Vermögensermittlung und Web Scraping: Erfahrungsbericht aus dem Fall CEREBRO für Unternehmen

Dieses Verfahren ging auf einen Antrag des Innenministeriums auf vorherige Rücksprache zu einer Datenschutz-Folgenabschätzung (DPIA) in Bezug auf das CEREBRO-System zurück.

Die CEREBRO-Plattform ist vor allem ein zentrales Ermittlungsinstrument, das dazu dient, illegal erworbene Vermögenswerte aufzuspüren und der Kriminalität zu entziehen. Die Plattform arbeitet hauptsächlich auf zwei Arten: einerseits durch die Erfassung von Daten aus externen institutionellen Quellen, andererseits durch die Verarbeitung dieser Daten in Kombination mit manuell eingegebenen Informationen, um unverhältnismäßige finanzielle und vermögensrechtliche Verfügungen zu identifizieren, die möglicherweise auf illegale Aktivitäten zurückzuführen sind.

Die Datenschutzbehörde erkannte zwar, insbesondere nach Einreichung des oben genannten Antrags, den Zweck der Prävention und Verfolgung von Straftaten an, bat jedoch zur besseren Folgenabschätzung um Klarstellungen in einigen kritischen Punkten, ​darunter:

Das Ministerium für öffentliche Sicherheit hat daher eine aktualisierte Fassung der DPIA vorgelegt, in der es auf die Bemerkungen der Datenschutzbehörde eingegangen ist und klarstellte, dass sich der Begriff „Web Scraping“ nicht auf die erhebliche und willkürliche Erhebung personenbezogener Daten aus dem Netz bezieht, sondern auf eine gezielte Extraktion von Informationen aus bestimmten autorisierten institutionellen Datenbanken, auf die ausschließlich befugte Polizeibeamte Zugriff haben. Die Richtigkeit der Daten wird durch eine manuelle Überprüfung der entnommenen Informationen sichergestellt und es wurde klargestellt, dass, sobald verfügbar, alternative Verfahren auf Grundlage einer kooperativen Anwendung zum Schutz der Betroffenen eingeführt werden. Tatsächlich wurde der Einsatz der gezielten Extraktionstechnik „Web Scraping”, als die derzeit einzige verfügbare Methode zur automatischen Erfassung der für die Vermögensermittlung erforderlichen Informationen aus bestimmten institutionellen Datenbanken beschrieben. 

Zudem erfolgt die Identifizierung der Personen, gegen die ermittelt wird, erst nach einer Voruntersuchung, die unter der Leitung der vorschlagenden Behörde oder der Justizbehörde durchgeführt wird. Dabei müssen Anhaltspunkte für unverhältnismäßige wirtschaftliche oder finanzielle Mittel festgestellt werden. Anschließend ist die Veröffentlichung einer Datenschutzerklärung auf der Website der Polizei vorgesehen. Diese enthält sämtliche Informationen gemäß den Artt. 13 und 14 der DSGVO sowie eine Kontaktstelle für die Ausübung der Rechte der Betroffenen.  Schließlich wurde bekräftigt, dass die von CEREBRO erstellten Berichte lediglich einen Ermittlungszweck haben und keine direkten negativen Auswirkungen auf den Rechtsbereich der betroffenen Person haben, da gerichtliche Maßnahmen nur nach einem kontradiktorischen Verfahren mit der Verteidigung der Person getroffen werden, wodurch die Vorrangstellung des menschlichen Eingreifens gewährleistet ist.

Die Untersuchung der Datenschutzbehörde konzentrierte sich auf die Analyse der für die Verarbeitungstätigkeiten gewählten Rechtsgrundlage in Übereinstimmung mit den zwingenden Anforderungen von Art. 6 der DSGVO und kam zu dem Entschluss, dass die vom Ministerium angeführten Rechtsquellen geeignet sind, die Datenverarbeitung zu legitimieren. 

Die Datenschutzbehörde stellte außerdem klar, dass der Einsatz neuer Technologien und die Art der Verarbeitung dennoch ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellten, sodass eine vorherige Konsultation der Datenschutzbehörde erforderlich war.

Im Zentrum der Analyse standen auch die wesentlichen Prinzipien der Transparenz sowie der Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen. Zum einen ist das Ministerium verpflichtet, umfassende Informationen über die Datenverarbeitung offenzulegen, zum anderen wurde hervorgehoben, dass das CEREBRO-System ausschließlich Berichte zur Ermittlungsunterstützung erstellt. Jede Entscheidung mit rechtlichen Folgen setzt hingegen ein weiteres Verfahren voraus, in dem menschliches Eingreifen im Rahmen eines kontradiktorischen Prozesses sichergestellt wird. Damit soll der Befürchtung entgegengewirkt werden, dass rein automatisierte Datenverarbeitungen erhebliche Auswirkungen auf die Betroffenen haben könnten.

Die Datenschutzbehörde war schließlich der Ansicht, dass auch der Grundsatz der Speicherbegrenzung durch die Festlegung einer maximalen Aufbewahrungsfrist für die Daten eingehalten wurde. So fällt die Schließung der digitalen Akte mit dem Zeitpunkt zusammen, an dem der konkrete und spezifische Zweck der Datenerhebung und -analyse erfüllt ist. Spätestens nach zehn Jahren löscht das System die Daten automatisch und stellt damit sicher, dass Informationen nicht länger als erforderlich gespeichert werden.

Daher fiel die endgültige Entscheidung der Datenschutzbehörde, die in einer Maßnahme vom 4. August 2025 zum Ausdruck kam, zugunsten der Folgenabschätzung zum CEREBRO-System aus. 

Zusammenfassend lässt sich sagen, dass dieser Fall zwar zeigt, wie öffentliche Behörden Instrumente wie CEREBRO zu Ermittlungs- und Strafverfolgungszwecken einsetzen können, die Entscheidung der Datenschutzbehörde jedoch auch interessante Aspekte für Unternehmen bietet, die ähnliche Instrumente für Vermögensermittlungszwecke einsetzen möchten. Insbesondere: