C 102/4

Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zum Vorschlag über eine vorübergehende Ausnahme von der Richtlinie 2002/58/EG zwecks Bekämpfung des sexuellen Missbrauchs von Kindern im Internet

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.euwww.edps.europa.eu

(2021/C 102/04)

Am 10. September 2020 veröffentlichte die Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über eine vorübergehende Ausnahme von bestimmten Vorschriften der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates hinsichtlich der Verwendung von Technik durch Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste zur Verarbeitung personenbezogener und anderer Daten zwecks Bekämpfung des sexuellen Missbrauchs von Kindern im Internet. Es handelt sich um eine Ausnahme von Artikel 5 Absatz 1 und Artikel 6 der e-Datenschutz-Richtlinie in Bezug auf die Verarbeitung personenbezogener Daten, die bei der Bereitstellung „nummernunabhängiger interpersoneller Kommunikationsdienste“ für die Verwendung von Technik erforderlich ist, die dem alleinigen Zweck dient, kinderpornografisches Material zu entfernen sowie sexuellen Missbrauch von Kindern im Internet aufzudecken und den Behörden zu melden.

Mit dieser Stellungnahme gibt der EDSB seine Empfehlungen zu dem Vorschlag im Rahmen einer förmlichen Konsultation durch die Kommission gemäß Artikel 42 der Verordnung (EU) 2018/1725.

Insbesondere merkt er an, dass die im Vorschlag vorgesehenen Maßnahmen in die Grundrechte auf Achtung des Privat- und Familienlebens und den Schutz personenbezogener Daten sämtlicher Benutzer von sehr beliebten elektronischen Kommunikationsdiensten wie Instant-Messaging-Plattformen und -Anwendungen eingreifen würden. Die Vertraulichkeit der Kommunikation ist ein Eckpfeiler der Grundrechte auf Achtung des Privat- und Familienlebens und den Schutz personenbezogener Daten. Auch freiwillige Maßnahmen von Privatunternehmen können einen Eingriff in diese Rechte darstellen, wenn die Maßnahmen die Überwachung und Analyse des Kommunikationsinhalts und die Verarbeitung personenbezogener Daten umfassen.

Der EDSB betont, dass die Themen, um die es hier geht, nicht spezifisch die Bekämpfung des Kindesmissbrauchs betreffen, sondern jede Initiative, die auf eine Strafverfolgungszwecken dienende Zusammenarbeit mit dem Privatsektor abzielt. Würde der Vorschlag angenommen, so würde er unweigerlich als Präzedenzfall für künftige gesetzgeberische Maßnahmen auf diesem Gebiet dienen. Für den EDSB ist es daher von wesentlicher Bedeutung, dass der Vorschlag nicht angenommen wird, nicht einmal in Form einer vorübergehenden Ausnahme, solange der Vorschlag nicht sämtliche erforderlichen Schutzvorkehrungen berücksichtigt, die in dieser Stellungnahme aufgeführt sind.

Im Interesse der Rechtssicherheit hält der EDSB insbesondere eine Klarstellung für erforderlich, ob der Vorschlag selbst als Rechtsgrundlage für die Verarbeitung im Sinne der DSGVO gedacht ist oder nicht. Falls nicht, empfiehlt der EDSB, im Vorschlag selbst ausdrücklich klarzustellen, welche Rechtsgrundlage im Sinne der DSGVO in diesem spezifischen Fall anwendbar wäre. Diesbezüglich hebt der EDSB hervor, dass Leitlinien der Datenschutzbehörden die erforderliche Rechtsgrundlage nicht ersetzen können. Es genügt nicht, vorzusehen, dass die vorübergehende Ausnahme die DSGVO „unberührt“ lässt, und die vorherige Konsultation der Datenschutzbehörden vorzuschreiben. Der Mitgesetzgeber muss seiner Verantwortung gerecht werden und sicherstellen, dass die vorgeschlagene Ausnahme den Anforderungen genügt, die gemäß Artikel 15 Absatz 1 entsprechend der vom Gerichtshof vorgenommenen Auslegung einzuhalten sind.

