EuGH: generelle Vorratsdatenspeicherung auf nationaler Ebene mit der Datenschutzrichtlinie für elektronische Kommunikation nicht vereinbar

Der EuGH hat in seinem heutigen, in der Großen Kammer gefassten, Urteil in den verbundenen Rechtssachen C-203/15 Tele2 Sverige und C-698/15 Watson ua ausgesprochen, dass das Unionsrecht einer nationalen Regelung entgegensteht, die eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrsdaten vorsieht (Urteil, Pressemitteilung des EuGH). Es ist ein wichtiges, aber in der Sache kein überraschendes Urteil. Neu ist, dass der EuGH in einem Punkt ausdrücklich auf Bedrohungen durch terroristische Aktivitäten eingeht und für diesen Fall eine (begrenzte) Möglichkeit lässt, auf Vorratsdaten zuzugreifen.

Zur Vorgeschichte
Nachdem der EuGH mit Urteil vom 8. April 2014 die Richtlinie über die Vorratsspeicherung von Daten für ungültig erklärt hatte (zu diesem Urteil im Blog hier und hier), entstand rasch eine juristische (und mehr noch politische) Diskussion über die Möglichkeit, die auf Unionsebene beseitigte Verpflichtung zur Vorratsdatenspeicherung auf nationaler Ebene wieder einzuführen. So meinte etwa die Kommission, dass das EuGH-Urteil die Mitgliedstaaten nicht daran hindere, eine nationale Verpflichtung zur Vorratsdatenspeicherung einzuführen (in ihren FAQs zum EuGH-Urteil schrieb die Kommission: "a finding of invalidity of the Directive does not cancel the ability for Member States under the e-Privacy Directive (2002/58/EC) to oblige retention of data.").

Dass das so nicht stimmt, habe ich schon am Tag des EuGH-Urteils geschrieben (siehe diesen Beitrag im Blog); aus juristischer Sicht konnte es daran meines Erachtens auch wenig Zweifel geben, jedenfalls wenn sich die Rechtsauffassung des EuGH nicht ändern würde.

Dennoch wollten es mehrere Mitgliedstaaten darauf ankommen lassen und behielten die nationalen Regeln bei (zB Schweden) oder führten sogar neue Regeln ein (zB das Vereinigte Königreich). Wenig überraschend kam es daraufhin zu Vorabentscheidungsersuchen aus Schweden und dem UK, die der EuGH zur gemeinsamen Entscheidung verbunden hat.

(In Österreich hob der VfGH die nationalen Regelungen nach dem EuGH-Urteil auf, siehe im Blog dazu hier und hier.)

Das Urteil

- Anwendungsbereich des Unionsrechts
Das heute gefällte Urteil des EuGH stellt zunächst klar, dass Regelungen über die Vorratsdatenspeicherung in den Anwendungsbereich des Unionsrechts fallen. Maßgeblich ist dazu die Auslegung der Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58), insbesondere deren Art. 15 Abs. 1. Diese Bestimmung lautet:

Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Rechte und Pflichten gemäß Artikel 5 [Vertraulichkeit der Kommunikation], Artikel 6 [Verkehrsdaten], Artikel 8 Absätze 1, 2, 3 und 4 sowie Artikel 9 dieser Richtlinie beschränken, sofern eine solche Beschränkung gemäß Artikel 13 Absatz 1 der Richtlinie 95/46/EG für die nationale Sicherheit, (d. h. die Sicherheit des Staates), die Landesverteidigung, die öffentliche Sicherheit sowie die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder des unzulässigen Gebrauchs von elektronischen Kommunikationssystemen in einer demokratischen Gesellschaft notwendig, angemessen und verhältnismäßig ist. Zu diesem Zweck können die Mitgliedstaaten unter anderem durch Rechtsvorschriften vorsehen, dass Daten aus den in diesem Absatz aufgeführten Gründen während einer begrenzten Zeit aufbewahrt werden. Alle in diesem Absatz genannten Maßnahmen müssen den allgemeinen Grundsätzen des Gemeinschaftsrechts einschließlich den in Artikel 6 Absätze 1 und 2 des Vertrags über die Europäische Union niedergelegten Grundsätzen entsprechen.

Strittig war vor dem EuGH vor allem, ob nicht nur die Regeln über die Datenspeicherung selbst in den Anwendungsbereich des Unionsrechts fallen (da konnte man seriöserweise kaum anderer Ansicht sein), sondern auch die Regeln über den Zugriff zu diesen Daten durch die nationalen Behörden und Gerichte. Der EuGH verwies darauf, dass die Daten ja nur deshalb gespeichert werden müssen, damit die nationalen Behörden, wenn notwendig, darauf zugreifen können. Mitgliedstaatliche Regelungen, die eine Vorratsdatenspeicherung vorschreiben, setzten daher grundsätzlich auch Regelungen voraus, die den Zugang der Behörden zu den Daten betreffen.

Zur Auslegung des Art. 15 Abs. 1 der RL 2002/58:
Der EuGH verweist dazu zunächst darauf, dass mit der RL 2002/58 gewährleistet werden soll, dass die in den Artikeln 7 und 8 der Grundrechtecharta niedergelegten Rechte "uneingeschränkt geachtet werden" und dass daher ein hoher Standard des Schutzes persönlicher Daten und des Privatlebens garantiert werden soll. Dazu gibt es eben in der RL den Grundsatz der Vertraulichkeit der Kommunikation und Einschränkungen für die Verarbeitung von Verkehrs- und Standortdaten.

Zwar erlaubt Art. 15 Abs. 1 der RL 2002/58 den Mitgliedstaaten die Schaffung von Ausnahmen zum Grundsatz der Vertraulichkeit der Kommunikation, doch muss diese Ausnahmemöglichkeit eng ausgelegt werden. Art. 15 Abs. 1 erlaubt es daher nicht, dass die Ausnahme vom Grundsatz der Vertraulichkeit der Kommunikation geradezu zum Regelfall wird.

Dazu hält der EuGH fest, dass die Liste der Zwecke, zu denen eine Abweichung von den Grundsätzen der Richtlinie zulässig ist (nationale Sicherheit etc.), erschöpfend ist. Für andere als in Art. 15 Abs. 1 der RL 2002/58 ausdrücklich genannte Zwecke kann eine Vorratsdatenspeicherung nicht vorgeschrieben werden.

Weiters müssen alle nationalen Maßnahmen in diesem Bereich mit den allgemeine Grundsätzen des Unionsrechts und (nun) der Grundrechtecharta übereinstimmen und daher im Lichte der Grundrechtecharta ausgelegt werden. Bemerkenswert ist, dass der EuGH dann nicht nur die Art. 7 und 8 der Grundrechtecharta hervorhebt, sondern - deutlich mehr als im Vorratsdaten-Urteil Digital Rights Ireland und Seitlinger - auch Art. 11, die Freiheit der Meinungsäußerung; das wirkt fast wie ein Nachtrag zum Digital Rights-Urteil. In Rn 93 heißt es:

Folglich muss die Bedeutung sowohl des in Art. 7 der Charta gewährleisteten Grundrechts auf Achtung des Privatlebens als auch des in Art. 8 der Charta gewährleisteten Grundrechts auf Schutz personenbezogener Daten, wie sie sich aus der Rechtsprechung des Gerichtshofs ergibt [...], bei der Auslegung von Art. 15 Abs. 1 der Richtlinie 2002/58 berücksichtigt werden. Das Gleiche gilt in Anbetracht der besonderen Bedeutung, die der Freiheit der Meinungsäußerung in jeder demokratischen Gesellschaft zukommt, für das Recht auf freie Meinungsäußerung. Dieses in Art. 11 der Charta gewährleistete Grundrecht stellt eine der wesentlichen Grundlagen einer demokratischen und pluralistischen Gesellschaft dar, die zu den Werten gehört, auf die sich die Union nach Art. 2 EUV gründet [...].

Soweit das schwedische Recht betroffen ist, das ja der Umsetzung der (inzwischen ungültig erklärten) Vorratsdaten-RL diente, hätte sich der EuGH auch mit einem einfachen Verweis auf das Vorratsdaten-Urteil Digital Rights Ireland und Seitlinger begnügen können. In einer wohl eher didaktisch zu verstehenden Genauigkeit (oder um das heutige Urteil nicht allzu dünn aussehen zu lassen), legt er aber in der Folge doch ausführlich dar, was - wie eben im Digital Rights-Urteil schon ausgeführt - die flächendeckende undifferenzierte Vorratsdatenspeicherung mit der Grundrechtecharta (und damit mit Art. 15 Abs. 1 der RL 2002/58) unvereinbar macht.

Eine gezielte Speicherung von Verkehrs- und Standortdaten zur Bekämpfung schwerer Verbrechen kann aber (auch das ist nichts Neues, sondern geht schon aus dem Digital Rights-Urteil hervor) schon unter bestimmten Voraussetzungen zulässig sein (Rn 108):

Hingegen untersagt Art. 15 Abs. 1 der Richtlinie 2002/58 im Licht der Art. 7, 8 und 11 sowie des Art. 52 Abs. 1 der Charta einem Mitgliedstaat nicht, eine Regelung zu erlassen, die zur Bekämpfung schwerer Straftaten vorbeugend die gezielte Vorratsspeicherung von Verkehrs- und Standortdaten ermöglicht, sofern die Vorratsdatenspeicherung hinsichtlich Kategorien der zu speichernden Daten, der erfassten elektronischen Kommunikationsmittel, der betroffenen Personen und der vorgesehenen Dauer der Vorratsspeicherung auf das absolut Notwendige beschränkt ist.

Zugang zu Daten in "besonderen Situationen" im Falle terroristischer Aktivitäten
Etwas genauer wird der EuGH dann in seiner Antwort zur zweiten schwedischen (und ersten britischen) Vorlagefrage. Da die nach Art. 15 Abs. 1 der RL 2002/58 ausnahmsweise gestatteten Maßnahmen "angemessene Garantien" vorzusehen haben, müssen die nationalen Regeln jedenfalls auch die materiellen und prozessrechtlichen Bedingungen für den Zugang der Behörden zu den Daten regeln. Als allgemeine Regel, so legt der EuGH sodann unter Bezugnahme auf das Urteil des EGMR im Fall Zakharov fest, darf der Zugang nur zu den Daten von einzelnen Personen gewährt werden, die verdächtig sind, ein schweres Verbrechen geplant oder begangen zu haben, oder die in irgendeiner Weise in eine solche Straftat verwickelt waren. In besonderen Situationen, wenn etwa wichtige nationale Sicherheits- oder Verteidigungsinteressen durch terroristische Aktiväten gefährdet sind, könnte Zugang auch zu Daten anderer Personen gewährt werden, wenn es objektive Anhaltspunkte gibt, von denen abgeleitet werden kann, dass diese Daten - im konkreten Fall - einen effektiven Beitrag zur Bekämpfung dieser Aktivitäten leisten können. Diese Weiterentwicklung (oder besser: Präzisierung) der Digital Rights-Rechtsprechung ist meines Erachtens die wichtigste Neuerung des heutigen Urteils. In Rn 119 heißt es wörtlich:

Insoweit darf im Zusammenhang mit dem Zweck der Bekämpfung von Straftaten Zugang grundsätzlich nur zu den Daten von Personen gewährt werden, die im Verdacht stehen, eine schwere Straftat zu planen, zu begehen oder begangen zu haben oder auf irgendeine Weise in eine solche Straftat verwickelt zu sein (vgl. entsprechend Urteil des Europäischen Gerichtshofs für Menschenrechte vom 4. Dezember 2015, Zakharov/Russland, CE:ECHR:2015:1204JUD004714306, Rn. 260). Allerdings könnte in besonderen Situationen wie etwa solchen, in denen vitale Interessen der nationalen Sicherheit, der Landesverteidigung oder der öffentlichen Sicherheit durch terroristische Aktivitäten bedroht sind, der Zugang zu Daten anderer Personen ebenfalls gewährt werden, wenn es objektive Anhaltspunkte dafür gibt, dass diese Daten in einem konkreten Fall einen wirksamen Beitrag zur Bekämpfung solcher Aktivitäten leisten könnten.

Der Zugang muss, außer in Fällen nachweislicher Dringlichkeit, zuvor von einem Gericht oder einer unabhängigen Behörde genehmigt werden (Rn. 120). Weiters müssen die Behörden die betroffenen Personen informieren, sobald dies die Ermittlungen nicht mehr gefährdet. Die Daten müssen im Unionsgebiet gespeichert werden und schließlich müssen die Mitgliedstaaten in jedem Fall eine Überprüfung durch eine unabhängige Behörde gewährleisten.

Ging der EuGH über Art. 8 EMRK hinaus?
Dass die zweite Frage des vorlegenden britischen Gerichts eher, vorsichtig formuliert, merkwürdig war, habe ich hier schon angemerkt. Das Gericht wollte wissen, ob das EuGH-Digital Rights Ireland "den Anwendungsbereich von Art. 7 und/oder Art. 8 der Charta über den Anwendungsbereich von Art. 8 EMRK, wie er in der Rechtsprechung des EGMR festgestellt ist," hinausgeht.

