Nochmals zum VDS-Urteil: auch "autonome" nationale VDS (auf Basis des Art 15 Abs 1 RL 2002/58) muss den Anforderungen des Urteils genügen

Nach der ersten Zusammenfassung des heutigen EuGH-Urteils, mit dem die Richtlinie über die Vorratsspeicherung von Daten (VDS-RL) als ungültig erklärt wurde (hier), nun noch Anmerkungen zu den Auswirkungen des Urteils auf die nationale Rechtslage.

Auswirkungen auf die nationale Rechtslage
Die VDS-RL ist mit dem Urteil des EuGH aus dem Rechtsbestand ausgeschieden (rückwirkend mit dem Zeitpunkt des Inkrafttretens), bestehende nationale Umsetzungsregelungen fallen dadurch aber nicht automatisch weg. Ein Sonderfall ist Deutschland, wo die Richtlinie - nach der Aufhebung der ersten Umsetzung durch das BVerfG - nicht mehr umgesetzt wurde; nun besteht natürlich keine Verpflichtung mehr zur Umsetzung.

Bestehende nationale (Umsetzungs-)Rechtsnormen sind nun am verbliebenen Unionsrecht zu messen, insbesondere an Art 15 Abs 1 der Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58) sowie am nationalen Verfassungsrecht. In diesem Rahmen - unionsrechtliche Grenzen nach der RL 2002/58 und nationales Verfassungsrecht - könnte der nationale Gesetzgeber bestehende Regeln abschaffen oder ändern. (Ein gänzlicher Verzicht auf jeglichen Zugriff auf gespeicherte Verkehrsdaten wird übrigens nicht in Betracht kommen: siehe dazu das EGMR-Urteil K.U. gegen Finnland zu einem Fall, in dem das Fehlen von Regeln, die - nach entsprechender Abwägung - den Zugriff auf Verbindungsdaten ermöglichen hätten können, zur Feststellung einer Verletzung des Art 8 EMRK führte; mehr dazu im Blog hier).

Die Grenzen des Art 15 Abs 1 RL 2002/58
Die "Vorratsdaten" im Sinne des Art 15 Abs 1 der RL 2002/58 ("während einer begrenzten Zeit aufbewahrte" Daten) haben in der Diskussion um die Vorratsdatenspeicherung natürlich immer ein Schattendasein geführt. Nach Art 15 Abs 1 der RL 2002/58 können die Mitgliedstaaten aber, abweichend vom in der Richtlinie festgelegten Grundsatz, dass Verkehrsdaten zu löschen sind, sobald sie nicht mehr für die Übertragung der Nachricht oder für die Abrechnung erforderlich sind, vorsehen, dass Daten aus Gründen wie zB der öffentlichen Sicherheit während einer begrenzten Zeit aufbewahrt werden. Wörtlich lautet Art 15 Abs 1 dieser Richtlinie:

Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Rechte und Pflichten gemäß Artikel 5, Artikel 6, Artikel 8 Absätze 1, 2, 3 und 4 sowie Artikel 9 dieser Richtlinie beschränken, sofern eine solche Beschränkung gemäß Artikel 13 Absatz 1 der Richtlinie 95/46/EG für die nationale Sicherheit, (d. h. die Sicherheit des Staates), die Landesverteidigung, die öffentliche Sicherheit sowie die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder des unzulässigen Gebrauchs von elektronischen Kommunikationssystemen in einer demokratischen Gesellschaft notwendig, angemessen und verhältnismäßig ist. Zu diesem Zweck können die Mitgliedstaaten unter anderem durch Rechtsvorschriften vorsehen, dass Daten aus den in diesem Absatz aufgeführten Gründen während einer begrenzten Zeit aufbewahrt werden. Alle in diesem Absatz genannten Maßnahmen müssen den allgemeinen Grundsätzen des Gemeinschaftsrechts einschließlich den in Artikel 6 Absätze 1 und 2 des Vertrags über die Europäische Union niedergelegten Grundsätzen entsprechen.

