Die Umsetzung der Richtlinie zur Vorratsdatenspeicherung

680 DuD t Datenschutz und Datensicherheit 10 | 2008
AUFSÄTZE
Nikolaus Forgó, Dennis Jlussi, Christian Klügel, Tina Krügel
Die Umsetzung der Richtlinie zur
Vorratsdatenspeicherung
Europa tut sich schwer
Eine rechtsvergleichende Analyse auf die Umsetzung der EU-Richtlinie zur Vorratsdatenspei-
cherung ergibt deutliche Unterschiede in der Umsetzungsgeschwindigkeit, intensität und
–form. 18 von 27 Mitgliedstaaten sind nach den Feststellungen der Autoren mit der Umset-
zung der Richtlinie in Verzug.
1 Einleitung
Kaum ein Thema der europäischen Rechts-
politik der vergangenen Jahre war und ist
politisch wie rechtlich so umstritten wie
die Richtlinie 2006/24/EG zur Vorratsda-
tenspeicherung. Jeder, der in Europa elek-
tronisch kommuniziert, ist von den vorge-
sehenen Maßnahmen betroffen.
Rechtlich stehen die vorgesehenen Maß-
nahmen insbesondere in einem erhebli-
chen Spannungsverhältnis zu gemeinsa-
men europäischen Datenschutzstandards,
wie auch zu nationalen grundrechtlichen
Traditionen. Die aufgeworfenen rechtli-
chen und politischen Bedenken haben
wohl dazu beigetragen, dass die Richtlinie
in zahlreichen Mitgliedsstaaten noch nicht
wie vorgesehen umgesetzt ist: Ende 2007,
nach Ablauf der Umsetzungsfrist, hatten
einer Einschätzung der Kommission zu-
folge erst acht der 27 Mitgliedsstaaten die
erforderlichen Maßnahmen getroffen.1
Die Autoren haben in einer rechtsverglei-
chenden Studie, gemeinsam mit dem Lud-
wig Boltzmann Institut für Menschenrech-
te in Wien, Umfang, Regulierungsweise
und Probleme der Umsetzung in Deutsch-
land und weiteren ausgesuchten Mitglieds-
staaten untersucht. Die Analyse zeigt deut-
liche Unterschiede in Umsetzungsge-
schwindigkeit, intensität und form.
Darüber hinaus lassen sich auch erheb-
liche Divergenzen im regulatorischen
Grundansatz identifizieren. Während ei-
1 Nämlich Deutschland, Frankreich, Großbritan-
nien, Spanien, Belgien, Lettland, Dänemark, Tsche-
chien und Estland; vgl. MMR 2008, Heft 2, XXIII.
nige Staaten (etwa Deutschland) einen tra-
ditionellen ordnungsstaatlichen Ansatz
verfolgen, der die Nichtbefolgung der
Speicherverpflichtung mit erheblichen
Bußgeldstrafen bedroht, wird in Großbri-
tannien etwa ein stark marktgetriebener
Ansatz verfolgt:
(Nur) wer die Speicherverpflichtung wie
vorgesehen erfüllt, kann mit einem Ersatz
der anfallenden Kosten rechnen. Andere
Staaten – etwa Österreich – verzichten der-
zeit offenbar bewusst aufgrund materie-
spezifischer Bedenken auf eine Umset-
zung.2 Ferner lassen sich – freilich in ihrer
Intensität sehr stark divergierende – For-
men des politischen Widerstands gegen die
Umsetzung der Richtlinie identifizieren.
2 Vorratsdatenspeicherung
Die Richtlinie zur Vorratsdatenspeiche-
rung verpflichtet die EU-Mitgliedsstaaten,
zur Ermittlung, Feststellung und Verfol-
gung schwerer Straftaten nationale Geset-
ze zur Speicherung von Telekommunikati-
onsdaten auf Vorrat also generell und un-
abhängig vom Vorliegen etwaiger Ver-
dachtsmomente zu erlassen. Betreffen soll
diese Speicherung jedermann, der sich
elektronischer Kommunikation bedient –
mithin so gut wie alle Personen, die sich im
Unionsgebiet aufhalten. Zu speichern sind
Bestandsdaten sowie Verkehrsdaten einer
jeden Verbindung, nicht jedoch Inhaltsda-
2 http://diepresse.com/home/panorama/oester-
reich/355682/index.do, „Faymann legt Daten-Spei-
cherung auf Eis“.
