Urteil : EuGH bestätigt Unionsrechtswidrigkeit der allgemeinen und anlasslosen Vorratsdatenspeicherung von Verkehrs- und Standortdaten im TKG und benennt Fälle zulässiger Datenspeicherungen (mit Anm. Burkhardt) : aus der RDV 5/2022, Seite 272 bis 275

Zwar nimmt die in den Ausgangsverfahren in Rede stehende nationale Regelung den Inhalt der Kommunikation sowie die Daten über aufgerufene Internetseiten von der Speicherpflicht aus und schreibt die Speicherung der Funkzellenkennung lediglich zu Beginn der Kommunikation vor, jedoch ist darauf hinzuweisen, dass dies im Wesentlichen auch für die nationalen Regelungen zur Umsetzung der Richtlinie 2006/24 galt, um die es in den Rechtssachen ging, in denen das Urteil vom 6. Oktober 2020, La Quadrature du Net u. a. (C-511/18, C-512/18 und C-520/18, EU:C:2020:791), ergangen ist. Trotz dieser Beschränkungen hat der Gerichtshof in diesem Urteil aber entschieden, dass die Kategorien der nach der genannten Richtlinie und diesen nationalen Regelungen auf Vorrat gespeicherten Daten sehr genaue Schlüsse auf das Privatleben der betroffenen Personen – etwa auf Gewohnheiten des täglichen Lebens, ständige oder vorübergehende Aufenthaltsorte, tägliche oder in anderem Rhythmus erfolgende Ortsveränderungen, ausgeübte Tätigkeiten, soziale Beziehungen dieser Personen und das soziale Umfeld, in dem sie verkehren – und insbesondere die Erstellung eines Profils dieser Personen ermöglichen konnten.

[…] [Außerdem] werden u. a. Daten von Nutzern gespeichert, die dem Berufsgeheimnis unterliegen, wie beispielsweise Rechtsanwälte, Ärzte und Journalisten.

[…] Aus der Vorlageentscheidung geht somit hervor, dass die in dieser nationalen Regelung vorgesehene Vorratsspeicherung von Verkehrs- und Standortdaten nahezu alle die Bevölkerung bildenden Personen betrifft, ohne dass diese sich auch nur mittelbar in einer Lage befänden, die Anlass zur Strafverfolgung geben könnte. Ebenso schreibt sie die anlasslose, flächendeckende und personell, zeitlich und geografisch undifferenzierte Vorratsspeicherung eines Großteils der Verkehrs- und Standortdaten vor, deren Umfang im Wesentlichen dem der Daten entspricht, die in den Rechtssachen gespeichert wurden, die zu der […] angeführten Rechtsprechung geführt haben.

[…] In Bezug auf die in der in den Ausgangsverfahren in Rede stehenden nationalen Regelung vorgesehenen Garantien, die die gespeicherten Daten gegen Missbrauchsrisiken und vor jedem unberechtigten Zugang schützen sollen, [ist] festzustellen, dass die Vorratsspeicherung dieser Daten und der Zugang zu ihnen […] unterschiedliche Eingriffe in die in den Art. 7 und 11 der Charta garantierten Grundrechte darstellen, die eine gesonderte Rechtfertigung nach Art. 52 Abs. 1 der Charta erfordern. Daraus folgt, dass nationale Rechtsvorschriften, die die vollständige Einhaltung der Voraussetzungen gewährleisten, die sich im Bereich des Zugangs zu auf Vorrat gespeicherten Daten aus der Rechtsprechung zur Auslegung der Richtlinie 2002/58 ergeben, naturgemäß den schwerwiegenden Eingriff weder beschränken noch beseitigen können. […]

Zu den Maßnahmen, die eine gezielte Vorratsspeicherung, eine umgehende Sicherung oder eine Speicherung der IP-Adressen vorsehen

[…] Eine Rechtsvorschrift, die eine allgemeine und unterschiedslose Vorratsspeicherung allein der IP-Adressen der Quelle einer Verbindung vorsieht [verstößt], grundsätzlich nicht gegen Art. 15 Abs. 1 der Richtlinie 2002/58 im Licht der Art. 7, 8 und 11 sowie von Art. 52 Abs. 1 der Charta, sofern diese Möglichkeit von der strikten Einhaltung der materiellen und prozeduralen Voraussetzungen abhängig gemacht wird, die die Nutzung dieser Daten regeln müssen (Urteil vom 6. Oktober 2020, La Quadrature du Net u. a., C-511/18, C-512/18 und C-520/18, EU:C:2020:791, Rn. 155).

