VfGH zur Vorratsdatenspeicherung - Ein altes deutsches, aber neues österreichisches (Grund-)Recht: die informationelle Selbstbestimmung

Der Verfassungsgerichtshof hat gestern die schriftliche Ausfertigung seines Erkenntnisses zur Vorratsdatenspeicherung (VfGH 27.06.2014, G 47/2012, G 59/2012, G 62/2012,
G 70/2012, G 71/2012) im Volltext veröffentlicht. Das Erkenntnis war - mit den Grundzügen der Begründung - bereits am 27.06.2014 mündlich verkündet worden (dazu im Blog hier), insoferne waren von der schriftlichen Ausfertigung keine größeren Überraschungen zu erwarten.

Hier stelle ich nur eine Übersicht der tragenden Entscheidungsgründe zusammen, für eine vertiefende Analyse (oder einen kurzen Blogpost!) fehlt mir leider derzeit die Zeit (besonders Interessierte kann ich aber darauf verweisen, dass ich das Erkenntnis am 15.10.2014, 17 Uhr, im Holoubek/Lienbacher-Judikaturseminar an der Wirtschaftsuniversität Wien besprechen werde). Ich zitiere also in der Folge großflächig aus dem Erkenntnis, die Hervorhebungen stammen aber von mir. Kurzes Fazit vorweg: juristisch interessant ist einerseits die Herleitung der Zulässigkeit der Individualanträge, andererseits die fast versteckte erstmalige Anerkennung des - in Deutschland seit mehr als drei Jahrzehnten auch so genannten - Rechts auf informationelle Selbstbestimmung.

Zur Zulässigkeit, oder: außergewöhnliche Maßnahmen fordern außergewöhnliche Rechtsprechung?

Kärntner Landesregierung fasste Anfechtungsumfang zu eng
Der Antrag der Kärntner Landesregierung wurde als unzulässig zurückgewiesen, weil nur Bestimmungen des TKG 2003 angefochten wurden, "nicht aber jene Bestimmungen in der StPO und im SPG, die die 'Beauskunftung' der Vorratsdaten regeln." Damit wurden "nicht alle Bestimmungen angefochten, die für die Beurteilung der allfälligen Verfassungswidrigkeit der Regelungen über die Vorratsdatenspeicherung eine untrennbare Einheit bilden." (RNr 107)

Individualanträge
Hinsichtlich der beiden Individualantragsteller grenzt der VfGH die Situation bei der Vorratsdatenspeicherung von jener ab, die er bei der Anfechtung des § 53 Abs 3a SPG vorgefunden hatte. Diese Bestimmung regelt die Auskunftspflicht der Betreiber von Telekommunikationsdiensten gegenüber Sicherheitsbehörden, ua betreffend IP-Adressen, und der VfGH hatte mit Beschluss vom 01.07.2009, G 147/08, VfSlg 18.831/2009, Individualanträge mangels unmittelbarer und aktueller Betroffenheit der Antragsteller zurückgewiesen. Erst wenn die Sicherheitsbehörden die Ermächtigung des § 53 Abs 3a SPG in Anspruch nähmen, könnte dies "unter Umständen zu einer Beeinträchtigung der Rechtssphäre der Antragsteller führen", hieß es im damaligen Bechluss (überdies verwies der VfGH damals auch auf die Antragsrechte nach dem DSG und den "kommissarischen Rechtsschutz durch den Rechtsschutzbeauftragten"). Anders sei die Situation bei der Vorratsdatenspeicherung, bei der die notwendige unmittelbare Betroffenheit der Telefon- und Internetnutzer vorliege und ein Umweg über andere Verfahren nicht zumutbar sei:

- unmittelbare Betroffenheit: Endkunde als Adressat des § 102a TKG 203

Nach Ansicht der Bundesregierung sei Adressat des § 102a TKG 2003 nicht ein "Endkunde" wie der Zweitantragsteller. Er sei daher von dieser Bestimmung nicht rechtlich betroffen. Dem ist entgegenzuhalten, dass sich die angefochtene Bestimmung des § 102a TKG 2003 auf Grund ihrer sprachlichen Fassung – wie die Bundesregierung in ihren Äußerungen betont – zwar lediglich an "Anbieter von öffentlichen Kommunikationsdiensten", "Anbieter von Internet-Zugangsdiensten", "Anbieter öffentlicher Telefondienste einschließlich Internet-Telefondiensten" und "Anbieter von E-Mail-Diensten" richtet. Sie ist jedoch ihrem Inhalt und Zweck nach von einer solchen Wirkung auf den Zweitantragsteller als "Benutzer" (vgl. § 92 Abs. 3 Z 2 TKG 2003) von öffentlichen Kommunikationsdiensten, dass damit nicht nur dessen tatsächliche Situation berührt wird, sondern auch in die – insbesondere auch durch die verfassungsgesetzlich gewährleisteten Rechte aus Art. 8 EMRK und § 1 DSG 2000 geprägte – Rechtssphäre des Zweitantragstellers eingegriffen wird. Der Zweitantragsteller ist daher jedenfalls dem Zweck und Inhalt dieser angefochtenen Bestimmung nach als Normadressat anzusehen (vgl. VfSlg. 13.038/1992, 13.558/1993, 19.349/2011). [RNr 114]

- Umwegszumutbarkeit

Die Verpflichtung und Ermächtigung zur Speicherung trifft den Zweitantragsteller unmittelbar in seiner Rechtssphäre, ohne dass es noch eines konkretisierenden Rechtsaktes bedürfte oder ein solcher vorgesehen wäre. Anders als in Fällen, in denen beispielsweise staatliche Einrichtungen durch die Rechtsordnung ermächtigt werden, bestimmte Maßnahmen zu ergreifen, die unter Umständen und erst im Fall ihrer Inanspruchnahme zu einer Beeinträchtigung der Rechtssphäre Rechtsunterworfener führen (vgl. zB VfSlg. 18.831/2009), liegen im vorliegenden Fall jene Umstände, die in die Rechtssphäre eingreifen, schon durch die andauernde Speicherverpflichtung und deren Befolgung vor. [RNr 116]
Unter den Umständen des vorliegenden Falles kann der Verfassungsgerichtshof nicht finden, dass dem Zweitantragsteller ein zumutbarer anderer Weg zur Verfügung stünde, um die durch die behauptete Rechtswidrigkeit der angefochtenen Bestimmungen bewirkte Rechtsverletzung wirksam abzuwehren: [RNr 117]

- "außergewöhnliche, besondere Umstände"
Die Möglichkeit, Feststellungsbescheide oder Entscheidungen der ordentlichen Gerichte nach dem DSG 2000 zu erwirken, sind - so der VfGH weiter - nicht geeignet, eine zumutbare Alternative zur Stellung eines Individualantrags aufzuzeigen. Der VfGH sieht ausdrücklich keinen Grund, von der Rechtsprechung zum SPG - wonach das Auskunfts- und Löschungsrecht nach dem DSG im dort entschiedenen Fall ein zumutbarer Umweg war - abzugehen (RNr 120), hält diesen Umweg aber im konkreten Fall der Vorratsdatenspeicherung aber für nicht zumutbar:

