EuGH: generelle Vorratsdatenspeicherung auf nationaler Ebene mit der Datenschutzrichtlinie für elektronische Kommunikation nicht vereinbar

Der EuGH hat in seinem heutigen, in der Großen Kammer gefassten, Urteil in den verbundenen Rechtssachen C-203/15 Tele2 Sverige und C-698/15 Watson ua ausgesprochen, dass das Unionsrecht einer nationalen Regelung entgegensteht, die eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrsdaten vorsieht (Urteil, Pressemitteilung des EuGH). Es ist ein wichtiges, aber in der Sache kein überraschendes Urteil. Neu ist, dass der EuGH in einem Punkt ausdrücklich auf Bedrohungen durch terroristische Aktivitäten eingeht und für diesen Fall eine (begrenzte) Möglichkeit lässt, auf Vorratsdaten zuzugreifen.

Zur Vorgeschichte
Nachdem der EuGH mit Urteil vom 8. April 2014 die Richtlinie über die Vorratsspeicherung von Daten für ungültig erklärt hatte (zu diesem Urteil im Blog hier und hier), entstand rasch eine juristische (und mehr noch politische) Diskussion über die Möglichkeit, die auf Unionsebene beseitigte Verpflichtung zur Vorratsdatenspeicherung auf nationaler Ebene wieder einzuführen. So meinte etwa die Kommission, dass das EuGH-Urteil die Mitgliedstaaten nicht daran hindere, eine nationale Verpflichtung zur Vorratsdatenspeicherung einzuführen (in ihren FAQs zum EuGH-Urteil schrieb die Kommission: "a finding of invalidity of the Directive does not cancel the ability for Member States under the e-Privacy Directive (2002/58/EC) to oblige retention of data.").

Dass das so nicht stimmt, habe ich schon am Tag des EuGH-Urteils geschrieben (siehe diesen Beitrag im Blog); aus juristischer Sicht konnte es daran meines Erachtens auch wenig Zweifel geben, jedenfalls wenn sich die Rechtsauffassung des EuGH nicht ändern würde.

Dennoch wollten es mehrere Mitgliedstaaten darauf ankommen lassen und behielten die nationalen Regeln bei (zB Schweden) oder führten sogar neue Regeln ein (zB das Vereinigte Königreich). Wenig überraschend kam es daraufhin zu Vorabentscheidungsersuchen aus Schweden und dem UK, die der EuGH zur gemeinsamen Entscheidung verbunden hat.

(In Österreich hob der VfGH die nationalen Regelungen nach dem EuGH-Urteil auf, siehe im Blog dazu hier und hier.)

Das Urteil

- Anwendungsbereich des Unionsrechts
Das heute gefällte Urteil des EuGH stellt zunächst klar, dass Regelungen über die Vorratsdatenspeicherung in den Anwendungsbereich des Unionsrechts fallen. Maßgeblich ist dazu die Auslegung der Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58), insbesondere deren Art. 15 Abs. 1. Diese Bestimmung lautet:

Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Rechte und Pflichten gemäß Artikel 5 [Vertraulichkeit der Kommunikation], Artikel 6 [Verkehrsdaten], Artikel 8 Absätze 1, 2, 3 und 4 sowie Artikel 9 dieser Richtlinie beschränken, sofern eine solche Beschränkung gemäß Artikel 13 Absatz 1 der Richtlinie 95/46/EG für die nationale Sicherheit, (d. h. die Sicherheit des Staates), die Landesverteidigung, die öffentliche Sicherheit sowie die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder des unzulässigen Gebrauchs von elektronischen Kommunikationssystemen in einer demokratischen Gesellschaft notwendig, angemessen und verhältnismäßig ist. Zu diesem Zweck können die Mitgliedstaaten unter anderem durch Rechtsvorschriften vorsehen, dass Daten aus den in diesem Absatz aufgeführten Gründen während einer begrenzten Zeit aufbewahrt werden. Alle in diesem Absatz genannten Maßnahmen müssen den allgemeinen Grundsätzen des Gemeinschaftsrechts einschließlich den in Artikel 6 Absätze 1 und 2 des Vertrags über die Europäische Union niedergelegten Grundsätzen entsprechen.

Strittig war vor dem EuGH vor allem, ob nicht nur die Regeln über die Datenspeicherung selbst in den Anwendungsbereich des Unionsrechts fallen (da konnte man seriöserweise kaum anderer Ansicht sein), sondern auch die Regeln über den Zugriff zu diesen Daten durch die nationalen Behörden und Gerichte. Der EuGH verwies darauf, dass die Daten ja nur deshalb gespeichert werden müssen, damit die nationalen Behörden, wenn notwendig, darauf zugreifen können. Mitgliedstaatliche Regelungen, die eine Vorratsdatenspeicherung vorschreiben, setzten daher grundsätzlich auch Regelungen voraus, die den Zugang der Behörden zu den Daten betreffen.

Zur Auslegung des Art. 15 Abs. 1 der RL 2002/58:
Der EuGH verweist dazu zunächst darauf, dass mit der RL 2002/58 gewährleistet werden soll, dass die in den Artikeln 7 und 8 der Grundrechtecharta niedergelegten Rechte "uneingeschränkt geachtet werden" und dass daher ein hoher Standard des Schutzes persönlicher Daten und des Privatlebens garantiert werden soll. Dazu gibt es eben in der RL den Grundsatz der Vertraulichkeit der Kommunikation und Einschränkungen für die Verarbeitung von Verkehrs- und Standortdaten.

Zwar erlaubt Art. 15 Abs. 1 der RL 2002/58 den Mitgliedstaaten die Schaffung von Ausnahmen zum Grundsatz der Vertraulichkeit der Kommunikation, doch muss diese Ausnahmemöglichkeit eng ausgelegt werden. Art. 15 Abs. 1 erlaubt es daher nicht, dass die Ausnahme vom Grundsatz der Vertraulichkeit der Kommunikation geradezu zum Regelfall wird.

Dazu hält der EuGH fest, dass die Liste der Zwecke, zu denen eine Abweichung von den Grundsätzen der Richtlinie zulässig ist (nationale Sicherheit etc.), erschöpfend ist. Für andere als in Art. 15 Abs. 1 der RL 2002/58 ausdrücklich genannte Zwecke kann eine Vorratsdatenspeicherung nicht vorgeschrieben werden.

Weiters müssen alle nationalen Maßnahmen in diesem Bereich mit den allgemeine Grundsätzen des Unionsrechts und (nun) der Grundrechtecharta übereinstimmen und daher im Lichte der Grundrechtecharta ausgelegt werden. Bemerkenswert ist, dass der EuGH dann nicht nur die Art. 7 und 8 der Grundrechtecharta hervorhebt, sondern - deutlich mehr als im Vorratsdaten-Urteil Digital Rights Ireland und Seitlinger - auch Art. 11, die Freiheit der Meinungsäußerung; das wirkt fast wie ein Nachtrag zum Digital Rights-Urteil. In Rn 93 heißt es:

Folglich muss die Bedeutung sowohl des in Art. 7 der Charta gewährleisteten Grundrechts auf Achtung des Privatlebens als auch des in Art. 8 der Charta gewährleisteten Grundrechts auf Schutz personenbezogener Daten, wie sie sich aus der Rechtsprechung des Gerichtshofs ergibt [...], bei der Auslegung von Art. 15 Abs. 1 der Richtlinie 2002/58 berücksichtigt werden. Das Gleiche gilt in Anbetracht der besonderen Bedeutung, die der Freiheit der Meinungsäußerung in jeder demokratischen Gesellschaft zukommt, für das Recht auf freie Meinungsäußerung. Dieses in Art. 11 der Charta gewährleistete Grundrecht stellt eine der wesentlichen Grundlagen einer demokratischen und pluralistischen Gesellschaft dar, die zu den Werten gehört, auf die sich die Union nach Art. 2 EUV gründet [...].

Soweit das schwedische Recht betroffen ist, das ja der Umsetzung der (inzwischen ungültig erklärten) Vorratsdaten-RL diente, hätte sich der EuGH auch mit einem einfachen Verweis auf das Vorratsdaten-Urteil Digital Rights Ireland und Seitlinger begnügen können. In einer wohl eher didaktisch zu verstehenden Genauigkeit (oder um das heutige Urteil nicht allzu dünn aussehen zu lassen), legt er aber in der Folge doch ausführlich dar, was - wie eben im Digital Rights-Urteil schon ausgeführt - die flächendeckende undifferenzierte Vorratsdatenspeicherung mit der Grundrechtecharta (und damit mit Art. 15 Abs. 1 der RL 2002/58) unvereinbar macht.

Eine gezielte Speicherung von Verkehrs- und Standortdaten zur Bekämpfung schwerer Verbrechen kann aber (auch das ist nichts Neues, sondern geht schon aus dem Digital Rights-Urteil hervor) schon unter bestimmten Voraussetzungen zulässig sein (Rn 108):

Hingegen untersagt Art. 15 Abs. 1 der Richtlinie 2002/58 im Licht der Art. 7, 8 und 11 sowie des Art. 52 Abs. 1 der Charta einem Mitgliedstaat nicht, eine Regelung zu erlassen, die zur Bekämpfung schwerer Straftaten vorbeugend die gezielte Vorratsspeicherung von Verkehrs- und Standortdaten ermöglicht, sofern die Vorratsdatenspeicherung hinsichtlich Kategorien der zu speichernden Daten, der erfassten elektronischen Kommunikationsmittel, der betroffenen Personen und der vorgesehenen Dauer der Vorratsspeicherung auf das absolut Notwendige beschränkt ist.

Zugang zu Daten in "besonderen Situationen" im Falle terroristischer Aktivitäten
Etwas genauer wird der EuGH dann in seiner Antwort zur zweiten schwedischen (und ersten britischen) Vorlagefrage. Da die nach Art. 15 Abs. 1 der RL 2002/58 ausnahmsweise gestatteten Maßnahmen "angemessene Garantien" vorzusehen haben, müssen die nationalen Regeln jedenfalls auch die materiellen und prozessrechtlichen Bedingungen für den Zugang der Behörden zu den Daten regeln. Als allgemeine Regel, so legt der EuGH sodann unter Bezugnahme auf das Urteil des EGMR im Fall Zakharov fest, darf der Zugang nur zu den Daten von einzelnen Personen gewährt werden, die verdächtig sind, ein schweres Verbrechen geplant oder begangen zu haben, oder die in irgendeiner Weise in eine solche Straftat verwickelt waren. In besonderen Situationen, wenn etwa wichtige nationale Sicherheits- oder Verteidigungsinteressen durch terroristische Aktiväten gefährdet sind, könnte Zugang auch zu Daten anderer Personen gewährt werden, wenn es objektive Anhaltspunkte gibt, von denen abgeleitet werden kann, dass diese Daten - im konkreten Fall - einen effektiven Beitrag zur Bekämpfung dieser Aktivitäten leisten können. Diese Weiterentwicklung (oder besser: Präzisierung) der Digital Rights-Rechtsprechung ist meines Erachtens die wichtigste Neuerung des heutigen Urteils. In Rn 119 heißt es wörtlich:

Insoweit darf im Zusammenhang mit dem Zweck der Bekämpfung von Straftaten Zugang grundsätzlich nur zu den Daten von Personen gewährt werden, die im Verdacht stehen, eine schwere Straftat zu planen, zu begehen oder begangen zu haben oder auf irgendeine Weise in eine solche Straftat verwickelt zu sein (vgl. entsprechend Urteil des Europäischen Gerichtshofs für Menschenrechte vom 4. Dezember 2015, Zakharov/Russland, CE:ECHR:2015:1204JUD004714306, Rn. 260). Allerdings könnte in besonderen Situationen wie etwa solchen, in denen vitale Interessen der nationalen Sicherheit, der Landesverteidigung oder der öffentlichen Sicherheit durch terroristische Aktivitäten bedroht sind, der Zugang zu Daten anderer Personen ebenfalls gewährt werden, wenn es objektive Anhaltspunkte dafür gibt, dass diese Daten in einem konkreten Fall einen wirksamen Beitrag zur Bekämpfung solcher Aktivitäten leisten könnten.

Der Zugang muss, außer in Fällen nachweislicher Dringlichkeit, zuvor von einem Gericht oder einer unabhängigen Behörde genehmigt werden (Rn. 120). Weiters müssen die Behörden die betroffenen Personen informieren, sobald dies die Ermittlungen nicht mehr gefährdet. Die Daten müssen im Unionsgebiet gespeichert werden und schließlich müssen die Mitgliedstaaten in jedem Fall eine Überprüfung durch eine unabhängige Behörde gewährleisten.

Ging der EuGH über Art. 8 EMRK hinaus?
Dass die zweite Frage des vorlegenden britischen Gerichts eher, vorsichtig formuliert, merkwürdig war, habe ich hier schon angemerkt. Das Gericht wollte wissen, ob das EuGH-Digital Rights Ireland "den Anwendungsbereich von Art. 7 und/oder Art. 8 der Charta über den Anwendungsbereich von Art. 8 EMRK, wie er in der Rechtsprechung des EGMR festgestellt ist," hinausgeht.

Der EuGH gibt dieser Frage die passende - nämlich keine - Antwort: Aufgabe des EuGH ist es nicht, hypothetische Fragen von allenfalls akademischem Interesse zu beantworten. Die Frage wurde daher als unzulässig beurteilt: "Nach ständiger Rechtsprechung des Gerichtshofs liegt die Rechtfertigung für ein Vorabentscheidungsersuchen jedoch nicht in der Abgabe von Gutachten zu allgemeinen oder hypothetischen Fragen, sondern darin, dass das Ersuchen für die tatsächliche Entscheidung eines Rechtsstreits über das Unionsrecht erforderlich ist". (Hinsichtlich der in der Sache ähnlichen, aber etwas besser formuliert, vom VfGH in der Rechtssache Seitlinger gestellten Fragen ging der EuGH etwas diplomatischer vor: er beantwortete sie zwar nicht, wies sie aber auch nicht ausdrücklich als unzulässig zurück; siehe dazu das "PS" in diesem Blogbeitrag).

Conclusio:
Die Schlussfolgerung aus dem heutigen Urteil: dass eine Blanko-Vorratsdatenspeicherung mit der Grundrechtecharta unvereinbar ist, stellt keine Überraschung dar. Auch das heutige Urteil bedeutet aber (weiterhin) nicht, dass jegliche Vorratsdatenspeicherung unzulässig wäre. In der Zusammenschau zwischen dem Urteil in den Rechtssachen Digital Rights Ireland und Seitlinger und dem heutigen Urteil lässt sich nun wieder ein kleines Stück klarer bestimmen, welche Voraussetzungen eine zulässige Vorratsdatenspeicherung erfüllen müsste. Nach wie vor (wie bereits hier am Tag des Digital Rights-Urteils geschrieben) glaube ich, dass die Anforderungen des EuGH an eine zulässige Vorratsdatenspeicherung zwar schwer zu erfüllen sind, aber nicht schlichtwegs unerfüllbar wären.

