Sicherungsersuchen nach dem Budapester Übereinkommen des Europarats und die Praxis in der Türkei: Workshop-Bericht

Inhaltsverzeichnis

1. Einleitung ..............................................................................................................................3

2. Erörterung der Fragen und Szenarien .................................................................................6

2.1 Frage 1 - Dringende Unterstützung .....................................................................................................6

2.2 Frage 2 - Datenkategorien .............................................................................................7

2.3 Frage 3 - Zulassung des Informationsaustauschs der 24/7-Kontaktstelle außerhalb

strafrechtlicher Ermittlungen ...........................................................................................9

2.4 Frage 4 - Strafrechtliche Verantwortlichkeit beim Informationsaustausch ..........................................................10

2.5 Frage 5 - Verantwortlichkeit bei unterbliebenem Informationsaustausch ............................................11

2.6 Frage 6 - Informationsaustausch über türkische und ausländische Staatsangehörige 13

2.7 Frage 7 - Pflicht zur Nichtbenachrichtigung ............................................................................14

2.8 Frage 8 - Pflicht zur Nichtlöschung von Daten ....................................................................16

2.9 Frage 9 - Pflichten juristischer Personen ....................................................................17

2.10 Frage 10 - Verweigerung der Zusammenarbeit ................................................................................18

2.11 Frage 11 - Anhalten verdächtiger Geldtransfers ................................................19

2.12 Frage 12 - Einfrieren verdächtiger Bankkonten von Amts wegen durch die Polizeibehörden ......22

2.13 Frage 13 - Erfordernis förmlicher Strafanträge ausländischer Opfer ......................22

2.14 Frage 14 - Verwendung von Daten nach Ablauf der Speicherfrist ................................................23

2.15 Frage 15 - Erhebung von Verkehrsdaten in Echtzeit und teilweise Weitergabe ...25

2.16 Frage 16 - Telekommunikationsüberwachung zur Erlangung von Inhaltsdaten ...................................27

2.17 Frage 17 - Unaufgeforderte Übermittlung von Informationen .........................................................................28

2.18 Frage 18 - Wirksamere Zusammenarbeit mit Internetdiensteanbietern ................................29

3 Fazit ..........................................................................................................................32

4 Teilnehmerliste .........................................................................................................33

Haftungsausschluss:

Dieser technische Bericht gibt nicht die offiziellen Standpunkte des Europarats, des Projekts iPROCEEDS, das die Veranstaltung teilweise finanziert hat, und der Vertragsstaaten des Übereinkommens des Europarats über Computerkriminalität wieder.

1. Einleitung

Das Übereinkommen des Europarats über Computerkriminalität („Übereinkommen“) wurde im Jahr 2001 in Budapest, Ungarn, unterzeichnet und ist in Kraft getreten. Das Übereinkommen ist der erste völkerrechtliche Text über Straftaten, die im Internet und gegen Computersysteme begangen werden. Seine grundlegenden Ziele sind die Herstellung von Einheitlichkeit zwischen den Staaten bei der Umschreibung der Tathandlungen der Cyberkriminalität in den Strafgesetzen, die rasche Ergreifung von Maßnahmen, die den Justizbehörden den Zugriff auf im Ausland befindliche digitale Beweismittel ermöglichen, sowie die Steigerung der Wirksamkeit der internationalen Zusammenarbeit und des Austauschs technischen Wissens bei der Bekämpfung der Cyberkriminalität.

Dem Übereinkommen gehören mehr als 60 Staaten als Vertragsparteien an, darunter auch Staaten wie die Vereinigten Staaten von Amerika und Japan, die nicht Mitglieder des Europarats sind. Darüber hinaus haben einige Staaten, die das Abkommen nicht unterzeichnet haben, ihre Rechtsgrundlagen in Anlehnung an die Straftatbestände und die sonstigen Sicherheitsmaßnahmen des Übereinkommens geändert. Die Türkei hat das Übereinkommen am 10. November 2010 unterzeichnet und es nach der Beratung im Plenum der Großen Nationalversammlung der Türkei am 22. April 2014 ratifiziert. Mit der Veröffentlichung des Gesetzes Nr. 6533 über die Zustimmung zur Ratifikation des Übereinkommens über Computerkriminalität im Amtsblatt (Resmî Gazete) am 2. Mai 2014 ist das Übereinkommen in Kraft getreten.

Anders als bei den körperlichen Beweismitteln, die Gegenstand herkömmlicher strafrechtlicher Ermittlungen sind, ist die Verfügbarkeit digitaler Daten weitaus fragiler; werden nicht rasch gesetzliche Maßnahmen zur Sicherung dieser Beweismittel ergriffen, können die strafrechtlichen Ermittlungen ins Stocken geraten. Um sicherzustellen, dass die digitalen Beweismittel, auf die sich ein Ersuchen bezieht, am Ende des in der Regel Monate dauernden Rechtshilfeverfahrens auch tatsächlich erlangt werden können, hat das Übereinkommen in Artikel 29 das Institut des „Sicherungsersuchens“ geschaffen. Die auf der Grundlage von Artikel 35 des Übereinkommens eingerichteten nationalen Kontaktstellen leiten die Sicherungsersuchen an die betreffenden Diensteanbieter weiter; sobald diesen das Rechtshilfeersuchen zugeht, übergeben die Diensteanbieter die betreffenden digitalen Beweismittel den Justizbehörden des ersuchenden Staates. In diesem Rahmen nimmt die Abteilung für die Bekämpfung von Cyberkriminalität der Generaldirektion für Sicherheit für die Türkei die Aufgabe der Nationalen 24/7-Kontaktstelle wahr. Neben den Sicherungsersuchen und den in dringenden Fällen gestellten Auskunftsersuchen wird den ersuchenden Staaten in Fragen, die strafrechtliche Ermittlungen betreffen, auch technische und rechtliche Beratung geleistet.

Die Nationale Kontaktstelle ist einer der Kanäle der internationalen polizeilichen Zusammenarbeit und wird ihrem Wesen nach nur in dringenden Fällen genutzt. Die Polizeibehörden nutzen intensiv die Kanäle von Interpol und Europol; darüber hinaus findet über ausländische polizeiliche Verbindungsbeamte ein unmittelbarer persönlicher Informations- und Erfahrungsaustausch statt. In ihrer gegenwärtigen Form machen die über die Nationale Kontaktstelle erbrachten Leistungen nur einen kleinen Prozentsatz der gesamten internationalen polizeilichen Zusammenarbeit aus. Als Hauptgrund für die geringe Zahl der in unserem Land eingehenden Sicherungsersuchen lässt sich anführen, dass die Zahl der in der Türkei ansässigen Diensteanbieter, die von Ausländern genutzt werden, und damit naturgemäß auch die Zahl der ausländischen Opfer verhältnismäßig gering ist. Die geringe Zahl der von unserem Land ausgehenden Sicherungsersuchen wird dagegen auf mangelnde Kenntnis der von der Nationalen Kontaktstelle erbrachten Leistungen im Inland zurückgeführt. Der Ausschuss für Cyberkriminalität des Europarats, der ähnliche Schwierigkeiten auch in anderen Staaten beobachtet hat, hat eine Empfehlung beschlossen, wonach die Befugnisse der Nationalen Kontaktstellen den übrigen Beteiligten im Inland wirksamer bekannt gemacht werden sollen.¹

In der Türkei sind Arbeiten zur Angleichung an die das materielle Strafrecht betreffenden Bestimmungen des Übereinkommens durchgeführt worden. Für die in den Aufgabenbereich der Nationalen Kontaktstelle fallenden Fragen, allen voran die Sicherungsersuchen und den beschleunigten internationalen Informationsaustausch, ist jedoch keine gesetzliche Regelung getroffen worden. Die Nationale Kontaktstelle hat bislang von der ihr durch Gesetz eingeräumten Befugnis Gebrauch gemacht und den Sicherungsersuchen sowie sonstigen dringenden Ersuchen in einer Weise entsprochen, die nicht im Widerspruch zur innerstaatlichen Rechtsordnung steht. Das Fehlen detaillierter gesetzlicher Regelungen und mögliche Abweichungen zwischen den für die Diensteanbieter geltenden Rechtsvorschriften und den Verpflichtungen aus dem Übereinkommen führen in der Praxis jedoch bisweilen zu Unsicherheiten.

Sowohl um die Nationale Kontaktstelle bei den Beteiligten im Inland bekannt zu machen, als auch um eine gedankliche Grundlage für künftige Arbeiten zur umfassenderen Angleichung des türkischen Rechts an das Übereinkommen zu schaffen, wurden Richter, Staatsanwälte, Vertreter des Justizministeriums, Zugangsanbieter und Hostprovider sowie Wissenschaftler zu dem Workshop „Das Sicherungsersuchen im Rahmen des Budapester Übereinkommens und die türkische Praxis“ eingeladen, der am 15. und 16. April 2019 in Istanbul stattfand. Den Teilnehmern wurden vor der Veranstaltung per E-Mail 18 Fragen und Szenarien, die im Lichte der umfangreichen Erfahrung der Vertreter der Nationalen Kontaktstelle ausgearbeitet worden waren und auch aktuelle, weltweit diskutierte Entwicklungen bei der Bekämpfung der Cyberkriminalität widerspiegeln, sowie eine inoffizielle türkische Übersetzung des Erläuternden Berichts zum Übereinkommen übersandt. Am ersten Tag des Workshops, der auch vom Projekt IPROCEEDS² des Europarats teilweise finanziert wurde, fanden die Vorträge der Nationalen Kontaktstellen Frankreichs, Lettlands und Rumäniens statt. Die den ausländischen Nationalen Kontaktstellen übersandten Fragen und Szenarien waren allgemeiner gehalten; die Teile, die ausschließlich das türkische Recht betreffen, wurden ihnen nicht übermittelt. Im übrigen Teil der Veranstaltung diskutierten die Teilnehmer in 5 Gruppen innerhalb der ihnen vom Moderator eingeräumten Zeit. Anschließend wurden die Auffassungen der Gruppen und die Gegenauffassungen vorgetragen. Diese elektronisch aufgezeichneten Redebeiträge wurden anonymisiert zusammengestellt, wobei ein feines Gleichgewicht zwischen dem Anliegen, den Leser nicht mit einem langen Text zu ermüden, und dem Anliegen, alle Gedanken wiederzugeben, gewahrt wurde. Auch die Antworten der ausländischen Nationalen Kontaktstellen wurden an geeigneter Stelle zusammengefasst und unter den jeweiligen Antworten angefügt. Es ist darauf hinzuweisen, dass im Falle von Widersprüchen zwischen dem Budapester Übereinkommen und seinem Erläuternden Bericht einerseits und den rechtlichen Auslegungen der Teilnehmer andererseits das Budapester Übereinkommen und sein Erläuternder Bericht maßgebend sind.

Die Vertreter der Nationalen Kontaktstelle haben sich für diesen Workshop vom Tallinn-Handbuch inspirieren lassen, in dem die NATO die völkerrechtlichen Regeln behandelt, die in Fällen von Cyberkonflikten und Cyberkriegen möglicherweise anwendbar sind. Mit der Veröffentlichung des Workshop-Berichts in englischer und türkischer Sprache in frei zugänglichen Online-Quellen wird das Ziel verfolgt, sowohl die Nationalen Kontaktstellen anderer Staaten zu ähnlichen Arbeiten als auch die wissenschaftliche Diskussion im Inland und mögliche gesetzliche Regelungen anzuregen.

Als Vertreter der Nationalen Kontaktstelle danken wir dem Leiter der Abteilung für die Bekämpfung von Cyberkriminalität der Generaldirektion für Sicherheit, Herrn Erdal ÇETİNKAYA, der die Durchführung des Workshops materiell und ideell uneingeschränkt unterstützt hat, den Leitern des Projekts IPROCEEDS des Europarats sowie unseren geschätzten Teilnehmern, die mit ihren wertvollen, auf einzigartiger Erfahrung beruhenden Gedanken wesentlich zum Entstehen dieses Berichts beigetragen haben.

2. Erörterung der Fragen und Szenarien

2.1 Frage 1 - Dringende Unterstützung

Erörtern Sie den Umfang des in Artikel 35 des Übereinkommens des Europarats über Computerkriminalität („Übereinkommen“) umschriebenen Begriffs der „dringenden Unterstützung (Immediate Assistance)“ im Zusammenhang mit der türkischen Rechtsordnung und den universellen Rechtsgrundsätzen.