Prof. Dr. Nikolaus
Forgó
Institut für Rechtsin-
formatik, Universität
Hannover
E-Mail: forgo@iri.uni-hannover.de
Dennis Jlussi
Studium der Politik-
und Rechtswissen-
schaften in Potsdam
und Hannover
Schwerpunktstudi-
um im Europäischen Wirtschafts-
recht und IT-Recht
E-Mail: Jlussi@iri.uni-hannover.de
Christian Klügel
Studium an der LUH
iRd. Schwerpunkt-
studium im Europäi-
schen Wirtschafts-
recht und IT-Recht.
E-Mail: kluegel@iri.uni-hannover.de
Rechtsanwältin
Dr. jur. Tina
Krügel, LL.M.
Institut für Rechtsin-
formatik, Universität
Hannover
E-Mail: kruegel@iri.uni-hannover.de

AUFSÄTZE
DuD t Datenschutz und Datensicherheit 10 | 2008 681
ten, also Angaben über den Inhalt beispiels-
weise eines Telefonats oder einer E-Mail.
Für die Dauer der Speicherung gestattet die
Richtlinie einen Umsetzungskorridor zwi-
schen sechs Monaten und zwei Jahren.
3 Umsetzung in Deutschland
Deutschland gehört zu den acht Mitglied-
staaten, die die Richtlinie bereits in natio-
nales Recht umgesetzt haben. Zum 1. Ja-
nuar 2008 trat das Gesetz zur Neurege-
lung der Telekommunikationsüberwa-
chung und anderer verdeckter Ermitt-
lungsmaßnahmen sowie zur Umsetzung
der Richtlinie 2006/24/EG3 in Kraft.
Neben der Umsetzung der Richtlinie
sind vor allem Regelungen zur Überwa-
chung der Telekommunikation von Be-
rufsgeheimnisträgern Gegenstand des Ge-
setzes. Deutschland setzt die Bestimmun-
gen der Richtlinie durch Änderungen im
Telekommunikationsgesetz (TKG) um.
Die gem. Art. 4 der Richtlinie ausdrück-
lich dem nationalen Recht überlassene
Verwendung der gespeicherten Daten
wird durch § 100 g StPO geregelt.
Die Speicherfrist legt Deutschland hin-
sichtlich der Verkehrsdaten bei sechs Mo-
naten fest; die Daten sind dann binnen ei-
nes weiteren Monats zu löschen, § 113 a
Abs. 1, 11 TKG.4 Die Umsetzung am unte-
ren Rand hat die Bundesregierung nach
Aufforderung durch den Bundestag vor-
geschlagen.5 Bestandsdaten sind hingegen
gem. § 111 Abs. 4 TKG bis zum Ende des
auf das Vertragsende folgenden Jahres zu
speichern, also ein bis zwei Jahre über das
Vertragsende hinaus. Für die mit der Spei-
cherung der Daten verbundenen Kosten
werden TK-Dienstanbieter ausdrücklich
nicht entschädigt, § 111 Abs. 5 TKG.
Der deutsche Gesetzgeber hat auch bei
der Verwendung der auf Vorrat gespei-
cherten Daten nach Verkehrs- und Be-
standsdaten unterschieden: Über Be-
standsdaten muss nach §§ 112, 113 TKG
nicht nur für die Verfolgung von Strafta-
ten, sondern auch für die Verfolgung von
Ordnungswidrigkeiten, zum Zweck der
Gefahrenabwehr sowie für Tätigkeiten der
Nachrichtendienste und des Verfassungs-
3 BGBl I vom 31.12.2007, S. 3198.
4 Diese knappe Frist zwischen Ende der Spei-
cherverpflichtung und Ende des Speichererlaubnis
wird – gerade in Unternehmen mit entwickelten Da-
tensicherheitsmaßnahmen – zu ganz erheblichen
organisatorischen Herausforderungen führen.
