Der Zombie Vorratsdatenspeicherung (VDS) ist immer noch nicht erledigt, trotz zahlreicher Gerichtsurteile, die sowohl europäische als auch nationale VDS-Gesetze für ungültig erklärt haben. Diesen Donnerstag ist die anlasslose Massenüberwachung neuerlich Thema bei einem Treffen der EU-Minister*innen für Justiz und Inneres. Das Ziel des Rates ist es, eine Form der Speicherung finden, die nicht gleich wieder vom Europäischen Gerichtshof einkassiert wird. Der hatte nämlich strenge Vorgaben gemacht: keine Anlasslosigkeit, keine flächendeckende Speicherung.
Doch die EU-Staaten wünschen offenbar weiterhin flächendeckende Datenspeicherung. Angedachte Änderungen, die bisher verlautet wurden, sind eher kosmetisch. Auf eine Informationsfreiheitsanfrage von Digitalcourage wurde bekannt, dass die europäische Polizeiagentur Europol vorschlägt, lediglich einige technische Daten wie die Antennenlänge des benutzten Telekom-Geräts nicht zu erfassen. Sensible Metadaten wie Verbindungsteilnehmer, Nummern und anderes sollen jedoch weiterhin gespeichert werden. Ob die VDS überhaupt dazu beiträgt, Straftaten besser aufzuklären, ist bis heute nicht bewiesen. Studien und Gutachten legen das Gegenteil nahe.
Bei dem Ratstreffen diese Woche besprechen die Mitgliedsstaaten, wie sie trotz des Widerstands des Europäischen Gerichtshofes (EuGH) einen neuen Anlauf zur Massenspeicherung nehmen können. Die Minister*innen werden zunächst die EU-Kommission auffordern, bis 2020 eine Studie über die Wiedereinführung der Vorratsdatenspeicherung durchzuführen. Bis dahin werde der EuGH in neuen Urteilen vielleicht eine Rechtslücke für die Wiedereinführung öffnen, sagen EU-Diplomaten.
Viele Mitgliedstaaten warten nicht auf eine gesamteuropäische Lösung, sie fahren mit der massenhaften Speicherung von Kommunikationsdaten fort oder haben neue Gesetze dazu erlassen. Von 25 EU-Mitgliedstaaten haben bereits 22 Länder eine Form der Vorratsdatenspeicherung in Gesetz gegossen – jedoch laufen davon in sechs Ländern Klagen gegen die VDS. Lediglich in Österreich, den Niederlanden und Slowenien gibt es bislang keine Massenspeicherung (mehr), meist aufgrund von Urteilen nationaler Gerichte.
Der Stand der Umsetzung der Vorratsdatenspeicherung geht aus einem Arbeitspapier des Rates der Europäischen Union hervor, den wir hier als PDF veröffentlichen.
Von Interesse: Stand der Umsetzung
In dem Arbeitspapier sind alle EU-Länder mit dem aktuellen Stand der Umsetzung der VDS gelistet. Zudem gibt das Dokument einen Überblick über aktuelle Gesetzgebungsverfahren, die spezifischen Gesetze sowie relevante Fälle vor Gericht.
Dass der Rat sich dafür interessiert, wie es um die Vorratsdatenspeicherung der EU-Staaten bestellt ist, dürfte daran liegen, dass seit der gekippten EU-Vorratsdatenspeicherungsrichtlinie von 2006 kaum noch jemand weiß, wo diese noch umgesetzt ist. Aufgrund zahlreicher Gerichtsurteile auf EU- und Länderebene, den daraus folgenden Anpassungen, sowie gewissen Freiheiten der Mitgliedstaaten, ist ein bunter Flickenteppich zur Vorratsdatenspeicherung in Europa entstanden.
Die Karte zeigt den Stand der Umsetzung der Vorratsdatenspeicherung auf Grundlage des Arbeitspapiers. Rot gefärbte Länder haben bereits die VDS eingeführt. In den Ländern, die gelb markiert sind, gibt es zwar ein Gesetz zur VDS, dieses liegt jedoch mit einer Klage bei Gericht, ein Urteil wurde noch nicht gefällt. Lediglich in den grün gekennzeichneten Ländern ist die Vorratsdatenspeicherung bereits vom Tisch.