[Der Zweitantragsteller muss] jedenfalls davon ausgehen [...], dass bestimmte, ihn betreffende Daten [...] zum Zweck der "Ermittlung, Feststellung und Verfolgung von Straftaten, deren Schwere eine Anordnung nach § 135 Abs. 2a StPO rechtfertigt" – gespeichert wurden und werden. In § 102a Abs. 1 TKG 2003 wird festgelegt, dass diese Daten nicht nur in Ausnahmefällen und betreffend einen bestimmten, eingeschränkten Personenkreis zu speichern sind [...]. [RNr 121]
Es trifft zu, dass sich der Zweitantragsteller mit einem Auskunftsbegehren nach § 26 DSG 2000 oder einem Löschungsbegehren nach § 27 DSG 2000 an jene Anbieter von öffentlichen Kommunikationsdiensten richten hätte können, hinsichtlich derer er weiß, dass sie Daten über ihn speichern. In weiterer Folge hätte er die Reaktionen der Anbieter im Rechtsweg entsprechend bekämpfen können. Auch wenn der Zweitantragsteller theoretisch unmittelbar (Art. 144 B-VG) oder mittelbar (Art. 89 Abs. 2 zweiter Satz, Art. 140 Abs. 1 Z 1 lit. a B-VG) seine Bedenken ob der Verfassungsmäßigkeit der in Rede stehenden Bestimmungen an den Verfassungsgerichtshof herantragen könnte, so bestehen im vorliegenden Fall außergewöhnliche, besondere Umstände, die den Zweitantragsteller davon entbinden, diesen Weg zu beschreiten: [...] [RNr 122]
Die besonderen und außergewöhnlichen Umstände sind folgende: Durch die Verpflichtung zur Speicherung nach § 102a TKG 2003 und die Auskunftserteilung nach den § 135 Abs. 2a StPO sowie § 53 SPG liegt ein großer Kreis an Daten vor, die entweder bei den Anbietern von öffentlichen Kommunikationsdiensten oder (nach Erteilung von Auskünften) bei den Sicherheits- oder Strafverfolgungsbehörden gespeichert sind. Die Speicherungsverpflichtung trifft im Übrigen nicht nur jene Anbieter, mit denen der Zweitantragsteller Verträge hatte oder hat, sondern auch die Anbieter der "Kommunikationspartner" des Zweitantragstellers, dh. jener Personen, mit denen der Zweitantragsteller zB telefonierte oder denen er E-Mails sandte [...]. Der Zweitantragsteller ist mit einer kaum überblickbaren Anzahl an Anbietern konfrontiert, die über ihn auf Grund des § 102a TKG 2003 Daten gespeichert haben könnten. Es ist praktisch nicht möglich, zu eruieren, welcher Anbieter welche Daten in welchen Zeiträumen auf Grund des § 102a TKG 2003 gespeichert hat oder speichert. [RNr 124]

Die mehrfache Betonung der "Besonderheiten der Vorratsdatenspeicherung" lässt erkennen, dass dem VfGH sehr daran gelegen ist, nicht den Eindruck entstehen zu lassen, dass die sonst strenge Prüfung der Zulässigkeit von Individualanträgen allenfalls in Hinkunft generell etwas lockerer gesehen werden könnte.

In der Sache

Maßstab § 1 DSG und Art 8 EMRK
Wie schon im Vorlagebeschluss angedeutet, betont der VfGH in seinem Erkenntnis, dass die innerstaatliche Verfassungsrechtslage nach § 1 Abs 2 DSG 2000 über Art 8 Abs 2 EMRK (und Art 7 GRC) hinausgeht (RNr 140 und RNr 147-149). Diese nationale Rechtslage ist, da die RL über die Vorratsspeicherung von Daten für ungültig erklärt wurde, "wieder uneingeschränkt Maßstab im Gesetzesprüfungsverfahren". (RNr 141). Daran ändert auch Art 15 Abs 1 zweiter Satz RL 2002/58/EG (mehr zu dieser Bestimmung im Blog hier) nichts (RNr 143).

Durchführung des Unionsrechts
Der VfGH zieht auch Art 7 und 8 der Grundrechtecharta (GRC) als Maßstab im Gesetzesprüfungsverfahren in Betracht. Die Voraussetzung dafür - dass die nationalen Regeln in Durchführung des Unionsrechts ergangen sind, ist schon deshalb erfüllt, "weil sie im Anwendungsbereich der RL 2002/58/EG und namentlich ihres Art. 15 Abs. 1 erlassen wurden" (RNr 144). Letztlich bleibt es aber beim Maßstab des § 1 DSG 2000 und Art 8 EMRK, weil das DSG strengere Anforderungen an die Verhältnismäßigkeit des Eingriffs festlegt als Art 7 und 8 GRC (RNr 149).

Schranken für gesetzliche Beschränkungen des Grundrechts auf Datenschutz

Gesetzliche Beschränkungen des Grundrechts auf Datenschutz müssen in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit ihnen verfolgten Ziele verhältnismäßig sein (vgl. auch Art. 8 iVm Art. 52 Abs. 1 GRC und EuGH, Digital Rights Ireland und Seitlinger ua., Rz 38, 47, 69 sowie EGMR 4.12.2008 [GK], Fall S. und Marper, Appl. 30.562/04, EuGRZ 2009, 299 [Z 101]). Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen (§ 1 Abs. 2 zweiter Satz DSG 2000). [RNr 157]
Auch im Fall nach Art. 8 Abs. 2 EMRK zulässiger Beschränkungen darf gemäß dem letzten Satz des § 1 Abs. 2 DSG 2000 der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. [...] [RNr 158]
Bei den nach § 102a TKG 2003 zu speichernden und nach § 135 Abs. 2a StPO und § 53 Abs. 3a Z 3 sowie § 53 Abs. 3b SPG zu beauskunftenden Daten handelt es sich um personenbezogene Daten iSd § 1 Abs. 1 DSG 2000. [...] Im Hinblick vor allem auf die auch von den Antragstellern angeführten Möglichkeiten der Verknüpfung mit anderen Informationen [...] besteht an den betroffenen Daten jedenfalls ein schutzwürdiges Geheimhaltungsinteresse iSd § 1 Abs. 1 DSG 2000. [...][RNr 159]
Der Umstand, dass die Speicherung durch Anbieter öffentlicher Kommunikationsdienste – also durch Private – erfolgt, die durch § 102a TKG 2003 zur Speicherung verpflichtet werden, ändert nichts am Vorliegen eines Eingriffs in § 1 DSG 2000 und Art. 8 EMRK durch den Gesetzgeber. [...] [RNr 161]

Rechtfertigung des Eingriffs?
Auch der VfGH anerkennt die Möglichkeit, dass Regelungen zur Vorratsdatenspeicherung - "die wie die angefochtenen einen gravierenden Grundrechtseingriff bilden" - zur Bekämpfung schwerer Kriminalität zulässig sein können, allerdings nur, sofern sie mit den strengen Anforderungen des § 1 DSG 2000 und Art. 8 EMRK im Einklang stehen. Ob ein solcher Eingriff zulässig ist, hängt
- von der Ausgestaltung der Bedingungen der Speicherung von Daten auf Vorrat,
- den Anforderungen an deren Löschung sowie
- von den gesetzlichen Sicherungen bei der Ausgestaltung der Möglichkeiten des (behördlichen und privaten) Zugriffs auf diese Daten ab.
Die angefochtenen Vorschriften des TKG 2003, der StPO und des SPG erfüllen diese Anforderungen nicht (RNr 164).