• Sollen nur Fälle, in denen eine unmittelbare Gefahr für das Leben oder die körperliche Unversehrtheit von Personen besteht,

in diesen Anwendungsbereich einbezogen werden?

• Sollen auch Fälle einbezogen werden, die das Vermögen oder kritische digitale Daten betreffen? Bitte erläutern Sie Ihre fachliche Auffassung anhand von Beispielsfällen.

Der Moderator eröffnete die Sitzung mit einem allgemeinen Hinweis darauf, dass für den Informationsaustausch zwischen den Polizeibehörden der Staaten im Rahmen der internationalen polizeilichen Zusammenarbeit zahlreiche offizielle und inoffizielle Kommunikationskanäle bestehen, darunter die Nationale 24/7-Kontaktstelle nach dem Europäischen Übereinkommen über Computerkriminalität (im Folgenden: „Übereinkommen“), und dass die Staaten am intensivsten das Kommunikationssystem von Interpol nutzen. Die Teilnehmer waren sich darin einig, dass der Fall einer unmittelbaren Gefahr für das Leben oder die körperliche Unversehrtheit von Personen als „dringende Unterstützung“ einzustufen ist und dass dieser Begriff, der im türkischen Recht keinen Niederschlag gefunden hat, ausdrücklich geregelt werden muss. Für die übrigen Fallgestaltungen ergaben sich dagegen unterschiedliche rechtliche Auslegungen. Einige Teilnehmer machten unter Berufung auf den Wortlaut des Übereinkommens und den Erläuternden Bericht geltend, der Begriff der „dringenden Unterstützung“ im Übereinkommen sei ein Begriff des Verfahrensrechts und daher auf jede Art von Straftat anwendbar, bei der digitale Beweismittel vorliegen. Andere Teilnehmer warnten hingegen, eine derart weite Auslegung könne zu einem Verstoß gegen die personenbezogene Daten betreffenden Art. 135 und 136 des türkischen Strafgesetzbuchs (TCK) führen. In diesem Zusammenhang betonten sie, jedes bei der Nationalen Kontaktstelle eingehende Ersuchen müsse unter dem Gesichtspunkt der Persönlichkeitsrechte gefiltert werden; überwögen die individuellen Interessen die öffentlichen Interessen, dürfe dieser Weg nicht beschritten werden. Zahlreiche Teilnehmer verwiesen zudem auf den im türkischen Recht bekannten Begriff des „Entstehens schwer oder nicht wiedergutzumachender Schäden“ und führten aus, die Verfügbarkeit digitaler Daten könne leicht entfallen, weshalb der Anwendungsbereich der dringenden Unterstützung auf weitere Straftaten wie Vermögensdelikte, gegen kritische Infrastrukturen gerichtete Computerstraftaten und den Online-Kindesmissbrauch erstreckt werden könne. Schließlich äußerte ein Teilnehmer die Auffassung, der Begriff der „dringenden Unterstützung“ werde gänzlich falsch ausgelegt; im Übereinkommen sei in Wahrheit „unverzügliche Unterstützung“ gemeint. Umschrieben werde, so wurde vorgebracht, unabhängig von der Art der dem Ersuchen zugrunde liegenden Straftat eigentlich die rasche und wirksame Unterstützung, die die Nationale Kontaktstelle dem ersuchenden Staat leistet.

Der Vertreter der lettischen Nationalen Kontaktstelle erklärte, in seinem Land würden Drohungen mit Terroranschlägen und Fälle, in denen die Sicherheit des Lebens von Personen gefährdet ist, als dringende Fälle eingestuft.

WICHTIGER HINWEIS: Nicht jedes Ersuchen, das der Nationalen Kontaktstelle aus anderen Staaten zugeht, muss in unserem Land die Einleitung eines strafrechtlichen Ermittlungsverfahrens erforderlich machen. Berücksichtigen Sie daher bei der Beantwortung der folgenden Fragen sowohl die Variante, dass der Staatsanwalt ein Ermittlungsverfahren einleitet, als auch die Variante, dass er es nicht einleitet bzw. nicht einleiten kann.

2.2 Frage 2 - Datenkategorien

Das Ersuchen um dringende Unterstützung, das die Nationale Kontaktstelle des Staates A übermittelt, leitet die Kontaktstelle unseres Landes unverzüglich an den betreffenden Internetdiensteanbieter weiter. Das Ersuchen umfasst die Bestandsdaten (subscriber information) eines bestimmten Nutzers einer bestimmten Website, sämtliche IP-Adressen, über die dieser Nutzer auf das Internet zugegriffen hat (traffic data), sowie sämtliche Inhalte, die dieser Nutzer in einem bestimmten Zeitraum auf einer Website erzeugt hat (content data). Erläutern Sie unter Berücksichtigung des Umstands, dass die Bestandsdaten in unserem innerstaatlichen Recht nicht ausdrücklich definiert sind, Ihre fachliche Auffassung zu den folgenden begrifflichen Fragen und möglichen Szenarien.

• Welche Arten von Daten sollten die Bestandsdaten Ihrer Ansicht nach umfassen, und durch welche gesetzliche Regelung

sollten ihre Grenzen bestimmt werden?

• Einige Internetdiensteanbieter definieren auch die letzten 50/100 IP-Adressen, über die auf das Konto eines Nutzers zugegriffen wurde (IP-Adressen der letzten Zugriffe), als Bestandsdaten.

Ist eine vergleichbare Praxis Ihrer Ansicht nach in der türkischen Rechtsordnung zulässig?

• Auf Inhaltsdaten wird in unserem innerstaatlichen Recht an keiner Stelle Bezug genommen. Muss diese

Gesetzeslücke Ihrer Ansicht nach geschlossen werden?

Bitte erörtern Sie anhand konkreter Beispiele die rechtliche Notwendigkeit der vorstehenden Einteilung oder die Frage, ob

es erforderlich ist, die Datendefinitionen vollständig mit dem Übereinkommen in Einklang zu bringen.

Der Moderator eröffnete die Sitzung, indem er auf Nachfragen hin den Begriff der IP-Adressen der letzten Zugriffe (last login IPs) erläuterte. Websites bewahren Informationen über die IP-Adressen auf, über die ihre Nutzer auf die Website zugreifen. Ausländische Internetdiensteanbieter übermitteln den Polizeibehörden, wenn die Bestandsdaten eines Nutzers angefordert werden, IP-Adressen und Zugriffszeiten, deren Zahl in der Regel zwischen 10 und 100 liegt. Mit diesen Angaben lässt sich über den betreffenden Nutzer keine weitere persönliche Information gewinnen als die, dass er in einem bestimmten Zeitraum auf eine bestimmte Website zugegriffen hat. Hinter dieser Praxis steht die Überlegung, dass sich ein Nutzer, der ein VPN (Virtual Private Network) verwendet oder dem der Internetdiensteanbieter eine NAT-IP (Network Address Translation) zugewiesen hat, nicht ermitteln lässt, wenn nur eine einzige IP-Adresse mit Zugriffszeit beschafft wird. Mehrere Verbindungsdaten sind für die Ermittlung und Überprüfung der wahren Identität des betreffenden Nutzers von großer Bedeutung.

Obwohl zahlreiche Teilnehmer auf die ausführliche Definition der Bestandsdaten in Artikel 18 des Übereinkommens verwiesen, konnte über den Umfang der Bestandsdaten keine vollständige Einigkeit erzielt werden. Alle Teilnehmer stimmten jedoch darin überein, dass dieser Mangel durch eine gesetzliche Regelung zu beheben ist. Für die entsprechende Gesetzesänderung verwies die Mehrzahl der Teilnehmer auf das Gesetz Nr. 5651 „über die Regelung von Veröffentlichungen im Internet und die Bekämpfung der durch diese Veröffentlichungen begangenen Straftaten“ oder auf eine Verordnung, die die in diesem Gesetz enthaltene einschlägige Definition erläutert; ein Teilnehmer vertrat dagegen die Auffassung, die Definition der „Identitäts- und Kontaktdaten des Abonnenten“ im Gesetz Nr. 5809 „über die elektronische Kommunikation“ könne erweitert werden. Ferner hob ein Teilnehmer hervor, das Übereinkommen stelle ausdrücklich klar, dass Bestandsdaten etwas anderes sind als Verkehrsdaten, und unterstrich, dass verfahrensrechtlich für die Bestandsdaten das Institut der „Herausgabeanordnung“ und für die Verkehrsdaten das der „Sicherungsanordnung“ eingeführt worden ist. Damit bei der Zusammenarbeit mit den Vertragsstaaten des Übereinkommens in der Praxis keine Schwierigkeiten entstehen, wurde dafür plädiert, den Ausdruck „Bestandsdaten“ aus der Definition der Verkehrsdaten im Gesetz Nr. 5651 zu streichen. Zu den oben erwähnten IP-Adressen der letzten Zugriffe bildete sich die Auffassung heraus, dass sie positiv beurteilt werden können, solange sie nicht die Erstellung eines Nutzerprofils ermöglichen, indem sie unter Verletzung der Privatsphäre des Nutzers dessen Surfverlauf offenlegen.

Die Teilnehmer, die sich darin einig waren, dass es an einer gesetzlichen Regelung des Umfangs der Inhaltsdaten fehlt, unterbreiteten unterschiedliche Vorschläge dazu, in welchem Gesetz eine solche Regelung getroffen werden könnte. Betont wurde, dass eine oder mehrere der einschlägigen Rechtsvorschriften – etwa das Gesetz Nr. 5651 „über die Regelung von Veröffentlichungen im Internet und die Bekämpfung der durch diese Veröffentlichungen begangenen Straftaten“, das Gesetz Nr. 5809 „über die elektronische Kommunikation“ oder das Gesetz Nr. 6698 „über den Schutz personenbezogener Daten“ – aktualisiert und eine einheitliche Terminologie geschaffen werden sollten, um Unsicherheiten in der Praxis und daraus entstehende Nachteile für die Betroffenen zu vermeiden. Einige Teilnehmer führten aus, das Gesetz Nr. 5651 enthalte zwar klare Regeln über die Pflicht der Zugangsanbieter zur Speicherung von Verkehrsdaten, hinsichtlich der rechtlichen Verantwortlichkeit der Inhaltsanbieter und hinsichtlich der Inhaltsdaten bestehe jedoch eine große Lücke. Sie wiesen auf die Notwendigkeit hin, die entsprechenden Rechtsgrundlagen zu schaffen, damit die Verfügbarkeit digitaler Beweismittel im Ermittlungsverfahren und im gerichtlichen Verfahren gewährleistet ist und die zivil- und strafrechtliche Verantwortlichkeit der Inhaltsanbieter anhand objektiver Kriterien festgestellt werden kann. Ein Teilnehmer brachte zudem einen interessanten Blickwinkel auf die Ausprägungen des Begriffs der Inhaltsdaten im türkischen Recht ein. Er legte dar, dass das Gesetz Nr. 5651 die im Internet bereitgestellten Inhalte erfasse, das Gesetz Nr. 5809 dagegen Inhaltsdaten regle, die zwischen zwei Computersystemen ausgetauscht, aber nicht im Internet veröffentlicht werden, und schließlich Art. 135 der türkischen Strafprozessordnung (CMK) die Inhaltsdaten der Kommunikation zwischen zwei Personen zum Gegenstand habe, und führte damit die Zersplitterung des Begriffs der Inhaltsdaten in Theorie und Praxis vor Augen.

2.3 Frage 3 - Zulassung des Informationsaustauschs der 24/7-Kontaktstelle außerhalb strafrechtlicher Ermittlungen

Durch eine Änderung des Zusatzartikels 6 des Gesetzes über die Aufgaben und Befugnisse der Polizei (PVSK) im Jahr 2017 wurde folgende Bestimmung eingeführt: „Die Polizei ist bei im virtuellen Raum begangenen Straftaten befugt, zur Feststellung der zuständigen Oberstaatsanwaltschaft auf die Identitätsdaten von Internetabonnenten zuzugreifen und im virtuellen Raum Nachforschungen anzustellen. Zugangsanbieter, Hostprovider und Inhaltsanbieter teilen die angeforderten Daten der Einheit mit, die die Polizei zur Bekämpfung dieser Straftaten eingerichtet hat.“

• Ist es bei einem Auskunftsersuchen, das in der Türkei nicht Gegenstand eines Ermittlungsverfahrens sein kann,

möglich, dass die Nationale Kontaktstelle gestützt auf die vorstehende Vorschrift unmittelbar Informationen weitergibt?

