Holznagel, Daniel

German

<intR>²Dok

Das Bundeskriminalamt alsüberdimsensionierte PlattformpolizeiDaniel Holznagel 2024-02-13T08:00:52Das von der Bundesregierung vorgeschlagene Digitale-Dienste-Gesetz (DDG-E) sollim Bundestag bis zum März abschließend verhandelt werden und dann schon imApril in Kraft treten.Ein wichtiger Aspekt des Gesetzentwurfs erhält bisher zu wenig Aufmerksamkeit:Was genau soll eigentlich das Bundeskriminalamt (BKA) nach § 13 DDG-E – dernationalen „Begleitgesetzgebung” zu Art. 18 Digital Services Act (DSA) – machen?Ist diese Rolle im gegenwärtigen Entwurf hinreichend abgesichert? Und bedarf esdafür wirklich – wie geplant – 450 Stellen?Bei näherem Hinsehen zeigen sich potenzielle Sollbruchstellen. Bei der„Entgegennahme” und dem Umgang mit Informationen zu potentiellen Straftatengemäß § 13 DDG-E dürfte das BKA Beschränkungen unterliegen, die vermutlichnicht gewollt sind. Ferner sprechen empirische Anhaltspunkte deutlich gegen denprognostizierten Stellenbedarf.Der disruptive Art. 18 DSANach Art. 18 DSA sind Hostingdienste verpflichtet, bei „Kenntnis von Informationen,die den Verdacht begründen, dass eine Straftat, die eine Gefahr für das Leben oderdie Sicherheit einer Person … darstellt, begangen wurde”, die zuständigen Behördenzu informieren. Art. 18 DSA nennt als zuständige (Empfangs-) Behörden vorrangigdie „Strafverfolgungs- oder Justizbehörden des betreffenden Mitgliedstaats”, wassich alternativ nach dem Tatort, dem Wohnsitz des Tatverdächtigen oder dem desOpfers der Straftat richtet.Die Rolle des BKA nach § 13 DDG-E13 DDG-E soll die Meldungen der Hostingdienste kanalisieren: Das BKA „nimmtals Zentralstelle Informationen nach Artikel 18 [DSA]… entgegen, verarbeitetdiese Informationen im Rahmen seiner gesetzlichen Aufgaben nach demBundeskriminalamtgesetz und leitet die Informationen an die jeweils zusta#ndigeStrafverfolgungsbeho#rde weiter”.Dies klingt schlank: Zentrale Entgegennahme, Zuständigkeitsermittlung,Weiterleitung.Tatsächlich ergeben sich eine Reihe von Fragen:Nur ein Angebot – zur „Entgegennahme”- 1 -13 DDG-E formuliert defensiv: Das BKA „nimmt” die Informationen der Anbieterlediglich „entgegen”. Dem Vernehmen nach beruht die Formulierung auf derErwägung, dass Art. 18 DSA bzgl. der möglichen Adressaten der Plattform-Meldungen abschließend sei: Die Anbieter müssen (nur) an die „Strafverfolgungs-oder Justizbehörden” liefern; man könne sie nicht mittels nationaler Regelungzwingen, an eine Mittler-Zentralstelle zu melden. § 13 DDG-E ist danach nur einAngebot: Ihr könnt – statt an eine Staatsanwaltschaft – auch einfach zentral an dasBKA melden!Für die Anbieter ist dies interessant:So wird es zwar Fälle geben, in denen für den Anbieter Anhaltspunkte zurzuständigen Staatsanwaltschaft vorliegen, z.B. zum potenziellen Tatort(YouTube-Video einer Gewalttat am Brandenburger Tor) oder zum Wohnsitz desTatverdächtigen (Geodaten des Uploaders?). Dies wären jeweils Anhaltspunkte zurörtlich zuständigen Staatsanwaltschaft (§ 143 GVG, §§ 7, 8 StPO).Oft wird der Anbieter aber keine entsprechende Kenntnis haben. Für dieAnbieter wird daher regelmäßig nahe liegen, das „Angebot” anzunehmen und dieInformationen iSv Art. 18 DSA an das BKA zu übermitteln. Zumal das BKA mit denAnbietern auch schon Gespräche führt und versucht, den Meldeprozess zu gestalten(Entwicklung einer Schnittstelle / API).