Source: https://www.eaid-berlin.de/?tag=eugh
Timestamp: 2019-03-20 23:08:26
Document Index: 392992903

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'Art. 7', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 29', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 7', 'Art. 8', 'Art. 47', 'EuG', 'EuG', 'EuG', 'Art. 7', 'Art. 8', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 7', 'Art. 25', 'EuG', 'Art. 12', 'EuG', 'EuG', 'Art. 7', 'Art. 8', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 3', '§ 6']

EuGH | EAID
Posted on 27. Januar 2017 by Peter Schaar	One comment
Die amerikanischen Technologie-Giganten Google, Facebook, Microsoft, Twitter und Amazon werden womöglich die ersten Opfer der von Präsident Trump verfolgten „America First“- Politik sein. Trump unterzeichnete am 25. Januar 2017 die Anordnung (Executive Order) zur Verbesserung der öffentlichen Sicherheit. Schon jetzt ist deutlich, dass die Politik der Trump-Administration einem gemeinsamen Datenschutz-Verständnis zwischen den USA und der EU diametral entgegen laufen.
Neues EuGH-Urteil zur Vorratsdatenspeicherung: Bürgerrechte auch in schwierigen Zeiten bewahren!
Posted on 21. Dezember 2016 by Peter Schaar	One comment
English version see here
Der Europäische Gerichtshof hat den mehr als 500 Millionen EU-Bürgerinnen und -Bürgern ein Weihnachtsgeschenk gemacht. Mit seinem neuen Urteil zur Vorratsdatenspeicherung (
C-203/15 v. 21. Dezember 2016) – unterstreicht das höchste Gericht der Europäischen Union die Bedeutung der Grund- und Bürgerrechte. Alle Mitgliedstaaten sind gehalten, die in der Europäischen Grundrechtecharta verbrieften Rechte auch in ihrer nationalen Gesetzgebung zu berücksichtigen. Damit setzt der EuGH ein wichtiges Signal, das angesichts der aktuellen politischen Diskussion über innere und äußere Bedrohungen und dem Erstarken von autoritären politischen Strömungen kaum zu überschätzen ist.
Der EuGH bleibt sich treu
Die Entscheidung des Europäischen Gerichtshofs liegt auf einer Linie mit seinem Urteil vom 8. April 2014, mit dem das Gericht die Richtlinie 2006/24/EG über die Vorratsspeicherung von Daten für ungültig erklärt hatte. Die mit dieser Richtlinie vorgeschriebene allgemeine Verpflichtung zur Vorratsspeicherung von Verkehrs- und Standortdaten beschränkte sich nicht auf das absolut notwendige Maß und griff damit unverhältnismäßig in die Grundrechte auf Achtung des Privatlebens und den Schutz personenbezogener Daten (Art. 7 und 8 EUGRCh) ein.
Trotz der Annullierung der VDS-Richtlinie setzten mehrere Mitgliedstaaten ihre Praxis der Vorratsdatenspeicherung fort oder erweiterten sie sogar. Letzteres geschah in Großbritannien, wo im Eilverfahren bereits kurze Zeit nach dem EuGH-Urteil – im Juli 2014 – neue gesetzliche Grundlagen zur Vorratsdatenspeicherung beschlossen wurden, die sogar über die annullierte EU-Richtlinie hinausgingen. Die weitgehenden aktuellen Verpflichtungen zur obligatorischen Datenspeicherung und die Überwachungsbefugnisse der Sicherheitsbehörden sollen nach dem Willen des britischen Parlaments mit dem sog. „Investigatory Powers Act“ kurzfristig sogar noch ausgeweitet werden und künftig auch sämtliche Web-Dienste umfassen, etwa Transaktionen in sozialen Netzwerken oder im Rahmen von Online-Spielen. Am 29. November 2016 einigten sich das Ober- und Unterhaus auf einen entsprechenden Gesetzestext,
der nach seiner formalen Billigung durch die Queen demnächst in Kraft treten soll. Auch in anderen Mitgliedstaaten gibt es – unterschiedlich weit reichende – gesetzliche Vorgaben, welche die Anbieter von Telekommunikations- und Internetdiensten dazu verpflichten, Verkehrs- und Standortdaten auch dann vorzuhalten, wenn diese für die Erbringung oder Abrechnung des jeweiligen Dienstes nicht bzw. nicht mehr erforderlich sind.
EU-Grundrechtecharta bindet auch den nationalen Gesetzgeber
Ein schwedisches und ein britisches Gericht hatten dem EuGH die Frage zur Klärung vorgelegt, ob die jeweiligen nationalen Regelungen zur Vorratsdatenspeicherung den europarechtlichen Vorgaben entsprechen.
Der EuGH beantwortet diese Frage dahingehend, dass das Unionsrecht nationalen Regelungen entgegensteht, die eine allgemeine und unterschiedslose Speicherung von Daten vorsehen. Der Grundrechtseingriff, der mit einer nationalen Regelung einhergehe, die eine Speicherung von Verkehrs- und Standortdaten vorsieht, sei als besonders schwerwiegend anzusehen. Die Mitgliedstaaten dürfen nicht – wie geschehen – Regelungen, die auf einem wegen seiner Grundrechtswidrigkeit annullierten EU-Rechtsakt basieren oder sogar über diesen hinausgehen, einfach beibehalten oder neu beschließen.
Die Vorgaben des EU-Rechts binden den nationalen Gesetzgeber. Die EU-Datenschutzrichtlinie 2002/58/EG für elektronische Kommunikation („ePrivacy“-Richtlinie) sei im Lichte der Grundrechtecharta auszulegen. Ausnahmen vom Schutz personenbezogener Daten seien auf das absolut Notwendige zu beschränken. Dies gelte nicht nur für die Regeln über die Vorratsdatenspeicherung selbst, sondern auch für den Zugang von Behörden zu den gespeicherten Daten. Eine nationale Regelung, die eine „allgemeine und unterschiedslose Vorratsdatenspeicherung“ vorsieht, keinen Zusammenhang zwischen den Daten, deren Vorratsspeicherung vorgesehen ist, und einer Bedrohung der öffentlichen Sicherheit verlangt und sich insbesondere nicht auf die Daten eines Zeitraums und/oder eines geografischen Gebiets und/oder eines Personenkreises, der in irgendeiner Weise in eine schwere Straftat verwickelt sein könnte, beschränkt, überschreite die Grenzen des absolut Notwendigen und könne nicht als in einer demokratischen Gesellschaft gerechtfertigt angesehen werden. Gesetze der Mitgliedstaaten, die diesen Anforderungen nicht entsprechen, müssen dementsprechend aufgehoben bzw. geändert werden.
