62017CJ0623_RES
Rechtssache C‑623/17
Privacy International
gegen
Secretary of State for Foreign and Commonwealth Affairs u. a.
(Vorabentscheidungsersuchen des Investigatory Powers Tribunal)
Urteil des Gerichtshofs (Große Kammer) vom 6. Oktober 2020
„Vorlage zur Vorabentscheidung – Verarbeitung personenbezogener Daten in der elektronischen Kommunikation – Betreiber elektronischer Kommunikationsdienste – Allgemeine und unterschiedslose Übermittlung von Verkehrs- und Standortdaten – Schutz der nationalen Sicherheit – Richtlinie 2002/58/EG – Geltungsbereich – Art. 1 Abs. 3 und Art. 3 – Vertraulichkeit elektronischer Kommunikation – Schutz – Art. 5 und Art. 15 Abs. 1 – Charta der Grundrechte der Europäischen Union – Art. 7, 8 und 11 sowie Art. 52 Abs. 1 – Art. 4 Abs. 2 EUV“
Rechtsangleichung – Telekommunikationssektor – Verarbeitung personenbezogener Daten und Schutz der Privatsphäre in der elektronischen Kommunikation – Richtlinie 2002/58 – Geltungsbereich – Nationale Regelung, mit der den Betreibern elektronischer Kommunikationsdienste auferlegt wird, Verkehrs- und Standortdaten den Sicherheits- und Nachrichtendiensten zu übermitteln – Ziel des Schutzes der nationalen Sicherheit – Einbeziehung
(Art. 4 Abs. 2 EUV; Richtlinie 2002/58 des Europäischen Parlaments und des Rates in der durch die Richtlinie 2009/136 geänderten Fassung, Art. 1 Abs. 1 und 3, 3 und 15 Abs. 1)
(vgl. Rn. 35-39, 41-44, 46, 48, 49, Tenor 1)
Rechtsangleichung – Telekommunikationssektor – Verarbeitung personenbezogener Daten und Schutz der Privatsphäre in der elektronischen Kommunikation – Richtlinie 2002/58 – Befugnis der Mitgliedstaaten, bestimmte Rechte und Pflichten zu beschränken – Nationale Regelung, mit der den Betreibern elektronischer Kommunikationsdienste auferlegt wird, Verkehrs- und Standortdaten allgemein und unterschiedslos den Sicherheits- und Nachrichtendiensten zu übermitteln – Ziel des Schutzes der nationalen Sicherheit – Unzulässigkeit
(Art. 4 Abs. 2 EUV; Charta der Grundrechte der Europäischen Union, Art. 7, 8, 11 und 52 Abs. 1; Richtlinie 2002/58 des Europäischen Parlaments und des Rates in der durch die Richtlinie 2009/136 geänderten Fassung, Art. 5 Abs. 1 und 15 Abs. 1)
(vgl. Rn. 55-62, 65-82, Tenor 2)
Zusammenfassung
Der Gerichtshof bestätigt, dass das Unionsrecht einer nationalen Regelung entgegensteht, mit der einem Betreiber elektronischer Kommunikationsdienste zur Bekämpfung von Straftaten im Allgemeinen oder zum Schutz der nationalen Sicherheit die Übermittlung oder die allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten auferlegt wird
Dagegen kann ein Mitgliedstaat, wenn er sich einer als real und aktuell oder vorhersehbar einzustufenden ernsten Bedrohung für die nationale Sicherheit gegenübersieht, von der Pflicht zur Sicherstellung der Vertraulichkeit von Daten, die elektronische Kommunikationen betreffen, abweichen, indem er mittels Rechtsvorschriften für einen auf das absolut Notwendige begrenzten, aber im Fall des Fortbestands der Bedrohung verlängerbaren Zeitraum eine allgemeine und unterschiedslose Vorratsspeicherung dieser Daten vorschreibt. Ferner kann ein Mitgliedstaat zur Bekämpfung schwerer Kriminalität und zur Verhütung schwerer Bedrohungen der öffentlichen Sicherheit die gezielte Vorratsspeicherung dieser Daten sowie ihre umgehende Sicherung vorsehen. Ein solcher Grundrechtseingriff muss mit wirksamen, durch ein Gericht oder eine unabhängige Verwaltungsstelle überprüften Garantien einhergehen. Desgleichen steht es einem Mitgliedstaat frei, eine allgemeine und unterschiedslose Vorratsspeicherung der IP-Adressen, die der Quelle einer Verbindung zugewiesen sind, vorzusehen, sofern die Dauer der Speicherung auf den absolut notwendigen Zeitraum begrenzt wird, oder eine allgemeine und unterschiedslose Vorratsspeicherung der die Identität der Nutzer elektronischer Kommunikationsmittel betreffenden Daten vorzusehen, ohne dass es im letztgenannten Fall eine bestimmte zeitliche Begrenzung geben muss.