Der EuGH gibt dieser Frage die passende - nämlich keine - Antwort: Aufgabe des EuGH ist es nicht, hypothetische Fragen von allenfalls akademischem Interesse zu beantworten. Die Frage wurde daher als unzulässig beurteilt: "Nach ständiger Rechtsprechung des Gerichtshofs liegt die Rechtfertigung für ein Vorabentscheidungsersuchen jedoch nicht in der Abgabe von Gutachten zu allgemeinen oder hypothetischen Fragen, sondern darin, dass das Ersuchen für die tatsächliche Entscheidung eines Rechtsstreits über das Unionsrecht erforderlich ist". (Hinsichtlich der in der Sache ähnlichen, aber etwas besser formuliert, vom VfGH in der Rechtssache Seitlinger gestellten Fragen ging der EuGH etwas diplomatischer vor: er beantwortete sie zwar nicht, wies sie aber auch nicht ausdrücklich als unzulässig zurück; siehe dazu das "PS" in diesem Blogbeitrag).

Conclusio:
Die Schlussfolgerung aus dem heutigen Urteil: dass eine Blanko-Vorratsdatenspeicherung mit der Grundrechtecharta unvereinbar ist, stellt keine Überraschung dar. Auch das heutige Urteil bedeutet aber (weiterhin) nicht, dass jegliche Vorratsdatenspeicherung unzulässig wäre. In der Zusammenschau zwischen dem Urteil in den Rechtssachen Digital Rights Ireland und Seitlinger und dem heutigen Urteil lässt sich nun wieder ein kleines Stück klarer bestimmen, welche Voraussetzungen eine zulässige Vorratsdatenspeicherung erfüllen müsste. Nach wie vor (wie bereits hier am Tag des Digital Rights-Urteils geschrieben) glaube ich, dass die Anforderungen des EuGH an eine zulässige Vorratsdatenspeicherung zwar schwer zu erfüllen sind, aber nicht schlichtwegs unerfüllbar wären.

PS/Nachtrag: zur kommenden Datenschutzverordnung für elektronische Kommunikation
Auf Twitter wurde ich gefragt, wie das mit der kommenden Datenschutzverordnung für elektronische Kommunikation aussehen wird. Diese Verordnung soll ja - wenn möglich zeitgleich mit der Datenschutz-Grundverordnung - auf Unionsebene die aktuelle Datenschutzrichtlinie für elektronische Kommunikation ablösen. Der Vorschlag der Kommission dazu ist für kommenden Jänner angekündigt; das Magazin Politico hat aber einen (erkennbar noch nicht endgültigen) Entwurf für diesen Vorschlag veröffentlicht.

Aus meiner Sicht würde dieser Entwurf, wenn er in dieser Form schließlich beschlossen würde, nichts ändern. Auch nach dem Verordnungsentwurf bleiben die Grundprinzipien der Vertraulichkeit der Kommunikation (Art. 5 des Entwurfs) und des möglichst umgehenden Löschens von Verkehrsdaten (Art. 6 und 7) bestehen; und auch nach dem Verordnungsentwurf können die Mitgliedstaaten Beschränkungen dieser Prinzipien vorsehen, allerdings wiederum nur zu Zwecken, wie sie derzeit in Art. 15 Abs. 1 der RL 2002/58 genannt sind, und in Übereinstimung mit der Grundrechtecharta, insbesondere deren Art. 7, 8, 10 und 52 (siehe im Detail Art. 11 Abs. 1 des Entwurfs).

Aber bis die Verordnung, wenn sie vom Entwurf erst einmal zum offiziellen Kommissionsvorschlag geworden ist, dann zwischen Rat und Parlament ausverhandelt ist, wird wohl noch einige Zeit vergehen. Die Kommission möchte das möglichst rasch erledigen, um den Gleichklang mit der Datenschutz-Grundverordnung zu schaffen, und hat wohl auch aus diesem Grund von allzu großen Änderungen im bewährten Rechtsbestand abgesehen.

Ich gehe aber davon aus, dass die Verfechter der Vorratsdatenspeicherung, von denen es in den Mitgliedstaaten und auch im Parlament recht viele gibt, ihre Anstrengungen nun darauf konzentrieren werden, vor dem Hintergrund aktueller Terroranschläge erweiterte Ausnahmemöglichkeiten für eine nationale Vorratsdatenspeicherung in die Verordnung hinein zu reklamieren. Da jedoch der Umgang von Kommunikationsdiensteanbietern mit ihren Verkehrs- und Standortdaten schwerlich zur Gänze aus der Verordnung herausgenommen werden kann, ist es auch kaum vorstellbar, dass nationale Regeln zur Vorratsdatenspeicherung jemals gänzlich aus dem Anwendungsbereich des Unionsrechts herausfallen könnten.

Damit bleibt es aber jedenfalls bei der Anwendbarkeit der Grundrechtecharta: nationale Regelungen werden sich weiter an den in dieser Charta verbrieften Grundrechten (in der Auslegung durch den EuGH, insbesondere im Digital Rights-Urteil) messen lassen müssen, und zwar ganz unabhängig davon, was letztlich im Verordnungstext konkret zu den möglichen nationalen Ausnahmen steht (würden hier zu weite Ausnahmen ermöglicht, würde dies auch zur Ungültigkeit dieser Bestimmungen der Verordnung führen),

Und selbst wenn man irgendwie ganz am Anwendungsbereich des Unionsrechts vorbeikäme (was eher unrealistisch ist), so bleibt man als Mitgliedstaat auch des Europarates immer noch den Bestimmungen der EMRK verpflichtet, was wieder - über Art. 8 EMRK - letztlich im Wesentlichen wohl auf das selbe hinausliefe, nämlich auf die Unzulässigkeit der anlasslosen flächendeckenden Vorratsdatenspeicherung. Das ist übrigens auch ein Szenario für das Vereinigte Königreich: auch wenn der Brexit vollzogen wird, ändert sich nichts an der völkerrechtlichen Verpflichtung des UK zur Einhaltung der EMRK.

(Zum heutigen Urteil, insbesondere auch zu den Auswirkungen auf das UK, siehe nun auch Angela Patrick auf Inforrm's Blog und - besonders ausführlich und mit einer Abschätzung der Auswirkungen auf Datenschutzfragen zwischen einem post-Brexit-UK und der EU im Allgemeinen - auch Cybermatron, "Independent Reviewer of Terrorism Legislation" und Amberhawk; update 13.01.2017: siehe nun auch Orla Lynskey auf European Law Blog).

Update 08.03.2017: mit Urteil vom 07.03.2017 hat das Stockholmer Berufungsgericht die Entscheidung der Regulierungsbehörde, mit der Tele2 zur Vorratsdatenspeicherung verpflichtet war, aufgehoben, da die nationalen Rechtsvorschriften wegen Widerspruchs zum Unionsrecht nicht anzuwenden sind (Urteil; Pressemitteilung - beides in schwedischer Sprache). 

EuGH-Generalanwalt: Vorratsdatenspeicherung kann - unter strengen Voraussetzungen - mit Unionsrecht vereinbar sein

Generalanwalt Saugmandsgaard Øe hat heute die Schlussanträge in den verbundenen Verfahren C-203/15 Tele2 Sverige AB und C-698/15 David Davis Tom Watson ua erstattet. Dabei geht es im Kern um die Vereinbarkeit nationaler Rechtsvorschriften zur Vorratsdatenspeicherung mit Art 15 Abs 1 der Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58) bzw. - in der eher ungewöhnlichen Fragestellung des Court of Appeal (England & Wales) (siehe im Blog dazu hier) - um die Auslegung des Urteils in den verbundenen Rechtssachen C-293/12 und C-594/12, Digital Rights Ireland und Seitlinger u. a. (dazu im Blog insbesondere hier und hier).

Der Generalanwalt kommt in seinen Schlussanträgen (siehe auch die Pressemitteilung des EuGH) zum Ergebnis, dass eine generelle Verpflichtung zur Vorratsspeicherung von Daten, die ein Mitgliedstaat den Betreibern elektronischer Kommunikationsdienste auferlegt, mit dem Unionsrecht vereinbar sein kann, dies allerdings nur unter strengen Voraussetzungen, deren Vorliegen vom nationalen Gericht zu prüfen sind.

Anwendungsbereich des Unionsrechts
Vorsetzung der Prüfung nach dem Unionsrecht ist freilich, dass die nationalen Regelungen überhaupt in den Anwendungsbereich des Unionsrechts (konkret der RL 2002/58 fallen). Die RL sieht in ihrem Art 1 Abs 3 vor, dass sie nicht für Tätigkeiten gilt, "die nicht in den Anwendungsbereich des Vertrags zur Gründung der Europäischen Gemeinschaft fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, und auf keinen Fall für Tätigkeiten betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Tätigkeit die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich."

Daraus wurde gelegentlich - insbesondere natürlich von nationalen Regierungen - abgeleitet, dass Vorratsdaten-Regelungen, die zu Zwecken der öffentlichen Sicherheit eingeführt werden, gar nicht in den Anwendungsbereich des Unionsrechts fielen. Diese Ansicht teilt der Generalanwalt nicht; auch unter Bezugnahme auf das erste Vorratsdaten-Urteil Irland/Parlament und Rat (im Blog dazu hier) hält er fest, dass Bestimmungen nationalen Rechts, die eine Verpflichtung zur Vorratsdatenspeicherung "ähnlich der in der Richtlinie 2006/24 vorgesehenen" einführen, nicht in den strafrechtlichen Bereich fallen. Eine "generelle Verpflichtung zur Vorratsspeicherung [wird] nicht von der Ausnahmeregelung des Art. 1 Abs. 3 der Richtlinie 2002/58 erfasst" und fällt daher in den Anwendungsbereich dieser Richtlinie (RNr 97 der Schlussanträge).

Anwendbarkeit der Grundrechtecharta
Da mit der Einführung einer Verpflichtung zur Vorratsdatenspeicherung von der Befugnis in Art 15 Abs 1 der RL 2002/58 Gebrauch gemacht wird, fällt sie auch in den Anwendungsbereich der Grundrechtecharta (die Charta gilt für die Mitgliedstaaten "bei der Durchführung des Rechts der Union"); daran ändert es auch nichts, wenn die nationalen Regelungen, die den Zugang zu den gespeicherten Daten durch Polizei- oder Justizbehörden regeln, nicht in den Anwendungsbereich der RL fallen und damit auch nicht das Unionsrecht durchführen (RNr 124). Die Problematik der Vorratsspeicherung kann aber von der Frage des Zugangs zu den Daten nicht vollständig getrennt werden. Der Generalanwalt hält fest, dass "die Bestimmungen über den Zugang von entscheidender Bedeutung für die Beurteilung der Frage [sind], ob die Bestimmungen zur Einführung einer generellen Verpflichtung zur Vorratsspeicherung [...] mit der Charta vereinbar sind. Die Bestimmungen zur Regelung des Zugangs sind insbesondere bei der Beurteilung der Erforderlichkeit und Verhältnismäßigkeit einer solchen Verpflichtung zu berücksichtigen" (RNr 125).

Generelle Regelung mit Art 15 Abs 1 der RL 2002/15 nicht unvereinbar
Der Generalanwalt bezieht sich in seinen Überlegungen zu Art 15 Abs 1 der RL 2002/58 vor allem auf den Erwägungsgrund 11 zur RL; demnach hat die RL "keine Auswirkungen auf das bestehende Gleichgewicht zwischen dem Recht des Einzelnen auf Privatsphäre und der Möglichkeit der Mitgliedstaaten, Maßnahmen nach Artikel 15 Absatz 1 dieser Richtlinie zu ergreifen, die für den Schutz der öffentlichen Sicherheit, für die Landesverteidigung, für die Sicherheit des Staates (einschließlich des wirtschaftlichen Wohls des Staates, soweit die Tätigkeiten die Sicherheit des Staates berühren) und für die Durchsetzung strafrechtlicher Bestimmungen erforderlich sind." Er leitet daraus ab, dass der Unionsgesetzgeber das Recht der Mitgliedstaaten auf Erlass solcher Maßnahmen nicht antasten, sondern bestimmten Voraussetzungen unterwerfen wollte, die sich vor allem auf den verfolgten Zweck und die Verhältnismäßigkeit der Maßnahmen beziehen. "Anders gesagt, eine generelle Verpflichtung zur Vorratsspeicherung ist mit der durch diese Richtlinie geschaffenen Regelung nicht unvereinbar, sofern sie bestimmte Voraussetzungen erfüllt." (RNr 108). Art 15 Abs 1 sei auch keine Ausnahme, die eng auszulegen sei.

Eingriff in die Grundrechte nach Art 7 und 8 Grundrechtecharta

Die Verpflichtung zur Vorratsspeicherung von Daten stellt einen schweren Eingriff in das in Art 7 GRC verankerte Recht auf Achtung der Privatsphäre und das durch 8 GRC geschützte Grundrecht auf Schutz personenbezogener Daten dar (der Generalanwalt verweist dazu auf die RNr 32 bis 37 des Urteils im Fall Digital Rights Ireland). Damit ist zu prüfen, ob die Eingriffsschranken des Art 52 Abs 1 der Grundrechtecharta eingehalten werden; zusätzlich muss der Eingriff auch die in Art 15 Abs 1 der RL 2002/58 gesetzten Voraussetzungen erfüllen. Damit bestehen sechs Voraussetzungen (RNr 132):

– Die Vorratsspeicherungspflicht muss eine gesetzliche Grundlage haben
– sie muss den Wesensgehalt der in der Charta verankerten Rechte wahren;
– sie muss einer dem Gemeinwohl dienenden Zielsetzung entsprechen;
– sie muss zur Verfolgung dieses Ziels geeignet sein;
– sie muss für die Verfolgung des genannten Ziels erforderlich sein, und
– sie muss in einer demokratischen Gesellschaft in angemessenem Verhältnis zur Verfolgung dieses Ziels stehen.