• Falls dies nicht möglich ist: Welche

gesetzlichen Regelungen sollten getroffen werden, um der Nationalen Kontaktstelle diese Befugnis zu verschaffen?

Die große Mehrheit der Teilnehmer führte aus, Zusatzartikel 6 des Gesetzes über die Aufgaben und Befugnisse der Polizei (PVSK) gestatte der Polizei die Abfrage von Bestandsdaten nur zum Zweck der Feststellung der zuständigen Staatsanwaltschaft; in Szenarien, in denen der Staatsanwalt nicht einbezogen ist, könne von dieser Befugnis kein Gebrauch gemacht werden. Einige Teilnehmer hielten es für geboten, eingehend zu erörtern, ob es erforderlich ist, der Nationalen Kontaktstelle eine Befugnis zum Informationsaustausch außerhalb strafrechtlicher Ermittlungen einzuräumen; andere Teilnehmer meinten dagegen, eine begrenzte Befugnis zum Informationsaustausch könne durch eine gesetzliche Regelung oder durch zwischenstaatliche Verträge geschaffen werden. Da einige Teilnehmer die Vereinbarkeit der genannten Vorschrift mit der geltenden türkischen Rechtsordnung in Frage stellten, erläuterte ein Teilnehmer ausführlich, weshalb der Polizei diese Befugnis eingeräumt worden ist. Insbesondere werden Meldungen der in den USA ansässigen Nichtregierungsorganisation National Centre for Missing and Exploited Children (NCMEC) über Nutzer, die Darstellungen des Online-Kindesmissbrauchs auf die Plattformen der ebenfalls in den USA ansässigen Internetdiensteanbieter wie Facebook, Google und Twitter hochladen, zunächst an die Abteilung für die Bekämpfung von Cyberkriminalität und anschließend an die Staatsanwaltschaften der betreffenden Provinzen übermittelt. Bevor der Polizei die Befugnis zur unmittelbaren Abfrage von Bestandsdaten eingeräumt wurde, konzentrierte sich die große Mehrzahl der Meldungen auf bestimmte Provinzen. Nahm die Staatsanwaltschaft der betreffenden Provinz eine Standortfeststellung vor, stellte sich jedoch heraus, dass zahlreiche Nutzer tatsächlich in anderen Provinzen wohnten. Aus diesen und ähnlichen Gründen dauerte es mitunter bis zu zwei Jahre, bis manche Beschuldigte ermittelt waren. Um bei der Kriminalitätsbekämpfung rascher auf digitale Beweismittel zugreifen und deren wirksame Sicherung gewährleisten zu können, hat der Gesetzgeber die Befugnis der Polizei zur unmittelbaren Abfrage von Bestandsdaten eingeführt und damit eine beachtliche Verkürzung des oben im Einzelnen beschriebenen Ablaufs erreicht.

2.4 Frage 4 - Strafrechtliche Verantwortlichkeit beim Informationsaustausch

Artikel 90 der Verfassung der Republik Türkei bestimmt: „Verfahrensgemäß in Kraft gesetzte völkerrechtliche Verträge haben Gesetzeskraft. Bei Streitigkeiten, die daraus entstehen können, dass verfahrensgemäß in Kraft gesetzte völkerrechtliche Verträge über Grundrechte und Grundfreiheiten und Gesetze zum selben Gegenstand unterschiedliche Bestimmungen enthalten, sind die Bestimmungen der völkerrechtlichen Verträge maßgebend.“ Gestützt auf diesen Artikel stellt der Internetdiensteanbieter der Nationalen Kontaktstelle die erforderlichen Informationen zur Verfügung, obwohl das innerstaatliche Recht keine ausdrückliche Verpflichtung dazu vorsieht. Später leitet der Staatsanwalt jedoch gegen die Nationale Kontaktstelle und den Internetdiensteanbieter ein strafrechtliches Ermittlungsverfahren mit der Begründung ein, sie hätten rechtswidrig gehandelt.

• Sind die Kontaktstelle und der Internetdiensteanbieter im vorstehenden Fall nach dem türkischen

Strafgesetzbuch (TCK) strafrechtlich verantwortlich?

• Falls Sie die Frage bejahen, erläutern Sie eingehend die Grundlage der strafrechtlichen Verantwortlichkeit und legen Sie dar,

in welchen Rechtstexten Änderungen vorgenommen werden müssten, um diese Verantwortlichkeit zu beseitigen.

Falls Sie der Auffassung sind, dass keine strafrechtliche Verantwortlichkeit besteht, legen Sie dar, weshalb das Vorgehen

rechtmäßig ist.

Trotz der Bedenken einiger Teilnehmer bildete sich die Mehrheitsauffassung heraus, dass das Übereinkommen unbestreitbar die grundlegenden Menschenrechte und Freiheiten betrifft und daher ein Text ist, dem in der türkischen Rechtsordnung eine den Gesetzen übergeordnete Bindungswirkung zukommt. Als stützendes Argument wurde angeführt, dass das Übereinkommen mit Zwangsmaßnahmen wie Durchsuchung, Beschlagnahme und Echtzeitüberwachung der Kommunikation den Schutz des Privatlebens und die Meinungsfreiheit unmittelbar berührt. Daher seien Internetdiensteanbieter, die der Nationalen Kontaktstelle gestützt auf Artikel 18 des Übereinkommens Bestandsdaten übermitteln, strafrechtlich nicht verantwortlich, auch wenn das innerstaatliche Recht keine ausdrücklich umschriebene Befugnis und Verantwortlichkeit vorsieht. In diesem Fall, so wurde betont, sei der in Art. 24 TCK genannte Rechtfertigungsgrund der „Ausführung einer gesetzlichen Vorschrift“ gegeben. Hinsichtlich des Informationsaustauschs der Nationalen Kontaktstelle mit den Kontaktstellen anderer Staaten bestand Einigkeit darüber, dass in Fällen, die in der Türkei Gegenstand strafrechtlicher Ermittlungen sein können, derselbe Rechtfertigungsgrund eingreift. Auch wenn das Übereinkommen für die internationale Zusammenarbeit keine beiderseitige Strafbarkeit verlangt, wurde die Auffassung geäußert, dass es einer gesetzlichen Regelung bedarf, damit die Nationale Kontaktstelle in einem Fall, in dem in der Türkei kein strafrechtliches Ermittlungsverfahren eingeleitet wird oder eingeleitet werden kann, Informationen mit den Kontaktstellen anderer Staaten austauschen kann. Ein Teilnehmer wies darauf hin, dass personenbezogene Daten nach Art. 8 des Gesetzes Nr. 6698 nicht ohne ausdrückliche Einwilligung der betroffenen Person übermittelt werden dürfen und dass die Ausnahmen von dieser Regel in demselben Artikel aufgezählt sind. In diesem Zusammenhang unterstrich er, die Nationale Kontaktstelle und der Internetdiensteanbieter machten sich strafrechtlich verantwortlich, weil sie einen rechtswidrigen Informationsaustausch vornähmen; um dies zu verhindern, bedürfe es einer gesetzlichen Regelung des internationalen Informationsaustauschs durch die Nationale Kontaktstelle.

2.5 Frage 5 – Verantwortlichkeit bei unterbliebenem Informationsaustausch

Der Internetdiensteanbieter scheut sich mit der Begründung, das innerstaatliche Recht sehe keine ausdrückliche Regel vor, vor einem unmittelbaren Informationsaustausch mit der Kontaktstelle und verlangt eine Anweisung der Staatsanwaltschaft oder eine gerichtliche Entscheidung. Die Justizbehörden erklären jedoch, dem Begehren werde entsprochen, wenn es auf diplomatischem Weg als Rechtshilfeersuchen eingehe. In der Zwischenzeit wird die betreffende Straftat im Staat A begangen und führt zu Sachschäden, Schäden oder Verlusten.

• Lässt sich nach nationalem und internationalem Recht eine rechtliche Verantwortlichkeit einer Person oder Einrichtung für die im Staat A

begangene Straftat geltend machen?

• Ist es im vorstehenden Fall möglich, dass die Justizbehörden sich für unzuständig erklären und das Auskunftsersuchen

unberücksichtigt lassen?

Auch bei der Beantwortung dieser Frage traten die Meinungsverschiedenheiten der Teilnehmer über die Stellung des Übereinkommens in der türkischen Rechtsordnung zutage. Einige Teilnehmer machten geltend, der Internetdiensteanbieter mache sich strafrechtlich verantwortlich, weil er eine gesetzliche Vorschrift nicht ausgeführt habe. Unabhängig von einem im Staat A eingetretenen Schaden, so wurde ausgeführt, könne sowohl gegen den Diensteanbieter als auch gegen den Staatsanwalt wegen Vernachlässigung der Amtspflicht und/oder Amtsmissbrauchs vorgegangen werden. Ein Teilnehmer verwies auf die „Artikel über die Verantwortlichkeit der Staaten für völkerrechtswidrige Handlungen“ der Völkerrechtskommission der Vereinten Nationen aus dem Jahr 2001 und vertrat die Auffassung, die offenkundige und systematische Nichterfüllung einer völkerrechtlichen Verpflichtung werde dort mit dem Begriff der schwerwiegenden Verletzung umschrieben; in diesem Rahmen könnten auch Staaten verantwortlich gemacht werden. Andere Teilnehmer führten dagegen aus, den betreffenden Personen und Einrichtungen könne keine strafrechtliche Verantwortlichkeit auferlegt werden, solange die im Übereinkommen vorgesehenen Verpflichtungen nicht durch gesetzliche Regelungen im innerstaatlichen Recht untermauert sind. Ein weiterer Teilnehmer erklärte, da das Gesetz nicht ausdrücklich etwas anderes vorsehe, seien die für türkische Staatsangehörige geltenden Regeln und Verfahren auch für die bei der Nationalen Kontaktstelle eingehenden Ersuchen verbindlich.

Es bestand Einigkeit darüber, dass die Möglichkeit besteht, dass die Justizbehörden sich für unzuständig erklären und es dadurch unmöglich wird, einem bei der Nationalen Kontaktstelle eingegangenen Ersuchen auf dem Rechtsweg zu entsprechen. Ein Teilnehmer erinnerte daran, dass nach der türkischen Rechtsordnung die Klage beim zuständigen Gericht zu erheben ist, und damit an die Bedeutung der Zuständigkeitsbestimmung. Derselbe Teilnehmer teilte ferner seine Einschätzung mit, die ideale Lösung zur Behebung möglicher Zuständigkeitsprobleme in der Praxis bestehe darin, für die Prüfung der bei der Nationalen Kontaktstelle eingehenden Ersuchen eine für die gesamte Türkei zuständige Justizbehörde zu schaffen.

Der Vertreter der lettischen Nationalen Kontaktstelle erklärte, in einem solchen Fall sei der Tatbestand der „Nichtbefolgung rechtmäßiger Aufforderungen der Bediensteten von Aufsichts- oder Kommunalbehörden“ nach Art. 175 Abs. 2 des „Gesetzes über Verwaltungsübertretungen“ erfüllt und der betreffende Internetdiensteanbieter rechtlich verantwortlich.

2.6 Frage 6 - Informationsaustausch über türkische und ausländische Staatsangehörige

Diesmal erlassen die Justizbehörden die vom Internetdiensteanbieter verlangte Anordnung. Bei dem Beschuldigten handelt es sich um eine in unserem Land lebende Person ausländischer Staatsangehörigkeit. Dürfen die Daten einer Person

ausländischer Staatsangehörigkeit an die Behörden eines anderen Staates weitergegeben werden?

• Falls Sie diese Frage bejahen: Wo liegen die Grenzen dieser Weitergabe?

• Unterscheiden sich, wenn der Beschuldigte Staatsangehöriger der Republik Türkei ist, die

einzuhaltenden Regeln und Verfahren?

Bitte teilen Sie auch Ihre Auffassungen und Vorschläge dazu mit, wie beim Informationsaustausch mit anderen Nationalen Kontaktstellen die Verfahrens- und Sachregeln je nach Art der vom Ersuchen betroffenen Daten (Bestands-, Verkehrs- oder Inhaltsdaten) festzulegen sind.

