No-Fly-Liste: Eidgenössischer Datenschutzbeauftragter interveniert bei Hacktivistin Maia Arson Crimew

Die schweizerische Hacktivistin Maia Arson Crimew entdeckte, dass die Fluggesellschaft CommuteAir eine amerikanische No-Fly-Liste im Internet veröffentlicht hatte. Auf die Entdeckung reagierte der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) mit einem Schreiben an die Hacktivistin, das Fragen aufwirft.

Die Ausgangslage beschreibt die deutsche ZEIT wie folgt:

«[Die Listen] selbst sind nicht als geheim eingestuft, aber alle Vorgänge um die Listen herum sind Verschlusssache. US-Behörden geben zu ihnen kaum Auskunft, und sie wurden nie öffentlich. Bis zum Januar 2023. Da fand eine Schweizer Hackerin beim Stöbern in den fahrlässig ungesicherten Datensilos einer amerikanischen Fluglinie die offizielle No-Fly-Liste der US-Regierung aus dem Jahr 2019 sowie die ergänzende Liste zu den Sonderbefragungen.»

Und:

«Seitdem sind die Daten über das journalistische Recherchekollektiv DDoSecrets erhältlich, und auch ZEIT ONLINE hat Zugriff darauf erhalten. Außerdem konnte ZEIT ONLINE eine zweite Datensammlung der US-Behörden zu Terrorverdächtigen aus dem Jahr 2021 einsehen. Die hatte der IT-Sicherheitsforscher Wolodymyr Djatschenko vor einiger Zeit im Netz gefunden – ebenfalls ungesichert. Die betroffene Fluglinie hat inzwischen bestätigt, dass die Daten echt sind.»

In der Schweiz berichtete unter anderem die «Republik» über die Entdeckung von Maia Arson Crimew:

«Die Liste dokumentiert, wie willkürlich die USA den ‹Krieg gegen den Terror› führen: Sogar Vierjährige werden als Gefahr für die innere Sicherheit eingestuft.»

Und:

«Die No-fly-Liste war in der Vergangenheit auch von US-Gerichten als verfassungs­feindlich, rassistisch, willkürlich bezeichnet worden. Sie produziert offenbar unzählige ‹falsch positive› Resultate. Etwa wenn Menschen der Zugang zu Flugzeugen verwehrt wird, weil sie denselben Namen tragen wie andere, die möglicher­weise verdächtige Personen sind.»

Maia Arson Crimew stellte die Liste, wie sie in ihrem Blog schrieb, Forschern und Journalistinnen mit einem berechtigten Interesse zur Verfügung:

«while the nature of this information is sensitive, i believe it is in the public interest for this list to be made available to journalists and human rights organizations. if you are a journalist, researcher, or other party with legitimate interest, please reach out […]. i will only give this data to parties that i believe will do the right thing with it.»

Inzwischen kümmert sich DDoSecrets um die Daten.

EDÖB: «Rechtswidrige Bekanntgabe an Journa­listen»

Der EDÖB, die schweizerische Datenschutz-Aufsichtsbehörde, intervenierte mit Verweis auf die Medienberichterstattung bei Maia Arson Crimew.

Im Schreiben des EDÖB (Seite 1, Seite 2) heisst es unter anderem:

• Die Daten auf der No-Fly-Liste seien schützenswerte Personendaten gemäss Art. 3 lit. c Ziff. 4 DSG und es sei kein «hinreichender Rechtfertigungsgrund ersichtlich», der Maia Arson Crimew «berechtigen würde, derartige Personendaten zu bearbeiten».
• Die Daten seien «umgehend zu vernichten» und die «Durchführung der Vernichtung bis am 14. Februar 2023 zu bestätigen», wobei Maia Arson Crimew empfohlen wurde, «professionelle Rechtsberatung in Anspruch zu nehmen».
• Die Bekanntgabe der No-Fly-Liste an Dritte, insbesondere auch Journalisten, sei – wie überhaupt jegliche Datenbearbeitung im Zusammenhang mit der No-Fly-List – «rechtswidrig». Betroffene Personen könnten gemäss Art. 15 DSG i.V.m. Art. 28 ZGB gerichtlich gegen Maia Arson Crimew vorgehen.

In einer aktuellen Folge der «Datenschutz Plaudereien» spreche ich mit Maia Arson Crimew ausführlich über den EDÖB-Brief, ihre Motivation als Hacktivistin und die Thematik der No-Fly-Listen:

Das EDÖB-Schreiben klingt nach «Shooting the Messenger», denn die eigentlichen Verantwortlichen sitzen in den USA. In jedem Fall verfügt Maia Arson Crimew nicht mehr über die Daten.

Die Empfehlung, «professionelle Rechtsberatung in Anspruch zu nehmen», nahm Maia Arson Crimew ernst. In der Folge reagierte ich im Auftrag und Namen von Maia Arson Crimew mit einem anwaltlichen Schreiben an den EDÖB.

Mein Schreiben an den EDÖB hatte unter anderem folgenden Inhalt:

• Die Daten im Zusammenhang mit der No-Fly-Liste wurden von Maia Arson Crimew inzwischen gelöscht. Ob es sich tatsächlich um besonders schützenswerte Personendaten über «administrative oder strafrechtliche Verfolgungen und Sanktionen» handelt, ist fraglich, denn die betroffenen Personen sind häufig gerade nicht administrativ oder strafrechtlich sanktioniert oder verfolgt.
• Der Vorwurf einer rechtswidrigen Datenbearbeitung ist ehrverletzend und persönlichkeitsverletzend, denn gegen Maia Arson Crimew liegt kein entsprechendes Urteil vor (BGE 132 IV 112 E 4.2). Der Vorwurf strafbaren Verhaltens trifft nicht zu und es gilt die Unschuldsvermutung (Art. 32 Abs. 1 BV, Art. 6 Ziff. 2 EMRK). Die entsprechende Rechtsprechung, die das Bundesgericht insbesondere im Medienrecht entwickelt hat, muss auch für Behörden gelten.
• Es gibt ein überwiegendes, auch öffentliches Interesse an der Aufdeckung von Missständen durch Medien und Medienschaffende. Mit Blick auf die Informations- und Medienfreiheit (Art. 16 u. 17 BV, Art. 10 EMRK) muss man sich fragen, wieso der EDÖB in seinem Schreiben die Medien derart in den Vordergrund rückt.
• Die No-Fly-Liste wurde von der amerikanischen Fluggesellschaft CommuteAir öffentlich im Internet zugänglich gemacht. Wir gehen deshalb davon aus, dass der EDÖB auch Abklärungen betreffend CommuteAir und überhaupt die amerikanischen Flugverbotslisten tätigt.

Als Leseempfehlung schickte ich dem EDÖB den Beitrag «Put them on the No-Fly-List!» von «Papers, Please!».

Ich hoffe, diese Datenschutz-Posse ist damit für Maia Arson Crimew erledigt.

Bild: Pixabay / 0fjd125gk87, Public Domain-ähnlich.