PS/Nachtrag: zur kommenden Datenschutzverordnung für elektronische Kommunikation
Auf Twitter wurde ich gefragt, wie das mit der kommenden Datenschutzverordnung für elektronische Kommunikation aussehen wird. Diese Verordnung soll ja - wenn möglich zeitgleich mit der Datenschutz-Grundverordnung - auf Unionsebene die aktuelle Datenschutzrichtlinie für elektronische Kommunikation ablösen. Der Vorschlag der Kommission dazu ist für kommenden Jänner angekündigt; das Magazin Politico hat aber einen (erkennbar noch nicht endgültigen) Entwurf für diesen Vorschlag veröffentlicht.

Aus meiner Sicht würde dieser Entwurf, wenn er in dieser Form schließlich beschlossen würde, nichts ändern. Auch nach dem Verordnungsentwurf bleiben die Grundprinzipien der Vertraulichkeit der Kommunikation (Art. 5 des Entwurfs) und des möglichst umgehenden Löschens von Verkehrsdaten (Art. 6 und 7) bestehen; und auch nach dem Verordnungsentwurf können die Mitgliedstaaten Beschränkungen dieser Prinzipien vorsehen, allerdings wiederum nur zu Zwecken, wie sie derzeit in Art. 15 Abs. 1 der RL 2002/58 genannt sind, und in Übereinstimung mit der Grundrechtecharta, insbesondere deren Art. 7, 8, 10 und 52 (siehe im Detail Art. 11 Abs. 1 des Entwurfs).

Aber bis die Verordnung, wenn sie vom Entwurf erst einmal zum offiziellen Kommissionsvorschlag geworden ist, dann zwischen Rat und Parlament ausverhandelt ist, wird wohl noch einige Zeit vergehen. Die Kommission möchte das möglichst rasch erledigen, um den Gleichklang mit der Datenschutz-Grundverordnung zu schaffen, und hat wohl auch aus diesem Grund von allzu großen Änderungen im bewährten Rechtsbestand abgesehen.

Ich gehe aber davon aus, dass die Verfechter der Vorratsdatenspeicherung, von denen es in den Mitgliedstaaten und auch im Parlament recht viele gibt, ihre Anstrengungen nun darauf konzentrieren werden, vor dem Hintergrund aktueller Terroranschläge erweiterte Ausnahmemöglichkeiten für eine nationale Vorratsdatenspeicherung in die Verordnung hinein zu reklamieren. Da jedoch der Umgang von Kommunikationsdiensteanbietern mit ihren Verkehrs- und Standortdaten schwerlich zur Gänze aus der Verordnung herausgenommen werden kann, ist es auch kaum vorstellbar, dass nationale Regeln zur Vorratsdatenspeicherung jemals gänzlich aus dem Anwendungsbereich des Unionsrechts herausfallen könnten.

Damit bleibt es aber jedenfalls bei der Anwendbarkeit der Grundrechtecharta: nationale Regelungen werden sich weiter an den in dieser Charta verbrieften Grundrechten (in der Auslegung durch den EuGH, insbesondere im Digital Rights-Urteil) messen lassen müssen, und zwar ganz unabhängig davon, was letztlich im Verordnungstext konkret zu den möglichen nationalen Ausnahmen steht (würden hier zu weite Ausnahmen ermöglicht, würde dies auch zur Ungültigkeit dieser Bestimmungen der Verordnung führen),

Und selbst wenn man irgendwie ganz am Anwendungsbereich des Unionsrechts vorbeikäme (was eher unrealistisch ist), so bleibt man als Mitgliedstaat auch des Europarates immer noch den Bestimmungen der EMRK verpflichtet, was wieder - über Art. 8 EMRK - letztlich im Wesentlichen wohl auf das selbe hinausliefe, nämlich auf die Unzulässigkeit der anlasslosen flächendeckenden Vorratsdatenspeicherung. Das ist übrigens auch ein Szenario für das Vereinigte Königreich: auch wenn der Brexit vollzogen wird, ändert sich nichts an der völkerrechtlichen Verpflichtung des UK zur Einhaltung der EMRK.

(Zum heutigen Urteil, insbesondere auch zu den Auswirkungen auf das UK, siehe nun auch Angela Patrick auf Inforrm's Blog und - besonders ausführlich und mit einer Abschätzung der Auswirkungen auf Datenschutzfragen zwischen einem post-Brexit-UK und der EU im Allgemeinen - auch Cybermatron, "Independent Reviewer of Terrorism Legislation" und Amberhawk; update 13.01.2017: siehe nun auch Orla Lynskey auf European Law Blog).

Update 08.03.2017: mit Urteil vom 07.03.2017 hat das Stockholmer Berufungsgericht die Entscheidung der Regulierungsbehörde, mit der Tele2 zur Vorratsdatenspeicherung verpflichtet war, aufgehoben, da die nationalen Rechtsvorschriften wegen Widerspruchs zum Unionsrecht nicht anzuwenden sind (Urteil; Pressemitteilung - beides in schwedischer Sprache). 

VfGH zur Vorratsdatenspeicherung - Ein altes deutsches, aber neues österreichisches (Grund-)Recht: die informationelle Selbstbestimmung

Der Verfassungsgerichtshof hat gestern die schriftliche Ausfertigung seines Erkenntnisses zur Vorratsdatenspeicherung (VfGH 27.06.2014, G 47/2012, G 59/2012, G 62/2012,
G 70/2012, G 71/2012) im Volltext veröffentlicht. Das Erkenntnis war - mit den Grundzügen der Begründung - bereits am 27.06.2014 mündlich verkündet worden (dazu im Blog hier), insoferne waren von der schriftlichen Ausfertigung keine größeren Überraschungen zu erwarten.

Hier stelle ich nur eine Übersicht der tragenden Entscheidungsgründe zusammen, für eine vertiefende Analyse (oder einen kurzen Blogpost!) fehlt mir leider derzeit die Zeit (besonders Interessierte kann ich aber darauf verweisen, dass ich das Erkenntnis am 15.10.2014, 17 Uhr, im Holoubek/Lienbacher-Judikaturseminar an der Wirtschaftsuniversität Wien besprechen werde). Ich zitiere also in der Folge großflächig aus dem Erkenntnis, die Hervorhebungen stammen aber von mir. Kurzes Fazit vorweg: juristisch interessant ist einerseits die Herleitung der Zulässigkeit der Individualanträge, andererseits die fast versteckte erstmalige Anerkennung des - in Deutschland seit mehr als drei Jahrzehnten auch so genannten - Rechts auf informationelle Selbstbestimmung.

Zur Zulässigkeit, oder: außergewöhnliche Maßnahmen fordern außergewöhnliche Rechtsprechung?

Kärntner Landesregierung fasste Anfechtungsumfang zu eng
Der Antrag der Kärntner Landesregierung wurde als unzulässig zurückgewiesen, weil nur Bestimmungen des TKG 2003 angefochten wurden, "nicht aber jene Bestimmungen in der StPO und im SPG, die die 'Beauskunftung' der Vorratsdaten regeln." Damit wurden "nicht alle Bestimmungen angefochten, die für die Beurteilung der allfälligen Verfassungswidrigkeit der Regelungen über die Vorratsdatenspeicherung eine untrennbare Einheit bilden." (RNr 107)

Individualanträge
Hinsichtlich der beiden Individualantragsteller grenzt der VfGH die Situation bei der Vorratsdatenspeicherung von jener ab, die er bei der Anfechtung des § 53 Abs 3a SPG vorgefunden hatte. Diese Bestimmung regelt die Auskunftspflicht der Betreiber von Telekommunikationsdiensten gegenüber Sicherheitsbehörden, ua betreffend IP-Adressen, und der VfGH hatte mit Beschluss vom 01.07.2009, G 147/08, VfSlg 18.831/2009, Individualanträge mangels unmittelbarer und aktueller Betroffenheit der Antragsteller zurückgewiesen. Erst wenn die Sicherheitsbehörden die Ermächtigung des § 53 Abs 3a SPG in Anspruch nähmen, könnte dies "unter Umständen zu einer Beeinträchtigung der Rechtssphäre der Antragsteller führen", hieß es im damaligen Bechluss (überdies verwies der VfGH damals auch auf die Antragsrechte nach dem DSG und den "kommissarischen Rechtsschutz durch den Rechtsschutzbeauftragten"). Anders sei die Situation bei der Vorratsdatenspeicherung, bei der die notwendige unmittelbare Betroffenheit der Telefon- und Internetnutzer vorliege und ein Umweg über andere Verfahren nicht zumutbar sei:

- unmittelbare Betroffenheit: Endkunde als Adressat des § 102a TKG 203

Nach Ansicht der Bundesregierung sei Adressat des § 102a TKG 2003 nicht ein "Endkunde" wie der Zweitantragsteller. Er sei daher von dieser Bestimmung nicht rechtlich betroffen. Dem ist entgegenzuhalten, dass sich die angefochtene Bestimmung des § 102a TKG 2003 auf Grund ihrer sprachlichen Fassung – wie die Bundesregierung in ihren Äußerungen betont – zwar lediglich an "Anbieter von öffentlichen Kommunikationsdiensten", "Anbieter von Internet-Zugangsdiensten", "Anbieter öffentlicher Telefondienste einschließlich Internet-Telefondiensten" und "Anbieter von E-Mail-Diensten" richtet. Sie ist jedoch ihrem Inhalt und Zweck nach von einer solchen Wirkung auf den Zweitantragsteller als "Benutzer" (vgl. § 92 Abs. 3 Z 2 TKG 2003) von öffentlichen Kommunikationsdiensten, dass damit nicht nur dessen tatsächliche Situation berührt wird, sondern auch in die – insbesondere auch durch die verfassungsgesetzlich gewährleisteten Rechte aus Art. 8 EMRK und § 1 DSG 2000 geprägte – Rechtssphäre des Zweitantragstellers eingegriffen wird. Der Zweitantragsteller ist daher jedenfalls dem Zweck und Inhalt dieser angefochtenen Bestimmung nach als Normadressat anzusehen (vgl. VfSlg. 13.038/1992, 13.558/1993, 19.349/2011). [RNr 114]

- Umwegszumutbarkeit

Die Verpflichtung und Ermächtigung zur Speicherung trifft den Zweitantragsteller unmittelbar in seiner Rechtssphäre, ohne dass es noch eines konkretisierenden Rechtsaktes bedürfte oder ein solcher vorgesehen wäre. Anders als in Fällen, in denen beispielsweise staatliche Einrichtungen durch die Rechtsordnung ermächtigt werden, bestimmte Maßnahmen zu ergreifen, die unter Umständen und erst im Fall ihrer Inanspruchnahme zu einer Beeinträchtigung der Rechtssphäre Rechtsunterworfener führen (vgl. zB VfSlg. 18.831/2009), liegen im vorliegenden Fall jene Umstände, die in die Rechtssphäre eingreifen, schon durch die andauernde Speicherverpflichtung und deren Befolgung vor. [RNr 116]
Unter den Umständen des vorliegenden Falles kann der Verfassungsgerichtshof nicht finden, dass dem Zweitantragsteller ein zumutbarer anderer Weg zur Verfügung stünde, um die durch die behauptete Rechtswidrigkeit der angefochtenen Bestimmungen bewirkte Rechtsverletzung wirksam abzuwehren: [RNr 117]

- "außergewöhnliche, besondere Umstände"
Die Möglichkeit, Feststellungsbescheide oder Entscheidungen der ordentlichen Gerichte nach dem DSG 2000 zu erwirken, sind - so der VfGH weiter - nicht geeignet, eine zumutbare Alternative zur Stellung eines Individualantrags aufzuzeigen. Der VfGH sieht ausdrücklich keinen Grund, von der Rechtsprechung zum SPG - wonach das Auskunfts- und Löschungsrecht nach dem DSG im dort entschiedenen Fall ein zumutbarer Umweg war - abzugehen (RNr 120), hält diesen Umweg aber im konkreten Fall der Vorratsdatenspeicherung aber für nicht zumutbar:

[Der Zweitantragsteller muss] jedenfalls davon ausgehen [...], dass bestimmte, ihn betreffende Daten [...] zum Zweck der "Ermittlung, Feststellung und Verfolgung von Straftaten, deren Schwere eine Anordnung nach § 135 Abs. 2a StPO rechtfertigt" – gespeichert wurden und werden. In § 102a Abs. 1 TKG 2003 wird festgelegt, dass diese Daten nicht nur in Ausnahmefällen und betreffend einen bestimmten, eingeschränkten Personenkreis zu speichern sind [...]. [RNr 121]
Es trifft zu, dass sich der Zweitantragsteller mit einem Auskunftsbegehren nach § 26 DSG 2000 oder einem Löschungsbegehren nach § 27 DSG 2000 an jene Anbieter von öffentlichen Kommunikationsdiensten richten hätte können, hinsichtlich derer er weiß, dass sie Daten über ihn speichern. In weiterer Folge hätte er die Reaktionen der Anbieter im Rechtsweg entsprechend bekämpfen können. Auch wenn der Zweitantragsteller theoretisch unmittelbar (Art. 144 B-VG) oder mittelbar (Art. 89 Abs. 2 zweiter Satz, Art. 140 Abs. 1 Z 1 lit. a B-VG) seine Bedenken ob der Verfassungsmäßigkeit der in Rede stehenden Bestimmungen an den Verfassungsgerichtshof herantragen könnte, so bestehen im vorliegenden Fall außergewöhnliche, besondere Umstände, die den Zweitantragsteller davon entbinden, diesen Weg zu beschreiten: [...] [RNr 122]
Die besonderen und außergewöhnlichen Umstände sind folgende: Durch die Verpflichtung zur Speicherung nach § 102a TKG 2003 und die Auskunftserteilung nach den § 135 Abs. 2a StPO sowie § 53 SPG liegt ein großer Kreis an Daten vor, die entweder bei den Anbietern von öffentlichen Kommunikationsdiensten oder (nach Erteilung von Auskünften) bei den Sicherheits- oder Strafverfolgungsbehörden gespeichert sind. Die Speicherungsverpflichtung trifft im Übrigen nicht nur jene Anbieter, mit denen der Zweitantragsteller Verträge hatte oder hat, sondern auch die Anbieter der "Kommunikationspartner" des Zweitantragstellers, dh. jener Personen, mit denen der Zweitantragsteller zB telefonierte oder denen er E-Mails sandte [...]. Der Zweitantragsteller ist mit einer kaum überblickbaren Anzahl an Anbietern konfrontiert, die über ihn auf Grund des § 102a TKG 2003 Daten gespeichert haben könnten. Es ist praktisch nicht möglich, zu eruieren, welcher Anbieter welche Daten in welchen Zeiträumen auf Grund des § 102a TKG 2003 gespeichert hat oder speichert. [RNr 124]

Die mehrfache Betonung der "Besonderheiten der Vorratsdatenspeicherung" lässt erkennen, dass dem VfGH sehr daran gelegen ist, nicht den Eindruck entstehen zu lassen, dass die sonst strenge Prüfung der Zulässigkeit von Individualanträgen allenfalls in Hinkunft generell etwas lockerer gesehen werden könnte.

