Die Universität Zürich räumt Fehler ein. Sie hatte interne Telefon- und Maildaten ausgewertet und teilweise der Staatsanwaltschaft weitergereicht. Ziel war es, die Quelle zu finden, welche die «Affäre Mörgeli» losgetreten hatte, indem sie einen damals noch nicht veröffentlichten Bericht über den Zustand des Medizinhistorischen Instituts den Medien zugespielt und damit allenfalls das Amtsgeheimnis verletzt hatte (das juristische Verfahren ist hängig). Die Universität entschuldigt sich nun in einer Mitteilung für ihre «Fehleinschätzung». Denn: «Für die Universitätsleitung steht ausser Frage, dass die Universität sensibler mit Personendaten hätte umgehen und die Verhältnismässigkeit der Datenherausgabe sorgfältiger hätte prüfen müssen.»

«Die Verhältnismässigkeit fehlt»

Der kantonale Datenschützer Bruno Baeriswyl, der den Vorgang untersucht hatte, spricht in seinem gestern veröffentlichten Bericht von einem klar rechtswidrigen Verhalten. Denn die Uni hatte sämtliche 9300 Festnetzanschlüsse und rund 1800 Mobilanschlüsse überprüft, um jene herauszufiltern, von denen aus bestimmte Telefonnummern verschiedener Medienhäuser angerufen wurden. Das sei eine Rasterfahndung, kritisiert Baeriswyl. Die Universität verfüge über keine Rechtsgrundlage, die diese Methode erlauben würde. Und zudem würde es auch «offensichtlich an der Verhältnismässigkeit fehlen».

Für den kantonalen Datenschützer ging die Universität damit deutlich zu weit. Er begründet dies «allein schon mit der Tatsache, dass die Staatsanwaltschaft ursprünglich nur nach den Telefon-Verkehrsdaten des Medizinhistorischen Instituts fragte». Es hätte also genügt, nur die wenigen Daten zu untersuchen, die in diesem kleinen Institut angefallen waren. «Es war nicht erforderlich, Daten von rund 11 000 Anschlüssen von rund 8400 Mitarbeitenden der Universität sowie einer unbestimmten Anzahl von Mitarbeitenden externer Stellen und assoziierter Institute auszuwerten.»

Ebenfalls für rechtswidrig hält Bruno Baeriswyl unter anderem, dass die Uni im weiteren Verlauf des Verfahrens der Staatsanwaltschaft die Inhalte von Mails weitergegeben hatte. Dem hätten «überwiegende private Interessen der Betroffenen entgegengestanden».

Ein Rechtsgutachten, das der Universitätsrat in Auftrag gegeben hatte und das ebenfalls gestern publiziert wurde, entlastet derweil die Uni ein wenig. Die Juristen Sylvain Métille und Nicolas Guyot, bei der Westschweizer Anwaltsfirma BCCC auf Datenschutzfragen spezialisiert, kommen zum Schluss, dass die Universität auf die Anfrage der Staatsanwaltschaft reagieren musste: Deren Aufforderung zur umfassenden Datenerhebung und Datenherausgabe sei verbindlich gewesen.

Die beiden Gutachter kritisieren indes die Staatsanwaltschaft. Denn die Voraussetzungen für die von ihr gestellte «Editionsaufforderung» seien nicht gegeben gewesen. So sei weder die Überprüfung der Telefon- und Maildaten auf einen kleinen Personenkreis beschränkt gewesen, noch habe es genügend verdachtsbegründende Indizien gegenüber allen Angehörigen der Uni gegeben.

Damit habe die Staatsanwaltschaft den Grundsatz der Verhältnismässigkeit verletzt, heisst es im Gutachten. Aber hier hätte auch die Uni einhaken müssen. Sie hätte diese Unverhältnismässigkeit der Massnahme geltend machen müssen, um ihre Angehörigen ausreichend zu schützen, finden die Gutachter.

Uni stellte Datenschützer an

Als Folge der Kritik hat die Universität verschiedene Richtlinien in die Vernehmlassung geschickt. Sie plant als zentralen Punkt insbesondere, eine neue Stelle für einen eigenen Datenschutzbeauftragten zu schaffen. In der vergangenen Woche hat die Universitätsleitung entschieden, dass dieser neue Posten «so schnell als möglich ausgeschrieben wird».

Im Herbst 2012 hatte der «Tages-Anzeiger» einen Uni-internen Bericht publik gemacht, der das von Christoph Mörgeli geleitete Medizinhistorische Museum kritisierte. In der Folge reichte die Universität eine Strafanzeige wegen Amtsgeheimnisverletzung ein. Laut Staatsanwaltschaft soll Iris Ritzmann den Bericht weitergegeben haben. Die Medizinhistorikerin weist diesen Vorwurf zurück. Ob die Telefon- und Maildaten von der Universität oder der Staatsanwaltschaft rechtmässig beschafft wurden und als Beweise zugelassen werden, wird das Gericht in diesem Verfahren entscheiden.