Um dem Erfordernis der Verhältnismäßigkeit zu genügen, muss eine Regelung klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindesterfordernisse aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken ermöglichen.

Abschließend hält der EDSB den vorgeschlagenen Zeitraum von fünf Jahren für unverhältnismäßig, da (a) ein vorheriger Nachweis der Verhältnismäßigkeit der vorgesehenen Maßnahme fehlt und (b) der Text der Rechtsvorschrift keine hinreichenden Schutzvorkehrungen vorsieht. Nach Ansicht des EDSB sollten vorübergehende Maßnahmen keinesfalls für mehr als zwei Jahre gelten.

I. EINLEITUNG UND HINTERGRUND

1.1 Hintergrund

1. Am 24. Juli 2020 hat die Kommission die Mitteilung EU-Strategie für eine wirksamere Bekämpfung des sexuellen Missbrauchs von Kindern ( 1 ) angenommen. In der Mitteilung wird darauf hingewiesen, dass der Anwendungsbereich der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (im Folgenden „e-Datenschutz-Richtlinie“) ( 2 ) ab Dezember 2020 durch den bereits angenommenen Kodex für die elektronische Kommunikation (im Folgenden „Kodex“) ( 3 ) erweitert wird. Durch den Kodex wird der Anwendungsbereich der e-Datenschutz-Richtlinie auf interpersonelle Kommunikationsdienste wie Mitteilungsdienste und E-Mail, die von Over-the-Top-Anbietern (OTT) angeboten werden, erweitert. Laut der Mitteilung könnten bestimmte Unternehmen (in Ermangelung nationaler legislativer Maßnahmen nach Artikel 15 Absatz 1 der e-Datenschutz-Richtlinie) deshalb daran gehindert sein, ihre eigenen Maßnahmen zur freiwilligen Aufdeckung, Entfernung und Meldung von sexuellem Kindesmissbrauch im Internet fortzuführen ( 4 )

2. Am 10. September 2020 hat die Kommission einen Vorschlag über eine vorübergehende Regelung der Verarbeitung personenbezogener und anderer Daten zwecks Bekämpfung des sexuellen Missbrauchs von Kindern im Internet erlassen ( 5 ) , der eine vorübergehende Ausnahme von Artikel 5 Absatz 1 und Artikel 6 der e-Datenschutz-Richtlinie vorsieht (im Folgenden „Vorschlag“). Die Kommission hält eine solche Ausnahme für erforderlich, damit die derzeitigen freiwilligen Aktivitäten auch nach Dezember 2020 fortgeführt werden können. Die Ausnahme würde im Zusammenhang mit der Bereitstellung „nummernunabhängiger interpersoneller Kommunikationsdienste“ ( 6 ) (z. B. Internet-Sprachtelefonie (VoIP), Nachrichtenübermittlung (Messaging) und webgestützte E-Mail-Dienste) für die Verarbeitung personenbezogener Daten gelten, die unbedingt erforderlich ist für den Einsatz von Technik, die allein dem Zweck dient, kinderpornografisches Material zu entfernen sowie sexuellen Missbrauch von Kindern im Internet aufzudecken und Strafverfolgungsbehörden und Organisationen, die im öffentlichen Interesse den sexuellen Missbrauch von Kindern bekämpfen, zu melden. In dem Vorschlag sind mehrere Bedingungen aufgezählt, unter denen die Ausnahme anwendbar wäre; diese werden weiter unten in dieser Stellungnahme analysiert.

3. Der EDSB wurde am 16. September 2020 förmlich von der Kommission konsultiert. Am 30. September hat die Kommission eine öffentliche Konsultation eingeleitet, um Stellungnahmen zu ihrem Vorschlag einzuholen.