In der Sache

Maßstab § 1 DSG und Art 8 EMRK
Wie schon im Vorlagebeschluss angedeutet, betont der VfGH in seinem Erkenntnis, dass die innerstaatliche Verfassungsrechtslage nach § 1 Abs 2 DSG 2000 über Art 8 Abs 2 EMRK (und Art 7 GRC) hinausgeht (RNr 140 und RNr 147-149). Diese nationale Rechtslage ist, da die RL über die Vorratsspeicherung von Daten für ungültig erklärt wurde, "wieder uneingeschränkt Maßstab im Gesetzesprüfungsverfahren". (RNr 141). Daran ändert auch Art 15 Abs 1 zweiter Satz RL 2002/58/EG (mehr zu dieser Bestimmung im Blog hier) nichts (RNr 143).

Durchführung des Unionsrechts
Der VfGH zieht auch Art 7 und 8 der Grundrechtecharta (GRC) als Maßstab im Gesetzesprüfungsverfahren in Betracht. Die Voraussetzung dafür - dass die nationalen Regeln in Durchführung des Unionsrechts ergangen sind, ist schon deshalb erfüllt, "weil sie im Anwendungsbereich der RL 2002/58/EG und namentlich ihres Art. 15 Abs. 1 erlassen wurden" (RNr 144). Letztlich bleibt es aber beim Maßstab des § 1 DSG 2000 und Art 8 EMRK, weil das DSG strengere Anforderungen an die Verhältnismäßigkeit des Eingriffs festlegt als Art 7 und 8 GRC (RNr 149).

Schranken für gesetzliche Beschränkungen des Grundrechts auf Datenschutz

Gesetzliche Beschränkungen des Grundrechts auf Datenschutz müssen in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit ihnen verfolgten Ziele verhältnismäßig sein (vgl. auch Art. 8 iVm Art. 52 Abs. 1 GRC und EuGH, Digital Rights Ireland und Seitlinger ua., Rz 38, 47, 69 sowie EGMR 4.12.2008 [GK], Fall S. und Marper, Appl. 30.562/04, EuGRZ 2009, 299 [Z 101]). Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen (§ 1 Abs. 2 zweiter Satz DSG 2000). [RNr 157]
Auch im Fall nach Art. 8 Abs. 2 EMRK zulässiger Beschränkungen darf gemäß dem letzten Satz des § 1 Abs. 2 DSG 2000 der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. [...] [RNr 158]
Bei den nach § 102a TKG 2003 zu speichernden und nach § 135 Abs. 2a StPO und § 53 Abs. 3a Z 3 sowie § 53 Abs. 3b SPG zu beauskunftenden Daten handelt es sich um personenbezogene Daten iSd § 1 Abs. 1 DSG 2000. [...] Im Hinblick vor allem auf die auch von den Antragstellern angeführten Möglichkeiten der Verknüpfung mit anderen Informationen [...] besteht an den betroffenen Daten jedenfalls ein schutzwürdiges Geheimhaltungsinteresse iSd § 1 Abs. 1 DSG 2000. [...][RNr 159]
Der Umstand, dass die Speicherung durch Anbieter öffentlicher Kommunikationsdienste – also durch Private – erfolgt, die durch § 102a TKG 2003 zur Speicherung verpflichtet werden, ändert nichts am Vorliegen eines Eingriffs in § 1 DSG 2000 und Art. 8 EMRK durch den Gesetzgeber. [...] [RNr 161]

Rechtfertigung des Eingriffs?
Auch der VfGH anerkennt die Möglichkeit, dass Regelungen zur Vorratsdatenspeicherung - "die wie die angefochtenen einen gravierenden Grundrechtseingriff bilden" - zur Bekämpfung schwerer Kriminalität zulässig sein können, allerdings nur, sofern sie mit den strengen Anforderungen des § 1 DSG 2000 und Art. 8 EMRK im Einklang stehen. Ob ein solcher Eingriff zulässig ist, hängt
- von der Ausgestaltung der Bedingungen der Speicherung von Daten auf Vorrat,
- den Anforderungen an deren Löschung sowie
- von den gesetzlichen Sicherungen bei der Ausgestaltung der Möglichkeiten des (behördlichen und privaten) Zugriffs auf diese Daten ab.
Die angefochtenen Vorschriften des TKG 2003, der StPO und des SPG erfüllen diese Anforderungen nicht (RNr 164).

Legitime Ziele - abstrakte Eignung

Die Vorschriften betreffend die Vorratsdatenspeicherung einschließlich der Bestimmungen über die Erteilung von Auskünften über Vorratsdaten in der StPO und im SPG dienen der Erreichung von in Art. 8 Abs. 2 EMRK genannten Zielen, nämlich insbesondere der Aufrechterhaltung der öffentlichen Ruhe und Ordnung und dem Schutz der Rechte und Freiheiten anderer. Auch konnte der Gesetzgeber im Rahmen seines Beurteilungsspielraums vertretbarerweise davon ausgehen, dass Regelungen über eine Vorratsdatenspeicherung zur Erreichung dieser Ziele abstrakt geeignet sind [...]. [RNr 165]

Verhältnismäßigkeitsprüfung
Die Schwere des Eingriffs darf aber nicht das Gewicht und die Bedeutung der mit der Vorratsdatenspeicherung verfolgten Ziele übersteigen (RNr 166). Programmatisch formuliert der VfGH dazu in RNr 167 des Urteils:

Ausgangspunkt der Beurteilung der Verhältnismäßigkeit der Vorratsdatenspeicherung ist die Einsicht, dass das Grundrecht auf Datenschutz in einer demokratischen Gesellschaft – in der hier bedeutsamen Schutzrichtung – auf die Ermöglichung und Sicherung vertraulicher Kommunikation zwischen den Menschen gerichtet ist. Der Einzelne und seine freie Persönlichkeitsentfaltung sind nicht nur auf die öffentliche, sondern auch auf die vertrauliche Kommunikation in der Gemeinschaft angewiesen; die Freiheit als Anspruch des Individuums und als Zustand einer Gesellschaft wird bestimmt von der Qualität der Informationsbeziehungen (vgl. Berka, Das Grundrecht auf Datenschutz im Spannungsfeld zwischen Freiheit und Sicherheit, 18. ÖJT, 2012, Band I/1, 22).

Ein altes deutsches, aber neues österreichisches (Grund-)Recht: die informationelle Selbstbestimmung
Im Zusammenhang mit der Verhältnismäßigkeitsprüfung bringt der VfGH eher en passant erstmals in seiner Rechtsprechung auch ein (Grund?)Recht in Stellung, das aus der Rechtsprechung des deutschen Bundesverfassungsgerichts bekannt ist: das Recht auf informationelle Selbstbestimmung (vom BVerfG im Volkszählungsurteil aus dem Jahr 1983 anerkannt). In RNr 168 heißt es:

Bedeutung und Gewicht der mit der Vorratsdatenspeicherung verfolgten Ziele [...] sind erheblich. Doch auch wenn die Regelung [...] einem wichtigen öffentlichen Interesse dient [...], ist es angesichts der "Streubreite" des Eingriffs [...], des Kreises und der Art der betroffenen Daten (siehe unten 2.3.14.5) und der daraus folgenden Schwere des Eingriffs in das Recht auf informationelle Selbstbestimmung (es kann auf Daten zugegriffen werden, welche im Falle ihrer Verknüpfung nicht nur die Erstellung von Bewegungsprofilen ermöglichen, sondern auch Rückschluss auf private Vorlieben und den Bekanntenkreis einer Person zulassen [...]) erforderlich, dass der Gesetzgeber durch geeignete Regelungen sicherstellt, dass diese Daten nur bei Vorliegen eines vergleichbar gewichtigen öffentlichen Interesses im Einzelfall für Strafverfolgungsbehörden zugänglich gemacht werden und dies einer richterlichen Kontrolle unterliegt.

Etwas kryptisch wird dann die Weiterentwicklung der Technologie angesprochen: es sei "zu berücksichtigen, dass staatliches Handeln durch die rasche Verbreitung der Nutzung 'neuer' Kommunikationstechnologien [...] in den vergangenen zwei Jahrzehnten in vielerlei Hinsicht [...] vor besondere Herausforderungen gestellt wurde und wird. [...] Dabei ist zu berücksichtigen, dass die Erweiterung der technischen Möglichkeiten auch dazu führt, dass den Gefahren, die diese Erweiterung für die Freiheit des Menschen in sich birgt, in einer dieser Bedrohung adäquaten Weise entgegengetreten werden muss" (RNr 168). Den Bedrohungen durch neue Technologien, so würde ich das lesen, muss also nicht mit Papier und Bleistift begegnet werden, sondern durchaus auch durch Einsatz moderner Technologien - etwa durch Zugriff auf Kommunikationsdaten, wenn auch unter den vom VfGH benannten Einschränkungen.

StPO-Regelung zu undifferenziert - im Einzelfall muss gravierende Bedrohung vorliegen
Der VfGH würde das Abstellen auf ein bestimmte (Mindest-)Strafdrohung akzeptieren, der Gesetzgeber müsste allerdings darüber hinaus sicherstellen, "dass die Schwere der Straftat – die durch die jeweilige Strafdrohung zum Ausdruck kommt – im Einzelfall den Eingriff in verfassungsgesetzlich gewährleistete Rechte jener Personen rechtfertigt, die durch die Beauskunftung 'ihrer' Vorratsdaten betroffen sind. Insofern ist der von § 135 Abs. 2a iVm § 135 Abs. 2 Z 2 bis 4 StPO umfasste Kreis der Delikte zu undifferenziert und als Folge dessen zu weit gefasst. Er stellt nicht sicher, dass Auskunftsersuchen nur bei Delikten zulässig sind, für die entweder schwere Strafen drohen (zB § 207a StGB) oder für deren Aufklärung die Verwendung der auf Vorrat gespeicherten Daten wegen der Art der Tatbegehung in besonderem Maße notwendig ist (zB § 107a Abs. 1 iVm Abs. 2 Z 2 StGB)." (RNr 171)

Der VfGH spricht damit eine Differenzierung zwischen "kommunikationsspezifischer" Kriminalität (etwa Stalking via Telefon oder Internet - das ist der zitierte § 107a Abs 2 Z 2 StGB) und schon an sich besonders schweren Delikten an. Mit anderen Worten: wenn das Delikt via Telefon oder Internet begangen wird, könnte Speicherung und Zugriff auf Daten schon bei geringeren Strafdrohungen zulässig sein als bei Straftaten, die ohne Bezug zu solchen Kommunikationsmitteln begangen wurden. Etwas irritierend ist dabei meines Erachtens der Hinweis auf § 207a StGB (pornographische Darstellungen Minderjähriger), da dies einerseits ein Delikt ist, das nicht - wie etwa Mord - die absolut höchsten Strafdrohungen aufweist und andererseits vielfach gerade auch über elektronische Kommunikation begangen wird - aber irgendwo musste wohl signalisiert werden, dass der VfGH mit der Aufhebung der Vorratsdatenspeicherung nicht ein Vorgehen gegen Kinderpornographie verhindern wollte.

Jedenfalls reicht dem VfGH weder der Vorbehalt der gerichtlichen Bewilligung der Auskunft über Vorratsdaten, noch der Befassung des Rechtsschutzbeauftragten, da "durch § 135 Abs. 2a StPO iVm §§ 102a, 102b Abs. 1 TKG 2003 nicht gewährleistet wird, dass über Vorratsdaten nur dann Auskunft erteilt wird, wenn sie zur strafprozessualen Verfolgung und Aufklärung von Straftaten dienen, die im Einzelfall eine gravierende Bedrohung der in Art. 8 Abs. 2 EMRK genannten Ziele darstellen und die einen solchen Eingriff rechtfertigen." (RNr 172)

SPG: kein Richtervorbehalt, keine Einschränkung auf schwere Straftaten
Knapp werden die Bestimmungen des SPG abgehandelt (RNr 175-178):

Die Erteilung von Auskünften über Vorratsdaten bedarf – anders als nach der StPO – nach dem SPG keiner richterlichen Genehmigung. Die Befassung des Rechtsschutzbeauftragten gemäß § 91c Abs. 1 SPG, dem "die Prüfung der nach diesem Absatz erstatteten Meldungen" – also eine Prüfung ex post – obliegt (§ 91c Abs. 1 letzter Satz SPG), ist jedenfalls nicht ausreichend. [...] Den sicherheitspolizeilichen Befugnissen zum Zugriff auf Vorratsdaten fehlt jede auf die Schwere einer drohenden Straftat bezogene Einschränkung. [...] Damit ist den Anforderungen an die Verhältnismäßigkeit des Eingriffs in das Grundrecht auf Datenschutz durch Zugriffe nach § 53 Abs. 3a Z 3 oder § 53 Abs. 3b SPG nicht Genüge getan.

Möglichkeiten neuer Technologien rechtfertigen nicht jeden Eingriff
Hinsichtlich der nach § 102a TKG 2003 zu speichernden Daten betont der VfGH, dass die Eignung des Grundrechtseingriffs insofern abstrakt zu prüfen ist, "als sie weder einen bestimmten konkreten Prozentsatz bei der Häufigkeit der Anwendung der Rechtsvorschrift in der Praxis voraussetzt, noch eine bestimmte 'Erfolgsquote' bei der Aufklärung von Straftaten." Der VfGH prüft nicht im Detail, ob der Gesetzgeber bei jedem zu speichernden Datum davon ausgehen konnte, dass es dem ins Auge gefassten Zweck der Maßnahme wirksam diene, sondern er dreht gewissermaßen die Beweislast um: "Es steht [...] keineswegs bei allen Daten, deren Speicherung auf Vorrat und Verarbeitung § 102a TKG 2003 in Umsetzung der nicht mehr gültigen Vorratsdatenspeicherungsrichtlinie anordnet, von vornherein fest, dass ihre Speicherung verhältnismäßig ist." Ohne Überleitung folgt darauf ein weiterer Kernsatz des Erkenntnisses (RNr 180):

Die bloße Möglichkeit, neue Technologien zu zusätzlichen Überwachungsmaßnahmen zu nutzen, rechtfertigt nicht von vornherein einen Eingriff in die von § 1 DSG 2000 und Art. 8 EMRK geschützte Freiheitssphäre.

