Schlagwort: Vorratsdatenspeicherung
17. April 2023
Vergangene Woche veröffentlichte das Bundesministerium der Justiz (BMJ) seine Eckpunkte zum Gesetz gegen digitale Gewalt. Ziel des Vorhabens sei es betroffenen Personen digitaler Gewalt, beispielsweise von Beleidigungen auf Internetplattformen bei der Durchsetzung ihrer Rechte und dem Schutz vor weiteren Rechtsverletzungen zu helfen. Das Vorhaben blieb allerdings nicht ohne Kritik.
Konkrete Vorschläge
Mit dem neuen Gesetz gegen digitalisierte Gewalt will das BMJ effektiver gegen beleidigenden Äußerungen und diffamierende Inhalten im Internet vorgehen. Diese Aufgabe sollte bisher das Netzwerkdurchsetzungsgesetz (NetzDG) übernehmen. Dieses soll allerdings durch den Digital Service Acts ab dem Zeitpunkt seiner Geltungswirkung ersetzt werden.
Nach dem Eckpunkte-Papier des BMJ sieht das Gesetz gegen digitale Gewalt zwei wesentliche Änderungen vor. Erstens solle es möglich sein, dass betroffene Personen digitalisierter Gewalt einen besseren Auskunftsanspruch über den Verfasser des rechtsverletzenden Textes erhielten. Außerdem sollte den betroffenen Personen künftig ein Anspruch auf Sperrung eines Accounts zustehen, der besonders häufig Rechtsverletzungen begehe.
Konkret sei es das Ziel des BMJ, dass das Gesetz gegen digitale Gewalt das Auskunftsverfahren verbessere. Demnach könne eine betroffene Person, die Opfer einer Beleidigung oder anderen Straftat sei, umfangreichere Nutzungsdaten bei dem Betreiber sozialer Medien erfragen. Statt lediglich der Name und der E-Mail-Adresse sei so ein Auskunftsanspruch auf Erhalt der IP-Adresse möglich. Die Durchsetzung des Auskunftsanspruch sollte kostenlos vor Gericht erfolgen.
Außerdem bekämen die betroffenen Personen die Möglichkeit bei schwerwiegenden Persönlichkeitsverletzungen die Sperrung des verursachenden Accounts zu veranlassen.
Kritik
Insbesondere der Chaos Computer Club (CCC) reagierte mit Kritik auf die Vorschläge des BMJ. Grund für die Kritik ist u.a. die Absicht des BMJ Dienstleister Sozialer Medien dazu zu verpflichten, die Bestands- und Nutzungsdaten der Verfasser von rechtswidrigen Inhalten zu speichern. Demnach sollten die Dienstleister im Falle eines Auskunftsverfahrens verpflichtet sein, die entsprechenden Daten abzusichern.
Der CCC sieht darin eine „Vorratsdatenspeicherung durch die Hintertür“. Aus Sicht des Clubs sei es problematisch, dass die Ziele des BMJ nur erreicht werden könnten, wenn Dienstleister Sozialer Medien eine Vielzahl von Daten speicherten. Allerdings würden einmal gespeicherte Daten häufig für andere, nicht vorhergesehene Zwecke genutzt werden. Außerdem sei es besonders bedenklich, dass die Pflicht zur Speicherung eine mögliche Profilbildung für verpflichtete Dienstleister erleichtere. Demnach könnten sie bereits vorhandene Daten mit Identifikationsdaten kombinieren. Die Folge seien erhebliche Risiken für die informationelle Selbstbestimmung.
Fazit
Bereits in ihrem Koalitionsvertrag von 2021 hatte die Ampelregierung ihre Absicht festgelegt, ein Gesetz gegen digitale Gewalt zu verabschieden. Es bleibt abzuwarten, ob die veröffentlichten Eckpunkte, so wie sie derzeit vorliegen Eingang in einen Gesetzesentwurf finden werden.
21. September 2022
Der Europäische Gerichtshof (EuGH) enschied am 20.09.2022 wie bereits erwartet, dass die deutsche Vorratsdatenspeicherung nicht mit EU-Recht vereinbar sei (Rs. C-793/19, C-794/19). Der EuGH bestätigt mit diesem Urteil seine bisherige Rechtsprechung und folgt den Anträgen des Generalanwaltes.
Konkret bestätigte das Gericht, dass eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten nicht mit dem europäischen Recht vereinbar sei. Der EuGH führt dazu aus, dass die Vorratsdaten “in Anbetracht ihrer Menge und Vielfalt es in ihrer Gesamtheit ermöglichen, sehr genaue Schlüsse auf das Privatleben der Person bzw. der Personen zu ziehen, deren Daten gespeichert wurden, und insbesondere die Erstellung eines Profils der betroffenen Person bzw. der betroffenen Personen ermöglichen, das im Hinblick auf das Recht auf Achtung des Privatlebens eine ebenso sensible Information darstellt wie der Inhalt der Kommunikationen selbst.” (Rn. 87). Gleichzeitig räumt der EuGH aber ein, dass eine Speicherung von Vorratsdaten unter ganz bestimmten Voraussetzungen mit dem EU-Recht vereinbar sei. Gründe hierfür könnten der Schutz der nationalen Sicherheit, die Bekämpfung von Kriminalität und der Schutz der öffentlichen Sicherheit eines Mitgliedsstaates sein. Insbesondere die Verhältnismäßigkeit müsste dann aber bedacht werden.
Die Regelungen zur Vorratsdatenspeicherung befinden sich in § 113a Abs. 1 in Verbindung mit § 113b des TKG (Telekommunikationsgesetz). Hiergegen klagten Spacenet und die Telekom zunächst vor dem VG Köln. Schließlich landete das Verfahren vor dem Bundesverwaltungsgericht, welches dem EuGH das Verfahren dann vorlegte und nach der Vereinbarkeit dieser Regelungen mit EU-Recht fragte. Die Pflicht zur Vorratsdatenspeicherung ist seit dem Urteil des VG Köln im Jahr 2017 ausgesetzt gewesen.
Die Bundesregierung hatte bereits vor der Urteilverkündung angekündigt, die Regelungen zur Vorratsdatenspeicherung reformieren zu wollen. Was Einzelheiten angeht ist man sich aber bisher nicht einig.
22. Juni 2022
Diese Woche, am 21.06.2022 entschied der EuGH (Rs. C-817/19), dass Flugunternehmen die personenbezogenen Daten ihrer Reisegäste nicht mehr anlasslos und so umfangreich wie bisher verarbeiten dürfen. Aus Sicht des Gerichtshofs darf sich die Verarbeitung der Fluggastdaten nur noch auf ein absolut notwendiges Maß beschränken.
Der Sachverhalt
Hintergrund der Entscheidung waren rund zehn Vorlagefragen des belgischen Verfassungsgerichtshofs. Diese Fragen legte der Verfassungsgerichtshof dem EuGH im Rahmen eines Verfahrens, dass der gemeinnützige Verein „Ligue des droits humaines“ (Liga für Menschenrechte, LDH) angestrengt hatte, vor. Gegenstand des Vorabentscheidungsverfahrens war ein belgisches Gesetz vom 25.12.2016. Mit diesem Gesetz setzte der belgische Gesetzgeber unter anderem die Richtlinien (EU) 2016/681, die Passanger Name Record-Richtlinie (PNR-Richtlinie) und die Richtlinie 2004/82/EG, die Advance Passanger Information-Richtline (API-Richtlinie) um.
Insbesondere die Bestimmungen der PNR-Richtlinie standen in Frage. Diese verleihen Fluggesellschaften die Befugnis systematisch eine große Anzahl von personenbezogenen Daten ihrer Gäste zu verarbeiten. Zu den überprüfbaren Daten zählen beispielsweise Name, Kontaktdaten, Reiseroute und Zahlungs- sowie Abrechnungsinformationen. Die Befugnis bezieht sich einerseits auf Flüge zwischen Mitgliedstaaten der EU und Drittstaaten bei Ein- und Ausreise und andrerseits auf Flüge zwischen EU-Mitgliedstaaten. Folglich musste der EuGH unter anderem die Frage beantworten, ob das belgische Gesetz Art. 7 und 8 der EU-Grundrechtecharta, die Achtung des Privat- und Familienlebens und das Recht personenbezogener Daten, verletzte.
Ein schwerwiegender Eingriff
Der EuGH stellte zunächst fest, dass ein schwerwiegender Eingriff der PNR-Richtlinie in Art. 7 und 8 EU-Grundrechtecharta existiere.
Allerdings musste der EuGH anschließend bestimmen, ob eine Rechtfertigung für die schwerwiegenden Eingriffe in Art. 7 und 8 EU-Grundrechte bestand. Der Gerichtshof entschied, dass eine Rechtfertigung für die Eingriffe bestehe, wenn die PNR-Richtlinie so ausgelegt werde, dass sie das absolut Notwendige noch erlaube.
Die Grenze ist das absolut Notwendige
Demnach müssen die Mitgliedstaaten Sorge dafür tragen, dass sie die verarbeiteten Fluggastdaten tatsächlich nur für die Bekämpfung schwerer Straftaten und nicht für die Bekämpfung gewöhnlicher Straftaten einsetzten.
Der Gerichtshof äußerte sich ebenfalls dazu, dass aufgrund der PNR-Richtlinie die Flugunternehmen grundsätzlich die personenbezogenen Daten jeglicher Fluggäste verarbeiten können. Für eine rechtskonforme Anwendung der PNR- Richtlinie sei erforderlich, dass es „(…) hinreichend konkrete Umstände für die Annahme gibt, dass [der Mitgliedstaat] mit einer als real und aktuell oder vorhersehbar einzustufenden terroristischen Bedrohung konfrontiert ist.“ (EuGH, Urteil vom 21.06.2022, C-817/19 Rn.171) In diesem Fall wahre der Mitgliedstaat die Grenzen der EU-Grundrechte, wenn er die PNR-Richtlinie zeitlich begrenzt auf Flüge aus oder nach dem betroffenen Staat anwende.
Problematisch sei außerdem, dass eine eigens hierfür eingerichtete nationale Behörde die gesammelten Fluggastdaten anhand einer Vielzahl von Datenbänken überprüfen kann. Es sei sicherzustellen, dass die herangezogenen Datenbänke „(…) Personen, nach denen gefahndet wird oder die Gegenstand einer Ausschreibung sind (…)“ (EuGH, Urteil vom 21.06.2022, C- 817/19, Rn.190) betreffen. Zusätzliche dürfen diese Datenbänke nicht diskriminierend sein und müssen im „(…) objektiven Zusammenhang mit der Beförderung von Fluggästen betrieben werden.“ (EuGH, Urteil vom 21.06.2022, C-817/19, Rn.191)
Weitere Einschränkungen für die PNR-Richtlinie
Der EuGH äußerte sich auch dazu, dass „(…) die automatisierten Analysen der PNR-Daten (…) zwangsläufig mit einer gewissen Fehlerquote behaftet sind (…)“ (EuGH, Urteil vom 21.06.2022, C- 817/19, Rn.106), sodass ein anhand der Daten ermittelter Terrorverdacht in 5 von 6 Fällen nicht bestätigt werden könne. Zur Verringerung müssen die Mitgliedstaaten klare und präzise Kriterien für eine objektive Überprüfung aufstellen. Die zuständigen Stellen der Mitgliedstaaten sollen diese Kriterien befolgen.
Bei einer nachträglichen Überprüfung der Fluggastdaten, d.h. nach Abflug oder Ankunft des Fluggastes könne die Datenverarbeitung nur bei Vorliegen bestimmter objektiver Kriterien erfolgen. Es sei sicherzustellen, dass ein begründeter Verdacht bestehe, dass die betroffene Person an schwerer Kriminalität beteiligt sei. Der kriminelle Akt müsse außerdem einen mittelbaren Zusammenhang mit der Flugreise aufweisen.
Abschließend behandelte der EuGH die lange Speicherdauer der Fluggastdaten von fünf Jahren. Obwohl die Daten nach sechs Monaten unkenntlich zu machen seien, könne der Verwender sie anschließend wieder offenlegen. Er stellte fest, dass die Speicherung von Fluggastdaten, die über sechs Monate hinausgehe das absolut Notwendige überschreite.
30. Dezember 2021
Die 2016 mit prominenter Unterstützung eingereichte Verfassungsbeschwerde gegen die Vorratsdatenspeicherung wird mit einem Ende vergangener Woche gestellten Antrag angepasst auf die Gesetzesreform des TKG von Anfang Dezember. Nach der Gesetzesreform befinden sich die angegriffenen Regelungen nun in den Paragrafen 176 und 177 TKG. Von den Beschwerdeführern wird geltend gemacht, dass die ursprünglich angegriffenen Regelungen im Rahmen der Novellierung des TKG nicht in dem Sinne aufgehoben wurden, als dass sie ersatzlos entfallen wären – im Gegenteil seien die Regelungen lediglich “verschoben” worden. In der Konsequenz handele es sich bei der Novellierung um eine bewusste Perpetuierung der ursprünglichen Rechtslage und damit um nach Auffasung der Beschwerdeführer verfassungswidrige Regelungen.
Zu einigen Punkten der Ausgangsbeschwerdeschrift nehmen die Beschwerdeführer noch einmal ergänzend Stellung. Im Fokus liegt dabei insbesondere die umstrittene Vorratsdatenspeicherung von IP-Adressen: Der Europäische Gerichtshof (EuGH) hält Vorgaben zum flächendeckenden Aufbewahren von Telekommunikationsdaten auf Vorrat unverhältnismäßig und sieht darin einen Verstoß gegen die europäischen Grundrechte. Für das flächendeckende Aufbewahren von IP-Adressen allerdings nimmt der EuGH eine Ausnahme vor. Da die IP-Adresse eines Nutzers für sich genommen nicht auf den Kommunikationspartner schließen lasse, bringe die Vorratsdatenspeicherung von IP-Adressen im Vergleich zu der Erfassung von Verbindungs- und Standortdaten weniger schwerwiegende Grundrechtseingriffe mit sich und sei deshalb “milderes” Mittel im Vergleich zu einer Erfassung von Verbindungs- und Standortdaten.
Dieser Annahme tritt die erweiterte Argumentation der Beschwerdeführer vehement entgegen. Warum die Identifizierbarkeit eines Teilnehmers anhand einer IP-Adresse unter geringeren Voraussetzungen möglich sein soll als bei anderen Kennungen sei schlechthin nicht zu rechtfertigen. Dies verdeutliche bereits ein simples Beispiel. Ruft jemand mit unterdrückter Rufnummer einen bekannten Zielanschluss an, so darf dies nicht auf Vorrat gespeichert werden. Erfolge der Anruf dagegen über einen anonymen Internetdienst, wäre der Anrufer dagegen über seine IP-Adresse identifizierbar. Zudem sei nicht die IP-Adresse selbst entscheidend sondern ihre Nutzbarkeit. Mit ihrer Hilfe lasse sich nicht nur auf einen Kommunikationspartner schließen sondern die gesamte Internetnutzung rekonstruieren und so ein detailliertes Persönlichkeitsprofil erstellen – anders als bei anderen Verbindungdaten. Nach dieser Argumentation wäre die Speicherung von IP-Adressen mitnichten weniger eingriffsintensiv, sondern geradezu das Ende der Anonymität im Internet.
Die meisten EU-Mitgliedstaaten wollen laut einem diplomatischen Bericht das EuGH-Urteil ausschöpfen. Der neue Bundesjustizminister Marco Buschmann (FDP) hingegen will die Vorratsdatenspeicherung „endgültig aus dem Gesetz streichen“. Die FDP schlägt stattdessen das sogenannte Quick Freeze Verfahren vor. In solchen Fällen werden Vorratsdaten erst nach einem konkreten Anfangsverdacht und einer gerichtlichen Anordnung „eingefroren“ und Ermittlungsbehörden zur Auswertung übergeben. Ein solches Vorgehen wäre, so Buschmann, “ein Gewinn für Freiheit und Sicherheit zugleich.”
15. September 2021
Am 13.09.2021 begann vor der großen Kammer des Europäischen Gerichtshofes (EuGH) die mündliche Verhandlung zur Vorratsdatenspeicherung in Deutschland. Ausgangspunkt dafür war ein Rechtsstreit zwischen der Bundesnetzagentur und der Telekom sowie dem Internetanbieter SpaceNet. Telekom und SpaceNet wehren sich gegen die § 113a Abs. 1 i.V.m. § 113b Telekommunikationsgesetz (TKG), die die Vorratsdatenspeicherung regeln. Nach diesen Vorschriften sollen bestimmte Daten über Kunden aufbewahrt werden, falls Polizei- und Strafverfolgungsbehörden darauf Zugriff benötigen. Bei diesen Daten handelt es sich nicht um Gesprächsinhalte, sondern um IP-Adressen, Verbindungs- und Standortdaten. Der Rechtsstreit ist momentan beim Bundesverwaltungsgericht (BVerwG) anhängig. Das BVerwG stellte sich die Frage, ob eine solche Regelung mit Unionsrecht vereinbar sein kann und legte die Regelung dem EuGH zur Kontrolle vor. Die Pflicht zur Speicherung ist in Deutschland seit einem Urteil des Oberverwaltungsgerichts Münster im Jahr 2017 durch die Bundesnetzagentur ausgesetzt, sodass eine Vorratsdatenspeicherung im Sinne dieser Normen momentan nicht stattfindet.
Die Vorratsdatenspeicherung ist in Europa schon seit Jahren ein umstrittenes Thema. Erst im Oktober 2020 urteilte der EuGH, dass die damals vorgelegten Regelungen zur Vorratsdatenspeicherung unzulässig sei. Die damaligen Regelungen kamen aus Frankreich, Belgien und Großbritannien. Sie sahen eine pauschale Vorratsdatenspeicherung vor. Der EuGH stellte damals fest, dass eine anlasslose Speicherung nur ausnahmsweise dann zulässig sein könne, wenn dieses zur Bekämpfung schwerer Kriminalität oder einer konkreten Bedrohung der nationalen Sicherheit notwendig sei.
Die EU-Mitgliedsstaaten, sowie die EU-Kommission setzen sich seit Jahren für eine Vorratsdatenspeicherung ein, da dies die Aufklärung schwerer Kriminalität erleichtern kann. DatenschützerInnen sind hingegen um die Sicherheit der gespeicherten Daten besorgt und darüber, dass Daten von jedem Bürger gespeichert werden sollen, nicht nur von strafrechtlich Auffälligen. Einen Kompromiss könnte der EuGH in dem erwarteten Urteil z.B. mit kürzeren Speicherfristen finden. Auch über das sogenannte “quick freeze” wird nachgedacht, ein anlassbezogenes rasches Einfrieren von Verbindungsdaten.
Gleichzeitig mit der deutschen Vorratsdatenspeicherung wird der EuGH auch über Fälle aus Irland und Frankreich entscheiden. Mit einem Urteil kann frühestens ab Februar 2022 gerechnet werden.
22. Oktober 2020
Die Regierung des Vereinigten Königreichs gerät zunehmend unter Druck, eine Regelung über den Datentransfer mit der EU zu erreichen. Gelingt dies nicht, droht das UK zum 31. Dezember dieses Jahres zum unsicheren Drittland zu werden. Verantwortliche und Auftragsverarbeiter, die Daten in das UK übermitteln, müssten dann selbst sicherstellen, dass das Schutzniveau der DSGVO für natürliche Personen nicht untergraben wird.
Am 31. Januar 2020 trat das Vereinigte Königreich aus der EU aus. Das Austrittsabkommen sieht eine Übergangsphase bis zum 31. Dezember 2020 vor, nach der das UK alle EU-Regeln einhält und damit auch die Vorgaben der DSGVO. Nach Ablauf der Übergangsphase wird das UK nach der DSGVO zum EU-Drittland. Datenübermittlungen in Drittländer sind nach den Art. 44 ff. DSGVO nur unter bestimmten weiteren Voraussetzungen zulässig. Für die Zulässigkeit kommt es darauf an, ob in dem Drittland ein angemessenes Schutzniveau sichergestellt werden kann.
Die EU-Kommission kann in sogenannten Angemessenheitsbeschlüssen feststellen, dass in einem Drittland ein angemessenes Schutzniveau besteht. Datenexporteure und Datenimporteure können sich bei Datenübermittlungen in das betreffende Land dann auf diesen Angemessenheitsbeschluss berufen. Aktuell führt die EU-Kommission eine Bewertung der Datenschutzrechtslandschaft des Vereinigten Königreichs durch und evaluiert, ob sie einen solchen Angemessenheitsbeschluss erlassen kann. Seit März werden dafür Gespräche geführt und Dokumente vorgelegt.
