Wikipedia:Wikimedia Deutschland/Datenherausgabe

Möglichst wenig Herausgabe personenbeziehbarer Daten durch Wikimedia Deutschland

Wikimedia Deutschland (WMDE) verfügt ganz bewusst nur über wenige personenbeziehbare Informationen über die Ehrenamtlichen der Wikimedia-Projekte – jedenfalls im Verhältnis dazu gesehen, was an Daten auch in Einklang mit der EU-Datenschutzgrundverordnung verarbeitet werden dürfte. Von diesen verhältnismäßig wenigen Daten geben wir im Rahmen juristischer Verfahren nur dann etwas und nur so viel heraus, wie aufgrund gesetzlicher Verpflichtungen herausgegeben werden muss.

Diese Verpflichtungen sind unten näher erklärt. Wo Unklarheiten bestehen, wie weit diese Verpflichtungen im Einzelfall reichen, stellen wir uns stets auf den Standpunkt der geringstmöglichen Herausgabe. Wir sehen dies als einen Weg, uns vor die Ehrenamtlichen zu stellen, sowie als Gelegenheit, im Zweifel für eine gerichtliche Klärung des Umfangs von Herausgabepflichten zu sorgen. Wir lassen uns also eher einmal mehr verklagen als einmal zu schnell Daten herauszugeben. Insgesamt sind Herausgabeanfragen an WMDE aber für sich genommen bereits eine absolute Seltenheit und streitige Fälle noch einmal seltener. Derzeit gehen wir auch nicht davon aus, dass sich an dieser Seltenheit viel ändern wird (etwa aufgrund gesetzlicher Neuerungen).

Über welche Art von Daten WMDE verfügt

Nur in begrenztem Umfang verfügt WMDE über Identitäts-Informationen zu Ehrenamtlichen, nämlich in erster Linie bei schriftlichen Vorgängen wie etwa Vertraulichkeitsvereinbarungen, Verträgen rund um lokale Räume und rund um Förderanfragen. Aber selbst bei solchen Vorgängen versuchen wir, so weit es irgend geht mit den Pseudonymen auszukommen und sonst keine identifizierenden Daten zu verarbeiten.

Das Wissen über Identitäten in den Köpfen der WMDE-Mitarbeitenden wiederum zählt nicht als unternehmensbekanntes Datum im Sinne etwaiger Herausgabepflichten. Es ist also unerheblich, dass Leute, die bei WMDE arbeiten, häufig aus verschiedenen Kontexten wissen, wer unter welchem Pseudonym unterwegs ist. Solange das nirgendwo schriftlich erfasst wird, weiß WMDE es formell betrachtet nicht.

In den eher wenigen Fällen wirklich vorhandener Daten kann es rechtlich gesehen zweierlei geben:

Die gesetzliche Erlaubnis, Informationen herauszugeben (denn Herausgabe ohne so eine gesetzliche Erlaubnis kann empfindliche Bußgelder nach der DSGVO nach sich ziehen), und
die gesetzliche Verpflichtung, etwas herauszugeben.

Fälle von Erlaubnis einer Herausgabe

Diese Fallkategorie ist weitgehend unerheblich, weil WMDE ganz bewusst niemals freiwillig Daten von Ehrenamtlichen herausgeben wird, selbst wenn die DSGVO es erlaubt – es sei denn, es besteht irgendwo Lebensgefahr oder eine andere extreme Bedrohungslage, die durch irgendwelche Daten entschärfbar wird. Solche Fälle sind schwer vorstellbar und entsprechend in der Praxis extrem selten und zu vernachlässigen. Da müsste es schon um einen glaubhaft angedrohten Suizid oder Mordanschlag gehen oder einen drohenden Angriff auf die Geschäftsstelle oder dergleichen. Und siehe oben, die Daten müssten auch dann überhaupt erst einmal vorhanden sein.