"Streubreite": nahezu alle Betroffenen geben keinen Anlass für Einschreiten

Von der durch § 102a TKG 2003 angeordneten Vorratsdatenspeicherungsverpflichtung ist [...] nahezu die gesamte Bevölkerung betroffen [...]. Wie der Verfassungsgerichtshof bereits in seinem Beschluss VfSlg. 19.702/2012 festgestellt hat, erfasst die Vorratsdatenspeicherung fast ausschließlich Personen, die keinerlei Anlass – in dem Sinne, dass sie ein Verhalten gesetzt hätten, das ein staatliches Einschreiten erfordern würde – für die Datenspeicherung gegeben haben [...]. Vielmehr nutzt der ganz überwiegende Anteil der Bevölkerung öffentliche Kommunikationsdienste zur Ausübung von Grundrechten, namentlich vor allem der Meinungsäußerungs-, Informations- und Kommunikationsfreiheit. [RNr 183]
Der Zweitantragsteller macht geltend, dass er unbescholten sei. Dies trifft auf nahezu alle von der Vorratsdatenspeicherung Betroffenen zu. Im Hinblick auf diese Mehrheit wiegt die Beschränkung des Rechts auf Geheimhaltung ihrer personenbezogenen Daten [...] besonders schwer. [RNr 184]

[I]m Falle einer Erteilung von Auskünften über Vorratsdaten im Rahmen des § 135 Abs. 2a StPO und des § 53 SPG [kann] nicht ausgeschlossen werden, dass sich aus den Vorratsdaten Schlüsse ziehen lassen, die dem Anspruch auf Geheimhaltung personenbezogener Daten, wie er durch § 1 Abs. 1 DSG 2000 gewährleistet wird, zuwiderlaufen. Hiebei sind vor allem auch die Möglichkeiten der Verknüpfung von in unterschiedlichen Zusammenhängen ermittelten Daten zu berücksichtigen (Berka, aaO, 76 und 111 f.). Als entsprechend schwer ist daher auch der Eingriff im Hinblick auf den Kreis und die Art der gespeicherten Daten zu werten. [RNr 186]

Nicht überblickbarer Kreis von Speicherungsverpflichteten - kein ausreichender Schutz vor Missbrauch
Zu bedenken ist auch, so der VfGH in RNr 187, "dass angesichts der Vielzahl der Anbieter öffentlicher Kommunikationsdienste und damit von Speicherungsverpflichteten auch ein nicht überblickbarer Kreis von Personen potentiell Zugriff auf gemäß § 102a TKG 2003 gespeicherte Daten hat." Der VfGH verweist in diesem Zusammenhang auf das Urteil des deutschen Bundesverfassungsgerichts zur deutschen Umsetzung der Vorratsdaten-RL, in der das diesbezüglich bestehende Missbrauchspotential angesprochen wurde (BVerfGE 125, 260 [S 320 {RN 212}]). Der VfGH anerkennt zwar, dass der österreichische Gesetzgeber hinsichtlich dieses Risikos Vorkehrungen getroffen hat, die über die Anforderungen der Vorratsdaten-RL hinausgehen (insbesondere die ausdrückliche Verpflichtung zur Verschlüsselung) und in § 109 TKG 2003 Strafbestimmungen vorgesehen hat, die dem Schutz vor Missbrauch dienen. Es fehlen ihm aber insbesondere Bestimmungen "die eine missbräuchliche Verwendung von Vorratsdaten durch die zur Speicherung verpflichteten Anbieter unter Strafe stellen (vgl. dagegen § 301 Abs. 3 StGB betreffend Mitteilungen über den Inhalt von Ergebnissen aus einer Auskunft über Vorratsdaten)" (RNr 187). Der VfGH hält fest,

dass (sofern keine gerichtlich strafbare Tat vorliegt) die "bloße" unbefugte Verwendung von Daten, die im Rahmen der Vorratsdatenspeicherung erfasst werden, nicht mit Verwaltungsstrafe bedroht ist, sodass insofern ein Missbrauch dieser Daten mit den Mitteln des (Verwaltungs-)Strafrechts nicht bekämpft wird. Darüber hinaus hat die mündliche Verhandlung ergeben, dass die Datenschutzkommission bzw. die Datenschutzbehörde seit Inkrafttreten der Vorschriften über die Vorratsdatenspeicherung zur Überprüfung der Einhaltung dieser Vorschriften nicht tätig geworden ist. [RNr 190]

Bereits Speicherung - nicht erst Zugriff auf Daten - ist ein Eingriff von besonderem Gewicht

Ungeachtet des Umstandes, dass der Gesetzgeber die Speicherung von Daten auf Grund des § 102a TKG 2003 zwar explizit und ausschließlich zur Ermittlung, Feststellung und Verfolgung von Straftaten, deren Schwere eine Anordnung nach § 135 Abs. 2a StPO rechtfertigt, zulässt (§ 102a Abs. 1 letzter Satz TKG 2003) und damit einen gesetzlich festgelegten Zweck schafft, liegt bereits in der Speicherung ein Eingriff von besonderem Gewicht. [RNr 191]
Dabei ist zu veranschlagen, dass für die Daten jener Betroffenen, die keinerlei Anlass zur Speicherung gegeben haben [...] das einen Teil des Grundrechts auf Datenschutz bildende Recht auf Löschung gemäß § 1 Abs. 3 DSG 2000 (vgl. zB VfSlg. 16.150/2001) für den in § 102a TKG 2003 angeordneten Zeitraum von sechs bzw. sieben Monaten (§ 102a Abs. 8 TKG 2003) nicht gegeben ist. Hinzu kommt, dass Löschungsbegehren nur hinsichtlich jener speicherungspflichtigen Anbieter gestellt werden können, von denen der Betroffene weiß, dass diese ihn betreffende Vorratsdaten gespeichert haben. [RNr 192]

Durch Aufhebung des § 135 Abs 2a StPO verliert die Speicherverpflichtung nach § 102a TKG 2003 zudem ihren gesetzlich festgelegten Zweck, was unmittelbar zur Verfassungswidrigkeit führt: "Eine Speicherung auf Vorrat ohne konkreten Zweck – sei es auch nur für einen kurzen Zeitraum – wäre [...] jedenfalls verfassungswidrig" (RNr 194).

Regeln zur Löschung unklar
Für den VfGH ist auch unklar, ob die auf Vorrat gespeicherten Daten nach Ablauf der Frist unwiderruflich zu löschen sind, was aber jedenfalls erforderlich wäre: "In Anbetracht der Schwere des Eingriffs an sich lassen die Vorschriften betreffend die Vorratsdatenspeicherung [...] Bestimmungen vermissen, die für die von der Speicherung Betroffenen und die zur Speicherung Verpflichteten klarstellen, dass mit der 'Löschung' der auf Vorrat gespeicherten Daten der Ausschluss von deren Wiederherstellbarkeit verbunden zu sein hat [...]. Eine 'Löschung' in dem Sinn, dass bloß der Zugriff auf die weiterhin existenten (und rekonstruierbaren) Daten verhindert wird, genügt den dargelegten strengen verfassungsrechtlichen Anforderungen [...] nicht." (RNr 196).

Fristbeginn bei "always on"-Diensten?
Schließlich fehlt es auch an einer klaren Regelung für den Fristenlauf bei "always on"-Diensten. Die - von der Bundesrgierung in der Verhandlung dargelegte - Möglichkeit einer "verfassungskonformen" Auslegung vermag "aber keine hinreichende gesetzliche Determinierung des Grundrechtseingriffs zu ersetzen" (RNr 198).

Fazit: nicht verhältnismäßig

Im Ergebnis sind die antragstellenden Parteien daher insoweit im Recht, als sie der Sache nach geltend machen, dass die Regelungen in ihrem Zusammenhang nicht verhältnismäßig sind: Die Beschränkungen dieses Grundrechts auf Datenschutz nach dem Gesetzesvorbehalt des § 1 Abs. 2 DSG 2000 wären nur auf Grund von Gesetzen zulässig, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind und die ausreichend präzise, also für jedermann vorhersehbar, regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist. Gesetzliche Beschränkungen des Grundrechts auf Datenschutz müssen das gelindeste Mittel zur Zielerreichung bilden und in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit ihnen verfolgten Ziele verhältnismäßig sein.
Diese Anforderungen erfüllen die Regelungen betreffend die Vorratsdatenspeicherung in ihrer Zusammenschau (§ 135 Abs. 2a StPO iVm § 102a TKG 2003, § 53 Abs. 3a Z 3 SPG iVm § 102a TKG 2003, § 53 Abs. 3b SPG iVm § 102a TKG 2003) aus den angeführten Gründen nicht. [RNr 199]

VfGH hebt nationale Regelungen zur Vorratsdatenspeicherung auf - Zugriff auf Betriebsdaten weiter möglich

Nach der Feststellung der Ungültigkeit der Richtlinie über die Vorratsspeicherung von Daten durch den EuGH (dazu im Blog hier und hier) war es keine große Überraschung, dass der Verfassungsgerichtshof nun die österreichischen Regelungen, die zur Umsetzung dieser Richtlinie geschaffen wurden, als verfassungswidrig aufgehoben hat. Das Erkenntnis wurde heute mündlich verkündet, schriftlich ist vorerst nur eine Pressemitteilung des VfGH verfügbar, in der immerhin der konkrete Spruch des Erkenntnisses - zumindest betreffend die aufgehobenen Bestimmungen - wiedergegeben wird; im übrigen werden darin aber nur sehr allgemeine Hinweise auf die Begründung des Erkenntnisses gegeben (nach einer Pressemeldung wurde zudem der Antrag der Kärntner Landesregierung zurückgewiesen, "da dieser nicht ausreichend formuliert worden war" - ich nehme an, dass die aufzuhebenden Normen nicht präzise bezeichnet waren Update 29.06.2014: nach einem Gespräch mit jemandem, der bei der Verkündung zugehört hat, dürfte es so gewesen sein, dass die Kärntner Landesregierungen nur Bestimmungen des TKG 2003 angefochten hat, der VfGH jedoch der Auffassung war, dass diese mit den Bestimmungen der StPO und des SPG, die die Auskunftserteilung regeln, in einem untrennbaren Zusammenhang stehen).
Update 30.07.2014: nunmehr ist die schriftliche Ausfertigung des Erkenntnisses verfügbar.
Update 31.07.2014: siehe nun zur schriftlichen Ausfertigung des Erkenntnisses im Blog hier.

Zwar ist das Erkenntnis nach § 26 VfGG "mit den wesentlichen Entscheidungsgründen" zu verkünden, dennoch lässt sich leider aus der Meldungen, die ich bis jetzt durchgesehen habe, nicht allzuviel erkennen. Auch der Live-Ticker auf netzpolitik.org gibt dazu nicht viel her, außer dass sich die Aufhebung auf Art 1 (§ 1) DSG und Art 8 EMRK stützt, was jetzt auch nicht wirklich überraschen kann. Ob zB auch Erwägungen zu Art 10 EMRK erfolgten oder welche Rolle die GRC spielte, lässt sich damit nicht feststellen. Eine ernsthafte inhaltliche Auseinandersetzung mit dem Erkenntnis kann aber ohnehin erst nach Vorliegen der schriftlichen Ausfertigung erfolgen. Daher vorerst hier nur kurze Anmerkungen zu den aufgehobenen Rechtsvorschriften und zur Frage, auf welche Daten nun weiter zugegriffen werden kann.

Aufgehobene Rechtsvorschriften
Die Richtlinie zur Vorratsdatenspeicherung von Daten wurde in Österreich mit der Novelle BGBl I 2011/27 zum TKG 2003 umgesetzt. Begleitet wurde diese Umsetzung durch Anpassungen in der Strafprozessordnung (StPO) und im Sicherheitspolizeigesetz (SPG), beides mit der Novelle BGBl I 2011/33. Die tragenden Teile dieser Novellen wurden nun vom VfGH aufgehoben.

Im TKG 2003 sind von der Aufhebung folgende Bestimmungen betroffen:

• § 102a ("Vorratsdaten") zur Gänze: dies betrifft die Verpflichtung zur Speicherung von Vorratsdaten
• § 102b ("Auskunft über Vorratsdaten") zur Gänze: in dieser Bestimmung war geregelt, dass eine Auskunft über Vorratsdaten ausschließlich aufgrund einer gerichtlich bewilligten Anordnung der Staatsanwaltschaft zur Aufklärung und Verfolgung von - näher umschriebenen - schweren Straftaten zulässig ist.
• § 102c Abs 2, 3 und 6: Regeln zur Protokollierung von Zugriffen auf Vorratsdaten.
• Die Definition des Begriffs "Vorratsdaten" in § 92 Abs 3 Z 6b ("Daten, die ausschließlich aufgrung der Speicherverpflichtung gemäß § 102a gespeichert werden")
• Die sich auf Vorratsdaten beziehenden Wortfolgen in einer Reihe von Bestimmungen (§ 93 Abs 3, § 94 Abs 1, 2 und 4, § 98 Abs 2, § 99 Abs 5 Z 2, 3 und 4), in denen im Wesentlichen festgelegt wurde, dass von bestimmten Regeln nicht nur "normale" Daten, sondern auch Vorratsdaten betroffen sind.
• Die Strafbestimmungen bei Verletzung von Pflichten im Zusammenhang mit der Vorratsdatenspeicherung (§ 109 Abs 3 Z 22 bis 26).

Damit verbleiben im TKG 2003 nur mehr sehr bruchstückhafte Regelungen zu Vorratsdaten (zB die "2 Container-Lösung" in § 102c Abs 1), die aber angesichts des Wegfalls aller tragenden Regelungen zur Vorratsdatenspeicherung ins Leere laufen. Der Gesetzgeber wird sie wohl bei nächster Gelegenheit beseitigen, ebenso wie den auch noch verbliebenen Hinweis in § 1 Abs 4 Z 7 TKG 2003, wonach mit dem TKG 2003 auch die - nicht mehr gültige - RL über die Vorratsspeicherung von Daten umgesetzt wird.

In der StPO sind folgende Bestimmungen von der Aufhebung betroffen.