In den letzten Jahren hat sich der Gerichtshof in mehreren Urteilen zur Vorratsspeicherung von und zum Zugang zu personenbezogenen Daten im Bereich elektronischer Kommunikationen geäußert (
1
). Die daraus hervorgegangene Rechtsprechung, speziell das Urteil Tele2 Sverige und Watson u. a., in dem er insbesondere ausgeführt hat, dass die Mitgliedstaaten den Betreibern elektronischer Kommunikationsdienste keine Pflicht zur allgemeinen und unterschiedslosen Speicherung von Verkehrs- und Standortdaten auferlegen dürfen, hat bei einigen Staaten die Besorgnis ausgelöst, eines Instruments beraubt worden zu sein, das sie zum Schutz der nationalen Sicherheit und zur Bekämpfung der Kriminalität für erforderlich halten.
Vor diesem Hintergrund sind das Investigatory Powers Tribunal (Gericht für Ermittlungsbefugnisse, Vereinigtes Königreich) (Privacy International, C‑623/17), der Conseil d’État (Staatsrat, Frankreich) (La Quadrature du Net u. a., verbundene Rechtssachen C‑511/18 und C‑512/18) sowie die Cour constitutionnelle (Verfassungsgerichtshof, Belgien) (Ordre des barreaux francophones et germanophone u. a., C‑520/18) mit Rechtsstreitigkeiten befasst worden, bei denen es um die Rechtmäßigkeit von Regelungen einiger Mitgliedstaaten in diesen Bereichen geht, die insbesondere vorsehen, dass die Betreiber elektronischer Kommunikationsdienste die Verkehrs- und Standortdaten ihrer Nutzer einer öffentlichen Stelle übermitteln oder allgemein und unterschiedslos auf Vorrat speichern müssen.
In zwei Urteilen der Großen Kammer vom 6. Oktober 2020 hat der Gerichtshof zunächst entschieden, dass die Datenschutzrichtlinie für elektronische Kommunikation auf nationale Regelungen Anwendung findet, mit denen den Betreibern elektronischer Kommunikationsdienste zum Schutz der nationalen Sicherheit und zur Bekämpfung der Kriminalität Verarbeitungen personenbezogener Daten wie ihre Übermittlung an öffentliche Stellen oder ihre Vorratsspeicherung vorgeschrieben werden. Außerdem hat der Gerichtshof unter Bestätigung seiner auf das Urteil Tele2 Sverige und Watson u. a. zurückgehenden Rechtsprechung zur Unverhältnismäßigkeit einer allgemeinen und unterschiedslosen Speicherung von Verkehrs- und Standortdaten Klarstellungen vorgenommen, insbesondere hinsichtlich des Umfangs der Befugnisse, die diese Richtlinie den Mitgliedstaaten im Bereich der Vorratsspeicherung solcher Daten zu den genannten Zwecken verleiht.
Zunächst räumt der Gerichtshof Zweifel an der Anwendbarkeit der Datenschutzrichtlinie für elektronische Kommunikation aus, die im Rahmen der vorliegenden Rechtssachen von mehreren Mitgliedstaaten in ihren beim Gerichtshof eingereichten schriftlichen Erklärungen geäußert worden sind. Sie haben insbesondere geltend gemacht, die Richtlinie gelte nicht für die fraglichen nationalen Regelungen, weil diese zum Schutz der nationalen Sicherheit dienten, für den allein sie zuständig seien, wie insbesondere Art. 4 Abs. 2 Satz 3 EUV belege. Der Gerichtshof kommt jedoch zu dem Ergebnis, dass nationale Regelungen, mit denen zu diesem Zweck die Betreiber elektronischer Kommunikationsdienste zur Vorratsspeicherung von Verkehrs- und Standortdaten oder zur Übermittlung dieser Daten an die nationalen Sicherheits- und Nachrichtendienste verpflichtet werden, in den Geltungsbereich der Richtlinie fallen.
Sodann weist der Gerichtshof darauf hin, dass die Datenschutzrichtlinie für elektronische Kommunikation (
2
) es nicht gestattet, dass die Ausnahme von der grundsätzlichen Pflicht zur Sicherstellung der Vertraulichkeit elektronischer Kommunikationen und der damit verbundenen Daten und insbesondere von dem Verbot, solche Daten zu speichern, zur Regel wird. Dies impliziert, dass die Richtlinie den Mitgliedstaaten den Erlass von Rechtsvorschriften, die die in ihr enthaltenen Rechte und Pflichten und insbesondere die Pflicht, die Vertraulichkeit der übertragenen Nachrichten und der damit verbundenen Verkehrsdaten sicherzustellen (
3
), beschränken sollen, nur dann gestattet, wenn sie die allgemeinen Grundsätze des Unionsrechts, zu denen der Grundsatz der Verhältnismäßigkeit gehört, und die durch die Charta garantierten Grundrechte (
4
) beachten.