Im Hinblick auf die angefochtenen britischen und schwedischen Gesetze liegt der Ball jetzt wieder bei den zuständigen nationalen Gerichten, die den EuGH zur Klärung der strittigen Rechtsfragen angerufen hatten und die nun für die Durchsetzung der EuGH-Vorgaben sorgen müssen. Besondere Verantwortung tragen aber auch die Parlamente und Regierungen der Mitgliedstaaten, denen es obliegt, die jeweiligen Bestimmungen des nationalen Rechts zu überprüfen und ggf. zu korrigieren.
Was wird aus der deutschen Vorratsdatenspeicherung ?
Welche Konsequenzen sich für die jüngst wieder eingeführte deutsche Vorratsdatenspeicherung ergeben, muss ebenfalls dringend überprüft werden. Zwar bleiben die Speicherungsverpflichtungen des neuen deutschen Vorratsdatenspeicherungsgesetzes hinter der vom Bundesverfassungsgericht 2010 aufgehobenen Vorgängerregelung zurück. Es ist jedoch höchst zweifelhaft, ob damit auch die Vorgaben des EuGH erfüllt werden, denn auch nach der neuen Regelung sind die Daten unterschiedslos und flächendeckend zu speichern, ohne jede sachliche Begrenzung auf einen Gefahrenbereich oder eine besondere Risikosituation.
Dass die Bundesregierung bzw. die sie tragenden Parlamentsfraktionen diese Prüfung nun ergebnisoffen vornehmen werden, erscheint angesichts der von diesen gerade beschlossenen und angekündigten Befugnisserweiterungen für die Sicherheitsbehörden höchst unwahrscheinlich. Letztlich wird wohl erneut das Bundesverfassungsgericht hier für Klarheit sorgen müssen.
Peter Schaar (21. Dezember 2016)
Tracking und Profiling – online und offline
Posted on 7. Dezember 2016 by Alexander Dix	Leave a comment
Dass die Online-Welt immer mehr mit der Offline-Welt zusammenwächst, zeigt sich auch in der immer schnelleren Entwicklung von Techniken zur Beobachtung und Ortung von Menschen und der Verfolgung ihrer Bewegungen zu den verschiedensten Zwecken. Lange Zeit wurde dieses Thema ausschließlich bezogen auf die Internet-Nutzung diskutiert. Inzwischen jedoch haben die Anbieter von Internet-Inhalten erkannt, dass Online-Profile sehr viel aussagekräftiger werden, wenn sie zum einen das Verhalten der Nutzer webseitenübergreifend abbilden und zum anderen auch ihr Verhalten offline miteinbeziehen.
Zu diesem Thema veranstaltete die Europäische Akademie für Informationsfreiheit und Datenschutz am 23. November 2016 im Abgeordnetenhaus von Berlin einen Workshop, an dem auch zahlreiche ausländische Experten teilnahmen, die sich an der vorausgegangenen Herbstsitzung der Internationalen Arbeitsgruppe zum Datenschutz in der Telekommunikation (sog. Berlin-Group) beteiligt hatten.
Zunächst berichtete Tobias Judin von der norwegischen Datenschutzaufsichtsbehörde Datatilsynet über die Ergebnisse einer Prüfung diverser Tracking-Technologien, die in Norwegen in öffentlich zugänglichen Bereichen eingesetzt werden. Diese reichen von WiFi-Netzen über Bluetooth-Technologie und den Einsatz von Beacons in Ladengeschäften bis hin zu intelligenter Videoanalyse, die über den Einsatz herkömmlicher Kameras weit hinausgeht. Judin erläuterte die Einordnung dieser Technologien nach norwegischem Recht, die sich durchaus auf andere europäische Länder übertragen lässt. Er bezeichnete die Transparenz beim Einsatz solcher Technik durch Unternehmen als essentiell als notwendig, wenn auch nicht als hinreichend. Darüber hinaus sei die informierte Einwilligung der Betroffenen einzuholen. So ist der Betreiber einer Ladenkette, der seine Kunden in den Geschäften lokalisieren lassen und über eine App gezielte Angebote machen will, dazu verpflichtet, sowohl elektronisch in der App als auch in den jeweiligen Geschäften durch analoge Hinweise auf diese Ortungsmöglichkeit hinzuweisen, um den Kunden eine Entscheidung zu ermöglichen, ob sie davon Gebrauch machen wollen. Für den Einsatz intelligenter Videoanalyse müssen – so Judin – nach norwegischem Recht strengere rechtliche Voraussetzungen erfüllt sein als für WiFi- und Beacon-Technologie.
Achim Klabunde, Leiter des IT-Bereichs beim Europäischen Datenschutzbeauftragten, widmete sich der technisch unterstützten Beobachtung durch öffentliche Stellen. Soweit es sich dabei um EU-Institutionen handelt, werden sie vom Europäischen Datenschutzbeauftragten kontrolliert. Dabei sparte er die öffentliche Sicherheit und Grenzkontrollen aus und konzentrierte sich auf die Beobachtung der Internet-Nutzung durch Unionsbehörden. Er beleuchtete die Reichweiten-Analyse und die Nutzung von sozialen Netzen, wobei er die neueste Entscheidung des EuGH zum Personenbezug von IP-Adressen und die festgestellte Unvereinbarkeit des deutschen Verbots der Speicherung von Nutzungsdaten für Sicherheitszwecke nach dem TMG mit in seine Analyse einbezog.