• § 134 Z 2a: Definition der "Auskunft über Vorratsdaten"
• § 135 Abs 2a: Festlegung, in welchen Fällen die Auskunft über Vorratsdaten zulässig ist

Im SPG wurde die Wortfolge "auch wenn hiefür die Verwendung von Vorratsdaten gemäß § 99 Abs. 5 Z 4 iVm § 102a TKG 2003 erforderlich ist," sowohl in § 53 Abs 3a Z 3 als auch in § 53 Abs. 3b aufgehoben. Auch in den dort geregelten Fällen (im Wesentlichen: Abwehr einer konkreten Gefahr für Leben, Gesundheit oder Freiheit, eines gefährlichen Angriffs oder einer kriminellen Verbindung bzw bei "Vermissten", wenn eine gegenwärtige Gefahr anzunehmen ist) kann also nicht mehr auf Vorratsdaten zurückgegriffen werden - die allerdings ohnehin nicht mehr gespeichert werden dürfen.

Ab wann?
Der Bundeskanzler ist nach Art 140 Abs 5 B-VG zur unverzüglichen Kundmachung der Aufhebung im Bundesgesetzblatt verpflichtet. Da der VfGH keine Frist für das Außerkrafttreten bestimmt hat, tritt die Aufhebung "mit Ablauf des Tages der Kundmachung in Kraft". Mit einer baldigen Kundmachung ist zu rechnen, sodass auch die juristisch interessante Frage, ob die - wohl auch unionsrechtswidrigen - Normen wegen des Vorrangs des Unionsrechts allenfalls auch schon bis zur Kundmachung des VfGH unangewendet bleiben müssten (zu einem derartigen Fall siehe etwa das VwGH-Erkenntnis vom 23.10.2013, 2012/03/0102), nicht beantwortet werden muss.
Update 30.06.2014: Die Aufhebung wurde kundgemacht am 30.06.2014 mit BGBl I 2014/44.

Keine Auskunft über Vorratsdaten - aber weiterhin Zugriff auf "Betriebsdaten"
Dass die Regeln über die Vorratsdatenspeicherung aufgehoben wurden, bedeutet nicht, dass die Strafverfolgungs- bzw Sicherheitsbehörden nicht dennoch auf Daten einer Nachrichtenübermittlung zugreifen könnten. Allerdings sind sie dabei auf die betriebsnotwendig anfallenden Daten, soweit diese (zulässigerweise) gespeichert sind, beschränkt (vgl die Definition von "Betriebsdaten" in § 2 Datensicherheitsverordnung TKG-DSVO]).

Für Verkehrsdaten gilt gemäß § 99 TKG 2003 - wie in der RL 2002/58 festgelegt - der Grundsatz, dass sie "nach Beendigung der Verbindung unverzüglich zu löschen oder zu anonymisieren sind". Eine - gewichtige - Ausnahme von diesem Grundsatz ist freilich, dass diese Daten zu speichern sind, wenn dies für Zwecke der Verrechnung von Endkunden- oder Vorleistungsentgelten (also zB auch für die Interconnection-Abrechnung) erforderlich ist. Sie sind zu löschen, "sobald der Bezahlvorgang durchgeführt wurde und innerhalb einer Frist von drei Monaten die Entgelte nicht schriftlich beeinsprucht wurden." Je nach Rechnungskreislauf liegen solche Daten also zumindest etwa vier Monate, oft auch sechs Monate vor. Auf diese Daten kann natürlich weiterhin insbesondere nach § 135 StPO in den dort geregelten Fällen (vereinfacht: Aufklärung oder Aufenthaltsermittlung bei schwereren Straftaten) zugegriffen werden.

Der wesentliche Unterschied zum Zugriff auf Vorratsdaten ist, dass die Strafverfolgungsbehörden damit nur mehr auf jene Daten zugreifen können, die betriebsnotwendig vorliegen und noch nicht gelöscht sind. Das wird bei den klassischen "Verbindungsdaten" in der Telefonie in der Regel kaum einen Unterschied machen, wohl aber bei all den Daten, die nach den Regeln über die Vorratsdatenpeicherung zusätzlich zu den verrechnungsrelevanten Daten zu speichern waren oder bei E-Mail-Diensten, bei denen die bisher nach § 102 Abs 4 TKG 2003 zu speichernden Daten in der Regel wohl nicht verrechnungsrelevant waren.

Vorratsdaten: Datenschutzbehörde zieht Vorabentscheidungsersuchen an den EuGH zurück

Die österreichische Datenschutzbehörde (DSB) hat das unter C-46/13 H gegen E beim EuGH anhängige Vorabentscheidungsersuchen zur Richtlinie über die Vorratsspeicherung von Daten zurückgezogen (siehe zu diesem Verfahren im Blog hier; zuletzt auch hier). Das geht aus einer Mitteilung hervor, die - gemeinsam mit dem Schreiben an den EuGH - am Mittwoch auf der Website der DSB veröffentlicht wurde. (Update 26.06.2014: mit Beschluss vom 27.05.2014 wurde die Rechtssache im Register des EuGH gestrichen)

Die DSB hält in ihrem Schreiben an den EuGH fest, dass die von ihrer Rechtsvorgängerin, der Datenschutzkommission, gestellten Fragen zur Auslegung und Gültigkeit der Richtlinie 2006/24/EG über die Vorratsspeicherung von Daten hinfällig sind, da die anzuwendende Rechtsvorschrift durch das EuGH-Urteil vom 08.04.2014, C-293/12 und C-594/12 (siehe im Blog dazu zuletzt hier und hier) rückwirkend aus dem Bestand des Unionsrechts entfernt wurde.

Die Datenschutzkommission hatte allerdings auch eine Frage zur Auslegung der allgemeinen Datenschutzrichtlinie 95/46/EG gestellt. Diese Frage sei zwar für die von der DSB zu treffenden Entscheidungen noch von Bedeutung, heißt es nun im Schreiben der DSB. Die Stellung der DSB im österreichischen Rechtssystem unterscheide sich aber grundlegend von der der früheren Datenschutzkommission: die Entscheidungen der DSB unterliegen nämlich nun der Kontrolle durch zwei Gerichtsinstanzen (Bundesverwaltungsgericht und Verwaltungsgerichtshof bzw Verfassungsgerichtshof). Daraus folge, dass die DSB - anders als die Datenschutzkommission - nicht mehr gemäß Art 267 AEUV aktiv legitimiert sei, dem EuGH ein Vorabentscheidungsersuchen vorzulegen. 

Die Zurückziehung des Vorabentscheidungsersuchens war zu erwarten (siehe dazu in meinem vorigen Blogbeitrag). Überraschend ist allerdings die Begründung: denn wenn man die Datenschutzkommission als Gericht im Sinne des Art 267 AEUV ansehen konnte (zu diesbezüglichen Bedenken siehe schon hier), dann müsste dies wohl auch für die DSB gelten. Dass anstelle einer weisungsfreien unabhängigen Kollegialbehörde nun ein weisungsfreies monokratisches Organ tätig wird, das noch unabhängiger ist als die Datenschutzkommission zum Zeitpunkt der Stellung des Vorabentscheidungsersuchens war, kann keinen Unterschied machen (auch ein Einzelrichter/eine Einzelrichterin eines ordentlichen Gerichts kann natürlich Vorabentscheidungsersuchen stellen). Wenn es sich bei der Datenschutzkommission daher um ein Gericht iSd Art 267 AEUV gehandelt hat, müsste auch die DSB als solches Gericht anzusehen sein (jeweils soweit sie zur Entscheidung über die verfahrensgegenständlichen Beschwerden berufen ist). Ob Rechtsschutz durch eine gerichtliche Instanz gewährleistet wird - wie es bei der Datenschutzkommission der Fall war - oder durch zwei gerichtliche Instanzen - wie nun bei der DSB - ändert an der Gerichtsqualifikation iSd Art 267 AEUV nichts: auch erstinstanzliche Gerichte können dem EuGH Vorabentscheidungsersuchen vorlegen.

Ich sehe die von der DSB gegebene Begründung für die Zurückziehung der Frage zur Datenschutzrichtlinie daher eher als Signal nach innen: die DSB als nationale Kontrollstelle im Sinn der Datenschutzrichtlinie, die für ihre Kernaufgaben ohnehin nur knappe Ressourcen zur Verfügung hat, wird in Zukunft keine Vorabentscheidungsersuchen stellen, sondern überlässt diese Aufgabe dem Bundesverwaltungsgericht bzw VwGH und allenfalls VfGH. Damit geht die DSB auch nicht mehr das Risiko ein, vom EuGH vielleicht doch nicht als vorlageberechtigtes Gericht anerkannt zu werden. 

In den Ausgangsverfahren muss die DSB nun entscheiden, ob nach dem Wegfall der Vorratsdatenrichtlinie die Beschwerdeführer Auskunft darüber bekommen müssen, welche Vorratsdaten die Telekomunternehmen über sie gespeichert haben. 

§ 102b Abs 1 TKG 2003 scheint einer solchen Auskunft entgegenzustehen; nach dieser Bestimmung ist nämlich eine Auskunft über Vorratsdaten "ausschließlich aufgrund einer gerichtlich bewilligten Anordnung der Staatsanwaltschaft zur Aufklärung und Verfolgung von Straftaten, deren Schwere eine Anordnung nach § 135 Abs 2a StPO rechtfertigt, zulässig." 

Umso spannender ist daher, welche Bestimmungen des TKG 2003 die Gesetzesprüfung durch den Verfassungsgerichtshof überstehen werden: der VfGH wird die bei ihm anhängigen Gesetzesprüfungsverfahren jedenfalls in seiner kommenden Juni-Session fortsetzen. 

EuGH: Google muss doch vergessen - das Supergrundrecht auf Datenschutz und die Bowdlerisierung des Internets

Der EuGH sei gehalten - so schrieb Generalanwalt Jääskinen in seinen Schlussanträgen zum Fall C-131/12, Google Spain und Google - "bei der Auslegung des Anwendungsbereichs der Richtlinie Vernunft walten zu lassen, ... um unangemessene und übermäßige Rechtsfolgen zu vermeiden" (mehr zu den Schlussanträgen hier im Blog, zum Ausgangsfall schon hier).

In seinem heute verkündeten Urteil ist der EuGH (Große Kammer) in wesentlichen Punkten dem Ergebnis der Schlussanträge nicht gefolgt (Volltext; Pressemitteilung) - der Gerichtshof dürfte also eine etwas andere Vorstellung von Vernunft haben als der Generalanwalt. Eines kann man jedenfalls festhalten: das Urteil des EuGH wird nicht nur das Geschäftsmodell von Google (und anderer Suchmaschinenbetreiber) in Europa wesentlich ändern, auch die Suchergebnisse könnten - jedenfalls in Europa - in Hinkunft deutlich "dünner" werden.

Suchmaschinen können Grundrecht auf Schutz des Privatlebens erheblich beeinträchtigen
Dass die Tätigkeit einer Suchmaschine (sofern die verarbeiteten Informationen personenbezogene Daten enthalten), als "Verarbeitung personenbezogener Daten" im Sinne von Art 2 lit b der Datenschutz-RL 95/46 einzustufen ist, hatte auch Generalanwalt Jääskinen so gesehen; der EuGH geht aber - abweichend vom Generalanwalt - einen Schritt weiter und sieht den Betreiber der Suchmaschine auch als für diese Verarbeitung "Verantwortlichen" im Sinne von Art 2 lit d der RL 95/46 an. Er begründet dies - zusätzlich zu dem seiner Ansicht nach klaren Wortlaut und dem Ziel der Bestimmung - auch mit der durch Suchmaschinen möglichen erheblichen Beeinträchtigung der Grundrechte auf Achtung des Privatlebens und Schutz personenbezogener Daten:

38   Durch die Tätigkeit einer Suchmaschine können die Grundrechte auf Achtung des Privatlebens und Schutz personenbezogener Daten somit erheblich beeinträchtigt werden, und zwar zusätzlich zur Tätigkeit der Herausgeber von Websites; als derjenige, der über die Zwecke und Mittel dieser Tätigkeit entscheidet, hat der Suchmaschinenbetreiber daher in seinem Verantwortungsbereich im Rahmen seiner Befugnisse und Möglichkeiten dafür zu sorgen, dass die Tätigkeit den Anforderungen der Richtlinie 95/46 entspricht, damit die darin vorgesehenen Garantien ihre volle Wirksamkeit entfalten können und ein wirksamer und umfassender Schutz der betroffenen Personen, insbesondere ihres Rechts auf Achtung ihres Privatlebens, tatsächlich verwirklicht werden kann.

Der EuGH differenziert damit zwischen dem Grundrechtseingriff, der (allenfalls) durch die ursprüngliche Veröffentlichung erfolgt, und dem Grundrechtseingriff, der erst durch die Suchmaschine erfolgt, weil sie einen Link zu der - im Web frei zugänglichen - Information bei einer Anfrage nach dieser Person ausweist. Eine Veröffentlichung im Online-Auftritt eines Regionalmediums könnte beispielsweise zulässig sein, und dennoch dürfte sie über Google (oder andere Suchmaschinen) nicht gefunden werden.

Lokale Google-Werbetochter reicht als Anknüpfungspunkt
Google hatte geltend gemacht, dass die Indexierung und Verabreitung von Google Inc. durchgeführt werde und die nationale Tochtergesellschaft Google Spain nur die Werbung vermarkte. Diese Trennung reicht dem EuGH - diesbezüglich in Übereinstimmung mit dem Generalanwalt - nicht. Die Tätigkeiten des Suchmaschinenbetreibers und die seiner Niederlassung im Mitgliedstaat sind "untrennbar miteinander verbunden, da die die Werbeflächen betreffenden Tätigkeiten das Mittel darstellen, um die in Rede stehende Suchmaschine wirtschaftlich rentabel zu machen, und die Suchmaschine gleichzeitig das Mittel ist, das die Durchführung dieser Tätigkeiten ermöglicht."

Verarbeitung durch Suchmaschinenbetreiber - nur nach Abwägung
Der EuGH hält fest, dass als Grund, weshalb die Verarbeitung von Daten durch Suchmaschinenbetreiber zulässig ist, Art 7 lit f der RL 95/46 in Betracht kommt. Demnach darf die Verarbeitung personenbezogener Daten lediglich erfolgen, wenn sie "erforderlich zur Verwirklichung des berechtigten Interesses [ist], das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person, die gemäß Artikel 1 Absatz 1 geschützt sind, überwie[g]en." Dies erfordert eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen.

