Category Archives: PETER SCHAAR. Der Blog.

Das neue Big Brother-Gesetz (mit Nachtrag v. 18.5.2017)

Nachtrag v. 18. Mai 2017:

Inzwischen liegt der Bericht des Innenausschusses mit dem Beschlussantrag der Regierungsfraktionen CDU/CSU und SPD zum Online-Abruf der Passfotos aus den kommunalen Personalausweisregistern vor (Drs. 18/12417).

Die Regierungsparteien CDU/CSU und SPD wollen den Kreis der Behörden, die im Rahmen ihrer Aufgabenwahrnehmung die biometrische Lichtbilder jederzeit abrufen können, um die Steurfahndungs- und Zollfahndungsämter erweitern. Eine überzeugende Begründung hierfür wird nicht geliefert.

Auch die für die Verfolgung von Ordnungswidrigkeiten zuständigen Behörden sollen die Daten zeitlich unbeschränkt abrufen. Bedeutsam ist auch die Änderung in den Protokollierungsvorschriften: Nur die abrufenden Stellen haben die Abrufe zu protokollieren. Damit ist es etwa den für die Personalausweisregister zuständigen Datenschutzbehörden nicht mehr möglich nachzuvollziehen, welche Behörde in welchem Umfang Lichtbilder abgerufen haben.

Die vorgesehenen Änderungen senken auf ganzer Linie das Datenschutzniveau Beim Umgang mit biometrische Daten weiter ab.

Die Regelungen sollen nun wie folgt lauten:

§ 22a Absatz 2 wird wie folgt geändert:

a) Satz 1 wird wie folgt gefasst: „Im Fall der Übermittlung von Lichtbildern durch Passbehörden nach § 19 Absatz 1 Satz 1 an die Ordnungsbehörden im Rahmen der Verfolgung von Verkehrsordnungs- widrigkeiten kann der Abruf des Lichtbildes im automatisierten Verfahren erfolgen.

b) Nach Satz 4 werden die folgenden Sätze eingefügt: „Die Polizeibehörden des Bundes und der Länder, der Militärische Abschirmdienst, der Bundesnachrichtendienst, die Verfassungsschutzbehörden des Bundes und der Länder, Steuerfahndungsdienststellen der Länder, der Zollfahndungs- dienst und die Hauptzollämter dürfen das Lichtbild zur Erfül- lung ihrer Aufgaben im automatisierten Verfahren abrufen. Die abrufende Behörde trägt die Verantwortung dafür, dass die Voraussetzungen des Absatzes 1 vorliegen.“

c) Nach dem bisherigen Satz 5 wird folgender Satz eingefügt: „Abrufe nach Satz 5 werden nur von der abrufenden Behörde protokolliert.“

 


Originalbeitrag v. 15. Mai 2017:

In dieser Woche, am 18. Mai 2017 wird der Deutsche Bundestag unter Tagesordnungspunkt 23 über ein höchst problematisches Gesetz entscheiden, das am 27. April schon einmal auf der Tagesordnung stand, dann aber überraschend nicht behandelt wurde. In der Vorlage für ein „Gesetz zur Förderung des elektronischen Identitätsnachweises“ (Drucksache 18/11279 ) befindet sich eine datenschutzrechtliche Ungeheuerlichkeit. Offiziell geht es vor allem darum, dass die heute schon im neuen Personalausweis vorhandene (eID-)Funktion bei der Ausstellung eines neuen Personalausweises grundsätzlich freigeschaltet wird und nicht erst dann, wenn der Ausweisinhaber dies wünscht.

Viel gravierender ist jedoch eine Änderung, die im hinteren Teil des Artikelgesetzes versteckt ist:

Artikel 2 (Weitere Änderung des Personalausweisgesetzes zum 1. Mai 2021) sieht eine dramatische Änderung von § 25 des Personalausweisgesetzes vor. Die Vorschrift soll zukünftig so lauten:

„Die Polizeien des Bundes und der Länder, das Bundesamt für Verfassungsschutz, der Militärische Abschirmdienst, der Bundesnachrichtendienst sowie die Verfassungsschutzbehörden der Länder dürfen das Lichtbild zur Erfüllung ihrer Aufgaben im automatisierten Verfahren abrufen.“

Bisher ist der Online-Abruf der biometrische Lichtbilder gem. dem geltenden § 25 Abs. 2 Personalausweisgesetz nur ausnahmsweise zulässig:

„Die Polizei- und Ordnungsbehörden, die Steuerfahndungsstellen der Länder sowie die Behörden der Zollverwaltung dürfen das Lichtbild zum Zweck der Verfolgung von Straftaten und Verkehrsordnungswidrigkeiten im automatisierten Verfahren abrufen, wenn die Personalausweisbehörde auf andere Weise nicht erreichbar ist und ein weiteres Abwarten den Ermittlungszweck gefährden würde. Zuständig für den Abruf sind die Polizeivollzugsbehörden auf Ebene der Landkreise und kreisfreien Städte, die durch Landesrecht bestimmt werden.“

Diese Beschränkung des Online-Abrufs der Lichtbilder war seinerzeit eingeführt worden, um zu verhindern, dass die obligatorisch in Pässe und Personalausweise aufgenommenen biometrische Gesichtsbilder zur Massenüberwachung genutzt werden. Mit der von der Großen Koalition geplanten Gesetzesänderung fällt diese wichtige Restriktion. Nicht nur die Polizei, sondern praktisch alle Sicherheitsbehörden erhalten zukünftig einen unbeschränkten Zugriff auf die digitalisierten Gesichtsbilder. Einzige Bedingung für den Online-Zugriff auf die Lichtbilddateien ist, dass der Abruf „zur Erfüllung ihrer Aufgaben“ erfolgt. Zu diesen Aufgaben gehört nicht nur die Strafverfolgung oder die Abwehr konkreter Gefahren. Polizeibehörden führen Verkehrskontrollen aus und betreiben Videoüberwachungsanlagen. Nachrichtendienste sind sogar weit im Vorfeld des Vorfeldes einer Gefahr tätig und sind nicht unbedingt dafür bekannt, sich bei der Datenerfassung zurückzuhalten.

Es ist damit zu rechnen, dass die umfassenden Abrufmöglichkeiten längerfristig dazu verwendet werden, im Rahmen der „intelligenten Videoüberwachung“ alle Menschen zu identifizieren, die sich in einem Bahnhof, auf einem Flughafen, in einem Einkaufszentrum oder auf einem öffentlichen Platz aufhalten. Nicht umsonst hat die Große Koalition kürzlich die gesetzlichen Befugnisse zur Videoüberwachung so aufgebohrt, dass die Gewährleistung der Sicherheit grundsätzlich schwerer wiegt als die Wahrung der Persönlichkeitsrechte der Betroffenen. Zusammen mit denen neuen automatischen Zugriffsbefugnissen auf die biometrische Daten wird daraus ein Big Brother-Gesetz.