5 BT-Drs. 16/545, S. 4.
schutzes Auskunft erteilt werden. Auf Be-
standsdaten gerichtete Auskunftspflichten
bestehen auch gegenüber privaten Drit-
ten.6 Die Weitergabe von Verkehrsdaten ist
nach dem Gesetz hingegen nur für die
Zwecke der Verfolgung schwerer oder aber
auch mittels Telekommunikation begange-
ner Straftaten zulässig, grundsätzlich nur
auf richterliche Anordnung (Richtervorbe-
halt), bei Gefahr im Verzug genügt jedoch
eine Anordnung des Staatsanwalts.
Die Richtlinie und ihre Umsetzung sind
in Deutschland erheblicher gesellschaftli-
cher Kritik ausgesetzt. Insbesondere der
„Arbeitskreis Vorratsdatenspeicherung“7
ist gut organisiert und die Liste seiner Mit-
glieder ebenso lang wie prominent.8 Der
Widerstand gegen das deutsche Umset-
zungsgesetz erreichte seinen vorläufigen
Höhepunkt mit der am Tage der Verkün-
dung von acht Erstbeschwerdeführern
eingereichten 150-seitigen Verfassungsbe-
schwerde9, verbunden mit dem Antrag,
das Gesetz bis zur Entscheidung außer
Kraft zu setzen.
Die Verfassungsbeschwerde wird insge-
samt von über 34.000 Bürgern betrieben10
und rügt im Kern die folgenden Verfas-
sungsverstöße: Durch die generelle Vorrats-
datenspeicherung aller Bürger werde das
Fernmeldegeheimnis nach Art. 10 Abs. 1 3.
Alt. GG und das Recht auf informationelle
Selbstbestimmung gem. Art. 2 Abs. 1 GG
verletzt, denn die Maßnahme sei unverhält-
nismäßig. Zudem verstoße die Vorratsda-
tenspeicherung wegen fehlender Kostentra-
gungsregelungen gegen die Berufsfreiheit
(Art. 12 Abs. 1 GG) der zur Durchführung
der Speicherung verpflichteten Unterneh-
men und Organisationen und im Bereich
des Internets sei die Meinungsfreiheit aus
Art. 5 Abs. 1 S. 1 Hs. 1 GG, die Informati-
6 § 13 a UKlaG, zukünftig zusätzlich die Bestim-
mungen im Rahmen der Umsetzung der Durchset-
zungsrichtlinie 2004/48/EG: Entwurf eines Gesetzes
zur Verbesserung der Durchsetzung von Rechten
des geistigen Eigentums, BT-Drs. 16/5048, vgl. dazu
etwa http://www.heise.de/newsticker/Bundesrat-
segnet-Gesetz-zur-besseren-Durchsetzung-geisti-
gen-Eigentums-ab--/meldung/108367.
7 http://www.vorratsdatenspeicherung.de/.
8 So etwa die Deutsche Vereinigung für Daten-
schutz e.V. (DVD), der Deutschen Journalisten-Ver-
band (DJV), der Deutscher Anwaltverein e.V. (DAV),
Reporter ohne Grenzen e.V und der Bundesverband
deutscher Pressesprecher e.V. (BdP). Eine vollständige
Auflistung ist abrufbar unter: http://www.vorratsda-
tenspeicherung.de/content/view/80/100/lang,de/.
9 http://wiki.vorratsdatenspeicherung.de/ima-
ges/Verfassungsbeschwerde_Vorratsdatenspeiche-
rung.pdf.
10 http://www.vorratsdatenspeicherung.de/
content/view/51/70/lang,de/.
onsfreiheit aus Art. 5 Abs. 1 S. 1 Hs. 2 GG
und die Rundfunkfreiheit nach Art. 5
Abs. 1 Satz 2 2. Alt. GG tangiert.