Die Perspektive der US-Federal Trade Commission beleuchtete in einem Video-Statement der Guilherme Roschke, Counsel for International Consumer Protection der FTC. Er schilderte die umfangreichen Aktivitäten der FTC im Zusammenhang mit verschiedenen Formen des geräteübergreifenden Online-Tracking durch Internet-Unternehmen, die ihre Kunden darüber entweder überhaupt nicht oder irreführend informieren. Dies reicht von „history sniffing“, bei dem die Nutzungshistorie des Browsers ausgelesen wird, bis hin zur unbemerkten Herstellung von Internet-Verbindungen durch moderne Fernsehgeräte, ein Thema, das auch in Deutschland für Diskussionen gesorgt hat. Bemerkenswert war die Aussage, dass die FTC – wie auch die europäischen Datenschutzbehörden – der Auffassung ist, dass Daten, die mittels technischer Identifikationsmerkmale wie der IP- oder der Mac-Adresse zur Personalisierung verwendet werden können, nicht generell als anonyme Daten anzusehen sind.
Abschließend berichtete Frank Wagner von der Deutschen Telekom über den gegenwärtigen Stand der internationalen Diskussion über den Do-Not-Track-Standard. Das World Wide Web Consortium (W3C) hat vor mehreren Jahren hierzu eine Arbeitsgruppe eingesetzt, die inzwischen mehrere Entwürfe für ein browsergestütztes Verfahren vorgelegt hat, mit dem Nutzer den von ihnen besuchten Webseiten mitteilen können, ob sie eine Speicherung ihrer Nutzungsdaten nach Ende der Nutzung akzeptieren oder nicht. Während die US-Internet-Wirtschaft offenbar kein Interesse an einem solchen Standard hat und das W3C deshalb Ende 2016 die Arbeiten daran einstellen wird, erläuterte Wagner die Absicht der Deutschen Telekom, gemeinsam mit anderen europäischen Stakeholdern dafür werben zu wollen, dass die Datenschutzbehörden in der Union den Do-Not-Track-Standard als eine Möglichkeit der informierten Einwilligung nach der Datenschutz-Grundverordnung qualifizieren.
Posted on 20. April 2016 by Peter Schaar	Leave a comment
In Zeiten wie diesen, in denen grausame islamistisch oder rassistisch motivierte Anschläge die Berichterstattung dominieren, dringen diejenigen kaum durch, die sich für Grund- und Bürgerrechte einsetzen. Zu überwältigend sind die grausamen Bilder von Tatorten und Opfern, die uns immer wieder beunruhigen. Trotzdem darf nicht vergessen werden, dass sich der religiös oder nationalistisch begründete Terror vor allem gegen offene, rechtstaatlich organisierte Gesellschaften richtet.
Staatliche Überreaktionen
Allzu leicht werden bei der Reaktion auf Gefahren die verfassungsrechtlichen Dämme unterminiert, die uns vor Willkür schützen und damit unsere gesellschaftlichen Werte bewahren sollen. Bisweilen werden sie auch geschleift – wie nach dem 11. September 2001 in den USA – oder durchlöchert. Immer wieder haben Bundestagsmehrheiten die gesetzlichen Befugnisse der Sicherheitsbehörden ausgeweitet und dabei verfassungsrechtliche Grenzen nicht beachtet. Deshalb ist es folgerichtig, dass das Bundesverfassungsgericht hier wiederholt korrigierend eingegriffen hat, etwa bei dem „großen Lauschangriff“ (akustische Wohnraumüberwachung), bei der Vorratsdatenspeicherung oder auch beim heimlichen Ausspähen informationstechnischer Systeme.
Das höchste deutsche Gericht – und in den letzten Jahren auch der Europäische Gerichtshof – haben hier Grenzen aufgezeigt, die auch angesichts terroristischer Bedrohungen gewahrt werden müssen. Werte wie die Menschenwürde und die Wahrung des Kernbereichs privater Lebensgestaltung stehen nicht zu staatlicher Disposition. In seinem jüngsten Urteil vom 20. April 2016 zu den 2009 eingeführten neuen Befugnissen des Bundeskriminalsamts bestätigt das Bundesverfassungsgericht die von ihm aufgestellten Prinzipien. Auch ich sehe mich in meiner seinerzeit als Bundesbeauftragter für den Datenschutz geäußerten Kritik bestätigt.
Feststellungen des Bundesverfassungsgerichts zum BKA-Gesetz
Das Bundesverfassungsgericht stellt in seinem Urteil – 1 BvR 966/09 – insbesondere fest:
Viele der von der seinerzeitigen Großen Koalition eingeführten Regelungen zur Terrorabwehr sind unverhältnismäßig, insbesondere soweit sie dem BKA, tief in die Privatsphäre eingreifende Ermittlungs- und Überwachungsbefugnisse einräumen (etwa zur Wohnraum- und Telekommunikationsüberwachung und zur heimlichen Überwachung informationstechnischer Systeme – Stichworte: „Online-Durchsuchung“, „Bundestrojaner“).
Den Schutz des Kernbereichs privater Lebensgesetaltung ist auch bei heimlichen Maßnahmen außerhalb einer Wohnung zu beachten; dies ist nicht hinreichend gewährleistet.
Besonders kritisch beurteilt das höchste deutsche Gericht die Befugnis des Bundeskriminalamts zur heimlichen Sammlung von Unverdächtigen, die selbst nicht Zielpersonen sind („Kontakt- und Begleitpersonen“), weil gegen sie nicht wegen terrorristischer oder sonstiger schwerkrimineller Aktivitäten ermittelt wird.
Bei der Übermittlung der heimlich erhobenen Daten an andere in- und ausländische Stellen, insbesondere an Nachrichtendienste, mangelt es an den erforderlichen datenschutzrechtlichen Sicherheitsvorkehrungen.