Sämtliche Teilnehmer erklärten, nach dem Territorialitätsprinzip des Art. 8 TCK könne es bei der Weitergabe von Informationen über ausländische Staatsangehörige in der Türkei und über türkische Staatsangehörige keinen Unterschied geben. Einige Teilnehmer wiesen auf Ausnahmefälle besonderer Rechtsstellung wie die diplomatische Immunität sowie auf mögliche Anwendungsfälle der Bestimmung des Art. 16 der Verfassung hin, die lautet: „Die Grundrechte und Grundfreiheiten können für Ausländer in Übereinstimmung mit dem Völkerrecht durch Gesetz beschränkt werden.“ Hinsichtlich des internationalen Informationsaustauschs durch die Nationale Kontaktstelle wurde jedoch erneut das Fehlen einer Rechtsgrundlage im innerstaatlichen Recht hervorgehoben. Die Teilnehmer waren sich ferner darin einig, dass auch für den Informationsaustausch je nach Art der angeforderten Daten eine gesetzliche Differenzierung vorgenommen werden muss.

Die Vertreter der Nationalen Kontaktstellen Frankreichs und Lettlands erklärten, für die Weitergabe von Daten ausländischer Personen an andere Kontaktstellen bestehe keine besondere Regelung. Sie berichteten ferner über den Informationsaustausch im Rahmen der internationalen polizeilichen Zusammenarbeit in ihren Ländern. Der Vertreter der französischen Nationalen Kontaktstelle führte aus, in Fällen, in denen in Frankreich die Einleitung eines Ermittlungsverfahrens nicht erforderlich sei, könne mit dem ersuchenden Staat umfassender zusammengearbeitet werden. Der Vertreter der lettischen Nationalen Kontaktstelle fügte hinzu, die Bestimmungen der lettischen Verfassung, die Grundsätze der staatlichen Souveränität und das Gebot, inländische Ermittlungen nicht zu behindern, zögen dem Informationsaustausch mit anderen Staaten seine natürlichen Grenzen.

2.7 Frage 7 - Pflicht zur Nichtbenachrichtigung

Der Staat A übermittelt der Nationalen Kontaktstelle ein Ersuchen um Datensicherung im Zusammenhang mit einem Fall der Online-Anbahnung sexueller Kontakte (online grooming) zu einem in seinem Hoheitsgebiet lebenden Kind. Die Kontaktstelle fordert den Internetdiensteanbieter auf, den Beschuldigten über diesen Vorgang nicht zu unterrichten. Das Unternehmen unterrichtet die betroffene Person gleichwohl über das Sicherungsersuchen, weil dies seiner Transparenzpolitik entspricht und das innerstaatliche Recht für einen solchen Fall keine ausdrückliche Pflicht zur Nichtbenachrichtigung vorsieht. Die Person, die auf diese Weise von dem Tatverdacht im Staat A erfährt, löscht sämtliche digitalen Materialien auf den von ihr genutzten elektronischen Geräten unwiederbringlich. Als das Rechtshilfeersuchen aus dem Staat A eingeht und Computer und Mobiltelefon der Person untersucht werden, findet sich keinerlei Anhaltspunkt dafür, dass diese Person versucht hat, im Ausland lebende Kinder im Internet zu sexuellen Zwecken anzusprechen.

• Trifft den Internetdiensteanbieter in diesem Fall eine zivil-, verwaltungs- und strafrechtliche

Verantwortlichkeit?

• Falls Sie die Frage bejahen: Welche Sanktion kann verhängt werden?

• Falls Sie die Frage verneinen: Welche Regelungen können getroffen werden, um dem Internetdiensteanbieter in vergleichbaren Fällen

eine Pflicht zur Nichtbenachrichtigung aufzuerlegen?

Die Teilnehmer führten aus, bei einem Auskunftsersuchen, das in der Türkei Gegenstand strafrechtlicher Ermittlungen sein kann, sei der Internetdiensteanbieter, der den Beschuldigten entgegen der Anweisung der Nationalen Kontaktstelle unterrichtet, strafrechtlich verantwortlich. Verwiesen wurde auf Art. 285 Abs. 2 TCK, der bestimmt: „Wer die Vertraulichkeit von Entscheidungen, die im Ermittlungsverfahren ergangen sind und gegenüber den am Ermittlungsverfahren beteiligten Personen geheim zu halten sind, sowie der zu ihrer Ausführung vorgenommenen Maßnahmen verletzt, wird mit Freiheitsstrafe von einem Jahr bis zu drei Jahren oder mit Geldstrafe bestraft.“ Da das TCK keine strafrechtliche Verantwortlichkeit juristischer Personen vorsieht, gelangte man zu der Einschätzung, dass die in der zuständigen Einheit des Internetdiensteanbieters tätigen Personen nach dieser Vorschrift bestraft werden können. Einige Teilnehmer äußerten die Auffassung, diese Vorschrift sei angesichts der möglichen gravierenden Folgen eine unzureichende Sanktion; es sei daher angemessen, die Pflicht der Internetdiensteanbieter zur Nichtbenachrichtigung über strafrechtliche Ermittlungen als eigenständigen Straftatbestand mit einer schwereren Strafdrohung zu bewehren. Es wurde auch geäußert, in einem solchen Fall seien Geldbußen für Unternehmen abschreckender. Nach der dabei vertretenen Einschätzung können wegen Verletzung der Aufbewahrungspflicht des Verantwortlichen nach Art. 12 des Gesetzes Nr. 6698 und wegen Verletzung der Speicherpflicht des Hostproviders und des Zugangsanbieters nach dem Gesetz Nr. 5651 hohe Geldbußen verhängt werden. Bei der Bestimmung der zivilrechtlichen Verantwortlichkeit des Internetdiensteanbieters wiesen die Teilnehmer dagegen auf die Schwierigkeiten hin, den materiellen und immateriellen Schaden im Beispielsfall festzustellen und diesen Schaden auf die weisungswidrige Verletzung der Pflicht zur Nichtbenachrichtigung zurückzuführen, und sahen von einer eindeutigen Stellungnahme ab.

Für die Fälle, in denen in der Türkei kein strafrechtliches Ermittlungsverfahren eingeleitet wird oder eingeleitet werden kann, wurde ausgeführt, der Internetdiensteanbieter könne, sofern die Voraussetzungen vorliegen, nach den allgemeinen Vorschriften des TCK wie Vernachlässigung der Amtspflicht und Amtsmissbrauch strafrechtlich verantwortlich sein. Einige Teilnehmer machten geltend, Geldbußen könnten selbst in einem solchen Fall verhängt werden. Ein Teilnehmer erklärte jedoch unter Hinweis auf den vom Verfassungsgericht aufgehobenen Art. 6 Abs. 1 Buchst. d des Gesetzes Nr. 5651, dieser Weg sei nicht gangbar. Nach der betreffenden Vorschrift waren die Internetdiensteanbieter verpflichtet, der Behörde für Informationstechnologien und Kommunikation die von ihr angeforderten Informationen in der verlangten Form zu übergeben und die von der Behörde mitgeteilten Maßnahmen durchzuführen. Das Verfassungsgericht führte in seiner Entscheidung vom 8. Dezember 2015 aus, unter den angeforderten Informationen könnten sich auch personenbezogene Daten befinden, weshalb die betroffenen Personen zu unterrichten seien. Deshalb, so wurde erklärt, könne der Internetdiensteanbieter verwaltungsrechtlich nicht zur Verantwortung gezogen werden, sofern keine im Gesetz ausdrücklich umschriebene Pflicht in Bezug auf die Benachrichtigung – wie etwa diejenige, die Vertraulichkeit des Ermittlungsverfahrens nicht zu verletzen – besteht.

Der Vertreter der französischen Nationalen Kontaktstelle erklärte, dank der Kooperationsbereitschaft der Diensteanbieter sei in der Praxis seines Landes ein vergleichbarer Fall bislang nicht vorgekommen. Er fügte hinzu, man habe von den Diensteanbietern die Rückmeldung erhalten, dass die Pflicht, Personen in operativen Angelegenheiten nicht zu benachrichtigen, mit der Datenschutz-Grundverordnung der Europäischen Union (DSGVO) vereinbar sei. Wolle ein Diensteanbieter die betroffene Person gleichwohl unterrichten, werde dies der Kontaktstelle des ersuchenden Staates mitgeteilt, und das weitere Vorgehen richte sich nach dem Wunsch des ersuchenden Staates. Er erklärte ferner, der Diensteanbieter sei rechtlich nicht verantwortlich, wenn er den betreffenden Nutzer unterrichte, sofern in Frankreich kein strafrechtliches Ermittlungsverfahren anhängig sei. Der Vertreter der lettischen Nationalen Kontaktstelle wies darauf hin, dass die Diensteanbieter nach der lettischen Strafprozessordnung auch für die Aufbewahrung der von ihnen verarbeiteten Daten verantwortlich sind, und führte aus, bei der Weitergabe geheim zu haltender Informationen könne eine strafrechtliche Verantwortlichkeit entstehen.

2.8 Frage 8 – Pflicht zur Nichtlöschung von Daten

Der Staat A übermittelt der Nationalen Kontaktstelle eines anderen Staates ein Ersuchen um Datensicherung. Nach den erforderlichen Schritten erklärt sich der Internetdiensteanbieter zunächst bereit, dem Ersuchen nachzukommen, und teilt der Kontaktstelle mit, dass die betreffenden Daten gesichert worden sind. Als das Rechtshilfeersuchen in der Türkei eingeht, stellt sich jedoch heraus, dass sämtliche Daten unwiederbringlich gelöscht worden sind.

• Welche verwaltungsrechtliche und/oder strafrechtliche Verantwortlichkeit trifft den Internetdiensteanbieter

in diesem Fall?

• Macht es für die rechtliche Verantwortlichkeit einen Unterschied, ob die Daten vorsätzlich oder fahrlässig

gelöscht worden sind?

Die Teilnehmer waren sich darin einig, dass, sofern im Zusammenhang mit dem Ersuchen in der Türkei ein strafrechtliches Ermittlungsverfahren anhängig ist, in verwaltungsrechtlicher Hinsicht eine Geldbuße verhängt werden kann, weil ein Verstoß gegen die oben bereits erwähnten Pflichten aus den Gesetzen Nr. 6698 und Nr. 5651 vorliegt. In strafrechtlicher Hinsicht wurde die Anwendbarkeit des Art. 281 TCK über das Verbergen, Vernichten und Verändern von Beweismitteln einer Straftat erörtert. Man gelangte zu dem Ergebnis, dass die in dieser Vorschrift vorausgesetzte besondere Absicht, „die Aufdeckung der Wahrheit zu verhindern“, in der Praxis nicht vorliegen oder, selbst wenn sie vorläge, nicht nachzuweisen sein wird. Da die Internetdiensteanbieter die Daten in der Regel automatisch löschen und vernichten und die Tat nach Art. 281 TCK nicht fahrlässig begangen werden kann, lasse sich, so die Teilnehmer, eine strafrechtliche Verantwortlichkeit nicht begründen.

Für den Fall, dass in der Türkei derzeit kein strafrechtliches Ermittlungsverfahren anhängig ist, erklärten die Teilnehmer, ihre Antworten auf Frage 7 (2. Absatz) gälten im Allgemeinen auch für dieses Szenario. Das Löschen der Daten kann nur geahndet werden, wenn es gegen die allgemeinen Vorschriften des TCK oder gegen verwaltungsrechtliche Pflichten aus den einschlägigen Gesetzen verstößt.

Der Vertreter der französischen Nationalen Kontaktstelle führte aus, in manchen Fällen würden die Daten, auf die sich das Sicherungsersuchen bezieht, von den Diensteanbietern gelöscht, weil die Staaten, die das Ersuchen um Datensicherung übermittelt haben, das Rechtshilfeverfahren nicht einleiten. In einem solchen Fall trifft den Diensteanbieter keine rechtliche Verantwortlichkeit. Der Vertreter der lettischen Nationalen Kontaktstelle erklärte, lösche der Diensteanbieter vorsätzlich Daten, zu deren Sicherung er verpflichtet sei, so sei nach dem lettischen Strafgesetzbuch der Tatbestand der „Beweismittelvernichtung“ erfüllt.

2.9 Frage 9 - Pflichten juristischer Personen

Artikel 12 des Übereinkommens betrifft die rechtlichen Pflichten juristischer Personen. Nehmen wir an, das betreffende Ersuchen um Datensicherung beziehe sich auf einen bestimmten Computer, der in das Netzwerk eines großen Unternehmens eingebunden ist. Der Unternehmensleiter teilt der Nationalen Kontaktstelle offiziell mit, dass er dem Sicherungsersuchen nachkommen werde. Die erforderlichen Daten sind jedoch nicht mehr vorhanden, als sie benötigt werden.

• Besteht nach der türkischen Rechtsordnung hinsichtlich der Pflichten ein Unterschied zwischen Unternehmensleitern und

Internetdiensteanbietern?

