Sachverhalt

Am 22. April 2015 reichte ein belgischer Journalist in der Schweiz eine Strafanzeige gegen unbekannt wegen Äusserungen auf einem Facebook-Konto unter dem Pseudonym « D. » ein. Die Staatsanwaltschaft des Kantons Waadt eröffnete ein Ermittlungsverfahren wegen Verleumdung, übler Nachrede und Beschimpfung (Art. 173, 174 und 177 StGB).

Am 29. Juni 2015 erliess die Staatsanwaltschaft gegenüber Facebook Switzerland Sàrl (nachfolgend: Facebook Schweiz) einen Herausgabeauftrag, mit dem folgende Informationen verlangt wurden:

  • Identität des Kontoinhabers;
  • Die für die Erstellung des Profils verwendeten IP-Adressen;
  • Die Verbindungsprotokolle und damit verbundenen IP-Adressen;
  • Den privaten Inhalt des Kontos.

Dieser Auftrag war mit einer Strafandrohung gemäss Art. 292 StGB (Widerhandlung gegen eine Behörde) verbunden. Facebook Schweiz antwortete, dass die Plattform von Facebook Ireland Ltd betrieben werde und der Auftrag über den Weg der internationalen Rechtshilfe zuzustellen sei. Am 11. November 2015 wiederholte die Staatsanwaltschaft ihre Forderung in einem Herausgabeentscheid, der sowohl an Facebook Schweiz als auch an deren Geschäftsführer A. und B. gerichtet war. Die Adressaten erhoben Rekurs bei der Strafkammer des Kantonsgerichts des Kantons Waadt, welche ihre Rekurse im März 2016 abwies.

Facebook Schweiz, A. und B. reichten drei separate Rekurse beim Bundesgericht ein und beantragten die Aufhebung des Herausgabeentscheids sowie die Verurteilung zu Kosten und Entschädigung. Das Bundesgericht gab den Rekursen statt.

Erwägungen

Das Bundesgericht prüfte, ob der an Facebook Schweiz gerichtete Herausgabeauftrag nach Massgabe des schweizerischen Strafprozessrechts (StPO) und des Budapester Übereinkommens über Computerkriminalität (CCC) gültig war. Zunächst erinnerte es daran, dass gemäss Art. 265 StPO die Ermittlungsbehörde Gegenstände oder Werte herausverlangen kann, die sich im Besitz von Personen befinden, ohne Zwangsmassnahmen anzuwenden. Dieser Artikel gilt jedoch nicht für Internetdienstanbieter wie soziale Netzwerke, die selbst keinen Internetzugang im Sinne des Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) bereitstellen. Auch die Art. 269 ff. StPO über die Überwachung des Post- und Fernmeldeverkehrs erfassen solche Dienste nicht, da es an einer gesetzlichen Anpassung fehlt.

Sodann analysierte das Bundesgericht das Budapester Übereinkommen, das den Begriff des «Dienstanbieters» auf alle Einrichtungen ausweitet, die Kommunikationsdienste anbieten oder Computerdaten verarbeiten. Allerdings beruht dieses Übereinkommen auf dem Territorialitätsprinzip: Ein Staat darf auf dem Hoheitsgebiet eines anderen Staates keine Ermittlungsmassnahmen ergreifen, ohne den Weg der internationalen Rechtshilfe zu beschreiten. Obwohl Facebook Schweiz in der Schweiz präsent ist, besitzt sie die verlangten Daten nicht, da diese von Facebook Ireland Ltd kontrolliert werden. Der Herausgabeauftrag kann daher nicht an Facebook Schweiz gerichtet werden, sondern muss über den Weg der internationalen Rechtshilfe an die irischen Behörden weitergeleitet werden.

Das Bundesgericht wies zudem das Argument zurück, Facebook Schweiz übe eine konkrete Tätigkeit in der Schweiz aus, die eine Unterwerfung unter strafrechtliche Anordnungen rechtfertige. Es gibt keine Beweise dafür, dass Facebook Schweiz die verlangten Daten…