Auch wenn jede einzelne Maßnahme den verfassungsrechtlichen Anforderungen genügen muss, ist eine übergreifende Betrachtung kumolierter bzw. paralleler Überwachungsmaßnahmen erforderlich. Eigene verfassungsrechtliche Grenzen ergeben sich hinsichtlich des Zusammenwirkens der verschiedenen Überwachungsmaßnahmen. Insofern betont das Bundesverfassungsgericht erneut die Bedeutung einer Art „Überwachungsgesamtrechnung“, die der Verwaltungsrechtler Roßnagel schon vor Jahren angemahnt hatte.
Die Regelungen zur unabhängigen Kontrolle der Datenverarbeitung des BKA im Vorfeld der Überwachungsmaßnahmen mit hoher Eingriffsintensität – etwa durch Gerichte und durch den/die Bundesbeauftrate für den Datenschutz – ist unzureichend. Auch die Feststellung, ob eine Information dem „Kernbereich“ der Privatsphäre zuzurechnen ist, muss unabhängig erfolgen und darf nicht Mitarbeitern des BKA überlassen bleiben.
Das Bundesverfassungsgericht hat damit in Erinnerung gerufen, dass Verfassungsgrundsätze nicht angesichts politischer Stimmungsschwankungen – so verständlich sie sein mögen – unterminiert werden dürfen. Gerade in Zeiten gesellschaftlicher Krisen und terroristischer Risiken müssen wir Werte und Freiheitsrechte verteidigen. Nur so kann es gelingen, den Gegnern von Freiheit und Menschenwürde nachhaltig und wirksam entgegenzutreten. Es ist zu hoffen, dass diese Botschaft bei den Verantwortlichen in der Politik und in den Behörden auch verstanden wird.
Doch (k)ein sicherer Hafen? (mit Update vom 02.02.2016, 17:15)
Posted on 2. Februar 2016 by Peter Schaar	Leave a comment
Bis zum vergangenen Wochenende hielten sich Gerüchte, dass die Verhandlungen zwischen der Europäischen Kommission und der US-Regierung über eine Nachfolgevereinbarung für das vom Europäischen Gerichtshof am 6. Oktober 2015 annullierte Safe Harbour-Abkommen kurz vor einem erfolgreichen Abschluss stünden. Inzwischen ist die von den Datenschutzbehörden der EU-Mitgliedstaaten in der Art. 29-Gruppe mehrheitlich beschlossene „Stillhaltefrist“ bis Ende Januar 2016 verstrichen, ohne dass eine Einigung erzielt wurde.
Einen aktuellen Einblick in den Stand der Verhandlungen gab EU-Justizkommissarin Vera Jourová bei der Sitzung des Ausschusses für bürgerliche Freiheitsrechte, Justiz und Inneres des europäischen Parlaments (LIBE-Ausschuss) am 1. Februar 2016. Der Kommission gehe es in erster Linie darum, das Grundrecht auf Datenschutz auch für den Fall zu sichern, dass personenbezogene Daten ins Ausland transferiert werden und zugleich die Voraussetzungen dafür zu schaffen, dass die transatlantischen Datenflüsse mit entsprechenden Sicherheitsvorkehrungen fortgesetzt werden können. Die Kommission habe sich unmittelbar nach der EuGH-Entscheidung vorgenommen, innerhalb von drei Monaten nach dem EuGH-Urteil einen entsprechenden robusten Rahmen zu schaffen. Eine solche Neuregelung müsse sich fundamental von dem durch den EuGH annullierten Safe Harbour-System unterscheiden. Inzwischen ist es sehr unwahrscheinlich, das sich dieses Ziel in dieser Frist erreichen lässt.
Zur Erinnerung: Kernstück des Safe Harbour-Systems war eine Entscheidung der EU-Kommission aus dem Jahr 2000, dass Unternehmen, die sich zur Einhaltung der mit dem US-Handelsministerium ausgehandelten „Safe Harbour-Prinzipien“ bekennen, ein angemessenes Schutzniveau für die in die USA übermittelten personenbezogenen Daten garantieren. Der EuGH hat in seinem Urteil, mit dem er diese Angemessenheitsentscheidung annullierte, deutlich gemacht, dass die durch die EU Grundrechte-Charta garantierten Grundfreiheiten, insbesondere die Grundrechte auf Gewährleistung der Privatsphäre (Art. 7), auf Datenschutz (Art. 8) und die Rechtsschutzgarantie (Art. 47) den entscheidenden Maßstab für die Angemessenheit des Schutzniveaus im Empfängerland bilden.
Fraglich ist bis heute, ob auf US-Seite wirklich die Bereitschaft besteht, sowohl die materiellen Datenschutzanforderungen für die aus Europa übermittelten Daten zu gewährleisten als auch einen diskriminierungsfreien Rechtsschutz für diejenigen Personen garantieren, deren Daten transferiert werden.
So muss eine rechtlich belastbare Beschränkung der Überwachungsaktivitäten der US-Sicherheitsbehörden erfolgen; eine anlasslose Überwachung der grenzüberschreitenden Kommunikation und ein umfassender Zugriff auf personenbezogene Daten von Personen, die weder US-Bürger sind, noch sich dauerhaft in den Vereinigten Staaten aufhalten („US persons“) darf es nach den Vorgaben des EuGH nicht geben, denn eine solche umfassende Überwachung würde den Wesensgehalt der Grundrechte verletzen. Ob diese Anforderungen durch die inzwischen erfolgten Gesetzesänderungen in den USA (US Freedom-Act) erfüllt werden, ist mehr als zweifelhaft, denn im wesentlichen beschränken sich dessen Regelungen auf die Daten amerikanischer Bürger.
