Eine flächendeckende und anlasslose Vorratsdatenspeicherung ist auch künftig grundsätzlich nicht zulässig. In seinen jüngsten Urteilen stellte der Europäische Gerichtshof aber auch fest, dass Ausnahmen vom pauschalen Verbot möglich sind. Die Voraussetzungen dafür sind sehr streng.
Der Gerichtshof fällte am 6.10.2020 gleich zwei richtungweisende Urteile zur Vorratsdatenspeicherung.
- Ein Verfahren bezog sich auf den ehemaligen Mitgliedstaat Großbritannien, dessen Überwachungsgesetze der EuGH bereits im Jahr 2016 prüfte (EuGH-Urteil vom 21.12.2016, C-203/15; C-698/15).
- Das zweite Urteil erging zu verbundenen Rechtssachen aus den Mitgliedstaaten Frankreich und Belgien.
Ausnahmen vom Vertraulichkeitsgrundsatz dürfen nicht zur Regel werden
Für die elektronische Kommunikation gilt der in Art. 5 der RL 2002/58/EG (ePrivacy-Richtlinie) verankerte Vertraulichkeitsgrundsatz. Dritte dürfen daher dem Grunde nach ohne Einwilligung der Nutzer der elektronischen Kommunikationsdienste weder Verkehrsdaten noch Standortdaten dauerhaft speichern. Die Richtlinie sieht von diesem Grundsatz Ausnahmen vor, wonach durch mitgliedstaatliche Gesetze die den elektronischen Kommunikationsanbietern auferlegten Pflichten u.a. zu Staatssicherheitszwecken und zur Verfolgung von Straftaten beschränkt werden dürfen (vgl. Art. 15 Abs. 1 der ePrivacy-Richtlinie). Über derartige nationale Gesetze dürfen die Ausnahmen vom Vertraulichkeitsgrundsatz aber nicht zum Regelfall werden.
Ernstzunehmende andauernde Bedrohung nationaler Sicherheit reicht nicht
Die drei Vorabentscheidungsverfahren zogen viel Aufmerksamkeit auf sich. In den Fällen aus Frankreich und Belgien waren Gesetze zur Terrorismusabwehr, aber auch zur Bekämpfung von schweren Straftaten wie dem sexuellen Missbrauch Minderjähriger auf dem Prüfstand.
Die Sicherheitsgesetze sahen insbesondere vor, dass Anbieter elektronischer Kommunikationsdienste für die Dauer eines Jahres unter anderem
- Daten zur Feststellung von Quelle und Ziel einer Kommunikation,
- Datum, Uhrzeit, Dauer und Art der Kommunikation speichern müssten.
- Ferner sollten Name, Adresse und Telefonnummer der an einem Anruf beteiligten Personen
- sowie IP-Adressen
- nicht hingegen Kommunikationsinhalte gespeichert werden.
In dem Fall aus Großbritannien ging es um eine nationale Regelung, welche zwar den privaten Akteuren im Bereich der elektronischen Kommunikation eine unbegrenzte Datenspeicherung untersagte, nicht jedoch staatlichen Behörden. Die Anbieter elektronischer Kommunikationsdienste wurden daher behördlich dazu gezwungen, staatlichen Akteuren Zugriff auf die Datenbestände zu ermöglichen bzw. die Daten zu übermitteln. Die Behörden speicherten die so erlangten Daten anlasslos und ohne Löschfristen.
Beachtung von Unionsrecht, Verhältnismäßigkeitsprinzip und Unionsgrundrechte
Den Mitgliedstaaten ist es überlassen, wesentliche Sicherheitsinteressen zu definieren und angemessene Maßnahmen zum Schutz der Interessen für die innere und äußere Sicherheit einzuführen. Solche Maßnahmen zum Schutz der nationalen Sicherheit müssen gleichwohl im Einklang mit dem Unionsrecht stehen. Eine Abwägung der durch den Staat verfolgten Sicherheitsinteressen mit den Grundrechten der betroffenen Personen ist unerlässlich.
