EuGH: Die anlasslose Vorratsdatenspeicherung verstößt gegen EU-Recht

Die Vorratsdatenspeicherung ist seit vielen Jahren ein kontrovers diskutiertes Thema in Deutschland und den weiteren Mitgliedstaaten der EU. Anbieter von öffentlich zugänglichen Telekommunikations- und Internetdiensten werden durch die gesetzlichen Regelungen zur Vorratsdatenspeicherung verpflichtet, sogenannte Verkehrsdaten über einen gesetzlich vorgegebenen Zeitpunkt auf Vorrat zu speichern. Verkehrsdaten enthalten spezifische Informationen, wie Telefon- und Standortdaten sowie Zeit und IP-Adressen bei der Internetbenutzung. Auf diese Daten können Strafverfolgungsbehörden, Nachrichtendienste oder andere Behörden, die mit der Aufgabe der Gefahrenabwehr betraut sind, zugreifen. Sie sehen daher in der Vorratsdatenspeicherung ein wirksames Hilfsmittel für die Bekämpfung von Straftaten.

Die Vorratsdatenspeicherung in Deutschland ist seit 2017 aufgrund der umstrittenen Regelungen und der unsicheren Rechtslage ausgesetzt. Für eine Reform wurde die bereits angekündigte Entscheidung des EuGH abgewartet.

Der EuGH hatte sich u. a. mit zwei Vorabentscheidungsersuchen des Bundesverwaltungsgerichts (Rs. C-793/19 und C-794/19) zu beschäftigen. Hintergrund waren Klagen der SpaceNet AG sowie der Telekom Deutschland GmbH gegen die Bundesnetzagentur, welche sich gegen die Speicherpflicht zur Wehr setzten. Die eigentliche Vorlagefrage zielte darauf ab , ob die im Telekommunikationsgesetz (TKG in der Fassung bis zum 10.12.2015) festgesetzte Vorratsdatenspeicherung unionsrechtswidrig sei.

Am 20.09.2022 bestätigte der Gerichtshof nun seine bisherige Rechtsprechung, welche bereits zu Regelungen anderer Mitgliedsstaaten ergangen ist, und entschied, dass die allgemeine und unterschiedslose Vorratsdatenspeicherung von Verkehrs- und Standortdaten gegen EU-Recht verstößt. Dies stimmt im Ergebnis auch mit der Aussage aus den Schlussanträgen des EuGH-Generalanwalts vom 18.10.2021 überein.

Die beanstandete Regelung des TKG ermöglicht die Speicherung von Verkehrs- und Standortdaten für eine Dauer von vier bzw. 10 Wochen hinweg. Hierdurch können laut EuGH sehr genaue Rückschlüsse auf das Privatleben der Bürgerinnen und Bürger gezogen werden. Tägliche Gewohnheiten, soziale Beziehungen, regelmäßige Aufenthaltsorte und Verkehrsrouten würden ein vollständiges Profil des Betroffenen zulassen. Dieser erhebliche Eingriff in die Privatsphäre ist mit dem EU-Recht unvereinbar. Konkret geht es um einen Verstoß gegen
Art. 15 Abs. 1 der Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie EG 2002/58/EG in der Fassung bis zum 25.11.2009).

Der EuGH formulierte jedoch zugleich strenge Fallgruppen und Voraussetzungen, bei deren Vorliegen eine Vorratsdatenspeicherung ausnahmsweise zulässig sei. Aufgeführt wird etwa die allgemeine und unterschiedslose Speicherung zum Schutz der nationalen Sicherheit, d.h. wenn sich der Staat einer real und aktuell oder vorhersehbar einzustufenden ernsten Bedrohung für die nationale Sicherheit gegenübersieht. Voraussetzung sei eine Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle. Die Anordnung müsse zudem auf das absolut Notwendige begrenzt werden.

Eine vollständige Auflistung der weiteren Ausnahmetatbestände kann dem Urteil entnommen werden.

Für sämtliche Regelungen sei jedoch durch klare und präzise Vorgaben sicherzustellen, dass bei der Speicherung der fraglichen Daten, die für sie geltenden materiellen und prozessualen Voraussetzungen eingehalten werden und dass die Betroffenen über wirksame Garantien zum Schutz vor Missbrauchsrisiken verfügen.

Mit der Entscheidung des Gerichts ist die – zurzeit ausgesetzte – Vorratsdatenspeicherung in seiner aktuellen Form nicht mehr haltbar. Somit ist es an der Politik eine unionsrechtskonforme Regelung zu schaffen, welche die Vorgaben des EuGH umsetzt. Die Frage um die Vorratsdatenspeicherung in Deutschland bleibt also auch vor allem mit Blick auf das Datenschutzrecht spannend

Die in dem vorstehenden EuGH-Urteil angeführten datenschutzrechtlichen Grundsätze sind auch im Zusammenhang mit der Protokollierung von IP-Adressen in Server Logs auf Websites von Unternehmen zu beachten. Auch wenn IP-Adressen häufig nützlich sind, um die Sicherheit eines Servers zu erhöhen und Täter von Web-Angriffen zu ermitteln, wird deren anlasslose Protokollierung in der Regel datenschutzrechtlich unzulässig sein.

Haben Sie hierzu Fragen? Wir unterstützen Sie gern. Sprechen Sie uns einfach an!