Das BVerfG hat am 11. März 2008 über
den Eilantrag entschieden.11 Es gab dem
Antrag der Beschwerdeführer insoweit
statt, als Verkehrsdaten zwar gespeichert
werden müssen, einstweilen jedoch nur im
Falle des Verfolgens einer schweren Straf-
tat an die ersuchende Behörde übermittelt
werden dürfen; in den übrigen Fällen des
§ 100 g Abs. 1 StPO ist von einer Über-
mittlungen bis zur Entscheidung in der
Hauptsache abzusehen, denn die Nachtei-
le, die dem Einzelnen und der Allgemein-
heit durch die Übermittlung von Ver-
kehrsdaten drohen, seien von ganz erheb-
lichem Gewicht.
So liege „in dem Verkehrsdatenabruf
selbst […] ein schwerwiegender und nicht
mehr rückgängig zu machender Eingriff
in das Grundrecht aus Art. 10 Abs. 1 GG.
Ein solcher Datenabruf ermöglicht, weit-
reichende Erkenntnisse über das Kommu-
nikationsverhalten und die sozialen Kon-
takte des Betroffenen zu erlangen, gegebe-
nenfalls sogar begrenzte Rückschlüsse auf
die Gesprächsinhalte zu ziehen.“12
Grundsätzlich zur Verfassungsmäßig-
keit der von der Richtlinie statuierten
Speicherpflicht hat sich das BVerfG im
Rahmen der Entscheidung über den Eil-
antrag nicht geäußert und hat dadurch zu-
mindest vorläufig Konflikte mit dem Eu-
roparecht und der Kompetenz des EuGH
vermieden. Wann eine Entscheidung im
Hauptsacheverfahren verkündet wird, ist
derzeit noch offen.
4 Vergleich mit den
Umsetzungen in anderen EU-
Mitgliedsstaaten
Wie bereits eingangs erwähnt, erfolgt die
Umsetzung der Richtlinie in nationale
Gesetze sehr schleppend. Außer von
Deutschland ist die Richtlinie bislang13
nur von Dänemark, Estland, Frankreich,
Großbritannien, Lettland, Spanien und
Tschechien umgesetzt worden. Belgien hat
die Richtlinie bisher zwar nicht umge-
setzt, nach Einschätzung der europäischen
Kommission sind die Vorgaben zur Vor-
11 http://www.bverfg.de/entscheidungen/
rs20080311_1bvr025608.html.
12 BVerfG, 1 BvR 256/08 vom 11.3.2008, Absatz-
Nr. 156 = DuD 2008, 291 ff.
13 Stand der Untersuchung: Ende Februar 2008.

682 DuD t Datenschutz und Datensicherheit 10 | 2008
AUFSÄTZE
ratsdatenspeicherung hier aber bereits
durch das geltende Recht abgebildet.14
Insgesamt sind damit 18 der 27 Mit-
gliedsstaaten mit der Umsetzung der
Richtlinie in Verzug (offizielle Frist war
der 15. September 2007), wobei Portugal
das Umsetzungsvorhaben inzwischen zu-
mindest konkretisiert hat. Die Gründe für
den Verzug liegen überwiegend in der je-
weiligen allgemeinen politischen Situati-
on; so haben etwa in Griechenland15 und
Italien16 Regierungskrisen die Umsetzung
der Richtlinie von der politischen Agenda
ferngehalten. Die Republik Irland ist mit
der Umsetzung hingegen in Verzug, da sie
die Richtlinie bereits im Jahr 2006 vor
dem EuGH angefochten hat.17. In Öster-
reich erklärt sich die eingetretene Verzö-
gerung aus konkreten grundrechtlichen,
datenschutzrechtlichen und TK-politi-
schen Bedenken: Hier war bereits im Ap-
ril 2007 ein Entwurf zur Novelle des Tele-
kommunikationsgesetzes zur Begutach-
tung ausgesandt worden.18 Wie kaum an-
ders zu erwarten, waren die zu diesem
Entwurf eingegangenen Stellungnahmen
wegen der erheblichen Grundrechtsein-
griffe ganz überwiegend deutlich kri-
14 Vgl. MMR 2008, Heft 2, S. XXIII.
15 Die Diskussion um die Vorratsdatenspeiche-
rung und eine etwaige Umsetzung der Richtlinie in
nationales Recht findet hier weder in der Öffentlich-
keit noch in der politischen Diskussion nennenswerte
Beachtung. Die Wahlen im September 2007 haben
die Verzögerung vieler politischer Prozesse bewirkt,
sodass bis heute – mangels entsprechender Priorität
– nicht einmal mit dem Gesetzgebungsverfahren zur
Umsetzung der Richtlinie begonnen worden ist.