Vorratsdatenspeicherung im Überblick
Eine erste EU-Richtlinie zur Vorratsdatenspeicherung gab es 2006, die in Deutschland 2008 umgesetzt wurde. 2010 kippte das Bundesverfassungsgericht die deutsche Umsetzung. Anfang 2014 wurde die anlasslose Massenüberwachung dann durch den Europäischen Gerichtshof für ungültig erklärt. In einem weiteren Urteil im Jahr 2016 knüpfte das Gericht die Speicherpflicht von Telekommunikationsdaten an strenge Voraussetzungen. Seitdem versuchen viele Länder, durch kosmetische Veränderungen an der VDS festzuhalten.
Sonderfall Deutschland
In Deutschland ist die Vorratsdatenspeicherung de facto ausgesetzt, obwohl es seit 2015 – kurz nach dem Urteil des Europäischen Gerichtshofs – wieder ein neues Gesetz über die Speicherpflicht von Verbindungsdaten gab. Gegen dieses Gesetz gab es viele Klagen und Verfassungsbeschwerden. 2017 entschied das Oberverwaltungsgericht in Nordrhein-Westfalen auf einen Eilantrag des Providers Spacenet, dass der Anbieter keine Vorratsdaten speichern muss, bis ein Urteil des Bundesverfassungsgerichts vorliegt. Das Kölner Verwaltungsgericht bestätigte diese Entscheidung im Jahr 2018 für die Deutsche Telekom. Abschaffen können die Verwaltungsgerichte die deutsche VDS-Version jedoch nicht. Seitdem verzichtet die Bundesnetzagentur darauf, sie bei den Providern in Deutschland durchzusetzen.
Das Urteil des Bundesverfassungsgerichts wird noch in diesem Jahr erwartet.
Hier das Original-Dokument aus dem PDF befreit:
- Date: Brussels, 06 March 2019
- N°: WK 3103/2019 INIT
- From: Council of the European Union, General Secretariat
- To: Delegations
- N° prev. doc.: 5206/2017 REV 3
Data retention – Situation in Member States
Delegations will find in the Annex a table outlining the status of legislation on data retention and relevant court cases on data retention in the Member States as noted to date. The table in Annex provides an update of the table annexed to document 5206/2017 REV 3 on the basis of contributions of: BE, CZ, DK, DE, FR, HR, CY, HU, MT, AT, PL, PT, SE, UK.
| Member State | Updated on | DR legislation in force | Status of the legislation | Relevant Court cases |
|---|---|---|---|---|
| Austria | 5 March 2019 | No | Currently, AT neither has any DR legislation in force, nor is AT preparing any new DR law. Unlike the Data retention table, distributed on 27 Nov. 2017 (WK 5206/2017 ADD 3), indicates, AT never intended to install a data retention regime since this regime was repealed by the Austrian Constitutional Court in 2014 following the decision of the ECJ in Digital Rights Ireland. Since then there is no data retention regime in force in AT. However, law enforcement authorities can access data that has been stored by the providers for billing purpose, where the retention period is, in general, three months. Under EE presidency, AT presented a different model („Quick Freeze“) which was not a legislative proposal concerning DR, but rather gives an opportunity to refrain from deletion of data stored for billing purposes for a maximum time period of 12 months, which was subsequently wrongly inserted in the data retention table in document WK 5206/2017 ADD 3 as a „DR legislative proposal“. | Most parts of the Austrian law on data retention were declared invalid by the Constitutional Court on 27 June 2014 following the Ireland Digital Rights judgement of 8 March 2014. |
| Belgium | 5 March 2019 | Yes |
|
In the aftermath of the decision of the Court of Justice of the EU in the case C- 203/15 Tele2 Sverige on the 21st of December 2016, four claims for annulment of the new Belgian legislation have been introduced before the Constitutional Court. On the 19th of July 2018, the Constitutional Court referred three questions to the Court of Justice of the EU for further interpretation (case C-520/18). It concerns (1) whether a broader objective would justify a general data retention scheme; (2) whether positive obligations imposed on the government on the basis of the Charter would justify a general data retention scheme; and (3) whether the effects of the national legislation could be temporarily uphold in case of a complete/partial annulment. Fourteen Member States and the European Commission have submitted written contributions. A hearing is expected in the course of 2019. |
| Bulgaria | 29 November 2017 | Yes |
|
The previous Bulgarian data retention law was declared incompatible with the national constitution by the constitutional Court on 12 March 2015. |
| Croatia | 5 March 2019 | Yes |
|
|