Eine Beschränkung für diese Möglichkeiten der Mitgliedstaaten, sozusagen eine eigene nationale Vorratsdatenspeicherung vorzusehen, gab es bisher durch Art 15 Abs 1a, wonach Daten, die bereits nach der VDS-RL zu speichern waren, für die selben Regelungszwecke nicht nochmal (und vielleicht weitergehend) auch nach nationalen Rechtsvorschriften zu speichern waren. Dieser Art 15 Abs  1a der RL 2002/58 wurde durch die VDS-RL eingefügt und ist nun mit der Ungültigerklärung der gesamten VDS-RL ebenfalls weggefallen.

Zu Art 15 Abs 1 RL 2002/58 hat sich der EuGH im Urteil in der Rechtssache Bonnier Audio geäußert, mit dem eher wenig aufregenden Ergebnis, dass die VDS-RL mitgliedstaatlichen Regelungen, die nach Art 15 Abs 1 der RL 2002/58 zulässig sind, nicht entgegen steht (siehe dazu näher meine Blogposts vom 19.04.2012 und vor allem vom 22.04.2012, wo ich auch versucht habe, die Unterschiede zur VDS-RL aufzuzeigen).

Die Kommission hat sich bei ihrer ersten Reaktion auf das EuGH-Urteil zur VDS-RL auch schon auf Art 15 Abs 1 der RL 2002/58 bezogen; in einem FAQ zum Urteil heißt es dazu: "a finding of invalidity of the Directive does not cancel the ability for Member States under the e-Privacy Directive (2002/58/EC) to oblige retention of data."

Aber was genau erlaubt Art 15 Abs 1 der RL 2002/58? Ich zitiere der Einfachheit halber mein Blogpost vom 22.04.2012:

• Für eine nach Art 15 Abs 1 der RL 2002/58 zulässige Pflicht, Daten "auf Vorrat" zu halten, ist eine ausdrückliche Rechtsvorschrift erforderlich,
• die Aufbewahrung darf nur für eine begrenzte Zeit vorgeschrieben werden,
• sie muss aus einem der folgenden Gründe notwendig sein: nationale Sicherheit, Landesverteidigung, öffentliche Sicherheit sowie Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder des unzulässigen Gebrauchs von elektronischen Kommunikationssystemen
• sie muss in einer demokratischen Gesellschaft notwendig, angemessen und verhältnismäßig sein;
• sie muss den allgemeinen Grundsätzen des Gemeinschaftsrechts entsprechen (unter anderem Achtung der Menschenrechte und Grundfreiheiten sowie der Rechtsstaatlichkeit)

Vor dem Hintergrund des aktuellen EuGH-Urteils bedeutet dies allerdings, dass eine Verpflichtung zur Datenspeicherung, die ähnlich gestrickt ist wie die bisherige Vorratsdatenspeicherung nach der VDS-RL, jedenfalls an der zuletzt genannten Hürde scheitern würde, denn zu den Grundsätzen des Gemeinschaftsrechts (nun: Unionsrechts) zählen auch die in der Grundrechtecharta verankerten Rechte (rechtsdogmatisch ist das jetzt unscharf ausgedrückt, aber im Ergebnis läuft es darauf hinaus).

Mit anderen Worten: jede nationale Vorratsdatenspeicherung muss zumindest jene Anforderungen erfüllen, die der EuGH der Prüfung der VDS-RL zugrunde gelegt hat. Anders als das die Kommission-Reaktion vielleicht annehmen lässt, sind die Mitgliedstaaten also nicht wirklich frei, ihre Vorratsdatenregelungen auszugestalten, sondern sie bewegen sich - weil jede Vorratsdatenregelung den Anwendungsbereich der RL 2002/58 berührt - im Anwendungsbereich des Unionsrechts, sodass die Rechte der Grundrechtecharta (in der Auslegung durch den EuGH) gelten. Weil die Richtlinie 2002/58 zeitlich vor der Grundrechtecharta beschlossen wurde, wird das in dieser Richtlinie auch noch mal ausdrücklich verlangt.

