EuGH, Urt. 20.9.2022 - C-793/19 u.a.
Unzulässige allgemeine Vorratsdatenspeicherung
Autor: RA Markus Rössel, LL.M. (Informationsrecht), Köln
Aus: IT-Rechtsberater, Heft 12/2022
Aus: IT-Rechtsberater, Heft 12/2022
Das Eingriffsgewicht einer nicht durch die Verfolgung schwerer Straftaten zu rechtfertigenden allgemeinen Vorratsspeicherung von Verkehrs- und Standortdaten verringert eine Beschränkung auf vier Wochen und eine Ausnahme von E-Mail-Daten und von 1.300 Betroffenen nur unerheblich.
GRC Art. 6, 7, 8, 11, 52 Abs. 1; RL 2002/58/EG Art. 15 Abs. 1; TKG §§ 113a Abs. 1, 113b a.F.
Eingriff in die Vertraulichkeit von Verkehrsdaten: Eine Vorratsdatenspeicherung beinhalte unabhängig von Datensensibilität, Nachteilseintritt oder Datenverwendung eine Abweichung vom Verbot der Drittspeicherung und einen Eingriff in Artt. 7, 8 GRC. Die Daten ermöglichten insb. die Erstellung von Personenprofilen, die im Hinblick auf das Recht auf Achtung des Privatlebens ebenso sensible Informationen darstellten wie der Kommunikationsinhalte selbst. Bei zunehmender Masse der Daten stiegen zudem die Missbrauchsgefahren (Rz. 60 ff.).
Rechtfertigung des Eingriffs: Ein Abweichen von durch Artt. 5, 6, 9 ePrivacy-RL 2002/58/EG (vgl. Erwgrd. 2, 6, 7) grundsätzlich geschützter Vertraulichkeit auch von Verkehrsdaten könne ausnahmsweise durch die abschließenden Gemeinwohlziele des eng auszulegenden Art. 15 Abs. 1 ePrivacy-RL gerechtfertigt sein. Hierbei seien insb. Gesetzesvorbehalt, Grundrechtswesensgehalt und Verhältnismäßigkeit nach Art. 52 Abs. 1 GRC zu beachten (Rz. 55, 57 f., 63, 66).
Verhältnismäßigkeitsgrundsatz: Eingriffe seien auf das absolut Notwendige zu beschränken. Staatliche Schutzverpflichtungen etwa hinsichtlich Minderjähriger, der Wohnung oder der geistigen und körperlichen Unversehrtheit aus Artt. 3, 4, 7 GRC seien im Rahmen praktischer Konkordanz mit Betroffeneninteressen aus Artt. 7, 8, 11 GRC zum Ausgleich zu bringen (Rz. 50, 53, 59, 64 ff., 68).
Missbrauchsschutz: Die Verhältnismäßigkeit erfordere zur Beschränkung auf das Notwendige klare und präzise Eingriffsregeln und materielle und prozedurale Mindesterfordernisse gegenüber Missbrauchsrisiken umso mehr, je sensibler die Daten seien und je eher eine Automatisierung stattfinde. Erforderlich seien objektive Kriterien für einen Zusammenhang zwischen Daten und verfolgten, nach Eingriffsgewicht hierarchisch zu beachtenden Gemeinwohlzielen (Rz. 70 f., 75, 69, 131).
Anlasslose Bestandsdatenspeicherung: Die allgemeine Vorratsdatenspeicherung von Bestandsdaten sei auch zu einfacher Kriminalitätsbekämpfung und Gefahrenabwehr gerechtfertigt, also etwa bei Identifizierung vor Erwerb einer Prepaid-Karte (Rz. 75, 98 f., 131).
Anlasslose Speicherung von IP-Adressen: Bei einer Internetstraftat, insb. Kinderpornografie i.S.v. Art. 2 lit. c Kindesmissbrauchs-RL 2011/93/EU, könne die IP-Adresse der Quelle die einzige Identifizierungsmöglichkeit sein. Die befristete, allgemeine Vorratsdatenspeicherung solcher Adressen aller natürlichen Personen mit Endgeräten sei trotz nicht einmal mittelbaren Zusammenhangs mit Speicherzielen (auch nach Rz. 168 des Urteils „La Quadrature“) und Anonymitätsschutz bei strikter Einhaltung von Regelungen zum Missbrauchsschutz insb. gegen Nutzungsprofile zulässig. Als Speicherziele kämen wegen des schweren Eingriffs neben der nationalen Sicherheit nur Schwerkriminalität und schwere Gefahren für die öffentliche Sicherheit in Betracht (Rz. 75, 100–103, 131).