Mit freundlichen Grüßen

Peter Schaar

Schicksalswoche für den Datenschutz

In dieser Woche beschäftigt sich der Deutsche Bundestag mit einer Reihe von Vorhaben, die große Bedeutung für den Schutz der Privatsphäre und die Gewährleistung des Rechts auf informationelle Selbstbestimmung haben. Gleich fünf gravierende Gesetzesänderungen stehen am 27 April 2017 zur Entscheidung an:

  • Das Datenschutz-Anpassungs- und -Umsetzungsgesetz (Drucksachen 18/11325, 18/11655, 18/11822) soll das deutsche Recht an die Vorgaben der europäischen Datenschutzgrundverordnung anpassen, deren Regelungen am 20. Mai 2018 wirksam werden. Neben einigen notwendigen Rechtsanpassungen enthält der Gesetzentwurf jedoch schwerwiegende Mängel, insbesondere im Hinblick auf die Aufweichung der strikten Zweckbindungsregelungen für öffentliche Stellen, hinsichtlich der Rechte der Betroffenen auf Auskunft und Löschung ihrer Daten und bezüglich der Kontrolle der Datenschutzbehörden bei Daten, die einem besonderen Berufsgeheimnis unterliegen.
  • Durch die Änderung des Bundeskriminalamtsgesetzes (Drucksache 18/11163) soll die polizeiliche Informationsverarbeitung grundlegend umgebaut werden. Formaler Ausgangspunkt ist dabei ein Urteil des Bundesverfassungsgerichts, das von der großen Koalition beschlossene Befugniserweiterungen für das BKA für verfassungswidrig erklärt hatte. Der Gesetzentwurf trägt diesen Bedenken zwar formell Rechnung, weitet die Datenerfassung und den Zugriff der Polizeibehörden allerdings erheblich aus. Im Mittelpunkt steht ein zentrales Datenbanksystem, bei dem bisherige strikte Zweckbindungsregelungen wegfallen oder abgesenkt werden.
  • Das neue Fluggastdatengesetz (Drucksache 18/11501) verpflichtet die Fluggesellschaften und Reiseveranstalter dazu, eine Vielzahl von Informationen (u.a. email-Adressen und Zahlungsinformationen) über ihre Kunden an eine staatliche „Fluggastdatenzentrale“ zu übermitteln, wo sie fünf Jahre lang gespeichert bleiben. Anders als das bisherige System zur obligatorischen Fluggastdatenübermittlung (Advanced Passenger Information System – APIS) beschränkt sich die Datensammlung nicht auf bestimmte Reiserouten oder Zielländer. Die Daten dienen zur Profilbildung, um mögliche Gefährder oder Straftäter zu erkennen. Im Grunde handelt es sich um eine permanente Rasterfahndung sämtlicher Flugpassagiere.
  • Mit dem Gesetz zur Ausweitung des Maßregelrechts bei extremistischen Straftätern (Drucksachen 18/11162 und 18/11584) soll die elektronische Fußfessel erstmals nicht als Alternative zu einer Inhaftierung eingesetzt werden, sondern als Maßnahme zur zur Aufenthaltskontrolle von „extremistischen Gefährdern“ nach einer Verurteilung wegen eines Vergehens im Zusammenhang mit extremistischen bzw. terroristischen Aktivitäten und deren Unterstützung.
  • Mit dem Gesetzes zur Förderung des elektronischen Identitätsnachweises (Drucksache 18/11279 ) sollen die entsprechenden (eID-)Funktionen bei der Ausstellung eines neuen Personalausweises nicht erst dann aktiviert werden, wenn der Ausweisinhaber dies wünscht, sondern grundsätzlich freigeschaltet sein, soweit der Ausweisinhaber nicht widerspricht. Damit soll darauf reagiert werden, dass bei zwei Dritteln der bisher rund 51 Millionen ausgegebenen Ausweise die eID-Funktion deaktiviert blieb.

Speziell die vorgesehenen Neuregelungen im Datenschutzanpassungsgesetz, die im BKA-Gesetz vorgesehene zentrale Datenbank mit umfassenden Nutzungsmöglichkeiten und die fünfjährige Vorratsdatenspeicherung von Daten über Flugpassagiere begegnen erheblichen verfassungsrechtlichen und datenschutzrechtlichen Bedenken. Sie sind sind Ausdruck einer Einstellung, dass Grund- und Freiheitsrechte weniger Wert haben als vermeintliche Sicherheitsgewinne. Es ist abzusehen, dass das Bundesverfassungsgericht und der Europäische Gerichtshof den Gesetzgeber erneut korrigieren müssen.

Mit freundlichen Grüßen, Peter Schaar

Update (27.4.2017) Der Bundestag hat die Abstimmung des Gesetzes zur Förderung des elektronischen Identitätsnachweises (Drucksache 18/11279 ) von der Tagesordnung der heutigen Plenarsitzung genommen. Offenbar waren Abgeordnete der Regierungsfraktionen von kritischen Kommentaren überrascht worden.

 

DSAnpUG-EU: Datenschutzbehörden müssen zukünftig draußenbleiben

In der heutigen Anhörung des Bundestags-Innenausschusses zum „Datenschutzanpassungs- und Umsetzungsgesetz EU“ (DSAnpUG-EU), mit dem das deutsche Datenschutzrecht an die Vorgaben der neuen europäischen Datenschutzregelungen angepasst werden soll, wurde auch über eine brisante Neuregelung gesprochen, die bisher wenig Aufmerksamkeit hatte, obwohl sie von zentraler Bedeutung für den Schutz der Privatsphäre ist:

Wenn es nach der Bundesregierung geht, wird die Datenschutzkontrolle bei „Berufsgeheimnisträgern“ drastisch eingeschränkt. In § 29 Abs. 3 des Regierungsentwurfs heißt es:

„Gegenüber den in § 203 Absatz 1, 2a und 3 des Strafgesetzbuchs genannten Personen oder deren Auf-tragsverarbeitern bestehen die Untersuchungsbefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 1 Buch-stabe e und f der Verordnung (EU) 2016/679 nicht, soweit die Inanspruchnahme der Befugnisse zu einem Verstoß gegen die Geheimhaltungspflichten dieser Personen führen würde.“

Die Mitarbeiter der Aufsichtsbehörden hätten keinen Anspruch mehr, Krankenhäuser, Arzt- und Tierarztpraxen, Anwalts- oder Notariatskanzleien, Apotheken, Steuerberatungs- und Buchführungsbüros oder Suchtberatungsstellen zu betreten, um vor Ort die Datenverarbeitung zu prüfen. Nicht mehr effektiv prüfbar wären auch Unternehmen der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle. Die Aufsichtsbehörden hätten auch keinen Zugang mehr zu den sensiblen Daten, die in diesen Bereichen verarbeitet werden. Keine Prüfung soll es auch bei Auftragsdatenverarbeitern dieser Einrichtungen geben, etwa bei Cloud Services, die medizinische Daten verarbeiten, bei der DATEV oder bei Apothekenrechenzentren.

In diesen für den Datenschutz zentralen Bereichen könnten die Datenschutzbehörden nur noch allgemeine Befragungen hinsichtlich der Datenverarbeitung durchführen, aber keinen Einblick in Datenbanken oder übertragene Informationen nehmen und sie könnten Behauptungen der Berufsgeheimnisträger bzw. der Geschäftsleitungen zum konkreten Umgang mit personenbezogenen Daten nicht mehr nachprüfen.

Die von den Regierungsfraktionen vorgesehene Neuregelung wäre ein fatales Signal gegenüber allen, denen ein effektiver Schutz der Privatsphäre wichtig ist. Ein derartiger aufsichtsfreier Raum widerspricht den Vorgaben des Bundesverfassungsgerichts, das eine lückenlose Kontrolle der Einhaltung der datenschutzrechtlichen Vorschriften durch unabhängige Datenschutzbehörden für unverzichtbar hält.

Die Regierungsfraktionen von CDU/CSU und die SPD haben heute überraschend angekündigt, den Gesetzentwurf noch in dieser Woche in 2. und 3. Lesung im Bundestag zu behandeln. Ob und inwieweit  so kurzfristig noch substanzielle Änderungen erfolgen, erscheint mir eher als unwahrscheinlich.

Mit freundlichen Grüßen

Peter Schaar

Welcome to the State of Emergency!

Wenn Angela Merkel am 13. März 2017 in die USA reist, betritt sie ein Land im Ausnahmezustand. Im Ausnahmezustand sind die USA nicht erst seit dem Amtsantritt Donald Trumps, sondern seit dem 11. September 2001, dem Datum der terroristischen Anschläge auf New York und Washington. Am 14. September 2001 ermächtigten Senat und Repräsentantenhaus den US-Präsidenten in einem nur sechzig Worte umfassenden Gesetz, mit „notwendiger und angemessener Gewalt“ gegen Länder, Organisationen und Personen vorzugehen, „welche die Terrorangriffe angezettelt, geplant, autorisiert, begangen, unterstützt und durchgeführt haben oder solchen Personen Zuflucht gewährt haben.“ Am selben Tag erklärte Präsident Bush rückwirkend ab dem 11. September den Ausnahmezustand („state of emergency“).  und daran anknüpfende militärische Anordnungen. Diese Ermächtigungen gelten bis heute. Sie statteten den US-Präsidenten mit zusätzlicher Macht aus, über seine ohnehin schon weitreichenden Befugnisse in „normalen Zeiten“ hinaus.

Viele der Überwachungsmaßnahmen, von denen die Welt erst im Jahr 2013 durch die Enthüllungen Edward Snowdens Kenntnis genommen hat (auch wenn es entsprechende Hinweise schon sehr viel früher gab), basieren auf diesen Notstandsbefugnissen. Genauso wie das Gefangenenlager auf Guantanamo Bay, wo den Gefangenen im „Global War on Terror“ nicht nur jeglicher Rechtsschutz verweigert wird, sondern auch der Status von Kriegsgefangenen nach der Genfer Konvention. Auch die „extralegalen Tötungen“ – man könnte auch sagen: Morde – mittels Drohnenangriffen in Staaten, mit denen die USA nicht im Krieg sind, werden fortgesetzt und vieles spricht dafür, dass in Deutschland gelegene Kommandozentralen des US-Militärs dabei eine wichtige Rolle spielen.

Nicht nur George W. Bush hat die ihn eingeräumten Notstandsbefugnisse genutzt, sondern auch sein Nachfolger Barrack Obama und auch der jetzige Präsident Donald Trump. Seinen „Muslim Ban“ – die Einreisesperre gegen Menschen aus verschiedenen Ländern mit moslemischer Mehrheit – hat Trump als wichtige Maßnahme gegen den Terrorismus gekennzeichnet. Genauso rechtfertigt übrigens der türkische Präsident Recep Tayyip Erdoğan sein rabiates Vorgehen gegen Journalisten und andere Kritiker mit dem „Kampf gegen den Terrorismus“ – nach seinen Maßstäben ist sogar der Bürgermeister der baden-württembergischen Stadt Gaggenau, der ein Wahlkampfveranstaltung eines türkischen Ministers aus Sicherheitsbedenken untersagte, ein Terrorhelfer.

In Frankreich gilt der Ausnahmezustand (état d’urgence) seit November 2015, als die Regierung auf die koordinierten islamistischen Anschläge auf Restaurants und die Konzerthalle Bataclan in Paris reagierte. Die Türkei und Frankreich haben für die Dauer des Ausnahmezustands die Europäische Menschenrechtscharta „suspendiert“. Verhaftungen, Durchsuchungen, Demonstrationsverbote und andere Grundrechtseingriffe sind währenddessen auch ohne richterliche Genehmigung zulässig.

Wird also Angela Merkel mit Präsident Trump darüber sprechen, dass der Ausnahmezustand und die damit verbundenen Grundrechtseinschränkungen und Menschenrechtsverletzungen mit dem westlichen Verständnis von Rechsstaatlichkeit und Demokratie unvereinbar sind? Eher nicht, denn auch Deutschland hat auf terroristische Bedrohungen seit mehr als 15 Jahren mit immer tieferen Grundrechtseinschränkungen reagiert: Polizei und Geheimdienste wurden mit immer weiter gehenden zusätzlichen Befugnissen ausgestattet, sie haben Zugang zu vielfältigen Daten – bei Banken, Reisebüros, Telefongesellschaften. Unsere Telekommunikationsdaten werden auf Vorrat gespeichert, wir reisen mit Pässen und Personalausweisen, in denen biometrische Merkmale gespeichert werden.

Die Aufrüstung des Sicherheitsapparats geht weiter: Nach dem Anschlag auf den Berliner Weihnachtsmarkt am 19. Dezember 2016 hat die Bundesregierung im Schnelldurchgang weitere Gesetze beschlossen. Die Videoüberwachung in „großflächigen Anlagen und im öffentlichen Personenverkehr“ soll ausgeweitet werden. Es soll ein umfassender Datenverbund zwischen den Polizeibehörden des Bundes und der Länder geschaffen werden, bestehende Zweckbegrenzungen für bestimmte Dateien mit besonders sensiblen Daten werden aufgehoben. Fluggesellschaften, Buchungszentralen und Reisebüros müssen zukünftig eine Vielzahl von Passagierdaten an eine neu einzurichtende „Fluggastdatenzentralstelle“ übermitteln, wo die Daten nach verdächtigen „Mustern“ abgeglichen werden. Das Bundesamt für Migration soll den Zugriff auf die informationstechnischen Systeme immer dann verlangen können, wenn sich der zuständige Sachbearbeiter davon nützliche Erkenntnisse“ über den Asylbewerber verspricht, weil sie „für die Feststellung seiner Identität und Staatsangehörigkeit von Bedeutung sein können“. Eine richterliche Anordnung dieses tiefen Eingriffs in die Grundrechte der Asylbewerber ist nicht vorgesehen.

Der Ausnahmezustand ist also längst zum Normalzustand geworden, nicht nur in den USA, sondern auch bei uns. Das ist der eigentliche Grund, warum Angela Merkel den Ausnahmezustand in den USA mit seinen fatalen Folgen wohl nicht mit Donald Trump besprechen wird.

Neues Asylgesetz: Warum das Auslesen von Smartphones ein schwerer Grundrechtseingriff ist

Immer häufiger wird darüber berichtet, dass Behörden Einblick in elektronische Gerätschaften und die darauf gespeicherten Daten nehmen wollen. Dies betrifft zum einen Strafverfahren, aber zunehmend auch andere Bereiche, etwa die Kontrolle von Reisenden durch US-Grenzbehörden oder – jüngstes Beispiel – die Bearbeitung von Asylanträgen und die Durchsetzung der Ausreisepflicht abgelehnter Asylbewerber.

Das Bundeskabinett hat am  20. Februar 2017  den Entwurf eines „Gesetzes zur besseren Durchsetzung der Ausreisepflicht“ beschlossen. Neben anderen Maßnahmen enthält es eine Regelung, die den Asylbewerber dazu verpflichtet,

„ …im Falle des Nichtbesitzes eines gültigen Passes oder Passersatzes an der Beschaffung eines Identitätspapiers mitzuwirken und auf Verlangen alle Datenträger, die für die Feststellung seiner Identität und Staatsangehörigkeit von Bedeutung sein können und in deren Besitz er ist, den mit der Ausführung dieses Gesetzes betrauten Behörden vorzulegen, auszuhändigen und zu überlassen“ (§ 15 Abs. 2 Nr. 6 Asylgesetz).

Die Neuregelung wird wie folgt begründet:

„Die Identitätsprüfung ist bei Personen ohne Ausweisdokumente oft langwierig und fehleranfällig. Um die Identitätsprüfung zu erleichtern, kann die Auswertung von Datenträgern, wie Mobiltelefonen, Tablets und Laptops, wichtige Erkenntnisse liefern. Entsprechende Hinweise lassen sich in zunehmendem Maße nicht nur Mobiltelefonen, sondern auch anderen Datenträgern, die die Betreffenden mit sich führen, entnehmen. So können etwa die Adressdaten in dem Mobiltelefon eines ausreisepflichtigen Ausländers beziehungsweise gespeicherte Verbindungsdaten aufgrund der Auslandsvorwahl wesentliche Hinweise auf eine mögliche Staatsangehörigkeit geben.“

Das Bundesverfassungsgericht hatte bereits in seiner Entscheidung zur „Online-Durchsuchung“ am 22. Februar 2008 (1 BvR 370/07) festgestellt, dass die Nutzung informationstechnischer Systeme für die Persönlichkeitsentfaltung vieler Bürger von zentraler Bedeutung ist und zugleich neuartige Gefährdungen der Persönlichkeit mit sich bringt:

„Eine Überwachung der Nutzung solcher Systeme und eine Auswertung der auf den Speichermedien befindlichen Daten können weit reichende Rückschlüsse auf die Persönlichkeit des Nutzers bis hin zu einer Profilbildung ermöglichen. Hieraus folgt ein grundrechtlich erhebliches Schutzbedürfnis.“

Dieses Schutzbedürfnis ist vergleichbar mit dem durch Art. 10 Grundgesetz geschützten Fernmeldegeheimnis und der durch Art. 13 Grundgesetz garantierten Unverletzlichkeit der Wohnung. Um dem Rechnung zu tragen, hat das Gericht aus dem allgemeinen Persönlichkeitsrecht ein Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme abgeleitet, das so genannte „Computergrundrecht“. Weitere Grundrechtspositionen, die ihr zu beachten sind, ergeben sich aus dem Datenschutz (Grundrecht auf informationelle Selbstbestimmung) und dem Schutz des Kernbereichs der privaten Lebensgestaltung.

Wenn man bedenkt, dass  seit dieser Entscheidung neun Jahre vergangen sind, in denen sich die Informationstechnik dramatisch weiterentwickelt hat, hat die Bedeutung des Schutzes der  technisch generierten und gespeicherten Informationen dramatisch zugenommen. Dies gilt insbesondere für die seinerzeit kaum verbreiteten Smartphones, die inzwischen verschiedenste Funktionen in sich vereinen und die über nahezu unerschöpfliche direkte oder indirekte (Cloud) Speichermöglichkeiten verfügen.

Behörden oder sonstige Stellen, die Einsicht in Smartphones, Laptops und Tablet Computer nehmen, verschaffen sich damit Zugang zum gesamten digitalen Abbild des Lebens der Nutzer.  Im konkreten  Anwendungsfall – im Asylverfahren –  ist damit zu rechnen, dass auf Smartphones und Tablet Computern eine Vielzahl höchst sensibler Informationen gespeichert sind,  welche die Erlebnisse, Kontakte und Gefühle der  Asylbewerber offen legen, genauso wie vielfältige . Zudem befinden sich darauf vielfach  Informationen über anwaltliche Beratungen, die Konsultation von Hilfseinrichtungen für Traumatisierte, zu Menschenrechtsorganisationen oder Flüchtlingsinitiativen.

Das Bundesamt für Migration darf den Zugriff auf die informationstechnischen Systeme nicht nur dann verlangen, wenn dies für die Identitätsfeststellung unabdingbar ist. Die Verpflichtung zur Aushändigung greift immer schon  dann, wenn sich der zuständige Sachbearbeiter davon nützliche Erkenntnisse“ über den Asylbewerber verspricht, weil sie „für die Feststellung seiner Identität und Staatsangehörigkeit von Bedeutung sein können“.

Zwar soll die Auswertung der Daten gemäß dem neuen § 15a Asylgesetz „nur zulässig (sein), soweit dies für die Feststellung der Identität und Staatsangehörigkeit des Ausländers … erforderlich ist und der Zweck der Maßnahme nicht durch mildere Mittel erreicht werden kann.“ Im Hinblick auf das von der Neuregelung verfolgte Ziel ist zu erwarten, dass die Datenauswertung stets dann erfolgt, wenn von dem Asylbewerber kein nachweislich echtes Identitätspapier  vorgelegt werden kann oder Zweifel an der Echtheit der vorgelegten Pässe oder Ausweise bestehen. Dies betrifft mehrere 100.000 Flüchtlinge, die in den letzten Jahren nach Deutschland gekommen sind.