Anforderungen aus dem EuGH-Urteil:
Und die Anforderungen aus der Urteil sind einigermaßen schwer zu erfüllen, auch wenn ich nicht der Auffassung bin, dass sie schlichtwegs unerfüllbar wären. Denn wir müssen berücksichtigen, dass der EuGH im Wesentlichen eine Verhältnismäßigkeitsprüfung durchgeführt hat, also keine Checkliste von Anforderungen aufgestellt hat, die kumulativ in jedem Fall zu 100 % vorliegen müssen.

Nur vier Punkte - die es allerdings in sich haben - würde ich nach dem Urteil als jedenfalls unabdingbar für eine zulässige Vorratsdatenspeicherung ansehen:

• Garantien gegen Missbrauch der Daten (schwer zu verwirklichen, aber auch unklar, wie weit das wirklich geht, wirtschaftliche Erwägungen dürfen aber keine Rolle spielen) (RNr 66-67)
• Pflicht zur unwiderruflichen "Vernichtung" der Daten nach Ablauf der Speicherfrist (ist etwa in Österreich gesetzlich vorgesehen) (RNr 67)
• Pflicht zur Speicherung im Unionsgebiet (EWR geht nicht? Schweiz?)  (RNr 68)
• und vor allem: "klare und präzise Regeln" (RNr 54), also eine ins Einzelne gehende gesetzliche Determinierung, unter welchen Umständen welche konkrete Maßnahme anzuwenden ist. 

Die vom EuGH in die Verhältnismäßigkeitsprüfung im engeren Sinne (RNr 55-64) eingestellten Umstände sind (hier etwas vereinfacht und zusammengefasst):

• die Differenzierung der zu speichernden Daten, zB danach, ob sich die Personen "auch nur mittelbar in einer Lage befinden, die Anlass zur Strafverfolgung geben könnte"
• das Bestehen von Ausnahmen für Berufsgeheimnisträger
• die Beschränkung auf einen Zeitraum, ein geografisches Gebiet, einen bestimmten Personenkreis
• objektive Kriterien für den Datenzugang durch nationale Behörden, beschränkt auf schwere Straftaten
• materiellrechtliche und verfahrensrechtliche Regeln für den Datenzugang der Behörden (zB Beweisverwertungsverbote), die sicherstellen, dass der Zugang strikt auf Zwecke der Verhütung und Feststellung genau abgegrenzter schwerer Straftaten beschränkt bleibt. 
• Beschränkung der Anzahl der Personen, die Zuagng zu den Daten haben
• Gerichtliche oder sonst unabhängige Prüfung begründeter Anträge der Strafverfolgungsbehörden
• anhand objektiver Kriterien bestimmter Zeitraum der Speicherpflicht, differenziert nach Datenkategorien oder betroffenen Personen

Bei diesen Umständen handelt es sich nicht um 0/1-Entscheidungen. Es wäre daher denkbar, dass eine zB einmonatige auch flächendeckende Speicherverpflichtung als zulässig angesehen würde, wenn die Regeln für den Zugang zu den Daten präszise genug auf schwere Straftaten abstellen und zB bei der gerichtlichen Prüfung von Datenzugangsanträgen der Strafverfolgungsbehörden Ausnahmen für Berufsgeheimnisträger berücksichtigt würden. Auch wären räumlich abgegrenzte Speicherverpflichtungen aus besonderen Anlässen denkbar, selbst wenn da der eine Arzt oder die andere Anwältin mit betroffen sein könnte; wohl in jedem Fall aber müsste es um schwere Straftaten gehen, also bloße Sachbeschädigungen oder leichte Körperverletzungen bei Demos - für die es auch besser geeignete Aufklärungsmittel gibt - könnten wohl nie eine Pflicht zu einer räumlich eingeschränkten Vorratsdatenspeicherung begründen.

