_wirksame vorratsdatenspeicherung durch einfrieren? Über den quick freeze-entwurf

Der EuGH hat die deutsche Vorratsdatenspeicherung endgültig kassiert. Die Entscheidung lässt aber Raum für eine gezielte und anlassbezogene Speicherung von Verkehrsdaten. Eine solche Sicherheitsanordnung soll nach dem Referentenentwurf des Bundesministeriums der Justiz unter dem Schlagwort „Quick Freeze“ möglich werden. Schaut man in die Details – bleiben einige Fragen offen: was umfassen die Verkehrsdaten? Welche Anbieter trifft die Speicherpflicht? Eine Bestandsaufnahme.

Ausgangslage: Vorratsdatenspeicherung nicht unionskonform:

Die Vorratsdatenspeicherung ist - wenig überraschend - nicht mit dem Unionsrecht vereinbar. Nach der EuGH Entscheidung vom 20. September 2022 (C-793/19 und C-794/19) ist die deutsche Regelung von 2015 zur anlasslosen Vorratsdatenspeicherung rechtswidrig. Auch die temporäre Speicherung von Verkehrs- und Standortdaten für zehn bzw. vier Wochen ist danach nicht haltbar.

Eine solche unterschiedslose Speicherung ist nach Auffassung des Gerichtshofes unverhältnismäßig. Eine Speicherung sei lediglich in einem engen konkreten Rahmen anwendbar und nur insoweit und ausschließlich zur Verhütung schwerer Bedrohungen der nationalen Sicherheit und der Verhinderung schwerster Kriminalität angemessen. Die Gefahren müssen aktuell und vorhersehbar sein. Ein Richter oder eine unabhängige Verwaltung muss die Bedrohungslage wirksam überprüfen können und die Maßnahme muss auf das absolut notwendige Maß beschränkt bleiben.

Regelungen für eine gezielte Speicherung von Daten im Einzelfall können unionskonform ausgestaltet werden. Genau dies bezweckt die geplante Quick-Freeze Regelung, welche in § 100g Abs. 5 StPO verankert werden soll (Der offizielle Paragraphen-Titel lautet Sicherheitsanordnung gemäß § 100g StPO).

Der deutsche Quick-Freeze Vorschlag

Im Referenten-Entwurf wird das sogenannte Quick-Freeze-Verfahren (§ 100g StPO) vorgeschlagen - welches bereits seit zehn Jahren als Alternative diskutiert wird. Gemäß § 100g Absatz 5 StPO-E sollen Anbieter von Telekommunikationsdiensten auf Anordnung eines Richters verpflichtet werden, vorhandene und künftig anfallenden Verkehrsdaten zu speichern („einfrieren“). Unter gesonderten Voraussetzungen soll zudem auch die Speicherung von Standortdaten angeordnet werden können.

Eingefroren werden sollen die Daten für maximal vier Wochen. Zur Verwertung dieser Daten bedarf es nach dem Entwurf zudem einer erneuten richterlichen Anordnung („auftauen“).

Eine solche Regelung hat der EuGH explizit zur Bekämpfung schwerer Kriminalität zugelassen. Die deutsche Quickfreeze-Regelung soll in Umsetzung der Vorgaben des Gerichtshofes daher lediglich anlassbezogen und zur Verfolgung schwerer Straftaten (vgl. § 100a Abs. 2 StPO) möglich sein.

Telekommunikation nur technische Signalübertragung?

Von der Regelung betroffen sind in erster Linie die Anbieter von Telekommunikationsdiensten, welche das Freeze-Verfahren implementieren müssen - Anbieter ist gemäß der geltenden Regelung des § 3 Nr. 1 TKG jeder, der Telekommunikationsdienste (TK-Dienste) erbringt. 

Was unter TK-Dienst zu verstehen ist, ist im Detail umstritten:

Hatte der EuGH noch 2019 entschieden, dass E-Mail-Anbieter keine TK-Dienste seien, da es an der technischen Signalübertragung mangele (EuGH, Urteil vom 13.06.2019 – C-193/18), so entschied der BGH 2021, dass auch sog. „Over the top“-Dienste (OTT-Dienste) TK-Dienste erbringen, und zwar unabhängig davon, ob sie zugleich einen Zugang zum Internet ermöglichen (BGH StB 47/20 – Beschluss vom 28. April 2021).

Deutlicher weiterer TK-Dienst-Begriff: Interpersoneller Telekommunikationsdienst

Die Novelle des (TKG) von 2021 erweitert den Begriff der Anbieter von TK-Diensten. Darin wird zwischen Internetzugangsdiensten und Anbietern interpersoneller Telekommunikation unterschieden. TK-Dienste sind  also nicht mehr nur solche, die eine technische Signalübertragung voraussetzen.

Ein interpersoneller TK-Dienst ist gem. aktuell geltendem § 3 Nr. 24 TKG ein:

• gewöhnlich gegen Entgelt erbrachter Dienst,
• direkter interpersoneller und interaktiver Art,
• bei dem es um Informationsaustausch geht,
• der über TK-Netze und
• zwischen einer endlichen Anzahl an Personen stattfindet.

Kein TK-Dienst ist danach ein Kommunikations-Tool, wenn es lediglich untrennbare Nebenfunktion eines anderen Dienstes ist. Das sollen beispielsweise Chat-Funktionen in Computerspielen sein.

Um zu verstehen, welche Unternehmen von der Quick-Freeze Regelung erfasst sein können, kann bei interpersonellen TK-Diensten weiter differenziert werden zwischen:

• nummerngebundene interpersonelle TK-Dienste (§ Nr. 37 TKG)

und

• nummernunabhängige interpersonelle TK-Dienste (§ 3 Nr. 40 TKG).

Unabhängig von einem Nummernsystem sind bspw. Messenger-Dienste, weil sie sich über das Internet einloggen. Darunter sind grundsätzlich auch OTT- und VoIP-Dienste, zu verstehen.

Von Quick Freeze betroffen sind Anbieter, die für Endnutzer öffentlich zugängliche TK-Dienste bereitstellen. Explizit ausgenommen sind E-Mail- und Messenger-Dienste (nummernunabhängige interpersonale TK-Dienste), solange sie nicht eine Verbindung zum öffentlichen Telefonnetz aufbauen (§ 175 TKG). Nur insofern sie das Telefonnetz nutzen, können auch Voice-over-IP- (VoIP) oder Over-The-Top (OTT)-Dienste der Sicherheitsanordnung unterliegen. Hier stellt sich insofern die praxisrelevante Frage, wann ein OTT-Dienst von der Sicherungsanordnung erfasst ist.

Was sind Verkehrsdaten nach § 9 TTDSG?

§ 9 TTDSG ist die zentrale Norm, welche die Vertraulichkeit der Telekommunikation sicherstellen soll. