EuGH bestätigt Verbot der unterschiedslosen Vorratsdatenspeicherung

Der Europäische Gerichtshof (EuGH) hat das Verbot der Vorratsdatenspeicherung erneut bestätigt (Az. C-140/20). Der EuGH folgt damit seiner bisherigen Linie: Ausnahmen sind nur in engen Grenzen denkbar, nämlich zum Schutz der nationalen Sicherheit und zur Bekämpfung schwerer Kriminalität. Bei genauerer Betrachtung lässt der EuGH die Bevorratung der Daten aber weitreichender zu als die Überschrift des Urteils es vermuten lässt.

Hintergrund: Ein Mordfall aus Irland

Dem Urteil liegt ein Fall aus Irland zugrunde: Dort war 2015 ein Mann wegen Mordes zu einer lebenslangen Freiheitsstrafe verurteilt worden. In der Berufung warf der Mann dem erstinstanzlichen Gericht vor, zu Unrecht Verkehrs- und Standortdaten im Zusammenhang mit Telefonanrufen als Beweismittel zugelassen zu haben. Das irische Gesetz, das die Speicherung dieser Daten regele und auf dessen Grundlage die Ermittler der Polizei Zugang zu diesen Daten gehabt hätten, verletze seine Rechte aus dem Unionsrecht. Um eben diese Verletzung und die Ungültigkeit dieses Gesetzes feststellen zu lassen, leitete er gleichzeitig ein Verfahren beim High Court ein. Der High Court gab dem Vorbringen des Mannes statt. Hiergegen legte Irland Rechtsmittel beim Supreme Court ein. Der Supreme Court wiederum legte dem EuGH mit seinem Vorabentscheidungsersuchen Fragen zur Auslegung von Art. 15 Abs. 1 der Datenschutzrichtlinie für elektronische Kommunikation im Lichte der Art. 7, 8, 11 und Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union (GRCh) vor.

Grundsatz des Verbots der Vorratsdatenspeicherung

Der EuGH bestätigt seine ständige Rechtsprechung: Es gilt der Grundsatz des Verbots der Vorratsdatenspeicherung. Die Speicherung von Verkehrs- und Standortdaten greift in die Grundrechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten ein. Ausnahmen und Einschränkungen dieses Schutzes seien zwar möglich, doch auf das absolut Notwendige zu beschränken. Erneut unterstreichen die Richter, dass nationale Rechtsvorschriften, die präventiv zur Bekämpfung schwerer Kriminalität und zur Verhütung schwerer Bedrohungen der öffentlichen Sicherheit eine allgemeine und unterschiedslose Vorratsspeicherung der Verkehrs- und der Standortdaten vorsehen, gegen Unionsrecht verstoßen.

Zulässige Ausnahmen

Zulässige Ausnahmen hatte der EuGH bereits in früherer Rechtsprechung dargelegt und im aktuellen Urteil bestätigt: So hatte der Gerichtshof bereits 2020 entschieden, dass ein Gesetz ausnahmsweise zulässig ist, das zum Schutz der nationalen Sicherheit vorsieht, Anbieter elektronischer Kommunikation anzuweisen, Verkehrs- und Standortdaten allgemein und unterschiedslos zu speichern, sofern eine Situation vorliegt, in der die nationale Sicherheit des Mitgliedsstaates einer ernsthaften Bedrohung ausgesetzt ist, die sich als real erwiesen hat und die gegenwärtig oder vorhersehbar ist (Az. C-511/18, C-512/18, C-520/18). Damit meint der EuGH besondere Situationen, insbesondere terroristische Aktivitäten. In solchen (zeitlich begrenzten) Konstellationen wurde eine nationale gesetzliche Regelung nicht gegen das Unionsrecht verstoßen, auch wenn die Anordnung die Bevorratung der Daten allgemein (also für alle Daten) erfolgen würde.

Anders sieht es der EuGH allerdings bei der Bekämpfung der besonders schweren Kriminalität. Diese könne nicht mit einer Bedrohung der nationalen Sicherheit gleichgesetzt werden. Dass die Verkehrs- und Standortdaten rechtmäßig zum Zweck des Schutzes der nationalen Sicherheit auf Vorrat gespeichert wurden, habe keinen Einfluss auf die Rechtmäßigkeit ihrer Speicherung zum Zweck der Bekämpfung schwerer Kriminalität. Für nationale Rechtsvorschriften zur Bekämpfung schwerer Kriminalität und zur Verhütung schwerer Bedrohungen der öffentlichen Sicherheit gelten vielmehr andere Voraussetzungen.

Solche Regelungen stehen danach nicht dem Unionsrecht entgegen, wenn sie

• „auf Grundlage objektiver und nichtdiskriminierender Kriterien anhand von Kategorien betroffener Personen oder mittels eines geografischen Kriteriums für einen auf das absolut Notwendige begrenzten, aber verlängerbaren Zeitraum eine gezielte Vorratsspeicherung von Verkehrs- und Standortdaten vorsehen;

• für einen auf das absolut Notwendige begrenzten Zeitraum eine allgemeine und unterschiedslose Vorratsspeicherung der IP‑Adressen, die der Quelle einer Verbindung zugewiesen sind, vorsehen;

• eine allgemeine und unterschiedslose Vorratsspeicherung der die Identität der Nutzer elektronischer Kommunikationsmittel betreffenden Daten vorsehen;

• vorsehen, dass den Betreibern elektronischer Kommunikationsdienste mittels einer Entscheidung der zuständigen Behörde, die einer wirksamen gerichtlichen Kontrolle unterliegt, aufgegeben werden kann, während eines festgelegten Zeitraums die ihnen zur Verfügung stehenden Verkehrs- und Standortdaten umgehend zu sichern.“

Voraussetzung für die Zulässigkeit dieser Regelungen sei, dass sie mit klaren und präzisen Regeln vorsehen, dass die Datenspeicherung im Einklang mit materiell- und verfahrensrechtlichen Voraussetzungen stehen und für betroffene Personen effektive Schutzmaßnahmen gegen Missbrauchsgefahren vorgesehen sind.

So gesehen lässt sich EuGH für diese Bereiche ausdrücklich eine gezielte Vorratsdatenspeicherung zu. Dies eröffnet einen erheblichen Spielraum für den Gesetzgeber.

Gezielte Vorratsdatenspeicherung anhand objektiver Kriterien

Die erste Ausnahme betrifft – im Einklang mit der bisherigen Rechtsprechung des EuGH – die gezielte Vorratsdatenspeicherung anhand objektiver und nichtdiskriminierender Kriterien auch anhand von Kategorien betroffener Personen. Als Beispiel nennt der Gerichtshof Personen, die Gegenstand aktueller Ermittlungen oder anderer Überwachungsmaßnahmen sind oder die bereits wegen früherer Verurteilungen wegen schwerer Straftaten im nationalen Strafregister vermerkt sind, da dies auf ein hohes Rückfallrisiko hindeuten könne.

Eine gezielte Vorratsdatenspeicherung von Verkehrs- und Standortdaten dürfe auch auf ein geografisches Kriterium gestützt werden. Dabei sei der Grundsatz der Verhältnismäßigkeit strikt zu beachten. Es müssten objektive und nichtdiskriminierende Anhaltspunkte dahingehend bestehen, dass in einem (oder mehreren) geografischen Gebiet(en) eine durch ein erhöhtes Risiko der Vorbereitung oder Begehung schwerer Straftaten gekennzeichnete Situation besteht. Hierbei könne es sich insbesondere um Orte handeln, bei denen die Gefahr, dass schwere Straftaten begangen werden, besonders hoch ist oder bei denen bereits eine erhöhte Zahl schwerer Straftaten begangen wurden. Dies sei bei Orten oder Infrastrukturen, die regelmäßig von einer sehr hohen Zahl von Personen aufgesucht werden, bzw. bei strategischen Orten der Fall. Als Beispiele nennt der Gerichtshof Flughäfen, Bahnhöfe, Seehäfen oder Mautstellen. Dabei sei hervorzuheben, dass die gezielte Speicherung der Daten an solchen Orten ohne konkrete Anhaltspunkte für die Vorbereitung oder die Begehung schwerer Straftaten erfolgen dürfe.

Der Zeitraum der Speicherung sei auf das absolut Notwendige zu begrenzen – er sei aber verlängerbar.

Im Ergebnis erlaubt diese Ausnahme den Mitgliedsstaaten im Hinblick auf das geografische Kriterium eine verdachtsunabhängige Massenüberwachung an hochfrequentierten Orten zu regeln.

Allgemeine, unterschiedslose Speicherung von IP-Adressen

Eine weitere Ausnahme bildet die allgemeine und unterschiedslose Speicherung von IP-Adressen. Der EuGH stellt dazu fest, dass IP-Adressen der Quelle der Verbindung allgemein zu speichern, zwar einen schweren Eingriff in die EU-Grundrechte aus Art. 7 und 8 GRCh darstelle. Die IP-Adressen könnten es nämlich ermöglichen, genaue Schlüsse auf das Privatleben des Nutzers zu ziehen und hätten darüber hinaus abschreckende Wirkung in Bezug auf Meinungsfreiheit gemäß Art. 11 GRCh.

Im Rahmen einer Interessenabwägung hat der Gerichtshof jedoch festgestellt, dass im Falle von im Internet begangenen Straftaten, insbesondere mit Bezug auf Kinderpornographie, die IP‑Adresse der einzige Anhaltspunkt zur Ermittlung der Identität des mutmaßlichen Täters sein könne.

Speicherung von identitätsbezogenen Daten

Der Gerichtshof wiederholt in seinem Urteil, dass die Datenschutzrichtlinie für elektronische Kommunikation einer allgemeinen und unterschiedslosen Vorratsdatenspeicherung der die Identität betreffenden Daten des Nutzers nicht entgegensteht. Dabei reiche als Zweck sogar die Bekämpfung der Kriminalität im Allgemeinen aus.

Im Urteil aus dem Jahr 2020 hatte der EuGH bereits ausgeführt, dass Daten betreffend die Identität für sich genommen weder ermöglichen, Rückschlüsse auf die Umstände der Kommunikation zu ziehen (Datum, Uhrzeit, Dauer, Adressaten), noch Aufschluss darüber geben würden, an welchen Orten die Kommunikation stattfand. Da diese Daten nur Kontaktdaten wie Adressen beinhalten und keine Informationen über die konkreten Kommunikationen und über ihr Privatleben liefern, sei der mit eine Vorratsspeicherung dieser Daten verbundene Eingriff somit grundsätzlich nicht als schwer einzustufen.

Als Beispiel nennt der Gerichtshof den Kauf einer SIM-Karte. Es stehe dem Unionsrecht nicht entgegen, dass nationale Vorschriften den Erwerb einer SIM-Karte als elektronisches Kommunikationsmittel davon abhängig machen, dass der Verkäufer die Identität des Käufers anhand amtlicher Dokumente überprüfen und danach den nationalen Behörden Zugang zu diesen Informationen gewähren muss.

Quick Freeze

Der EuGH entschied des Weiteren, dass eine nationale Vorschrift gestatten darf, den Anbietern elektronischer Kommunikationsdienste aufzugeben, während eines festgelegten Zeitraums die ihnen zur Verfügung stehenden Verkehrs- und Standortdaten umgehend zu sichern (sog. Quick Freeze).

Bei den Anbietern elektronischer Kommunikationsdienste verarbeitete und gespeicherte Verkehrs- und Standortdaten seien zwar grundsätzlich nach Ablauf der gesetzlichen Speicherpflichten zu löschen oder anonymisieren. Ausnahmsweise könnten diese Fristen zur Aufklärung schwerer Straftaten oder wegen Beeinträchtigungen der nationalen Sicherheit verlängert werden, wenn die Taten oder Beeinträchtigungen bereits festgestellt wurden oder wenn der begründete Verdacht besteht, dass sie vorliegen.

Im Fall des Quick-Freeze-Verfahrens würden jedoch die Zwecke der umgehenden Sicherung nicht mehr denjenigen entsprechen, zu denen die Daten ursprünglich gesammelt und gespeichert wurden. Daher seien die Mitgliedsstaaten verpflichtet, die Zielsetzung der umgehenden Sicherung im Quick-Freeze-Verfahren (Bekämpfung schwerer Kriminalität oder Schutz der nationalen Sicherheit) anzugeben.

Bereits im ersten Stadium der Ermittlungen in Bezug auf eine schwere Straftat oder einer schweren Bedrohung der öffentlichen Sicherheit – d.h. ab dem Zeitpunkt, ab dem Ermittlungen eingeleitet werden können –, stehe es im Einklang mit Unionsrecht, wenn die zuständigen Behörden mittels Entscheidung, die Gegenstand effektiver gerichtlicher Überprüfung ist, die umgehende Sicherung anordnen. Außerdem sei die Maßnahme nicht auf Daten von etwa verdächtigen Personen beschränkt. Vielmehr könne sich diese auch auf Daten des Opfers und seines beruflichen oder sozialen Umfelds beziehen.