Hinsichtlich der ebenfalls durch den EuGH eingeforderten unabhängigen Datenschutz-Kontrollstellen, die individuellen Beschwerden gegen die Verwendung personenbezogener Daten durch Unternehmen und durch US-Behörden nachzugehen, scheinen sich die Positionen zwar angenähert zu haben. Auch in der Frage des gerichtlichen Rechtsschutzes hat es in den letzten Monaten durchaus Bewegung gegeben. Ob die geplanten Änderungen des US-Rechts indes ausreichen, wird zu Recht infrage gestellt (etwa durch die US-Privacy Gruppe EPIC). Von einer rechtlichen Gleichstellung der EU-Bürgerinnen und -Bürger mit US-Bürgern kann nicht die Rede sein, wie ein Blick in den noch nicht abschließend vom US-Kongress gebilligten Entwurf des Judicial Redress Act (JRA) zeigt. So müssen EU-Bürger – anders als US-Personen – zunächst versuchen, ihre Datenschutzrechte auf dem Verwaltungsweg durchzusetzen. Erst wenn sie damit endgültig gescheitert sind, dürfen sie ein US-Gericht anrufen. Zudem sind die vorgesehenen Klagemöglichkeiten auf die Rechte auf Auskunft und Korrektur der jeweiligen personenbezogener Daten beschränkt. EU-Bürger sollen – anders als US-Bürger – weiterhin keine Möglichkeiten haben, die Rechtmäßigkeit des gesamten Verfahrens der Datenverarbeitung gerichtlich überprüfen zu lassen.
Der JRA garantiert den EU-Bürgern zudem nicht einmal diese Datenschutzrechte, sondern er ermächtigt den US-Generalstaatsanwalt (zugl. Justizminister, PSch) lediglich dazu, im Einvernehmen mit anderen Ministerien den Bürgern eines Staates oder eines Wirtschaftsraums, die beschriebenen Rechte einzuräumen. Der Justizminister kann die Entscheidung jederzeit widerrufen, etwa wenn der jeweilige Staat die Datenweitergabe an US-Behörden verweigert oder diese erschwert.
Schließlich werden selbst diese unzureichenden Rechte durch eine in der letzten Woche durch den Rechtsausschuss des US-Senats verabschiedete Änderung weiter relativiert. Danach sollen nur solche Staaten die durch den JRA formulierten Ansprüche erhalten können, die den kommerziellen Datentransfer in die USA erlauben und deren nationalen Sicherheitsinteressen nicht behindern („in order to qualify as a covered country, a foreign country must permit commercial data transfers with the United States and may not impede the national security interests of the United States”). Letztlich bleibt es – mit oder ohne die im Senat vorgeschlagene Änderung – dabei, dass die US-Administration darüber entscheidet, ob und welche Bürger Anspruch auf rechtliches Gehör bekommen. Ein robuster Grundrechtsschutz sieht anders aus.
Sollte die Europäische Kommission auf dieser Basis gleichwohl eine neue Angemessenheitsentscheidung für den Datentransfer in die USA treffen, würde sie ein großes Risiko eingehen, dass auch dieser neue Rahmen für die Datenübermittlung in die USA die Prüfung durch den Europäischen Gerichtshof nicht übersteht. Ein derartiges, nur leicht angereichertes Safe Harbour-System würde den erforderlichen Grundrechtsschutz der Bürgerinnen und Bürger nicht gewährleisten und wäre letztlich auch nicht im Interesse der europäischen oder amerikanischen Wirtschaft.
Update (02.02.2016, 17:15):
Die Europäische Kommission hat auf einer Pressekonferenz in Brüssel den erfolgreichen Abschluss der Verhandlungen mit der US-Regierung bekanntgegeben. Nach den Worten der Justizkommissarin Vera Jourová soll die neue Vereinbarung belastbare Garantien der US-Seite enthalten, sowohl im Hinblick auf den Umgang der Unternehmen mit personenbezogenen Daten aus der EU als auch zum Zugriff von US-Sicherheitsbehörden. EU-Bürger bekämen das Recht, gegen jede Art der Datenschutzverletzung rechtlich vorzugehen. Die Kommission werde in den nächsten Wochen eine neue Angemessenheitsentscheidung vorlegen. Nach den Worten von EU-Vizepräsident Ansip soll das neue Arrangement wesentlich besser sein als das Safe Harbor System aus dem Jahr 2000. Durch eine jährliche „Joint Review“, an der auch die Datenschutzbehörden beteiligt würden, soll die Umsetzung der Vereinbarung überprüft werden.
Posted on 20. Dezember 2015 by Peter Schaar	Leave a comment
Kurz vor Weihnachten verkündete der Bundesanzeiger-Verlag die frohe Botschaft, dass die vorratsdatenlose Zeit bald zu Ende geht. Mit der Veröffentlichung im Bundesgesetzblatt am 17. Dezember 2015 trat das „Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten“ in Kraft. Die „Erbringer öffentlich zugänglicher Telefondienste“ müssen ab dem 1. Juli 2017 wieder Rufnummern und andere Kennungen der Kommunikationspartner mit genauen Zeitangaben, Internetzugangsdienste die jeweilige Internet-Protokoll-Adresse speichern. Bei mobilen Diensten sind zusätzlich die Daten über die zu Beginn der Verbindung genutzten Funkzellen festzuhalten.
Wird Deutschland tatsächlich sicherer, wenn die Telekommunikationsunternehmen erneut verpflichtet werden, Daten über das Kommunikationsverhalten Ihrer Kunden zu speichern? Das zentrale Argument der Befürworter der Vorratsdatenspeicherung ist deren angebliche Notwendigkeit im Kampf gegen den Terrorismus. Insbesondere seit dem Massaker islamistischer Terroristen an den Redakteuren der Satirezeitschrift Charly Hebdo im Januar 2015 in Paris forderten deutsche Politiker die Wiedereinführung der Speicherungspflicht. Die 2006 eingeführte Vorratsdatenspeicherung hatte das Bundesverfassungsgerichts am 2. März 2010 für verfassungswidrig erklärt und der Europäische Gerichtshof (EuGH) annullierte am 8. April 2014 die Vorratsdatenspeicherungs-Richtlinie der EU, weil sie eklatant gegen die Grundrechte-Charta verstieß, und zwar gleichermaßen gegen den in Art. 7 garantierten Schutz der Privatsphäre und den durch Art. 8 verbrieften Schutz personenbezogener Daten. Legitime Zwecke der Strafverfolgung, der Gefahrenabwehr und der Terrorismusbekämpfung rechtfertigten die tiefen, mit einer anlasslosen, regional unbegrenzten, langfristigen und umfangreichen Speicherung personenbezogener Daten verbundenen Grundrechtseingriffe nicht. Entscheidend dabei sei, dass von einer solchen Maßnahme ganz überwiegend Unverdächtige betroffen sind.