- Gesetzliche Grundlage
Zur Frage der gesetzlichen Grundlage hat der EuGH im Fall Digital Rights Ireland nicht Stellung genommen. Der Generalwalt verweist in diesem Zusammenhang auf RNr 81 des Urteils WebMindLicenses sowie die Rechtsprechung des EGMR; dem Ausdruck "gesetzlich vorgesehen" in Art 52 Abs 1 GRC muss nach Ansicht des Generalanwalts dieselbe Bedeutung beigemessen werden, wie sie dieser Ausdruck im Zusammenhang mit der EMRK hat.

Die gesetzlichen Grundlagen ("Rechtsvorschriften" im Sinne des Art 15 Abs 1 RL 2002/58) müssen zugänglich und vorhersehbar sein und einen geeigneten Schutz gegen Willkür bieten. Sie müssen daher für die nationalen Behörden verbindlich sein; unverbindliche Verwaltungsvorschriften oder interne Leitlinien reichen nicht aus. Der Begriff der "Rechtsvorschriften" nach Art 15 Abs 1 Satz 1 der RL 2002/58 schließt es nach Ansicht des Generalanwalts auch aus, "dass eine innerstaatliche, und sei es ständige, Rechtsprechung eine hinreichende gesetzliche Grundlage für die Durchführung dieser Bestimmung sein kann. Ich weise darauf hin, dass die genannte Bestimmung insoweit über die sich aus der Rechtsprechung des EGMR ergebenden Anforderungen hinausgeht" (RNr 151).

- Wesensgehalt der Grundrechte
Dazu verweist der Generalanwalt auf das Urteil im Fall Digital Rights Ireland, in dem der EuGH festgestellt hat, dass die RL über die Vorratsspeicherung von Daten den Wesensgehalt des Rechts auf Achtung des Privatlebens und der übrigen in Art. 7 der Charta verankerten Rechte nicht antastet, da sie es nicht gestattet, vom Inhalt elektronischer Kommunikation als solchem Kenntnis zu erlangen. Das ist auch auf die nationalen Regelungen der Ausgangsverfahren zu übertragen, die auch keinen Zugriff auf Inhalte der Kommunikation gestatten.

- dem Gemeinwohl dienende Zielsetzung: Bekämpfung schwerer Kriminalität (nicht für "einfache" Kriminalität)
Auch hier sind die Wertungen aus dem Urteil im Fall Digital Rights Ireland übertragbar, wo das Ziel der Bekämpfung schwerer Kriminalität als solche legitime Zielsetzung anerkannt wurde. Der Generalanwalt prüft darüber hinausgehend, ob die Verpflichtung zur Vorratsdatenspeicherung auch durch eine andere Zielsetzung gerechtfertigt werden kann. Entgegen der vom UK vertretenen Auffassung sieht der Generalanwalt allerdings in der Bekämpfung "einfacher" (im gegensatz zu "schwerer") Kriminalität keine mögliche Rechtfertigung: Das Erfordernis der Verhältnismäßigkeit in einer demokratischen Gesellschaft schließt es nach Ansicht des Generalanwalts aus, "dass die Bekämpfung einfacher Kriminalität oder der ordnungsgemäße Ablauf von nicht strafrechtlichen Verfahren eine Rechtfertigung für eine generelle Verpflichtung zur Vorratsspeicherung sein kann. Die erheblichen Gefahren, die von einer solchen Verpflichtung ausgehen, stehen nämlich außer Verhältnis zu den Vorteilen, die sie bei der Bekämpfung leichter Kriminalität oder im Kontext nicht strafrechtlicher Verfahren verschaffen würde" (RNr 172).

Geeignetheit, Erforderlichkeit und Verhältnismäßigkeit der Verpflichtung zur Vorratsdatenspeicherung sind daher im Licht des Ziels der Bekämpfung schwerer Kriminalität zu prüfen.

- Geeignetheit - "zur Entschlüsselung der Vergangenheit"
Wiederum unter Berufung auf das Urteil im Fall Digital Rights Ireland hält der Generalanwalt fest, dass die Verpflichtung zur Vorratsdatenspeicherung zur Bekämpfung schwerer Kriminalität beiträgt. Der Generalanwalt greift dabei ausdrücklich Vorbringen der französischen Regierung auf, die zu Recht geltend gemacht habe, dass die Verpflichtung zur Vorratsdatenspeicherung in gewissem Umfang den Strafverfolgungsbehörden ermögliche, die "Vergangenheit zu entschlüsseln". Die Ausführungen der französischen Regierung im Lichte der jüngeren Terroranschläge haben den Generalanwalt nicht unbeeindruckt lassen:

179. Eine gezielte Überwachungsmaßnahme ist auf Personen gerichtet, bei denen zuvor festgestellt wurde, dass sie in einem auch nur mittelbaren oder entfernten Zusammenhang mit schweren Straftaten stehen könnten. [...]
180. Dagegen erfasst eine generelle Verpflichtung zur Vorratsspeicherung alle Kommunikationsvorgänge sämtlicher Nutzer, ohne dass irgendein Bezug zu einer schweren Straftat erforderlich ist. [...] Insofern verleiht diese Verpflichtung den Strafverfolgungsbehörden die begrenzte Fähigkeit zur Entschlüsselung der Vergangenheit, indem sie ihnen Zugang zu den Kommunikationsvorgängen gewährt, die diese Personen vor ihrer Identifizierung abwickeln.
181. Mit anderen Worten, der Nutzen, den eine generelle Verpflichtung zur Vorratsspeicherung bei der Bekämpfung schwerer Kriminalität haben kann, liegt in der begrenzten Fähigkeit, die Vergangenheit mit Hilfe von Daten zu entschlüsseln, die die Kommunikationsvorgänge einer Person aus einer Zeit nachzeichnen, in der diese noch nicht im Verdacht stand, zu einer schweren Straftat in Beziehung zu stehen.
182. Bei der Vorlage des Richtlinienvorschlags, der zum Erlass der Richtlinie 2006/24 geführt hat, machte die Kommission diesen Nutzen an mehreren konkreten Beispielen deutlich, in denen insbesondere wegen Terrorismus, Mord, Entführung und Kinderpornografie ermittelt worden war.
183. Mehrere ähnliche Beispiele sind dem Gerichtshof im Rahmen der vorliegenden Verfahren vorgetragen worden, insbesondere von der französischen Regierung, die auf die positive Verpflichtung der Mitgliedstaaten hingewiesen hat, die Sicherheit der sich in ihrem jeweiligen Hoheitsgebiet aufhaltenden Personen zu gewährleisten. Die französische Regierung ist der Auffassung, dass bei den Ermittlungen im Zusammenhang mit der Zerschlagung von Banden, die die Ausreise von in Frankreich ansässigen Personen in irakische und syrische Konfliktregionen organisierten, der Zugang zu den auf Vorrat gespeicherten Daten bei der Identifizierung von Personen, die diese Ausreise unterstützt hätten, eine entscheidende Rolle spiele. Der Zugang zu den Kommunikationsdaten der an den jüngsten Terroranschlägen von Januar und November 2015 in Frankreich beteiligten Personen sei für die Ermittler bei der Aufdeckung der Komplizen dieser Anschläge äußerst hilfreich gewesen. [...]
184. Nach alledem bin ich der Ansicht, dass eine generelle Verpflichtung zur Vorratsspeicherung geeignet ist, zur Bekämpfung schwerer Kriminalität beizutragen. [Fußnoten weggelassen]

- Erforderlichkeit
Die wirklich spannende Frage ist natürlich, inwieweit die Vorratsdatenspeicherung auch als "erforderlich" zu beurteilen ist. Erforderlich ist eine Maßnahme nur, wenn es keine andere Maßnahme gibt, die genauso geeignet, jedoch weniger belastend ist. Klar ist, dass die Bestimmungen der Grundrechtecharta gleich auszulegen sind, egal ob die betreffende Regelung auf Unionsebene oder auf innerstaatlicher Ebene aufgestellt wurde: "Die vom Gerichtshof im DRI-Urteil herangezogenen Kriterien sind daher für die Beurteilung der in den vorliegenden Rechtssachen in Rede stehenden innerstaatlichen Regelungen relevant, wie insbesondere die dänische und die irische Regierung sowie die Kommission geltend gemacht haben." (RNr 191; siehe dazu schon unmittelbar nach dem DRI-Urteil im Blog hier).

-- absolute Notwendigkeit?

Der Generalanwalt kommt zum Ergebnis, dass eine Verpflichtung zur Vorratsdatenspeicherung nicht über das absolut Notwendige hinausgeht, "sofern mit ihr bestimmte Garantien einhergehen, die den Zugang zu den Daten, die Dauer der Vorratsspeicherung und den Schutz und die Sicherheit der Daten betreffen."

Er verweist dazu wieder einmal auf das DRI-Urteil, in dem der EuGH erst am Ende seiner Prüfung der in der RL über die Vorratsspeicherung von Daten vorgesehenen Regelung - und nach der Feststellung, dass bestimmte Garantien fehlen - zu Ergebnis kam, dass der Unionsgesetzgeber beim Erlass der RL die Grenzen überschritten hat, die er zur Wahrung des Grundsatzes der Verhältnismäßigkeit im Hinblick auf die Art. 7, 8 und 52 Abs. 1 der Charta einhalten musste. Die in der RL über die Vorratsspeicherung von Daten vorgesehene generelle Verpflichtung zur Vorratsspeicherung sei somit als solche nicht über das absolut Notwendige hinausgegangen, wohl aber wegen des Zusammenwirkens der generellen Vorratsspeicherung und des Fehlens von Garantien, die die Verletzung der in den Art. 7 und 8 der Charta verankerten Rechte auf das absolut Notwendige beschränken (RNr 200-202).

Das Erfordernis des "absolut Notwendigen" verlangt die Prüfung, ob andere Maßnahmen bei der Bekämpfung schwerer Kriminalität genauso wirksam sein könnten wie die generelle Verpflichtung zur Vorratsspeicherung, dabei jedoch die in der Richtlinie 2002/58 und in den Art. 7 und 8 der Charta verankerten Rechte weniger beeinträchtigen würden. Dies, so der Generalanwalt, ist im spezifischen Kontext der jeweiligen innerstaatlichen Regelung zu beurteilen: "Zum einen verlangt diese Beurteilung, dass die Wirksamkeit der genannten Verpflichtung mit der Wirksamkeit jeder anderen denkbaren Maßnahme im innerstaatlichen Zusammenhang verglichen und dabei berücksichtigt wird, dass die genannte Verpflichtung den zuständigen Behörden die begrenzte Fähigkeit verleiht, anhand der auf Vorrat gespeicherten Daten die Vergangenheit zu entschlüsseln" (RNr 208).

Der Generalanwalt legt sich dann ganz bewusst nicht fest, sondern schiebt die Beurteilung auf die nationalen Gerichte:

209. In Anbetracht des Erfordernisses des absolut Notwendigen ist es unerlässlich, dass die Gerichte sich nicht mit der Prüfung des bloßen Nutzens einer generellen Verpflichtung zur Vorratsspeicherung begnügen, sondern genau untersuchen, ob eine andere Maßnahme oder eine Kombination von Maßnahmen, insbesondere aber eine gezielte Vorratsspeicherungspflicht, mit der andere Ermittlungsinstrumente einhergehen, bei der Bekämpfung schwerer Kriminalität nicht dieselbe Wirksamkeit aufweisen. Ich weise insoweit darauf hin, dass eine Reihe von Studien, die dem Gerichtshof vorgelegt worden sind, die Erforderlichkeit dieser Art von Verpflichtung zur Bekämpfung schwerer Kriminalität in Frage stellen.
210. Sollten andere Maßnahmen bei der Bekämpfung schwerer Kriminalität genauso wirksam sein können, so haben zum anderen die vorlegenden Gerichte [...] überdies zu prüfen, ob diese Maßnahmen die in Rede stehenden Grundrechte weniger verletzen als eine generelle Verpflichtung zur Vorratsspeicherung.
211. Unter Berücksichtigung von Rn. 59 des DRI-Urteils werden die vorlegenden Gerichte insbesondere zu prüfen haben, ob der materielle Umfang der Verpflichtung zur Vorratsspeicherung beschränkt werden kann, unter gleichzeitiger Wahrung der Wirksamkeit dieser Maßnahme bei der Bekämpfung schwerer Kriminalität. Diese Verpflichtung kann nämlich je nach den von ihr erfassten Nutzern, geografischen Gebieten und Kommunikationsmitteln einen mehr oder weniger weiten materiellen Umfang haben.
212. Meines Erachtens sollten, sofern die Technologie es zulässt, von der Vorratsspeicherungspflicht vor allem die Daten ausgenommen werden, die im Hinblick auf die in den vorliegenden Rechtssachen in Rede stehenden Grundrechte besonders sensibel sind, wozu die unter das Berufsgeheimnis fallenden Daten oder auch die Daten gehören, anhand deren die Informationsquellen von Journalisten identifiziert werden können.
213. Es muss jedoch bedacht werden, dass eine erhebliche Beschränkung des Umfangs der generellen Verpflichtung zur Vorratsspeicherung den Nutzen, den eine solche Regelung im Kampf gegen schwere Kriminalität hat, beträchtlich schmälern könnte. Zum einen haben mehrere Regierungen betont, dass es schwierig, wenn nicht gar unmöglich sei, im Voraus die Daten festzulegen, die mit einer schweren Straftat in Beziehung stehen könnten. Eine solche Beschränkung kann daher die Vorratsspeicherung von Daten ausschließen, die sich für die Bekämpfung schwerer Kriminalität als relevant erweisen könnten.
214. Zum anderen ist die schwere Kriminalität, wie die estnische Regierung ausgeführt hat, ein dynamisches Phänomen, das sich den Ermittlungsinstrumenten der Strafverfolgungsbehörden anpassen kann. Die Beschränkung auf ein bestimmtes geografisches Gebiet oder ein bestimmtes Kommunikationsmittel liefe daher Gefahr, eine Verlagerung der mit schwerer Kriminalität im Zusammenhang stehenden Aktivitäten in ein geografisches Gebiet und/oder auf ein Kommunikationsmittel herbeizuführen, die von dieser Regelung nicht erfasst werden.
215. Da diese Beurteilung eine komplexe Bewertung der in den Ausgangsverfahren in Rede stehenden innerstaatlichen Regelungen verlangt, ist sie meines Erachtens von den nationalen Gerichten vorzunehmen [...].