In diesem Rahmen führt der Gerichtshof zum einen in der Rechtssache Privacy International aus, dass die Datenschutzrichtlinie für elektronische Kommunikation im Licht der Charta einer nationalen Regelung entgegensteht, mit der den Betreibern elektronischer Kommunikationsdienste zum Schutz der nationalen Sicherheit auferlegt wird, Verkehrs- und Standortdaten allgemein und unterschiedslos den Sicherheits- und Nachrichtendiensten zu übermitteln. Zum anderen führt er in den verbundenen Rechtssachen La Quadrature du Net u. a. sowie in der Rechtssache Ordre des barreaux francophones et germanophone u. a. aus, dass die Richtlinie Rechtsvorschriften entgegensteht, mit denen den Betreibern elektronischer Kommunikationsdienste präventiv eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten auferlegt wird. Diese Pflichten zur allgemeinen und unterschiedslosen Vorratsspeicherung stellen nämlich besonders schwerwiegende Eingriffe in die durch die Charta garantierten Grundrechte dar, ohne dass zwischen dem Verhalten der Personen, deren Daten betroffen sind, und dem mit der fraglichen Regelung verfolgten Ziel eine Verbindung besteht. Analog dazu legt der Gerichtshof Art. 23 Abs. 1 der Datenschutz-Grundverordnung (
5
) im Licht der Charta dahin aus, dass er einer nationalen Regelung entgegensteht, mit der den Anbietern eines öffentlichen Online-Zugangs zu Kommunikationsdiensten und den Betreibern von Hosting-Diensten eine allgemeine und unterschiedslose Vorratsspeicherung insbesondere von personenbezogenen Daten im Zusammenhang mit diesen Diensten auferlegt wird.
Dagegen kommt der Gerichtshof zu dem Ergebnis, dass die Datenschutzrichtlinie für elektronische Kommunikation es im Licht der Charta gestattet, den Betreibern elektronischer Kommunikationsdienste eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten aufzuerlegen, wenn sich der betreffende Mitgliedstaat einer als real und aktuell oder vorhersehbar einzustufenden ernsten Bedrohung für die nationale Sicherheit gegenübersieht. In diesem Kontext stellt der Gerichtshof klar, dass diese Anordnung, die nur für einen auf das absolut Notwendige begrenzten Zeitraum ergehen darf, Gegenstand einer wirksamen, zur Prüfung des Vorliegens einer solchen Situation sowie der Beachtung der vorzusehenden Bedingungen und Garantien dienenden Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle sein muss, deren Entscheidung bindend ist. Unter den gleichen Voraussetzungen steht die Richtlinie auch einer automatisierten Analyse insbesondere der Verkehrs- und Standortdaten aller Nutzer elektronischer Kommunikationsmittel nicht entgegen.
Der Gerichtshof fügt hinzu, dass die Datenschutzrichtlinie für elektronische Kommunikation im Licht der Charta Rechtsvorschriften nicht entgegensteht, die auf der Grundlage objektiver und nicht diskriminierender Kriterien anhand von Kategorien betroffener Personen oder mittels eines geografischen Kriteriums für einen auf das absolut Notwendige begrenzten Zeitraum eine gezielte Vorratsspeicherung von Verkehrs- und Standortdaten gestatten. Desgleichen steht die Richtlinie weder Rechtsvorschriften entgegen, die für einen auf das absolut Notwendige begrenzten Zeitraum eine allgemeine und unterschiedslose Vorratsspeicherung der IP-Adressen, die der Quelle einer Verbindung zugewiesen sind, vorsehen, noch Rechtsvorschriften, die eine allgemeine und unterschiedslose Vorratsspeicherung der die Identität der Nutzer elektronischer Kommunikationsmittel betreffenden Daten vorsehen, wobei die Mitgliedstaaten im letztgenannten Fall die Speicherung nicht zeitlich begrenzen müssen. Überdies steht die Richtlinie Rechtsvorschriften nicht entgegen, die es gestatten, den Betreibern von Diensten aufzuerlegen, ihnen zur Verfügung stehende Daten umgehend zu sichern, falls Situationen auftreten, die es erforderlich machen, die betreffenden Daten zur Aufklärung schwerer Straftaten oder von Beeinträchtigungen der nationalen Sicherheit über die gesetzlichen Fristen hinaus zu speichern, sofern die Taten oder Beeinträchtigungen bereits festgestellt wurden oder der begründete Verdacht besteht, dass sie vorliegen.