Strenger Verhältnismäßigkeitsmaßstab, Informationspflichten, Begrenzung auf unbedingt notwendige Dauer
Die nationale Gesetzgebung ist daher an einen strengen Verhältnismäßigkeitsmaßstab gebunden. Es müssen klare und eindeutige Regelungen für den Geltungsbereich und die Anwendung der jeweiligen nationalen Überwachungsmaßnahmen festgelegt sein. Außerdem müssen Mindestgarantien für die betroffenen Personen gewährleistet sein, um einem Missbrauchsrisiko effektiv entgegenzuwirken.
Bei einer Echtzeit-Überwachung muss eine tatsächliche gegenwärtige oder vorhersehbare Bedrohung für die nationale Sicherheit vorliegen und die Datenspeicherung ist auf das zeitlich absolut Erforderliche zu begrenzen. Die Entscheidung über eine Echtzeit-Erfassung muss einer gerichtlichen oder unabhängigen behördlichen Kontrolle unterliegen. Um die Grundrechte der betroffenen Personen zu wahren, müssen diese, wenn die Gefährdung nicht länger vorliegt, über die Maßnahmen benachrichtigt werden.
Werden Daten in einer mit dem Unionsrecht nicht zu vereinbarenden Weise vor Gericht verwendet, liegt außerdem eine Verletzung des Rechts auf ein faires Verfahren vor.
Strenge Maßstäbe auch im Anwendungsbereich der DSGVO
Die Datenschutz-Grundverordnung (VO 2016/679, DSGVO) erlaubt mitgliedstaatliche Beschränkungen u.a. von Betroffenenrechten (Art. 12-22 DSGVO) und Datenverarbeitungsgrundsätzen (Art. 5 DSGVO). Hier können laut Ansicht des EuGH aber keine anderen Maßstäbe gelten als unter der ePrivacy-RL. Insofern sind die strengen Vorgaben des EuGH auch auf die Verarbeitung personenbezogener Daten unter der DSGVO zu übertragen.
EuGH-Rechtsprechung aus der Vergangenheit fortgesetzt und konkretisiert
Rückblickend waren die Urteile des EuGH keine Überraschung. Bereits im Jahr 2014 entschied der Gerichtshof, dass die so genannte europäische Vorratsdatenspeicherungs-Richtlinie (2006/24/EG) nicht mit den Grundrechten auf Achtung des Privatlebens (Art. 7 GRC) und dem Recht auf Schutz personenbezogener Daten (Art. 8 GRC) vereinbar war. Auch wegen Verstoßes gegen das Verhältnismäßigkeitsprinzip (Art. 52 GRC) wurde die Richtlinie als ungültig aufgehoben.
Auch im Jahr 2016 wurde in verbundenen Verfahren eine allgemeine Speicherung von Daten ohne ausreichende Beschränkungen als nicht mit dem Unionsrecht vereinbar angesehen. Schon damals äußerte der Gerichtshof die Sorge, dass über mitgliedstaatliche Gesetzgebung die Ausnahme zur Regel werde und vertrauliche Kommunikation flächendeckend mit Dritten geteilt werde.
Ringen um die Vorratsdatenspeicherung geht weiter
Es ist nicht zu erwarten, dass die Vorabentscheidungsverfahren die letzten Verfahren waren, in denen sich der EuGH zur massenhaften Speicherung personenbezogener Daten äußern musste. Die deutsche EU-Ratspräsidentschaft, die noch bis zum 31.12.2020 andauern wird, hat eine neue informelle Arbeitsgruppe zur Vorratsdatenspeicherung eingerichtet. Sollte die Gruppe konkrete Vorschläge erarbeiten, muss sie angesichts der aktuellen Urteile die vom Gerichtshof vorgegebenen strengen Maßstäbe vollständig beachten.
(EuGH, Urteile der verbundenen Verfahren v. 06.10.2020, C-511/18, C-512/18 und C-520/18 sowie Urteil v. 06.10.2020, C-623/17).