Am 13.10.2020 veröffentlichte das britische Oberhaus einen Bericht über die zukünftigen Beziehungen des Vereinigten Königreichs zur EU. Dem Bericht zu Folge sieht das Oberhaus die Gefahr, dass die EU-Kommission keinen Angemessenheitsbeschluss für das UK erlassen wird. Deswegen fordert es, dass die britische Regierung auf einen baldigen Abschuss der Bewertung der EU-Kommission drängt.
Grund zur Sorge besteht durchaus. Denn so äußerte Věra Jourová, Vizepräsidentin der EU-Kommission und Kommissarin für Werte und Transparenz, Zweifel, ob das Vereinigte Königreich Änderungen in seiner nationalen Gesetzgebung durchführen wird, die von der Linie der DSGVO abweichen.
Auch bereits existierenden Gesetze des UK könnten dem Angemessenheitsbeschluss entgegenstehen. Der EuGH entschied erst am 6. Oktober 2020 (auch) über Überwachungsgesetze des UK. Laut dem EuGH sind die in den Gesetzen vorgeschriebenen flächendeckenden und pauschalen Speicherungen von Internet- und Verbindungsdaten nicht zulässig. Ausnahmen seien nur möglich, wenn es um die Bekämpfung schwerer Kriminalität oder den konkreten Fall einer Bedrohung der nationalen Sicherheit gehe.
Kommt es nicht zum Erlass eines Angemessenheitsbeschlusses, müssen Verantwortliche und Auftragsverarbeiter, die Daten in dieses Drittland übermitteln wollen, selbst geeignete Garantien zur Gewährleistung eines angemessenen Schutzniveaus vorsehen, damit Datenübermittlungen in das Drittland zulässig sind. Als geeignete Garantien kommen Binding Corporate Rules, die Verwendung von Standardvertragsklauseln der EU-Kommission (SCC), genehmigte Verhaltensregeln und genehmigte Zertifizierungsmechanismen und einzeln ausgehandelte Vertragsklauseln in Betracht.
In Bezug auf Standardvertragsklauseln bei Datentransfers in die USA hat der EuGH festgestellt, dass diese wegen der Überwachungsgesetze in den USA ohne weitere Maßnahmen nicht ausreichen, ein angemessenes Datenschutzniveau sicherzustellen. Eine ähnliche Situation könnte sich schlimmmstenfalls zum Jahreswechsel auch bei dem Vereinigten Königreich einstellen.
8. Oktober 2020
Der Europäische Gerichtshof (EuGH) in Luxemburg entschied mit am 06.10.2020 veröffentlichten Urteil, dass eine flächendeckende und pauschale Speicherung von Kommunikations- und Standortdaten bei der Nutzung von Telekommunikationsdiensten unzulässig ist. Anlass hierzu war, dass der belgische Verfassungsgerichtshof, der französische Staatsrat und das britische Gericht für Ermittlungsbefugnisse anfragten, ob die europäische Datenschutzrichtlinie für elektronische Kommunikation auch auf Maßnahmen zur Terrorabwehr angewendet werden kann.
Eine Ausnahme des Verbotes der flächendeckenden und pauschalen Speicherung von Kommunikations- und Standortdaten soll in Fällen der Bekämpfung schwerer Kriminalität sowie bei konkreten Bedrohungen der nationalen Sicherheit gelten. Voraussetzung für einen solchen Ausnahmefall ist, dass sich ein EU-Mitgliedstaat in einer ernsten Bedrohungslage für die nationale Sicherheitslage befände, die allgemein, aktuell und vorhersehbar sei. Unklar bleibt, was genau als „ernsthafte Bedrohung“ definiert werden darf und was nicht. Auch hier gilt, dass die Datenspeicherung und -übermittlung streng zweckgebunden und zeitlich begrenzt sein muss. Eine Beschränkung auf das unbedingt notwendige Maß ist erforderlich. Eine Nachprüfung durch Gerichte oder unabhängige Behörden soll jederzeit möglich sein können.
Gleiches gilt bei Ermittlungen gegen schwere Straftaten und bei einer Bedrohung der öffentlichen Sicherheit.
