Erfassung biometrischer Daten durch die Bundeswehr in Mali
der Abgeordneten Sevim Dağdelen, Ali Al-Dailami, Żaklin Nastić, Andrej Hunko und der Fraktion DIE LINKE.
Vorbemerkung
Die Bundeswehr erfasst seit Juli 2017 im Rahmen ihrer Beteiligung an der MINUSMA (United Nations Multidimensional Integrated Stabilization Mission)-Mission in Mali biometrische Daten, die nach Angaben der Bundesregierung zur Zugangskontrolle im Camp Gao genutzt werden (Antwort zu Frage 11 auf Bundestagsdrucksache 20/6270). Nachdem bekannt wurde, dass biometrische Daten, die im Rahmen des Afghanistan-Einsatzes der Bundeswehr in Zusammenarbeit mit den USA erfasst worden waren, zumindest teilweise entgegen ausdrücklichen Vereinbarungen mit den USA nicht gelöscht wurden, stellt sich die Frage, welche Schlussfolgerungen daraus für die Datenerfassung in Mali gezogen wurden.
Angehörige des Chaos-Computer-Clubs (CCC) haben Scanner, die zuvor in Afghanistan zur Erfassung biometrischer Daten genutzt wurden, auf dem freien Markt erworben. Sie stellten fest, dass auf den insgesamt sechs Geräten biometrische Daten von 2 632 Personen gespeichert und ungeschützt auslesbar waren (www.ccc.de/de/updates/2022/afghanistan-biometrie). Nach Angaben der Bundesregierung sind von der Bundeswehr die biometrischen Daten von ehemaligen Ortskräften „regelmäßig“ erfasst worden, wenn diese Zugang zu den Einsatzliegenschaften der Bundeswehr erhalten sollten (vgl. Antwort zu Frage 18a auf Bundestagsdrucksache 20/6270). Dafür wurden Geräte genutzt, die bei Missionsende an die USA zurückgegeben worden sind. Die USA wiederum haben 1 200 dieser Geräte dem afghanischen Militär überlassen. Die in einem Memorandum of Understanding zugesicherte Löschung der Daten (vgl. Antwort zu Frage 16 auf Bundestagsdrucksache 17/6862) wurde dabei nicht oder nicht vollständig umgesetzt, sodass die Gefahr besteht, dass den Taliban nun biometrische Daten von Ortskräften oder anderen Personen vorliegen, für die sich daraus eine erhebliche Gefährdung ergeben könnte (vgl. Vorbemerkung der Fragestellerinnen und Fragesteller der Antwort der Bundesregierung auf die Kleine Anfrage auf Bundestagsdrucksache 20/6270). Ein ähnliches Szenario im Umgang mit der Erfassung biometrischer Daten in Mali sollte nach Auffassung der Fragestellerinnen und Fragesteller unbedingt vermieden werden.
Die Fragestellerinnen und Fragesteller erwarten, dass die Bundesregierung, falls sie in ihrer Antwort auf als Verschlusssache eingestufte Antworten auf frühere Kleine Anfragen verweist (insbesondere die Antworten der Bundesregierung auf die Kleinen Anfragen auf den Bundestagsdrucksachen 20/6270 und 17/6862), eine dem Verfassungsrecht genügende Begründung für die (anhaltende) Klassifizierung vorbringt.
Wir fragen die Bundesregierung:
Fragen23
In welchem Umfang und zu welchem Zweck erfasst die Bundeswehr in Mali biometrische Daten?
a) Welche biometrischen Daten werden im Einzelnen erfasst?
b) Welche weiteren Angaben zu den betroffenen Personen werden ggf. erfasst (bitte auch angeben, inwiefern etwa die Funktion dieser Personen als Ortskräfte, der Grund, warum sie Zugang zu Liegenschaften erhalten usw. mit den biometrischen Daten verknüpft werden)?
c) Zu welchem Zweck erfolgt die Erfassung?
d) Welcher Personenkreis ist von der Erfassung der biometrischen Daten betroffen?
e) Gehören zum regelmäßig von der Erfassung der biometrischen Daten betroffenen Personenkreis die angestellten Ortskräfte?
f) Gehört zum regelmäßig von der Erfassung der biometrischen Daten betroffenen Personenkreis jede Person, die (einmalig oder mehrmalig) Zugang zu den Liegenschaften der Bundeswehr bzw. weiterer Truppensteller erhält?
Auf welcher rechtlichen Grundlage werden die biometrischen Daten erfasst, übermittelt und gespeichert (bitte sowohl einschlägige Grundlagen im deutschen Recht als auch ggf. Vereinbarungen im Rahmen der Mission sowie allfällige bi- oder multilaterale Vereinbarungen nennen und deren Inhalt zusammenfassen)?
Welchen weiteren Regelungen (interne Vorschriften, SOP (Standard Operation Procedure) usw.) unterliegen Erfassung, Übermittlung und Speicherung der biometrischen Daten (bitte im Einzelnen nennen und den Inhalt kurz zusammenfassen)?