• Welche rechtlichen Schritte kann die Nationale Kontaktstelle ergreifen, wenn der Unternehmensleiter dem Ersuchen um Datensicherung

nicht nachkommt?

Die Teilnehmer führten aus, die in Artikel 12 des Übereinkommens hervorgehobene Verantwortlichkeit juristischer Personen erfasse neben den durch das Gesetz Nr. 5651 verpflichteten Diensteanbietern auch sonstige juristische Personen des Privatrechts. Die Speicherung anderer Daten als derjenigen über den Internetzugang ist innerhalb juristischer Personen in der Regel dem Ermessen der IT-Abteilungen überlassen; ergänzend wurde angemerkt, für den Fall eines Sicherungsersuchens der Nationalen Kontaktstelle müsse die zivilrechtliche Verantwortlichkeit des betreffenden Unternehmens eindeutig bestimmt werden. Zwar erlegt das Gesetz über den Schutz personenbezogener Daten den juristischen Personen verschiedene Pflichten bei der Datenverarbeitung auf, doch überwog die Auffassung, dass die einschlägigen Bestimmungen nicht als Rechtsgrundlage für die Erfüllung eines Sicherungsersuchens herangezogen werden können. Ferner wurde darauf hingewiesen, dass das Übereinkommen im Zusammenhang mit Artikel 12 ausdrücklich als Vorbedingung nennt, dass die erforderliche Regelung im innerstaatlichen Recht getroffen ist, damit die juristische Person zur Verantwortung gezogen werden kann.

Die Teilnehmer verwiesen auf Art. 20 des türkischen Strafgesetzbuchs (TCK), wonach juristischen Personen keine strafrechtliche Verantwortlichkeit zugerechnet werden kann. Da die erforderliche Pflicht im innerstaatlichen Recht nicht durch eine gesetzliche Regelung festgelegt ist, bestand ferner Einigkeit darüber, dass die Maßregeln der Besserung und Sicherung nach Art. 133 TCK nicht angewandt werden können, wenn der Unternehmensleiter ein Ersuchen der Nationalen Kontaktstelle um Datensicherung ablehnt. Man gelangte daher zu der Überzeugung, dass der Nationalen Kontaktstelle kein rechtlicher Weg zur Verfügung steht, um juristische Personen zur Befolgung von Ersuchen um Datensicherung zu zwingen oder deren Befolgung sicherzustellen.

Der Vertreter der französischen Nationalen Kontaktstelle erklärte, in Bezug auf Ersuchen um Datensicherung bestehe hinsichtlich der rechtlichen Verantwortlichkeit kein Unterschied zwischen Internetdiensteanbietern und Unternehmensleitern. Der Vertreter der lettischen Nationalen Kontaktstelle führte dagegen aus, Unternehmensleiter seien nur für die Daten verantwortlich, die physisch im Unternehmen vorgehalten werden.

2.10 Frage 10 - Verweigerung der Zusammenarbeit

Im Zusammenhang mit einem möglichen Terroranschlag richtet die Nationale Kontaktstelle ein dringendes Ersuchen an den Staat A. Obwohl unsere Nationale Kontaktstelle in dem von der Kommission für Cyberkriminalität des Europarats geführten Kontaktverzeichnis eindeutig aufgeführt ist, behaupten die Behörden des Staates A, sie könnten sie nicht verifizieren, und verlangen, dass wir unser Ersuchen über den Kommunikationskanal von Interpol übermitteln, was einen langen Zeitraum in Anspruch nehmen wird. In der Zwischenzeit wird der Terroranschlag verübt, und es entstehen schwer und nicht wiedergutzumachende Schäden.

• Ist es in einem solchen Fall möglich, gegen die Kontaktstelle eines anderen Staates ein

rechtliches oder diplomatisches Verfahren einzuleiten?

• Nehmen wir an, die Kontaktstelle des Staates A beantworte Nachrichten an die E-Mail-Adresse oder Telefonanrufe, die sie nach dem Übereinkommen rund um die Uhr (24/7)

zu betreuen hat, überhaupt nicht oder erst sehr spät. Kann sich in diesem Szenario ein Unterschied im rechtlichen Vorgehen ergeben?

Die Teilnehmer betonten, hinsichtlich der möglichen rechtlichen und diplomatischen Maßnahmen bestehe kein Unterschied zwischen dem Fall, dass eine Nationale Kontaktstelle gegen ihre Pflicht zur raschen Beantwortung von Ersuchen verstößt, und dem Fall, dass sie überhaupt nicht antwortet. Es bestand Einigkeit darüber, dass bei einem Vorfall, der dem im Szenario geschilderten ähnelt, vor allem diplomatische Wege beschritten werden können. Unter Hinweis auf Artikel 45 des Übereinkommens führten die Teilnehmer aus, bei einer Streitigkeit zwischen zwei Vertragsstaaten könne die Angelegenheit einem Schiedsgericht, dem Europäischen Ausschuss für Strafrechtsfragen oder dem Internationalen Gerichtshof unterbreitet werden. Auch wenn dies wenig wahrscheinlich sei, könne, so wurde ausgeführt, zwischen dem eingetretenen Schaden und dem nachlässigen Verhalten der betreffenden Nationalen Kontaktstelle ein Zusammenhang hergestellt und im Rahmen der zivilrechtlichen Haftung Schadensersatz verlangt werden. Dabei bestanden Zweifel, ob in einem solchen Fall die Gerichte des Staates, in dem der Schaden eingetreten ist, oder die Gerichte des ausländischen Staates anzurufen wären.

Die Vertreter der Nationalen Kontaktstellen Frankreichs und Lettlands wiesen darauf hin, dass in einem solchen Fall andere Kommunikationswege wie Interpol, Europol und die Botschaften zur Verfügung stehen. Sie fügten hinzu, bei einem durch vorsätzliches Verhalten verursachten Schaden sei es auch möglich, diplomatische Wege zu beschreiten.

2.11 Frage 11- Anhalten verdächtiger Geldtransfers

Eine Person, die das SWIFT-System einer im Staat A ansässigen Bank mithilfe von Schadsoftware unter ihre Kontrolle gebracht hat, überweist die aus der Straftat erlangten Erträge auf Bankkonten in der Türkei. Um zu verhindern, dass das betreffende Geld vom Konto abgehoben oder in einen Drittstaat überwiesen wird, ersucht die Kontaktstelle des Staates A darum, die betreffenden Bankkonten umgehend einzufrieren und das Geld anschließend zurückzuerstatten. Bitte beantworten Sie die folgenden Fragen der Reihe nach.

Kann die Bank bei einem derart verdächtigen Vorgang ein Konto ohne Anweisung der Staatsanwaltschaft oder gerichtliche Entscheidung

aus eigener Initiative einfrieren?

• Falls Sie die Frage bejahen: Für welche Höchstdauer kann sie es einfrieren?

• Nehmen wir an, die Bank sperre das Konto vorläufig für Transaktionen, bis die gerichtliche Entscheidung

eingeht. In der Zwischenzeit droht der Kontoinhaber der Bank mit rechtlichen Schritten, um das Geld abheben zu können. Erörtern Sie eingehend die Befugnisse und Pflichten der Bank gegenüber dem Kontoinhaber und gegenüber den

Personen, die den verdächtigen Vorgang gemeldet haben.

• Ist es möglich, den Schaden der Opfer auf dem Rechtsweg auszugleichen, wenn die Bank das Konto nicht aus eigener Initiative einfriert und dadurch

ausländischen Opfern einen nicht rückgängig zu machenden finanziellen Verlust zufügt?

• Bei Ermittlungen wegen Cyberkriminalität wie im Beispielsfall ist es in der Phase des ersten Zugriffs

meist nicht möglich, sämtliche Beweise für die rechtswidrige Tat zu erheben. Die Justizbehörden gelangen zu der Überzeugung, dass dem Opferstaat keine ausreichenden Beweise für den Betrug vorliegen, und treffen keine Entscheidung oder ordnen die Aufhebung der vorläufigen Einfrierungsmaßnahme an. Welche Voraussetzungen und Grenzen gelten nach den geltenden innerstaatlichen Regelungen für die Beschränkung der Ausübung eines finanziellen Rechts?

Falls Sie diese für unzureichend halten, teilen Sie bitte Ihre Vorschläge mit.

• Alles verläuft ordnungsgemäß, und das Bankkonto wird durch eine entsprechende gerichtliche Entscheidung eingefroren.

Das Rechtshilfeersuchen zu dem Ermittlungsverfahren geht jedoch in der Türkei nicht ein. Wie lange muss die Bank warten, bis das betreffende Konto wieder zur Nutzung freigegeben wird? Sollte das Konto Ihrer Ansicht nach mit Ablauf einer bestimmten Frist von selbst wieder aktiv werden, oder sollte der Kontoinhaber einen persönlichen Antrag stellen müssen?

Die Teilnehmer führten für das Einfrieren von Konten durch die Banken auf eine Verdachtsmeldung hin zahlreiche Rechtsgrundlagen an. Hervorgehoben wurde, dass die allgemeinen Verträge der Banken mit ihren Kunden Klauseln darüber enthalten, in welchen Fällen die Bank Konten unmittelbar einfrieren und schließen kann, und dass die Banken in der Praxis überwiegend gestützt auf solche vertraglichen Befugnisse tätig werden. Auch die Dauer, für die die Bank Konten einfrieren kann, richtet sich nach den Vertragsbestimmungen und kann unbefristet sein. Ferner wurde darauf hingewiesen, dass Art. 7 des Gesetzes Nr. 5549 „über die Verhinderung der Geldwäsche“ die Banken verpflichtet, bei verdächtigen Transaktionen dem Untersuchungsausschuss für Finanzkriminalität (MASAK) Meldung zu erstatten und die betreffenden Konten anschließend für die Dauer von 7 Tagen einzufrieren. Darüber hinaus, so wurde ausgeführt, könnten Bankkonten auch nach Art. 128 der türkischen Strafprozessordnung Nr. 5271 (CMK), nach dem Gesetz Nr. 6415 „über die Verhinderung der Terrorismusfinanzierung“ und nach dem Bankengesetz Nr. 5411 beschlagnahmt oder die Verfügungsbefugnis des Kontoinhabers beschränkt werden.

Es wurde ausgeführt, eine Person, deren Konto die Bank von Amts wegen eingefroren hat, bevor eine gerichtliche Entscheidung ergangen ist, könne den Rechtsweg beschreiten. Erleidet ein Dritter, der nicht Partei des Vertrags mit der Bank ist, einen Schaden, haftet die Bank für den gesamten Betrag des nicht eingefrorenen Kontos sowie für die aufgelaufenen Zinsen und den weitergehenden Verzugsschaden. In der Praxis werden die Banken, statt eine so schwere Haftung zu übernehmen, das betreffende Konto einfrieren und die Haftung dafür vorziehen, dass dieses Konto eine gewisse Zeit lang nicht genutzt werden kann. Die Person, deren Konto eingefroren wurde, kann gestützt auf die Vorschriften des türkischen Obligationengesetzes über die unerlaubte Handlung eine Schadensersatzklage erheben. Zahlreiche Teilnehmer betonten jedoch, bei einer Nutzung von Bankkonten aus rechtswidrigen Beweggründen würden die Justizbehörden zugunsten der Bank entscheiden, weshalb in der Praxis aus dem Einfrieren von Konten keine zivil- und strafrechtliche Verantwortlichkeit entstehe. In gleicher Weise können auch ausländische Personen, die der Nationalen Kontaktstelle den verdächtigen Vorgang gemeldet haben und einen Schaden erleiden, weil die Bank das betreffende Konto nicht von Amts wegen eingefroren hat, Schadensersatz verlangen.

Die Maßnahme des Einfrierens des betreffenden Bankkontos kann durch gerichtliche Entscheidung aufgehoben werden, und die Bank hat keine Möglichkeit, sich dieser Entscheidung mit rechtlichen Mitteln zu widersetzen. In einem solchen Fall ist die Entscheidung zudem ohne Antrag des Kontoinhabers zu vollziehen und das Konto unverzüglich zur Nutzung freizugeben. Ist die Maßnahme dagegen nicht durch gerichtliche Entscheidung aufgehoben worden, darf das betreffende Konto auf Antrag des Kontoinhabers keinesfalls zur Nutzung freigegeben werden, solange das Gericht nicht anders entscheidet.