Wie viele andere auch glaube ich, dass Methoden des Quick Freeze viel eher gangbar wären und bei der Grundrechtsprüfung eine bessere Chance hätten, als eine wie auch immer modifizierte eingeschränkte Vorratsdatenspeicherung. Aber gänzlich ausgeschlossen - wie etwa Maximilian Steinbeis im Verfassungsblog aufgrund der RNr 58 des Urteils - hielte ich eine modifizierte Vorratsdatenspeicherung ("VDS light") nicht. Politisch gekillt, aber rechtlich theoretisch noch lebensfähig, würde ich sagen.

Verfahren vor dem Verfassungsgerichtshof
Der österreichische Verfassungsgerichtshof wird nun sein Gesetzsprüfungsverfahren fortsetzen, wobei er noch nicht abschließend entschieden hat, ob die Normprüfungsanträge zulässig sind (RNr 24 des Vorlagebeschlusses). Der Antrag der Kärntner Landesregierung sollte aber wohl zulässig sein - es sei denn, der Aufhebungsantrag wurde zu eng, zu weit oder sonst nicht den hohen Anforderungen des VfGH entsprechend gefasst. Gerade in diesem Fall, bei dem der VfGH die Gültigkeit der Richtlinie vor dem EuGH recht pauschal ("Art. 3 bis 9 der Richtlinie 2006/24/EG") in Frage stellte, wäre es aber besonders auffällig, wenn er bei den an ihn gerichteten Anträgen hinsichtlich des Anfechtungsantrags besonders formalistisch agieren würde. Ähnliches gilt für die Individualanträge (Seitlinger einerseits, Tschohl und andere andererseits), deren Antragsberechtigung nach der bisherigen restriktiven Linie des VfGH in vergleichbaren Fällen (wie etwa bei der Auskunftspflicht von Telekombetreibern nach dem SPG) nicht von vornherein klar ist. Aber bei der VDS-RL ist so manches anders, und es gäbe wohl gute Gründe, hier die sogenannte "Umwegsunzumutbarkeit" (den Antragstellern darf ein anderer zumutbarer Weg des Rechtsschutzes nicht zur Verfügung stehen) etwas großzügiger zu sehen.

Ich gehe also davon aus, dass zumindest einer der Anträge zumindest teilweise zulässig ist. Auf die weiteren Details zu den jeweils angefochtenen Bestimmungen gehe ich jetzt nicht näher ein. Anzumerken ist freilich, dass der Verfassungsgerichtshof in seinem Vorlagebeschluss schon angedeutet hat, dass die Prüfung nach nationalem Verfassungsrecht eher strenger ausfallen würde als nur nach Unionsrecht (siehe RNr 33 des Vorlagebeschlusses: "§ 1 Abs. 2 DSG 2000 enthält einen materiellen Gesetzesvorbehalt, der die Grenzen für Eingriffe in das Grundrecht enger zieht, als dies Art. 8 Abs. 2 EMRK tut." oder RNr 34: "Nach der Rechtsprechung des Verfassungsgerichtshofes folgt aus dieser Regelung, dass an die Verhältnismäßigkeit des Eingriffs in das Datenschutzgrundrecht ein strengerer Maßstab angelegt werden muss, als er sich bereits aus Art. 8 EMRK ergibt" - dass hier nur die EMRK angesprochen ist, sollte nicht irritieren, der VfGH geht ja entsprechend den Erläuterungen zu Art 7 GRC davon aus, dass "die darin garantierten Rechte den Rechten nach Art. 8 EMRK entsprechen" und hat dazu auch eine - unbeantwortete - Frage an den EuGH gestellt).

Vor diesem Hintergrund ist es nur schwer vorstellbar, dass der Kern der in Prüfung gezogenen Bestimmungen des TKG 2003 die Prüfung des VfGH "überlebt".

Update 27.06.2014: erwartungsgemäß hat der VfGH die Kernbestimmungen zur Vorratsdatenspeicherung im TKG 2003 und zum Zugriff auf Vorratsdaten in der StPO und im SPG aufgehoben; dazu mehr hier.