Gezielte Vorratsdatenspeicherung: Von einer gezielten Vorratsdatenspeicherung könnten Personen erfasst werden, deren Verkehrs- und Standortdaten geeignet seien, einen zumindest mittelbaren Zusammenhang zur Schwerkriminalitätsbekämpfung, schwerer Gefahr für die öffentliche Sicherheit oder einer Gefahr für die nationale Sicherheit herzustellen. Es sei nicht erforderlich, dass im Voraus bekannt sei, an welchen Orten konkret eine schwere Straftat begangen werden könne oder welche Personen einer Tatbeteiligung verdächtigt würden (Rz. 75, 104 f., 131).
Persönliche Kriterien: Die Kriterien könnten für Verhütung, Ermittlung, Feststellung und Verfolgung von Schwerkriminalität unterschiedlich sein. Die erfassten Personen dürften Gefährder, Verdächtige oder wegen Schwerkriminalität rückfallgefährdete Vorbestrafte sein, sofern sie aufgrund nicht diskriminierender, gesetzlicher Kriterien so eingestuft würden (Rz. 106 f.).
Geografische Kriterien: Es könnten Orte gewählt werden, an denen ein erhöhtes Risiko der Vorbereitung oder Begehung schwerer Straftaten anhand z.B. der durchschnittlichen Kriminalitätsrate oder der besonderen Anfälligkeit für eine Tatbegehung bestehe, ohne dass konkrete Anhaltspunkte für Vorbereitung oder Begehung vorliegen müssten. Die gezielte Vorratsdatenspeicherung könne sich auf die Bewegung bestimmter Personen innerhalb und zwischen Orten mit sehr großem Besucheraufkommen oder strategischer Bedeutung (z.B. Flughäfen, Bahnhöfe, Seehäfen, Mautstellen) während des Speicherzeitraums ausrichten. Die am absolut Notwendigen zu orientierende Speicherdauer und die jeweiligen geografischen Gebiete seien u.U. an die weitere Entwicklung der Umstände anzupassen (Rz. 111, 118 ff.).
Nicht abschließende Kriterien: Nicht ausgeschlossen sei, dass weitere Kriterien geeignet seien, eine gezielte Vorratsdatenspeicherung mit zumindest mittelbarer Verbindung zu schweren Bedrohungen begrenzt auf das absolut Erforderliche zu rechtfertigen (Rz. 112 f.).
Quick Freeze: Zur Verhinderung der eigentlich gebotenen Löschung geschäftlich anfallender Daten nach Entfallen des ursprünglichen Speicherzwecks komme auf der Grundlage gesetzlich geregelter Zweckänderung (vgl. Art. 8 Abs. 2 GRC) zugunsten Schwerkriminalitätsbekämpfung oder nationaler Sicherheit (vgl. Rz. 75 unklar bei schwerer Bedrohung der öffentlichen Sicherheit) eine umgehende Sicherung in Betracht. Ein solches „Einfrieren“ sei bereits mit Anfangsverdacht i.S.v. § 152 Abs. 2 StPO zulässig und erfordere Richtervorbehalt und zeitliche Begrenzung (Rz. 75, 114 ff., 120, 131).
Persönliche und örtliche Begrenzung: Erfasst werden könnten neben Tatverdächtigen oder Gefährdern auch alle Personen, die etwa aus dem Opferumfeld zur weiteren Ermittlung beitragen könnten. Begehungs- und Vorbereitungsorte sowie der letzte Aufenthaltsort eines Opfers könne auch erfasst werden, sofern dies auf das absolut Notwendige begrenzt bliebe (Rz. 117 ff.).