Die Forderungen nach neuen Datensammlungen folgen einem Reaktionsmuster, das bereits nach den Terroranschlägen vom 11. September 2001 zu beobachten war. Sie lösten weltweit eine Welle von Überwachungsmaßnahmen aus, von denen wir heute wissen, dass sie die Welt nicht sicherer gemacht haben. Dies gilt auch für die Vorratsdatenspeicherung, die ja in Frankreich niemals ausgesetzt wurde und auch vor den jüngsten terroristischen Anschlägen praktiziert wurde. Selbst die dortige 12-monatige Vorratsdatenspeicherung hat die schrecklichen Mordattentate vom Januar und Oktober 2015 nicht verhindern können.
Auch wenn immer mehr Untersuchungen die Nutzlosigkeit der undifferenzierten Datenspeicherung bei Terrorismusbekämpfung belegen, hat dies die Bundestagsmehrheit nicht davon abgehalten, die Speicherungspflicht erneut einzuführen. Obwohl die dabei festgelegten Fristen von zehn Wochen für Verkehrsdaten und IP-Adressen bzw. vier Wochen für Standortdaten deutlich unterhalb der Vorgaben der früheren Vorratsdatenspeicherung bleiben, steht die Maßnahme zu Recht in der Kritik:
Es handelt sich um eine undifferenzierte Maßnahme, die ganz überwiegend unschuldige und unbescholtene Nutzerinnen und Nutzer elektronischer Dienste trifft. Selbst Daten von Berufsgeheimnisträgern wie Ärzten und Anwälten sollen lückenlos erfasst werden. Die gesetzlichen Verwertungsverbote schützen diese Daten nur unzureichend.
Der Nachweis der Notwendigkeit des mit der verdachtslosen Speicherung verbundenen tiefen Eingriffs in die Grundrechte wurde nicht erbracht.
Terroristische und andere Straftäter haben vielfältige Möglichkeiten, der Vorratsdatenspeicherung zu entgehen, etwa durch die Verwendung nicht registrierter Prepaid-Karten oder von Kommunikationsdiensten, die nicht erfasst werden, insb. von „Over The Top“ (OTT)-Diensten wie Skype, für die eine entsprechende Speicherverpflichtung nicht besteht.
Die zusätzlich gespeicherten Daten erhöhen das Risiko auf unberechtigte Verwendung durch Innen- und Außentäter. Diesen Gefährdungen kann nur mit erheblichem technischen, personellen und finanziellen Aufwand entgegengewirkt werden, den letztlich alle Kundinnen und Kunden der verpflichteten Unternehmen und zum Teil auch die Steuerzahler zu tragen haben.
Vor diesem Hintergrund ist es mehr als verständlich, dass Verfassungsbeschwerden gegen die neue Vorratsdatenspeicherung angekündigt wurden – durchaus mit guten Erfolgsaussichten.
Gesetz zur Vorratsdatenspeicherung (BGBl I , S. 2218, 17.12.2015)
EAID-Stellungnahme zum Gesetzentwurf zur Vorratsdatenspeicherung
EAID-Blog: Die Neue, die Unvollendete: Zur Wiedereinführung der Vorratsdatenspeicherung am 16.10.2015
27.01.2016: EAID-Veranstaltung zu den Konsequenzen aus dem EuGH-Urteil zu Safe Harbor
Posted on 10. Dezember 2015 by Peter Schaar	Leave a comment
Am Mittwoch, dem 27. Januar 2016, ab 18 Uhr (Vorabend des Europäischen Datenschutztags) führt die EAID in den Räumen der Europäischen Akademie Berlin (Grundewald), Bismarckallee 46/48, eine Vortrags- und Diskussionsveranstaltung Konsequenzen aus dem EuGH-Urteil vom 6. Oktober 2015 zu Safe Harbor durch.
Wegen der beschränkten Platzzahl wird um Anmeldung per E-Mail unter gf@eaid-berlin.de gebeten
EuGH zu Safe Harbor: Kein Grundrechterabatt beim internationalen Datentransfer
Posted on 6. Oktober 2015 by Peter Schaar	5 comments
Das Urteil des Europäischen Gerichtshofs (EuGH) in der Sache Schrems gegen den Irischen Datenschutzbeauftragten wirkt weit über den eigentlichen Streitgegenstand hinaus. Die Irische Datenschutzbebehörde muss der Frage nachgehen, ob Facebook Irland die personenbezogenen Daten seiner Nutzer in die Vereinigten Staaten weitergeben darf. Die Entscheidung betrifft auch die deutschen Facebook-Nutzer, denn Facebook Ireland ltd. mit Sitz in Dublin bietet seinen Service für die meisten Länder – mit Ausnahme Nordamerikas – rechtlich von Irland aus an. Deren Daten werden aber gleichwohl in den USA verarbeitet – im Wege der „Datenverarbeitung im Auftrag“.
Die für die Datenschutzkontrolle bei Facebook Irland zuständige Irische Datenschutzbeauftragte kann sich einer solchen Überprüfung nicht mit dem Hinweis darauf entziehen, dass die EU-Kommission in ihrer „Safe Harbour“-Entscheidung vom 26. Juli 2000 den Vereinigten Staaten ein angemessenes Datenschutzniveau bescheinigt hat, jedenfalls soweit sich die Datenempfänger zu den „Grundsätzen eines sichern Hafens“ bekennen, wie dies seitdem mehr al 3000 US-Unternehmen getan haben.