Auch inhaltlich  wird die Auswertung der Datenträger nicht wirksam begrenzt. Prinzipiell kann jedes auf einem Smartphone gespeicherte Datum die Identitätsfststellung erleichtern: Nicht nur Kontaktlisten, das Surfverhalten im Internet, Standortdaten und Verbindungsdaten der Telekommunikation oder die Spracheinstellungen dürfen ausgewertet werden. Auch die Inhalte von E-Mails, Kurz- und Sprachnachrichten oder sonstigen Dokumenten und Fotografien fallen unter die neue Regelung. Mit anderen Worten: Die Neuregelung ermöglicht einen umfassenden Einblick in das Leben der Betroffenen.

Nach der Gesetzesbegründung soll dem vom Bundesverfassungsgericht geforderten absoluten Schutz des Kernbereichs der Privatsphäre dadurch Rechnung getragen werden, dass bei Vorliegen tatsächlicher Anhaltspunkte, dass „allein Erkenntnisse aus dem Kernbereich privater Lebensgestaltung erlangt würden“,  die Auswertung zu unterbleiben habe. Diese Formel ist nichts anderes als weiße Salbe. Welchem Datenträger sieht man schon an, dass er allein solche höchst privaten Informationen enthält?

Auch wenn der nun von der Bundesregierung beschlossene Zugang zu elektronischen Gerätschaften – anders als bei der Online-Durchsuchung – offen, also in Kenntnis des Betroffenen erfolgen soll, handelt es sich doch um einen schwerwiegenden Eingriff in Grundrechte. Ein solcher Grundrechtseingriff darf gesetzlich nur angeordnet werden, wenn die Verhältnismäßigkeit der Mittel gewahrt bleibt und entsprechende verfahrensmäßigen Sicherungen, etwa eine gerichtliche Anordnung und entsprechende technisch-organisatorische Maßnahmen, gewährleistet sind.

Alle diese Voraussetzungen fehlen bei dem von der Bundesregierung beschlossenen Gesetzentwurf.

Führt das Fehlen von Dateianordnungen beim BND zur Rechtswidrigkeit der Datenverarbeitung?

In der 130. Sitzung des NSA-Untersuchungsausschusses des Deutschen Bundestags am 15.2.2017 ist die Frage angesprochen worden, wie das Fehlen einer im BND-Gesetz vorgesehenen Dateianordnung zu bewerten sei. Der Bundestagsabgeordnete Schipanski wird in einem Beitrag des Blogs Netzpolitik mit der Aussage zitiert, ich hätte als ehemaliger Bundesbeauftragter für den Datenschutz die Auffassung vertreten, dass es sich beim Fehlen einer Dateianordnung bloß um einen „formalen“ Gesetzesverstoß handele, der keine materielle Rechtswidrigkeit der Datei zur Folge habe.

Richtig ist: Nicht jeder Verstoß gegen Verfahrensvorschriften des Datenschutzrechts führt automatisch zur Rechtswidrigkeit der entsprechenden Datei. Aus einem fahrlässigen „Versäumen“ einer gesetzlich vorgesehenen Verpflichtung allein ergibt sich nicht zwingend eine Löschungsverpflichtung der betreffenden Daten. Anders sieht es aber aus, wenn eine Dateianordnung – und damit auch die Meldung gegenüber dem/der Bundesdatenschutzbeauftragten willentlich oder sogar systematisch unterbleibt und somit eine datenschutzrechtliche Prüfung der Datei nicht möglich ist. Zudem muss berücksichtigt werden, dass die Dateianordnung, die von der zuständigen Fachaufsicht (beim BND übt das Bundeskanzleramt diese Funktion aus) zu genehmigen ist, die Zwecke der Verarbeitung und die Voraussetzungen der Speicherung, Übermittlung und Nutzung (betroffener Personenkreis, Arten der Daten) festzulegen hat. Ohne Dateianordnung fehlen diese zentralen verfahrensrechtlichen Sicherungen.

Eine solche Praxis – die es offenbar gegeben hat – ist nicht nur als „minder schwerer“ Formalverstoß zu bewerten, sondern als Aushebelung der unabhängigen Datenschutzkontrolle, die vom Bundesverfassungsgericht in seiner Rechtsprechung seit dem Volkszählungsurteil von 1983 als unabdingbar für die Wahrung der Grundrechte angesehen wird.

Das BVerfG führt dazu in Rz. 207 des Urteils des Ersten Senats vom 24. April 2013 – 1 BvR 1215/07 -(„Antiterrordatei“) aus:

„Die aufsichtliche Kontrolle flankiert die subjektivrechtliche Kontrolle durch die Gerichte objektivrechtlich. Sie dient – neben administrativen Zwecken – der Gewährleistung der Gesetzmäßigkeit der Verwaltung insgesamt und schließt dabei den Schutz der subjektiven Rechte der Betroffenen ein. Dass auch Anforderungen an die aufsichtliche Kontrolle zu den Voraussetzungen einer verhältnismäßigen Ausgestaltung der Datenverarbeitung gehören können (vgl. BVerfGE 100, 313 <361> unter Verweis auf BVerfGE 30, 1 <23 f., 30 f.>; 65, 1 <46>; 67, 157 <185>), trägt dem Umstand Rechnung, dass es sich bei der Speicherung und Verarbeitung von Daten um Eingriffe handelt, die für die Betreffenden oftmals nicht unmittelbar wahrnehmbar sind und deren freiheitsgefährdende Bedeutung vielfach nur mittelbar oder erst später im Zusammenwirken mit weiteren Maßnahmen zum Tragen kommt. Eingriffe in das Recht auf informationelle Selbstbestimmung können deshalb auch dann unverhältnismäßig sein, wenn sie nicht durch ein hinreichend wirksames aufsichtsrechtliches Kontrollregime flankiert sind. Dies hat umso größeres Gewicht, je weniger eine subjektivrechtliche Kontrolle sichergestellt werden kann.“

Die  Umgehung der gesetzlich vorgeschriebenen Kontrollmechanismen und sonstigen verfahrensrechtlichen Sicherungen führt also zur materiellen Rechtswidrigkeit.

„Datenschutzanpassungs- und Umsetzungsgesetz“ – Zu kurz gesprungen

Unhandlich und trotzdem unvollständig  …

Die Bundesregierung hat heute den Entwurf für ein „Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU)“ beschlossen. So unhandlich der Titel ist, so unlesbar ist die Vorschrift selbst. Allein die zentrale Vorschrift, das neue Bundesdatenschutzgesetz, umfasst 85 Paragraphen und ist damit doppelt so lang wie das bisherige BDSG. Wer in Zukunft wissen will, welche Datenschutzbestimmungen in Deutschland zu beachten sind, muss die EU-Datenschutzgrundverordnung (DSGVO) und das neue BDSG nebeneinanderlegen. Zudem bleibt völlig unklar, was aus den datenschutzrechtlichen Regelungen in den vielen Spezialgesetzen wird – vom Sozialgesetzbuch über das Telekommunikations- und Medienrecht bis zum Bundesstatistikgesetz -, die (zunächst) in Kraft bleiben, ganz zu schweigen von den vielfältigen Bestimmungen im Landesrecht.

