Der Europäische Gerichtshof bestätigt nun, dass die Richtlinie zur Vorratsdatenspeicherung deutlich über das Ziel hinaus schießt. Das kann “bei den Betroffenen das Gefühl […] erzeugen, dass ihr Privatleben Gegenstand einer ständigen Überwachung ist. “

Laut Pressemitteilung (PDF) handelt es sich bei der Richtlinie (Richtlinie 2006/24/EG des Europäischen Parlaments) um “einen besonders schwerwiegenden Eingriff […] in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten.” Weil Teilnehmer oder registrierte Benutzer nicht über die Nutzung der Daten informiert werden, könne das “bei den Betroffenen das Gefühl […] erzeugen, dass ihr Privatleben Gegenstand einer ständigen Überwachung ist.”

Bislang müssen die Internet-Provider die Verbindungsdaten ihrer Nutzer mindestens ein halbes Jahr lang speichern und zwar ohne, dass ein Verdacht gegen sie vorliegt. Die gesammelten Daten lassen dabei auch Schlüsse über das Privatleben der Überwachten zu: “Aus der Gesamtheit dieser Daten können sehr genaue Schlüsse auf das Privatleben der Personen, deren Daten auf Vorrat gespeichert werden, gezogen werden, etwa auf Gewohnheiten des täglichen Lebens, ständige oder vorübergehende Aufenthaltsorte, tägliche oder in anderem Rhythmus erfolgende Ortsveränderungen, ausgeübte Tätigkeiten, soziale Beziehungen und das soziale Umfeld.”

Weil die Richtlinie aber nicht die Inhalte der Kommunikation selbst speichere, bleibe das Wesen des “Schutzes personenbezogener Daten” gewahrt. Zudem diene die Datensammlung tatsächlich dem Gemeinwohl, weil sich damit schwere Kriminalität bekämpfen lasse. Allerdings sprechen mehrere Gründe dafür, dass die Richtlinie schlicht die Verhältnismäßigkeit überschreitet.

1. Sie erstrecke sich “ohne irgendeine Differenzierung, Einschränkung oder Ausnahme” auf sämtliche Personen, elektronischen Verkehrsmittel und Verkehrsdaten, ohne das Ziel der Bekämpfung schwerer Straftaten zu berücksichtigen.

2. Es fehlen objektive Kriterien von Seiten der nationalen Behörden, die einen Zugang zu den Daten rechtfertigen. Hier ist nur die Rede von “schweren Straftaten”, was auch immer das im jeweiligen Land bedeutet. Zudem fehlt eine unabhängige Instanz (Gericht oder Verwaltungsstelle), welche die Zugriffe im Vorfeld kontrolliert.

3. Die Speicherfrist ist nicht auf das Notwendigste begrenzt, sondern liegt irgendwo zwischen sechs und 24 Monaten, ohne die Datenkategorien zu unterscheiden und ohne objektive Kriterien.

4. Es fehlt ein Schutz vor Missbrauch der Daten. Es gibt keine Garantien, um die Daten vor unberechtigtem Zugang und Nutzung zu schützen. Vielmehr dürfen die Dienste-Anbieter (etwa die Internetprovider) in das gewählte Sicherheitsniveau “wirtschaftliche Erwägungen” einfließen lassen.

5. Nicht zuletzt kritisiert der Gerichtshof, dass die Richtlinie keine Speicherung der Daten im Unionsgebiet vorschreibt einschließlich der Überwachung einer unabhängigen Stelle. Mit anderen Worten, die Daten dürfen theoretisch auch auf Servern von Ländern lagern, die einem anderen Datenschutzstandard folgen als die EU.

Das vollständige Urteil wird am Tag der Urteilsverkündung veröffentlicht.