-- Sind die vom EuGH in RNr 60 bis 68 des DRI-Urteils angeführten Garantien zwingend?

Der EuGH hat in seinem DRI-Urteil mehrere Kriterien angesprochen, die bei der Vorratsspeicherung nach der RL nicht erfüllt wurden, was letztlich zur Ungültigerklärung der RL führte. Strittig ist nun, ob diese Kriterien zur Gänze erfüllt sein müssen, oder ob eine Gesamtbeurteilung nach der Art eines "beweglichen Systems" erfolgen kann. Die deutsche Regierung verwendete dazu auch das Bild von "kommunizierenden Röhren", nach dem "ein flexiblerer Ansatz in Bezug auf einen der drei vom Gerichtshof bezeichneten Aspekte (z. B. Zugang zu den auf Vorrat gespeicherten Daten) durch einen strikteren Ansatz bezüglich der beiden anderen Aspekte (Dauer der Vorratsspeicherung sowie Sicherheit und Schutz der Daten) ausgeglichen werden könne."

Der Generalanwalt kann dieser These der „kommunizierenden Röhren“ nichts abgewinnen und meint, dass "alle vom Gerichtshof in den Rn. 60 bis 68 des DRI-Urteils aufgeführten Garantien als zwingend anzusehen sind." Zur Wahrung der praktischen Wirksamkeit der vom EuGH in den RNr 60 bis 68 des DRI-Urteils angeführten Garantien ist nach Ansicht des Generalanwalts daher "jede einzelne dieser Garantien als zwingend anzusehen" (RNr 226).

Der Generalanwalt meint auch, dass die Umsetzung dieser Garantien durch die Mitgliedstaaten, die eine generelle Verpflichtung zur Vorratsspeicherung einführen wollen, "keine größeren praktischen Schwierigkeiten" bereite. Im Einzelnen geht es um folgende Punkte

• Der Zugang zu den auf Vorrat gespeicherten Daten und deren spätere Nutzung ist strikt auf Zwecke der Verhütung und Feststellung genau abgegrenzter schwerer Straftaten oder der sie betreffenden Strafverfolgung zu beschränken (beides ist in den den Ausgangsverfahren zugrunde liegenden schwedischen bzw englischen Rechtsvorschriften nicht gegeben)
• Der Zugang zu den auf Vorrat gespeicherten Daten muss einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle unterliegen, deren Entscheidung den Zugang zu den Daten und ihre Nutzung auf das zur Erreichung des verfolgten Ziels absolut Notwendige beschränken soll. Diese vorherige Kontrolle muss ferner im Anschluss an einen mit Gründen versehenen Antrag der genannten Behörden im Rahmen von Verfahren zur Verhütung, Feststellung oder Verfolgung von Straftaten stattfinden (auch dies ist weder in Schweden noch dem UK der Fall). Der Generalwalt sieht ausdrücklich "keinen Grund, dieses unbestreitbar aus dem Wortlaut von Rn. 62 des DRI-Urteils folgende Erfordernis einer vorherigen Kontrolle durch eine unabhängige Stelle abzuschwächen" (RNr 234), räumt freilich etwas später ein, dass in Fällen äußerster Dringlichkeit eine nachträgliche Kontrolle innerhalb kürzester Zeit möglich sein soll (RNr 237). Die unabhängige Kontrolle als Voraussetzung für den Zugang zu den Daten ist umso notwendiger, wenn es technisch schwierig ist, besonders sensible Daten (wie der unter das Berufsgeheimnis fallenden Daten oder Daten, anhand derer die Informationsquellen von Journalisten identifiziert werden können) bereits bei der Speicherung auszuschließen.
• Speicherung der Daten im Unionsgebiet (auch das ist nach dem Parteienvorbringen in Schweden und im UK nicht gewährleistet); hier will der Generalanwalt, dass bei nationalen Regelungen die Vorratsspeicherung der Daten im nationalen Staatsgebiet vorzusehen ist, um die Überwachung durch die Behörde sicherstellen zu können.
• Differenzierte Speicherdauer: die vorlegenden Gerichte müssen hinsichtlich der Dauer der Vorratsspeicherung die vom EuGH in den RNr 63 und 64 des DRI-Urteils aufgestellten Kriterien anwenden. "Zum einen müssen diese Gerichte prüfen, ob die auf Vorrat gespeicherten Daten nach Maßgabe ihres Nutzens unterschieden werden können und, gegebenenfalls, ob die Dauer der Vorratsspeicherung nach Maßgabe dieses Kriteriums angepasst wurde. Zum anderen haben sie zu prüfen, ob die Dauer der Vorratsspeicherung auf objektiven Kriterien beruht, die gewährleisten können, dass sie auf das absolut Notwendige beschränkt wird."

- Verhältnismäßigkeit

Nach der Prüfung der Erforderlichkeit müssen die vorlegenden Gerichte noch prüfen, ob die Regelungen zur Vorratsdatenspeicherung "in einer demokratischen Gesellschaft unter Berücksichtigung des Ziels der Bekämpfung schwerer Kriminalität verhältnismäßig" sind. Hier wird die Sache philosophisch:

248. Im Unterschied zu den Erfordernissen der Geeignetheit und der Erforderlichkeit der betreffenden Maßnahme, die eine Bewertung der Wirksamkeit dieser Maßnahme unter Berücksichtigung des verfolgten Ziels beinhalten, umfasst das Erfordernis der Verhältnismäßigkeit im engeren Sinne eine Abwägung der Vorteile, die aus dieser Maßnahme unter Berücksichtigung des verfolgten legitimen Ziels resultieren, gegen die Nachteile, die sich aus ihr unter Berücksichtigung der in einer demokratischen Gesellschaft gewährten Grundrechte ergeben. Dieses Erfordernis ist somit der Ausgangspunkt für eine Debatte über die Werte, die in einer demokratischen Gesellschaft gelten sollen, und letztlich über die Art von Gesellschaft, in der wir leben wollen.[...]
250. Gemäß der [...] Rechtsprechung sind die Vor- und Nachteile einer generellen Verpflichtung zur Vorratsspeicherung gegeneinander abzuwägen. Diese Vorteile und diese Nachteile stehen in engem Zusammenhang mit dem wesentlichen Merkmal einer solchen Verpflichtung – gewissermaßen als deren helle und dunkle Seite –, das darin besteht, dass sie alle Kommunikationsvorgänge sämtlicher Nutzer erfasst, ohne dass irgendein Bezug zu einer schweren Straftat erforderlich ist. [Hervorhebung hinzugefügt]

In der Folge verweist der Generalanwalt unter anderem auf die Nachteile, die sich etwa daraus ergeben, dass die Kommunikationsdaten die Identifizierung der Personen ermöglichen würden, die an einer öffentlichen Demonstration gegen die Regierung teilnehmen. Ausdrücklich betont der Generalanwalt, dass die Gefahren, die mit dem Zugang zu den Kommunikationsdaten ("Metadaten") verbunden sind, gleich groß oder auch größer sein können als die Gefahren, die sich aus dem Zugang zum Inhalt dieser Kommunikationsvorgänge ergeben (RNr 259) und dass die Gefahren eines missbräuchlichen oder unrechtmäßigen Zugangs zu den auf Vorrat gespeicherten Daten keineswegs theoretisch sind (RNr 260).

Letztlich ist es dann aber Aufgabe der vorlegenden Gerichte, zu beurteilen, ob die Nachteile, die die in den Ausgangsverfahren fragliche generelle Verpflichtung zur Vorratsspeicherung verursacht, in einer demokratischen Gesellschaft nicht außer Verhältnis zu den verfolgten Zielen stehen. Dabei haben die vorlegenden Gerichte die Vorteile und Nachteile gegeneinander abzuwägen, die mit der genannten Verpflichtung verbunden sind, nämlich

– einerseits die Vorteile, die mit der Verleihung einer begrenzten Fähigkeit zur Entschlüsselung der Vergangenheit an die für die Bekämpfung schwerer Kriminalität zuständigen Behörden verbunden sind, und
– andererseits die schwerwiegenden Gefahren, die sich in einer demokratischen Gesellschaft aus der Fähigkeit, eine Kartografie des Privatlebens einer Person zu erstellen, und aus der Fähigkeit, eine ganze Bevölkerung zu katalogisieren, ergeben.

Conclusio

Auch wenn der Generalanwalt das nicht ausdrücklich sagt: schon angesichts des Umstandes, dass sowohl die Rechtsvorschriften im UK als auch jene in Schweden den Zugriff auf Vorratsdaten auch für Zwecke der Bekämpfung "einfacher" Kriminalität zulassen, können diese Regelungen den Test anhand der hier dargelegten Kriterien wohl nicht bestehen. Mit meiner ursprünglichen Reaktion auf das DRI-Urteil (hier: "jede nationale Vorratsdatenspeicherung muss zumindest jene Anforderungen erfüllen, die der EuGH der Prüfung der VDS-RL zugrunde gelegt hat.") bin ich damit, wenn man nach den heutigen Schlussanträgen geht, nicht so falsch gelegen.

Update 26.07.2016: siehe zu den Schlussanträgen auch Lorna Woods auf EU Law Analysis, Vanessa Franssen auf European Law Blog und Andrew Murray auf Verfassungsblog.
Update 10.08.2016: siehe dazu auch den Beitrag von Nora Ni Loideain.

---
PS: dass die Fragestellung des Court of Appeal im Hinblick auf die Auslegung des DRI-Urteils etwas merkwürdig war (im Blog dazu schon hier), sieht auch der Generalanwalt so und schlägt dem EuGH dementsprechend vor, die zweite Vorlagefrage als unzulässig zurückzuweisen (RNr 73-83).

---
PPS: Eine gewisse Ironie liegt übrigens darin, dass einer der Kläger im Ausgangsverfahren zum Vorabentscheidungsersuchen des Court of Appeal, David Davis, mittlerweile zum Minister für den Austritt des UK aus der EU geworden ist (offiziell: "Secretary of State for Exiting the European Union") - in diesem Verfahren aber berief er sich auf Unionsrecht, insbesondere auch auf die Grundrechtecharta der Europäischen Union, um ein nationales, vom britischen Parlament beschlossenes Gesetz auszuhebeln. Inzwischen hat er sich aus dem Ausgangsverfahren zurückgezogen), der EuGH hat die Fall-Bezeichnung schon von David Davis ua auf Tom Watson ua geändert.

"With respect": Court of Appeal hat Zweifel an Reichweite des EuGH-Urteils zur Vorratsdatenspeicherung - neues Vorabentscheidungsersuchen

Der Court of Appeal für England und Wales (Civil Division) hat in einem heute bekanntgegebenen Urteil entschieden, dem EuGH Fragen zur Vorratsdatenspeicherung vorzulegen ([2015] EWCA Civ 1185).

Die Entscheidung wurde in einem Verfahren getroffen, das (ua) von zwei Parlamentariern (dem konservativen David Davis und Tom Watson von Labour) initiiert worden war. Es geht dabei um den Data Retention and Investigatory Powers Act 2014 ("DRIPA"), der es - vereinfacht gesagt - ermöglicht, Telekom-Betreiber zur Speicherung von Vorratsdaten für höchstens zwölf Monate zu verpflichten und der den Zugang zu diesen Daten, unter anderem aus Gründen der nationalen Sicherheit, aber auch des wirtschaftlichen Wohlergehens des UK, regelt. Der (in erster Instanz entscheidende) High Court hatte darin einen Widerspruch zum Unionsrecht gesehen und section 1 von DRIPA ab 1. März 2016 als (teilweise) unanwendbar erklärt (Urteil: [2015] EWHC 2092 (Admin)).

