Eine regelmäßig gestellte Frage ist, wie sich bei Anfragen von Strafverfolgungsbehörden zu verhalten werden soll. Fraglich ist hierbei, ob personenbezogene Daten weitergegeben werden dürfen und wenn ja, auf welcher Grundlage. Hier soll es um Anfragen von Ermittlungsbehörden wie der Staatsanwaltschaft gehen, welche auf einen begründeten Verdacht einer Straftat ermitteln.

Auf welcher Rechtsgrundlage können personenbezogene Daten an Ermittlungsbehörden weitergegeben werden?

Unter der alten Fassung des BDSG bestand eine spezielle Rechtsgrundlage (§ 28 Abs. 2 Nr. 2 lit. b BDSG alte Fassung) für die Weitergabe von Daten zur Verfolgung von Straftaten und zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit. In der DSGVO findet sich eine solche Rechtsgrundlage nicht.

Mit § 24 Abs. 1 BDSG neue Fassung wurde jedoch eine Rechtsvorschrift geschaffen, die die gleichen Bedingungen voraussetzt, um personenbezogene Daten an Ermittlungsbehörden zu übermitteln wie § 28 Abs. 2 BDSG alte Fassung: Die Abwehr von Gefahren für die staatliche oder die öffentliche Sicherheit und die Weitergabe von Daten zur Verfolgung von Straftaten.

Deutsche Unternehmen, die dem BDSG unterliegen, dürfen also nach wie vor Daten an Strafverfolgungsbehörden weitergeben.

Was ist bei der Übermittlung von personenbezogenen Daten an Ermittlungsbehörden zu beachten?

Die Ermittlungsbehörden müssen ihre Abfrage von Daten wiederum ebenfalls auf eine Rechtsgrundlage stützen können. Ohne eine Rechtsgrundlage, darf keine Erhebung von Daten erfolgen. Liegen die Voraussetzungen des Art. 24 Abs. 1 BDSG (neu) nicht vor, so kann die Übermittlung von Daten einen Verstoß gegen die DSGVO bedeuten. Zudem muss eine Abwägung zwischen den Interessen des Betroffenen und der Weitergabe der Daten erfolgen.

Deshalb sollte sich im Vorhinein unbedingt ausreichend über den Tatvorwurf, den Zweck der Verarbeitung durch die Ermittlungsbehörde und die Rechtsgrundlage für die Abfrage von Daten informiert werden, um sicherzustellen, dass eine Übermittlung erfolgen darf.

Zu beachten ist außerdem, dass § 24 BDSG (neu) nur die Zulässigkeit einer Übermittlung regelt, jedoch keine Verpflichtung dazu. Es macht deshalb Sinn, eine gesetzliche Verpflichtung zur Übermittlung bei der Ermittlungsbehörde zu erfragen. Diese kann beispielsweise in einem Auskunftsersuchen der Staatsanwaltschaft nach §§ 161 a Abs. 1 und 163 Abs. 3 StPO liegen.

Sobald eine Verpflichtung zur Übermittlung von Daten an Ermittlungsbehörden vorliegt, kann sich für die Übermittlung neben § 24 BDSG (neu) auch auf Art. 6 Abs. 1 lit. c DSGVO (Verarbeitung aufgrund einer gesetzlichen Verpflichtung) berufen werden, womit ebenfalls die Einhaltung der Grundsätze der DSGVO bei der Übermittlung nachgewiesen werden kann.

Letztlich ist noch zu beachten, dass nach Art. 13 Abs. 3 DSGVO der Betroffene über die Übermittlung der Daten informiert werden muss. Auch wenn die Ermittlungsbehörden dies als eine Behinderung der Ermittlungen einstufen mögen, müssen sie dies erläutern können und eine Rechtsgrundlage nennen, warum die Information an den Betroffenen nicht erfolgen darf.

Fazit: Eine Übermittlung von personenbezogenen Daten an Ermittlungsbehörden ist auch unter der DSGVO noch möglich. Zu beachten sind dabei die oben genannten Voraussetzungen des § 24 BDSG. Außerdem sollte sich vorher ausreichend über die Beweggründe der Anfrage informiert werden und es sollte sichergestellt sein, dass sich die Behörde auf eine Rechtsgrundlage stützt. Telefonische Anfragen und Anfragen per E-Mail und Fax sollten nicht beantwortet werden, da diese Kommunikationswege durch Betrüger manipuliert werden könnten.