16 Zwar bestehen hier entsprechende Gesetzes-
entwürfe, deren Mehrheitsfähigkeit steht jedoch
bislang nicht fest.
17 Case C-301/06. Da mit dem irischen Antiterror-
gesetz (Criminal Justice (Terrorist Offences) Act 2005)
bereits auf nationaler Ebene Regelungen vorhanden
sind die eine Vorratsdatenspeicherung von bis zu 3
Jahren vorsehen, ist die Debatte um die Vorratsda-
tenspeicherung den Iren keineswegs neu. Zwar wür-
de die Umsetzung der Richtlinie wohl eine Reduzie-
rung der Speicherfrist auf maximal 2 Jahre bewirken,
allerdings würden parallel viele weitere Arten von
Daten mit in die Vorratsdatenspeicherung mit einbe-
zogen. Vor diesem Hintergrund wurden die Umset-
zungsbestrebungen sowie die geltenden Normen
des irischen Antiterrorgesetzes durch eine zivilgesell-
schaftliche Organisation vor dem irischen High Court
als nicht-verfassungskonform angefochten. Auch in-
nerhalb der Regierung divergieren die Ansichten. So
sprechen sich – wohl auch aufgrund dieser Entwick-
lungen – Stimmen für und Stimmen gegen die Um-
setzung der Richtlinie in nationales Recht oder besser
die Vorratsdatenspeicherung im generellen aus.
18 Ministerialentwurf betreffend ein Bundesge-
setz, mit dem das Telekommunikationsgesetz 2003
– TKG 2003 geändert wird, 61/ME (XXIII. GP), online
unter http://www.parlinkom.gv.at/PG/DE/XXIII/ME/
ME_00061/pmh.shtml.
tisch.19 Der Ministerialentwurf wurde in
Folge nicht in den parlamentarischen Pro-
zess eingebracht, die Umsetzung steht wei-
terhin und bis auf Weiteres aus.20
Hinsichtlich der Speicherfristen für
Verkehrsdaten bleibt neben Deutschland
allein Tschechien an der unteren Grenze
von sechs Monaten. In Frankreich, Portu-
gal, Dänemark und Spanien beträgt die re-
gelmäßige Speicherfrist ein Jahr. In Belgi-
en kann sie bis zu 36 Monate betragen,
ebenso nach der richtlinienunabhängigen
Rechtslage in Irland.
Der Umfang der Speicherpflicht ent-
spricht zumeist den Richtlinienvorgaben
mit nur leichten Nuancen: So erfordert das
Vereinigte Königreich die Speicherung der
Bestandsdaten des Teilnehmers und
(Richtlinie: oder) des registrierten Benut-
zers.21 Ausnahmen bilden Tschechien, wo
aufgerufene URI22 für drei Monate zu spei-
chern sind, sowie Dänemark, das eine
stichprobenartige Speicherung des IP-Ver-
kehrs vorschreibt.23 Spanien verlangt von
seinen Providern eine Nacherhebung der
Bestandsdaten früher anonym ausgegebe-
ner Prepaid-Mobilfunkkarten.24
Erhebliche Unterschiede zeigen sich in
der Verwendung der gespeicherten Daten.
So besteht in Frankreich, anders als in
Spanien25 und Dänemark26, kein Richter-
vorbehalt. In Portugal dürfen die Daten
nur zur Verfolgung von Delikten mit einer
Mindeststrafe von drei Jahren verwendet
werden, während die Daten in Tschechi-
en, dem Vereinigten Königreich und Dä-
nemark zu jeglicher Strafverfolgung ge-
nutzt werden dürfen, in Dänemark sogar
präventiv.27
Wie in Deutschland werden die Provi-
der in Dänemark und Spanien nicht für
die Speicherung entschädigt, während im
Vereinigten Königreich, Tschechien und
19 Vgl. http://www.parlinkom.gv.at/PG/DE/
XXIII/ME/ME_00061/pmh.shtml.
