Die externe Meldestelle im Schneckentempo

In Die Aufsicht schläft habe ich dargestellt, dass die Datenschutzaufsichten nicht vom Fleck kommen oder Beschwerden ablehnen. Am 03.06.2023 trat das Hinweisgeberschutzgesetz mit gut 18 Monaten Verspätung in Kraft, Anfang Juli 2023 konnte man dann tatsächlich Meldungen bei der der externen Meldestelle des Bundes, angesiedelt beim Bundesamt für Justiz (BFJ), einreichen. Die externe Meldestelle macht den Aufsichten für den Datenschutz jedenfalls beim Tempo keine Konkurrenz.

Problemraum

Das Hinweisgeberschutzgesetz überzeugt nicht, die externe Meldestelle kann eigentlich nur eine Vorprüfung machen und dann an eine andere Stelle abgeben. In meinem Fall, eine Stelle, die schon vorher bei meiner Beschwerde über Dataport nicht positiv in Erscheinung getreten ist, das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein. Außerdem eben nur eine, auch wenn die Zuständigkeit für die Missstände zersplittert ist. Nicht nur ich halte das für ein Problem, sehr ausführlich zu den fehlenden Untersuchungsbefugnissen in Whistleblower-Netzwerk: Beschwerde bei der Europäischen Kommission gegen Deutschland.

Dass mit §5 Abs. 1 Nr. 1 Hinweisgeberschutzgesetz kritische Infrastruktur aus dem Anwendungsbereich vollständig herausfallen soll, ist in meinen Augen unionsrechtswidrig. Dass die Hinweisgeberrichtlinie nicht für die nationale Sicherheit gelten kann ergibt sich aus der mangelnden Zuständigkeit der Europäischen Union dafür (s.a. Alles unter Verschluss:Zur Rolle von Verschlusssachen bei der Umsetzung der Whistleblowing-Richtlinie), Ausschlüsse innerhalb der Regelungskompetenz der EU, dazu zählt auch der Datenschutz, sind aber durch keine Öffnungsklausel gedeckt. Gleiches Ergebnis mit anderer Begründung in Kommentar von Colneric/Gerdemann Rn 1-8, ähnlich und speziell für kritische Infrastruktur Rn 16ff mit anderer Begründung. Dazu habe ich dann auch eine Beschwerde bei der Europäischen Kommission eingereicht.

Dass Dataport sich – trotz dem Stolz auf das Twin-Rechenzentrum – nicht als kritische Infrastruktur sieht kann zum einen daran liegen, dass man NIS2 mangels deutschem Umsetzungsgesetz noch nicht berücksichtigt hat, zum anderen dass der Vorstand dann persönlich haften würde – und das will er vermutlich nicht. Und eine Zertifizierung besagt rein gar nichts zur erreichten Sicherheit, sondern lediglich, dass man aufgeschrieben hat, was man tun will, und der Auditor bei einer Prüfung nichts so gravierendes gefunden hat, dass er das Zertifikat verweigert.

Eilig hat man es bei der Meldestelle auch nicht. 3, maximal 6 Monate steht in Richtlinie und Gesetz, und das ab Eingang und nicht wie sonst im Verwaltungskontext für jeden einzelnen Handgriff, denn so die Gesetzesbegründung, man will unnötige Veröffentlichungen vermeiden – oder halt auch nicht. Vielleicht in meinem Fall egal, weil die Missstände ja sowieso schon öffentlich sind. Aber das Ziel sollte doch zumindest sein, die Missstände zu beseitigen.

Nur lange Verfahren?

Natürlich frage ich mich, ob das nur in meinem Fall so lange dauert. Ich denke nicht, denn Insider des öffentlichen Dienst sagen mir, dass man Fristen grundsätzlich ausnutzt, und die einzige Frist die – abgesehen von der Veröffentlichung – droht, ist eine Untätigkeitsklage nach §75 VwGO. Dazu müssen drei Monate vergangen sein, nicht insgesamt, sondern seit der letzten Aktion, und diese Frist hat die Meldestelle regelmäßig beachtet. Also starte ich eine Anfrage erst nach dem vorgeschriebenen Bericht nach §29 Abs. 2 und dann zu den Rohdaten dazu, mit denen man meine Hypothese überprüfen könnte. Man verweigert mir diese. Ob der Aufwand eine brauchbare Statistik zur Bearbeitungsdauer bis zur Rückmeldung wirklich so groß ist? Ich glaube nicht daran, aber dass ein Widerspruch gegen den ablehnenden Bescheid von jemand anderem bearbeitet wird glaube ich nicht, und dass ein Gericht das BFJ in absehbarer Zeit verpflichtet eher auch nicht. Ich schreibe daher an die Führung:

Der weitere Emailverkehr ist unten wiedergegeben. Eine ernsthafte Antwort habe ich bisher nicht. Also scheint meine Hypothese richtig zu sein.

Ist das jetzt in Ordnung? Ich denke nicht. Artikel 41 der EU Grundrechtecharta verlangt eine Bearbeitung in angemessener Frist. Das gilt zunächst nur für Einrichtungen der EU, wird aber vom EuGH als Messlatte für andere Verfahren herangezogen. Die Hinweisgeberschutzrichtlinie kann man meiner Auffassung nach dahingehend interpretieren, dass alle Rückmeldungen innerhalb der Frist stattfinden sollen, nicht nur die erste, wie das das BFJ interpretiert. Ob das ein Interpretationsfehler vom BFJ oder von mir ist – ich habe dazu eine weitere Beschwerde bei der Europäischen Kommission eingereicht. Irgendwann wird sich das dann wohl herauskristallisieren.

Kommunikation

Kommunikation mit der Externen Meldestelle des Bundes beim Bundesamt für Justiz. Die am 01.11.2023 angeforderte Auskunft kommt getrennt, hier ist nur der relevante Teil wiedergegeben. Natürlich habe ich Beschwerde eingereicht. Das dauernde Verschlüsseln/Entschlüsseln von Nachrichten geht mir auf den Nerv, da mein Emailserver qualifizierte Transportverschlüsselung kann halte ich die für entbehrlich und schicke das meiste einfach so.

Anfragen