Nach Art 12 lit b der RL 95/46 können Betroffene vom Verantwortlichen "je nach Fall die Berichtigung, Löschung oder Sperrung von Daten, deren Verarbeitung nicht den Bestimmungen dieser Richtlinie entspricht, insbesondere wenn diese Daten unvollständig oder unrichtig sind" (in RNr 70 des Urteils weist der EuGH darauf hin, dass die Aufzählung nicht abschließend ist. Löschungs- oder Sperrungsgründe können sich daher zB auch dann ergeben, wenn die Verarbeitung nicht [mehr] zulässig ist, weil die nach Art 7 lit f der RL geforderte Abwägung falsch getroffen wurde). Zudem können Betroffene nach Art 14 lit a der RL 95/46 "zumindest in den Fällen von Artikel 7 Buchstaben e) und f) jederzeit aus überwiegenden, schutzwürdigen, sich aus ihrer besonderen Situation ergebenden Gründen dagegen Widerspruch einlegen [...], dass sie betreffende Daten verarbeitet werden" (dies gilt nicht bei einer im einzelstaatlichen Recht vorgesehenen entgegenstehenden Bestimmung).

Der EuGH verweist in RNr 78 ausdrücklich - ohne dass das zur Fallentscheidung erforderlich wäre - auf die Kontrollstellen, an die sich Betroffene wenden können, und er betont - wiederum ohne unmittelbaren Zusammenhang mit dem zur Entscheidung stehenden Fall - in RNr 79, dass die Kontrollstellen in einem solchen Fall die RL "im Licht der vorstehenden Erwägungen auszulegen und anzuwenden" haben. Wörtlich heißt es dann (Hervorhebung hinzugefügt):

80   Wie bereits in den Rn. 36 bis 38 des vorliegenden Urteils ausgeführt, kann eine von einem Suchmaschinenbetreiber ausgeführte Verarbeitung personenbezogener Daten wie die im Ausgangsverfahren in Rede stehende die Grundrechte auf Achtung des Privatlebens und Schutz personenbezogener Daten erheblich beeinträchtigen, wenn die Suche mit dieser Suchmaschine anhand des Namens einer natürlichen Person durchgeführt wird, da diese Verarbeitung es jedem Internetnutzer ermöglicht, mit der Ergebnisliste einen strukturierten Überblick über die zu der betreffenden Person im Internet zu findenden Informationen zu erhalten, die potenziell zahlreiche Aspekte von deren Privatleben betreffen und ohne die betreffende Suchmaschine nicht oder nur sehr schwer hätten miteinander verknüpft werden können, und somit ein mehr oder weniger detailliertes Profil der Person zu erstellen. Zudem wird die Wirkung des Eingriffs in die genannten Rechte der betroffenen Person noch durch die bedeutende Rolle des Internets und der Suchmaschinen in der modernen Gesellschaft gesteigert, die den in einer Ergebnisliste enthaltenen Informationen Ubiquität verleihen (vgl. in diesem Sinne Urteil eDate Advertising u. a., C‑509/09 und C‑161/10, EU:C:2011:685, Rn. 45).
81   Wegen seiner potenziellen Schwere kann ein solcher Eingriff nicht allein mit dem wirtschaftlichen Interesse des Suchmaschinenbetreibers an der Verarbeitung der Daten gerechtfertigt werden. Da sich die Entfernung von Links aus der Ergebnisliste aber je nach der Information, um die es sich handelt, auf das berechtigte Interesse von potenziell am Zugang zu der Information interessierten Internetnutzern auswirken kann, ist in Situationen wie der des Ausgangsverfahrens ein angemessener Ausgleich u. a. zwischen diesem Interesse und den Grundrechten der betroffenen Person aus den Art. 7 und 8 der Charta zu finden. Zwar überwiegen die durch diese Artikel geschützten Rechte der betroffenen Person im Allgemeinen gegenüber dem Interesse der Internetnutzer; der Ausgleich kann in besonders gelagerten Fällen aber von der Art der betreffenden Information, von deren Sensibilität für das Privatleben der betroffenen Person und vom Interesse der Öffentlichkeit am Zugang zu der Information abhängen, das u. a. je nach der Rolle, die die Person im öffentlichen Leben spielt, variieren kann.

Mit anderen Worten: im Regelfall überwiegen die Grundrechte auf Datenschutz und auf Schutz des Privatlebens das vom EuGH etwas despektierlich so genannte "Interesse der Internetnutzer" an der Information. Diese Wortwahl ist bemerkenswert: denn immerhin hat der Generalanwalt ganz besonders auch die Bedeutung der nach Art 11 der Grundrechtecharta geschützten Freiheit der Meinungsäußerung und Informationsfreiheit betont - und zwar sowohl das Recht (nicht bloß das "Interesse"!) der Internetnutzer, im Internet verfügbare Informationen zu suchen und zu empfangen ebenso wie Recht der Webseitenurheber, Inhalte ins Internet zu stellen. Im gesamten Urteil des EuGH kommt eine ausdrückliche Abwägung mit den nach Art 11 GRC geschützten Freiheiten nicht vor, lediglich implizit durch die Bezugnahme auf Ausnahmefälle ("besonders gelagerte Fälle"), in denen es um public figures geht. Das Urteil erweckt den Eindruck, als erkenne der Gericht ein - sehr deutsch wirkendes - Supergrundrecht auf Datenschutz und Schutz des Privatlebens an, dem lediglich diffuse Informationsinteressen von Internetnutzern gegenüberstehen. Das Ergebnis: Datenschutz geht dem Funktionieren des Internets, wie wir es bisher gewohnt sind (oder waren), jedenfalls vor.

Der Suchmaschinenbetreiber wird auch zur ersten Anlaufstelle der Betroffenen, die den Zugang zu im Internet verfügbaren Informationen über sie beschränken wollen, denn das Urteil des EuGH ermöglicht es einer Datenschutz-Kontrollstelle, dem Suchmaschinenbetreiber die Entfernung von Links aufzutragen, ohne dass zuvor oder zugleich auch gegen den verlinkten Content vorgegangen würde:

82   Nach der Beurteilung der Anwendungsvoraussetzungen von Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46, die die Kontrollstelle oder das zuständige Gericht vorzunehmen haben, wenn sie mit einem Antrag wie dem des Ausgangsverfahrens befasst werden, können sie den Suchmaschinenbetreiber anweisen, aus der Liste mit den Ergebnissen einer anhand des Namens einer Person durchgeführten Suche Links zu von Dritten veröffentlichten Seiten mit Informationen über diese Person zu entfernen, ohne dass eine solche Anordnung voraussetzt, dass der Name und die Informationen vorher oder gleichzeitig vom Herausgeber der Internetseite, auf der sie veröffentlicht worden sind, freiwillig oder auf Anordnung der Kontrollstelle oder des Gerichts von dieser Seite entfernt werden.

Interessant ist dabei noch, dass der EuGH anerkennt, dass für die ursprüngliche Veröffentlichung auf einer Website allenfalls Ausnahmen von der Richtlinie gelten, insbesondere dass die Datenverarbeitung dort allenfalls allein zu journalistischen Zwecken erfolgen kann, was bei einem Suchmaschinenbetreiber nicht der Fall sei (RNr 84). Auch sonst sei der Rechtfertigungsgrund nach Art 7 lit f der RL 95/46 nicht unbedingt derselbe bzw führe die Abwägung nicht unbedingt zum selben Ergebnis, je nach dem ob es sich um eine Suchmaschine oder eine sonstige Website handle.

Man kann den Richterinnen und Richtern des EuGH nicht vorwerfen, Sinn und Funktionsweise von Suchmaschinen nicht verstanden zu haben - aber es entsteht doch der Eindruck, dass sie sich mit diesem Zeug sichtlich unwohl fühlen:

87   Die Aufnahme einer Internetseite und der darin über eine Person enthaltenen Informationen in die Liste mit den Ergebnissen einer anhand des Namens der betreffenden Person durchgeführten Suche kann die Zugänglichkeit der Informationen für Internetnutzer, die eine Suche zu der Person durchführen, nämlich erheblich erleichtern und eine entscheidende Rolle bei der Verbreitung der Informationen spielen. Sie kann mithin einen stärkeren Eingriff in das Grundrecht auf Achtung des Privatlebens der betroffenen Person darstellen als die Veröffentlichung durch den Herausgeber der Internetseite.

Recht auf Vergessen
In RNr 93 des Urteils hält der EuGH fest, dass "auch eine ursprünglich rechtmäßige Verarbeitung sachlich richtiger Daten im Laufe der Zeit nicht mehr den Bestimmungen der Richtlinie entsprechen kann, wenn die Daten für die Zwecke, für die sie erhoben oder verarbeitet worden sind, nicht mehr erforderlich sind. Das ist insbesondere der Fall, wenn sie diesen Zwecken in Anbetracht der verstrichenen Zeit nicht entsprechen, dafür nicht oder nicht mehr erheblich sind oder darüber hinausgehen."

94   Wird somit auf einen Antrag der betroffenen Person gemäß Art. 12 Buchst. b der Richtlinie 95/46 festgestellt, dass die Einbeziehung von Links zu von Dritten rechtmäßig veröffentlichten Internetseiten, die wahrheitsgemäße Informationen zu ihrer Person enthalten, in die Ergebnisliste, die im Anschluss an eine anhand ihres Namens durchgeführte Suche angezeigt wird, zum gegenwärtigen Zeitpunkt nicht mit Art. 6 Abs. 1 Buchst. c bis e der Richtlinie vereinbar ist, weil sich herausstellt, dass die Informationen in Anbetracht aller Umstände des Einzelfalls den Zwecken der in Rede stehenden Verarbeitung durch den Suchmaschinenbetreiber nicht entsprechen, dafür nicht oder nicht mehr erheblich sind oder darüber hinausgehen, müssen die betreffenden Informationen und Links der Ergebnisliste gelöscht werden.

Der EuGH hält fest, dass das Recht einer Person, dass eine Information über sie zum gegenwärtigen Zeitpunkt nicht mehr durch eine Ergebnisliste, die im Anschluss an eine anhand ihres Namens durchgeführte Suche angezeigt wird, mit ihrem Namen in Verbindung gebracht wird, auch nicht voraussetzt, dass der betroffenen Person durch die Einbeziehung der betreffenden Information in die Ergebnisliste ein Schaden entsteht (RNr 96). Dann heißt es im Urteil wörtlich:

97   Da die betroffene Person in Anbetracht ihrer Grundrechte aus den Art. 7 und 8 der Charta verlangen kann, dass die betreffende Information der breiten Öffentlichkeit nicht mehr durch Einbeziehung in eine derartige Ergebnisliste zur Verfügung gestellt wird, ist, wie sich insbesondere aus Rn. 81 des vorliegenden Urteils ergibt, davon auszugehen, dass diese Rechte grundsätzlich nicht nur gegenüber dem wirtschaftlichen Interesse des Suchmaschinenbetreibers, sondern auch gegenüber dem Interesse der breiten Öffentlichkeit daran, die Information bei einer anhand des Namens der betroffenen Person durchgeführten Suche zu finden, überwiegen. Dies wäre jedoch nicht der Fall, wenn sich aus besonderen Gründen – wie der Rolle der betreffenden Person im öffentlichen Leben – ergeben sollte, dass der Eingriff in die Grundrechte dieser Person durch das überwiegende Interesse der breiten Öffentlichkeit daran, über die Einbeziehung in eine derartige Ergebnisliste Zugang zu der betreffenden Information zu haben, gerechtfertigt ist.

Wie bereits weiter oben ist auch hier von den Grundrechten der betroffenen Person nach Art 7 und 8 GRC einerseits und den entgegenstehenden (bloßen) "Interessen" andererseits die Rede, hier "der breiten Öffentlichkeit" auf Information und dem wirtschaftlichen Interesse des Suchmaschinenbetreibers. Man hätte freilich, wie der Generalanwalt, auch die Grundrechtspositionen der anderen Seite - Art 11 GRC (Freiheit der Meinnugsäußerung und Informationsfreiheit) und Art 16 GRC (Unternehmerische Freiheit) - ansprechen können.

Löschung auch aus dem Online-Archiv der Tageszeitung?
Interessant sind auch die Auswirkungen für den konkreten Fall: der EuGH legt dem nationalen Gericht nahe, Google die Löschung des strittigen Links (zum Onlinearchiv einer Tageszeitung, in der die Versteigerungsanzeige enthalten ist) anzuordnen, weil davon auszugehen ist, "dass die betroffene Person wegen der Sensibilität der in diesen Anzeigen enthaltenen Informationen für ihr Privatleben und weil die ursprüngliche Veröffentlichung der Anzeigen 16 Jahre zurückliegt, ein Recht darauf hat, dass diese Informationen nicht mehr durch eine solche Ergebnisliste mit ihrem Namen verknüpft werden. Da im vorliegenden Fall offenbar keine besonderen Gründe vorliegen, die ein überwiegendes Interesse der Öffentlichkeit daran rechtfertigten, im Rahmen einer Suche anhand des Namens der betroffenen Person Zugang zu den genannten Informationen zu erhalten – was zu prüfen jedoch Sache des vorlegenden Gerichts ist –, kann die Person nach Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46 die Entfernung der Links aus der Ergebnisliste verlangen."

Eine ketzerische Frage dazwischen: dürfte der Betroffene von Google auch verlangen, dass bei der Suche nach seiner Person ein Link auf dieses Urteil des EuGH aus den Ergebnislisten genommen wird (der Name des Betroffenen wurde vom EuGH nicht anonymisiert)? Immerhin erfährt man aus dem Urteil ja, dass der Betroffene vor 16 Jahren von einer Zwangsversteigerung betroffen war, was als solches wohl kein beonderes öffentliches Interesse rechtfertigen kann.

Zur Entfernung aus dem Online-Archiv enthält das Urteil keinen Hinweis, man muss aber wohl - jedenfalls nach der Rechtsprechung des EGMR (26.07.2013, Węgrzynowski und Smolczewski, im Blog dazu hier) - davon ausgehen, dass diese "Neuschreibung der Geschichte" nicht erforderlich ist (EGMR: "the legitimate interest of the public in access to the public Internet archives of the press is protected under Article 10 of the Convention."). Das würde bedeuten, dass das Online-Archiv der Zeitung bestehen bleiben könnte, der Link darauf aber rechtswidrig wäre und zu entfernen ist - und dann wohl zB auch der Link auf die Veröffentlichung im Online-Archiv der Zeitung, den ich in meinem ersten Post zu diesem Fall eingefügt hatte (ich werde diesen Link jetzt sicherheitshalber vom Netz nehmen ; Update 20.05.2014: ich habe es mir doch anders überlegt - der Betroffene ist ja jetzt auch so etwas wie eine public figure und ich hatte bewusst auch schon in den vorigen Posts seinen Namen gar nicht ausgeschrieben, also lasse ich auch den Link).

