Jahresbericht 2020 der Geschäftsprüfungsdelegation

10. Februar 2021

Jahresbericht 2020 der Geschäftsprüfungskommissionen und der Geschäftsprüfungsdelegation der eidgenössischen Räte vom 26. Januar 2021, Auszug

5.9 Aufsichtseingabe von «grundrechte.ch»: Umsetzung der Massnahmen durch das VBS und das EJPD

Aufgrund einer Aufsichtseingabe des Vereins «grundrechte.ch» untersuchte die GPDel im Jahr 2019 die Datenerfassung und -bearbeitung des NDB bezüglich Artikel 5 und 6 NDG sowie die Auskunftserteilung durch den NDB. Dabei zeigte sich, dass der NDB Informationen über die politische Betätigung und über die Ausübung der Meinungs-, Versammlungs- oder Vereinigungsfreiheit teilweise im Widerspruch zu den rechtlichen Vorgaben beschafft und bearbeitet hat und die Behandlung von Auskunftsgesuchen nur ungenügend funktionierte.

Für die Behebung dieser Mängel schlug die GPDel der Vorsteherin des VBS am 8. November 2019 insgesamt 20 Massnahmen vor, um rechtlichen Problemen mit spezifischen Daten entgegenzuwirken, das Erfassen von nicht gesetzeskonformen Daten zukünftig zu verhindern, den bestehenden Datenbestand zu bereinigen und die Beantwortung von Auskunftsgesuchen zu verbessern. Sechs dieser Massnahmen sollte das VBS im Sinne von «Sofortmassnahmen» rasch umsetzen.

Anlässlich der Aussprache vom 25. November 2019 hatte sich die Vorsteherin des VBS bereit gezeigt, die grosse Mehrheit der von der GPDel vorgeschlagenen Massnahmen umzusetzen. Allerdings stellte sie bezüglich der Beurteilung der Rechtmässigkeit der Datenbearbeitung im NDB divergierende Interpretationen der einschlägigen gesetzlichen Grundlagen fest. Ein Gutachten des BJ sollte deshalb dem VBS Auskunft über die korrekte Rechtsauslegung geben.

Am 31. Januar 2020 informierte der Direktor des NDB die GPDel von seiner Absicht, die Informationssysteme des NDB durch einen externen Experten überprüfen zu lassen. Dies sollte dem NDB ein «neutrales Urteil» über die Vereinbarkeit der gesamten Datenbearbeitung im NDB mit den geltenden Rechtsgrundlagen verschaffen.Erst gegen Jahresende erhielt die GPDel Kenntnis vom Inhalt des Dienstleistungsvertrags vom April 2020 mit einem Datenschutzexperten, dessen Schlussergebnisse im 1. Quartal 2021 vorliegen sollen.

Bereits am 4. Februar 2020 stellte das BJ sein Gutachten zuhanden des VBS fertig. Das BJ legte die rechtlichen Bestimmungen in gleicher Wiese aus wie die GPDel. Insbesondere bestätigte das BJ, dass das NDG keine Bestimmung enthalte, welche es dem NDB erlauben würde, die Schranken zu missachten, welche das Gesetz für die Bearbeitung von Informationen über die Ausübung der politischen Rechte setzt. Rechtlich betrachtet stellt Artikel 45 Absatz 1 NDG demnach keine Sonderbestimmung zu den in Artikel 5 Absatz 5 NDG stipulierten Grenzen der Informationsbeschaffung dar.

Mit Schreiben vom 3. März 2020 liess die Vorsteherin des VBS das Gutachten der GPDel zukommen und orientierte die Delegation darüber, dass der Direktor des NDB die Anweisung erhalten habe, möglichst alle von der GPDel vorgeschlagenen Massnahmen umzusetzen. Laut Rückmeldung des NDB seien die Massnahmen weitgehend umsetzbar. Als problematisch hinsichtlich der vorhandenen Ressourcen wurden jedoch die Revision der Weisungen vom 31. August 2017 erachtet, welche die Erfassung und Anonymisierung von Informationen regeln, die den Schranken von Artikel 5 NDG unterliegen. Diese Weisungen hat die GPDel als nicht gesetzeskonform beurteilt.

