Aktueller Umsetzungsstand

E. V ERGLEICHENDE B ETRACHTUNG DER EINZELSTAATLICHEN U MSETZUNGEN

Für die einzelnen Telekommunikationsunternehmen in den Mitgliedstaaten sind die in Kapitel D. dar-gestellten Regelungen nicht unmittelbar verbindlich, vgl. Art. 288 III AEUV.¹⁸⁹ Europäische Richtli-nie richten sich von ihrer rechtlichen Wirkung her zunächst an die zuständigen staatlichen Stellen der Mitgliedstaaten, die verpflichtet sind, die Vorgaben der Richtlinien innerhalb der Umsetzungsfrist in nationales Recht umzusetzen („gemeinschaftsrechtlicher Umsetzungsbefehl“¹⁹⁰). Erst diese nationalen Vorschriften stellen für die Telekommunikationsunternehmen unmittelbar geltendes Recht dar. Damit drängt sich die Frage auf, ob und wenn ja in welcher konkreten Ausgestaltung die 27 Mitgliedstaaten die in Kapitel B dargestellten europarechtlichen Vorgaben zur Gewährleistung der Datensicherheit der Vorratsdaten in nationales Recht umgesetzt haben. Der Fokus der Betrachtung richtet sich dabei vor allem auf nationale Vorgaben, die über die europarechtlichen Vorgaben hinausgehen. Da erst die Ge-samtschau der nationalen rechtlichen und praktischen Umsetzungen, die untereinander und mit den Vorgaben der Richtlinien inhaltlich verglichen werden können, Aussagen über das tatsächliche euro-paweit implementierte Sicherheitsniveau ermöglicht, wird im folgenden neben den rechtlichen Vorga-ben zudem die praktische Umsetzung der einzelstaatlichen VorgaVorga-ben in den Telekommunikationsun-ternehmen beleuchtet.

I. A

KTUELLER

U

MSETZUNGSSTAND

Aufgrund der breiten und zugespitzten gesellschafts- und rechtspolitischen Diskussionen um die Vor-ratsdatenspeicherung verlief deren Umsetzung auf nationaler Ebene nur schleppend. Nach Ablauf der Umsetzungsfrist am 15.9.2007 (vgl. Art. 15 I 1 VDSRL) hatten lediglich acht Mitgliedstaaten (Deutschland, Dänemark, Estland, Frankreich, Großbritannien, Lettland, Spanien und Tschechien) einzelstaatliche Durchführungsmaßnahmen ergriffen und die Vorgaben in nationales Recht umge-setzt.¹⁹¹ Bis dahin war, soweit die Mitgliedstaaten von der Möglichkeit des Vorbehalts Gebrauch ge-macht hatten (vgl. Art. 15 III 1 VDSRL), zumindest die Speicherpflicht in Bezug auf Mobilfunk- und Festnetztelefonie umzusetzen.¹⁹² Nachdem die Vorgaben der VDSRL ein Jahr später von Griechen-land, IrGriechen-land, den Niederlanden, Österreich, Polen und Schweden noch nicht umgesetzt waren, leitete die Kommission ein Vertragsverletzungsverfahren gegen jeden dieser sechs Mitgliedstaaten ein.¹⁹³

189 Eine unmittelbare Geltung von Richtlinien kommt nur in Ausnahmefällen unter bestimmten Voraussetzungen (nach Ab-lauf der Umsetzungsfrist und bei Regelungen ohne Umsetzungsspielraum) in Betracht. Im Hinblick auf die Vorratsdatenspei-cherungsrichtlinie scheidet diese aufgrund des bestehenden Umsetzungsspielraums (z.B. in Bezug auf die Speicherfrist zwi-schen 6-24 Monaten und in der Richtlinie fehlende Vorgaben zur Zweckbindung) aus.

190 Szuba: Vorratsdatenspeicherung, S. 262.

191 Vgl. Wimmer Andersson/ Buchinger u.a.: Rechtsvergleichende Analyse im Hinblick auf die Umsetzung der Richtlinie 2006/24/EG über die Vorratsspeicherung, S. 6. Teilweise bestanden in verschiedenen Mitgliedstaaten schon vor Erlass der Richtlinie 2006/24/EG nationale Regelungen zur Speicherung von Verkehrsdaten, vgl. zur Rechtslage vor der VDSRL Büllingen/Gillet/Gries/Hillebrand/Stamm: Stand und Perspektiven der Vorratsdatenspeicherung im internationalen Vergleich, im Internet abrufbar unter der URL

http://www.humanistische-union.de/fileadmin/hu_upload/doku/vorratsdaten/info/Studie_VDS_final_lang.pdf.

192 16 Mitgliedstaaten haben den Vorbehalt gem. Art. 15 III 1 VDSRL erklärt, so dass diesen bezüglich der „Speicherung von Kommunikationsdaten betreffend Internetzugang, Internet-Telefonie und Internet-E-Mail“ ein Aufschub der Umsetzung bis zum 15. März 2009 gewährt wurde. England und Tschechien haben den Vorbehalt nicht beansprucht.