Der Vertreter der französischen Nationalen Kontaktstelle erklärte, den Polizeibehörden sei außerhalb von Anordnungen der Justizbehörden keine Befugnis zum Einfrieren von Bankkonten eingeräumt. Er fügte hinzu, das Einfrieren sei auf den Geldbetrag beschränkt, der Gegenstand des verdächtigen Vorgangs ist, und der Kontoinhaber könne das betreffende Konto weiter nutzen. Die Banken dürfen, abgesehen von den Ausnahmen der Art. 561 und 562 des französischen Währungs- und Finanzgesetzbuchs (COMFI), Konten nicht von Amts wegen einfrieren. In solchen Ausnahmefällen kann die Bank ein Konto von Amts wegen einfrieren, bis eine gerichtliche Anordnung erwirkt ist, sofern die Voraussetzungen erfüllt sind, dass die für Finanzkriminalität zuständige Stelle des ersuchenden Staates mit ihrem französischen Pendant Kontakt aufnimmt und das betreffende Ersuchen von der französischen Bankenvereinigung (Interbank Community) gebilligt wird. Die Banken können diesen Weg aufgrund ihrer Verpflichtungen aus internationalen Übereinkünften auch untereinander beschreiten. Kommen die Banken ihrer Pflicht zur Feststellung verdächtiger Vorgänge nicht nach, sind sie den Geschädigten gegenüber nach der LCBFT (Lutte Contre Blanchiment et Financement du Terrorisme) zivil- und strafrechtlich verantwortlich. Der Kunde hat das Recht, gegen das Einfrieren des Kontos einen Rechtsbehelf einzulegen; stellt sich heraus, dass der Kontoinhaber bei dem verdächtigen Vorgang gutgläubig war, werden die durch das Einfrieren entstandenen Schäden vom Staat ersetzt. Schließlich bedarf es der Einleitung des Rechtshilfeverfahrens, da das infolge des verdächtigen Vorgangs auf dem Konto eingegangene Geld nur aufgrund einer gerichtlichen Entscheidung an den ersuchenden Staat zurücküberwiesen werden kann.

Der Vertreter der lettischen Nationalen Kontaktstelle erklärte, bei verdächtigen Vorgängen könne ein Bankkonto bis zum Ergehen einer gerichtlichen Entscheidung 45 Tage lang eingefroren werden. Er fügte hinzu, werde bis zum Ablauf dieser Frist keine gerichtliche Maßnahme getroffen, werde das Konto von selbst wieder zur Nutzung freigegeben. Für Schäden, die dadurch entstehen, dass ein von einem verdächtigen Vorgang betroffenes Konto nicht eingefroren wird, könnten die Geschädigten, so wurde ausgeführt, nach dem „Gesetz über die Einziehung unrechtmäßig erlangter Vermögenswerte“ Ersatz verlangen.

2.12 Frage 12 – Einfrieren verdächtiger Bankkonten von Amts wegen durch die Polizeibehörden

In einigen Staaten können die Polizeibehörden bei Geldwäsche, Terrorismusfinanzierung und in dringenden Fällen Bankkonten von Amts wegen einfrieren.

• Bitte äußern Sie sich zu den Voraussetzungen und Grenzen der Ausübung einer solchen möglichen Befugnis unter dem Gesichtspunkt ihrer Vereinbarkeit mit der türkischen Rechtsordnung.

• Welche Rechtsvorschriften oder welche Praxis lassen sich entwickeln, damit zur wirksamen Bekämpfung der Computerkriminalität die rechtlichen Verfahren

rasch durchlaufen und rechtzeitig und am richtigen Ort Präventivmaßnahmen ergriffen werden können?

Die Mehrzahl der Teilnehmer erklärte, der Polizei könne für dringende Fälle die Befugnis eingeräumt werden, Bankkonten von Amts wegen einzufrieren. Sie fügten jedoch hinzu, im Einklang mit dem System des türkischen Strafrechts müsse ein wirksamer Weg gerichtlicher Kontrolle vorgesehen werden, indem die auf eine solche Befugnis gestützten Verwaltungsentscheidungen binnen 24 Stunden den Justizbehörden vorgelegt werden. Die Teilnehmer gingen auch auf die gegenwärtige Praxis ein. Nach dem Gesetz Nr. 5549 melden die Banken verdächtige Transaktionen dem MASAK. Die Berichte, die zu den für höchstens 7 Tage eingefrorenen Bankkonten erstellt werden, werden den Staatsanwaltschaften übermittelt. Nach Art. 128 CMK entscheidet über die Beschlagnahme im Ermittlungsverfahren der Friedensstrafrichter, im gerichtlichen Verfahren das Gericht und bei Gefahr im Verzug der Staatsanwalt, der die Entscheidung anschließend dem zuständigen Richter vorzulegen hat. Die Teilnehmer wiesen ferner darauf hin, dass auch ein nach dem Gesetz Nr. 6415 gebildeter Verwaltungsausschuss mit ähnlichen Befugnissen ausgestattet und, anders als in der bestehenden Praxis, der gerichtlichen Kontrolle entzogen ist.

Der Vertreter der lettischen Nationalen Kontaktstelle erklärte, Ersuchen im Zusammenhang mit Geldwäsche seien, sofern der ersuchende Staat Mitglied der Egmont-Gruppe ist, an die lettische Stelle für Finanzkriminalität zu richten, oder es sei ein Rechtshilfeersuchen zu übermitteln.

2.13 Frage 13 – Erfordernis förmlicher Strafanträge ausländischer Opfer

Nach Art. 158 Abs. 1 Buchst. f TCK ist der Betrug, der unter Verwendung von informationstechnischen Systemen, Banken oder Kreditinstituten als Tatmittel begangen wird, als Qualifikation des Grunddelikts ausgestaltet. In der Praxis werden, insbesondere zu Beginn des Ermittlungsverfahrens, die Aussagen der ausländischen Opfer verlangt; werden sie nicht beigebracht, wird keine öffentliche Klage erhoben. Erörtern Sie die Gründe dieser Praxis und ihre Vereinbarkeit mit der türkischen Rechtsordnung.

Die Mehrheit der Teilnehmer unterstrich, dass die Verfolgung der nach Art. 158 Abs. 1 Buchst. f TCK begangenen Straftaten nicht von einem Strafantrag abhängt, und erklärte, die Ermittlungen seien von Amts wegen zu führen, ohne dass es einer Aussage des Opfers bedürfe. Einige Teilnehmer wiesen darauf hin, dass sich die fehlerhafte Praxis herausgebildet habe, Verfahren, in denen sich das Opfer oder der Anzeigeerstatter im Ausland befindet, einzustellen. Ein Teilnehmer vertrat die gegenteilige Auffassung. Er führte aus, der Tatbestand des Betrugs setze voraus, dass der Beschuldigte eine Täuschung begeht und der Anzeigeerstatter einem Irrtum erliegt, und machte geltend, ohne die Aussage des Opfers lasse sich nicht entscheiden, ob das Merkmal des Irrtums erfüllt ist. Die bestehende Praxis verstoße daher nicht gegen die türkische Rechtsordnung.

2.14 Frage 14 - Verwendung von Daten nach Ablauf der Speicherfrist

In der Türkei müssen Internetdiensteanbieter Verkehrsdaten nach dem Gesetz Nr. 5651 zwischen 6 Monaten und 2 Jahren speichern. Nehmen wir an, das betreffende Rechtshilfeersuchen gehe lange nach Ablauf der Höchstspeicherfrist in unserem Land ein. Der Internetdiensteanbieter hat die Daten jedoch nicht gelöscht, und unsere Justizbehörden haben die gespeicherten Daten dem ersuchenden Staat übermittelt.

a. Der Beschuldigte macht geltend, diese Daten hätten ihre Eignung verloren, in dem gegen ihn geführten Verfahren als Beweismittel verwendet zu werden, und müssten daher vor Gericht als unverwertbar behandelt werden. Erörtern Sie unter dem Gesichtspunkt des Datenschutzrechts und des Strafverfahrensrechts dieses

Vorbringen des Beschuldigten.

b. Anschließend erhebt der Beschuldigte gegen den Internetdiensteanbieter Klage mit der Begründung, seine personenbezogenen Daten seien zu Unrecht gespeichert worden. Trifft den Diensteanbieter nach den Rechtsvorschriften unseres Landes und nach der Datenschutz-Grundverordnung der Europäischen Union (DSGVO) eine rechtliche Verantwortlichkeit?

c. Diesmal löscht der Internetdiensteanbieter die gesicherten Daten automatisch, sobald die Höchstspeicherfrist abgelaufen ist. Unmittelbar nach der Löschung geht das Rechtshilfeersuchen ein. Kann der ersuchende Staat dem Internetdiensteanbieter einen Vorwurf mit der Begründung machen, die betreffenden Daten hätten, weil sie strafrechtliche Ermittlungen betreffen, von den Pflichten zum Schutz personenbezogener Daten ausgenommen werden müssen? Ist das Vorgehen im Hinblick auf das Gesetz über den Schutz personenbezogener Daten rechtswidrig?

Zu Buchstabe a wurde die Einschätzung vertreten, da das Sicherungsersuchen aus dem Ausland stamme, komme es darauf an, ob Daten, die nach Ablauf der gesetzlichen Höchstspeicherfrist erlangt worden sind, nach den Gesetzen des ersuchenden Staates zugelassen werden. Ein Teilnehmer, der ein Beispiel aus dem deutschen Strafrechtssystem anführte, erklärte, in Deutschland werde unter Abwägung zwischen dem verletzten und dem geschützten Recht entschieden; Daten, die in der Türkei trotz Ablaufs der Höchstspeicherfrist nicht gelöscht worden sind, könnten von Deutschland als Beweismittel zugelassen werden. Überträgt man die Konstellation des Buchstaben a auf einen Beschuldigten in der Türkei, gelangen also Daten, die ein anderer Staat länger als 2 Jahre gespeichert hat, an das Gericht, so gilt der Beweis nach Art. 217 des Gesetzes Nr. 5271 (CMK) nicht als rechtmäßig erlangt. Ein Teilnehmer, der sich dieser herrschenden Auffassung nicht anschloss, machte gestützt auf die Annahmen, dass die Beweismittel im Zeitpunkt ihrer Speicherung rechtmäßig waren und die Daten nicht gefälscht sind, geltend, die Beweiseignung gehe auch nach Ablauf der Höchstspeicherfrist nicht verloren. Unter den Teilnehmern bildete sich ferner die Mehrheitsauffassung heraus, dass die Diensteanbieter hinsichtlich der über die Höchstfrist hinaus gespeicherten Daten den Tatbestand der „Nichtvernichtung von Daten“ nach Art. 138 TCK verwirklichen. Einige Teilnehmer vertraten jedoch unter Hinweis auf den Unterschied zwischen den Begriffen der Vernichtung und der Löschung von Daten im Gesetz Nr. 6698 die Gegenauffassung. Nach der auf der Grundlage dieses Gesetzes erlassenen Verordnung können nach einer Löschung die Auftragsverarbeiter nicht mehr auf die betreffenden Daten zugreifen, nach einer Vernichtung dagegen niemand mehr. Der Teilnehmer schlug vor, der Auftragsverarbeiter könne – wie im Obligationengesetz – für die Vernichtung der Daten eine Frist von 10 Jahren festlegen, und die Justizbehörden könnten auf die nach Ablauf von 2 Jahren gelöschten Daten bis zu 10 Jahre lang zugreifen. Auf diese Weise würden die Diensteanbieter, weil die Daten nicht vernichtet werden, nicht nach Art. 138 TCK zur Verantwortung gezogen, und zudem erhielten die Justizbehörden die Möglichkeit, in den sich über viele Jahre erstreckenden Ermittlungs- und Gerichtsverfahren auf digitale Beweismittel zuzugreifen. Auf derselben Linie bewegte sich die Diskussion über die unter Buchstabe b angesprochenen Rechte des Beschuldigten in Bezug auf Daten, die nach Ablauf von 2 Jahren nicht gelöscht bzw. nicht vernichtet worden sind. Während die Mehrzahl der Teilnehmer geltend machte, der Tatbestand der „Nichtvernichtung von Daten“ sei erfüllt, vertrat ein Teilnehmer die Auffassung, eine längere Speicherung der Daten sei rechtmäßig, wenn sie in der Unternehmenspolitik transparent festgelegt ist und – wie im Beispielsfall – vernünftige Gründe vorliegen. Zu Buchstabe c bestand vollständige Einigkeit darüber, dass den Diensteanbieter keine rechtliche Verantwortlichkeit trifft, weil er die im Gesetz Nr. 5651 bestimmten Fristen eingehalten und die betreffenden Daten nach Ablauf der 2-Jahres-Frist gelöscht hat.

