Cybercrime Convention: Wie die EU-Kommission den EuGH umgehen will

Die EU-Kommission möchte das EU-Parlament davon abhalten, dem Europäischen Gerichtshof eine geplante Ausweitung der Cybercrime Convention zur Prüfung vorzulegen. Die Cybercrime Convention, auch als Budapester Abkommen zur Cyberkriminalität bekannt, erleichtert die Zusammenarbeit der Staaten des Europarates bei der Bekämpfung von Straftaten im Internet. Weil im Europarat auch autoritäre Staaten wie Aserbaidschan vertreten sind, fordern EU-Abgeordnete eine gerichtliche Überprüfung des geplanten Abkommens.

Der Europarat ist kein institutionelles Organ der EU, sondern eine europäische internationale Organisation. Er ist leicht zu verwechseln mit Europäischen Rat oder dem Rat der EU, die jedoch beide die Regierungen der EU-Mitgliedsstaaten repräsentieren. Der Europarat versammelt – mit Ausnahme von Russland, Belarus und dem Kosovo – zahlreiche europäische Staaten und kann selbst keine Gesetze erlassen. Um in der EU Gültigkeit zu erhalten, muss der Zusatzartikel zur Cybercrime Convention daher den üblichen Gesetzgebungsprozess auf EU-Ebene durchlaufen.

Das vom Europarat entwickelte Abkommen wurde 2001 beschlossen und 2006 schon einmal erweitert. Damals wurde es um das erste Zusatzprotokoll erweitert, das die unterzeichnenden Staaten zur Bekämpfung von rassistischem und fremdenfeindlichen Inhalten verpflichtet.

Der Innen- und Justizausschuss des EU-Parlaments (LIBE) hat Zweifel daran geäußert, dass das nun geplante zweite Zusatzprotokoll vereinbar mit geltendem EU-Recht ist. Denn die Vertragsparteien des Budapester Übereinkommens gehören nicht alle der EU bzw. dem Europarat an. Auch Staaten, die in keiner der beiden Institutionen vertreten sind, können sich dem Budapester Übereinkommen anschließen. Außerdem sind im Europarat auch autoritäre Staaten wie Aserbaidschan vertreten.

Zudem haben nicht alle Mitglieder des Europarats das „Übereinkommen zum Schutz von Individuen bei der automatischen Verarbeitung personenbezogener Daten“ unterzeichnet. Daher könnten durch das Zusatzprotokoll auch jene Länder Zugriff auf Daten von EU-Bürger:innen erhalten, die den Konsens der EU in Bezug auf Datenschutz und Persönlichkeitsrechte nicht teilen.

Staaten, in denen die Service-Provider stehen, auf denen die Daten gespeichert sind, könnten deren Abruf zwar verhindern, dies würde jedoch freiwillig erfolgen. Somit könnte das zweite Zusatzprotokoll unter anderem gegen Artikel 8 der Grundrechtecharta verstoßen, der den Schutz personenbezogener Daten vorsieht.

Gesetzesvorhaben auf Eis

Wie es nun weitergeht, ist offen. Üblicherweise wäre es nun an dem EU-Parlament, direkt über das Zusatzprotokoll abzustimmen. Allerdings hat LIBE Einwände gegen dieses Verfahren. Der Ausschuss will das Zusatzprotokoll stattdessen vorab dem EuGH zur Prüfung vorlegen. Den Weg dahin muss jedoch das EU-Parlament ebnen. In diesem Sinne hatte sich der Justizausschuss in einem Brief an die Präsidentin des EU-Parlaments Roberta Metsola gewandt und gefordert, dass das Parlament über eine gerichtliche Vorabprüfung durch den EuGH entscheidet – in der Hoffnung, dass es dieser zustimmt.

Ebendies will die EU-Kommission allerdings verhindern. Sie ist an einer schnellen Verabschiedung des Zusatzprotokolls interessiert – ungeachtet der Tatsache, dass damit Länder wie Aserbaidschan Zugriff auf Daten europäischer Bürger:innen erhalten könnten. EU-Innenkommissarin Ylva Johansson legte der Parlamentspräsidentin in einem Brief nahe, diese Abstimmung zu verhindern. Der Grund: Auch auf Ebene der Vereinten Nationen gebe es derzeit Verhandlungen zu einem vergleichbaren Abkommen, die Russland und China für ihre eigenen Interessen nutzen wollen. „Eine solche verzögerte Ratifizierung durch die EU-Mitgliedstaaten“, so die Kommissarin in dem Brief, „würde auch die Position der EU bei den UN-Verhandlungen über ein neues internationales Übereinkommen zur Bekämpfung der Cyberkriminalität untergraben, bei denen Russland und China einen Ansatz vertreten, der nicht mit den Errungenschaften des Übereinkommens des Europarats und seiner Protokolle übereinstimmt.“ Deshalb brauche es eine gemeinsame europäische Linie.

Eine solche Vorabprüfung komme nur selten vor, kommentiert Patrick Breyer, Piraten-Abgeordneter der Grünen-Fraktion, den Vorgang. Sie würde voraussichtlich ein bis zwei Jahre andauern, so Breyer gegenüber netzpolitik.org. Für diesen Zeitraum läge das zweite Zusatzprotokoll also auf Eis, denn das EU-Parlament kann erst nach abgeschlossener Prüfung entscheiden, ob es den Gesetzesvorschlag annimmt.

Moritz Körner, FDP-Abgeordneter im Europaparlament und Mitglied des LIBE, ist überzeugt, dass der EuGH das Zusatzprotokoll in seiner jetzigen Form wahrscheinlich kippen werde. Er sagt gegenüber netzpolitik.org: „Nach den peinlichen rechtlichen Fiaskos, die die EU-Kommission bei der Vorratsdatenspeicherungsrichtlinie, PNR und dem Privacy Shield erlitten hat, hat der Innenausschuss des Europäischen Parlaments kein Vertrauen mehr, dass die EU-Kommission den Schutz der Grundrechte bei internationalen Abkommen ernst nimmt.“ Die EU-Kommission habe mit ihren über Jahre getätigten politischen Entscheidungen bezüglich des Datenaustausches ihre rechtliche Glaubwürdigkeit verspielt, so Körner weiter.

Würde der EuGH das Zusatzprotokoll für unvereinbar mit dem europäischen Recht erklären, würde der Vetrag damit das gleiche Schicksal erleiden wie zuvor schon das Datenaustauschabkommen „Privacy Shield“ mit den USA, das der EuGH 2020 kippte.

Diese Sorge hat Kommissarin Johansson laut ihres Briefes offenkundig nicht: Sowohl die juristischen Dienste des EU-Parlaments als auch der Kommission hätten das Zusatzprotokoll bereits geprüft und für vereinbar mit dem europäischen Recht befunden, ebenso wie der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte.

Es bleibt nun abzuwarten, wie Parlamentspräsidentin Metsola entscheiden wird. Und ob das Parlament, falls sie nicht über die Vorabprüfung abstimmen lässt, dem Zusatzprotokoll zustimmt – und damit über die Bedenken des Justizausschusses hinweggeht.