193 Vgl. Szuba: Vorratsdatenspeicherung, S. 263.

Griechenland, Irland, Österreich und Schweden konnten letztendlich die Feststellung einer Vertrags-verletzung durch den EuGH nicht mehr abwenden.¹⁹⁴

Bis zum Zeitpunkt der Einreichung dieser Arbeit (August 2011) haben alle nationalen Gesetzgeber – mit Ausnahme von Schweden – die Vorratsdatenspeicherung in ihrer jeweiligen einzelstaatlichen Rechtsordnung verankert.¹⁹⁵ Die Kommission hat dementsprechend am 31. Mai 2011 beantragt, Schweden unter anderem zu einer Strafzahlung von täglich 40947,20 € zu verurteilen, bis die Richtli-nie umgesetzt und damit die Vertragsverletzung abgestellt wird.¹⁹⁶ Österreich hat das Gesetz zur Ein-führung der VDS¹⁹⁷ am 29. April 2011 beschlossen. Dieses tritt am 1. April 2012 in Kraft.

Abb. 25: Nationaler Umsetzungsstand der VDSRL im Vergleich¹⁹⁸

In fünf Mitgliedstaaten (Bulgarien, Deutschland, Rumänien, Tschechien und Zypern) wurden die nati-onalen Regelungen von den jeweiligen höchsten Gerichten verworfen.¹⁹⁹ Nur eines dieser Länder

194 Urteil des Gerichtshofes (Sechste Kammer) vom 4. Februar 2010 – Europäische Kommission/Schweden, Rechtssache C-185/09, Amtsblatt der Europäischen Union vom 27.3.2010, C 80/6; Urteil des Gerichtshofes (Siebte Kammer) vom 29. Juli 2010 – Europäische Kommission/Republik Österreich, Rechtssache C-189/09, Amtsblatt der Europäischen Union vom 11.9.2010, C 246/8; Urteil des Gerichtshofes (Achte Kammer) vom 26. November 2009 – Europäische Kommission/Irland, Rechtssache C-202/09, Amtsblatt der Europäischen Union vom 30.1.2010, C 24/16; Urteil des Gerichtshofes (Zweite Kam-mer) vom 26. November 2009 – Europäische Kommission/Griechenland, Rechtssache C-211/09, Amtsblatt der Europäischen Union vom 30.1.2010, C 24/16.

195 Eine Übersicht über alle nationalen Umsetzungsgesetze findet sich unter http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:72006L0024:DE:NOT.

196Vgl. Klage, eingereicht am 31. Mai 2011 — Europäische Kommission/Königreich Schweden - Rechtssache C-270/11, Amtsblatt der Europäischen Union vom 30.7.2011, C 226/17.

197 Das österreichische Umsetzungsgesetz ist im Internet abrufbar unter der URL ftp://ftp.freenet.at/privacy/gesetze/vorratsdatenspeicherung.pdf.

198 Die thematischen Karten wurden unter Zuhilfenahme eines Tools im Internet erstellt (http://geo.dianacht.de/makemap/) und anschließend mit Bildbearbeitungssoftware nachbearbeitet. Die Datenquellen der Abbildungen befinden sich im Anhang in den Abschnitten 1)-4).

199 Urteil des Obersten Bulgarischen Verwaltungsgerichts vom 11. Dezember 2008, vgl. zudem die Meldung auf heise.de, im Internet abrufbar unter der URL http://www.heise.de/newsticker/meldung/Vorratsdatenspeicherung-in-Bulgarien-vorerst-gestoppt-192081.html; Urteil des Deutschen Bundesverfassungsgerichts vom 15. Dezember 2009, BVerfGE 125, 260, im Internet abrufbar unter der URL

http://sorminiserv.unibe.ch:8080/tools/ainfo.exe?Command=ShowPrintVersion&Name=bv125260; Urteil des Rumänischen

II. Kategorien der zu speichernden Daten

(Bulgarien) hat seitdem rechtstechnisch nachgebessert und die Vorratsdatenspeicherung erneut mit Änderungen rechtlich implementiert.²⁰⁰

Belgien spielt gewissermaßen eine Sonderrolle. Obwohl Belgien die Richtlinie bisher nicht förmlich umgesetzt hat, geht die Kommission²⁰¹ aufgrund der dortigen Rechtslage und Praxis von einer (teil-weisen) Umsetzung aus.²⁰²

Damit ist die VDS aktuell in 22 der 27 Mitgliedstaaten der EU rechtlich verbindlich umgesetzt. Auf diese Mitgliedstaaten beziehen sich die folgenden Ausführungen. Im Hinblick auf die nähere zukünf-tige Entwicklung bleibt der Ausgang aktuell anhängiger verfassungsrechtlicher Klagen in Irland, Polen und Ungarn abzuwarten.