Von wie vielen Personen hat die Bundeswehr bislang in Mali biometrische Daten erhoben?
Wenn diese Angaben statistisch nicht vollständig erfasst werden, welche Teilangaben kann die Bundesregierung hierzu machen (etwa für bestimmte Zeiträume, Anlässe usw.)?
Inwiefern unterliegt die Bundeswehr oder die speichernde Stelle nach Auffassung der Bundesregierung einer Informationspflicht gegenüber den von der Datenerhebung bzw. Datenspeicherung betroffenen Personen?
Welche rechtlichen Möglichkeiten haben die von der Datenerhebung bzw. Datenspeicherung betroffenen Personen, Einsicht in die gespeicherten Daten, deren Korrektur und/oder Löschung zu verlangen?
Werden die von der Datenerhebung betroffenen Personen durch die Bundeswehr über diese Möglichkeiten informiert, und wenn ja, inwiefern, und wenn nein, warum nicht?
Welche und wie viele Geräte werden von der Bundeswehr zur Erfassung der biometrischen Daten genutzt?
Sind die Geräte der Bundeswehr direkt vom Hersteller (bitte benennen) überlassen worden, und wenn nein, von wem?
Welche Regelungen bestehen hinsichtlich des Verbleibs der Erfassungsgeräte sowie der darauf gespeicherten Daten nach einem möglichen Ende der Mission oder der Beteiligung der Bundeswehr daran?
a) Ist vorgesehen, dass die Geräte im Besitz der Bundeswehr verbleiben?
b) Ist vorgesehen, dass die Geräte an malische Sicherheitskräfte oder an andere MINUSMA-Steller bzw. die Missionsführung oder an andere Akteure (bitte benennen) abgegeben werden, und wenn ja, mitsamt den darauf gespeicherten Daten, oder soll sichergestellt werden, dass die darauf gespeicherten Daten zuvor gelöscht werden (bitte ggf. darstellen, wie und vom dies erfolgen soll und welche Möglichkeiten die Bundeswehr hat, zu überprüfen, ob die Daten tatsächlich gelöscht werden)?
Werden die biometrischen Daten direkt am Bundeswehrstandort gespeichert oder zur Speicherung an andere Stellen übermittelt, und wenn Erstes, welche Angaben kann die Bundesregierung zum Bestand der Datenbank machen (bitte insbesondere Angaben zur Zahl der gespeicherten Personen und der Datensätze), wenn Letzteres,
a) an welche Stellen erfolgt die Übermittlung,
b) in wessen Besitz ist die Datenbank, und wer verwaltet sie,
c) zu welchem Zweck erfolgt die Übermittlung, und inwiefern unterliegt der Verwalter oder Besitzer der Datenbank einer Zweckbindung,
d) welche Regelungen hinsichtlich des Datenschutzes, insbesondere der Löschfristen gelten hierbei?
Erfolgt nach Kenntnis der Bundesregierung ein Abgleich der von der Bundeswehr und ggf. anderen Akteuren erhobenen biometrischen Daten mit anderen Datenbanken, und wenn ja, wer nimmt diesen Abgleich vor, welche anderen Datenbanken betrifft dies, zu welchem Zweck geschieht dies, und inwiefern wird die Bundeswehr über allfällige Erkenntnisse aus diesem Abgleich unterrichtet?
Wie sind nach Kenntnis die Speicherrechte, Zugriffsrechte, Korrekturechte und Löschrechte an den Daten ausgestaltet (bitte angeben, wer unter welchen Voraussetzungen über diese Rechte verfügt sowie an welche weiteren Stellen Daten unter welchen Voraussetzungen und zu welchem Zweck übermittelt werden dürfen)?
Welche Regelungen gibt es hinsichtlich der Weiterleitung der erfassten Daten an Dritte (bitte darstellen, welche Stellen an welche anderen Stellen unter welchen Voraussetzungen Daten übermitteln dürfen)?
Welche Regelungen bestehen hinsichtlich der Speicherdauer und der Löschfristen der gespeicherten Daten?
a) Sind die von der Bundeswehr erfassten und ggf. an eine Datenbank übermittelten Daten dort als von der Bundeswehr erfasste sichtbar, sodass andere Nutzer wissen, dass sie von der Bundeswehr erfasst worden sind?
b) Welche besonderen Vereinbarungen bestehen ggf. hinsichtlich der Verwendung und Übermittlung der von der Bundeswehr erfassten und übermittelten Daten an Dritte?
c) Welche Vereinbarungen bestehen hinsichtlich der Löschfristen?
d) Welche Vereinbarungen bestehen hinsichtlich des Umgangs mit den Daten bei einem möglichen Ende der Mission bzw. der deutschen Beteiligung daran?