1.2 Verhältnis zur Richtlinie 2011/93/EU

4. Die Union hat bereits ein umfassendes Rechtsinstrument zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie der Kinderpornografie erlassen, nämlich die Richtlinie 2011/93/EU des Europäischen Parlaments und des Rates (im Folgenden „Richtlinie zur Bekämpfung des sexuellen Missbrauchs von Kindern“) ( 7 )

5. Mit der Richtlinie zur Bekämpfung des sexuellen Missbrauchs von Kindern wurden die Mindestvorschriften zur Definition von Straftaten und Sanktionen auf dem Gebiet des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern und des Materials von sexuellem Missbrauch von Kindern festgelegt. Die Richtlinie verpflichtet die Mitgliedstaaten, sicherzustellen, dass u. a. folgende vorsätzlich begangene Handlungen, wenn sie unrechtmäßig vorgenommen werden ( 8 ) , unter Strafe gestellt sind: — der vorsätzliche und bewusste Zugriff auf Kinderpornografie mittels Informations- und Kommunikationstechnologie; — der Vertrieb, die Verbreitung oder Weitergabe von Kinderpornografie; — das Anbieten, Liefern oder sonstige Zugänglichmachen von Kinderpornografie (9).

6. Die Richtlinie zur Bekämpfung des sexuellen Missbrauchs von Kindern verpflichtet die Mitgliedstaaten, die erforderlichen Maßnahmen zu treffen, um sicherzustellen, dass gewisse vorsätzlich (einschließlich mittels Informations- und Kommunikationstechnologie) begangene Handlungen, die eine Kontaktaufnahme zu Kindern für sexuelle Zwecke darstellen, unter Strafe gestellt sind.

7. Die Richtlinie zur Bekämpfung des sexuellen Missbrauchs von Kindern verpflichtet die Mitgliedstaaten, die erforderlichen Maßnahmen zu treffen, um sicherzustellen, dass Internetseiten, die Kinderpornografie enthalten oder verbreiten und sich auf Servern in ihrem Hoheitsgebiet befinden, unverzüglich entfernt werden, und sich zu bemühen, darauf hinzuwirken, dass derartige Seiten von Servern außerhalb ihres Hoheitsgebiets entfernt werden, sowie sicherzustellen, dass ihre zuständigen Behörden berechtigt sind, die Tatwerkzeuge und die Erträge aus Straftaten zu beschlagnahmen und einzuziehen ( 10 ) . Die Mitgliedstaaten können Maßnahmen treffen, um den Zugang zu Internetseiten, die Kinderpornografie enthalten oder verbreiten, für die Internetnutzer in ihrem Hoheitsgebiet zu sperren ( 11 )

8. 2010 hat der EDSB auf eigene Initiative eine Stellungnahme zum Vorschlag für eine Richtlinie zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie von Kinderpornografie ( 12 ) erlassen. Die Stellungnahme enthält Erwägungen und Empfehlungen, die auch für den als Zwischenlösung angesehenen Vorschlag für eine vorübergehende Ausnahme relevant sind. Gegebenenfalls wird der EDSB die Ausführungen in seiner Stellungnahme von 2010 wiederholen oder darauf verweisen.

III. SCHLUSSFOLGERUNGEN

52. Die im Vorschlag vorgesehenen Maßnahmen würden einen Eingriff in die Grundrechte auf Achtung des Privat- und Familienlebens und den Schutz personenbezogener Daten sämtlicher Benutzer sehr beliebter elektronischer Kommunikationsdienste wie Instant-Messaging-Plattformen und -Anwendungen darstellen. Auch freiwillige Maßnahmen von Privatunternehmen können einen Eingriff in diese Rechte darstellen, wenn die Maßnahmen die Überwachung und Analyse des Kommunikationsinhalts und die Verarbeitung personenbezogener Daten umfassen.