| Cyprus | 5 March 2019 | Yes | Following the judgement in the case of Digital Rights Ireland the national legislation has been upheld by a Supreme Court’s Judgement in October 2015. Although the national law has not been challenged before the Supreme Court after the issuing of the judgement in Tele2 Sverige Case, an interim judgment of the Assize Court issued in January 2019 referred to the issue in the following context: The defense lawyer objected to the filing of digital evidence containing telecommunication data of the defendant by the prosecution, alleging that the data was kept illegally by the internet service provider (isp) thus violating the right to private communication. To support his position the defense lawyer referred to the judgement in Tele2 Sverige. The objection was dismissed by the Assize Court on the ground that the national law provides for all necessary safeguards to the right to private communication explaining the following in its judgment:
|
|
| Czech Republic | 5 March 2019 | Yes |
|
The current legislation is being challenged before the Constitutional Court. |
| Denmark | 5 March 2019 | Yes |
|
The Danish rules on data retention (executive order no. 988 of 28 September 2006) are currently being challenged before the Eastern High Court. The case has been postponed – initially until 1 September 2019 – due to the pending case C-520/18 at the ECJ. |
| Estonia | 29 November 2017 | Yes |
|
|
| Finland | 29 November 2017 | Yes |
|
|
| France | 5 March 2019 | Yes |
|
Following the Tele2 judgement, 2 French requests for preliminary ruling are pending before the ECJ (C- 511/18 and C-512/18). Those cases have been brought by the French administrative Supreme Court on July 26th. On February 15th, the French constitutional court has ruled that former legislation on the access to metadata by customs officers during criminal procedures was unconstitutional. The legislation which has been overruled by the constitutional court had already been repealed by a new one before this decision (see “status of legislation”). |
| Germany | 5 March 2019 | Yes |
|
Constitutional Court The current legislation is being challenged before the German Constitutional Court (several constitutional complaints). Requests for interim decisions in relation to these complaints have been denied in July 2016 and in April 2017, respectively. Administrative Courts A complaint brought forward by an Internet Access Provider – directed against the obligation to store internet traffic data only – is pending at the Federal Administrative Court. After the corresponding request for interim relief has been denied in February 2017 by the Administrative Court Cologne, the Higher Administrative Court for North Rhine-Westphalia granted the appeal against that decision and ruled that the provider is not obliged to store data until the main proceedings are concluded. It based its decision on the notion that in light of the Tele2 judgment the German legislation on data retention would clearly be incompatible with EU law. The court acknowledged that the current storage obligation is more restrictive in comparison to the previous system. It concluded, however, that these restrictions do not warrant a different assessment than that provided by the Tele2 judgment regarding the SE and GB legislation. Following the decision of the Higher Administrative Court, the Federal Network Agency announced that it will abstain from enforcement measures regarding the storage obligations and that it won’t impose fines for non-compliance with the storage obligations until main proceedings are concluded. The Administrative Court Cologne followed the decision of the Higher Administrative Court on 20. April 2018. The appeal against this decision is pending at the Federal Administrative Court. Another corresponding complaint has been filed by another Internet Access Provider (Telekom Deutschland GmbH). It was parallel ruled by the Administrative Court Cologne. The appeal against this decision is pending at the Federal Administrative Court as well. |
| Greece | 29 November 2017 | Yes |
|
|
| Hungary | 5 March 2019 | Yes |
|
|
| Ireland | 29 November 2017 | Yes |
|
|
| Italy | 29 November 2017 | Yes |
|
|
| Latvia | 29 November 2017 | Yes |
|
|
| Lithuania | 29 November 2017 | Yes |
|
|
| Luxembourg | 29 November 2017 | Yes |
|
|
| Malta | 5 March 2019 | Yes |
|
In 2018, three constitutional cases were filed wherein the applicants challenged Legal Notice 198 of 2008 (the subsidiary legislation transposing Directive 2006/24/EC into Maltese legislation). All three cases are still at first instance level. |
| Netherlands | 29 November 2017 | No |
|