Legitime Ziele - abstrakte Eignung

Die Vorschriften betreffend die Vorratsdatenspeicherung einschließlich der Bestimmungen über die Erteilung von Auskünften über Vorratsdaten in der StPO und im SPG dienen der Erreichung von in Art. 8 Abs. 2 EMRK genannten Zielen, nämlich insbesondere der Aufrechterhaltung der öffentlichen Ruhe und Ordnung und dem Schutz der Rechte und Freiheiten anderer. Auch konnte der Gesetzgeber im Rahmen seines Beurteilungsspielraums vertretbarerweise davon ausgehen, dass Regelungen über eine Vorratsdatenspeicherung zur Erreichung dieser Ziele abstrakt geeignet sind [...]. [RNr 165]

Verhältnismäßigkeitsprüfung
Die Schwere des Eingriffs darf aber nicht das Gewicht und die Bedeutung der mit der Vorratsdatenspeicherung verfolgten Ziele übersteigen (RNr 166). Programmatisch formuliert der VfGH dazu in RNr 167 des Urteils:

Ausgangspunkt der Beurteilung der Verhältnismäßigkeit der Vorratsdatenspeicherung ist die Einsicht, dass das Grundrecht auf Datenschutz in einer demokratischen Gesellschaft – in der hier bedeutsamen Schutzrichtung – auf die Ermöglichung und Sicherung vertraulicher Kommunikation zwischen den Menschen gerichtet ist. Der Einzelne und seine freie Persönlichkeitsentfaltung sind nicht nur auf die öffentliche, sondern auch auf die vertrauliche Kommunikation in der Gemeinschaft angewiesen; die Freiheit als Anspruch des Individuums und als Zustand einer Gesellschaft wird bestimmt von der Qualität der Informationsbeziehungen (vgl. Berka, Das Grundrecht auf Datenschutz im Spannungsfeld zwischen Freiheit und Sicherheit, 18. ÖJT, 2012, Band I/1, 22).

Ein altes deutsches, aber neues österreichisches (Grund-)Recht: die informationelle Selbstbestimmung
Im Zusammenhang mit der Verhältnismäßigkeitsprüfung bringt der VfGH eher en passant erstmals in seiner Rechtsprechung auch ein (Grund?)Recht in Stellung, das aus der Rechtsprechung des deutschen Bundesverfassungsgerichts bekannt ist: das Recht auf informationelle Selbstbestimmung (vom BVerfG im Volkszählungsurteil aus dem Jahr 1983 anerkannt). In RNr 168 heißt es:

Bedeutung und Gewicht der mit der Vorratsdatenspeicherung verfolgten Ziele [...] sind erheblich. Doch auch wenn die Regelung [...] einem wichtigen öffentlichen Interesse dient [...], ist es angesichts der "Streubreite" des Eingriffs [...], des Kreises und der Art der betroffenen Daten (siehe unten 2.3.14.5) und der daraus folgenden Schwere des Eingriffs in das Recht auf informationelle Selbstbestimmung (es kann auf Daten zugegriffen werden, welche im Falle ihrer Verknüpfung nicht nur die Erstellung von Bewegungsprofilen ermöglichen, sondern auch Rückschluss auf private Vorlieben und den Bekanntenkreis einer Person zulassen [...]) erforderlich, dass der Gesetzgeber durch geeignete Regelungen sicherstellt, dass diese Daten nur bei Vorliegen eines vergleichbar gewichtigen öffentlichen Interesses im Einzelfall für Strafverfolgungsbehörden zugänglich gemacht werden und dies einer richterlichen Kontrolle unterliegt.

Etwas kryptisch wird dann die Weiterentwicklung der Technologie angesprochen: es sei "zu berücksichtigen, dass staatliches Handeln durch die rasche Verbreitung der Nutzung 'neuer' Kommunikationstechnologien [...] in den vergangenen zwei Jahrzehnten in vielerlei Hinsicht [...] vor besondere Herausforderungen gestellt wurde und wird. [...] Dabei ist zu berücksichtigen, dass die Erweiterung der technischen Möglichkeiten auch dazu führt, dass den Gefahren, die diese Erweiterung für die Freiheit des Menschen in sich birgt, in einer dieser Bedrohung adäquaten Weise entgegengetreten werden muss" (RNr 168). Den Bedrohungen durch neue Technologien, so würde ich das lesen, muss also nicht mit Papier und Bleistift begegnet werden, sondern durchaus auch durch Einsatz moderner Technologien - etwa durch Zugriff auf Kommunikationsdaten, wenn auch unter den vom VfGH benannten Einschränkungen.

StPO-Regelung zu undifferenziert - im Einzelfall muss gravierende Bedrohung vorliegen
Der VfGH würde das Abstellen auf ein bestimmte (Mindest-)Strafdrohung akzeptieren, der Gesetzgeber müsste allerdings darüber hinaus sicherstellen, "dass die Schwere der Straftat – die durch die jeweilige Strafdrohung zum Ausdruck kommt – im Einzelfall den Eingriff in verfassungsgesetzlich gewährleistete Rechte jener Personen rechtfertigt, die durch die Beauskunftung 'ihrer' Vorratsdaten betroffen sind. Insofern ist der von § 135 Abs. 2a iVm § 135 Abs. 2 Z 2 bis 4 StPO umfasste Kreis der Delikte zu undifferenziert und als Folge dessen zu weit gefasst. Er stellt nicht sicher, dass Auskunftsersuchen nur bei Delikten zulässig sind, für die entweder schwere Strafen drohen (zB § 207a StGB) oder für deren Aufklärung die Verwendung der auf Vorrat gespeicherten Daten wegen der Art der Tatbegehung in besonderem Maße notwendig ist (zB § 107a Abs. 1 iVm Abs. 2 Z 2 StGB)." (RNr 171)

Der VfGH spricht damit eine Differenzierung zwischen "kommunikationsspezifischer" Kriminalität (etwa Stalking via Telefon oder Internet - das ist der zitierte § 107a Abs 2 Z 2 StGB) und schon an sich besonders schweren Delikten an. Mit anderen Worten: wenn das Delikt via Telefon oder Internet begangen wird, könnte Speicherung und Zugriff auf Daten schon bei geringeren Strafdrohungen zulässig sein als bei Straftaten, die ohne Bezug zu solchen Kommunikationsmitteln begangen wurden. Etwas irritierend ist dabei meines Erachtens der Hinweis auf § 207a StGB (pornographische Darstellungen Minderjähriger), da dies einerseits ein Delikt ist, das nicht - wie etwa Mord - die absolut höchsten Strafdrohungen aufweist und andererseits vielfach gerade auch über elektronische Kommunikation begangen wird - aber irgendwo musste wohl signalisiert werden, dass der VfGH mit der Aufhebung der Vorratsdatenspeicherung nicht ein Vorgehen gegen Kinderpornographie verhindern wollte.

Jedenfalls reicht dem VfGH weder der Vorbehalt der gerichtlichen Bewilligung der Auskunft über Vorratsdaten, noch der Befassung des Rechtsschutzbeauftragten, da "durch § 135 Abs. 2a StPO iVm §§ 102a, 102b Abs. 1 TKG 2003 nicht gewährleistet wird, dass über Vorratsdaten nur dann Auskunft erteilt wird, wenn sie zur strafprozessualen Verfolgung und Aufklärung von Straftaten dienen, die im Einzelfall eine gravierende Bedrohung der in Art. 8 Abs. 2 EMRK genannten Ziele darstellen und die einen solchen Eingriff rechtfertigen." (RNr 172)

SPG: kein Richtervorbehalt, keine Einschränkung auf schwere Straftaten
Knapp werden die Bestimmungen des SPG abgehandelt (RNr 175-178):

Die Erteilung von Auskünften über Vorratsdaten bedarf – anders als nach der StPO – nach dem SPG keiner richterlichen Genehmigung. Die Befassung des Rechtsschutzbeauftragten gemäß § 91c Abs. 1 SPG, dem "die Prüfung der nach diesem Absatz erstatteten Meldungen" – also eine Prüfung ex post – obliegt (§ 91c Abs. 1 letzter Satz SPG), ist jedenfalls nicht ausreichend. [...] Den sicherheitspolizeilichen Befugnissen zum Zugriff auf Vorratsdaten fehlt jede auf die Schwere einer drohenden Straftat bezogene Einschränkung. [...] Damit ist den Anforderungen an die Verhältnismäßigkeit des Eingriffs in das Grundrecht auf Datenschutz durch Zugriffe nach § 53 Abs. 3a Z 3 oder § 53 Abs. 3b SPG nicht Genüge getan.