Keine anlasslose Speicherung wegen Kriminalität: Eine im Rahmen des absolut Notwendigen befristete, aber bei Fortbestand der Bedrohung verlängerbare allgemeine Vorratsdatenspeicherung komme nur bei dem wichtigsten Gemeinwohlziel des Schutzes der nationalen Sicherheit bei mindestens vorhersehbar ernster Bedrohung nach Anordnung und Richtervorbehalt in Betracht und nicht schon bei Schwerkriminalitätsbekämpfung (Rz. 72 ff., 122 ff., 131). Im Unterschied zu abstrakten Gefahren für die öffentliche Sicherheit oder der Schwerkriminalität müsse eine Bedrohung für die nationale Sicherheit anhand konkreter Umstände zumindest vorhersehbar sein, um eine temporäre allgemeine Vorratsdatenspeicherung rechtfertigen zu können (Rz. 92 ff., 131).
Gesamtschau der Ermittlungsinstrumente: Eine Schwerkriminalitätsbekämpfung hänge nicht von einem einzigen, sondern von der Gesamtschau aller, in den Grenzen des absolut Notwendigen kombinierbarer Ermittlungsinstrumente, wie gezielter Vorratsdatenspeicherung, Quick Freeze sowie Vorratsdatenspeicherung von IP-Adressen und Bestandsdaten, ab, so dass es keiner allgemeinen Vorratsdatenspeicherung bedürfe (Rz. 95 ff., 121).
Mindestschutz durch EMRK: Soweit Art. 8 EMRK einer allgemeinen Vorratsdatenspeicherung zur Kriminalitätsbekämpfung nicht entgegenstehen sollte (vgl. bspw. EGMR v. 25.5.2021 – 58170/13, 62322/14, 24960/15 – Big Brother Watch u.a.), widerspreche das der vorliegenden Auslegung von Art. 15 Abs. 1 ePrivacy-RL schon deshalb nicht, weil die Rechte aus der EMRK bei Auslegung der GRC nur als Mindestschutzstandard zu berücksichtigen seien (Rz. 125).
Deutsche Vorratsdatenspeicherung: Die erfassten Ziel-IP-Adressen könnten insb. zur Nachverfolgung der Online-Aktivität und damit für ein detailliertes Personenprofil genutzt werden, so dass auch insofern ein schwerer Grundrechtseingriff vorliege (Rz. 78 f.).
Unerhebliche sachlich-persönliche Ausnahme: Die ausgenommenen Daten von E-Mail-Diensten stellten nur einen Bruchteil der Daten der deutschen Vorratsdatenspeicherung dar. Die persönliche Ausnahme in sozialen oder kirchlichen Bereichen nach §§ 99 Abs. 2, 113b Abs. 6 TKG a.F. betreffe nur 1.300 Stellen, von der nicht einmal Berufsgeheimnisträger, wie etwa Rechtsanwälte, Ärzte und Journalisten, erfasst würden. Da nahezu die gesamte Bevölkerung ohne mindestens mittelbaren Zusammenhang mit Strafverfolgung betroffen sei, liege keine gezielte, sondern eine allgemeine Vorratsdatenspeicherung vor (Rz. 80–84).
Unerhebliche Begrenzung des Speicherzeitraums: Selbst eine begrenzte Datenmenge oder ein im Vergleich zur grundrechtswidrigen Vorratsdatenspeicherung-RL 2006/24/EG erheblich begrenzterer Speicherzeitraum i.S.v. § 113b Abs. 1 TKG a.F. von nur vier Wochen für Standortdaten bzw. zehn Wochen für Verkehrsdaten ermögliche sehr genaue, für Personenprofile geeignete Schlüsse auf etwa Gewohnheiten, soziale Beziehungen und Ortsveränderungen des täglichen Lebens (Rz. 88 ff.).
Zugangsregelung ohne Abschwächungswirkung: Mit Vorratsdatenspeicherung und späteren Datenzugriffen seien unterschiedliche Grundrechtseingriffe verbunden, so dass Zugriffsbeschränkungen nicht den Eingriff durch die Speicherung milderten (Rz. 91).
GRC Art. 6, 7, 8, 11, 52 Abs. 1; RL 2002/58/EG Art. 15 Abs. 1; TKG §§ 113a Abs. 1, 113b a.F.