Für den Court of Appeal ist die Sache nicht so eindeutig, er tendiert eher dazu, DRIPA als mit Unionsrecht vereinbar zu beurteilen. Zugleich hat der Court of Appeal erhebliche Zweifel, was denn der EuGH mit dem Urteil zur Vorratsdaten-RL (C-293/12 Digital Rights Ireland und C-594/12 Seitlinger ua) genau festlegen wollte. Höflich, wie es ein englisches Gericht eben sein muss, formuliert der Court of Appeal:

Although the CJEU has pronounced in Digital Rights Ireland, there is, with respect, considerable doubt as to the effect of its decision. On this, we have the misfortune to have come to a provisional view which differs from that of the Divisional Court.

Das "Unglück" des Instanzgerichts, zu einem anderen Ergebnis als das erstinstanzliche Gericht zu kommen, verbunden mit den Zweifeln über die Reichweite des VDS-Urteils, führt also zu einem neuen Vorabentscheidungsersuchen.

Anforderungen an VDS-Richtlinie nicht dieselben wie an nationale VDS-Regeln?
Der Court of Appeal streicht heraus, dass der EuGH die Vereinbarkeit einer EU-Richtlinie mit der Grundrechtecharta zu beurteilen hatte. Was der EuGH als Mindestanforderungen an eine EU-Richtlinie beurteilte, müsse nicht notwendigerweise automatisch auch für nationale Rechtsvorschriften gelten. Die vom EuGH in den RNr 57-59 und 60-62 seines Urteils vorgenommene Aufzählung sei bloß deskriptiv, ein "catalogue of failings and omissions". Da der EuGH die Richtlinie zu beurteilen gehabt habe, habe er nicht auf "safeguards" eingehen können, die auf nationaler Ebene bestehen. Zudem seien nicht alle kritischen Anmerkungen des EuGH als zwingende Anforderungen (für Unionsrecht oder nationales Recht) zu verstehen, dazu seien sie zu allgemein. Der EuGH habe schlicht die Fehler der Richtlinie beschrieben und keine zwingenden Anforderungen festgelegt. Die Entscheidung des EuGH, dass die Vorratsdaten-RL ungültig ist, sei eine Folge des kumulativen Effekts von allem gewesen, was die Richtlinie nicht beinhaltet habe:

It is therefore our provisional view that the Court of Justice in Digital Rights Ireland was not laying down specific mandatory requirements of EU law but was simply identifying and describing protections that were entirely absent from the harmonised EU regime. The Court’s conclusion that the Data Retention Directive was unlawful was compelled by the cumulative effect of what was not in the Data Retention Directive.

Das betrifft zunächst die Beschränkung des Zugangs auf Fälle schwerwiegender Straftaten. Der Court of Appeal akzeptiert zwar, dass grundsätzlich die Rechtfertigung für den Datenzugang umso gewichtiger sein muss, je gewichtiger der Eingriff in Grundrechte ist, glaubt aber nicht, dass der EuGH vorgegeben habe, dass ein Zugang zu auf Vorrat gespeicherten Daten nur zum Zweck der Verhinderung, Aufklärung oder Verfolgung schwerer Straftaten zulässig sein sollte. Ähnlich sieht er das im Hinblick auf das Erfordernis vorheriger richterlicher oder sonst unabhängiger Genehmigung (zumal der EuGH dabei - in RNr 62 seines Urteils - weder auf Rechtsprechung verwiesen habe noch auf gegenläufige Argumente eingegangen sei). Auch dass Daten zwingend innerhalb der Union zu speichern seien, sei nicht als Mindestanforderung an nationale Rechtsvorschriften zu verstehen.

Anwendungsbereich des Unionsrechts
Interessant sind die Ausführungen zur Reichweite der Grundrechtecharta. Unstrittig sei, dass die Rechtsvorschriften zur Speicherung der Daten in den Anwendungsbereich des Unionsrechts fallen und daher den Anforderungen des Art 15 der Datenschutzrichtlinie für elektronische Kommunikation entsprechen müssen. Das teilt auch der Court of Appeals, der sowohl Speicherverpflichtung als auch Speicherung im Anwendungsbereich des Unionsrechts sieht. Unklarer sei das beim Zugang zu den gespeicherten Daten: Der EuGH habe festgehalten, dass bei der Beurteilung der Rechtmäßigkeit eines Systems der Vorratsdatenspeicherung die Regeln für den Zugang zu diesen Daten notwendigerweise mit zu berücksichtigen sind. Der EuGH habe dies aber im Zusammenhang mit der Prüfung einer EU-Richtlinie ausgesprochen, und es wäre "überraschend", hätte er damit beabsichtigt, zwingende Anforderungen für ein nationales Regelwerk festzulegen, das außerhalb des Anwendungsbereichs des Unionsrechts liege, außer insoweit, als es beiläufig für das System der Datenspeicherung relevant sei:

Nevertheless, the CJEU was here concerned with a Directive which established a regime for retention. Having regard to this context it would, in our view, be surprising if the CJEU had intended to lay down definitive mandatory requirements for an access regime which lies outside the scope of EU law save to the extent that it is incidentally relevant to the retention regime. [...] It seems to us more likely, therefore, that the CJEU was simply pointing to the failure of the Data Retention Directive to provide any safeguards in this regard.

Der EuGH, so meint der Court of Appeals daher, habe sich mit der Frage von zwingenden Anforderungen an nationale Regeln für den Zugang zu Vorratsdaten gar nicht befasst.

Ging der EuGH über die Anforderungen der EGMR-Rechtsprechung zu Art 8 EMRK hinaus?
Der Court of Appeal ist sich auch nicht sicher, ob der EuGH in seinem Urteil weiter gehen wollte als der EGMR in seiner Rechtsprechung zu Art 8 EMRK. Er bezieht sich dabei vor allem auf das Urteil Kennedy des EGMR, in dem dieser keine vorhergehende richterliche Genehmigung für den Zugang zu gespeicherten Daten (hier sogar zu Inhaltsdaten) verlangt hatte. Der EuGH habe dagegen in RNr 62 seines Urteils auffallend genau ("with a striking degree of particularity") darauf verwiesen, dass "der Zugang der zuständigen nationalen Behörden zu den auf Vorrat gespeicherten Daten keiner vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle [unterliegt], deren Entscheidung den Zugang zu den Daten und ihre Nutzung auf das zur Erreichung des verfolgten Ziels absolut Notwendige beschränken soll und im Anschluss an einen mit Gründen versehenen Antrag der genannten Behörden im Rahmen von Verfahren zur Verhütung, Feststellung oder Verfolgung von Straftaten ergeht." Wenn der EuGH damit - was der Court of Appeal nicht glaubt - weiter gehen wollte als der EGMR, so habe er dafür keine Gründe angegeben und auch die Rechtsprechung des EGMR nicht zitiert.

Vorlagefragen
Der Court of Appeal, der die Rechtsansicht des Erstgerichts demnach überwiegend nicht teilt, sieht sich veranlasst, ein Vorabentscheidungsersuchen an den EuGH zu richten. Dies auch vor dem ausdrücklich angesprochenen Hintergrund, dass sechs nationale Gerichte, darunter fünf Höchstgerichte, im Gefolge des EuGH-Urteils zur Vorratsdaten-RL nationale Rechtsvorschriften aufgehoben haben (darunter natürlich auch der österreichische Verfassungsgerichtshof). Zudem sei der "true effect" des Vorratsdaten-Urteils des EuGH für die Gültigkeit jeder zukünftigen Regelung der Mitgliedstaaten in diesem Bereich von zentraler Bedeutung.

Der Court of Appeal formuliert die folgenden zwei Fragen, die er dem EuGH vorlegen möchte.

(1) Did the CJEU in Digital Rights Ireland intend to lay down mandatory requirements of EU law with which the national legislation of Member States must comply?

(2) Did the CJEU in Digital Rights Ireland intend to expand the effect of Articles 7 and/or 8, EU Charter beyond the effect of Article 8 as established in the jurisprudence of the ECtHR?

Zu den endgültigen Fragen werden, dem englischen Prozessrecht folgend, noch die Parteien gehört; die tatsächlich gestellten Fragen können also noch abweichen. Meines Erachtens wären die Fragen, so wie sie jetzt vorliegen, jedenfalls nicht geeignet, vom EuGH ohne großzügige Umdeutung (die der EuGH freilich oft vornimmt) beantwortet zu werden.

Der Court of Appeal wird ein beschleunigtes Verfahren beantragen und schlägt auch vor, die Rechtssache mit dem bereits anhängigen Vorabentscheidungsersuchen des Kammarrätten i Stockholm, das sich mit der Vereinbarkeit nationaler Vorratsdaten-Regelungen mit Art 15 Abs 1 der Datenschutzrichtlinie für elektronische Kommunikation befasst, zu verbinden.

Update 17.01.2016: Das Vorabentscheidungsersuchen ist am 28.12.2015 beim EuGH eingelangt und zu C-698/15 Davis ua anhängig; die konkreten Vorlagefragen hat der EuGH noch nicht veröffentlicht (siehe zum Vorabentscheidungsersuchen auch den Beitrag auf EU Law Radar).

Update 17.03.2016: Die tatsächlichen Vorlagefragen wurden nun vom EuGH veröffentlicht. Sie lauten:

1. Legt das Urteil des Gerichtshofs in den verbundenen Rechtssachen C-293/12 und C-594/12, Digital Rights Ireland und Seitlinger u. a., ECLI:EU:C:2014:238 (im Folgenden: Digital Rights Ireland) (einschließlich insbesondere der Rn. 60 bis 62) verbindliche, für die nationale Regelung eines Mitgliedstaats über den Zugang zu gemäß den nationalen Rechtsvorschriften auf Vorrat gespeicherten Daten geltende Voraussetzungen für die Vereinbarkeit mit den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) fest? 

2. Erweitert das Urteil Digital Rights Ireland des Gerichtshofs den Anwendungsbereich von Art. 7 und/oder Art. 8 der Charta über den Anwendungsbereich von Art. 8 der Europäischen Menschenrechtskonvention (EMRK), wie er in der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR) festgestellt ist, hinaus?

Der EuGH hat die Durchführung eines beschleunigten Verfahrens beschlossen (Beschluss vom 01.02.2016), am 12.04.2016 findet die Verhandlung vor dem EuGH statt.

Update 26.07.2016: zu den Schlussanträgen des Generalanwalts in dieser Rechtssache siehe im Blog hier,

VfGH zur Vorratsdatenspeicherung - Ein altes deutsches, aber neues österreichisches (Grund-)Recht: die informationelle Selbstbestimmung

Der Verfassungsgerichtshof hat gestern die schriftliche Ausfertigung seines Erkenntnisses zur Vorratsdatenspeicherung (VfGH 27.06.2014, G 47/2012, G 59/2012, G 62/2012,
G 70/2012, G 71/2012) im Volltext veröffentlicht. Das Erkenntnis war - mit den Grundzügen der Begründung - bereits am 27.06.2014 mündlich verkündet worden (dazu im Blog hier), insoferne waren von der schriftlichen Ausfertigung keine größeren Überraschungen zu erwarten.

Hier stelle ich nur eine Übersicht der tragenden Entscheidungsgründe zusammen, für eine vertiefende Analyse (oder einen kurzen Blogpost!) fehlt mir leider derzeit die Zeit (besonders Interessierte kann ich aber darauf verweisen, dass ich das Erkenntnis am 15.10.2014, 17 Uhr, im Holoubek/Lienbacher-Judikaturseminar an der Wirtschaftsuniversität Wien besprechen werde). Ich zitiere also in der Folge großflächig aus dem Erkenntnis, die Hervorhebungen stammen aber von mir. Kurzes Fazit vorweg: juristisch interessant ist einerseits die Herleitung der Zulässigkeit der Individualanträge, andererseits die fast versteckte erstmalige Anerkennung des - in Deutschland seit mehr als drei Jahrzehnten auch so genannten - Rechts auf informationelle Selbstbestimmung.

Zur Zulässigkeit, oder: außergewöhnliche Maßnahmen fordern außergewöhnliche Rechtsprechung?