Die lettische Nationale Kontaktstelle erklärte, digitale Daten würden von den Diensteanbietern höchstens 18 Monate gespeichert, und theoretisch dürften die betreffenden Daten nach Ablauf dieser Frist nicht als Beweismittel gegen Beschuldigte verwendet werden. Der Vertreter fügte hinzu, über die Frage, ob Daten auch nach Überschreitung der Speicherfrist Beweiswert haben, hätten die Justizbehörden zu entscheiden; ergehe eine solche gerichtliche Entscheidung, entfalle die zivil- und strafrechtliche Verantwortlichkeit des Diensteanbieters. Werden Daten, die nicht als rechtmäßig anerkannt sind, nach Ablauf der Höchstfrist gespeichert und verwendet, steht den Beschuldigten von Rechts wegen ein Rechtsbehelf zu; in der Praxis ist ein vergleichbarer Fall jedoch bislang nicht beobachtet worden. Der Vertreter der französischen Nationalen Kontaktstelle betonte ergänzend, die Grenze der mit anderen Staaten zu teilenden Informationen werde durch die DSGVO gezogen, und bei einem Verstoß gegen die DSGVO könnten den Diensteanbietern schwere Sanktionen drohen.

2.15 Frage 15 – Erhebung von Verkehrsdaten in Echtzeit und teilweise Weitergabe

Die Artikel 17 und 20 des Übereinkommens gestatten den Vertragsparteien, Verkehrsdaten in Echtzeit zu erheben und teilweise weiterzugeben. Artikel 21 gestattet den Vertragsparteien zudem, Inhaltsdaten zu erlangen.

Nehmen wir an, eine organisierte kriminelle Vereinigung führe im Forum einer Website, auf die nur ihre Mitglieder zugreifen, Gespräche über illegalen Waffenhandel. Der in unserem Land befindliche Server der Website löscht die Chatdaten automatisch fünf Minuten nach Ende der Kommunikation der Mitglieder. Der Staat A benötigt Verkehrsdaten, um die in seinem Hoheitsgebiet befindlichen Mitglieder dieser kriminellen Organisation zu identifizieren.

• Ist es rechtlich möglich, in unserem Land Verkehrsdaten in Echtzeit zu erheben und denjenigen Teil dieser Informationen, der zur Ermittlung von Tatverdächtigen und Opfern im Ausland beiträgt,

im Rahmen der dringenden Unterstützung an andere Kontaktstellen weiterzugeben?

• Falls Sie die Frage bejahen: Besteht die Befugnis zur Anwendung dieser Sicherheitsmaßnahme nur bei den in Art. 135 der türkischen Strafprozessordnung (CMK)

aufgezählten Straftaten, oder kann ihr Anwendungsbereich weiter gefasst werden?

• Falls Sie die Frage verneinen: Welche Rechtsvorschriften und welche Praxis müssten hierzu

entwickelt werden?

Zur Frage, ob die Erhebung von Verkehrsdaten in Echtzeit unter Art. 135 CMK fällt, wurden unterschiedliche technische, organisatorische und rechtliche Auffassungen vertreten. Die Mehrzahl der Teilnehmer machte geltend, für andere als die in dieser Vorschrift aufgezählten Katalogstraftaten könne die Maßnahme der Telekommunikationsüberwachung nicht angeordnet werden. Ein Teilnehmer führte dagegen aus, da Verkehrsdaten keine Angaben über den Inhalt der Kommunikation enthielten, komme die in Absatz 5 der Vorschrift umschriebene Maßnahme der Feststellung der Kommunikation in Betracht. Die in der Praxis auch unter der Bezeichnung HTS bekannte Maßnahme der Feststellung der Kommunikation, die die Anrufdaten zu Telefongesprächen und die Angaben zu den Basisstationen umfasst, mit denen die Zielrufnummern verbunden waren, kann auch außerhalb der Katalogstraftaten des Art. 135 CMK eingesetzt werden. Ein anderer Teilnehmer ging davon aus, dass die Daten im Beispielsfall – wenn auch nur 5 Minuten lang – auf dem Server gespeichert werden, und wies darauf hin, dass der Vorgang rechtlich nicht mehr als Echtzeitkommunikation eingestuft werden könne und der betreffende Server nach Art. 134 CMK beschlagnahmt und einer IT-forensischen Untersuchung unterzogen werden müsse. Es wurde ausgeführt, nach der gegenwärtigen Rechtslage sei ohne Gesetzesänderung nicht einmal eine teilweise Weitergabe von Echtzeit-Verkehrsdaten an andere Nationale Kontaktstellen möglich; der Weg des Rechtshilfeersuchens müsse zwingend beschritten werden. In technischer und organisatorischer Hinsicht bezeichneten die Teilnehmer es als die größten Hindernisse, dass in- und ausländische Inhaltsanbieter nicht über hinreichende technische Fähigkeiten oder die Bereitschaft zur Zusammenarbeit verfügen, um Verkehrsdaten in Echtzeit zu erheben, und dass Daten und Anwendungen wegen der weit verbreiteten Cloud-Computing-Lösungen über verschiedene Staaten verteilt sind. Zum Zugriff auf Daten in der Cloud zum Zweck der IT-forensischen Untersuchung fügte ein Teilnehmer hinzu, Art. 17 der Verordnung über gerichtliche und präventive Durchsuchungen ermächtige die Polizei zur Durchsuchung und Sicherung entfernter Computerdateien; da die CMK jedoch keine vergleichbare Ermächtigung enthalte, sei diese Frage rechtlich umstritten und unter dem Gesichtspunkt der nationalen Souveränität bedenklich.

Die Vertreter der Nationalen Kontaktstellen Frankreichs und Lettlands erklärten, in ihren Ländern sei die Erhebung von Verkehrsdaten in Echtzeit möglich. Das französische innerstaatliche Recht lässt diese Maßnahme bei Ermittlungen zur Bekämpfung von Terrorismus und organisierter Kriminalität zu und stuft Verkehrsdaten, die regelmäßig bei einem Diensteanbieter angefordert werden, zudem nicht als personenbezogene Daten ein.

2.16 Frage 16 – Telekommunikationsüberwachung zur Erlangung von Inhaltsdaten

Nehmen Sie an, eine andere Gruppe der organisierten Kriminalität erzwinge den entgeltlichen Live-Verkauf sexueller Darstellungen kleiner Kinder über VoIP-Technologien (Voice-over-IP) (Webcam Child Prostitution/Live Streaming Child Abuse on Demand). Anders als bei herkömmlichen Straftaten ist der Videochat zwischen Opfer und Beschuldigtem das einzige Element, das zugleich die Tathandlung und den Beweis der Tat bildet. Sofern nicht einer der Beteiligten das Gespräch mit irgendeiner Anwendung aufzeichnet, lässt sich kein weiterer Beweis für die Tathandlung finden. In diesem Beispiel befinden sich Opfer und Täter in verschiedenen Staaten, der Server des betreffenden VoIP-Dienstes dagegen in unserem Land. Da VoIP-Dienste eng mit dem Recht und der Freiheit der Kommunikation der Einzelnen zusammenhängen, erhebt der Internetdiensteanbieter automatisch nur die Bestandsdaten. Der Staat A ersucht uns, zu einem bestimmten Beschuldigten Inhaltsdaten in Echtzeit zu erheben und an ihn weiterzugeben, um die Opfer zu ermitteln und den einzigen Beweis für den live im Internet begangenen Kindesmissbrauch zu sichern.

• Derzeit verfügen alle Staaten über gesetzliche Befugnisse zur Telekommunikationsüberwachung. Besteht nach der türkischen Rechtsordnung, insbesondere nach den Art. 135 und 140 CMK,

eine hinreichende Rechtsgrundlage, um eine derartige Sicherheitsmaßnahme

in Online-Umgebungen zu ergreifen?

• Ist es möglich, diese mit außerordentlichen Maßnahmen erlangten Daten rasch weiterzugeben, um einen möglichen physischen Kindesmissbrauch im Staat A

zu verhindern?

• Nehmen wir an, die Rechtsgrundlage bestehe bzw. sei geschaffen worden und die erforderliche gerichtliche Entscheidung

sei dem betreffenden Diensteanbieter mitgeteilt worden. Der Diensteanbieter erklärt, das VoIP-System beruhe auf den Prinzipien der Ende-zu-Ende-Verschlüsselung (end-to-end encryption) und des verteilten Peer-to-Peer-Netzwerks (P2P Distributed Network), die den Eingriff eines Dritten, auch seinen eigenen, unmöglich machen, und die Befolgung der gerichtlichen Entscheidung sei daher tatsächlich unmöglich. Bitte teilen Sie Ihre Auffassung zu den praktischen und rechtlichen Regelungen mit, die in einem solchen Fall

in Betracht kommen.

Die Teilnehmer erklärten, die Erhebung von Inhaltsdaten in Echtzeit sei theoretisch im Rahmen des Art. 135 CMK möglich; in der Praxis bestünden jedoch technische und praktische Gegebenheiten, die dies unmöglich machten. Ein Teilnehmer machte geltend, da die Kommunikationsdaten verschlüsselt seien, könne auch nach Art. 134 CMK vorgegangen werden. Ein weiterer Teilnehmer legte ausführlich dar, welche technischen Voraussetzungen zusammen erfüllt sein müssen, damit in die in der Türkei erzeugten Inhalte populärer VoIP-Anwendungen (Voice-over-IP) und Social-Media-Plattformen mit Sitz im Ausland eingegriffen werden kann. Danach müssen die Inhalte und der Datenverkehr der betreffenden Anwendungen auf Server in der Türkei umgeleitet und dort vorgehalten werden und zugleich die Quellcodes dieser Software erlangt werden. Zahlreiche Teilnehmer wiesen darauf hin, dass eine solche Möglichkeit sehr fernliegend sei und, selbst wenn sie verwirklicht würde, in der Praxis nicht die gewünschte Wirkung entfalten könne. Der Moderator ging allgemein auf die in den letzten Jahren heftiger gewordene Verschlüsselungsdebatte ein und informierte kurz über die Vorschläge, den Polizeibehörden in bestimmten Fällen Zugang zu den Anwendungen zu verschaffen, die bei der Kommunikation verwendeten privaten Schlüssel bei einer unabhängigen Stelle zu hinterlegen und den Diensteanbietern durch gesetzliche Regelungen eine Auskunftspflicht aufzuerlegen. Die Mehrzahl der Teilnehmer betonte jedoch, dass es derzeit Hunderte ähnlicher Kommunikationsanwendungen gibt und die Nutzer rasch auf alternative Anwendungen ausweichen, ja sogar neue technische Lösungen entwickeln könnten.

Die Teilnehmer führten aus, hinsichtlich der Weitergabe von Echtzeit-Inhaltsdaten zur Ermittlung des Beschuldigten und des Opfers sowie zur Unterbindung eines andauernden Missbrauchsfalls fehle es sowohl im Text des Übereinkommens als auch im innerstaatlichen Recht an einer gesetzlichen Regelung. Daher wurde es als sachgerechter angesehen, zunächst ein Sicherungsersuchen zu stellen und die Informationen erst dann weiterzugeben, wenn das Rechtshilfeersuchen eingegangen ist. Ein Teilnehmer betonte, das Übereinkommen lasse in schwerwiegenden Fällen wie dem des Beispiels den Informationsaustausch zu; würden im innerstaatlichen Recht die erforderlichen gesetzlichen Regelungen getroffen, könne ein Austausch nachrichtendienstlicher Erkenntnisse in begrenztem Umfang aufgrund gerichtlicher Entscheidung möglich werden. Derselbe Teilnehmer brachte auch zum Ausdruck, dass die geltenden Rechtsvorschriften für ein derart rasches Eingreifen nicht geeignet sind. Ein anderer Teilnehmer wies darauf hin, dass Kommunikationsinhalte und deren Niederschriften besonderen Verfahren unterliegen und dass im Fall der Weitergabe von Inhalten insbesondere bei der Einhaltung der Vernichtungspflicht Schwierigkeiten auftreten können.

2.17 Frage 17 - Unaufgeforderte Übermittlung von Informationen

Nachrichtendienstliche Stellen gelangen in den Besitz von Chatprotokollen zweier im Staat A lebender Mitglieder einer terroristischen Organisation. Die Gespräche deuten darauf hin, dass diese beiden Personen einen Anschlag auf einen Flughafen in unserem Land planen.