Das Problem
Zwei Accessprovider fochten getrennt vor dem VG Köln erfolgreich die ihnen durch §§ 113a Abs. 1, 113b TKG a.F. auferlegte Pflicht an, ab Juni 2017 Verkehrs- und Standortdaten ihrer Kunden auf Vorrat zu speichern. Nach Anfrage des EuGH vor dem Hintergrund des Urteils „La Quadrature“ (EuGH v. 6.10.2020 – C-511/18, C-512/18, C-520/18, ECLI:EU:C:2020:791, CR 2021, 18 = ITRB 2021, 251 [Rössel]), das zu einer unzulässigen allgemeinen Vorratsdatenspeicherung in Frankreich ergangen war, hat das BVerwG in den Revisionsverfahren an seinen Vorlagebeschlüssen festgehalten, da die deutsche Regelung insb. persönlich, sachlich und zeitlich eingeschränkter ist und strengeren Datenzugangsschutz aufweist.Die Entscheidung des Gerichts
Die §§ 113a, 113b TKG enthielten eine unzulässige allgemeine Vorratsdatenspeicherung zur Kriminalitätsbekämpfung.Eingriff in die Vertraulichkeit von Verkehrsdaten: Eine Vorratsdatenspeicherung beinhalte unabhängig von Datensensibilität, Nachteilseintritt oder Datenverwendung eine Abweichung vom Verbot der Drittspeicherung und einen Eingriff in Artt. 7, 8 GRC. Die Daten ermöglichten insb. die Erstellung von Personenprofilen, die im Hinblick auf das Recht auf Achtung des Privatlebens ebenso sensible Informationen darstellten wie der Kommunikationsinhalte selbst. Bei zunehmender Masse der Daten stiegen zudem die Missbrauchsgefahren (Rz. 60 ff.).
Rechtfertigung des Eingriffs: Ein Abweichen von durch Artt. 5, 6, 9 ePrivacy-RL 2002/58/EG (vgl. Erwgrd. 2, 6, 7) grundsätzlich geschützter Vertraulichkeit auch von Verkehrsdaten könne ausnahmsweise durch die abschließenden Gemeinwohlziele des eng auszulegenden Art. 15 Abs. 1 ePrivacy-RL gerechtfertigt sein. Hierbei seien insb. Gesetzesvorbehalt, Grundrechtswesensgehalt und Verhältnismäßigkeit nach Art. 52 Abs. 1 GRC zu beachten (Rz. 55, 57 f., 63, 66).
Verhältnismäßigkeitsgrundsatz: Eingriffe seien auf das absolut Notwendige zu beschränken. Staatliche Schutzverpflichtungen etwa hinsichtlich Minderjähriger, der Wohnung oder der geistigen und körperlichen Unversehrtheit aus Artt. 3, 4, 7 GRC seien im Rahmen praktischer Konkordanz mit Betroffeneninteressen aus Artt. 7, 8, 11 GRC zum Ausgleich zu bringen (Rz. 50, 53, 59, 64 ff., 68).
Missbrauchsschutz: Die Verhältnismäßigkeit erfordere zur Beschränkung auf das Notwendige klare und präzise Eingriffsregeln und materielle und prozedurale Mindesterfordernisse gegenüber Missbrauchsrisiken umso mehr, je sensibler die Daten seien und je eher eine Automatisierung stattfinde. Erforderlich seien objektive Kriterien für einen Zusammenhang zwischen Daten und verfolgten, nach Eingriffsgewicht hierarchisch zu beachtenden Gemeinwohlzielen (Rz. 70 f., 75, 69, 131).
Anlasslose Bestandsdatenspeicherung: Die allgemeine Vorratsdatenspeicherung von Bestandsdaten sei auch zu einfacher Kriminalitätsbekämpfung und Gefahrenabwehr gerechtfertigt, also etwa bei Identifizierung vor Erwerb einer Prepaid-Karte (Rz. 75, 98 f., 131).