Weiterhin hält der EuGH eine Vorratsdatenspeicherung für rechtmäßig, wenn sie sich auf bestimmte Personengruppen oder bestimmte Gebiete bezieht und auf einen bestimmten Zeitraum begrenzt ist. Hier sollen Behörden Provider überdies über diese bestimmten Zeiträume hinaus zur Datenspeicherung anhalten können. Hierbei ist wieder Voraussetzung, dass die Vorratsdatenspeicherung Maßnahmen zur Aufklärung von schweren Verbrechen oder von Angriffen auf die nationale Sicherheit dient, oder wenn solche konkreten Anlassfälle vermutet werden.
In Deutschland wird die Vorratsdatenspeicherung momentan ohnehin aufgrund eines früheren Urteils des EuGH ausgesetzt. Ein gesondertes Verfahren vor dem EuGH hierzu ist derzeit noch anhängig.
21. Januar 2020
Der Europäische Gerichtshof befasst sich derzeit im Rahmen mehrerer Vorabentscheidungsverfahren wieder einmal mit der Zulässigkeit verschiedener nationaler Regelungen zur Vorratsdatenspeicherung. In diesen Verfahren haben zwei Generalanwälte nun ihre Schlussanträge vorgelegt. Diese sind für den EuGH zwar nicht bindend, regelmäßig zeichnet sich in ihnen jedoch die spätere Entscheidung ab, sodass sich hier schon eine nähere Betrachtung lohnt.
Bereits 2014 hatte der EuGH die Richtlinie 2006/24/EG zur Vorratsdatenspeicherung von Telekommunikationsverkehrsdaten für unverhältnismäßig und damit nichtig erklärt (verbundene Rechtssachen C‑293/12 und C‑594/12), ebenso wie im Jahr 2016 verschiedene, auf dieser Richtlinie beruhende nationale Regelungen (verbundene Rechtssachen C‑203/15 und C‑698/15). Das Gericht begründete seine Entscheidungen insbesondere damit, dass eine anlasslose und undifferenzierte Vorratsdatenspeicherung einen unverhältnismäßigen Eingriff in die Grundrechte der Betroffenen darstelle. Trotz dieser eindeutigen Entscheidungen weigerten sich jedoch zahlreiche Mitgliedsstaaten, auf die bereits erlassenen Gesetze zur Vorratsdatenspeicherung zu verzichten. Unter anderem die entsprechenden Gesetze aus Frankreich, Belgien, Großbritannien und Estland sind der Anlass dafür, dass sich der EuGH nun erneut mit dieser Frage beschäftigt.
Bereits vergangene Woche hat der in vier Verfahren (Verbundene Rechtssachen C‑511/18 und C‑512/18, Rechtssache C‑520/18 und Rechtssache C‑623/17) zuständige Generalanwalt Campos Sánchez-Bordona seine jeweiligen Schlussanträge vorgelegt. Neben der Anwendbarkeit der Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG) behandelt der Generalanwalt vor allem die Frage, unter welchen Umständen eine Vorratsdatenspeicherung zulässig sein könnte. Eine allgemeine und unterschiedslose Speicherung könne jedenfalls – so sah es auch schon der EuGH in den oben genannten Urteilen – nicht zulässig sein.
Der Generalanwalt liefert jedoch zugleich mehrere Situationen bzw. Ausgestaltungsmöglichkeiten nationaler Regelungen, die eine zulässige Vorratsdatenspeicherung ermöglichen könnten. Dies sei beispielsweise bei einer zeitlich beschränkten Speicherung nur solcher Kategorien von Daten denkbar, die für eine wirksame Kriminalitäts- und Terrorismusbekämpfung absolut unerlässlich sind. Wichtig sei auch ein begrenzter Zugang zu diesen Daten, etwa durch eine vorherige gerichtliche Kontrolle. Ausnahmsweise könne eine weitreichende Vorratsdatenspeicherung aber auch denkbar sein, wenn die Mitgliedsstaaten durch zeitlich beschränkte und Rechtsschutzgarantien beinhaltende Notstandsregelungen auf unmittelbare Bedrohungen reagieren müssen.