Angesichts der Schwere des mit dieser Vorratsdatenspeicherung verbundenen Eingriffs in die Grundrechte, die in den Art. 7 und 8 der Charta verankert sind, sind neben dem Schutz der nationalen Sicherheit nur die Bekämpfung schwerer Kriminalität und die Verhütung schwerer Bedrohungen der öffentlichen Sicherheit geeignet, diesen Eingriff zu rechtfertigen. Außerdem darf die Dauer der Speicherung das im Hinblick auf das verfolgte Ziel absolut Notwendige nicht überschreiten. Schließlich muss eine derartige Maßnahme strenge Voraussetzungen und Garantien hinsichtlich der Auswertung dieser Daten, insbesondere in Form einer Nachverfolgung, in Bezug auf die Online-Kommunikationen und -Aktivitäten der Betroffenen vorsehen (Urteil vom 6. Oktober 2020, La Quadrature du Net u. a., C-511/18, C-512/18 und C-520/18, EU:C:2020:791, Rn. 156). […] Was […] die gezielte Vorratsspeicherung anbelangt, so hat der Gerichtshof entschieden, dass Art. 15 Abs. 1 der Richtlinie 2002/58 auf objektiven Kriterien beruhenden nationalen Rechtsvorschriften nicht entgegensteht, mit denen zum einen Personen erfasst werden können, deren Verkehrsund Standortdaten geeignet sind, einen zumindest mittelbaren Zusammenhang mit schweren Straftaten zu offenbaren, zur Bekämpfung schwerer Kriminalität beizutragen oder eine schwerwiegende Gefahr für die öffentliche Sicherheit oder eine Gefahr für die nationale Sicherheit zu verhüten (Urteil vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20, EU:C:2022:258, Rn. 76 und die dort angeführte Rechtsprechung).

Der Gerichtshof hat insoweit klargestellt, dass diese objektiven Kriterien zwar je nach den zur Verhütung, Ermittlung, Feststellung und Verfolgung schwerer Straftaten getroffenen Maßnahmen unterschiedlich sein können, zu den erfassten Personen aber insbesondere diejenigen gehören können, die zuvor im Rahmen der einschlägigen nationalen Verfahren und auf der Grundlage objektiver und nicht diskriminierender Kriterien als Bedrohung der öffentlichen Sicherheit oder der nationalen Sicherheit des betreffenden Mitgliedstaats eingestuft wurden (Urteil vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20, EU:C:2022:258, Rn. 77).

Die Mitgliedstaaten haben somit u. a. die Möglichkeit, Maßnahmen zur Speicherung zu ergreifen, die Personen betreffen, die aufgrund einer solchen Einstufung Gegenstand aktueller Ermittlungen oder anderer Überwachungsmaßnahmen sind oder zu denen im nationalen Strafregister eine frühere Verurteilung wegen schwerer Straftaten vermerkt ist, die ein hohes Rückfallrisiko bedeuten können. […]

Zum anderen kann eine Maßnahme gezielter Vorratsspeicherung von Verkehrs- und Standortdaten […] auch auf ein geografisches Kriterium gestützt werden […]. Dabei kann es sich insbesondere um Orte handeln, die durch eine erhöhte Zahl schwerer Straftaten gekennzeichnet sind, um Orte, an denen die Gefahr, dass schwere Straftaten begangen werden, besonders hoch ist, wie Orte oder Infrastrukturen, die regelmäßig von einer sehr hohen Zahl von Personen aufgesucht werden, oder um strategische Orte wie Flughäfen, Seehäfen, Bahnhöfe oder Mautstellen (Urteil vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20, EU:C:2022:258, Rn. 79 und die dort angeführte Rechtsprechung).

Was die Möglichkeit betrifft, andere Unterscheidungskriterien […] für die Durchführung einer gezielten Vorratsspeicherung von Verkehrs- und Standortdaten vorzusehen, so kann nicht ausgeschlossen werden, dass andere objektive und nicht diskriminierende Kriterien in Betracht kommen, um sicherzustellen, dass der Umfang einer gezielten Vorratsspeicherung auf das absolut Notwendige beschränkt wird, und um eine zumindest indirekte Verbindung zwischen den schweren Straftaten und den Personen, deren Daten auf Vorrat gespeichert werden, herzustellen. Da sich Art. 15 Abs. 1 der Richtlinie 2002/58 auf Rechtsvorschriften der Mitgliedstaaten bezieht, obliegt es allerdings diesen und nicht dem Gerichtshof, solche Kriterien zu bestimmen, wobei es nicht darum gehen kann, auf diesem Weg wieder eine allgemeine und unterschiedslose Vorratsspeicherung der Verkehrs- und Standortdaten einzuführen (Urteil vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20, EU:C:2022:258, Rn. 83).