„Entgegennahme” auch nur „zur Verfügung” gestellter Informationen?Bei näherer Betrachtung zeigt sich ein Spannungsverhältnis zwischen Art. 18 DSAund der Vorstellung einer Zentralstelle iSv § 13 DDG-E, an welche die Anbietervermeintlich „unbekümmert” alle Daten iSv Art. 18 DSA zentralisiert ausleitenkönnen.Hierfür muss man zunächst die Funktionsweise von Art. 18 DSA beachten. DieVorschrift regelt den Zugriff auf zwei grundsätzlich verschiedene Datensätze.Einerseits der „Verdacht” auf eine Straftat, den die Anbieter „mitteilen”, d.h.tatsächlich übermitteln müssen. Andererseits die weiteren „einschlägigenInformationen” (Ermittlungsansätze wie z.B. IP-Adresse, Bezahldaten, Nutzername,Telefonnummer usw.), die nur „zur Verfügung” zu stellen sind, ggfs. z.B. in einemDatenraum zum Abruf (umfassend Holznagel, in: Müller-Terpitz/Köhler, DSA, Art.18 Rn. 35 ff.). Diese Differenzierung ist im Wortlaut des Art. 18 DSA angelegt. V.a.dient diese Differenzierung dem gebotenen Grundrechtsschutz: Erst wenn dieBehörde feststellt, dass am (zwingend) übermittelten Verdacht etwas dran ist, kannsie – gestützt auf spezifische Befugnisnormen und nur soweit erforderlich – dieweiteren Ermittlungsansätze abrufen, was dann auch erst gewährleistet, dass diefür verschiedene Datenkategorien nach dem jeweiligen nationalen Verfassungsrechtggfs. gebotenen Zugriffshürden beachtet werden (ausführlich Holznagel aaO Rn. 43f.).Wenn die Anbieter – entsprechend der Konstruktion des Art. 18 DSA und entgegender Vorstellung des BKA – tatsächlich zunächst nur den Verdacht (und nicht dasGesamtpaket aller einschlägigen Informationen) übermitteln, dann könnte § 13 DDG-- 2 -E mit der dortigen passiven Formulierung der „Entgegennahme” an Grenzen stoßen.Denn ist es vom Wortlaut („Entgegennehmen”) noch gedeckt, wenn das BKA danntatsächlich Daten abruft? Eventuell kann man § 13 DDG-E hier großzügig auslegen,oder aber man sieht den „Abruf” als Minus der nach §§ 9 – 10a BKAG zulässigenAuskunftsverlangen erfasst. Aber ganz risikolos erscheinen diese Lesarten nicht,da das BVerfG gerade beim staatlichen Datenzugriff zu Ermittlungszwecken relativstreng auf Normenklarheit achtet (vgl. BVerfG, Beschl. v. 24.01.2012 – 1 BvR1299/05 („Bestandsdatenauskunft I”), Rn. 174).BKA stellt sich wohl eine „Paketlösung” vor: Alles wird übermitteltDie genannte Differenzierung (Verdacht ist zu übermitteln, einschlägigeInformationen sind zur Verfügung zu stellen) erzeugt jedenfalls insofern ein Problem,als mit dem Gesetzentwurf vermutlich gerade angestrebt ist, dass die Anbieter gleichalle Daten iSv Art. 18 DSA an das BKA „in einem Rutsch” übermitteln (hier sog.Paketlösung).Offenbar kommuniziert das BKA gegenüber den Anbietern auch, dass man sicheine solche Paketlösung wünscht. Dem Vernehmen nach arbeitet das BKA sogar aneiner API, bei deren Nutzung die Anbieter zwingend Datensätze jenseits des reinen„Verdachts” übermitteln müssen (z.B. IP-Adresse als „required data”).Eine solche „Paketlösung” impliziert natürlich, dass im Zweifel überschießendauch solche Daten übermittelt werden, die für den eigentlichen Zweck von § 13DDG-E, nämlich der Weiterleitung an die zuständige Strafverfolgungsbehörde(hier sog. Verteilfunktion) nicht zwingend erforderlich sind. Wenn bspw. YouTubeKenntnis von einem Video erhält, das eine schwere Gewalttat am BrandenburgerTor zeigt, und dem BKA neben dem Video (Verdacht) zugleich IP-Adresse undgespeicherte Zahlungsdaten des Uploaders (einschlägige Informationen) übermittelt,so sind dies mehr Daten, als zur Bestimmung der zuständigen Staatsanwaltschaft(Berlin) erforderlich sind. Und wenn das BKA das Datenpaket dann weiterleitet,erhält die Staatsanwaltschaft Berlin zwingend Kenntnis z.B. der IP-Adresse, derenBeauskunftung sonst unter einem grundsätzlichen Richtervorbehalt stünde (§ 100k,101a Abs. 1a, 100e StPO).Die genannten Bedenken (nicht erforderliche Datenverarbeitungen, Umgehungvon Eingriffshürden der StPO) lassen sich