Kärntner Landesregierung fasste Anfechtungsumfang zu eng
Der Antrag der Kärntner Landesregierung wurde als unzulässig zurückgewiesen, weil nur Bestimmungen des TKG 2003 angefochten wurden, "nicht aber jene Bestimmungen in der StPO und im SPG, die die 'Beauskunftung' der Vorratsdaten regeln." Damit wurden "nicht alle Bestimmungen angefochten, die für die Beurteilung der allfälligen Verfassungswidrigkeit der Regelungen über die Vorratsdatenspeicherung eine untrennbare Einheit bilden." (RNr 107)

Individualanträge
Hinsichtlich der beiden Individualantragsteller grenzt der VfGH die Situation bei der Vorratsdatenspeicherung von jener ab, die er bei der Anfechtung des § 53 Abs 3a SPG vorgefunden hatte. Diese Bestimmung regelt die Auskunftspflicht der Betreiber von Telekommunikationsdiensten gegenüber Sicherheitsbehörden, ua betreffend IP-Adressen, und der VfGH hatte mit Beschluss vom 01.07.2009, G 147/08, VfSlg 18.831/2009, Individualanträge mangels unmittelbarer und aktueller Betroffenheit der Antragsteller zurückgewiesen. Erst wenn die Sicherheitsbehörden die Ermächtigung des § 53 Abs 3a SPG in Anspruch nähmen, könnte dies "unter Umständen zu einer Beeinträchtigung der Rechtssphäre der Antragsteller führen", hieß es im damaligen Bechluss (überdies verwies der VfGH damals auch auf die Antragsrechte nach dem DSG und den "kommissarischen Rechtsschutz durch den Rechtsschutzbeauftragten"). Anders sei die Situation bei der Vorratsdatenspeicherung, bei der die notwendige unmittelbare Betroffenheit der Telefon- und Internetnutzer vorliege und ein Umweg über andere Verfahren nicht zumutbar sei:

- unmittelbare Betroffenheit: Endkunde als Adressat des § 102a TKG 203

Nach Ansicht der Bundesregierung sei Adressat des § 102a TKG 2003 nicht ein "Endkunde" wie der Zweitantragsteller. Er sei daher von dieser Bestimmung nicht rechtlich betroffen. Dem ist entgegenzuhalten, dass sich die angefochtene Bestimmung des § 102a TKG 2003 auf Grund ihrer sprachlichen Fassung – wie die Bundesregierung in ihren Äußerungen betont – zwar lediglich an "Anbieter von öffentlichen Kommunikationsdiensten", "Anbieter von Internet-Zugangsdiensten", "Anbieter öffentlicher Telefondienste einschließlich Internet-Telefondiensten" und "Anbieter von E-Mail-Diensten" richtet. Sie ist jedoch ihrem Inhalt und Zweck nach von einer solchen Wirkung auf den Zweitantragsteller als "Benutzer" (vgl. § 92 Abs. 3 Z 2 TKG 2003) von öffentlichen Kommunikationsdiensten, dass damit nicht nur dessen tatsächliche Situation berührt wird, sondern auch in die – insbesondere auch durch die verfassungsgesetzlich gewährleisteten Rechte aus Art. 8 EMRK und § 1 DSG 2000 geprägte – Rechtssphäre des Zweitantragstellers eingegriffen wird. Der Zweitantragsteller ist daher jedenfalls dem Zweck und Inhalt dieser angefochtenen Bestimmung nach als Normadressat anzusehen (vgl. VfSlg. 13.038/1992, 13.558/1993, 19.349/2011). [RNr 114]

- Umwegszumutbarkeit

Die Verpflichtung und Ermächtigung zur Speicherung trifft den Zweitantragsteller unmittelbar in seiner Rechtssphäre, ohne dass es noch eines konkretisierenden Rechtsaktes bedürfte oder ein solcher vorgesehen wäre. Anders als in Fällen, in denen beispielsweise staatliche Einrichtungen durch die Rechtsordnung ermächtigt werden, bestimmte Maßnahmen zu ergreifen, die unter Umständen und erst im Fall ihrer Inanspruchnahme zu einer Beeinträchtigung der Rechtssphäre Rechtsunterworfener führen (vgl. zB VfSlg. 18.831/2009), liegen im vorliegenden Fall jene Umstände, die in die Rechtssphäre eingreifen, schon durch die andauernde Speicherverpflichtung und deren Befolgung vor. [RNr 116]
Unter den Umständen des vorliegenden Falles kann der Verfassungsgerichtshof nicht finden, dass dem Zweitantragsteller ein zumutbarer anderer Weg zur Verfügung stünde, um die durch die behauptete Rechtswidrigkeit der angefochtenen Bestimmungen bewirkte Rechtsverletzung wirksam abzuwehren: [RNr 117]

- "außergewöhnliche, besondere Umstände"
Die Möglichkeit, Feststellungsbescheide oder Entscheidungen der ordentlichen Gerichte nach dem DSG 2000 zu erwirken, sind - so der VfGH weiter - nicht geeignet, eine zumutbare Alternative zur Stellung eines Individualantrags aufzuzeigen. Der VfGH sieht ausdrücklich keinen Grund, von der Rechtsprechung zum SPG - wonach das Auskunfts- und Löschungsrecht nach dem DSG im dort entschiedenen Fall ein zumutbarer Umweg war - abzugehen (RNr 120), hält diesen Umweg aber im konkreten Fall der Vorratsdatenspeicherung aber für nicht zumutbar:

[Der Zweitantragsteller muss] jedenfalls davon ausgehen [...], dass bestimmte, ihn betreffende Daten [...] zum Zweck der "Ermittlung, Feststellung und Verfolgung von Straftaten, deren Schwere eine Anordnung nach § 135 Abs. 2a StPO rechtfertigt" – gespeichert wurden und werden. In § 102a Abs. 1 TKG 2003 wird festgelegt, dass diese Daten nicht nur in Ausnahmefällen und betreffend einen bestimmten, eingeschränkten Personenkreis zu speichern sind [...]. [RNr 121]
Es trifft zu, dass sich der Zweitantragsteller mit einem Auskunftsbegehren nach § 26 DSG 2000 oder einem Löschungsbegehren nach § 27 DSG 2000 an jene Anbieter von öffentlichen Kommunikationsdiensten richten hätte können, hinsichtlich derer er weiß, dass sie Daten über ihn speichern. In weiterer Folge hätte er die Reaktionen der Anbieter im Rechtsweg entsprechend bekämpfen können. Auch wenn der Zweitantragsteller theoretisch unmittelbar (Art. 144 B-VG) oder mittelbar (Art. 89 Abs. 2 zweiter Satz, Art. 140 Abs. 1 Z 1 lit. a B-VG) seine Bedenken ob der Verfassungsmäßigkeit der in Rede stehenden Bestimmungen an den Verfassungsgerichtshof herantragen könnte, so bestehen im vorliegenden Fall außergewöhnliche, besondere Umstände, die den Zweitantragsteller davon entbinden, diesen Weg zu beschreiten: [...] [RNr 122]
Die besonderen und außergewöhnlichen Umstände sind folgende: Durch die Verpflichtung zur Speicherung nach § 102a TKG 2003 und die Auskunftserteilung nach den § 135 Abs. 2a StPO sowie § 53 SPG liegt ein großer Kreis an Daten vor, die entweder bei den Anbietern von öffentlichen Kommunikationsdiensten oder (nach Erteilung von Auskünften) bei den Sicherheits- oder Strafverfolgungsbehörden gespeichert sind. Die Speicherungsverpflichtung trifft im Übrigen nicht nur jene Anbieter, mit denen der Zweitantragsteller Verträge hatte oder hat, sondern auch die Anbieter der "Kommunikationspartner" des Zweitantragstellers, dh. jener Personen, mit denen der Zweitantragsteller zB telefonierte oder denen er E-Mails sandte [...]. Der Zweitantragsteller ist mit einer kaum überblickbaren Anzahl an Anbietern konfrontiert, die über ihn auf Grund des § 102a TKG 2003 Daten gespeichert haben könnten. Es ist praktisch nicht möglich, zu eruieren, welcher Anbieter welche Daten in welchen Zeiträumen auf Grund des § 102a TKG 2003 gespeichert hat oder speichert. [RNr 124]

Die mehrfache Betonung der "Besonderheiten der Vorratsdatenspeicherung" lässt erkennen, dass dem VfGH sehr daran gelegen ist, nicht den Eindruck entstehen zu lassen, dass die sonst strenge Prüfung der Zulässigkeit von Individualanträgen allenfalls in Hinkunft generell etwas lockerer gesehen werden könnte.

In der Sache

Maßstab § 1 DSG und Art 8 EMRK
Wie schon im Vorlagebeschluss angedeutet, betont der VfGH in seinem Erkenntnis, dass die innerstaatliche Verfassungsrechtslage nach § 1 Abs 2 DSG 2000 über Art 8 Abs 2 EMRK (und Art 7 GRC) hinausgeht (RNr 140 und RNr 147-149). Diese nationale Rechtslage ist, da die RL über die Vorratsspeicherung von Daten für ungültig erklärt wurde, "wieder uneingeschränkt Maßstab im Gesetzesprüfungsverfahren". (RNr 141). Daran ändert auch Art 15 Abs 1 zweiter Satz RL 2002/58/EG (mehr zu dieser Bestimmung im Blog hier) nichts (RNr 143).

Durchführung des Unionsrechts
Der VfGH zieht auch Art 7 und 8 der Grundrechtecharta (GRC) als Maßstab im Gesetzesprüfungsverfahren in Betracht. Die Voraussetzung dafür - dass die nationalen Regeln in Durchführung des Unionsrechts ergangen sind, ist schon deshalb erfüllt, "weil sie im Anwendungsbereich der RL 2002/58/EG und namentlich ihres Art. 15 Abs. 1 erlassen wurden" (RNr 144). Letztlich bleibt es aber beim Maßstab des § 1 DSG 2000 und Art 8 EMRK, weil das DSG strengere Anforderungen an die Verhältnismäßigkeit des Eingriffs festlegt als Art 7 und 8 GRC (RNr 149).

Schranken für gesetzliche Beschränkungen des Grundrechts auf Datenschutz

Gesetzliche Beschränkungen des Grundrechts auf Datenschutz müssen in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit ihnen verfolgten Ziele verhältnismäßig sein (vgl. auch Art. 8 iVm Art. 52 Abs. 1 GRC und EuGH, Digital Rights Ireland und Seitlinger ua., Rz 38, 47, 69 sowie EGMR 4.12.2008 [GK], Fall S. und Marper, Appl. 30.562/04, EuGRZ 2009, 299 [Z 101]). Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen (§ 1 Abs. 2 zweiter Satz DSG 2000). [RNr 157]
Auch im Fall nach Art. 8 Abs. 2 EMRK zulässiger Beschränkungen darf gemäß dem letzten Satz des § 1 Abs. 2 DSG 2000 der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. [...] [RNr 158]
Bei den nach § 102a TKG 2003 zu speichernden und nach § 135 Abs. 2a StPO und § 53 Abs. 3a Z 3 sowie § 53 Abs. 3b SPG zu beauskunftenden Daten handelt es sich um personenbezogene Daten iSd § 1 Abs. 1 DSG 2000. [...] Im Hinblick vor allem auf die auch von den Antragstellern angeführten Möglichkeiten der Verknüpfung mit anderen Informationen [...] besteht an den betroffenen Daten jedenfalls ein schutzwürdiges Geheimhaltungsinteresse iSd § 1 Abs. 1 DSG 2000. [...][RNr 159]
Der Umstand, dass die Speicherung durch Anbieter öffentlicher Kommunikationsdienste – also durch Private – erfolgt, die durch § 102a TKG 2003 zur Speicherung verpflichtet werden, ändert nichts am Vorliegen eines Eingriffs in § 1 DSG 2000 und Art. 8 EMRK durch den Gesetzgeber. [...] [RNr 161]

Rechtfertigung des Eingriffs?
Auch der VfGH anerkennt die Möglichkeit, dass Regelungen zur Vorratsdatenspeicherung - "die wie die angefochtenen einen gravierenden Grundrechtseingriff bilden" - zur Bekämpfung schwerer Kriminalität zulässig sein können, allerdings nur, sofern sie mit den strengen Anforderungen des § 1 DSG 2000 und Art. 8 EMRK im Einklang stehen. Ob ein solcher Eingriff zulässig ist, hängt
- von der Ausgestaltung der Bedingungen der Speicherung von Daten auf Vorrat,
- den Anforderungen an deren Löschung sowie
- von den gesetzlichen Sicherungen bei der Ausgestaltung der Möglichkeiten des (behördlichen und privaten) Zugriffs auf diese Daten ab.
Die angefochtenen Vorschriften des TKG 2003, der StPO und des SPG erfüllen diese Anforderungen nicht (RNr 164).

Legitime Ziele - abstrakte Eignung

Die Vorschriften betreffend die Vorratsdatenspeicherung einschließlich der Bestimmungen über die Erteilung von Auskünften über Vorratsdaten in der StPO und im SPG dienen der Erreichung von in Art. 8 Abs. 2 EMRK genannten Zielen, nämlich insbesondere der Aufrechterhaltung der öffentlichen Ruhe und Ordnung und dem Schutz der Rechte und Freiheiten anderer. Auch konnte der Gesetzgeber im Rahmen seines Beurteilungsspielraums vertretbarerweise davon ausgehen, dass Regelungen über eine Vorratsdatenspeicherung zur Erreichung dieser Ziele abstrakt geeignet sind [...]. [RNr 165]

Verhältnismäßigkeitsprüfung
Die Schwere des Eingriffs darf aber nicht das Gewicht und die Bedeutung der mit der Vorratsdatenspeicherung verfolgten Ziele übersteigen (RNr 166). Programmatisch formuliert der VfGH dazu in RNr 167 des Urteils:

Ausgangspunkt der Beurteilung der Verhältnismäßigkeit der Vorratsdatenspeicherung ist die Einsicht, dass das Grundrecht auf Datenschutz in einer demokratischen Gesellschaft – in der hier bedeutsamen Schutzrichtung – auf die Ermöglichung und Sicherung vertraulicher Kommunikation zwischen den Menschen gerichtet ist. Der Einzelne und seine freie Persönlichkeitsentfaltung sind nicht nur auf die öffentliche, sondern auch auf die vertrauliche Kommunikation in der Gemeinschaft angewiesen; die Freiheit als Anspruch des Individuums und als Zustand einer Gesellschaft wird bestimmt von der Qualität der Informationsbeziehungen (vgl. Berka, Das Grundrecht auf Datenschutz im Spannungsfeld zwischen Freiheit und Sicherheit, 18. ÖJT, 2012, Band I/1, 22).