[…] Was […] die umgehende Sicherung der von den Betreibern elektronischer Kommunikationsdienste auf der Grundlage der Art. 5, 6 und 9 der Richtlinie 2002/58 oder auf der Grundlage von Rechtsvorschriften, die gemäß Art. 15 Abs. 1 dieser Richtlinie erlassen wurden, verarbeiteten und gespeicherten Verkehrs- und Standortdaten anbelangt, ist darauf hinzuweisen, dass solche Daten grundsätzlich nach Ablauf der gesetzlichen Fristen, innerhalb deren sie gemäß den nationalen Bestimmungen zur Umsetzung der Richtlinie verarbeitet und gespeichert werden müssen, je nach Fall, entweder gelöscht oder anonymisiert werden müssen. Allerdings hat der Gerichtshof entschieden, dass während dieser Verarbeitung und Speicherung Situationen auftreten können, die es erforderlich machen, die betreffenden Daten zur Aufklärung schwerer Straftaten oder von Beeinträchtigungen der nationalen Sicherheit über diese Fristen hinaus zu speichern, und zwar sowohl dann, wenn die Taten oder Beeinträchtigungen bereits festgestellt werden konnten, als auch dann, wenn nach einer objektiven Prüfung aller relevanten Umstände der begründete Verdacht besteht, dass sie vorliegen (Urteil vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20, EU:C:2022:258, Rn. 85).

In einer solchen Situation steht es den Mitgliedstaaten angesichts dessen, dass nach den Ausführungen in den Rn. 65 bis 68 des vorliegenden Urteils die widerstreitenden Rechte und berechtigten Interessen miteinander in Einklang gebracht werden müssen, frei, in Rechtsvorschriften, die sie gemäß Art. 15 Abs. 1 der Richtlinie 2002/58 erlassen, vorzusehen, dass den Betreibern elektronischer Kommunikationsdienste mittels einer Entscheidung der zuständigen Behörde, die einer wirksamen gerichtlichen Kontrolle unterliegt, aufgegeben wird, für einen festgelegten Zeitraum die ihnen zur Verfügung stehenden Verkehrs- und Standortdaten umgehend zu sichern (Urteile vom 6. Oktober 2020, La Quadrature du Net u. a., C-511/18, C-512/18 und C-520/18, EU:C:2020:791, Rn. 163, sowie vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20, EU:C:2022:258, Rn. 86).

Da die Zielsetzung einer solchen umgehenden Sicherung nicht mehr den Zielsetzungen entspricht, aufgrund deren die Daten ursprünglich gesammelt und gespeichert wurden, und da nach Art. 8 Abs. 2 der Charta jede Datenverarbeitung für festgelegte Zwecke zu erfolgen hat, müssen die Mitgliedstaaten in ihren Rechtsvorschriften angeben, mit welcher Zielsetzung die umgehende Sicherung der Daten vorgenommen werden kann. Angesichts der Schwere des Eingriffs in die in den Art. 7 und 8 der Charta verankerten Grundrechte, der mit einer solchen Speicherung verbunden sein kann, sind nur die Bekämpfung schwerer Kriminalität und, a fortiori, der Schutz der nationalen Sicherheit geeignet, diesen Eingriff zu rechtfertigen, sofern diese Maßnahme sowie der Zugang zu den auf Vorrat gespeicherten Daten die Grenzen des absolut Notwendigen, wie sie in den Rn. 164 bis 167 des Urteils vom 6. Oktober 2020, La Quadrature du Net u. a. (C-511/18, C-512/18 und C-520/18, EU:C:2020:791), dargelegt sind, einhalten (Urteil vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20, EU:C:2022:258, Rn. 87).

Anmerkung zu EuGH, Urt. v. 20.09.2022 – C-793/19 und C-794/19 – SpaceNet AG und Telekom Deutschland GmbH

Der EuGH hat entschieden, die Vorratsdatenspeicherung, wie sie im TKG normiert ist (§§ 113 a ff. TKG), ist unionsrechtswidrig. Das überrasch nicht. Mit dem Urteil bestätigt der Gerichtshof seine bisherige Rechtsprechung. Wegen vermuteter Unionsrechtswidrigkeit werden die Regelungen ohnehin seit 2017 nicht mehr angewandt. Revolutionär ist das Urteil daher kaum, für die Praxis aber dennoch bedeutsam. Denn mit einer Neuregelung der Vorratsdatenspeicherung wollte die Politik warten, bis der EuGH entschieden hat. Diese Entscheidung liegt nun vor. Neben Verboten bekräftigt der EuGH in seinem Urteil auch eine Reihe an Ausnahmen bzw. Kategorien zulässiger Datenspeicherungen. Hierbei unterscheidet das Gericht im Wesentlichen anhand drei Kriterien: Erstens dem Ziel der Datenspeicherung (Schutz der nationalen Sicherheit und Schutz vor schwerer Kriminalität), zweitens der betroffenen Datenkategorie (Verkehrsund Standortdaten, Identitätsdaten und IP-Adressen) und drittens der Vorgehensweise der Behörden (allgemeine und unterschiedslose Vorratsdatenspeicherung, gezielte Vorratsdatenspeicherung und umgehende Sicherung).