Möglichkeiten neuer Technologien rechtfertigen nicht jeden Eingriff
Hinsichtlich der nach § 102a TKG 2003 zu speichernden Daten betont der VfGH, dass die Eignung des Grundrechtseingriffs insofern abstrakt zu prüfen ist, "als sie weder einen bestimmten konkreten Prozentsatz bei der Häufigkeit der Anwendung der Rechtsvorschrift in der Praxis voraussetzt, noch eine bestimmte 'Erfolgsquote' bei der Aufklärung von Straftaten." Der VfGH prüft nicht im Detail, ob der Gesetzgeber bei jedem zu speichernden Datum davon ausgehen konnte, dass es dem ins Auge gefassten Zweck der Maßnahme wirksam diene, sondern er dreht gewissermaßen die Beweislast um: "Es steht [...] keineswegs bei allen Daten, deren Speicherung auf Vorrat und Verarbeitung § 102a TKG 2003 in Umsetzung der nicht mehr gültigen Vorratsdatenspeicherungsrichtlinie anordnet, von vornherein fest, dass ihre Speicherung verhältnismäßig ist." Ohne Überleitung folgt darauf ein weiterer Kernsatz des Erkenntnisses (RNr 180):

Die bloße Möglichkeit, neue Technologien zu zusätzlichen Überwachungsmaßnahmen zu nutzen, rechtfertigt nicht von vornherein einen Eingriff in die von § 1 DSG 2000 und Art. 8 EMRK geschützte Freiheitssphäre.

"Streubreite": nahezu alle Betroffenen geben keinen Anlass für Einschreiten

Von der durch § 102a TKG 2003 angeordneten Vorratsdatenspeicherungsverpflichtung ist [...] nahezu die gesamte Bevölkerung betroffen [...]. Wie der Verfassungsgerichtshof bereits in seinem Beschluss VfSlg. 19.702/2012 festgestellt hat, erfasst die Vorratsdatenspeicherung fast ausschließlich Personen, die keinerlei Anlass – in dem Sinne, dass sie ein Verhalten gesetzt hätten, das ein staatliches Einschreiten erfordern würde – für die Datenspeicherung gegeben haben [...]. Vielmehr nutzt der ganz überwiegende Anteil der Bevölkerung öffentliche Kommunikationsdienste zur Ausübung von Grundrechten, namentlich vor allem der Meinungsäußerungs-, Informations- und Kommunikationsfreiheit. [RNr 183]
Der Zweitantragsteller macht geltend, dass er unbescholten sei. Dies trifft auf nahezu alle von der Vorratsdatenspeicherung Betroffenen zu. Im Hinblick auf diese Mehrheit wiegt die Beschränkung des Rechts auf Geheimhaltung ihrer personenbezogenen Daten [...] besonders schwer. [RNr 184]

[I]m Falle einer Erteilung von Auskünften über Vorratsdaten im Rahmen des § 135 Abs. 2a StPO und des § 53 SPG [kann] nicht ausgeschlossen werden, dass sich aus den Vorratsdaten Schlüsse ziehen lassen, die dem Anspruch auf Geheimhaltung personenbezogener Daten, wie er durch § 1 Abs. 1 DSG 2000 gewährleistet wird, zuwiderlaufen. Hiebei sind vor allem auch die Möglichkeiten der Verknüpfung von in unterschiedlichen Zusammenhängen ermittelten Daten zu berücksichtigen (Berka, aaO, 76 und 111 f.). Als entsprechend schwer ist daher auch der Eingriff im Hinblick auf den Kreis und die Art der gespeicherten Daten zu werten. [RNr 186]

Nicht überblickbarer Kreis von Speicherungsverpflichteten - kein ausreichender Schutz vor Missbrauch
Zu bedenken ist auch, so der VfGH in RNr 187, "dass angesichts der Vielzahl der Anbieter öffentlicher Kommunikationsdienste und damit von Speicherungsverpflichteten auch ein nicht überblickbarer Kreis von Personen potentiell Zugriff auf gemäß § 102a TKG 2003 gespeicherte Daten hat." Der VfGH verweist in diesem Zusammenhang auf das Urteil des deutschen Bundesverfassungsgerichts zur deutschen Umsetzung der Vorratsdaten-RL, in der das diesbezüglich bestehende Missbrauchspotential angesprochen wurde (BVerfGE 125, 260 [S 320 {RN 212}]). Der VfGH anerkennt zwar, dass der österreichische Gesetzgeber hinsichtlich dieses Risikos Vorkehrungen getroffen hat, die über die Anforderungen der Vorratsdaten-RL hinausgehen (insbesondere die ausdrückliche Verpflichtung zur Verschlüsselung) und in § 109 TKG 2003 Strafbestimmungen vorgesehen hat, die dem Schutz vor Missbrauch dienen. Es fehlen ihm aber insbesondere Bestimmungen "die eine missbräuchliche Verwendung von Vorratsdaten durch die zur Speicherung verpflichteten Anbieter unter Strafe stellen (vgl. dagegen § 301 Abs. 3 StGB betreffend Mitteilungen über den Inhalt von Ergebnissen aus einer Auskunft über Vorratsdaten)" (RNr 187). Der VfGH hält fest,

dass (sofern keine gerichtlich strafbare Tat vorliegt) die "bloße" unbefugte Verwendung von Daten, die im Rahmen der Vorratsdatenspeicherung erfasst werden, nicht mit Verwaltungsstrafe bedroht ist, sodass insofern ein Missbrauch dieser Daten mit den Mitteln des (Verwaltungs-)Strafrechts nicht bekämpft wird. Darüber hinaus hat die mündliche Verhandlung ergeben, dass die Datenschutzkommission bzw. die Datenschutzbehörde seit Inkrafttreten der Vorschriften über die Vorratsdatenspeicherung zur Überprüfung der Einhaltung dieser Vorschriften nicht tätig geworden ist. [RNr 190]

Bereits Speicherung - nicht erst Zugriff auf Daten - ist ein Eingriff von besonderem Gewicht

Ungeachtet des Umstandes, dass der Gesetzgeber die Speicherung von Daten auf Grund des § 102a TKG 2003 zwar explizit und ausschließlich zur Ermittlung, Feststellung und Verfolgung von Straftaten, deren Schwere eine Anordnung nach § 135 Abs. 2a StPO rechtfertigt, zulässt (§ 102a Abs. 1 letzter Satz TKG 2003) und damit einen gesetzlich festgelegten Zweck schafft, liegt bereits in der Speicherung ein Eingriff von besonderem Gewicht. [RNr 191]
Dabei ist zu veranschlagen, dass für die Daten jener Betroffenen, die keinerlei Anlass zur Speicherung gegeben haben [...] das einen Teil des Grundrechts auf Datenschutz bildende Recht auf Löschung gemäß § 1 Abs. 3 DSG 2000 (vgl. zB VfSlg. 16.150/2001) für den in § 102a TKG 2003 angeordneten Zeitraum von sechs bzw. sieben Monaten (§ 102a Abs. 8 TKG 2003) nicht gegeben ist. Hinzu kommt, dass Löschungsbegehren nur hinsichtlich jener speicherungspflichtigen Anbieter gestellt werden können, von denen der Betroffene weiß, dass diese ihn betreffende Vorratsdaten gespeichert haben. [RNr 192]

Durch Aufhebung des § 135 Abs 2a StPO verliert die Speicherverpflichtung nach § 102a TKG 2003 zudem ihren gesetzlich festgelegten Zweck, was unmittelbar zur Verfassungswidrigkeit führt: "Eine Speicherung auf Vorrat ohne konkreten Zweck – sei es auch nur für einen kurzen Zeitraum – wäre [...] jedenfalls verfassungswidrig" (RNr 194).