II. K

ATEGORIEN DER ZU SPEICHERNDEN

D

ATEN

Rechtlich betrachtet haben mit Ausnahme von Belgien²⁰³ alle Mitgliedstaaten, die die Richtlinie bis-lang umgesetzt haben, die Speicherung der von der VDSRL vorgegebenen Datenkategorien und Da-tentypen (vgl. Kapitel D. I. 1.) vorgesehen.²⁰⁴ Darüber hinausgehend zeigt die Betrachtung der natio-nalen Gesetzgebungsverfahren jedoch punktuelle (erfolgreiche) Versuche, auch Inhaltsdaten mit in die Vorratsdaten einfließen zu lassen. So verpflichtet die am 15. September 2007 in Kraft getretene däni-sche Verordnung die dänidäni-schen Internetzugangsanbieter zur Speicherung von IP-Protokollkopfdaten (IP-Adressen und Port-Nummern) des ersten, letzten und jedes 500sten IP-Pakets einer Internetsit-zung.²⁰⁵ Dies ermöglicht einen Rückschluss auf aufgerufene Internetseiten und verwendete Dienste und verstößt eindeutig gegen das Verbot der Speicherung von Inhaltsdaten aus Art. 5 II VDSRL. Über die dänische Regelung hinausgehend verpflichtete das ursprüngliche tschechische Umsetzungsgesetz sogar zur Speicherung der URIs, anhand derer aufgerufene Internetressourcen im Hinblick auf deren Art (Datei, Textseite, Bild, Programm) und deren Speicherort eindeutig identifiziert werden können.²⁰⁶ In England fanden im Innenministerium Überlegungen zur Einbeziehung sozialer Netzwerke

Verfassungsgerichtshofs vom 7. Oktober 2009, im Internet abrufbar unter der URL

http://www.ccr.ro/decisions/pdf/ro/2009/D1258_09.pdf; Urteil des tschechischen Verfassungsgerichts vom 31. März 2011, im Internet abrufbar unter der URL http://www.concourt.cz/clanek/GetFile?id=5075; Urteil des Zypriotischen Verfassungs-gerichts vom 1. Februar 2011, im Internet abrufbar unter der URL

http://www.supremecourt.gov.cy/Judicial/SC.nsf/All/5B67A764B86AA78EC225782F004F6D28/$file/65-09.pdf;

200 Das bulgarische Gesetz ist im Internet abrufbar unter der URL http://lex.bg/laws/ldoc/2135553187.

201 Vgl. Europäische Kommission, Bewertungsbericht zur Richtlinie über die Vorratsdatenspeicherung, S. 6; Wimmer An-dersson/Buchinger u.a.: Rechtsvergleichende Analyse im Hinblick auf die Umsetzung der Richtlinie 2006/24/EG über die Vorratsdatenspeicherung, S. 22 ff.

202 Soweit Informationen zur Umsetzung in Belgien zur Verfügung standen, wurden diese in die folgende Betrachtung mit einbezogen.

203 Keine Konkretisierung der zu speichernden Internet- und Telefoniedaten, vgl. Europäische Kommission, Bewertungsbe-richt zur Richtlinie über die Vorratsdatenspeicherung, S. 6.

204 In Belgien fehlt eine rechtliche Konkretisierung der zu speichernden Internet- und Telefoniedaten, vgl. Europäische Kommission, Bewertungsbericht zur Richtlinie über die Vorratsdatenspeicherung, S. 15 f.

205 Vgl. Szuba: Vorratsdatenspeicherung, S. 266; Wimmer Andersson/Buchinger u.a.: Rechtsvergleichende Analyse im Hin-blick auf die Umsetzung der Richtlinie 2006/24/EG über die Vorratsdatenspeicherung, S. 12; Forgó/Jlussi/Klügel/Krügel:

Die Umsetzung der Richtlinie zur Vorratsdatenspeicherung, in: DuD 10/2008, S. 682 sowie den Artikel „Dänische Provider sollen Telefon- und Internetdaten ein Jahr speichern“, in: heise.de, im Internet abrufbar unter der URL

http://www.heise.de/newsticker/meldung/Daenische-Provider-sollen-Telefon-und-Internetdaten-ein-Jahr-speichern-143546.html.

206 Vgl. Wimmer Andersson/Buchinger u.a.: Rechtsvergleichende Analyse im Hinblick auf die Umsetzung der Richtlinie 2006/24/EG über die Vorratsdatenspeicherung, S. 12 und 91 sowie Artikel-29-Datenschutzgruppe: Bericht 01/2010, Anhang, Tabelle 2, Zeile 4.

sondere Facebook) in die Vorratsdatenspeicherung statt, wurden jedoch bisher rechtlich nicht umge-setzt.²⁰⁷

Auch in der Praxis der Vorratsdatenspeicherung finden sich Beispiele für punktuelle Verstöße gegen das Verbot der Speicherung von Inhaltsdaten. So speicherte z.B. in Lettland ein Internetzugangsanbie-ter Inhaltsdaten von IP-Paketen über einen Zeitraum von einem Monat hinweg²⁰⁸ und in Griechenland, Italien und Zypern speicherten Anbieter die Header von E-Mail-Nachrichten inklusive Betreffzeile²⁰⁹. In einem Fall wurde zudem die Inhalte von SMS-Mitteilungen über mehrere Monate auf Vorrat ge-speichert und den Ermittlungsbehörden zugänglich gemacht.²¹⁰

Im Dokument Die Vorratsdatenspeicherung (Seite 78-81)