Anlasslose Speicherung von IP-Adressen: Bei einer Internetstraftat, insb. Kinderpornografie i.S.v. Art. 2 lit. c Kindesmissbrauchs-RL 2011/93/EU, könne die IP-Adresse der Quelle die einzige Identifizierungsmöglichkeit sein. Die befristete, allgemeine Vorratsdatenspeicherung solcher Adressen aller natürlichen Personen mit Endgeräten sei trotz nicht einmal mittelbaren Zusammenhangs mit Speicherzielen (auch nach Rz. 168 des Urteils „La Quadrature“) und Anonymitätsschutz bei strikter Einhaltung von Regelungen zum Missbrauchsschutz insb. gegen Nutzungsprofile zulässig. Als Speicherziele kämen wegen des schweren Eingriffs neben der nationalen Sicherheit nur Schwerkriminalität und schwere Gefahren für die öffentliche Sicherheit in Betracht (Rz. 75, 100–103, 131).
Gezielte Vorratsdatenspeicherung: Von einer gezielten Vorratsdatenspeicherung könnten Personen erfasst werden, deren Verkehrs- und Standortdaten geeignet seien, einen zumindest mittelbaren Zusammenhang zur Schwerkriminalitätsbekämpfung, schwerer Gefahr für die öffentliche Sicherheit oder einer Gefahr für die nationale Sicherheit herzustellen. Es sei nicht erforderlich, dass im Voraus bekannt sei, an welchen Orten konkret eine schwere Straftat begangen werden könne oder welche Personen einer Tatbeteiligung verdächtigt würden (Rz. 75, 104 f., 131).
Persönliche Kriterien: Die Kriterien könnten für Verhütung, Ermittlung, Feststellung und Verfolgung von Schwerkriminalität unterschiedlich sein. Die erfassten Personen dürften Gefährder, Verdächtige oder wegen Schwerkriminalität rückfallgefährdete Vorbestrafte sein, sofern sie aufgrund nicht diskriminierender, gesetzlicher Kriterien so eingestuft würden (Rz. 106 f.).
Geografische Kriterien: Es könnten Orte gewählt werden, an denen ein erhöhtes Risiko der Vorbereitung oder Begehung schwerer Straftaten anhand z.B. der durchschnittlichen Kriminalitätsrate oder der besonderen Anfälligkeit für eine Tatbegehung bestehe, ohne dass konkrete Anhaltspunkte für Vorbereitung oder Begehung vorliegen müssten. Die gezielte Vorratsdatenspeicherung könne sich auf die Bewegung bestimmter Personen innerhalb und zwischen Orten mit sehr großem Besucheraufkommen oder strategischer Bedeutung (z.B. Flughäfen, Bahnhöfe, Seehäfen, Mautstellen) während des Speicherzeitraums ausrichten. Die am absolut Notwendigen zu orientierende Speicherdauer und die jeweiligen geografischen Gebiete seien u.U. an die weitere Entwicklung der Umstände anzupassen (Rz. 111, 118 ff.).
Nicht abschließende Kriterien: Nicht ausgeschlossen sei, dass weitere Kriterien geeignet seien, eine gezielte Vorratsdatenspeicherung mit zumindest mittelbarer Verbindung zu schweren Bedrohungen begrenzt auf das absolut Erforderliche zu rechtfertigen (Rz. 112 f.).
Quick Freeze: Zur Verhinderung der eigentlich gebotenen Löschung geschäftlich anfallender Daten nach Entfallen des ursprünglichen Speicherzwecks komme auf der Grundlage gesetzlich geregelter Zweckänderung (vgl. Art. 8 Abs. 2 GRC) zugunsten Schwerkriminalitätsbekämpfung oder nationaler Sicherheit (vgl. Rz. 75 unklar bei schwerer Bedrohung der öffentlichen Sicherheit) eine umgehende Sicherung in Betracht. Ein solches „Einfrieren“ sei bereits mit Anfangsverdacht i.S.v. § 152 Abs. 2 StPO zulässig und erfordere Richtervorbehalt und zeitliche Begrenzung (Rz. 75, 114 ff., 120, 131).
Persönliche und örtliche Begrenzung: Erfasst werden könnten neben Tatverdächtigen oder Gefährdern auch alle Personen, die etwa aus dem Opferumfeld zur weiteren Ermittlung beitragen könnten. Begehungs- und Vorbereitungsorte sowie der letzte Aufenthaltsort eines Opfers könne auch erfasst werden, sofern dies auf das absolut Notwendige begrenzt bliebe (Rz. 117 ff.).