Fazit und Bedeutung für Deutschland

Der EuGH bleibt seiner bisherigen Linie des grundsätzlichen Verbots der Vorratsdatenspeicherung treu. Er betont wiederholt die besondere Bedeutung der Grundrechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten.

Deutlich wird aber auch: Die Vorratsdatenspeicherung ist in klar umrissenen Ausnahmefällen durchaus zulässig.  Diese wiederum gehen recht weit, so dass man durchaus von einer Vorratsdatenspeicherung „light“ sprechen kann. Zur Bekämpfung schwerer Kriminalität mag sie nicht allgemein und unterschiedslos zulässig sein. Aufgrund geografischer Kriterien kann sie aber zur anlasslosen Massenüberwachung an hochfrequentierten Orten führen.

Die Speicherung von IP-Adressen im Wege der Vorratsdatenspeicherung wirft in Teilen Fragen auf, inwieweit diese verhältnismäßig ausgestaltet werden kann. Etwa im Bereich des Cybercrime sind IP-Adressen (allein) mitunter nahezu nutzlos. Ein Beispiel bilden DDoS-Attacken, die selten vom Privatrechner des Angreifers gesteuert werden dürften. Zugleich werden (kostenlose) VPN-Anbieter, die die eigene IP-Adresse beim Surfen im Internet zu verschleiern helfen, immer beliebter. Damit würden nicht nur IP-Adressen unverdächtiger Bürger – wenn auch zeitlich begrenzt – gespeichert. Hinzu käme, dass die Speicherung der IP-Adressen längst nicht immer zum Erfolg führt. Eine maßvolle Begrenzung der Speicherdauer könnte in diesem Kontext einer Balance zwischen diesen beiden Polen darstellen

Auch im deutschen TKG und in der StPO finden sich bereits seit Jahren Regelungen zur Vorratsdatenspeicherung. Die an die Telekommunikationsanbieter gerichtete Vorschrift zur Speicherpflicht findet sich in § 176 TKG (§ 113b TKG aF). Damit korrespondiert die strafprozessuale Abrufregelung in § 100g Abs. 2 StPO. Die Normen kommen derzeit allerdings faktisch nicht zur Anwendung, da die Bundesnetzagentur die Pflicht zur Vorratsdatenspeicherung nicht durchsetzt. Grund hierfür ist ein Beschluss des OVG Münster vom 22. Juni 2017 (Az. 13 B 238/17). Das Gericht hatte die Speicherpflicht als nicht mit dem Recht der Europäischen Union vereinbar gesehen – seither liegt die Vorratsdatenspeicherung in Deutschland also „auf Eis“.

Zwei Vorabentscheidungsersuchen des Bundesverwaltungsgerichts (Az. C-793/19 und C-794/19) zu den deutschen Regelungen (§ 113a Abs. 1 i. V. m. § 113b TKG aF) sind zwar derzeit beim EuGH anhängig. Zu erwarten ist, dass diese nicht anders ausfallen werden als das aktuelle Urteil. Der EuGH-Generalanwalt hatte bereits in seinen Schlussanträgen zu den (abgetrennten) Fällen aus Irland, Deutschland und Frankreich erklärt, dass er die Regelungen für nicht mit dem EU-Recht vereinbar hält.

Optionen für künftige Regelungen

Wie aber wird eine künftige Regelung dann aussehen? Nach den Ausnahmen des EuGH bestehen gleich mehrere Möglichkeiten. Die Ampel-Koalition plant ohnehin, die derzeitigen Regelungen des TKG und der StPO zur Vorratsdatenspeicherung durch das Quick-Freeze-Verfahren zu ersetzen. Die Kombination des Quick-Freeze-Verfahrens mit gezielten Maßnahmen (insbesondere der begrenzten Bevorratung der IP-Adressen) würde zu einer sachgerechten Lösung für alle Seiten führen. Zugleich würde damit die seit 2007 rechtspolitisch bestehende „Kampfzone“ der Vorratsdatenspeicherung endlich einer ausgeglichenen Regelung zugeführt.