Im Rahmen der Berichterstattung zum Jahresbericht 2019 der GPK und der GPDel informierten die Vertreter der GPDel den Ständerat am 5. März 2020 und den Nationalrat am 11. Juni 2020 über das Gutachten des BJ und den Stand der Arbeiten im VBS. Bei ihren Abklärungen zur Aufsichtseingabe von «grundrechte.ch» war die GPDel wiederholt auf Ereignisübersichten des Bundessicherheitsdienstes (BSD) gestossen, die der NDB bei sich abgelegt hatte und welche Meldungen enthielten, die nicht den Vorgaben von Artikel 5 NDG entsprachen. Aus diesem Grund formulierte die GPDel Massnahme Nummer vier, wonach der NDB im Grundsatz prüfen sollte, welche Produkte des BSD er überhaupt benötigt. Überdies sollte der NDB zusammen mit fedpol definieren, welche Voraussetzungen die Produkte des BSD nach Artikel 5 und 6 NDG erfüllen müssen, damit sie dem NDB zugestellt und von ihm erfasst werden dürfen.

Per Schreiben vom 30. April 2020 orientierte der NDB die GPDel dahingehend, dass der NDB ab sofort auf den Erhalt der Ereignisübersichten des BSD verzichtet und diese Produkte aus all seinen Informationssystemen löschen werde. Vom BSD werde der NDB aber weiterhin die Lageübersicht zur Luftsicherheit erhalten, welche hinsichtlich der Datenbearbeitungsschranke von Artikel 5 NDG unproblematisch sei. Ebenfalls benötige der NDB das Produkt «Laufende Geschäfte» des BSD, welches zukünftig nicht länger als ein Jahr gespeichert werden soll. Per Aktennotiz vom 25. Juni 2020 bestätigte der NDB, dass alle Ereignisübersichten des BSD aus sämtlichen Informationssystemen des NDB gelöscht worden sind. Damit hat der NDB auch die dritte von der GPDel geforderte Sofortmassnahme weitgehend umgesetzt.

Im Rahmen ihrer Aussprache mit der Vorsteherin EJPD erkundigte sich die GPDel am 25. Mai 2020, wie sichergestellt werden könne, dass der BSD in seinen Ereignisübersichten nur noch Informationen aufnimmt, welche den Vorgaben von Artikel 23b Absatz 3 des Bundesgesetzes über Massnahmen zur Wahrung der inneren Sicherheit (BWIS) entsprechen. Diese Bestimmung sind inhaltlich identisch mit den Schranken von Artikel 5 NDG. Obwohl die GPDel keine expliziten Massnahmen für die Datenbearbeitung im BSD formuliert hatte, zeigte sich die Delegation darüber beunruhigt, dass der BSD beispielsweise ein Treffen zwischen eidgenössischen Parlamentarierinnen und Parlamentariern und Vertreterinnen und Vertretern kolumbianischer Umweltschutzorganisationen in eine Ereignisübersicht aufgenommen und an den NDB weitergeleitet hatte. Auf Nachfrage bestätigte fedpol der GPDel am 29. Mai 2020 schriftlich, dass in diesem Fall nichtöffentliche Informationen über die ausländischen Umweltschutzvertreter irrtümlicherweise in die Übersicht Eingang gefunden hätten. Wie fedpol der GPDel versicherte, wurde der Fehleintrag im Informationssystem gelöscht und alle im betroffenen System gespeicherten Informationen einer eingehenden Prüfung unterzogen, wobei keine weiteren Fehleinträge gefunden werden konnten.

Ein Jahr nachdem die GPDel ihrer Erkenntnisse aus der Aufsichtseingabe der Vorsteherin des VBS dargelegt hatte, besprach sie am 24. November 2020 die Umsetzung der 20 Massnahmen, welche sie im November 2019 vorgeschlagen hatte. Vorgängig hatte der NDB der GPDel einen Kurzbericht mit umfangreichen Beilagen zum Stand der Arbeiten zugestellt. Ausserdem hatte die GPDel einen Zusatzbericht über die Beantwortung von Auskunftsgesuchen durch den NDB verlangt. Anlass dafür waren Hinweise von Privatpersonen, die innerhalb der vorgegebenen Frist von 30 Tagen keine Antwort erhalten hatten. Laut dem Zusatzbericht des NDB vom 13. November 2020 waren zwischen November 2019 und Oktober 2020 insgesamt 929 Gesuche eingegangen. Davon waren 38 Gesuche noch nicht beantwortet worden. Die durchschnittliche Bearbeitungsdauer eines Gesuchs betrug 70 Tage. Von den Gesuchstellern, die mit der Antwort des NDB auch Auskunft über ihre Daten erhalten hatten, verlangte niemand vom NDB, dass dieser einzelne der bekanntgegebenen Daten löscht oder berichtigt. Artikel 25 des Datenschutzgesetzes (DSG) gibt den Gesuchstellern diese Möglichkeit. Im Falle einer Ablehnung ihres Begehrens, steht den Gesuchstellern die Beschwerde ans BVGer offen.