Denkbar wäre theoretisch auch der Erlaubnisfall, dass eine Einwilligung der Betroffenen vorliegt zur Herausgabe ihrer Daten an Strafverfolgungsbehörden, also an die Staatsanwaltschaft oder die Polizei. Dann könnte WMDE diese Daten herausgeben, aber bisher ist bei WMDE kein solcher Fall eingetreten. Und selbst wenn, würden wir die Betroffenen vorab informieren, weil wir das gesetzlich müssen, siehe Art. 13 Abs. 3 DSGVO (außer die Staatsanwaltschaft oder Polizei erläutert uns, dass dadurch der Ermittlungserfolg gefährdet würde und legt ihre Rechtsgrundlagen dar). Wir würden letztlich auch in solchen Einwilligungsfällen, die es bisher so nicht gab, im Zweifel so lange mauern bis wir sicher sind, dass die Betroffenen wirklich mit der Weitergabe einverstanden sind.

Fälle von Verpflichtung zur Herausgabe

Die Fallkategorie einer Verpflichtung zur Herausgabe kann zivilrechtlich oder strafrechtlich begründet sein:

Zivilrechtliche Verpflichtung

Der zahlenmäßige Standardfall ist, dass die Diensteanbietenden von Online-Plattformen eine Auskunftspflicht hinsichtlich Nutzendendaten trifft, weil zivilrechtliche Ansprüche gegen Personen nur durchsetzbar sind, wenn deren Identität und ladungsfähige Adresse bekannt sind. Wer also meint, einen Anspruch auf Unterlassung, Schadensersatz oder sonst etwas gegen jemanden zu haben, kann entsprechend versuchen, die Identität der gegnerischen Partei über eine Auskunft durch eine Online-Plattform herauszubekommen, auf der die zu ermittelnde Person aktiv war. WMDE ist an dieser Stelle aber schon deswegen meist nicht die richtige Stelle für solche Begehren, weil der Verein – gerichtlich wieder und wieder bestätigt – nicht Diensteanbieter von Wikimedia-Projekten und den zugehörigen Plattformen ist. Darum hat es keinen Sinn, einen solchen (Annex-)Auskunftsanspruch gegen WMDE geltend zu machen, auch wenn einige Anwältinnen und Anwälte das nicht verstehen und dann dennoch entsprechende Schreiben an die WMDE-Geschäftsstelle schicken. Wir stellen in solchen Fällen dann klar, dass wir der falsche Ansprechpartner für derlei Ansprüche sind und diese sich allenfalls gegen die WMF richten können. Ob und in welchem Umfang dann tatsächlich die WMF angegangen wird für Auskünfte, wissen wir nicht und ginge uns auch nur dann etwas an, wenn wir seitens der Ehrenamtlichen oder der WMF hinzugezogen würden.

Strafrechtliche Verpflichtung

Art. 23 Abs. 1 DSGVO führt Ziele staatlicher Maßnahmen auf, die zunächst eine Erlaubnis/Einwilligung entbehrlich machen. Dazu gehört auch „die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“. Liegt so etwas vor, ist man zunächst erstmal wieder bei der ersten Fallkategorie oben, also der Erlaubnis einer Herausgabe. Wenn es um Aufdeckung von Straftaten geht, wäre es uns ensprechend erlaubt, Daten (wenn wir sie denn überhaupt haben) herauszugeben. Aber wie oben schon gesagt, würden wir das trotz gesetzlicher Erlaubnis nicht machen.

Eine gesetzliche Verpflichtung zur Herausgabe wird daraus nur, wenn die Staatsanwaltschaft oder die durch sie beauftragte Polizei sich auf eine geeignete Rechtsgrundlage beruft, wie in der Praxis vor allem: Die formelle Vorladung von WMDE-Funktionstragenden (meist: Vorstand) als Zeugen in einem Ermittlungs- oder Strafverfahren, siehe §§ 161a Abs. 1, 163 Abs. 3 Strafprozessordnung. Auch dann würden wir aber nochmal schauen, ob wir uns nicht gegen die Vorladung wehren oder unser Kommen verweigern können und im Gegenzug Zwangsmaßnahmen nach § 161a Abs. 2 StPO in Kauf nehmen sollten, gegen die – so sie denn verhängt würden – wir dann im Zweifel erst nochmal Beschwerde beim zuständigen Gericht einlegen würden. Wenn auch das alles durch ist und sich ergibt, dass WMDE wirklich zur Auskunft verpflichtet ist, wird es eine Auskunft durch WMDE geben müssen. Zumindest in den letzten Jahren ist ein solcher Fall aber nicht vorgekommen.