EuGH erklärt Richtlinie über die Vorratsspei­cherung von Daten für ungültigDaten­spei­cherung verletzt Grundrechte auf Achtung des Privatlebens und auf Schutz perso­nen­be­zogener Daten in großem Ausmaß und besonderer Schwere

Mit der Richtlinie über die Vorratsspei­cherung von Daten* sollen in erster Linie die Vorschriften der Mitgliedstaaten über die Vorratsspei­cherung bestimmter von den Anbietern öffentlich zugänglicher elektronischer Kommu­ni­ka­ti­o­ns­dienste oder den Betreibern eines öffentlichen Kommu­ni­ka­ti­o­ns­netzes erzeugter oder verarbeiteter Daten harmonisiert werden. Sie soll damit sicherstellen, dass die Daten zwecks Verhütung, Ermittlung, Feststellung und Verfolgung von schweren Straftaten wie organisierter Kriminalität und Terrorismus zur Verfügung stehen. Die Richtlinie sieht daher vor, dass die genannten Anbieter und Betreiber die Verkehrs- und Standortdaten sowie alle damit in Zusammenhang stehenden Daten, die zur Feststellung des Teilnehmers oder Benutzers erforderlich sind, auf Vorrat speichern müssen. Dagegen gestattet sie keine Vorratsspei­cherung des Inhalts einer Nachricht und der abgerufenen Informationen.

Nationale Gerichte erbitten Prüfung der Gültigkeit der Richtlinie durch EuGH

Der irische High Court und der österreichische Verfas­sungs­ge­richtshof ersuchen den Gerichtshof um Prüfung der Gültigkeit der Richtlinie, insbesondere im Licht von zwei durch die Charta der Grundrechte der Europäischen Union gewährleisteten Grundrechten, und zwar des Grundrechts auf Achtung des Privatlebens sowie des Grundrechts auf Schutz perso­nen­be­zogener Daten.

Der High Court hat über einen Rechtsstreit zwischen der irischen Gesellschaft Digital Rights und irischen Behörden wegen der Rechtmäßigkeit nationaler Maßnahmen zur Vorratsspei­cherung von Daten elektronischer Kommu­ni­ka­ti­o­ns­vorgänge zu entscheiden. Der Verfas­sungs­ge­richtshof ist mit mehreren verfas­sungs­recht­lichen Verfahren befasst, die von der Kärntner Landesregierung sowie von Herrn Seitlinger, Herrn Tschohl und 11.128 weiteren Antragstellern anhängig gemacht wurden und auf die Nichti­g­er­klärung der nationalen Bestimmung** zur Umsetzung der Richtlinie in öster­rei­chisches Recht gerichtet sind.

Gespeicherte Daten lassen genaue Rückschlüsse auf Privatleben der betroffenen Personen zu

Mit seinem Urteil erklärt der Gerichtshof die Richtlinie für ungültig***. Der Gerichtshof stellt zunächst fest, dass den auf Vorrat zu speichernden Daten insbesondere zu entnehmen ist, 1. mit welcher Person ein Teilnehmer oder registrierter Benutzer auf welchem Weg kommuniziert hat, 2. wie lange die Kommunikation gedauert hat und von welchem Ort aus sie stattfand und 3. wie häufig der Teilnehmer oder registrierte Benutzer während eines bestimmten Zeitraums mit bestimmten Personen kommuniziert hat. Aus der Gesamtheit dieser Daten können sehr genaue Schlüsse auf das Privatleben der Personen, deren Daten auf Vorrat gespeichert werden, gezogen werden, etwa auf Gewohnheiten des täglichen Lebens, ständige oder vorübergehende Aufenthaltsorte, tägliche oder in anderem Rhythmus erfolgende Ortsver­än­de­rungen, ausgeübte Tätigkeiten, soziale Beziehungen und das soziale Umfeld.

EuGH rügt schweren Eingriff der Richtlinie in Grundrechte auf Achtung des Privatlebens und auf Schutz perso­nen­be­zogener Daten

Der Gerichtshof sieht in der Verpflichtung zur Vorratsspei­cherung dieser Daten und der Gestattung des Zugangs der zuständigen nationalen Behörden zu ihnen einen besonders schwerwiegenden Eingriff der Richtlinie in die Grundrechte auf Achtung des Privatlebens und auf Schutz perso­nen­be­zogener Daten. Außerdem ist der Umstand, dass die Vorratsspei­cherung der Daten und ihre spätere Nutzung vorgenommen werden, ohne dass der Teilnehmer oder der registrierte Benutzer darüber informiert wird, geeignet, bei den Betroffenen das Gefühl zu erzeugen, dass ihr Privatleben Gegenstand einer ständigen Überwachung ist.

EuGH prüft mögliche Rechtfertigung für Eingriff in Grundrechte

Sodann prüft der Gerichtshof, ob ein solcher Eingriff in die fraglichen Grundrechte gerechtfertigt ist. Er stellt fest, dass die nach der Richtlinie vorgeschriebene Vorratsspei­cherung von Daten nicht geeignet ist, den Wesensgehalt der Grundrechte auf Achtung des Privatlebens und auf Schutz perso­nen­be­zogener Daten anzutasten. Die Richtlinie gestattet nämlich nicht die Kenntnisnahme des Inhalts elektronischer Kommunikation als solchen und sieht vor, dass die Diensteanbieter bzw. Netzbetreiber bestimmte Grundsätze des Datenschutzes und der Datensicherheit einhalten müssen.