zwar wegargumentieren: Denn wennformal betrachtet gar kein Zwang besteht, an das BKA zu melden, dann gehen diegenannten „überschießenden” Datenübermittlungen ja nicht (unmittelbar) auf einhoheitliches Handeln zurück. Formal betrachtet liegt der schwarze Peter bei denAnbietern, die sich fragen müssen: Dürfen wir überhaupt das großzügige Angebotdes BKA annehmen und dorthin gleich das ganze „Paket” ausleiten? Oder müsstenwir uns nicht – datensparsam – zunächst auf die Übermittlung des Verdachtsbeschränken?Wenn die Paketlösung gewünscht ist, d.h. wenn man die Anbieter zum Übermittelngleich aller Daten „anlocken” möchte, dann sollte der Gesetzgeber wohl eineentsprechende Erlaubnis bzw. Privilegierung der Anbieter klarstellen.- 3 -Vorprüfung auf strafrechtliche Relevanz (Filterfunktion)An die erörterte Datenübermittlung schließt sich eine Folgefrage an. Soll dasBKA, bevor es zur eigentlichen Kernaufgabe – der Übermittlung an die örtlichzuständige Strafverfolgungsbehörde (Verteilfunktion) – schreitet, die übermitteltenVerdachtsmomente auf strafrechtliche Relevanz prüfen?Für ein solches Aufgabenverständnis spricht, dass schon die bisherige Arbeit desBKA mit der 2022 (wegen § 3a NetzDG) eingerichteten Zentralen Meldestelle fürstrafbare Inhalte im Internet (ZMI BKA) eine solche Relevanzprüfung umfasst (vgl.BT-Drs. 19/17741, S. 31), wie auch auf der dortigen Webseite zu lesen ist:„Die ZMI BKA prüft die … angelieferten Meldungen hinsichtlich einerstrafrechtlichen Relevanz …”Eine solche Relevanzprüfung impliziert, dass das BKA – falls kein strafbaresVerhalten erkannt wird – den Vorgang „einstellt”. Dies erscheint zulässig, weildie Übermittlung des Verdachts nach Art. 18 DSA noch keine Strafanzeige iSv§ 158 Abs. 1 StPO darstellt, über welche nunmehr zwingend die zuständigeStrafverfolgungsbehörde entscheiden müsste.Auch Vorermittlung bei drohendem Beweismittelverlust?Unklar erscheint, ob und inwiefern das BKA überschießende Vorermittlungendurchführen soll, d.h. Ermittlungen, die über das hinausgehen, was zur Ermittlungder örtlich zuständigen Strafverfolgungsbehörde erforderlich ist.Wenn bspw. TikTok das Video eines (fremdgefährdenden) illegalen Autorennensam Kölner Dom übermittelt (zuständige Staatsanwaltschaft steht fest), soll dasBKA dann auch noch schnell die (ggfs.) übermittelte Uploader-IP-Adresse beimZugangsanbieter abgleichen lassen, um den Tatverdächtigen bzw. potenzielleZeugen zu ermitteln? Praktisch wäre dies schon, z.B. um Beweismittelverlustenvorzubeugen.Wieder lohnt ein Blick auf die Webseite der ZMI BKA, wo zu lesen ist:„Die ZMI BKA … stellt nach Möglichkeit den mutmaßlichen Verfasser fest…”Für das Verständnis einer entsprechenden Aufgabe spricht auch dieGesetzesbegründung zum DDG-E (BT-Drs. 20/10031, S. 72):„Durch die zentrale Entgegennahme … können Doppelarbeiten in denLändern vermieden und zeitkritische Maßnahmen sofort ergriffen werden.”Ob entsprechende Ermittlungen durch das BKA zulässig sind, erscheint fraglich.Nach § 13 DDG-E erfolgt die weitere Datenverarbeitung im Rahmen derAufgaben nach dem BKAG. Mangels Anpassung des BKAG müsste das BKAdie etwaige Aufgabe zu (zeitkritischen) Vorermittlungen wohl mit der allgemeinen- 4 -Zentralstellenfunktion nach § 2 Abs. 1 BKAG begründen, was ein extensivesVerständnis der dortigen Unterstützungsfunktion voraussetzt (und wozu dann eineKlarstellung des Gesetzgebers durchaus wünschenswert wäre).Fraglich bleibt, mit welchen Ermittlungsbefugnissen das BKA dann vorgehensoll. Auf die §§ 10, 10a BKAG könnte sich das BKA wohl nicht stützen (wegender dortigen Zweckbeschränkung, „die zuständige Strafverfolgungsbehörde… zu ermitteln”). Und auch die