Regeln zur Löschung unklar
Für den VfGH ist auch unklar, ob die auf Vorrat gespeicherten Daten nach Ablauf der Frist unwiderruflich zu löschen sind, was aber jedenfalls erforderlich wäre: "In Anbetracht der Schwere des Eingriffs an sich lassen die Vorschriften betreffend die Vorratsdatenspeicherung [...] Bestimmungen vermissen, die für die von der Speicherung Betroffenen und die zur Speicherung Verpflichteten klarstellen, dass mit der 'Löschung' der auf Vorrat gespeicherten Daten der Ausschluss von deren Wiederherstellbarkeit verbunden zu sein hat [...]. Eine 'Löschung' in dem Sinn, dass bloß der Zugriff auf die weiterhin existenten (und rekonstruierbaren) Daten verhindert wird, genügt den dargelegten strengen verfassungsrechtlichen Anforderungen [...] nicht." (RNr 196).

Fristbeginn bei "always on"-Diensten?
Schließlich fehlt es auch an einer klaren Regelung für den Fristenlauf bei "always on"-Diensten. Die - von der Bundesrgierung in der Verhandlung dargelegte - Möglichkeit einer "verfassungskonformen" Auslegung vermag "aber keine hinreichende gesetzliche Determinierung des Grundrechtseingriffs zu ersetzen" (RNr 198).

Fazit: nicht verhältnismäßig

Im Ergebnis sind die antragstellenden Parteien daher insoweit im Recht, als sie der Sache nach geltend machen, dass die Regelungen in ihrem Zusammenhang nicht verhältnismäßig sind: Die Beschränkungen dieses Grundrechts auf Datenschutz nach dem Gesetzesvorbehalt des § 1 Abs. 2 DSG 2000 wären nur auf Grund von Gesetzen zulässig, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind und die ausreichend präzise, also für jedermann vorhersehbar, regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist. Gesetzliche Beschränkungen des Grundrechts auf Datenschutz müssen das gelindeste Mittel zur Zielerreichung bilden und in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit ihnen verfolgten Ziele verhältnismäßig sein.
Diese Anforderungen erfüllen die Regelungen betreffend die Vorratsdatenspeicherung in ihrer Zusammenschau (§ 135 Abs. 2a StPO iVm § 102a TKG 2003, § 53 Abs. 3a Z 3 SPG iVm § 102a TKG 2003, § 53 Abs. 3b SPG iVm § 102a TKG 2003) aus den angeführten Gründen nicht. [RNr 199]

VfGH zum Fernmeldegeheimnis: polizeiliche Ermittlung der IP-Adresse zu bekannter Nachricht ist ohne richterliche Genehmigung zulässig

Der Verfassungsgerichtshof hat mit seinem heute bekanntgegebenen Erkenntnis vom 29.06.2012, B 1031/11, erstmals zur Reichweite des Fernmeldegeheimnisses nach Art 10a StGG im Internet Stellung genommen.

Anlassfall war eine Beschwerde gegen einen Bescheid der Datenschutzkommission. Der Beschwerdeführer hatte sich im Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten beschwert gefühlt, weil die Bundespolizeidirektion Wien "Verkehrsdaten des Internetverkehrs, nämlich die ihm zugewiesene IP-Adresse, ohne richterlichen Beschluss ermittelt" hatte. Das Vorgehen der Bundespolizeidirektion stützte sich auf § 53 Abs 3a SPG (in der Fassung BGBl I 2007/114), wonach die Sicherheitsbehörden berechtigt sind, von Betreibern öffentlicher Telekommunikationsdienste (§ 92 Abs 3 Z 1 TKG 2003) und sonstigen Diensteanbietern (§ 3 Z 2 ECG) unter anderem Auskunft über "Namen und Anschrift eines Benutzers, dem eine IP-Adresse zu einem bestimmten Zeitpunkt zugewiesen war", zu verlangen, wenn bestimmte Tatsachen die Annahme einer konkreten Gefahrensituation rechtfertigen. Eine solche Situation lag vor, da der Beschwerdeführer in einem unter Nickname geführten Chat den Eindruck erweckt hatte, er wäre bereit, "im zeitlichen Konnex" sexuelle Handlungen mit Unmündigen ("7-11jährige, oder wenn gewünscht auch jünger") zu vermitteln. Die Polizei war darüber vom Chatpartner in Kenntnis gesetzt worden und konnte die beteiligten Provider zunächst die (dynamische) IP-Adresse, von der die Nachricht versandt worden war, und mit dieser dann auch die Stammdaten dess Beschwerdeführers ermitteln.

Die Datenschutzkommission wies die Beschwerde ab, und auch mit der dagegen gerichteten Beschwerde an den VfGH hatte der Beschwerdeführer nun keinen Erfolg.

Ein Eingriff in das Fernemeldegeheimnis ist nach Art 10a StGG nur "auf Grund eines richterlichen Befehles in Gemäßheit bestehender Gesetze zulässig". Eine richterliche Genehmigung ist aber nach dem klaren Gesetzeswortlaut des § 53 Abs 3a Z 2 und 3 SPG für die Auskunftserteilung auch über (dynamische) IP-Adressen und über Namen und Anschrift eines Benutzers, dem eine IP-Adresse zu einem bestimmten Zeitpunkt zugewiesen war, nicht vorgesehen. Der VfGH musste daher prüfen, ob die Nachrichten im Chatroom vom Schutzbereich des Fernmeldegeheimnisses im Sinne des Art 10a StGG erfasst sind. Er stellte dabei zunächst klar, dass Art. 10a StGG bei seiner Einfügung in das Staatsgrundgesetz im Jahr 1974 primär auf den Telegraphen‐ und Fernmeldeverkehr ausgerichtet war, der Schutz aber nicht auf Telefonate und Telegramme beschränkt ist, sondern sich nunmehr "auf alle Arten der Telekommunikation, einschließlich des Nachrichtenaustausches über das Internet" bezieht.

"Ob eine im Wege des Internets übermittelte Nachricht vom Schutzbereich des Art. 10a StGG erfasst ist, hängt also davon ab, ob es sich um eine Kommunikation handelt, die dem Telegraphen‐ und Fernmeldeverkehr entspricht. Der Nachrichtenaustausch ist daher jedenfalls dann geschützt, wenn bestimmte Teilnehmer miteinander kommunizieren wollen und die Nachricht jeweils nur für diese Teilnehmer bestimmt ist (es sich [...] also um eine sogenannte geschlossene Kommunikation – wie etwa beim E‐Mail‐Verkehr – handelt). [...]
Art. 10a StGG gewährleistet somit die Vertraulichkeit der Telekommunikation, schützt also jedenfalls den Inhalt einer auf diesem Weg weitergegebenen Nachricht, nicht aber sämtliche anderen damit zusammenhängenden Daten; Gegenstand des Fernmeldegeheimnisses sind somit alle Inhaltsdaten, nicht aber der gesamte Telekommunikationsverkehr schlechthin [...]"