• Artikel 26 des Übereinkommens gibt den Vertragsparteien das Recht, Informationen von sich aus zu übermitteln. Sind Sie der Auffassung, dass auch nachrichtendienstlich gewonnene

Informationen in diesem Rahmen gewürdigt und weitergegeben werden können? Oder ist dieser Artikel nur im Rahmen von Ermittlungsverfahren und gerichtlichen Verfahren heranzuziehen?

• Nehmen wir an, auch der Staat A habe dieselbe Information durch seinen Nachrichtendienst über Informanten

erlangt. Der Staat A nimmt Kontakt zu dem Internetdiensteanbieter auf und erhält die Bestandsdaten der beiden Terroristen. Der Nationalen Kontaktstelle erteilt der Staat A jedoch keinerlei Auskunft in dieser Sache. Nach einem tödlichen Anschlag erfährt die Nationale Kontaktstelle über den Internetdiensteanbieter von dem Versäumnis des Staates A in diesem Fall. Welche rechtlichen und diplomatischen Schritte können gegen den Staat A unternommen werden?

Die Mehrzahl der Teilnehmer vertrat die Auffassung, Artikel 26 des Übereinkommens lasse auch die Weitergabe von Informationen nachrichtendienstlicher Art zu. Ein Teilnehmer betonte, Gegenseitigkeit und guter Glaube seien die beherrschenden Grundsätze des Völkerrechts; in den Grenzen, die diese universellen Grundsätze ziehen, könnten Informationen zu jeder Art strafrechtlicher Ermittlungen oder nachrichtendienstlicher Tätigkeit weitergegeben werden. Einige Teilnehmer führten aus, der im Übereinkommen verwendete Ausdruck „Ermittlungen (investigation)“ könne nachrichtendienstliche Tätigkeiten ausschließen. Der Moderator fügte hinzu, anders als in unserem Land werde in vielen Staaten auch die nachrichtendienstliche Informationsgewinnung dem Begriff der strafrechtlichen Ermittlungen zugeordnet. Ein Teilnehmer, der die Gegenauffassung vertrat, erklärte, die Informationen, deren Weitergabe Artikel 26 vorsieht, müssten aus strafrechtlichen Ermittlungen stammen. Er fügte hinzu, diese Ermittlungen müssten zudem die in den Artikeln 2 bis 11 des Übereinkommens umschriebenen Cyberstraftaten betreffen; bei einem terroristischen Vorfall wie im Beispiel könnten anderen Nationalen Kontaktstellen daher keine Informationen nach Artikel 26 übermittelt werden. Zu der Frage, was gilt, wenn infolge der unterbliebenen Weitergabe kritischer Informationen ein Schaden entsteht, äußerten die Teilnehmer unterschiedliche Auffassungen. Einige Teilnehmer erklärten, gegenüber ausländischen Kontaktstellen könnten die diplomatischen Kanäle, gegenüber der Nationalen Kontaktstelle dagegen allgemeine Vorschriften des türkischen Strafgesetzbuchs (TCK) wie die „Vernachlässigung der Amtspflicht“ zur Anwendung gebracht werden. Ein Teilnehmer machte dagegen geltend, die betreffende Vorschrift erlege der Nationalen Kontaktstelle keine Pflicht auf, sondern räume ihr hinsichtlich der Weitergabe ein Ermessen ein, sodass keinerlei strafrechtliche Verantwortlichkeit entstehe.

Der Vertreter der lettischen Nationalen Kontaktstelle erklärte, die lettischen Gesetze ließen den Austausch nachrichtendienstlicher Informationen zu, und zeigte die Grenzen dieser Befugnis für die Diensteanbieter und die Nationale Kontaktstelle auf. In Fällen, in denen Gefahr im Verzug besteht und schwer oder nicht wiedergutzumachende Schäden drohen, dürfen der Diensteanbieter und die Nationale Kontaktstelle Informationen in dem Umfang übermitteln, der erforderlich ist, um dies zu verhindern. Werden mehr Informationen als erforderlich übermittelt oder liegt eine andere Form des Missbrauchs vor, entsteht unter dem Gesichtspunkt des Schutzes personenbezogener Daten eine zivil- und strafrechtliche Verantwortlichkeit. Der Vertreter der französischen Nationalen Kontaktstelle verwies auf den Wortlaut des Übereinkommens, erklärte, der Austausch nachrichtendienstlicher Informationen sei keine Pflicht, und machte auf das Bestehen alternativer Kommunikationskanäle wie Interpol aufmerksam.

2.18 Frage 18 - Wirksamere Zusammenarbeit mit Internetdiensteanbietern

Die Türkei betreibt im Rahmen bilateraler und multilateraler Übereinkünfte internationale polizeiliche Zusammenarbeit mit anderen Staaten und mit internationalen Polizeiorganisationen wie Interpol. Das Budapester Übereinkommen ist jedoch ein außergewöhnlicher Text, der vor allem zum Zweck der umgehenden Sicherung digitaler Beweismittel und der raschen Ermittlung von Opfern und Beschuldigten schnellere Wege der Entscheidungsfindung und des Informationsaustauschs vorsieht als die herkömmlichen Methoden. Bitte äußern Sie sich zu den folgenden Punkten im Hinblick auf rechtliche und organisatorische Lösungen, die es ermöglichen, eine wirksame internationale polizeiliche Zusammenarbeit, wie sie das Übereinkommen vorsieht, zu verwirklichen und Informationen bzw. Daten so schnell wie möglich auszutauschen.

• In einigen Staaten verfügen die Nationalen Kontaktstellen über schnelle Kommunikationskanäle – überwiegend per E-Mail – zu sämtlichen inländischen

Diensteanbietern. Ist die Einrichtung eines solchen Systems in unserem Land rechtlich und verwaltungsmäßig

möglich? Falls nicht: Welche Änderungen müssten vorgenommen werden?

• Die Nationale Kontaktstelle kann von einigen ausländischen Internetdiensteanbietern

unmittelbar Informationen erhalten. Zudem wird ein Gesetzentwurf erörtert, der es den Polizeibehörden der Mitgliedstaaten der Europäischen Union ermöglichen soll, von Internetdiensteanbietern in anderen Mitgliedstaaten

unmittelbar Informationen anzufordern.

Legen Sie in diesem Zusammenhang dar, ob es angemessen ist, dass eine ausländische Sicherheitsbehörde von einem in der Türkei ansässigen Internetdiensteanbieter unmittelbar Informationen anfordern kann, und welche Voraussetzungen und

Grenzen hierfür gelten.

Der Moderator eröffnete die Diskussion mit dem Hinweis, dass einige in den USA ansässige Internetdiensteanbieter in der Praxis ausländischen Polizeibehörden unmittelbar Bestandsdaten zur Verfügung stellen können und dass zudem die Kommunikation zwischen den in den USA ansässigen Internetdiensteanbietern und der Nationalen Kontaktstelle der USA überwiegend per E-Mail erfolgt.

Sämtliche Teilnehmer äußerten Bedenken gegen einen unmittelbaren Informationsfluss von in der Türkei ansässigen Diensteanbietern an eine ausländische Nationale Kontaktstelle. Ein Teilnehmer, der geltend machte, die in den USA ansässigen Internetdiensteanbieter richteten derartige unmittelbare Kommunikationskanäle ein, weil sie aus kommerziellem Gewinnstreben handelten, vertrat die Auffassung, für eine solche Praxis bestehe kein Bedarf, weil die in der Türkei ansässigen Diensteanbieter in den USA oder in anderen Staaten keinen vergleichbar großen Kundenstamm hätten.

Die große Mehrheit der Teilnehmer führte aus, die Informationen, die Gegenstand des internationalen Austauschs sind, müssten zahlreichen sensiblen Prüfungen – etwa im Hinblick auf die Gegenseitigkeit, die Außenpolitik des Landes und die Vereinbarkeit mit dem innerstaatlichen Recht – unterzogen werden; es sei daher bedenklich, die gerichtlichen und diplomatischen Kanäle vollständig auszuschalten. Ein Teilnehmer betonte, vermutlich unterrichteten auch die in den USA ansässigen Internetdiensteanbieter häufig die Behörden im eigenen Land; werde eine vergleichbare Praxis für die Türkei eingeführt, müsse auch ein externer Kontrollmechanismus für den unmittelbaren Informationsaustausch geregelt werden. Ein anderer Teilnehmer führte aus, die betreffende Befugnis hänge unmittelbar mit den Souveränitätsrechten der Staaten zusammen; eine einseitig im innerstaatlichen Recht getroffene gesetzliche Regelung reiche daher nicht aus, es sei denn, die Vertragsstaaten räumten einander eine solche Befugnis auf der Grundlage eines völkerrechtlichen Vertrags gegenseitig ein.

Alle Teilnehmer erkannten an, dass im Inland zwischen der Nationalen Kontaktstelle und den in der Türkei ansässigen Diensteanbietern eine schnellere Kommunikation per E-Mail hergestellt werden muss. Einige Teilnehmer betonten, die Diensteanbieter hätten mit sensiblen personenbezogenen Daten zu tun, und fügten hinzu, eine detaillierte gesetzliche Regelung des Inhalts der an die Nationale Kontaktstelle weiterzugebenden Daten sei zwingend erforderlich. Ein Teilnehmer erklärte, die Übermittlung von Informationen per E-Mail sei, insbesondere damit Sicherungsersuchen ohne Zeitverlust ausgeführt werden können, nicht länger eine Option, sondern eine Notwendigkeit geworden. In technischer Hinsicht setzte sich die Auffassung durch, dass der Informationsaustausch, um die Sicherheit der Kommunikation zwischen den beiden Seiten auf ein Höchstmaß zu steigern, zweckmäßigerweise über vertrauenswürdige Systeme wie die Registrierte E-Mail (KEP) oder das Nationale Justiznetzwerkprojekt (UYAP) und über vorab festgelegte E-Mail-Adressen erfolgen sollte.

3 Fazit

Der Workshop war Schauplatz vielfältiger Auffassungen von Teilnehmern aus unterschiedlichen Fachgebieten. Einige Punkte wurden im Verlauf der Veranstaltung jedoch von zahlreichen Teilnehmern immer wieder hervorgehoben. Die Mehrzahl der Fachleute brachte zum Ausdruck, dass das Übereinkommen seinem Geist und seinem Wortlaut nach umfassend in das innerstaatliche Recht umgesetzt werden muss. Während das Übereinkommen eine Dreiteilung in Bestandsdaten, Verkehrsdaten und Inhaltsdaten vornimmt, werden die Bestandsdaten im türkischen Recht als Teil der Verkehrsdaten definiert, und die Regelung der Inhaltsdaten ist noch nicht abgeschlossen. In ähnlicher Weise nimmt das Gesetz Nr. 5651 „über die Regelung von Veröffentlichungen im Internet und die Bekämpfung der durch diese Veröffentlichungen begangenen Straftaten“ hinsichtlich der rechtlichen Verantwortlichkeit eine Vierteilung in Zugangsanbieter, Hostprovider, Inhaltsanbieter und Anbieter kollektiver Nutzung vor, während das Übereinkommen keinen anderen Ausdruck als den Begriff des Diensteanbieters verwendet. Insbesondere am ersten Tag des Workshops haben diese begrifflichen Unterschiede zwischen dem Übereinkommen und dem innerstaatlichen Recht zu Begriffsverwirrung und Fehlinterpretationen geführt.

Ein weiterer Punkt, der in der Veranstaltung häufig zur Sprache kam, war die Klarstellung des Umfangs der Aufgaben und Befugnisse der Nationalen Kontaktstelle und der Internetdiensteanbieter durch gesetzliche Regelungen. Für die Sicherungsersuchen und den internationalen Informationsaustausch in dringenden Fällen hielten die Teilnehmer überwiegend die bloße Berufung auf das Übereinkommen nicht für ausreichend. Die Festigung der hierfür maßgeblichen Rechtsgrundlagen durch neue Regelungen wurde als wichtige Vorbedingung dafür bezeichnet, dass im Inland im Einklang mit dem Übereinkommen gehandelt wird.

4 Teilnehmerliste

Kadir BAĞCI

Ceren KÜPELİ

Burhanettin AL

Richter

Rechtsanwältin

Rechtsanwalt

Justizministerium

Turkcell İletişim Hizmetleri A.Ş.

Turkcell İletişim Hizmetleri A.Ş.

Ayşe ŞEKER Rechtsanwältin

Çağrı YALÇIN Rechtsanwalt

Türk Telekomünikasyon A.Ş.

Türk Telekomünikasyon A.Ş.