Keine anlasslose Speicherung wegen Kriminalität: Eine im Rahmen des absolut Notwendigen befristete, aber bei Fortbestand der Bedrohung verlängerbare allgemeine Vorratsdatenspeicherung komme nur bei dem wichtigsten Gemeinwohlziel des Schutzes der nationalen Sicherheit bei mindestens vorhersehbar ernster Bedrohung nach Anordnung und Richtervorbehalt in Betracht und nicht schon bei Schwerkriminalitätsbekämpfung (Rz. 72 ff., 122 ff., 131). Im Unterschied zu abstrakten Gefahren für die öffentliche Sicherheit oder der Schwerkriminalität müsse eine Bedrohung für die nationale Sicherheit anhand konkreter Umstände zumindest vorhersehbar sein, um eine temporäre allgemeine Vorratsdatenspeicherung rechtfertigen zu können (Rz. 92 ff., 131).
Gesamtschau der Ermittlungsinstrumente: Eine Schwerkriminalitätsbekämpfung hänge nicht von einem einzigen, sondern von der Gesamtschau aller, in den Grenzen des absolut Notwendigen kombinierbarer Ermittlungsinstrumente, wie gezielter Vorratsdatenspeicherung, Quick Freeze sowie Vorratsdatenspeicherung von IP-Adressen und Bestandsdaten, ab, so dass es keiner allgemeinen Vorratsdatenspeicherung bedürfe (Rz. 95 ff., 121).
Mindestschutz durch EMRK: Soweit Art. 8 EMRK einer allgemeinen Vorratsdatenspeicherung zur Kriminalitätsbekämpfung nicht entgegenstehen sollte (vgl. bspw. EGMR v. 25.5.2021 – 58170/13, 62322/14, 24960/15 – Big Brother Watch u.a.), widerspreche das der vorliegenden Auslegung von Art. 15 Abs. 1 ePrivacy-RL schon deshalb nicht, weil die Rechte aus der EMRK bei Auslegung der GRC nur als Mindestschutzstandard zu berücksichtigen seien (Rz. 125).
Deutsche Vorratsdatenspeicherung: Die erfassten Ziel-IP-Adressen könnten insb. zur Nachverfolgung der Online-Aktivität und damit für ein detailliertes Personenprofil genutzt werden, so dass auch insofern ein schwerer Grundrechtseingriff vorliege (Rz. 78 f.).
Unerhebliche sachlich-persönliche Ausnahme: Die ausgenommenen Daten von E-Mail-Diensten stellten nur einen Bruchteil der Daten der deutschen Vorratsdatenspeicherung dar. Die persönliche Ausnahme in sozialen oder kirchlichen Bereichen nach §§ 99 Abs. 2, 113b Abs. 6 TKG a.F. betreffe nur 1.300 Stellen, von der nicht einmal Berufsgeheimnisträger, wie etwa Rechtsanwälte, Ärzte und Journalisten, erfasst würden. Da nahezu die gesamte Bevölkerung ohne mindestens mittelbaren Zusammenhang mit Strafverfolgung betroffen sei, liege keine gezielte, sondern eine allgemeine Vorratsdatenspeicherung vor (Rz. 80–84).
Unerhebliche Begrenzung des Speicherzeitraums: Selbst eine begrenzte Datenmenge oder ein im Vergleich zur grundrechtswidrigen Vorratsdatenspeicherung-RL 2006/24/EG erheblich begrenzterer Speicherzeitraum i.S.v. § 113b Abs. 1 TKG a.F. von nur vier Wochen für Standortdaten bzw. zehn Wochen für Verkehrsdaten ermögliche sehr genaue, für Personenprofile geeignete Schlüsse auf etwa Gewohnheiten, soziale Beziehungen und Ortsveränderungen des täglichen Lebens (Rz. 88 ff.).
Zugangsregelung ohne Abschwächungswirkung: Mit Vorratsdatenspeicherung und späteren Datenzugriffen seien unterschiedliche Grundrechtseingriffe verbunden, so dass Zugriffsbeschränkungen nicht den Eingriff durch die Speicherung milderten (Rz. 91).