Erfassen nach Kenntnis der Bundesregierung auch andere Truppensteller oder Akteure, die an MINUSMA beteiligt sind, oder die Missionsführung selbst, biometrische Daten, und wenn ja,
a) zu welchem Zweck,
b) erheben bzw. speichern diese die biometrischen Daten ausschließlich zur Kontrolle des Zugangs zu Liegenschaften, oder auch an Checkpoints zur Identifizierung verdächtiger Personen usw., und
c) welche Regelungen zur Datenweitergabe, Datenspeicherung bestehen hierbei?
Erhebt die Bundeswehr in Mali auch außerhalb der Zugangskontrolle zu ihren Einsatzliegenschaften biometrische Daten, oder hat sie dies in der Vergangenheit getan, und wenn ja,
a) aus welchem Anlass,
b) welcher Personenkreis ist davon betroffen,
c) zu welchem Zweck,
d) umfasst der Zweck auch die Identifizierung verdächtiger Personen oder die Durchlasskontrolle an Checkpoints,
e) auf welcher Rechtsgrundlage,
f) sind die dabei erhobenen Daten an Dritte übermittelt worden, und wenn ja, an wen, und welche Angaben kann die Bundesregierung zum weiteren Umgang mit den Daten machen,
g) sind die dabei erhobenen Daten in eine Datenbank übermittelt worden, und wenn ja, an welche, und wer verwaltet diese, und welche Angaben kann die Bundesregierung darüber machen, wer diese Datenbank verwaltet, wie Speicher-, Korrektur- und Leserechte ausgestaltet sind und welche Speicher- bzw. Löschfristen gelten?
Hat die Bundesregierung Erkenntnisse, inwiefern auch andere Akteure, die nicht direkt an MINUSMA beteiligt waren (wie beispielsweise im Rahmen der französischen Mission „Barkhane“), biometrische Daten erfasst haben oder noch erfassen, und wenn ja, welche?
Sind diese Daten an die gleiche Datenbank übermittelt worden wie diejenigen, die von der Bundeswehr erhoben werden?
Welche Schlussfolgerungen hat die Bundesregierung in Zusammenhang mit der Erfassung biometrischer Daten in Mali aus dem Umstand gezogen, dass auf Erfassungsgeräten des US-amerikanischen Militärs, die in Afghanistan genutzt worden sind, trotz der mit den USA vereinbarten Löschung der Daten (vgl. Ausführungen in der Vorbemerkung der Fragesteller) weiterhin die Daten von Tausenden Personen auslesbar waren?
Hat die Bundeswehr oder das Bundesministerium der Verteidigung (BMVg) vor Beginn der biometrischen Datenerfassung in Mali den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit oder andere Datenschutzbeauftragte konsultiert, und wenn ja, welche datenschutzrechtliche Bewertung wurde von diesen vorgenommen, und welche Schlussfolgerungen hat die Bundeswehr bzw. das BMVg daraus gezogen?
Welche Erkenntnisse hat die Bundesregierung dazu, wie
a) die Erfassungsgeräte und
b) externe Datenbanken gegenüber unbefugtem Zugriff auf die gespeicherten Daten geschützt sind?
Hat die Bundesregierung eine Einschätzung darüber, inwiefern Ortskräfte oder weitere Personen, die von der Erfassung biometrischer Daten betroffen sind, einer erhöhten Gefährdung durch interne oder externe Akteure in Mali ausgesetzt sind oder einer solchen Gefährdung nach Abzug der Bundeswehr bzw. einem Ende der MINUSMA-Mission ausgesetzt sein könnten, insbesondere seitens irregulärer Milizen oder staatlicher Organe, und wenn ja, welche, und welche Schlussfolgerungen zieht die Bundesregierung daraus in Zusammenhang mit der Erfassung und Speicherung der biometrischen Daten, insbesondere, um sicherzustellen, dass die Daten tatsächlich gelöscht und nicht, wie in Afghanistan, Unbefugten zugänglich gemacht werden?
Wurden nach Kenntnis der Bundesregierung auch im Rahmen des EUTM (European Union Training Mission)-Mali-Einsatzes biometrische Daten erhoben, und wenn ja, inwiefern hat sie Kenntnisse darüber,
a) wer die Daten erhoben hat,
b) zu welchem Zweck,
c) welcher Personenkreis betroffen war, und
d) welche Regelungen hinsichtlich des Umgangs mit den Daten bei Ende der Missionspräsenz in Mali galten, und inwiefern diese Regelungen auch tatsächlich eingehalten wurden?
Erhebt die Bundeswehr in Niger ebenfalls biometrische Daten, und wenn ja,
a) zu welchem Zweck,
b) von welchem Personenkreis,
c) an wen werden die Daten übermittelt,
d) in welcher Datenbank werden die Daten gespeichert, in wessen Besitz ist diese, und
e) wie sind Speicher-, Korrektur-, Lese- und Löschbefugnisse ausgestaltet?