Ohne Rat von auf das Datenschutzrecht spezialisierten Anwälten wird es Unternehmen und Bürgern also auch in Zukunft nicht leicht fallen, sich datenschutzkonform zu verhalten oder Datenschutzrechte – etwa das Recht auf Auskunft oder Löschung – durchzusetzen.

… europarechtswidrig …

Die Unhandlichkeit des Gesetzeswerks ist vor allem der Tatsache geschuldet, dass man in der Bundesregierung mit der von der Europäischen Union beschlossenen Datenschutzreform nicht einverstanden ist, unbeschadet der Tatsache, dass Deutschland der EU-DSGVO (Verordnung (EU) 2016/679) und der Datenschutzrichtlinie für Polizei und Justiz (Richtlinie (EU) 2016/680) zugestimmt hat, die im Mai 2018 wirksam werden. Den ganzen Text durchzieht das Bemühen, soviel vom alten BDSG zu „retten“ wie möglich. Das Ergebnis ist fatal: Das neue BDSG wiederholt viele Vorschriften des DSGVO, unterscheidet sich aber vielfach im Detail. Dies widerspricht zum einen dem „Wiederholungsverbot“ bei direkt anwendbarem EU-Recht. Viel gravierender ist es aber, dass in der Substanz von den europarechtlichen Vorgaben abgewichen wird, insbesondere bei der Verarbeitung personenbezogener Daten für andere Zwecke, bei den Rechten der Betroffenen und bei den Befugnissen der Datenschutzbehörden.

Paradoxer Weise werden trotz der hohen Regelungsintensität die in der DSGVO enthaltenen Gestaltungsspielräume für nationale Datenschutzregelungen nur unzureichend ausgefüllt. So fehlen etwa jegliche Ausführungen zum Ausgleich zwischen den Rechtsgütern Datenschutz und Meinungsfreiheit, die gerade angesichts der aktuellen Diskussionen über Fakenews und Hatespeach dringend erforderlich wären. Diese schwierige Materie will der Bund offenbar den Ländern überlassen – mit ungewissem Ausgang.

… auf reduziertem Datenschutzniveau

Die Frage drängt sich auf: Warum das ganze? Die DSGVO wird ab Mai 2018 als direkt in den Mitgliedstaaten anwendbares Recht gelten und der deutsche Gesetzgeber hätte sich mit einer schlanken Regelung begnügen können, die sich auf die wesentlichen Dinge – etwa die Ausgestaltung der Aufsichtsbefugnisse der Datenschutzbehörden, die Benennung betrieblicher Datenschutzbeauftragter, den Rechtsschutz der Betroffenen und das Füllen der expliziten Regelungsspielräume etwa bei Beschäftigten-, Gesundheits- und Forschungsdaten. Warum also so kompliziert und wortreich, wo es doch einfacher ginge?

Die Antwort erschließt sich erst auf den zweiten Blick: Viele der Regelungen senken das Datenschutzniveau gegenüber der DSGVO ab. So werden die Rechte auf Information, Auskunft und Löschung personenbezogener Daten eingeschränkt. Auf der anderen Seite werden insbesondere den Behörden zusätzliche Befugnisse eingeräumt: Sie dürfen mehr Daten erheben, auswerten und übermitteln als in der DSGVO vorgesehen. Last but not least: Auch die Videoüberwachung soll ausgeweitet werden, wobei im Zweifel die Rechte der Betroffenen zurückzustehen haben.

Fazit

Die Bundesregierung bemüht sich also nach Kräften, die Legende vom „hohen deutschen Datenschutzniveau“ zu entkräften. Dies ist insbesondere deshalb fatal, weil sie zugleich auch einen der größten europapolitischen Erfolge – an dem übrigens auch der neue SPD-Kanzlerkandidat Martin Schulz in seiner Funktion als Präsident des Europäischen Parlaments maßgeblich mitgewirkt hat -, die EU-Datenschutzreform konterkariert. Der deutsche Bundestag und der Bundesrat sollten dieses für die Zukunft der Informationsgesellschaft zentrale Vorhaben nicht durchwinken, sonderm kritisch überprüfen und korrigieren.

America First: Datenschutz nur noch für (US-)Inländer

Die amerikanischen Technologie-Giganten Google, Facebook, Microsoft, Twitter und Amazon  werden womöglich die ersten Opfer der von Präsident Trump verfolgten „America First“- Politik sein. Trump unterzeichnete  am 25. Januar  2017 die Anordnung (Executive Order)  zur Verbesserung der öffentlichen Sicherheit. Schon jetzt ist deutlich, dass die Politik der Trump-Administration  einem gemeinsamen Datenschutz-Verständnis  zwischen den USA und der EU diametral  entgegen laufen.

Section 14 hat folgenden Wortlaut:

„Agencies shall, to the extent consistent with applicable law, ensure that their privacy policies exclude persons who are not United States citizens or lawful permanent residents from the protections of the Privacy Act regarding personally identifiable information.“

Auch wenn sich diese Bestimmung vermutlich zunächst gegen diejenigen Personen richten soll, die sich illegal in den Vereinigten Staaten aufhalten, hat sie doch auch erhebliche Auswirkungen auf den transatlantischen Datentransfer. Vor allem das Abkommen zwischen der Europäischen Union und der US-Regierung „Privacy Shield“ ist betroffen. Das  erst im letzten Sommer ausgehandelte  Abkommen gestattet es Unternehmen, welche die Einhaltung der Privacy Shield Prinzipien gewährleisten, personenbezogene Daten aus der Europäischen Union in die USA zu übermitteln.

Voraussetzung für die Übermittlung ist ein „angemessenes Datenschutzniveau“, also ein dem EU-Recht gleichwertiger Schutz für die in die USA transferierten personenbezogenen Daten. Die Europäische Kommission hat am 12. Juli 2016 auf Basis des US-Rechts und der Zusicherungen der Obama-Administration die Existenz eines gleichwertigen  Datenschutzes festgestellt (Angemessenheitsbeschluss). Privacy Shield trat damit an die Stelle des Safe Harbour Arrangements, welches der Europäische Gerichtshof am 6. Oktober 2015 annulliert hatte, da es  den in  Art. 8 der EU-Grundrechtecharta garantierten Schutz personenbezogener Daten nicht gewährleistete.