allgemeine Befugnisnorm in § 2 Abs. 2 Nr. 1BKAG („Informationen zu sammeln und auszuwerten”) würde wohl überdehnt(vgl. insofern BT-Drs. 13/1550, S. 21 f.); hierauf gestützte „echte” Ermittlungenkönnten zudem die gebotenen (vgl. BVerfG, Beschl. v. 27.05.2020 – 1 BvR 1873/13(„Bestandsdatenauskunft II”), Rn. 204 ff.) Eingriffshürden der §§ 94 ff., 100j, 100kStPO umgehen.450 Stellen für das BKA?Heute sind ca. 39 Mitarbeiter:innen bei der ZMI BKA tätig. Künftig sollen es wegen §13 DDG-E nun insgesamt 450 Stellen werden.Schon die zugrundeliegende Schätzung zu jährlich 720.000 übermittelten Vorgängen(BT-Drs. 20/10031, S. 64) erscheint aber weit überzogen:Hosting-Anbieter haben selten Kenntnis iSv Art. 18 DSA: Art. 18 DSA erfordert einenpositiven Verdacht des Hosting-Anbieters. Erkenntnisse mittels Meldungen nachArt. 16 DSA können zwar zugerechnet werden, aber die automatisierte Content-Moderation (Filter) begründet wohl keine Kenntnis (Holznagel aaO Rn. 20 ff.), d.h.löst auch keine Meldepflicht des Anbieters aus, weshalb die Anbieter schon mangelsKenntnis selten meldepflichtig werden.Nur schwere Straftaten: Art. 18 DSA gilt nur bei Straftaten, die eine Gefahr für dasLeben oder die Sicherheit einer Person darstellen. Von Anhaltspunkten zu solchschweren Straftaten werden die Anbieter selten Kenntnis erlangen.Bisherige Empirik: Art. 18 DSA ist für die sehr großen Online-Plattformen (Facebook,TikTok, usw.) längst anwendbar, nämlich seit August 2023 (vgl. Art. 92 DSA sowiehier). Anbieter leiten bereits Daten nach Art. 18 DSA aus: An Europol, aber u.a.auch an das BKA. Für 2023 wird von Fallzahlen im niedrigen dreistelligen (!)Bereich (d.h. weit unter den angenommenen 720.000) berichtet, davon ein GroßteilSuizidversuche, die streng genommen gar nicht unter Art. 18 DSA fallen. Die sog.NCMEC-Zahlen (vgl. sog. Löschbericht der Bundesregierung 2021, S. 31) passenauch nicht als Grundlage für eine höhere Schätzung, da dort die Anbieter z.T. auchautomatisiert aufgefundene Sachverhalte ausleiten.Die im Gesetzentwurf geschätzte Prüfdauer von 60 Minuten pro Fall erscheintebenso überhöht. Zum vergleichbaren § 3a NetzDG ging die Bundesregierung nochvon im Regelfall 10 Minuten Prüfzeit aus (BT-Drs. 19/17741, S. 24).- 5 -ZusammenfassungArt. 18 DSA ist eine disruptive Regelung. Der nun als nationale Begleitgesetzgebungvorgeschlagene § 13 DDG-E könnte das gesetzgeberische Ziel verfehlen, das BKAhier als effektive Zentralstelle für die Meldungen der Anbieter zu etablieren.Insofern sollten Nachbesserungen geprüft werden:Paketlösung und Abrufbefugnis: Soll das BKA nicht nur den Straftatenverdacht,sondern gleich – wie wohl sinnvoll – alle einschlägigen Informationen erhalten undabrufen können („Paketlösung”), sollte diese Aufgabe, und auch die entsprechendeBefugnis klargestellt werden. Dies würde zugleich den Anbietern die erforderlicheRechtssicherheit vermitteln, damit sie „in einem Rutsch” (Paketlösung) alle Daten andas BKA ausleiten dürfen.Vorermittlungen: Zur Aufgabe des BKA nach § 13 DDG-E sollte ferner konkretisiertwerden, inwiefern auch zeitkritische Vorermittlungen erfolgen sollen. Insofern wärenzugleich die Ermittlungsbefugnisse klarzustellen.Realistische Stellenplanung: Mit 450 geplanten Stellen schätzt die BReg viel zugroßzügig; dies sollte nach unten korrigiert werden.- 6 -

Das Bundeskriminalamt als überdimsensionierte Plattformpolizei

https://intr2dok.vifa-recht.de/servlets/MCRFileNodeServlet/mir_derivate_00016453/Das_Bundeskriminalamt_als_berdimsensionierte_Plattformpolizei.pdf

Das Bundeskriminalamt als überdimsensionierte Plattformpolizei

Abstract

Similar works

Full text

Available Versions

<intR>²Dok