Ein altes deutsches, aber neues österreichisches (Grund-)Recht: die informationelle Selbstbestimmung
Im Zusammenhang mit der Verhältnismäßigkeitsprüfung bringt der VfGH eher en passant erstmals in seiner Rechtsprechung auch ein (Grund?)Recht in Stellung, das aus der Rechtsprechung des deutschen Bundesverfassungsgerichts bekannt ist: das Recht auf informationelle Selbstbestimmung (vom BVerfG im Volkszählungsurteil aus dem Jahr 1983 anerkannt). In RNr 168 heißt es:

Bedeutung und Gewicht der mit der Vorratsdatenspeicherung verfolgten Ziele [...] sind erheblich. Doch auch wenn die Regelung [...] einem wichtigen öffentlichen Interesse dient [...], ist es angesichts der "Streubreite" des Eingriffs [...], des Kreises und der Art der betroffenen Daten (siehe unten 2.3.14.5) und der daraus folgenden Schwere des Eingriffs in das Recht auf informationelle Selbstbestimmung (es kann auf Daten zugegriffen werden, welche im Falle ihrer Verknüpfung nicht nur die Erstellung von Bewegungsprofilen ermöglichen, sondern auch Rückschluss auf private Vorlieben und den Bekanntenkreis einer Person zulassen [...]) erforderlich, dass der Gesetzgeber durch geeignete Regelungen sicherstellt, dass diese Daten nur bei Vorliegen eines vergleichbar gewichtigen öffentlichen Interesses im Einzelfall für Strafverfolgungsbehörden zugänglich gemacht werden und dies einer richterlichen Kontrolle unterliegt.

Etwas kryptisch wird dann die Weiterentwicklung der Technologie angesprochen: es sei "zu berücksichtigen, dass staatliches Handeln durch die rasche Verbreitung der Nutzung 'neuer' Kommunikationstechnologien [...] in den vergangenen zwei Jahrzehnten in vielerlei Hinsicht [...] vor besondere Herausforderungen gestellt wurde und wird. [...] Dabei ist zu berücksichtigen, dass die Erweiterung der technischen Möglichkeiten auch dazu führt, dass den Gefahren, die diese Erweiterung für die Freiheit des Menschen in sich birgt, in einer dieser Bedrohung adäquaten Weise entgegengetreten werden muss" (RNr 168). Den Bedrohungen durch neue Technologien, so würde ich das lesen, muss also nicht mit Papier und Bleistift begegnet werden, sondern durchaus auch durch Einsatz moderner Technologien - etwa durch Zugriff auf Kommunikationsdaten, wenn auch unter den vom VfGH benannten Einschränkungen.

StPO-Regelung zu undifferenziert - im Einzelfall muss gravierende Bedrohung vorliegen
Der VfGH würde das Abstellen auf ein bestimmte (Mindest-)Strafdrohung akzeptieren, der Gesetzgeber müsste allerdings darüber hinaus sicherstellen, "dass die Schwere der Straftat – die durch die jeweilige Strafdrohung zum Ausdruck kommt – im Einzelfall den Eingriff in verfassungsgesetzlich gewährleistete Rechte jener Personen rechtfertigt, die durch die Beauskunftung 'ihrer' Vorratsdaten betroffen sind. Insofern ist der von § 135 Abs. 2a iVm § 135 Abs. 2 Z 2 bis 4 StPO umfasste Kreis der Delikte zu undifferenziert und als Folge dessen zu weit gefasst. Er stellt nicht sicher, dass Auskunftsersuchen nur bei Delikten zulässig sind, für die entweder schwere Strafen drohen (zB § 207a StGB) oder für deren Aufklärung die Verwendung der auf Vorrat gespeicherten Daten wegen der Art der Tatbegehung in besonderem Maße notwendig ist (zB § 107a Abs. 1 iVm Abs. 2 Z 2 StGB)." (RNr 171)

Der VfGH spricht damit eine Differenzierung zwischen "kommunikationsspezifischer" Kriminalität (etwa Stalking via Telefon oder Internet - das ist der zitierte § 107a Abs 2 Z 2 StGB) und schon an sich besonders schweren Delikten an. Mit anderen Worten: wenn das Delikt via Telefon oder Internet begangen wird, könnte Speicherung und Zugriff auf Daten schon bei geringeren Strafdrohungen zulässig sein als bei Straftaten, die ohne Bezug zu solchen Kommunikationsmitteln begangen wurden. Etwas irritierend ist dabei meines Erachtens der Hinweis auf § 207a StGB (pornographische Darstellungen Minderjähriger), da dies einerseits ein Delikt ist, das nicht - wie etwa Mord - die absolut höchsten Strafdrohungen aufweist und andererseits vielfach gerade auch über elektronische Kommunikation begangen wird - aber irgendwo musste wohl signalisiert werden, dass der VfGH mit der Aufhebung der Vorratsdatenspeicherung nicht ein Vorgehen gegen Kinderpornographie verhindern wollte.

Jedenfalls reicht dem VfGH weder der Vorbehalt der gerichtlichen Bewilligung der Auskunft über Vorratsdaten, noch der Befassung des Rechtsschutzbeauftragten, da "durch § 135 Abs. 2a StPO iVm §§ 102a, 102b Abs. 1 TKG 2003 nicht gewährleistet wird, dass über Vorratsdaten nur dann Auskunft erteilt wird, wenn sie zur strafprozessualen Verfolgung und Aufklärung von Straftaten dienen, die im Einzelfall eine gravierende Bedrohung der in Art. 8 Abs. 2 EMRK genannten Ziele darstellen und die einen solchen Eingriff rechtfertigen." (RNr 172)

SPG: kein Richtervorbehalt, keine Einschränkung auf schwere Straftaten
Knapp werden die Bestimmungen des SPG abgehandelt (RNr 175-178):

Die Erteilung von Auskünften über Vorratsdaten bedarf – anders als nach der StPO – nach dem SPG keiner richterlichen Genehmigung. Die Befassung des Rechtsschutzbeauftragten gemäß § 91c Abs. 1 SPG, dem "die Prüfung der nach diesem Absatz erstatteten Meldungen" – also eine Prüfung ex post – obliegt (§ 91c Abs. 1 letzter Satz SPG), ist jedenfalls nicht ausreichend. [...] Den sicherheitspolizeilichen Befugnissen zum Zugriff auf Vorratsdaten fehlt jede auf die Schwere einer drohenden Straftat bezogene Einschränkung. [...] Damit ist den Anforderungen an die Verhältnismäßigkeit des Eingriffs in das Grundrecht auf Datenschutz durch Zugriffe nach § 53 Abs. 3a Z 3 oder § 53 Abs. 3b SPG nicht Genüge getan.

Möglichkeiten neuer Technologien rechtfertigen nicht jeden Eingriff
Hinsichtlich der nach § 102a TKG 2003 zu speichernden Daten betont der VfGH, dass die Eignung des Grundrechtseingriffs insofern abstrakt zu prüfen ist, "als sie weder einen bestimmten konkreten Prozentsatz bei der Häufigkeit der Anwendung der Rechtsvorschrift in der Praxis voraussetzt, noch eine bestimmte 'Erfolgsquote' bei der Aufklärung von Straftaten." Der VfGH prüft nicht im Detail, ob der Gesetzgeber bei jedem zu speichernden Datum davon ausgehen konnte, dass es dem ins Auge gefassten Zweck der Maßnahme wirksam diene, sondern er dreht gewissermaßen die Beweislast um: "Es steht [...] keineswegs bei allen Daten, deren Speicherung auf Vorrat und Verarbeitung § 102a TKG 2003 in Umsetzung der nicht mehr gültigen Vorratsdatenspeicherungsrichtlinie anordnet, von vornherein fest, dass ihre Speicherung verhältnismäßig ist." Ohne Überleitung folgt darauf ein weiterer Kernsatz des Erkenntnisses (RNr 180):

Die bloße Möglichkeit, neue Technologien zu zusätzlichen Überwachungsmaßnahmen zu nutzen, rechtfertigt nicht von vornherein einen Eingriff in die von § 1 DSG 2000 und Art. 8 EMRK geschützte Freiheitssphäre.

"Streubreite": nahezu alle Betroffenen geben keinen Anlass für Einschreiten

Von der durch § 102a TKG 2003 angeordneten Vorratsdatenspeicherungsverpflichtung ist [...] nahezu die gesamte Bevölkerung betroffen [...]. Wie der Verfassungsgerichtshof bereits in seinem Beschluss VfSlg. 19.702/2012 festgestellt hat, erfasst die Vorratsdatenspeicherung fast ausschließlich Personen, die keinerlei Anlass – in dem Sinne, dass sie ein Verhalten gesetzt hätten, das ein staatliches Einschreiten erfordern würde – für die Datenspeicherung gegeben haben [...]. Vielmehr nutzt der ganz überwiegende Anteil der Bevölkerung öffentliche Kommunikationsdienste zur Ausübung von Grundrechten, namentlich vor allem der Meinungsäußerungs-, Informations- und Kommunikationsfreiheit. [RNr 183]
Der Zweitantragsteller macht geltend, dass er unbescholten sei. Dies trifft auf nahezu alle von der Vorratsdatenspeicherung Betroffenen zu. Im Hinblick auf diese Mehrheit wiegt die Beschränkung des Rechts auf Geheimhaltung ihrer personenbezogenen Daten [...] besonders schwer. [RNr 184]

[I]m Falle einer Erteilung von Auskünften über Vorratsdaten im Rahmen des § 135 Abs. 2a StPO und des § 53 SPG [kann] nicht ausgeschlossen werden, dass sich aus den Vorratsdaten Schlüsse ziehen lassen, die dem Anspruch auf Geheimhaltung personenbezogener Daten, wie er durch § 1 Abs. 1 DSG 2000 gewährleistet wird, zuwiderlaufen. Hiebei sind vor allem auch die Möglichkeiten der Verknüpfung von in unterschiedlichen Zusammenhängen ermittelten Daten zu berücksichtigen (Berka, aaO, 76 und 111 f.). Als entsprechend schwer ist daher auch der Eingriff im Hinblick auf den Kreis und die Art der gespeicherten Daten zu werten. [RNr 186]

Nicht überblickbarer Kreis von Speicherungsverpflichteten - kein ausreichender Schutz vor Missbrauch
Zu bedenken ist auch, so der VfGH in RNr 187, "dass angesichts der Vielzahl der Anbieter öffentlicher Kommunikationsdienste und damit von Speicherungsverpflichteten auch ein nicht überblickbarer Kreis von Personen potentiell Zugriff auf gemäß § 102a TKG 2003 gespeicherte Daten hat." Der VfGH verweist in diesem Zusammenhang auf das Urteil des deutschen Bundesverfassungsgerichts zur deutschen Umsetzung der Vorratsdaten-RL, in der das diesbezüglich bestehende Missbrauchspotential angesprochen wurde (BVerfGE 125, 260 [S 320 {RN 212}]). Der VfGH anerkennt zwar, dass der österreichische Gesetzgeber hinsichtlich dieses Risikos Vorkehrungen getroffen hat, die über die Anforderungen der Vorratsdaten-RL hinausgehen (insbesondere die ausdrückliche Verpflichtung zur Verschlüsselung) und in § 109 TKG 2003 Strafbestimmungen vorgesehen hat, die dem Schutz vor Missbrauch dienen. Es fehlen ihm aber insbesondere Bestimmungen "die eine missbräuchliche Verwendung von Vorratsdaten durch die zur Speicherung verpflichteten Anbieter unter Strafe stellen (vgl. dagegen § 301 Abs. 3 StGB betreffend Mitteilungen über den Inhalt von Ergebnissen aus einer Auskunft über Vorratsdaten)" (RNr 187). Der VfGH hält fest,

dass (sofern keine gerichtlich strafbare Tat vorliegt) die "bloße" unbefugte Verwendung von Daten, die im Rahmen der Vorratsdatenspeicherung erfasst werden, nicht mit Verwaltungsstrafe bedroht ist, sodass insofern ein Missbrauch dieser Daten mit den Mitteln des (Verwaltungs-)Strafrechts nicht bekämpft wird. Darüber hinaus hat die mündliche Verhandlung ergeben, dass die Datenschutzkommission bzw. die Datenschutzbehörde seit Inkrafttreten der Vorschriften über die Vorratsdatenspeicherung zur Überprüfung der Einhaltung dieser Vorschriften nicht tätig geworden ist. [RNr 190]

Bereits Speicherung - nicht erst Zugriff auf Daten - ist ein Eingriff von besonderem Gewicht

Ungeachtet des Umstandes, dass der Gesetzgeber die Speicherung von Daten auf Grund des § 102a TKG 2003 zwar explizit und ausschließlich zur Ermittlung, Feststellung und Verfolgung von Straftaten, deren Schwere eine Anordnung nach § 135 Abs. 2a StPO rechtfertigt, zulässt (§ 102a Abs. 1 letzter Satz TKG 2003) und damit einen gesetzlich festgelegten Zweck schafft, liegt bereits in der Speicherung ein Eingriff von besonderem Gewicht. [RNr 191]
Dabei ist zu veranschlagen, dass für die Daten jener Betroffenen, die keinerlei Anlass zur Speicherung gegeben haben [...] das einen Teil des Grundrechts auf Datenschutz bildende Recht auf Löschung gemäß § 1 Abs. 3 DSG 2000 (vgl. zB VfSlg. 16.150/2001) für den in § 102a TKG 2003 angeordneten Zeitraum von sechs bzw. sieben Monaten (§ 102a Abs. 8 TKG 2003) nicht gegeben ist. Hinzu kommt, dass Löschungsbegehren nur hinsichtlich jener speicherungspflichtigen Anbieter gestellt werden können, von denen der Betroffene weiß, dass diese ihn betreffende Vorratsdaten gespeichert haben. [RNr 192]

Durch Aufhebung des § 135 Abs 2a StPO verliert die Speicherverpflichtung nach § 102a TKG 2003 zudem ihren gesetzlich festgelegten Zweck, was unmittelbar zur Verfassungswidrigkeit führt: "Eine Speicherung auf Vorrat ohne konkreten Zweck – sei es auch nur für einen kurzen Zeitraum – wäre [...] jedenfalls verfassungswidrig" (RNr 194).