|
| Poland | 5 March 2019 | Yes |
|
Judgement of the Constitutional Tribunal of 30 July 2014 (K 23/11) on catalogue of data on the individual, collected via electronic means in the course of operational surveillance; data destruction requirements. |
| Portugal | 5 March 2019 | Yes |
|
Judgement of the Constitutional Court no. 420/2017, of 13 July 2017: The Portuguese Constitutional Court was called upon to decide whether specific provisions of Law 32/2008, of 17 June, were in conformity with the Portuguese Constitution. The question posed to the Constitutional Court was specifically whether the duty imposed on the providers of publicly available electronic communications services or of a public communications network to retain, for the period of one year from the date of the conclusion of the communication, data regarding the name and address of the subscriber or registered user to whom the user ID was attributed at the time of the communication violated the right to secrecy of correspondence and other means of private communication and the right to privacy of personal and family life enshrined in the Constitution. The Constitutional Court declared that the relevant provisions do not contradict the Constitution. Further to this, the Constitutional Court concluded that the ECJ’s reasoning in the Ireland Digital Rights judgement of 8 March does not apply to Law 32/2008 and, in this regard, does not provide sufficient grounds to invalidate it. In fact, this law densified the Directive by regulating the procedure of retention and access to the data by the authorities and establishing adequate safeguards. |
| Romania | 29 November 2017 | Yes |
|
The previous Romanian data retention law was declared unconstitutional by the Constitutional Court on 8 July 2014. |
| Slovakia | 29 November 2017 | Yes |
|
Ruling of the Constitutional Court of the Slovak Republic of 29 April 2015 No. PL ÚS 10/2014-78 (On 29 April 2015, The Grand Chamber of the Constitutional Court (PL. ÚS 10/2014) proclaimed provisions Article 58(5) to (7) and § 63(6) of the Act on Electronic Communications (Act No. 351/2011 Coll.), which until now required mobile network providers to track the communication of their users, as well as provisions of Article 116 of the Criminal Code (Act No. 301/2005 Coll.) and § 76(3) of the Police Force Act (Act No. 171/1993 Coll.), which allowed access to this data, to be in contradiction to the constitutionally guaranteed rights of citizens to privacy and personal data. |
| Slovenia | 29 November 2017 | No |
|
|
| Spain | 29 November 2017 | Yes |
|
|
| Sweden | 5 March 2019 | Yes |
|
|
| United Kingdom | 5 March 2019 | Yes |
|
In April 2018, the UK High Court ruled on the UK’s data retention regime and found in the Government’s favour on all parts except where we had conceded (and have subsequently amended), including ruling that our regime is not general and indiscriminate. The Government is facing ongoing legal challenge to the Investigatory Powers Act, and a hearing is scheduled for June 2019. |
Ist die VDS in Deutschland tatsächlich ausgesetzt?
Ausgesetzt ist in Deutschland nur die Möglichkeit der Regierung, eine Speicherung an zu ordnen. Was die Provider selber machen, bleibt ihnen überlassen. Und da wird wohl fleißig gespeichert. Ob die Provider selber mit Big Data Geld verdienen wollen, oder ob die Polizei die Auskünfte nur gut bezahlt – in der Praxis werden auch in Deutschland Daten auf Vorrat gespeichert und an die Polizei ausgehändigt.
Nur weil Studien bisher keine besondere Wirksamkeit der VDS für die Kriminalitätsbekämpfung nachweisen konnte, zeigen sie nicht automatisch das Gegenteil. Das würde ja bedeuten, dass die VDS die Strafverfolgung sogar erschwert. Zumindest wird im verlinkten Artikel nichts dazu gesagt.
Am 22. Mai 2019 lehnte das tschechische Verfassungsgericht ab, das tschechische Gesetz zur Datenspeicherung für verfassungswidrig zu erklären.
https://edri.org/czech-constitutional-court-rejects-complaint-on-data-retention/
https://www.usoud.cz/fileadmin/user_upload/Tiskova_mluvci/Publikovane_nalezy/2019/Pl._US_45_17_vcetne_disentu.pdf
Österreich plant seit FPÖVP die Wiedereinführung einer diesemla rechtkonformen Vorratsdatenspeicherung: https://derstandard.at/2000101544729/Regierung-will-legale-Vorratsdatenspeicherung
Geplant ist zumindest etwas, genau so wie man den als „Geheim“ eingestufen Bundestrojaner einführen möchte: https://derstandard.at/2000104663788/Kickls-geheimer-Bundestrojaner-Parlamentarische-Anfrage-soll-offene-Fragen-klaeren
Die grüne Farbe ist meiner Meinung nach nicht ganz korrekt.