Aufgrund des Zugangs des EuGH, Datenschutz als Supergrundrecht zu sehen (siehe auch im Vorratsdaten-Urteil, in dem von der "besonderen Bedeutung des Schutzes personenbezogener Daten für das Grundrecht auf Achtung des Privatlebens" die Rede ist), bin ich mir aber gar nicht mehr so sicher, dass der EuGH hier mit dem EGMR auf einer Linie liegt: denn auch für das Online-Archiv der Tageszeitung könnte man keine besonderen Gründe mehr erkennen, die ein Zugänglichbleiben der ursprünglichen Versteigerungsanzeige erfordern würden. Zudem kommt hier auch nicht die Ausnahme für journalistische Tätigkeit zum Tragen, da es sich um eine entgeltliche Anzeige handelte, nicht um einen journalistischen Text.

Erster Schritt zum Ende der Online-Archive
Nimmt man den EuGH ernst, ist wohl die Entwertung der Online-Archive der nächste logische Schritt: denn was macht man etwa mit der Suchfunktion in Online-Unternehmensdatenbanken, mit der Veröffentlichungen in Insolvenzverfahren gefunden werden können? Oder, ganz konkret für Österreich, mit dem "Firmenmonitor" der Wiener Zeitung, in dem problemlos 15 Jahre zurückreichende Löschungen von Firmen wegen Vermögenslosigkeit abgerufen werden können, zB unter Eingabe der Namen der Geschäftsführer? Da in diesem Fall wohl die Löschung aus den Suchergebnissen auf Wunsch möglich sein muss, kann man sich jedenfalls nicht mehr auf eine Vollständigkeit der Suchergebnisse verlassen. Die Wirkungen des Urteils beschränken sich daher auch nicht bloß auf klassische Suchmaschinen wie Google oder bing.

Bowdlerisierung*) des Internets und Förderung privater Zensur
Generalanwalt Jääskinen warnte in seinen Schlussanträgen davor, dass das Recht des Internetnutzers auf Informationen beeinträchtigt wird, wenn bei seiner Suche nach Informationen über eine natürliche Person Ergebnisse angezeigt werden, die die einschlägigen Webseiten nicht in ihrer wahren Form wiedergeben, sondern in einer "Bowdler"-Version*). Der EuGH schlägt diese Warnung in den Wind und ermöglicht genau das, was Generalanwalt Jääskinen befürchtete: eine Bereinigung von Suchmaschinenergebnissen, und zwar nicht nur um Links zu Seiten, die rechtswidrige Inhalte enthalten, sondern auch zu - etwa journalistischen - Seiten, die (noch) rechtmäßig im Netz stehen.

Weil dem wenig hinzuzufügen ist, zitiere ich hier noch den weiterem Appell aus den Schlussanträgen des Generalanwalts, den der EuGH ebenfalls nicht erhört hat (Hervorhebung hinzugefügt, Fußnoten weggelassen):

133. Angesichts der besonders komplexen und schwierigen Grundrechtskonstellation im vorliegenden Fall lässt es sich nicht rechtfertigen, die nach Maßgabe der Richtlinie bestehende Rechtsstellung der betroffenen Personen zu verstärken und um ein Recht auf Vergessenwerden zu ergänzen. Andernfalls würden entscheidende Rechte wie die Freiheit der Meinungsäußerung und die Informationsfreiheit geopfert. Ich möchte dem Gerichtshof auch abraten, in seinem Urteil zu dem Ergebnis zu gelangen, dass diese einander widerstreitenden Interessen im jeweiligen Einzelfall auf zufriedenstellende Weise in ein Gleichgewicht gebracht werden können und dass die Entscheidung dem Internetsuchmaschinen-Diensteanbieter überlassen bleibt. Derartige Verfahren zur Meldung und Entfernung, sollte der Gerichtshof sie vorschreiben, werden wahrscheinlich entweder zu einer automatischen Löschung von Links zu beanstandeten Inhalten oder zu einer von den beliebtesten und wichtigsten Internetsuchmaschinen-Diensteanbietern nicht zu bewältigenden Anzahl von entsprechenden Anträgen führen. [...]
134. Vor allem sollten die Internetsuchmaschinen-Diensteanbieter nicht mit einer solchen Pflicht belastet werden. Es käme zu einem Eingriff in die Freiheit der Meinungsäußerung des Webseitenurhebers, der in einem solchen Fall ohne angemessenen Rechtsschutz bliebe, da ein ungeregeltes Verfahren zur Meldung und Entfernung eine privatrechtliche Angelegenheit zwischen der betroffenen Person und dem Suchmaschinen-Diensteanbieter wäre. Dies liefe auf eine Zensur der vom Urheber veröffentlichten Inhalte durch einen Privaten hinaus. Auf einem ganz anderen Blatt steht hingegen, dass den Staaten die Handlungspflicht obliegt, gegen einen das Recht auf Privatleben verletzenden Verleger einen wirksamen Rechtsbehelf vorzusehen, der im Kontext des Internets gegen den Webseitenurheber gerichtet wäre.

Zu der von Generalanwalt Jääskinen befürchteten "privaten Zensur" äußert sich der EuGH gar nicht. Das Urteil spricht zwar explizit nur die Kontrollstellen an, die eine Entfernung von Links anordnen können, aber die Begründung baut darauf auf, dass es um Fälle geht, in denen iSd Art 7 lit f der RL 95/46 die Verarbeitung der Daten unzulässig ist, dh dass man als Betroffener zunächst vom Suchmaschinenbetreiber die Entfernung aus der Ergebnisliste verlangen kann. Das führt natürlich dazu, dass im Zweifel der Suchmaschinenbetreiber eher mehr als weniger aus seinem Index entfernt, zumal der EuGH lediglich von entgegenstehenden "Interessen" der Internetnutzer gesprochen hat, aber nicht klarstellt, dass diese gegenüber dem Suchmaschinenbetreiber - wie im Fall der Netzsperren (EuGH-Urteil UPC Telekabel Wien, im Blog dazu hier) gegenüber dem Provider - das Grundrecht auf Informationsfreiheit geltend machen könnten.

Ein Boom für das "Ego-Googeln" und für Papierarchive
Es ist nicht schwer vorauszusehen, dass sich Google in Kürze einer Lawine von Löschungsanträgen gegenübersehen wird, und viele, die irgendetwas Peinliches gerne vergessen lassen möchten (und wer möchte das nicht?), sich primär an den Suchmaschinenbetreiber wenden werden, ohne den Informationen im Web kaum gefunden werden. Besonders spannend ist das natürlich für Personen, die sich erst anschicken, zur "public figure" zu werden: wer sich etwa Hoffnung auf eine politische Karriere macht, tut gut daran, sich noch vor den ersten Kandidaturen umfassend zu googeln und jede noch so belanglose Information möglichst entfernen zu lassen. Ist man dann einmal zur "public figure" geworden, werden auch die politischen Gegner solche Sachen kaum mehr finden, denn es ist ja nicht zu erwarten, dass Google einmal entfernte Dinge wieder in den Index aufnimmt. Das Urteil ist damit jedenfalls auch ein Boost für Papierarchive und Internetausdrucker - gerade für Journalisten, die ja weitgehend frei von Datenschutzbeschränkungen Daten sammeln können, heißt es damit wohl immer öfter, alle halbwegs - vielleicht auch erst in Zukunft - interessanten Informationen sofort lokal speichern oder ausdrucken, wer weiß ob man sie wieder findet.

Zu ersten Reaktionen auf das Urteil
Ich war etwas überrascht von den ersten politischen Reaktionen auf das EuGH-Urteil, die es geradezu euphorisch begrüßt haben (zB Lunacek [Grüne], Weidenholzer/Regner [SPÖ]). Soweit ich das sehe, gilt die Zustimmung vor allem dem - übrigens auch vom Generalanwalt so gesehenen - Grundsatz, dass Google dem europäischen Datenschutzrecht unterliegt. Das ist zweifellos richtig und zu begrüßen; die weiteren Folgen des Urteils, insbesondere im Zusammenhang mit dem Grundrecht auf Informationsfreiheit, erfordern meines Erachtens aber eine deutlich differenziertere Betrachtung.

UPDATE 25.01.2015: Der vorlegende nationale Gerichtshof, die Audiencia Nacional, hat nun im fortgesetzten Verfahren das Urteil gefällt; er kommt - wenig überraschend - zum Ergebnis, dass Mario Costeja González berechtigt ist, die Entfernung der Information über die Immobilienversteigerung wegen rückständiger Sozialversicherungsbeiträge aus den Suchergebnissen zu seinen Namen zu verlangen:

"En consecuencia, [M. Consteja González] tiene derecho a que la información sobre a una subasta de inmuebles relacionada con un embargo derivado de deudas a la seguridad social ya no esté vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de sus datos personales."

---
*) In einer Fußnote zu den Schlussanträgen wird das so erklärt: "Thomas Bowdler (1754–1825) gab eine entschärfte Fassung der Werke von William Shakespeare heraus, die er für die Frauen und Kinder des 19. Jahrhunderts geeigneter als das Original hielt."

------
PS: Kritische Besprechungen des Urteils auch von Niko Härting (Einfach löschen ist auch bequem, LTO), Viola Lachenmann (Recht auf Vergessen bei Suchmaschinen: EuGH-Urteil billigt Zensur durch Datenschutzrecht), Carlo Piltz (Das Google-Urteil des EuGH – übers Ziel hinaus geschossen? delegedata.de), Thomas Stadler (Die Haftung von Google und das Recht auf Vergessenwerden im Internet), Peter Noorlander (Google Spain: ECJ has straightjacketed the librarian; Law, Justice and Journalism), Adrian Schneider (EuGH: Suchmaschinen und Datenschutz, Telemedicus), Steve Peers (The CJEU's Google Spain judgment: failing to balance privacy and freedom of expression, EU Law Analysis); eher neutral Jef Ausloos (European Court Rules against Google, in Favour of Right to be Forgotten, LSE Media Policy Project) und Lorna Woods (News: Google v Spain, landmark ECJ decision in relation to freedom of expression and the right to be forgotten, Inforrm's Blog), zustimmend Cornelius Renner (EuGH: Doch ein Recht auf Vergessen im Internet? LOH Rechtsanwälte). Siehe auch den Artikel von Erich Möchel (EuGH-Urteil trifft US-Internetkonzerne, fm4.orf.at).

Update (14.05.-29.06.2014): weitere Blogbeiträge von

• Thomas Stadler, Wer gegen Netzsperren ist, muss auch das EuGH-Urteil zu Löschpflichten von Google ablehnen (internet-law.de, 13.05.2013)
• Klaus Graf, EuGH-Datenschutzwahn: Recht auf Vergessen erschwert die Arbeit der Archive (Archivalia, 13.05.2014)
• Udo Vetter, Recht auf Vergessen (lawblog.de, 13.05.204)
• Jonathan Zittrain, Is the EU compelling Google to become about.me? (Future Of The Internet, 13.05.2014)
• Orla Lynskey, Rising Like A Phoenix: The 'Right To Be Forgotten' Before the ECJ (European Law Blog, 13.05.2014)
• Daniel Solove, What Google Must Forget: The EU Ruling on the Right to Be Forgotten (13.05.2014)
• Melody Patry, Are search engines the ultimate arbiters of information? (Index on Censorship, 14.05.204)
• Niko Härting, Can a Search Engine be “Private by Default”? (CR online, 14.05.2014)
• Stephan Dirks, Recht auf „Vergessen werden“: Die Wahrheit als Datenschutzproblem (socialmediarecht.de, 14.05.2014)
• Fergal Crehan, Google Spain, What It Means and What It Doesn’t. (14.05.2014)
• Jan Moenikes, EuGH: Datenschutz sticht Informationsfreiheit? (14.05.2014)
• Matthias C. Kettemann, Der EuGH, Google und das Vergessen: Was sagt das Urteil wirklich? (14.05.2014; unter dem Titel Ein Recht auf ein bisschen Vergessenwerden auch auf JuWiss)
• Steve Peers, Towards a Web 3.0? The impact of the Google Spain judgment on social networks and Wikipedia (EU Law Analysis, 14.05.2014)
• Annemarie Bridy, Google Spain and the “Right to Be Forgotten” (Freedom to Tinker, 14.05.2014)
• Maximilian Steinbeis, Google – nur just another Grundrechtsträger? (Verfassungsblog.de, 14.05.2014)
• Gabrielle Guillemen, A right to be forgotten? EU Court sets worrying precedent for free speech (article19.org, 14.05.2014)
• Leonhard Dobusch, Kommentar zum EuGH-Urteil: Zuviel des Guten – Privatisierte Rechtsdurchsetzung auf dem Vormarsch (netzpolitik.org, 14.05.2014)
• Paul Bernal, It’s not the end of the world as we know it…. (14.05.2014)
• Mason Hayes & Curran Technology Law Blog, Google and the “Right to be Forgotten” - What the Court Said and Why it Matters (15.05.2014)
• Phil Lee, ;ECJ affirms individuals’ right to be forgotten (FFW Privacy and Information Law Blog, 15.05.2014)
• Julia Powles, What we can salvage from 'right to be forgotten' ruling (wired.co.uk, 15.05.2014)
• David Erdos, Mind the gap: is data protection catching up with Google Search? (opendemocracy.net, 15.05.2014)
• Steve Peers, Google Spain and the EU’s data protection Directive (Inforrm's Blog, 16.05.2014)
• Guy Vassall-Adams, Case comment: Google Spain SL, Google Inc v Agencia Espanola de Proteccion de Datos, Mario Costeja González (eutopialaw.com, 16.05.2014; unter verändertem Titel nochmals auf Inforrm's Blog, 21.05.2014)
• Rigo Wenning, The ECJ is right, the result is wrong (Gastbeitrag auf internet-recht.de, 16.05.2014)
• Paul Bernal, The Right to be Forgotten: Neither Triumph Nor Disaster? (16.05.2014)
• Daithí Mac Síthigh, Right to be forgotten ruling highlights global reach of EU law (The Conversation, 16.05.2014)
• Shane McNamee, Europe and The Right to Be Forgotten: A Memorable Victory for Privacy or Defeat for Free Speech? (theundisciplined.com, 17.05.2014)
• Andreas Krisch, Eine Suchmaschine ist eine Suchmaschine und kein Archiv (18.05.2014)
• Daniel Floran, Google vs. Europa: Richter als Maschinenstürmer (18.05.2014)
• Andrés Guadamuz, You have the right to be forgotten (Technollama, 19.05.2014)
• Charles J. Glasser Jr., We Are All Google. Or Are We? (Legal Solutions Blog, 19.05.2014)
• Oliver García, Hat sich der EuGH mit seinem Google-Urteil selbst abgeschossen? (De legibus Blog, 19.05.2014)
• Thomas Stadler, Vorrang des Datenschutzes vor Meinungs- und Informationsfreiheit (netzpolitik.org, 20.05.2014)
• Christopher Kuhner, The Court of Justice of EU’s Judgment on the “Right to be Forgotten”: An International Perspective (EJIL, 20.05.2014)
• David Smith (Deputy Commissioner and Director of Data Protection, Information Commissioner's Office, UK), Four things we’ve learned from the EU Google judgment (20.05.2014).
• Neil Cameron, The 'right to be forgotten' case - Google right this time, ECJ hopelessly wrong (Legal Week, 22.05.2014)
• Daniel Solove, Is the Right to Be Forgotten Good or Bad? This Is the Wrong Question (22.05.2014)
• Google Spain: freedom of expression and the right to be forgotten (Diskussionsbericht, City University London, 22.05.2014)
• Ashley Hurst, How far does the “right to be forgotten” extend? (25.05.2014, Inforrm's Blog; ein Auszug aus einer Serie von Beiträgen auf der Website von Olswang; auch als pdf aller Artikel verfügbar)
• Dan Tench, Judgment in Google Spain: How will Google respond? (Inforrm's Blog, 28.05.2014)
• Amberhawk, Press and Google misrepresent European Court’s Google judgement (29.05.2014)
• Alvar Freude, Das Recht auf private Suchmaschinenzensur am Beispiel von Bettina Wulff (30.05.2014)
• Martin Husovec, Should We Centralize the Right to be Forgotten Clearing House? (Hut'ko's Technology Blog, 30.05.2014)
• Maximilian Steinbeis, Was hilft mir das Recht auf Vergessen, wenn ich nicht für mich sein kann? (Verfassungsblog, 31.05.2014)
• Sebastian Kraska, Google-Urteil des EuGH: Datenschutz und Informationsfreiheit (Datenschutz-Blog, 02.06.2014)
• Raffaele Zallone, Google and the Spanish Effect (mediaLAWS, 03.06.2014)
• Chris Punder, If Google remembers whom it has forgotten, has it complied with the ECJ Judgment? (Inforrm's Blog 04.06.2014)
• Marco Leone, Lost in interpretation: la sentenza Google e la legge applicabile (medieLAWS, 05.06.2014; italienisch)
• Anna Schimke, Hintergründe und Probleme des Rechts auf Vergessenwerden (JuWiss 06.06.2014)
• Christopher Kuner, EU and US data privacy rights: six degrees of separation (Concurring Opinions, 09.06.2014)
• Ashley Hurst, Does Google Spain drive a coach and horses through the safe harbour defences? (Inforrm's Blog, 19.06.2014)
• 
  