Regeln zur Löschung unklar
Für den VfGH ist auch unklar, ob die auf Vorrat gespeicherten Daten nach Ablauf der Frist unwiderruflich zu löschen sind, was aber jedenfalls erforderlich wäre: "In Anbetracht der Schwere des Eingriffs an sich lassen die Vorschriften betreffend die Vorratsdatenspeicherung [...] Bestimmungen vermissen, die für die von der Speicherung Betroffenen und die zur Speicherung Verpflichteten klarstellen, dass mit der 'Löschung' der auf Vorrat gespeicherten Daten der Ausschluss von deren Wiederherstellbarkeit verbunden zu sein hat [...]. Eine 'Löschung' in dem Sinn, dass bloß der Zugriff auf die weiterhin existenten (und rekonstruierbaren) Daten verhindert wird, genügt den dargelegten strengen verfassungsrechtlichen Anforderungen [...] nicht." (RNr 196).

Fristbeginn bei "always on"-Diensten?
Schließlich fehlt es auch an einer klaren Regelung für den Fristenlauf bei "always on"-Diensten. Die - von der Bundesrgierung in der Verhandlung dargelegte - Möglichkeit einer "verfassungskonformen" Auslegung vermag "aber keine hinreichende gesetzliche Determinierung des Grundrechtseingriffs zu ersetzen" (RNr 198).

Fazit: nicht verhältnismäßig

Im Ergebnis sind die antragstellenden Parteien daher insoweit im Recht, als sie der Sache nach geltend machen, dass die Regelungen in ihrem Zusammenhang nicht verhältnismäßig sind: Die Beschränkungen dieses Grundrechts auf Datenschutz nach dem Gesetzesvorbehalt des § 1 Abs. 2 DSG 2000 wären nur auf Grund von Gesetzen zulässig, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind und die ausreichend präzise, also für jedermann vorhersehbar, regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist. Gesetzliche Beschränkungen des Grundrechts auf Datenschutz müssen das gelindeste Mittel zur Zielerreichung bilden und in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit ihnen verfolgten Ziele verhältnismäßig sein.
Diese Anforderungen erfüllen die Regelungen betreffend die Vorratsdatenspeicherung in ihrer Zusammenschau (§ 135 Abs. 2a StPO iVm § 102a TKG 2003, § 53 Abs. 3a Z 3 SPG iVm § 102a TKG 2003, § 53 Abs. 3b SPG iVm § 102a TKG 2003) aus den angeführten Gründen nicht. [RNr 199]

VfGH hebt nationale Regelungen zur Vorratsdatenspeicherung auf - Zugriff auf Betriebsdaten weiter möglich

Nach der Feststellung der Ungültigkeit der Richtlinie über die Vorratsspeicherung von Daten durch den EuGH (dazu im Blog hier und hier) war es keine große Überraschung, dass der Verfassungsgerichtshof nun die österreichischen Regelungen, die zur Umsetzung dieser Richtlinie geschaffen wurden, als verfassungswidrig aufgehoben hat. Das Erkenntnis wurde heute mündlich verkündet, schriftlich ist vorerst nur eine Pressemitteilung des VfGH verfügbar, in der immerhin der konkrete Spruch des Erkenntnisses - zumindest betreffend die aufgehobenen Bestimmungen - wiedergegeben wird; im übrigen werden darin aber nur sehr allgemeine Hinweise auf die Begründung des Erkenntnisses gegeben (nach einer Pressemeldung wurde zudem der Antrag der Kärntner Landesregierung zurückgewiesen, "da dieser nicht ausreichend formuliert worden war" - ich nehme an, dass die aufzuhebenden Normen nicht präzise bezeichnet waren Update 29.06.2014: nach einem Gespräch mit jemandem, der bei der Verkündung zugehört hat, dürfte es so gewesen sein, dass die Kärntner Landesregierungen nur Bestimmungen des TKG 2003 angefochten hat, der VfGH jedoch der Auffassung war, dass diese mit den Bestimmungen der StPO und des SPG, die die Auskunftserteilung regeln, in einem untrennbaren Zusammenhang stehen).
Update 30.07.2014: nunmehr ist die schriftliche Ausfertigung des Erkenntnisses verfügbar.
Update 31.07.2014: siehe nun zur schriftlichen Ausfertigung des Erkenntnisses im Blog hier.

Zwar ist das Erkenntnis nach § 26 VfGG "mit den wesentlichen Entscheidungsgründen" zu verkünden, dennoch lässt sich leider aus der Meldungen, die ich bis jetzt durchgesehen habe, nicht allzuviel erkennen. Auch der Live-Ticker auf netzpolitik.org gibt dazu nicht viel her, außer dass sich die Aufhebung auf Art 1 (§ 1) DSG und Art 8 EMRK stützt, was jetzt auch nicht wirklich überraschen kann. Ob zB auch Erwägungen zu Art 10 EMRK erfolgten oder welche Rolle die GRC spielte, lässt sich damit nicht feststellen. Eine ernsthafte inhaltliche Auseinandersetzung mit dem Erkenntnis kann aber ohnehin erst nach Vorliegen der schriftlichen Ausfertigung erfolgen. Daher vorerst hier nur kurze Anmerkungen zu den aufgehobenen Rechtsvorschriften und zur Frage, auf welche Daten nun weiter zugegriffen werden kann.

Aufgehobene Rechtsvorschriften
Die Richtlinie zur Vorratsdatenspeicherung von Daten wurde in Österreich mit der Novelle BGBl I 2011/27 zum TKG 2003 umgesetzt. Begleitet wurde diese Umsetzung durch Anpassungen in der Strafprozessordnung (StPO) und im Sicherheitspolizeigesetz (SPG), beides mit der Novelle BGBl I 2011/33. Die tragenden Teile dieser Novellen wurden nun vom VfGH aufgehoben.

Im TKG 2003 sind von der Aufhebung folgende Bestimmungen betroffen:

• § 102a ("Vorratsdaten") zur Gänze: dies betrifft die Verpflichtung zur Speicherung von Vorratsdaten
• § 102b ("Auskunft über Vorratsdaten") zur Gänze: in dieser Bestimmung war geregelt, dass eine Auskunft über Vorratsdaten ausschließlich aufgrund einer gerichtlich bewilligten Anordnung der Staatsanwaltschaft zur Aufklärung und Verfolgung von - näher umschriebenen - schweren Straftaten zulässig ist.
• § 102c Abs 2, 3 und 6: Regeln zur Protokollierung von Zugriffen auf Vorratsdaten.
• Die Definition des Begriffs "Vorratsdaten" in § 92 Abs 3 Z 6b ("Daten, die ausschließlich aufgrung der Speicherverpflichtung gemäß § 102a gespeichert werden")
• Die sich auf Vorratsdaten beziehenden Wortfolgen in einer Reihe von Bestimmungen (§ 93 Abs 3, § 94 Abs 1, 2 und 4, § 98 Abs 2, § 99 Abs 5 Z 2, 3 und 4), in denen im Wesentlichen festgelegt wurde, dass von bestimmten Regeln nicht nur "normale" Daten, sondern auch Vorratsdaten betroffen sind.
• Die Strafbestimmungen bei Verletzung von Pflichten im Zusammenhang mit der Vorratsdatenspeicherung (§ 109 Abs 3 Z 22 bis 26).

Damit verbleiben im TKG 2003 nur mehr sehr bruchstückhafte Regelungen zu Vorratsdaten (zB die "2 Container-Lösung" in § 102c Abs 1), die aber angesichts des Wegfalls aller tragenden Regelungen zur Vorratsdatenspeicherung ins Leere laufen. Der Gesetzgeber wird sie wohl bei nächster Gelegenheit beseitigen, ebenso wie den auch noch verbliebenen Hinweis in § 1 Abs 4 Z 7 TKG 2003, wonach mit dem TKG 2003 auch die - nicht mehr gültige - RL über die Vorratsspeicherung von Daten umgesetzt wird.

In der StPO sind folgende Bestimmungen von der Aufhebung betroffen.

• § 134 Z 2a: Definition der "Auskunft über Vorratsdaten"
• § 135 Abs 2a: Festlegung, in welchen Fällen die Auskunft über Vorratsdaten zulässig ist

Im SPG wurde die Wortfolge "auch wenn hiefür die Verwendung von Vorratsdaten gemäß § 99 Abs. 5 Z 4 iVm § 102a TKG 2003 erforderlich ist," sowohl in § 53 Abs 3a Z 3 als auch in § 53 Abs. 3b aufgehoben. Auch in den dort geregelten Fällen (im Wesentlichen: Abwehr einer konkreten Gefahr für Leben, Gesundheit oder Freiheit, eines gefährlichen Angriffs oder einer kriminellen Verbindung bzw bei "Vermissten", wenn eine gegenwärtige Gefahr anzunehmen ist) kann also nicht mehr auf Vorratsdaten zurückgegriffen werden - die allerdings ohnehin nicht mehr gespeichert werden dürfen.

Ab wann?
Der Bundeskanzler ist nach Art 140 Abs 5 B-VG zur unverzüglichen Kundmachung der Aufhebung im Bundesgesetzblatt verpflichtet. Da der VfGH keine Frist für das Außerkrafttreten bestimmt hat, tritt die Aufhebung "mit Ablauf des Tages der Kundmachung in Kraft". Mit einer baldigen Kundmachung ist zu rechnen, sodass auch die juristisch interessante Frage, ob die - wohl auch unionsrechtswidrigen - Normen wegen des Vorrangs des Unionsrechts allenfalls auch schon bis zur Kundmachung des VfGH unangewendet bleiben müssten (zu einem derartigen Fall siehe etwa das VwGH-Erkenntnis vom 23.10.2013, 2012/03/0102), nicht beantwortet werden muss.
Update 30.06.2014: Die Aufhebung wurde kundgemacht am 30.06.2014 mit BGBl I 2014/44.

Keine Auskunft über Vorratsdaten - aber weiterhin Zugriff auf "Betriebsdaten"
Dass die Regeln über die Vorratsdatenspeicherung aufgehoben wurden, bedeutet nicht, dass die Strafverfolgungs- bzw Sicherheitsbehörden nicht dennoch auf Daten einer Nachrichtenübermittlung zugreifen könnten. Allerdings sind sie dabei auf die betriebsnotwendig anfallenden Daten, soweit diese (zulässigerweise) gespeichert sind, beschränkt (vgl die Definition von "Betriebsdaten" in § 2 Datensicherheitsverordnung TKG-DSVO]).

Für Verkehrsdaten gilt gemäß § 99 TKG 2003 - wie in der RL 2002/58 festgelegt - der Grundsatz, dass sie "nach Beendigung der Verbindung unverzüglich zu löschen oder zu anonymisieren sind". Eine - gewichtige - Ausnahme von diesem Grundsatz ist freilich, dass diese Daten zu speichern sind, wenn dies für Zwecke der Verrechnung von Endkunden- oder Vorleistungsentgelten (also zB auch für die Interconnection-Abrechnung) erforderlich ist. Sie sind zu löschen, "sobald der Bezahlvorgang durchgeführt wurde und innerhalb einer Frist von drei Monaten die Entgelte nicht schriftlich beeinsprucht wurden." Je nach Rechnungskreislauf liegen solche Daten also zumindest etwa vier Monate, oft auch sechs Monate vor. Auf diese Daten kann natürlich weiterhin insbesondere nach § 135 StPO in den dort geregelten Fällen (vereinfacht: Aufklärung oder Aufenthaltsermittlung bei schwereren Straftaten) zugegriffen werden.

Der wesentliche Unterschied zum Zugriff auf Vorratsdaten ist, dass die Strafverfolgungsbehörden damit nur mehr auf jene Daten zugreifen können, die betriebsnotwendig vorliegen und noch nicht gelöscht sind. Das wird bei den klassischen "Verbindungsdaten" in der Telefonie in der Regel kaum einen Unterschied machen, wohl aber bei all den Daten, die nach den Regeln über die Vorratsdatenpeicherung zusätzlich zu den verrechnungsrelevanten Daten zu speichern waren oder bei E-Mail-Diensten, bei denen die bisher nach § 102 Abs 4 TKG 2003 zu speichernden Daten in der Regel wohl nicht verrechnungsrelevant waren.