Grenzüberschreitende Datenerhebung bei US-Provider: Direkter Zugriff mangels Zustimmung unzulässig, Rechtshilfeweg erforderlich (Art. 32 CCC)

Tragende Normen

Art. 14 BÜPF Art. 1 IRSG Art. 67a IRSG Art. 54 StPO Art. 273 StPO

Zusammenfassung

Die Oberstaatsanwaltschaft des Kantons Zürich focht einen Entscheid des Zwangsmassnahmengerichts an, das die Genehmigung einer rückwirkenden Erhebung von IP-History-Daten (Verkehrs- und Verbindungsdaten) sowie Registrierungsdaten (Bestandesdaten) bei einem in den USA domizilierten Internetservice-Provider verweigert hatte. Die Staatsanwaltschaft stützte sich auf Art. 32 lit. b des Internationalen Cybercrime-Übereinkommens (CCC) und Art. 273 StPO, um einen direkten, ausserhalb des förmlichen Rechtshilfeverfahrens liegenden Zugriff auf die beim ausländischen Provider gespeicherten Daten zu erwirken. Im Zentrum stand die Frage, ob die Voraussetzungen für einen solchen grenzüberschreitenden Zugriff erfüllt sind oder ob zwingend der Weg der internationalen Rechtshilfe beschritten werden muss.

Das Bundesgericht wies die Beschwerde ab und bestätigte, dass die streitige Randdatenerhebung in den USA auf dem Rechtshilfeweg zu beantragen ist. Das Gericht prüfte zunächst, ob die Voraussetzungen für einen direkten grenzüberschreitenden Zugriff gemäss Art. 32 lit. b CCC i.V.m. Art. 273 StPO erfüllt waren. Es stellte fest, dass der Grundsatz der Territorialität es grundsätzlich verbietet, eigene Strafverfolgungsmassnahmen auf fremdem Hoheitsgebiet durchzuführen, sofern keine völkerrechtliche Ausnahme greift. Eine solche Ausnahme liegt vor, wenn die "rechtmässige und freiwillige Zustimmung" der Person eingeholt wird, die befugt ist, die Daten weiterzugeben. Das Gericht qualifizierte die erhobenen IP-History-Daten als Kommunikations-Randdaten (Verkehrsdaten). Es kam zum Schluss, dass die betroffene US-Providerfirma keine freiwillige Zustimmung zur direkten Datenherausgabe erteilt hatte. Vielmehr bestand die Firma darauf, dass ein hoheitlicher Entscheid oder der förmliche Rechtshilfeweg eingehalten werde, da sie sich nicht verpflichtet sah, direkt herauszugeben. Da keine konkludente oder ausdrückliche Zustimmung vorlag, war der direkte Zugriff unzulässig.

Bezüglich der Bestandesdaten (Registrierungsdaten) verwies das Gericht darauf, dass Art. 18 Abs. 1 lit. b CCC nur innerstaatliche Massnahmen regelt und keinen zusätzlichen Anspruch auf grenzüberschreitende Erhebung begründet. Für die Herausgabe solcher Daten bei in den USA domizilierten Anbieterinnen ist das von den US-Behörden anzuwendende Amts- und Rechtshilferecht massgeblich. Das kantonale Zwangsmassnahmengericht war daher weder für die Genehmigung des direkten Zugriffs auf Randdaten noch für die Bewilligung der Herausgabe von Bestandesdaten im Ausland zuständig. Die Staatsanwaltschaft muss ihre Ersuchen um Sicherung (Art. 29 CCC) und Weitergabe (Art. 30 CCC) sowie um Durchsuchung (Art. 31 CCC) an die zuständigen US-Behörden richten.

Regeste

Art. 1 lit. d, Art. 18 Abs. 1 lit. b und Abs. 3, Art. 23, 25 Abs. 4, Art. 26, 29, 30, 31 und 32 des Internationalen Cybercrime-Übereinkommens (CCC); Art. 54, 265 und 273 StPO; Art. 14 BÜPF; Art. 1 Abs. 1 lit. b und Art. 67a IRSG. Grenzüberschreitende rückwirkende Datenerhebung (mit Teilnehmeridentifikation) bei einem ausländischen Internetservice-Provider (digitales "soziales Netzwerk"). Rechtliche Grundlagen des Landes- und Völkerrechtes (E. 4). Bei der Erhebung der sogenannten "IP-History" von Teilnehmern eines sozialen Netzwerkes im Internet handelt es sich um Kommunikations-Randdaten (E. 5.1 und 5.2). Grundsatz der Territorialität bei Fernmeldedienst-Überwachungen im Ausland (E. 5.3). Ziele des Cybercrime-Übereinkommens, Instrumentarium der internationalen Zusammenarbeit (E. 5.4-5.6). Ob und inwieweit (im Hinblick auf ein Rechtshilfeersuchen) Gesuche der inländischen Strafverfolgungsbehörde um vorsorgliche umgehende Sicherung (Art. 29 CCC) zu bewilligen sind und ob eine umgehende Weitergabe von Verkehrsdaten erfolgen kann, welche aufgrund des vorsorglichen Ersuchens gesichert wurden (Art. 30 CCC), hat die zuständige Behörde des ersuchten Staates zu entscheiden (E. 5.7). Die Voraussetzungen von Art. 32 CCC einer grenzüberschreitenden rückwirkenden Erhebung von Verkehrsdaten sind hier nicht erfüllt. Als Zustimmungsberechtigte kommen zwar auch ausländische Personen und Gesellschaften in Frage, insbesondere Internetservice-Provider, welche sich in ihren Allgemeinen Nutzungsbedingungen das Recht auf Datenweiterleitung an in- und ausländische Strafverfolgungsbehörden gegenüber ihren Kunden ausbedungen haben (E. 5.9 und 5.10). Die freiwillige Zustimmung eines Berechtigten liegt hier jedoch nicht vor (E. 5.11). Die streitige Randdatenerhebung in den USA ist daher auf dem Rechtshilfeweg zu beantragen (E. 5.12). Unterscheidung zwischen Verkehrsdaten (Art. 1 lit. d CCC, Art. 273 StPO) und blossen Bestandesdaten (Art. 18 Abs. 3 CCC, Art. 14 BÜPF) (E. 6.1 und 6.2). Rechtshilferechtliches Institut der unaufgeforderten Übermittlung von Beweismitteln und Informationen (E. 6.3). Aus Art. 18 Abs. 1 lit. b CCC ergibt sich (über Art. 32 CCC hinaus) kein zusätzlicher Anspruch auf grenzüberschreitende Bestandesdatenerhebung (E. 6.4). Für Gesuche um Herausgabe von Bestandesdaten bei in den USA domizilierten Anbieterinnen ist das von den US-amerikanischen Behörden anzuwendende Amts- und Rechtshilferecht massgeblich (E. 6.5).

Verwandte Entscheide

• Beschuldigter notiert Facebook-Zugangsdaten im Gefängnis und versucht, sie als Kassiber zu schmuggeln: Online-Recherche auf dem Account durch Staatsanwaltschaft ist strafprozessual zulässig (Art. 246 StPO)BGer · BGE 143 IV 270 · 24.05.2017
• Unaufforderliche Übermittlung von Bankdaten an Kolumbien ohne eigene Strafuntersuchung zulässig (Art. 67a IRSG)BGer · BGE 140 IV 123 · 16.05.2014
• Rückwirkende IP-Identifikation bei Kinderpornografie: Sechsmonatsfrist der StPO durch lex specialis des BÜPF überwunden (Art. 14 Abs. 4 BÜPF)BGer · BGE 139 IV 98 · 22.01.2013