In einem weiteren Verfahren (Rechtssache C‑746/18) wurden am heutigen Dienstag (21.01.2020) die Schlussanträge von Generalanwalt Giovanni Pitruzella veröffentlicht. Dabei ging es zwar nicht um die Speicherung der Daten an sich, sondern um die Zulässigkeit des Zugangs durch staatliche Behörden zu diesen Daten. Der Generalanwalt weist aber darauf hin, dass der Zugang nur dann gerechtfertigt sein könne, wenn schon die Speicherung dieser Daten nach den unionsrechtlichen Vorgaben zulässig ist. Hinsichtlich der Rechtmäßigkeit der Speicherung verweist dieser nun ebenfalls auf die bisherige Rechtsprechung des EuGH zur allgemeinen und unterschiedslosen Speicherung. Weitere Ausgestaltungsmöglichkeiten hinsichtlich der Zulässigkeit der Speicherung, wie sie in den Schlussanträgen von Generalanwalt Campos Sánchez-Bordona enthalten sind, finden sich hier jedoch nicht.
Nun bleibt abzuwarten, ob der EuGH diesen Ansichten folgen wird, wobei erst in einigen Monaten mit entsprechenden Entscheidungen zu rechnen ist. Von Interesse sind diese Entscheidungen auch deshalb, weil das Bundesverwaltungsgericht erst im September 2019 die deutsche Regelung zur Vorratsdatenspeicherung – welche vergleichsweise kurze Speicherfristen vorsieht – dem EuGH vorgelegt hat. Ob der komplexen rechtlichen Problematik jedoch mit einer neuen Richtlinie zur Vorratsdatenspeicherung begegnet werden kann, wie teilweise von politischer Seite gefordert wird, ist fraglich.
28. Juni 2019
Vom 3. bis zum 12. Oktober 2018 wurden durch die NSA widerrechtlich Verbindungs- und Standortdaten von einem US-Telekommunikationsanbieter bezogen.
Grundsätzlich ist es der NSA möglich und auch durch den Foreign Intelligence Surveillance Act (FISA) erlaubt, Metadaten von Providern in den USA abzufragen, zu speichern und auszuwerten. Nach richterlicher Bestätigung darf außerdem gezielt nach Daten von US-Bürgern gesucht werden. Von dieser Befugnis machte der Geheimdienst im letzten Jahr häufig gebrauch.
Mitte 2018 gab die NSA zu, dass es zu dem damaligen Zeitpunkt schon zu “technischen Irregularitäten” kam, durch welche der Geheimdienst Daten von US-Bürger besaß, welche dieser nicht hätte besitzen dürfen.
Laut Behörde wird in diesem Zusammenhang das Ausmaß auf die Bürgerrechte und den Datenschutz noch ermittelt.
24. April 2018
Nachdem schon das Oberverwaltungsgericht Nordrhein-Westfalen in einem Urteil die deutsche Regelung zur Vorratsdatenspeicherung für unzulässig erklärt hatte, erklärte nun auch das Verwaltungsgericht Köln in einem neuen Urteil die Vorratsdatenspeicherung für unrechtmäßig.
Damit wurde der Klage der deutschen Telekom stattgegeben, die sich weigerte den Speicherpflichten nach §§ 113a und 113b TKG nachzukommen, da diese nach ihrer Ansicht gegen europäisches Recht verstoßen.
Diese Ansicht teilte auch das Gericht, womit es sich der Rechtsprechung des Oberverwaltungsgerichts für das Land Nordrhein-Westfalen anschloss, die im Juni 2017 schon entschied, dass die den Telekommunikationsunternehmen durch § 113a Absatz 1 in Verbindung mit § 113b TKG auferlegte Pflicht zur Speicherung von Telekommunikationsverkehrsdaten mit Unionsrecht nicht vereinbar ist.
Vor allem sah das VG Köln einen Widerspruch der TKG Paragraphen zur Datenschutzrichtlinie der elektronischen Kommunikation. Weiterhin ordnen die §§ 113a und 113b TKG eine “allgemeine und unterschiedslose Vorratsdatenspeicherung an”, was europarechtlich nicht zulässig sei.
Eine Berufung gegen das Urteil vor dem OVG Münster ist noch möglich, ebenso eine Sprungrevision vor das Bundesverwaltungsgericht in Leipzig.