Der VfGH kommt zum Schluss, dass § 53 Abs 3a Z 2 SPG den Sicherheitsbehörden die Ausforschung einer IP‐Adresse ausschließlich auf Grund einer bestimmten, ihnen (wie hier) durch Mitteilung eines Kommunikationspartners oder durch offene (jedermann zugängliche) Internetkommunikation bekannt gewordenen Nachricht erlaubt und die anhand einer solchen Nachricht unter den sonstigen Voraussetzungen des § 53 Abs 3a Z 2 und 3 SPG seitens der Sicherheitsbehörde ermittelten (Einzel‐)Daten daher nicht vom Schutzbereich des Art 10a StGG erfasst sind.

"Sobald also der Inhalt einer solchen Nachricht von den Sicherheitsbehörden aus einer offenen Kommunikation rechtmäßig ermittelt wurde oder aus einer geschlossenen Kommunikation von einem der Teilnehmer der Sicherheitsbehörde zugänglich gemacht wurde, steht sie daher nicht unter dem Schutz des Art. 10a StGG, sodass die Übermittlung der Verkehrsdaten, die in weiterer Folge die Ermittlung jener Personen, die an dem Nachrichtenverkehr teilgenommen haben, ermöglicht, nicht als Eingriff in das Fernmeldegeheimnis zu qualifizieren ist.
Die Vorschriften des § 53 Abs. 3a Z 2 und 3 SPG gestatten Sicherheitsbehörden somit von vornherein weder die geheime Überwachung des Internetverkehrs oder den Zugang zu einer Nachricht aus einem geschlossenen Internetforum noch ermächtigen sie zur vorsorglichen anlasslosen Speicherung oder zur systematischen (etwa die Erstellung von Persönlichkeitsprofilen ermöglichende) Verknüpfung von Datensträngen, unabhängig davon, ob diese Daten auch dem Schutzbereich des Art. 10a StGG unterliegen [...].
Der Sicherheitsbehörde dürfen vom Betreiber vielmehr bloß punktuelle Auskünfte erteilt werden, die keinen Rückschluss auf andere (nicht bereits bekannte) Inhalte erlauben.
Die Auskunftsverpflichtung des Betreibers setzt überdies voraus, dass dieser überhaupt (noch) über gespeicherte Daten verfügt; eine über die Speicherverpflichtungen nach dem TKG (insbesondere zu Verrechnungszwecken gemäß § 99 Abs. 2 TKG 2003) hinausgehende Pflicht zur Speicherung von Verkehrsdaten enthält § 53 Abs. 3a SPG nicht (vgl. VfSlg. 18.830/2009)."

Das Erkenntnis des VfGH steht im Ergebnis - keine Notwendigkeit eines richterlichen Befehls für die Ermittlung einer dynamischen IP-Adresse - im Einklang mit dem Urteil des Obersten Gerichtshofs vom 13.04.2011, 15 Os 172/10y, zur Sicherstellung nach § 110 Abs 1 Z 1 und Abs 4 StPO (das der VfGH allerdings, wenig überraschend, nicht erwähnt). Der Vollständigkeit halber bzw zur Vermeidung von Missverständnissen ist noch anzmerken, dass das einschlägige Erkenntnis des Verwaltungsgerichtshofes vom 27.05.2009, 2007/05/0280, zur früheren Fassung des § 53 Abs 3a SPG (vor der Novelle BGBl I 2007/114) ergangen ist und daher für die vom VfGH zu beurteilende Rechtslage nicht relevant war.

Mittlerweile ist am 01.04.2012 - im Zusammenhang mit der Vorratsdatenspeicherung - durch BGBl I 2011/33 eine weitere Änderung des § 53 Abs 3a SPG erfolgt (aktuelle Fassung). An der Grundstruktur der Auskunft (auch) über dynamische IP-Adressen zur Abwehr (näher bestimmter) konkreter Gefahren ohne richterliche Genehmigung hat sich dabei nichts geändert; ausdrücklich ergänzt wurde, dass die Auskunft, wem eine IP-Adresse zu einem bestimmten Zeitpunkt zugewiesen war, auch zu erteilen ist, wenn dazu die Verwendung von Vorratsdaten gemäß § 99 Abs. 5 Z 4 iVm § 102a TKG 2003 erforderlich ist.

Der VfGH hat im Verfahren übrigens der Innenministerin einige Fragen unter anderem zum Ablauf der Ermittlungen dynamischer IP-Adressen gestellt; die Antworten der Ministerin sind im Erkenntnis (auf den Seiten 5 bis 8) nachzulesen.
PS: dass der Beschwerdeführer "wegen Missbrauchs Angeklagter" war, wie offenbar die APA verbreitet (Standard, Krone), geht weder aus dem Erkenntnis des VfGH noch aus dem Bescheid der Datenschutzkommission hervor; dort steht nur, dass er bei der Staatsanwaltschaft zur Anzeige gebracht wurde.

Update: SPG vor VfGH / Vertragsverletzungsverfahren

In der am kommenden Montag beginnenden Herbstsession wird sich der Verfassungsgerichtshof, wie er heute in einer Presseaussendung bekanntgab, auch mit "Individualanträgen von Telekommunikationsbetreibern beschäftigen, die sich gegen Neuerungen im Sicherheitspolizeigesetz wenden." Dabei geht es um die "Kommunikationsüberwachung", die Antragsteller hätten vorgebracht, dass die neu eingeführten Regelungen (BGBl I 2007/114) aus vielen Gründen verfassungswidrig seien:

"So ergebe sich z.B. die Pflicht zur Speicherung von IP-Adressen zu einer bestimmten Nachricht (mit Zeitpunkt, Name und Anschrift), obwohl es keine Rechtsgrundlage für diese 'Vorratsdatenspeicherung' gebe. Dass die Sicherheitsbehörden Auskünfte ohne richterliche Genehmigung anfordern können, ist für die Antragsteller ebenfalls verfassungswidrig. Zahlreiche Begriffe im Gesetz (z.B. die Formulierung, dass 'bestimmte Tatsachen' eine Annahme einer Gefahrensituation rechtfertigen) seien unklar definiert. Und schließlich seien nun neue Kommunikationsüberwachungstechniken (IMSI-Catching) erlaubt, die flächendeckend in den Datenschutz völlig Unbeteiligter eingreifen würden."

Der VfGH muss zuerst entscheiden, ob die Anträge zulässig sind, erst dann kann gegebenenfalls auf den Inhalt eingegangen werden.

Das mit der fehlenden gesetzlichen Grundlage für eine Vorratsdatenspeicherung stört auch die Europäische Kommission - sie will (laut Pressemeldung, eine offizielle Aussendung habe ich jetzt nicht gefunden) daher Österreich und acht anderen Mitgliedstaaten ein "zweites Mahnschreiben" (formal: "eine mit Gründen versehene Stellungnahme") wegen bislang nicht erfolgter Umsaetzung der RL über die Vorratsspeicherung von Daten schicken. Da tatsächlich noch keinerlei Umsetzungsmaßnahmen gesetzt wurden, würde die Kommission wohl kein allzu schweres Spiel haben, wenn sie die Sache dann vor den EuGH bringen möchte (dass Österreich eine Umsetzungsmaßnahme innerhalb der nächsten zwei Monate zustandebringt, würde ich eher nicht erwarten). Spannend wird freilich, wie der EuGH über die Nichtigkeitsklage Irlands gegen die Richtlinie entscheidet. Eine erste Orientierung in der Sache kann man am 14. Oktober erwarten, wenn die Schlussanträge in diesem Verfahren (C-301/06 Irland/Rat und Parlament) gestellt werden.