Vorrats­da­ten­spei­cherung dient Bekämpfung schwerer Kriminalität

Die Vorratsspei­cherung der Daten zur etwaigen Weiterleitung an die zuständigen nationalen Behörden stellt auch eine Zielsetzung dar, die dem Gemeinwohl dient, und zwar der Bekämpfung schwerer Kriminalität und somit letztlich der öffentlichen Sicherheit.

Grenzen zur Wahrung des Grundsatzes der Verhält­nis­mä­ßigkeit überschritten

Der Gerichtshof kommt jedoch zu dem Ergebnis, dass der Unions­ge­setzgeber beim Erlass der Richtlinie über die Vorratsspei­cherung von Daten die Grenzen überschritten hat, die er zur Wahrung des Grundsatzes der Verhält­nis­mä­ßigkeit einhalten musste.

Richtlinie über Daten­spei­cherung unterliegt aufgrund der Schwere des Eingriffs in Grundrechte strikter Kontrolle

Hierzu führt der Gerichtshof aus, dass angesichts der besonderen Bedeutung des Schutzes perso­nen­be­zogener Daten für das Grundrecht auf Achtung des Privatlebens und des Ausmaßes und der Schwere des mit der Richtlinie verbundenen Eingriffs in dieses Recht der Gestal­tungs­spielraum des Unions­ge­setz­gebers eingeschränkt ist, so dass die Richtlinie einer strikten Kontrolle unterliegt.

Richtlinie mangelt es an Bestimmungen zur Beschränkung des Eingriffs in private Bereiche auf das absolut Notwendige

Zwar ist die nach der Richtlinie vorgeschriebene Vorratsspei­cherung der Daten zur Erreichung des mit ihr verfolgten Ziels geeignet, doch beinhaltet sie einen Eingriff von großem Ausmaß und von besonderer Schwere in die fraglichen Grundrechte, ohne dass sie Bestimmungen enthielte, die zu gewährleisten vermögen, dass sich der Eingriff tatsächlich auf das absolut Notwendige beschränkt.

Richtlinie beinhaltet keine Differenzierung, Einschränkung oder Ausnahme

Erstens erstreckt sich die Richtlinie nämlich generell auf sämtliche Personen, elektronische Kommu­ni­ka­ti­o­ns­mittel und Verkehrsdaten, ohne irgendeine Differenzierung, Einschränkung oder Ausnahme anhand des Ziels der Bekämpfung schwerer Straftaten vorzusehen.

Zugang zu Daten unterliegt keiner vorherigen Kontrolle durch Gerichte oder unabhängige Verwal­tungs­stelle

Zweitens sieht die Richtlinie kein objektives Kriterium vor, das es ermöglicht, den Zugang der zuständigen nationalen Behörden zu den Daten und deren Nutzung zwecks Verhütung, Feststellung oder straf­recht­licher Verfolgung auf Straftaten zu beschränken, die im Hinblick auf das Ausmaß und die Schwere des Eingriffs in die fraglichen Grundrechte als so schwerwiegend angesehen werden können, dass sie einen solchen Eingriff rechtfertigen. Die Richtlinie nimmt im Gegenteil lediglich allgemein auf die von jedem Mitgliedstaat in seinem nationalen Recht bestimmten „schweren Straftaten“ Bezug. Überdies enthält die Richtlinie keine materiell- und verfah­rens­recht­lichen Voraussetzungen für den Zugang der zuständigen nationalen Behörden zu den Daten und deren spätere Nutzung. Vor allem unterliegt der Zugang zu den Daten keiner vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwal­tungs­stelle.

Speiche­rungsfrist zu unbestimmt

Drittens schreibt die Richtlinie eine Dauer der Vorratsspei­cherung der Daten von mindestens sechs Monaten vor, ohne dass eine Unterscheidung zwischen den Datenkategorien anhand der betroffenen Personen oder nach Maßgabe des etwaigen Nutzens der Daten für das verfolgte Ziel getroffen wird. Die Speiche­rungsfrist liegt zudem zwischen mindestens sechs und höchstens 24 Monaten, ohne dass die Richtlinie objektive Kriterien festlegt, die gewährleisten, dass die Speicherung auf das absolut Notwendige beschränkt wird.

Richtlinie gewährleistet keine unwiderrufliche Vernichtung der Daten nach Ablauf ihrer Speiche­rungsfrist

Darüber hinaus stellt der Gerichtshof fest, dass die Richtlinie keine hinreichenden Garantien dafür bietet, dass die Daten wirksam vor Missbrauchs­risiken sowie vor jedem unberechtigten Zugang und jeder unberechtigten Nutzung geschützt sind. Unter anderem gestattet sie es den Diens­tean­bietern, bei der Bestimmung des von ihnen angewandten Sicher­heits­niveaus wirtschaftliche Erwägungen (insbesondere hinsichtlich der Kosten für die Durchführung der Sicher­heits­maß­nahmen) zu berücksichtigen, und gewährleistet nicht, dass die Daten nach Ablauf ihrer Speiche­rungsfrist unwiderruflich vernichtet werden.

Richtlinie schreibt zu Unrecht keine Speicherung der Daten im Unionsgebiet vor

Der Gerichtshof rügt schließlich, dass die Richtlinie keine Speicherung der Daten im Unionsgebiet vorschreibt. Sie gewährleistet damit nicht in vollem Umfang, dass die Einhaltung der Erfordernisse des Datenschutzes und der Datensicherheit durch eine unabhängige Stelle überwacht wird, obwohl die Charta dies ausdrücklich fordert. Eine solche Überwachung auf der Grundlage des Unionsrechts ist aber ein wesentlicher Bestandteil der Wahrung des Schutzes der Betroffenen bei der Verarbeitung perso­nen­be­zogener Daten.