• Eine sehr übersichtliche Zusammenstellung (englischsprachiger) akademischer Blogposts zu diesem Urteil findet sich auf cambridge-code.org, zusammengestellt von Julia Powles.

Siehe auch diesen Artikel im Atlantic (hier wird vor allem Jeffrey Rosen zitiert, der dem Recht auf Vergessenwerde kritisch gegenübersteht) und als Gegenstimme den Kommentar von "Delete"-Autor Viktor Mayer-Schönberger im Guardian. Weitere Medienkommentare von Jonathan Zittrain, Don’t Force Google to ‘Forget’ (New York Times Op-Ed, 14.05.2014), John Naugthon (Google privacy ruling is just the thin end of a censorship wedge; The Observer, 17.05.2014), Ordering Google to Forget (Editorial der New York Times, nicht namentlich gezeichnet, 13.05.2014). Auch die OSZE Repräsentantin für die Freiheit der Medien hat sich mit einer Aussendung zu Wort gemeldet: The ‘right to be forgotten’ and its possible implications for investigative journalism and media freedom. (16.05.2014).

Ingrid Brodnig hat mich zu diesem Urteil für den Falter interviewt; das Interview ist nun auf ihrem Blog veröffentlicht.
Google hat mittlerweile ein Formular für zum Beantragen von Link-Löschungen bereitgestellt.

Und zu zwei rechtswissenschaftlichen Veröffentlichungen vor dem Urteil, die sich mit dieser Problematik befassen siehe B. Van Alsenoy, A. Kuczerawy and J. Ausloos, Search engines after Google Spain: internet@liberty or privacy@peril? (SSRN. 06.09.2013) und Meg Leta Ambrose / Jef Ausloos, The Right to Be Forgotten Across the Pond (PDF) (Journal of Information Policy, Vol 3 (2013)

Update 15.11.2014: hier noch eine weitere Liste von Blogbeiträgen und sonstigen Online-Veröffentlichungen zum Google Spain Urteil:

• Aryeh Neier, What’s Wrong with Erasing Information from the Web? (OSF, 03.06.2014)
• David Jordan, Should the BBC unpublish any of its online content? About the BBC Blog, 17.06.2014)
• Paul de Hert / Vagelis Papakonstantinou, How the European Google Decision May Have Nothing To Do With a Right to Be Forgotten, (privacy perspectives, 19.06.2014)
• Barbara Wimmer, Kein "allgemeiner Löschanspruch" bei Google (Bericht über ein Mediengespräch der Anwaltskanzlei Lansky, Ganzger und Partner, futurezone, 24.06.2014)
• „Das Urteil wird das Internet nachhaltig verändern“; Interview mit Thomas Hoeren (medienpolitik 25.06.2014)
• WSJ, Google Starts Removing Search Results Under Europe's 'Right to be Forgotten' (26.06.2014)
• Jon Baines, Google is not a library, Dr Cavoukian (Information Rights and Wrongs, 27.06.2014)
• Christopher Kuner, A “Super-right” to Data Protection? The Irish Facebook Case and the Future of EU Data Transfer Regulation (Inforrm's Blog. 28.06.2014)
• Jan Malinowski, Right to be forgotten? No excuse for censorship or for less public scrutiny (neurope.eu, 29.06.2014)
• James Ball (Guardian), EU's right to be forgotten: Guardian articles have been hidden by Google (Guardian 02.07.2014)
• Robert Peston, Why has Google cast me into oblivion? (BBC, 02.07.2014)
• James Ball, EU's right to be forgotten: Guardian articles have been hidden by Google (Guardian, 02.07.2014)
• Carlo Piltz, Recht auf Vergessen – Warum Google nicht überreagiert (de lege data, 04.07.2014)
• FAZ, Kampfansage an die Pressefreiheit (05.07.2014)
• Dave Mitchell, The right to be forgotten will turn the internet into a work of fiction (Guardian, 06.07.2014)
• Nathaniel Mott, Google’s ‘right to be forgotten’ rule puts publishers in a lose-lose situation (pando daily, 07.07.2014)
• Danny O'Brien / Jillian York, Rights That Are Being Forgotten: Google, the ECJ, and Free Expression (EFF, 08.07.2014)
• Raegan MacDonald, Three things you should know about the Google Spain case (access blog, 10.07.2014)
• Amberhawk, A “right to be forgotten” procedure for Google; it appears to have difficulty in developing one (10.07.2014)
• Robin Hopkins, Some results may have been removed under data protection law in Europe. Learn more (Inforrm's Blog, 16.07.2014)
• Andrea Caristi, Diritto all’Oblio e Google. Un primo bilancio (medialaws.eu, 17.07.2014, in italienischer Sprache)
• The Right to be Forgotten: Don't Forget the Rule of Law! (La Quadrature Du Net, 17.07.2014)
• Jason Webber, A right to be remembered (UK Web Archive blog, 21.07.2014 - Reaktion der British Library auf das Google-Urteil)
• Sascha Lobo, Die Mensch-Maschine: Datensouveränität statt verordneter Vergesslichkeit (Spiegel Online, 06.08.2014)
• Information Commissioner's Office blog, Update on our response to the European Google judgment (07.08.2014)
• Simon Hurtz, Das Google-Urteil in der Schweiz (Medienwoche, 08.08.2014)
• Tobias Schwarz, Das "Recht auf Vergessen" gefährdet die Pressefreiheit (netzpiloten.de, 22.07.2014)
• Julia Powles / Luciano Floridi, A manifesto for the future of the 'right to be forgotten' debate (Guardian, 22.07.2014)
• Babak Siavoshy, What’s ailing the right to be forgotten (and some thoughts on how to fix it) (Concurring Opinions, 27.07.2014)
• Joerg Heidrich, Google nach dem EuGH-Urteil: Privatgericht mit eingeschränktem Entscheidungsspielraum (irights.info, 30.07.2014)
• (UK) House of Lords, EU Committee, EU Data Protection law: a ‘right to be forgotten’? (30.07.2014), dazu Pressemitteilung mit weiteren Links ("'Right to be forgotten' is misguided in principle and unworkable in practice, say Lords")
• Dale Lately, Right to be forgotten? Most of us are still trying to be remembered (Guardian, 30.07.2014) "While some seek to erase their online record the rest of us languish on the long tail – heard, seen and read by almost nobody"
• Google-Antwort auf die Fragen der Art 29-Arbeitsgruppe (31.07.2014); dazu zB: Sam Schechner, Google Says It Has the Right to Notify Publishers of ‘Forgotten’ Requests (WSJ, 31.07.2014), Andreas Wilkens, "Recht auf Vergessen": Google verteidigt Benachrichtigungen nach Link-Löschungen (heise.de, 01.08.2014)
• Kirsten Fiedler, Die 5 Irrtümer zum Recht auf Vergessenwerden (netzpolitik.org, 11.08.2014) und dazu: Rigo Wenning, Eine Replik auf den Beitrag “Die 5 Irrtümer zum Recht auf Vergessenwerden” bei netzpolitik.org (Gastbeitrag auf internet-law.de, 12.08.2014)
• RiBVerfG Masing: Vorläufige Einschätzung der „Google-Entscheidung“ des EuGH (Verfassungsblog.de, 14.08.2014); englische Zusammenfassung dazu von Monika Ermert auf Internet Policy Review (15.08.2014); siehe dazu auch die bereits vor der Veröffentlcihung des Beitrags von Masing geführte Diskussion: irights.info, Verfassungsrichter Masing: EuGH droht, „liberale Linien des Äußerungsrechts zu unterlaufen“ (31.07.2014); Till Kreutzer, Löschansprüche: Das Problem zuerst dort angehen, wo es entsteht und Thorsten Feldmann, Ansgar Koreng und Carlo Piltz, Ein gordischer Knoten aus Datenschutz und Meinungsfreiheit
• Joris Van Hoboken, Case Note, CJEU 13 May 2014, C-131/12 (Google Spain) (SSRN, 15.08.2014)
• Brendan Van Alsenoy / Marieke Koekkoek, The Territorial Reach of the EU’s “Right To Be Forgotten”: Think Locally, but Act Globally? (EJIL Talk, 14.08.2014; auch auf European Law Blog, 18.08.2014)
• Martine Reicherts, The right to be forgotten and the EU data protection reform: Why we must see through a distorted debate and adopt strong new rules soon (Rede der neuen Justizkommissarin, 18.08.2014)
• Edwin Lane, Google removes 12 BBC News links in 'right to be forgotten' (BBC, 19.08.2014)
• Sebastian Huempfer, Getting Google to forget you is harder than it seems (Free Speech Debate, 21.08.2014)
• Scott D. Goss, Data Protection Law Errors in Google Spain LS, Google Inc. v. Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez (futureofprivacy.org, 05.09.2014)
• Jon Baines, Dancing to the beat of the Google drum (Information Rights and Wrongs, 13.09.2014)
• La Quadrature du Net and Reporters Without Borders, Recommendations on the right to be forgotten
• Daniel Hürlimann, Das Google-Urteil des EuGH und die Entfernungspflicht von Suchmaschinen nach schweizerischem Recht (sui-generis.ch)
• Pressemitteilung der Art 29-Datenschutz-Arbeitsgruppe vom 18.09.2014 (zu deren Beratungen über das Google Spain-Urteil des EuGH); siehe dazu auch: Loek Essers, Right-to-be-forgotten 'dashboard' to help EU's data protection authorities (Computerworld, 18.09.2014)
• Robert Lee Bolton III, The Right to Be Forgotten: Forced Amnesia in a Technological Age (SSRN, 15.10.2014)
• Article 19's Response to Google's Advisory Council (16.10.2010)
• Andrés Guadamuz, On the right to be forgotten and the right to remember (Technollama, 24.10.2014)
• Google Advisory Council Meetings (Sept/Oct 2014): Berlin, London, Rom, Warschau, Paris, Madrid, Brüssel
• European privacy requests for search removals, Google Transparency Report (25.10.2014)
• hidden from Google: A list of links affected by the "Right to be Forgotten" ruling in the EU

Die DG Justice der EU-Kommission bemüht sich mit sogenannten "factsheets", ihr Verständnis des EuGH-Urteils zu kommunizieren, insbesondere auch im Hinblick auf die Verhandlungen zur Datenschutz-Grundverordnung (das ist insofern bemerkenswert, als die Kommission im Verfahren vor dem EuGH sich gerade gegen die schließlich vom EuGH eingenommene Position zum "de-listing" ausgesprochen hatte; meines Erachtens deutet das auf ziemlich massive Meinungsdifferenzen innerhalb der Kommission hin; die für die Datenschutz-Grundverordnung zuständige DG-Justice versucht nun aus dem EuGH-Urteil Spin für die Umsetzung ihres Legislativvorhabens zu gewinnen:

• Factsheet on the "Right to be Forgotten" ruling (C-131/12)
• Myth-Busting - The Court of Justice of the EU and the "Right to be Forgotten"

Fälle in den Niederlanden, Italien und Frankreich:
Ein nationales Urteil in einem vergleichbaren Fall, in dem auf das EuGH-Urteil Google Spain Bezug genommen wird, wurde von einem Amsterdamer Gericht am 18.09.2014 getroffen:

• Urteil des Rechtbank Amsterdam vom 18.09.2014, ECLI:NL:RBAMS:2014:6118, Google Netherlands und Google Inc.; dazu Vicky Breemen (IRIS 2014-10:1/25)
• Breaking: Dutch Court decides on right to be forgotten (Considerati, 19.09.2014), mit Link zum Urteil
• Joran Spauwen / Jens van den Brink, Dutch Google Spain ruling: More Freedom of Speech, Less Right To Be Forgotten For Criminals (Inforrm's Blog, 27.09.2014)

Zum italienischen Fall:

• Francesca Petronio / Marilena Hyeraci, Italian data privacy law: the recent decision on Google (lexology, 16.09.2014

Zu einem Fall in Frankreich

• Owen Bowcott, Kim Willsher, Google’s French arm faces daily €1,000 fines over links to defamatory article (Guardian 13.11.2014) und Droit à l’oubli : Google condamné par la justice française (La Croix, 25.09.2014)
• Amélie Blocman, Google wird dazu verurteilt, Links zu diffamierenden Artikeln zu entfernen (IRIS 2014-9:1/16)