53. Die Themen, um die es hier geht, betreffen nicht spezifisch die Bekämpfung des Kindesmissbrauchs, sondern jede Initiative, die auf die Strafverfolgungszwecken dienende Zusammenarbeit mit dem Privatsektor abzielt. Würde der Vorschlag angenommen, so würde er unweigerlich als Präzedenzfall für künftige gesetzgeberische Maßnahmen auf diesem Gebiet dienen. Für den EDSB ist es daher von wesentlicher Bedeutung, dass der Vorschlag nicht angenommen wird, nicht einmal in Form einer vorübergehenden Ausnahme, solange der Vorschlag nicht sämtliche erforderlichen Schutzvorkehrungen berücksichtigt, die in dieser Stellungnahme aufgeführt sind.

54. Im Interesse der Rechtssicherheit hält der EDSB eine Klarstellung für erforderlich, ob der Vorschlag selbst als Rechtsgrundlage für die Verarbeitung im Sinne der DSGVO gedacht ist oder nicht. Falls nicht, empfiehlt der EDSB, im Vorschlag selbst ausdrücklich klarzustellen, welche Rechtsgrundlage im Sinne der DSGVO in diesem spezifischen Fall anwendbar wäre. Diesbezüglich hebt der EDSB hervor, dass Leitlinien der Datenschutzbehörden die erforderliche Rechtsgrundlage nicht ersetzen können. Es genügt nicht, vorzusehen, dass die vorübergehende Ausnahme die DSGVO „unberührt“ lässt, und die vorherige Konsultation der Datenschutzbehörden vorzuschreiben. Der Mitgesetzgeber muss seiner Verantwortung gerecht werden und sicherstellen, dass die vorgeschlagene Ausnahme den Anforderungen genügt, die gemäß Artikel 15 Absatz 1 nach der vom Gerichtshof vorgenommenen Auslegung einzuhalten sind.

55. Um dem Erfordernis der Verhältnismäßigkeit zu genügen, muss eine Regelung klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindesterfordernisse aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken ermöglichen.

56. Das Fehlen einer genauen Angabe, welche Maßnahmen der Ausnahme unterliegen, dürfte die Rechtssicherheit beeinträchtigen.

57. Abschließend hält der EDSB den vorgeschlagenen Zeitraum von fünf Jahren für unverhältnismäßig, da (a) ein vorheriger Nachweis der Verhältnismäßigkeit der vorgesehenen Maßnahme fehlt und (b) der Text der Rechtsvorschrift keine hinreichenden Schutzvorkehrungen vorsieht. Nach Ansicht des EDSB sollten vorübergehende Maßnahmen keinesfalls für mehr als zwei Jahre gelten.

Brüssel, den 10. November 2020 Wojciech WIEWIOROWSKI

(1) COM(2020) 607 final, https://ec.europa.eu/home-affairs/sites/homeaffairs/files/what-we-do/policies/european-agenda-security/20200724_com-2020-607-commission-communication_de.pdf

(2) Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. L 201 vom 31.7.2002, S. 37).

(3) Verordnung (EU) 2018/1972 des Europäischen Parlaments und des Rates vom 11. Dezember 2018 über den europäischen Kodex für die elektronische Kommunikation (Neufassung) (ABl. L 321 vom 17.12.2018, S. 36).

(4) COM(2020) 607 final, S. 5. In der Mitteilung wird ausgeführt, dass die e-Datenschutz-Richtlinie keine Rechtsgrundlage für die freiwillige Verarbeitung von Inhalts- und Verkehrsdaten zum Zwecke der Aufdeckung von sexuellem Kindesmissbrauch bietet, sodass die Anbieter solche Maßnahmen nur aufgrund einer nationalen legislativen Maßnahme anwenden können, die die in Artikel 15 der e-Datenschutzrichtlinie vorgesehenen Anforderungen an die Einschränkung des Rechts auf Vertraulichkeit (Verhältnismäßigkeit usw.) erfüllt. Ohne solche legislativen Maßnahmen würden Maßnahmen zur Aufdeckung von sexuellem Kindesmissbrauch, die von diesen Anbietern, die Inhalts- oder Verkehrsdaten verarbeiten, ergriffen werden, einer Rechtsgrundlage entbehren.