Darüber hinaus stellt der Gerichtshof fest, dass die Datenschutzrichtlinie für elektronische Kommunikation im Licht der Charta einer nationalen Regelung nicht entgegensteht, mit der den Betreibern elektronischer Kommunikationsdienste auferlegt wird, insbesondere Verkehrs- und Standortdaten in Echtzeit zu erheben, sofern sich dies auf Personen beschränkt, bei denen ein triftiger Grund für den Verdacht besteht, dass sie auf irgendeine Weise in terroristische Aktivitäten verwickelt sind, und einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle unterliegt, deren Entscheidung bindend ist, wobei dieses Gericht oder diese Stelle sich vergewissern muss, dass eine solche Erhebung in Echtzeit nur in den Grenzen des absolut Notwendigen gestattet wird. In Eilfällen muss die Kontrolle kurzfristig erfolgen.
Schließlich geht der Gerichtshof auf die Frage ein, ob es zulässig ist, die Wirkungen einer als unvereinbar mit dem Unionsrecht eingestuften nationalen Regelung vorübergehend aufrechtzuerhalten. Dazu führt er aus, dass ein nationales Gericht eine Bestimmung seines nationalen Rechts nicht anwenden darf, die es ermächtigt, die ihm obliegende Feststellung, dass eine nationale Regelung, mit der den Betreibern elektronischer Kommunikationsdienste eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten auferlegt wird, wegen ihrer Unvereinbarkeit mit der Datenschutzrichtlinie für elektronische Kommunikation im Licht der Charta rechtswidrig ist, in ihren zeitlichen Wirkungen zu beschränken.
Um dem vorlegenden Gericht eine sachgerechte Antwort zu geben, weist der Gerichtshof darauf hin, dass es beim gegenwärtigen Stand des Unionsrechts allein Sache des nationalen Rechts ist, die Zulässigkeit und die Würdigung der durch eine unionsrechtswidrige Vorratsdatenspeicherung erlangten Beweise im Rahmen eines Strafverfahrens gegen Personen, die im Verdacht stehen, schwere Straftaten begangen zu haben, zu regeln. Die Datenschutzrichtlinie für elektronische Kommunikation verlangt jedoch bei einer Auslegung im Licht des Effektivitätsgrundsatzes, dass ein nationales Strafgericht Beweise, die durch eine mit dem Unionsrecht unvereinbare allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten erlangt wurden, im Rahmen eines solchen Strafverfahrens ausschließt, wenn die Personen, die im Verdacht stehen, Straftaten begangen zu haben, nicht in der Lage sind, sachgerecht zu diesen Beweisen Stellung zu nehmen.
(
1
)	So hat der Gerichtshof im Urteil vom 8. April 2014, Digital Rights Ireland u. a (C‑293/12 und C‑594/12, EU:C:2014:238) (vgl. PM Nr. 54/14), die Richtlinie 2006/24/EG des Europäischen Parlaments und des Rates vom 15. März 2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden, und zur Änderung der Richtlinie 2002/58/EG (ABl. 2006, L 105, S. 54) mit der Begründung für ungültig erklärt, dass der mit der in dieser Richtlinie vorgesehenen allgemeinen Pflicht zur Vorratsspeicherung von Verkehrs- und Standortdaten verbundene Eingriff in die Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, die in der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) verankert sind, nicht auf das absolut Notwendige beschränkt war. Im Urteil vom 21. Dezember 2016, Tele2 Sverige und Watson u. a. (C‑203/15 und C‑698/15, EU:C:2016:970) (vgl. PM Nr. 145/16), hat der Gerichtshof sodann Art. 15 Abs. 1 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. 2002, L 201, S. 37) in der durch die Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 (ABl. 2009, L 337, S. 11) geänderten Fassung (im Folgenden: Datenschutzrichtlinie für elektronische Kommunikation) ausgelegt. Nach diesem Artikel können die Mitgliedstaaten – u. a. zum Schutz der nationalen Sicherheit – „Rechtsvorschriften“ erlassen, um bestimmte in der Richtlinie vorgesehene Rechte und Pflichten zu beschränken. Schließlich hat der Gerichtshof im Urteil vom 2. Oktober 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788) (vgl. PM Nr. 141/18), Art. 15 Abs. 1 in einer Rechtssache ausgelegt, die den Zugang öffentlicher Stellen zu Daten bezüglich der Identität von Nutzern elektronischer Kommunikationsmittel betraf.
(
2
)	Art. 15 Abs. 1 und 3 der Richtlinie 2002/58.
(
3
)	Art. 5 Abs. 1 der Richtlinie 2002/58.
(
4
)	Insbesondere Art. 7, 8 und 11 sowie Art. 52 Abs. 1 der Charta.
(
5
)	Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABI. 2016, L 119, S. 1).