Das höchste EU-Gericht hat festgestellt, dass die Safe-Harbour-Vereinbarung nicht den Anforderungen von Art. 7 und 8 der EU-Grundrechtecharta genügt, die die Grundrechte auf Datenschutz und Privatsphäre garantieren. Letztlich unbegrenzte Zugriffsmöglichkeiten von US-Geheimdiensten auf Daten europäischer Herkunft verletzten den Kernbereich der Grundrechte. Ihre sehr weit gehenden Befugnisse widersprächen zudem den grundlegenden Anforderungen an ein rechtsstaatliches Verfahren, denn Betroffene EU-Bürger hätten keinen Anspruch darauf, in den USA Auskunft über die Datenverarbeitung staatlicher Stellen zu erlangen und die entsprechenden Zugriffe und die anschließende Datenverarbeitung gerichtlich überprüfen zu lassen. Das Safe Harbour Abkommen sei deshalb ungültig.
Für Facebook und die übrigen Unternehmen, die sich in den vermeintlich sicheren Hafen geflüchtet haben, bedeutet das Urteil zunächst, dass die Verarbeitung personenbezogener Daten, die aus der EU übermittelt wurden, nicht mehr der Vermutung unterliegen, sie würden in Übereinstimmung mit dem EU-Datenschutzrecht verarbeitet (Art. 25 der EU-Datenschutzrichtlinie von 1995). Sie benötigen für den Datentransfers grundsätzlich die Genehmigung durch die zuständigen Datenschutzaufsichtsbehörden der EU-Mitgliedstaaten. Die Datenschutzbehörden dürfen diese Genehmigung nur erteilen, wenn der Datenempfänger – bezogen auf die jeweiligen personenbezogenen Daten – ein angemessenes Datenschutzniveau gewährleistet. Dieser Nachweis dürfte insbesondere denjenigen Unternehmen schwer fallen, die an der Massenüberwachung durch US-Geheimdienste mitgewirkt haben.
Schwer vorstellbar ist, dass Facebook, Microsoft, Google & Co. einfach auf ein anderes Instrument „umschalten“ können, das die Angemessenheit des Datenschutzes garantieren soll, etwa auf die sog. „Standardvertragsklauseln„, die ebensowenig wie der „sichere Hafen“ vor staatlicher Überwachung schützen. Die vom EuGH formulierten Anforderungen sind auch auf sie anwendbar.
Auch die Änderung der Vertragsbestimmungen mit den Nutzern in der Weise, dass diese in die mögliche Überwachung durch die NSA und andere Behörden einwilligen, wäre keine Lösung. Zwar haben Betroffene grundsätzlich die Möglichkeit, in das Eingehen besonderer Risiken einzuwilligen, auch soweit diese den Umgang mit ihren Daten betreffen. Die Einwilligung kann jedoch nur dann eine wirksameRechtsgrundlage für die Verarbeitung personenbezogener Daten sein, wenn die Nutzer der Tragweite der Einwilligung bewusst sind (Transparenz), sie frei von jedem Zwang erfolgt (tatsächliche Freiwilligkeit) und sie jederzeit zurückgenommen werden kann.
Eine pauschale Einwilligung in umkfassende staatliche Überwachung durch einen Drittstaat, verbunden mit dem Verzicht auf Rechtsschutz und auf das nach EU-Recht unabdingbare Auskunftsrecht bezüglich der eigenen Daten wäre deshalb unwirksam.
Wie könnte also eine Lösung aussehen?
Kurzfristig müssen die betroffenen Unternehmen – sowohl die Absender als auch die Empfänger personenbezogener Daten – dafür sorgen, dass die ihnen anvertrauten Daten nicht weiter Gegenstand der Massenüberwachung sind: Durch Kryptographie, Standortenscheidungen für Server und anderer Netzkomponenten und ggf. durch Wechsel von Geschäftspartnern, etwa bei der Auftragsdatenverarbeitung oder bei der Erbringung sonstiger IT-Dienstleistungen.
Längerfristig besteht der einzige Weg darin, den in Art. 12 der UN-Menschenrechtserklärung, in der EU-Grundrechtecharta und in vielen Verfassungen demokratischer Staaten garantierten Grund- und Menschenrechte auf Privatsphäre und Datenschutz endlich global durchzusetzen. Die notwendigen Änderungen beschränken sich dabei nicht auf die Vereinigten Staaten, sie betreffen auch Europa. Auch hier folgen Geheimdienste der absurden Vorstellung, möglichst alles zu wissen und deshalb alles und jeden zu überwachen, um damit vermeintlich mehr Sicherheit zu schaffen (was bekanntlich nicht einmal in autoritären Regimes jemals geklappt hat).
Nicht ein angeblich „überzogener“ Datenschutz gefährdet den Welthandel und die Informationsgesellschaft, sondern überbordende Massenüberwachung!
Vgl. auch meinen Blog-Eintrag zum Votum des Generalanwalts
Posted on 22. Januar 2015 by Peter Schaar	Leave a comment
Kaum waren die Schüsse bei den schrecklichen Anschlägen von Paris verhallt, wurde von etlichen Politikern lautstark für die Wiedereinführung der Vorratsdatenspeicherung für Telekommunikationsdaten geworben. Nachdem der Europäische Gerichtshof (EuGH) am 8. April 2014 die Vorratsdatenspeicherungs-Richtlinie (2006/24/EG) annulliert hatte, war es zunächst ziemlich still um dieses Strafverfolgungsinstrument geworden. Der EuGH annullierte die Richtlinie von 2006, weil sie eklatant gegen die EU-Grundrechte-Charta (GrCH) verstieß, und zwar gleichermaßen gegen den in Art. 7 garantierten Schutz der Privatsphäre und den durch Art. 8 verbrieften Schutz personenbezogener Daten. Legitime Zwecke der Strafverfolgung, der Gefahrenabwehr und der Terrorismusbekämpfung rechtfertigen die umfangreichen, mit einer anlasslosen, regional unbegrenzten, langfristigen und umfangreichen Speicherung personenbezogener Daten verbundenen Grundrechtseingriffe nicht. Entscheidend dabei ist, dass von einer solchen Maßnahme ganz überwiegend Unverdächtige betroffen sind.