Zu den Zusicherungen der US-Seite gehörte die Auslegung des US-Rechts in der Weise, dass die US Datenschutzbestimmungen – soweit rechtlich zulässig –  auch für Daten von EU-Bürgern angewandt werden. Damit dürfte jetzt Schluss sein.

Eine wichtige Basis bildete auch der vom US-Kongress im Februar 2016 gebilligte Judicial Redress Act (JRA), der  die Grundlage dafür bereitstellt, dass sich EU-Bürgerinnen und Bürger an US-Behörden wenden können, wenn sie der Auffassung sind, dass US-Behörden ihre Daten zu Unrecht verarbeiten.  Allerdings räumt der JRA den EU-Bürgern solche Klagerechte nicht selbst ein, sondern macht dies von einer Anordnung des US-Justizministers (Attorney General) abhängig. Die scheidende Obama-Administration hat eine entsprechende Erklärung wenige Tage vor der Inauguration Donald Trumps herausgegeben, die neben der Europäischen Union als Ganzes, 26 ihrer Mitgliedstaaten und Zypern umfasst  Die oben zitierte Executive Order  könnte so verstanden werden, dass das Justizministerium die „Privilegierung“ der Bürger anderer Staaten zurücknimmt, welche am 1. Februar 2017 in Kraft treten soll.

Unabhängig davon ist zu befürchten, dass die – nach den Snowden-Enthüllungen   von US-Präsident Obama angeordneten – partiellen Sicherungen des Datenschutzes für Nicht-Amerikaner bei der geheimdienstlichen Überwachung außer Kraft gesetzt werden. Damit würden auch die Erklärungen des US-Geheimdienstkoordinators im Rahmen der Privacy Shield—Verhandlungen obsolet.

Vor diesem Hintergrund muss die EU-Kommission unverzüglich handeln. Sie darf mit der Prüfung, ob die Voraussetzungen für eine Fortgeltung des Angemessenheitsbeschlusses zum Privacy Shield  noch gegeben sind, nicht erst bis zur ersten, im Sommer d.J. vorgesehenen regulären Privacy Shield Review warten. Aber auch die europäischen Datenschutzbehörden sind gefragt. Der Europäische Gerichtshof hat Ihnen in seiner Safe Harbour-Entscheidung auferlegt, Zweifeln an einem angemessenen Datenschutzniveau selbstständig nachzugehen und damit nicht auf eine entsprechende  Feststellung der Kommission zu warten.

New ECJ ruling on data retention: Preservation of civil rights even in difficult times!

Translation – German version see here.

The European Court of Justice has made a Christmas present to more than 500 million EU citizens. With its new judgment on data retention (C-203/15 of 21 December 2016) – the highest court of the European Union stresses the importance of fundamental rights. All Member States are required to respect the rights represented in the European Charter of Fundamental Rights in their national legislation. The ECJ issued an important signal that can hardly be surmounted taking into account the current political discussions on internal and external threats and the strengthening of authoritarian political currents providing the public with simplistic answers to difficult questions.

The ECJ remains true to itself

The ruling of the European Court of Justice is in line with its judgment of 8 April 2014, by which the Court annulled Directive 2006/24/EC on the retention of data. The general obligation to retain traffic and location data required by this Directive was not limited to the absolutely necessary and thus disproportionate to the fundamental rights of respect for private life and the protection of personal data (Articles 7 and 8 of the European Charter of Fundamental Rights).

Despite the annulment of the Data Retention Directive by the ECJ, several Member States have continued or even broadened their practice of data retention. The latter took place in Great Britain, where shortly after the ECJ ruling – in July 2014 – a new legal basis for data retention was passed, which even went beyond the abolished EC directive. According to the British Parliament’s intention to implement the so-called „Investigatory Powers Act“, the major current commitments to compulsory data storage and the supervisory powers of the security authorities are to be extended in the short term and will include web services, in particular transactions on social networks. On November 29, 2016, the upper and lower house agreed on a corresponding legal text, which is to enter into force soon after its formal approval by the Queen. In other Member States, too, there are – differently broad-ranging – legal requirements which oblige providers of telecommunications and internet services to reserve traffic and location data whose conservation is not necessary for the provision or the billing of the respective service.

European Charter of Fundamental Rights binding for national legislature

A Swedish and a British court had asked the ECJ to clarify whether the respective national regulations on the retention of data corresponded to the European legal requirements.

In its new ruling the ECJ answered this question by stating that national regulations which provide a general and indiscriminate storage of data are not in line with the EU law. A national regulation providing for the storage of traffic and location data, is to be regarded as serious interference in fundamental rights. Member States must not maintain or re-adopt rules which are based on, or even go beyond, an EU act which has been annulled on grounds of its fundamental illegality.

The provisions of EU law bind the national legislature. The EU Directive 2002/58/EC on data protection in electronic communications (the ePrivacy Directive) has to be interpreted in the light of the Charter of Fundamental Rights. Exceptions to the protection of personal data should be limited to the absolutely necessary. This applies not only to the rules on data retention, but also to the access of authorities to the stored data. A national provision providing for general and indiscriminate data retention which does not require a link between the purpose for which the data is originally intended to be stored and a threat to public security, and in particular is not limiting the data on a period and / or a geographical area and / or of a group of persons which could be involved in a serious criminal act, transcends the limits of the absolutely necessary and can not be regarded as justified in a democratic society. Laws of Member States that do not meet these requirements must be abolished or amended accordingly.

With regard to the contested British and Swedish laws, the competent national courts which had appealed to the ECJ are now required to enforce the ECJ ruling in substance. However, even the parliaments and governments of the Member States are, too, responsible for reviewing and, where appropriate, correcting the relevant provisions of national law.

What happens to German data retention?

The implications of the ECJ ruling for the German data retention recently reintroduced must also be urgently examined. The retention obligations of the new German Data Retention Act remain behind the predecessor regulation, which was repealed by the Federal Constitutional Court in 2010. However, it is highly doubtful whether the provisions of the ECJ will be fulfilled by the new data retention act, since it obliges the telecommunications providers to store the data without any material restriction on a specific area or a particular risk situation.

The fact that the Federal Government or the parliamentary fractions backing them will now carry out this examination in an objective manner appears to be highly unlikely in the light of the additional powers which they have recently decided to hand over to the security authorities. In the end, the Federal Constitutional Court will probably have to ensure clarity again.

Peter Schaar (21 December 2016)

Neues EuGH-Urteil zur Vorratsdatenspeicherung: Bürgerrechte auch in schwierigen Zeiten bewahren!