(5) COM(2020) 568 final, 2020/0259 (COD), Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über eine vorübergehende Ausnahme von bestimmten Vorschriften der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates hinsichtlich der Verwendung von Technik durch Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste zur Verarbeitung personenbezogener und anderer Daten zwecks Bekämpfung des sexuellen Missbrauchs von Kindern im Internet, https://ec.europa.eu/digital-single-market/en/news/interim-regulation-processing-personal-and-other-data-purpose-combatting-child-sexual-abuse

(6) In Artikel 2 Absatz 5 der EECC-Richtlinie ist der Begriff „interpersoneller Kommunikationsdienst“ definiert als „gewöhnlich gegen Entgelt erbrachter Dienst, der einen direkten interpersonellen und interaktiven Informationsaustausch über elektronische Kommunikationsnetze zwischen einer endlichen Zahl von Personen ermöglicht, wobei die Empfänger von den Personen bestimmt werden, die die Kommunikation veranlassen oder daran beteiligt sind; dazu zählen keine Dienste, die eine interpersonelle und interaktive Kommunikation lediglich als untrennbar mit einem anderen Dienst verbundene untergeordnete Nebenfunktion ermöglichen“. Ein „nummernunabhängiger interpersoneller Kommunikationsdienst“ ist „ein interpersoneller Kommunikationsdienst, der weder eine Verbindung zu öffentlich zugeteilten Nummerierungsressourcen, nämlich Nummern nationaler oder internationaler Nummerierungspläne, herstellt noch die Kommunikation mit Nummern nationaler oder internationaler Nummerierungspläne ermöglicht“ (Artikel 2 Absatz 7 des Kodex).

(7) Richtlinie 2011/93/EU des Europäischen Parlaments und des Rates vom 13. Dezember 2011 zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie der Kinderpornografie sowie zur Ersetzung des Rahmenbeschlusses 2004/68/JI des Rates (ABl. L 335 vom 17.12.2011, S. 1).

(8) Das Tatbestandsmerkmal „unrechtmäßig“ bedeutet, dass die Mitgliedstaaten Rechtfertigungsgründe vorsehen können, etwa für Handlungen im Zusammenhang mit pornografischem Material, beispielsweise für Handlungen, die medizinischen, wissenschaftlichen oder ähnlichen Zwecken dienen. Handlungen können auch aufgrund nationaler Ermächtigungsgrundlagen gestattet werden, etwa der legitime Besitz von Kinderpornografie zu behördlichen Zwecken, beispielsweise um Strafverfahren durchzuführen oder Straftaten zu verhindern, aufzudecken oder zu untersuchen. Andere Rechtfertigungsgründe oder entsprechende relevante Rechtsgrundsätze, nach denen unter bestimmten Umständen keine strafrechtliche Verantwortung gegeben ist, sind nicht ausgeschlossen, beispielsweise in Bezug auf die Aktivitäten von Telefon- oder Internet-Hotlines, die derartige Fälle melden. Erwägungsgrund 25 der Richtlinie 2011/93/EU.

(9) Artikel 5 Absätze 3, 4 und 5 der Richtlinie 2011/93/EU.

(10) Artikel 11 und Artikel 25 Abs. 1 der Richtlinie 2011/93/EU.

(11) Artikel 25 Absatz 2 der Richtlinie 2011/93/EU.

(12) Stellungnahme des Europäischen Datenschutzbeauftragten zum Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie von Kinderpornografie und zur Aufhebung des Rahmenbeschlusses 2004/68/JI vom 10. Mai 2010, https://edps.europa.eu/sites/edp/files/publication/10-05-10_child_abuse_de.pdf