegt ein begründeter Verdacht vor, der eine Datenweitergabe rechtfertigt?
- Bestehen schutzwürdige Interessen des Betroffenen, die dagegen sprechen?
- Wurde eine richterliche Anordnung eingeholt?
Wenn keine konkrete Rechtsgrundlage vorliegt, ist die Übermittlung von Daten unzulässig.
4. Datenschutzrechtliche Bewertung nach DSGVO
Auch die DSGVO setzt enge Grenzen für die Datenweitergabe:
- Art. 6 Abs. 1 lit. c) DSGVO erlaubt eine Verarbeitung nur, wenn eine gesetzliche Verpflichtung besteht. Dies ist bei bloßen polizeilichen Anfragen ohne richterliche Anordnung nicht der Fall.
- Art. 6 Abs. 1 lit. f) DSGVO könnte greifen, wenn ein berechtigtes Interesse an der Strafverfolgung besteht. Hier ist aber eine sorgfältige Abwägung mit den Interessen des Betroffenen erforderlich【15】.
- Unternehmen müssen zudem die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erfüllen und dokumentieren, warum eine Datenweitergabe zulässig oder unzulässig ist.
5. Praxisempfehlung: So sollten Unternehmen reagieren
Falls Unternehmen eine Anfrage von Ermittlungsbehörden erhalten, sollte folgender Ablauf beachtet werden:
(1) Prüfung der Rechtsgrundlage
- Liegt eine spezifische gesetzliche Verpflichtung vor?
- Falls nein: Liegt eine Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO vor?
- Falls nein: Keine Herausgabe der Daten.
(2) Schriftliche Anfrage der Polizei einfordern
- Die Polizei sollte schriftlich darlegen, auf welche Rechtsgrundlage sie sich beruft.
- Falls nur § 161 Abs. 1 StPO genannt wird: Zurückweisen mit Hinweis auf die fehlende Verpflichtung.
(3) Gegebenenfalls betroffene Person informieren
- Nach Art. 14 DSGVO ist die betroffene Person in der Regel über die Weitergabe ihrer Daten zu informieren.
- Ausnahme: Wenn dies die Ermittlungen gefährden würde (Art. 23 DSGVO).
(4) Dokumentation und Datenschutzbeauftragten einbinden
- Unternehmen sollten die Entscheidung zur Datenweitergabe sorgfältig dokumentieren.
- Einbindung des Datenschutzbeauftragten oder der Rechtsabteilung wird empfohlen.
6. Wann sollte ein Datenschutzbeauftragter oder Anwalt hinzugezogen werden?
Bei Unsicherheiten zur Datenweitergabe empfiehlt es sich, einen auf Datenschutz spezialisierten Anwalt oder den Datenschutzbeauftragten des Unternehmens zu konsultieren. Eine unbedachte Herausgabe personenbezogener Daten kann erhebliche rechtliche Konsequenzen haben, darunter Bußgelder und Haftungsrisiken.
Ein erfahrener Datenschutzexperte kann:
- die Anfrage prüfen und die beste Vorgehensweise empfehlen,
- eine Interessenabwägung durchführen,
- rechtliche Risiken minimieren und eine DSGVO-konforme Lösung erarbeiten.
Zusammenfassung
§ 161 Abs. 1 StPO beinhaltet keine Pflicht zur Herausgabe von Daten. Unternehmen sind nicht verpflichtet, polizeilichen Anfragen ohne spezielle Rechtsgrundlage nachzukommen. Nur wenn eine gesetzliche Grundlage vorliegt oder eine Interessenabwägung zugunsten der Polizei ausfällt, ist eine Datenweitergabe zulässig. Im Zweifel sollte stets eine Präzisierung der Rechtsgrundlage von der Polizei eingefordert werden.
Unternehmen sollten daher vorsichtig sein und polizeiliche Anfragen nicht unkritisch beantworten, sondern die Rechtslage sorgfältig prüfen. Bei Unsicherheiten ist es ratsam, einen Datenschutzbeauftragten oder Anwalt für Datenschutzrecht einzuschalten, um rechtliche Risiken zu vermeiden.