In anderen Telekomsachen hat die Kommission heute ebenfalls die Einleitung oder Fortsetzung von Vertragsverletzungsverfahren (siehe auch die Übersicht hier) beschlossen:

• betreffend die Notrufnummer "112" wurde Italien gemahnt, da dort die Anrufe zur Notrufnummer "112" nicht an andere Notdienste weitergeleitet werden kann; gegen Bulgarien und Rumänien soll wegen nicht vollständiger Funktionalität der Notrufnummer "112" Klage vor dem EuGH erhoben werden, allerdings gewährt die Kommission noch gnädig eine Nachfrist von drei Monaten, bevor die Klage eingebracht werden soll (ist das eine neue Stufe des Vertragsverletzungsverfahrens - nach erstens Mahnschreiben und zweitens mit Gründen versehener Stellungnahmen dann drittens die aufschiebend beschlossene Klage?) - (Link zur Presseaussendung der Kommission)
• Spanien erhält eine mit Gründen versehene Stellungnahme betreffend die Universaldienstfinanzierung; Polen wird vor dem EuGH geklagt weil dort die Regulierungsbehörde den Breitbandmarkt regulierte, ohne vorher eine Marktanalyse vorgenommen zu haben; Zypern kommt ebenfalls vor den EuGH wegen der nicht ordnungsgemäßen Einräumung von Wegerechten betreffend Mobilfunkunternehmen (Link zur Presseaussendung)
• drei neue Vertragsverletzungsverfahren wurden eingeleitet "zur Unabhängigkeit und Effizienz der Telekom-Regulierungsbehörden in Lettland, Litauen und Schweden"; bei Lettland und Litauen, weil dort der als Regulierungsbehörde in Teilbereichen zuständige Minister gleichzeitig noch "Tätigkeiten im Zusammenhang mit Eigentum und Kontrolle ('operative Tätigkeiten') bei einigen staatlichen Telekommunikationsunternehmen" ausüben; in Schweden hat die Regulierungsbehörde aufgrund der Rechtsprechung nur eine eingeschränkte Zuständigkeit in Zusammenschaltungsstreitigkeiten zwischen Telekombetreibern (Link zur Presseaussendung).

Erste Zahlen zu Auskunftsverlangen nach § 53 Abs 3a und 3b SPG

Mit einer am 1. Jänner 2008 in Kraft getretenen Novelle zum Sicherheitspolizeigesetz (SPG) wurden die Möglichkeiten der Sicherheitsbehörden, von Betreibern öffentlicher Telekommunikationsdienste Auskünfte zu verlangen - je nach Interpretation - deutlich ausgeweitet oder bloß konkretisiert. Wie auch immer: der Beantwortung einer parlamentarischen Anfrage kann man erste Zahlen entnehmen, wie oft die Befugnisse nach § 53 Abs 3a und 3b SPG in den ersten vier Monaten dieses Jahres genutzt wurden. Demnach wurden
3.863 Auskunftsverlangen gemäß § 53 Abs 3a SPG durchgeführt (im Schnitt also etwas mehr als 32 pro Tag), und in 258 Fällen (im Schnitt 2,15 pro Tag) wurde von der Möglichkeit nach § 53 Abs 3b SPG Gebrauch gemacht, Auskunft über die Standortdaten und IMSI-Kennung zu verlangen. Die Betroffenen werden davon nicht informiert (rechtliche Grundlage dafür ist § 24 Abs 3 Z 1 DSG), der Rechtsschutzbeauftragte erfährt von den Abfragen nach spätestens vier Wochen - ob der Rechtsschutzbeauftragte vollinhaltlich prüft, ob Rechte der Betroffenen verletzt wurden, wollte der Innenminister aber den anfragenden Abgeordneten nicht sagen. Zusätzliches Personal gab es für den - nebenberuflich tätigen - Rechtsschutzbeauftragten (im Hauptberuf Generaldirektor der Bundeswettbewerbsbehörde) jedenfalls nicht.

PS: in einer anderen aktuellen Anfragebeantwortung (zu dieser Anfrage) musste Innenminister Platter auch zu eigenartigen Usancen seines Vor-Vorgängers Ernst Strasser im Hinblick auf dessen Notebooks/Laptops Stellung nehmen. Entgegen den Aussagen Strassers - falls man einem in der Zeitung Österreich erschienenen Interview mit ihm trauen soll (also wohl eher nicht) - hat Strasser demnach keine Ministeriums-Laptops benutzt, sondern ausschließlich "von ihm selbst beigebrachte". Das Ministerium ist diesbezüglich ahnungslos: "woher diese stammten, kann nicht angegeben werden", heißt es in der Anfrage. Besonders hübsch finde ich den Satz: "Ob Herr BM a.D. Dr. Strasser Kontakte zu Firmen unterhielt ist nicht bekannt."

Einiges an Aufregung über die bekannt gewordenen "rot-weiß-roten" E-Mails hätte BM a.D. Strasser vermeiden können, hätte er das vom Innenministerium herausgegebene Magazin "Öffentliche Sicherheit" aufmerksam gelesen. In der Ausgabe 11-12/2003 heißt es: "Schwachstellen bei den Sicherheitskonzepten gebe es nach Aussagen des Düsseldorfer Unternehmensberaters Ralf Sürtenich vielfach bei Notebooks" - und ein paar Absätze weiter heißt es: "'Viele Unternehmen, vor allem kleinere und mittlere, vernachlässigen leider die Sicherheit in der Informationstechnik', erläutert Innenminister Dr. Ernst Strasser. 'Wir wollen hier das Bewusstsein noch mehr schärfen, um Schäden zu vermeiden.'"

SPG-Novelle: Ein dringend notwendiges Gesetz, das gar nicht gebraucht wurde?

"Innenminister Günther Platter referierte über die Novelle zum Sicherheitspolizeigesetz, präzisierte den Inhalt des Gesetzes und meinte im Zusammenhang mit der Feststellung der Standortdaten, es habe sich bei der Telefonüberwachung nichts geändert. Für Inhaltsdaten sei eine richterliche Anordnung notwendig. Man konnte schon bisher IP-Adressen feststellen. Im Gesetz wurden keine neuen Möglichkeiten für die Exekutive geschaffen, sondern nur Konkretisierungen vorgenommen."

(Hervorhebung und Verlinkung hinzugefügt, sonst Originaltext der offiziellen Aussendung der Parlamentskorrespondenz zur Sitzung des Innenausschusses vom 24.1.2008)

Wie soll man das verstehen: Die mit ungewöhnlicher Eile - ohne Befassung des zuständigen Nationalratsausschusses - beschlossene SPG-Novelle (siehe dazu hier) wäre eigentlich gar nicht notwendig gewesen? Oder: es hat sich nichts geändert, es gibt keine neuen Möglichkeiten - aber immerhin ist die unveränderte Praxis und die Nutzung der bestehenden Möglichkeiten nun rechtlich zulässig?