20 http://diepresse.com/home/panorama/oes-
terreich/355682/index.do.
21 Statutory Instrument 2007 No. 2199, Section
5, Abs. 1 lit. a und b entgegen Art. 5 Abs. 1 lit. b der
RL 2006/24/EG.
22 Uniform Ressource Identifier, also die Inter-
netadresse jeglicher genutzter Internetdienste.
23 Speicherung des ersten und letzten oder je-
des fünfhundertsten Internet-Protokoll-Pakets.
24 Gesetz 25/2007 vom 18.10.2007, “Ley de con-
servación de datos relativos a las comunicaciones
electrónicas y a las redes públicas de comunicacio-
nes”, Anhang. Nr. 8.
25 Art. 7 des Gesetzes 25/2007.
26 Art. 783 f des dänischen Justizverwaltungs-
gesetzes.
27 Art. 1 im Erlass Nr. 988/2006.
Frankreich verschiedene Entschädigungs-
ansprüche bestehen.
Die bereits erwähnte zivilgesellschaftli-
che Kritik in Deutschland an der Richtli-
nie und ihrer Umsetzung ist in Europa oh-
ne Beispiel. Lebhafte organisierte Kritik
gab und gibt es aber auch in Irland, Spani-
en, Dänemark, Italien, Frankreich, Portu-
gal und Schweden, während vereinzelte
Kritik überall feststellbar ist.
5 Fazit
Europa tut sich mit der Richtlinie 2006/24/
EG zur Vorratsdatenspeicherung schwer.
Während Deutschland im Umsetzungs-
verfahren dieser verfassungs- und europa-
rechtlich höchst umstrittenen Richtlinie
offensichtlich einen besonderen Taten-
drang verspürte und die Umsetzungsfrist
hinsichtlich der Internet-Verbindungsda-
ten nicht einmal voll ausschöpfte,28 sind 18
der 27 Mitgliedstaaten wenngleich aus un-
terschiedlichen Beweggründen – mit der
Umsetzung im Februar 2008 über ein hal-
bes Jahr in Verzug. Die gefassten Regelun-
gen der acht Mitgliedsstaaten, die inzwi-
schen ein nationales Umsetzungsgesetz
erlassen haben, divergieren zudem erheb-
lich. Bis zum jetzigen Zeitpunkt kann der
gesamteuropäische Umsetzungsprozess
nur als chaotisch bezeichnet werden.
Die Kritik an der Richtlinie ist vielseitig
und reicht von fehlender Richtlinienkom-
petenz bis zu erheblichen grundrechtli-
chen Bedenken. Ob die Richtlinie zur Vor-
ratsdatenspeicherung der Prüfung durch
den EuGH letztlich standhalten wird,
bleibt abzuwarten. Zur Klage Irlands wur-
den im Juli 2008 die Parteien gehört.29
Eine Entwicklung ist jedoch offensicht-
lich: Die Angst vor Terroranschlägen und
deren Bekämpfung hat zu einem Paradig-
menwechsel geführt. Bisher galt der Grund-
satz, dass der Staat nur bei Vorliegen ausrei-
chender Verdachtsmomente in die grund-
rechtlich geschützte Position eines Bürgers
eingreifen darf, die Richtlinie hingegen
kehrt diesen Grundsatz um, hin zu einem
verdachtsunabhängigen flächendeckenden
Eingriff in die Grundrechte aller EU-Bür-
ger, die elektronisch kommunizieren.
28 Gem. der Erklärung Deutschlands, ABl. L 105
vom 13.04.2006, S. 63. i.V.m. Art. 15 Abs. 3 der Richtli-
nie endet die Umsetzungsfrist insoweit erst am
15.03.2009.
29 http://www.heise.de/newsticker/Europaei-
scher-Gerichtshof-verhandelt-ueber-Vorratsspei-
cherung-von-TK-Daten--/meldung/110270.