English version see here

Der Europäische Gerichtshof hat den mehr als 500 Millionen EU-Bürgerinnen und -Bürgern ein Weihnachtsgeschenk gemacht. Mit seinem neuen Urteil zur Vorratsdatenspeicherung (
C-203/15 v. 21. Dezember 2016) – unterstreicht das höchste Gericht der Europäischen Union die Bedeutung der Grund- und Bürgerrechte. Alle Mitgliedstaaten sind gehalten, die in der Europäischen Grundrechtecharta verbrieften Rechte auch in ihrer nationalen Gesetzgebung zu berücksichtigen. Damit setzt der EuGH ein wichtiges Signal, das angesichts der aktuellen politischen Diskussion über innere und äußere Bedrohungen und dem Erstarken von autoritären politischen Strömungen kaum zu überschätzen ist.

Der EuGH bleibt sich treu

Die Entscheidung des Europäischen Gerichtshofs liegt auf einer Linie mit seinem Urteil vom 8. April 2014, mit dem das Gericht die Richtlinie 2006/24/EG über die Vorratsspeicherung von Daten für ungültig erklärt hatte. Die mit dieser Richtlinie vorgeschriebene allgemeine Verpflichtung zur Vorratsspeicherung von Verkehrs- und Standortdaten beschränkte sich nicht auf das absolut notwendige Maß und griff damit unverhältnismäßig in die Grundrechte auf Achtung des Privatlebens und den Schutz personenbezogener Daten (Art. 7 und 8 EUGRCh) ein.

Trotz der Annullierung der VDS-Richtlinie setzten mehrere Mitgliedstaaten ihre Praxis der Vorratsdatenspeicherung fort oder erweiterten sie sogar. Letzteres geschah in Großbritannien, wo im Eilverfahren bereits kurze Zeit nach dem EuGH-Urteil – im Juli 2014 – neue gesetzliche Grundlagen zur Vorratsdatenspeicherung beschlossen wurden, die sogar über die annullierte EU-Richtlinie hinausgingen. Die weitgehenden aktuellen Verpflichtungen zur obligatorischen Datenspeicherung und die Überwachungsbefugnisse der Sicherheitsbehörden sollen nach dem Willen des britischen Parlaments mit dem sog. „Investigatory Powers Act“ kurzfristig sogar noch ausgeweitet werden und künftig auch sämtliche Web-Dienste umfassen, etwa Transaktionen in sozialen Netzwerken oder im Rahmen von Online-Spielen. Am 29. November 2016 einigten sich  das Ober- und Unterhaus auf einen entsprechenden Gesetzestext,
der nach seiner formalen Billigung durch die Queen demnächst in Kraft treten soll. Auch in anderen Mitgliedstaaten gibt es – unterschiedlich weit reichende – gesetzliche Vorgaben, welche die Anbieter von Telekommunikations- und Internetdiensten dazu verpflichten, Verkehrs- und Standortdaten auch dann vorzuhalten, wenn diese für die Erbringung oder Abrechnung des jeweiligen Dienstes nicht bzw. nicht mehr erforderlich sind.

EU-Grundrechtecharta bindet auch den nationalen Gesetzgeber

Ein schwedisches und ein britisches Gericht hatten dem EuGH die Frage zur Klärung vorgelegt, ob die jeweiligen nationalen Regelungen zur Vorratsdatenspeicherung den europarechtlichen Vorgaben entsprechen.

Der EuGH beantwortet diese Frage dahingehend, dass das Unionsrecht nationalen Regelungen entgegensteht, die eine allgemeine und unterschiedslose Speicherung von Daten vorsehen. Der Grundrechtseingriff, der mit einer nationalen Regelung einhergehe, die eine Speicherung von Verkehrs- und Standortdaten vorsieht, sei als besonders schwerwiegend anzusehen. Die Mitgliedstaaten dürfen nicht – wie geschehen – Regelungen, die auf einem wegen seiner Grundrechtswidrigkeit annullierten EU-Rechtsakt basieren oder sogar über diesen hinausgehen, einfach beibehalten oder neu beschließen.

Die Vorgaben des EU-Rechts binden den nationalen Gesetzgeber. Die EU-Datenschutzrichtlinie 2002/58/EG für elektronische Kommunikation („ePrivacy“-Richtlinie) sei im Lichte der Grundrechtecharta auszulegen. Ausnahmen vom Schutz personenbezogener Daten seien auf das absolut Notwendige zu beschränken. Dies gelte nicht nur für die Regeln über die Vorratsdatenspeicherung selbst, sondern auch für den Zugang von Behörden zu den gespeicherten Daten. Eine nationale Regelung, die eine „allgemeine und unterschiedslose Vorratsdatenspeicherung“ vorsieht, keinen Zusammenhang zwischen den Daten, deren Vorratsspeicherung vorgesehen ist, und einer Bedrohung der öffentlichen Sicherheit verlangt und sich insbesondere nicht auf die Daten eines Zeitraums und/oder eines geografischen Gebiets und/oder eines Personenkreises, der in irgendeiner Weise in eine schwere Straftat verwickelt sein könnte, beschränkt, überschreite die Grenzen des absolut Notwendigen und könne nicht als in einer demokratischen Gesellschaft gerechtfertigt angesehen werden. Gesetze der Mitgliedstaaten, die diesen Anforderungen nicht entsprechen, müssen dementsprechend aufgehoben bzw. geändert werden.

Im Hinblick auf die angefochtenen britischen und schwedischen Gesetze liegt der Ball jetzt wieder bei den zuständigen nationalen Gerichten, die den EuGH zur Klärung der strittigen Rechtsfragen angerufen hatten und die nun für die Durchsetzung der EuGH-Vorgaben sorgen müssen. Besondere Verantwortung tragen aber auch die Parlamente und Regierungen der Mitgliedstaaten, denen es obliegt, die jeweiligen Bestimmungen des nationalen Rechts zu überprüfen und ggf. zu korrigieren.

Was wird aus der deutschen Vorratsdatenspeicherung ?

Welche Konsequenzen sich für die jüngst wieder eingeführte deutsche Vorratsdatenspeicherung ergeben, muss ebenfalls dringend überprüft werden. Zwar bleiben die Speicherungsverpflichtungen des neuen deutschen Vorratsdatenspeicherungsgesetzes hinter der vom Bundesverfassungsgericht 2010 aufgehobenen Vorgängerregelung zurück. Es ist jedoch höchst zweifelhaft, ob damit auch die Vorgaben des EuGH erfüllt werden, denn auch nach der neuen Regelung sind die Daten unterschiedslos und flächendeckend zu speichern, ohne jede sachliche Begrenzung auf einen Gefahrenbereich oder eine besondere Risikosituation.

Dass die Bundesregierung bzw. die sie tragenden Parlamentsfraktionen diese Prüfung nun ergebnisoffen vornehmen werden, erscheint angesichts der von diesen gerade beschlossenen und angekündigten Befugnisserweiterungen für die Sicherheitsbehörden höchst unwahrscheinlich. Letztlich wird wohl erneut das Bundesverfassungsgericht hier für Klarheit sorgen müssen.

Peter Schaar (21. Dezember 2016)

« Older Entries