Wer sich anschauen will, was Innenminister Platter als bloße "Konkretisierungen" bezeichnet, möge § 53 SPG in der Fassung vor und nach der Novelle lesen.

Multiple Choice-Überwachung

Welche Daten hätten wir denn gerne? Stamm-, Vermittlungs- oder Standortdaten? IMSI? Einfach ankreuzen, bei der nächsten Frage noch den passenden Rechtsgrund dazu ankreuzen und per Fax an den Telekombetreiber geschickt - so kann die Überwachung elektronischer Kommunikation administriert werden.

Das Nachrichtenmagazin profil hat in der aktuellen Ausgabe (nicht online verfügbar) das Faksimile eines von den Sicherheitsbehörden verwendeten Fax-Anfrageformulars abgedruckt; auf einer vom grünen Abgeordneten Peter Pilz registrierten Website, die sich der Überwachung des Innenministers widmet, ist dieses Formular zum download verfügbar. Das Bild oben links ist ein Ausschnitt daraus. Schon angesichts der sehr polizeitypischen Sprache ("Die obenangeführte Behörde ersucht um Übermittlung der unter dem Anfragegrund angeführten Daten der angefragten Teilnehmernummern ...") kann man wohl davon ausgehen, dass das Formular wirklich von den Sicherheitsbehörden stammt.

Das Formular sieht drei mögliche Rechtsgründe vor: die zwei neuen Bestimmungen im Sicherheitspolizeigesetz (§ 53 Abs 3a und § 53 Abs 3b, siehe dazu hier) und "im Dienste der Strafrechtspflege" (mit - konkret zu bezeichnender - gerichtlicher Anordnung). Ich will die Rechtsgrundlagen hier nicht kommentieren - aber die Formulargestaltung mit der Vermischung von Anfragen, die ohne richterliche Genehmigung möglich sind, und noch gravierenderen Eingriffen, die einer richterliche Anordnung bedürfen, ist jedenfalls nicht geglückt.

PS: Ich wollte zum SPG in der aktuellen Fassung verlinken - aber im Rechtsinformationssystem des Bundes ist auch knapp zwei Wochen nach dem Inkrafttreten die Aktualisierung bei der Abfrage der "geltenden Fassung" noch nicht durchgeführt worden (siehe hier den Ausdruck von heute); ich kann also auf mein voriges Post oder auf das authentische BGBl verlinken.
[PPS: Update 1.6.2008: mittlerweile ist ein entsprechender - überarbeiteter - Erlass des BMI (vom 28.1.2008) auf Grund einer parlamentarischen Anfragebeantwortung verfügbar gemacht worden.]

SPG-Novelle: bei Gefahrensituation IP-Adressen für die Polizei

Angeblich war's ja früher auch schon so, nun wird es - mit Wirkung vom 1. Jänner 2008 - jedenfalls auf eine gesetzliche Grundlage gestellt: die Weitergabe von IP-Adressen durch Provider an die Sicherheitsbehörden (ohne richterlichen Auftrag oder Genehmigung), "wenn bestimmte Tatsachen die Annahme einer konkreten Gefahrensituation rechtfertigen". Die entsprechende Novelle zum Sicherheitspolizeigesetz wurde mit BGBl I 2007/114 am 28. Dezember 2007 kundgemacht.

§ 53 Abs 3a und 3b SPG lauten demnach:

"(3a) Die Sicherheitsbehörden sind berechtigt, von Betreibern öffentlicher Telekommunikationsdienste (§ 92 Abs. 3 Z 1 Telekommunikationsgesetz 2003 - TKG 2003, BGBl. I Nr. 70) und sonstigen Diensteanbietern (§ 3 Z 2 E-Commerce-Gesetz - ECG, BGBl. I Nr. 152/2001) Auskunft zu verlangen über
1. Namen, Anschrift und Teilnehmernummer eines bestimmten Anschlusses,
2. Internetprotokolladresse (IP-Adresse) zu einer bestimmten Nachricht und den Zeitpunkt ihrer Übermittlung sowie
3. Namen und Anschrift eines Benutzers, dem eine IP-Adresse zu einem bestimmten Zeitpunkt zugewiesen war,
wenn bestimmte Tatsachen die Annahme einer konkreten Gefahrensituation rechtfertigen und sie diese Daten als wesentliche Voraussetzung für die Erfüllung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben benötigen. Die Bezeichnung eines Anschlusses nach Z 1 kann für die Erfüllung der ersten allgemeinen Hilfeleistungspflicht oder die Abwehr gefährlicher Angriffe auch durch Bezugnahme auf ein von diesem Anschluss geführtes Gespräch durch Bezeichnung eines möglichst genauen Zeitraumes und der passiven Teilnehmernummer erfolgen. Die ersuchte Stelle ist verpflichtet, die Auskunft unverzüglich und kostenlos zu erteilen.

(3b) Ist auf Grund bestimmter Tatsachen anzunehmen, dass eine gegenwärtige Gefahr für das Leben oder die Gesundheit eines Menschen besteht, sind die Sicherheitsbehörden zur Hilfeleistung oder Abwehr dieser Gefahr berechtigt, von Betreibern öffentlicher Telekommunikationsdienste Auskunft über Standortdaten und die internationale Mobilteilnehmerkennung (IMSI) der von dem gefährdeten Menschen mitgeführten Endeinrichtung zu verlangen sowie technische Mittel zu ihrer Lokalisierung zum Einsatz zu bringen. Die Sicherheitsbehörde trifft die Verantwortung für die rechtliche Zulässigkeit des Auskunftsbegehrens, dessen Dokumentation dem Betreiber unverzüglich, spätestens innerhalb von 24 Stunden nachzureichen ist. Die ersuchte Stelle ist verpflichtet, die Auskünfte unverzüglich und gegen Ersatz der Kosten nach § 7 Z 4 der Überwachungskostenverordnung – ÜKVO, BGBl. II Nr. 322/2004, zu erteilen."

Die parlamentarische Behandlung dieser Novelle war insofern ungewöhnlich, als zwar eine Regierungsvorlage (272 BlgNR 23. GP) eingebracht worden war, die Beschlussfassung im Plenum des Nationalrates aber auf Grund eines Fristsetzungsantrags ohne vorangegangene Beratung im Innenausschuss erfolgte. Dass dann in der Plenarsitzung mittels Abänderungsantrag noch wesentliche Veränderungen gegenüber der Regierungsvorlage vorgenommen wurden, hat die Skepsis der Oppositionsparteien nicht gerade verringert (zur parlametarischen Behandlung siehe die Ausendung der Parlamentskorrespondenz). In der Regierungsvorlage war nämlich insbesondere noch keine Beauskunftung von IP-Adressen und keine Offenlegung der IMSI vorgesehen gewesen.

Aus rechtstechnischer Sicht bemerkenswert ist auch, dass am selben Tag gleich zwei Novellen des Sicherheitspolizeigesetzes beschlossen wurden, die nun auch am selben Tag im BGBl kundgemacht wurden (BGBl I 2007/113 und BGBl I 2007/114). Beide Novellen treten am selben Tag - 1.1.2008 - in Kraft. Wenn ich nun nicht irgendwo noch eine dritte Änderung des SPG übersehen habe, die auch am 1.1.2008 in Kraft treten soll, dann entsteht jedenfalls eine echte "Gesetzeslücke": denn mit der Novelle BGBl I 2007/113 wird dem § 94 SPG ein Abs 22 angefügt, mit der Novelle BGBl I 2007/114 ein Abs 24 - ein Abs 23 ist nicht zu finden.