Vier Jahre zuvor hatte bereits das Bundesverfassungsgericht (BVerfG – Urteil vom 2. März 2010) die deutschen Vorschriften zur Vorratsdatenspeicherung für verfassungswidrig und erklärt. Während das BVerfG den Befürwortern der Vorratsspeicherung die Hoffnung ließ, doch noch zu einer verfassungsmäßigen gesetzlichen Regelung zu kommen, mit der die EU-Richtlinie umgesetzt werden könnte, hat die EuGH-Entscheidung den dafür vorhandenen Spielraum fast auf Null verringert. Insbesondere der Hinweis des EuGH auf die Unverhältnismäßigkeit einer Maßnahme, mit der ganz überwiegend völlig Unverdächtige erfasst werden, widerspricht dem mit der VDS verfolgten Ansatz diametral.
Ein Revival erlebten nach den Mordanschlägen von Paris auch andere von Sicherheitspolitikern immer wieder geforderte Maßnahmen, vor allem die Einführung der Vorratsdatenspeicherung von Fluggastdaten. In diesem Zusammenhang ist der Hinweis des Bundesverfassungsgerichts zu beachten, dass das Verbot einer Totalüberwachung zur „verfassungsrechtlichen Identität der Bundesrepublik Deutschland“ gehört, mit der es nicht zu vereinbaren wäre, wenn neben einer (eingeschränkten) Vorratsdatenspeicherung von Telefondaten auf europäischer Ebene noch weitere Vorgaben zur Vorratsdatenspeicherung eingeführt würden.
Die reflexhaften Forderungen nach neuen Gesetzen und Datensammlungen sind Ausdruck eines Aktionismus, der meint, so Handlungsfähigkeit zu demonstrieren. Das Reaktionsmuster kennen wir bereits seit den Terroranschlägen vom 11. September 2001, die weltweit eine Welle von Überwachungsmaßnahmen auslösten, von denen wir heute wissen, dass sie die Welt nicht sicherer gemacht haben. Dies gilt auch für die Vorratsdatenspeicherung, die ja in Frankreich – auch nach dem EuGH-Urteil – praktiziert wurde. Selbst die dortige 12-monatige Vorratsdatenspeicherung von Telekommunikations- und Internetdaten hat die schrecklichen Mordattentate nicht verhindern können. Zudem waren die Attentäter auf dem Schirm der Sicherheitsbehörden und ihre Namen fanden sich in diversen Dateien und Anti-Terrorlisten. Es bereitete es der französischen Polizei offenbar auch keine Schwierigkeiten, die Identität der Attentäter und ihr soziales Umfeld auszuleuchten – ob die auf Vorrat gesammelten Telekommunikationsdaten hierzu einen wesentlichen Beitrag leisteten, darf angesichts der Geschwindigkeit der Aufklärung zumindest bezweifelt werden.
Wer angesichts dieser Fakten und der durch die EU-Grundrechtecharta und das Grundgesetz gezogenen Grenzen die Wiedereinführung der VDS fordert, muss den Nachweis ihrer Notwendigkeit führen. Davon ist aber weit und breit nichts zu sehen – obwohl doch mittlerweile umfangreiche Erfahrungen in Europa und aus den USA vorliegen. Im Gegenteil: Es mehren sich die Untersuchungen, welche die Nutzlosigkeit der undifferenzierten Datenspeicherung bei Terrorismusbekämpfung belegen, etwa der Anfang 2014 vorgelegte Bericht des US-amerikanischen Civivil Liberties Oversight Boards. Diese amerikanische Datenschutzbehörde kam zum Ergebnis, dass die umfassende, seit 2001 von der NSA betriebene Metadatensammlung weder konkrete Ermittlungen gegen den Terrorismus vorangebracht noch zur Aufklärung bisher unbekannter Anschlagsplanungen beigetragen habe (PCLOB – Report on the Telephone Records Program).
Diejenigen, die Bürgerrechte einschränken wollen, seien daran erinnert, dass sie begründungspflichtig sind und nicht die Grundrechtsverteidiger. Massive Grundrechtseinschränkungen nach dem Motto „es könnte ja doch helfen“ darf es nicht geben – jedenfalls nicht in einer Demokratie.
EuGH setzt der Videoüberwachung Grenzen
Posted on 12. Dezember 2014 by Peter Schaar	One comment
Die Entscheidung der Europäischen Gerichtshofs (EuGH) zur Anwendbarkeit des Datenschutzrechts auf private Videoüberwachungsmaßnahmen (Rechtssache C‑212/13 v. 11. Dezember 2014) ist über den eigentlichen Gegenstand hinaus bedeutsam. Der Europäische Gerichtshof hat nämlich klargestellt, dass das EU-Datenschutzrecht stets anwendbar ist, wenn die Datenverarbeitung sich auf den öffentlichen Raum erstreckt:
„Soweit sich eine Videoüberwachung wie die im Ausgangsverfahren in Rede stehende auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten auf diese Weise verarbeitet, kann sie nicht als eine ausschließlich „persönliche oder familiäre“ Tätigkeit im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 angesehen werden.“ Folglich seien in einem solchen Fall die Datenschutzbestimmungen anwendbar.
Dies bedeutet allerdings nicht, dass die Datenerhebung und -verarbeitung damit automatisch unzulässig würde. Vielmehr ist zu prüfen, ob – soweit keine Einwilligung des Betroffenen vorliegt – gesetzliche Regelungen die jeweilige Datenverarbeitung erlauben. So regelt etwa § 6b BDSG die Videoüberwachung im öffentlichen Raum. Mehrere Landespolizeigesetze und das Bundespolizeigesetz enthalten ebenfalls spezielle Vorschriften zur Videoüberwachung. Das Urteil bestätigt insofern auch die Praxis der deutschen Datenschutzbehörden, die eine Viodeoüberwachung des öffentlichen Raums nur unter engen Voraussetzungen für zulässig halten.
Bedeutsam ist das Urteil aber auch für Veröffentlichungen im Internet. Wer persönliche Informationen über Dritte erhebt, verarbeitet oder öffentlich zugänglich macht – dazu gehört etwa die Sammlung von Nutzungsdaten oder auch das Einstellen von Fotos -, braucht dafür eine rechtliche Grundlage. Oder er muss die Betroffenen fragen, ob sie damit einverstanden sind.