Die Kernthesen des Gerichts lassen sich wie folgt zusammenfassen:

1. Die allgemeine und unterschiedslose Vorratsdatenspeicherung von Verkehrs- und Standortdaten ist grundsätzlich unabhängig vom Umfang der erfassten Daten und der Speicherlänge unionsrechtswidrig, und zwar auch dann, wenn sie zur Bekämpfung schwerer Kriminalität erfolgt. Eine Ausnahme gilt nur dann, wenn eine aktuelle und ernste Bedrohung für die nationale Sicherheit vorliegt. Dafür müssen laut EuGH tragende Strukturen eines Landes im Bereich Verfassung, Politik, Wirtschaft oder im sozialen Bereich real und aktuell, zumindest aber vorhersehbar bedroht sein. Hiervon dürften Bedrohungen durch Terror oder Krieg erfasst sein, wenn sie über eine latente Gefahr hinausgehen.
2. Bestimmte Formen der Vorratsdatenspeicherung sind weiterhin unionsrechtskonform möglich, auch wenn sie „nur“ zum Schutz vor schwerer Kriminalität erfolgen:
3. Gezielte Vorratsspeicherung von Verkehrs- und Standortdaten, wenn sie auf der Grundlage von objektiven und nicht diskriminierenden Kriterien erfolgt. Der EuGH nennt hier ausdrücklich Kategorien betroffener Personen (bspw. Gefährder oder rückfallgefährdete Vorbestrafte) oder geografische Kriterien (bspw. Schwerpunkte der Verbrechensbegehung oder besonders gefährdete Orte wie Flughäfen und Bahnhöfe).
4. Allgemeine und unterschiedslose Vorratsdatenspeicherung von der die Identität der Nutzer elektronischer Kommunikationsmittel betreffende Daten. Ausweislich des Urteils ist es daher bspw. zulässig, den Erwerb von vorausbezahlten SIM-Karten von einer Überprüfung amtlicher Dokumente abhängig zu machen und den Verkäufer zu verpflichten, die sich daraus ergebenen Informationen, zu erfassen.
5. Allgemeine und unterschiedslose Vorratsspeicherung von IP-Adressen. Insb. zulässig ist ausweislich des EuGH die Sicherung von IP-Adressen zur Bekämpfung von Kinderpornografie. Tatverdächtige sind hier nur anhand der IP-Adressen zu ihren Anschlüssen und Endgeräten zu erkennen.

III. Die Pflicht zur umgehende Sicherung von den Betreibern elektronischer Kommunikationsmitteln zur Verfügung stehenden Verkehrs- und Standortdaten ist zum Schutz vor schwerer Kriminalität zulässig. Bei dieser unter dem Schlagwort „Quick-Freeze“ diskutierten Vorgehensweise handelt es sich jedoch weder nach dem allgemeinen Begriffsverständnis noch rechtsdogmatisch um einen Fall der Vorratsdatenspeicherung. Vielmehr geht es um eine Regelung zur erleichterten Verhinderung von Datenlöschung. Das Problem begrenzter Datenverfügbarkeit wird hierdurch nicht gelöst.

Der EuGH hat damit erneut betont, was unionsrechtlich im Bereich der Vorratsdatenspeicherung möglich ist und was nicht. Wie die vom EuGH eingeräumten Spielräume genutzt werden, ist – und das ist seit Jahren klar – eine rechtspolitische Frage. Geht es nach dem Willen des Justizministeriums wird Deutschland „nur“ einen sog. QuickFreeze implementieren und damit von einer Vorratsdatenspeicherung im eigentlichen Sinne Abstand nehmen. Nancy Faeser und das Innenministerium fordern hingegen beharrlich eine zeitlich eingeschränkte IP-Adressen Speicherung. Wie der Streit ausgeht, ist auch nach dem Urteil unklar. Es dürfte die Diskussion jedoch erneut befeuert haben. Das lässt hoffen, dass der politischer Wille nun ausreicht, um endlich eine Lösung für das langsam überfällige Problem der Vorratsdatenspeicherung zu finden.

(Lucia Burkhardt, Wissenschaftliche Mitarbeiterin an der Kölner Forschungsstelle für Medienrecht)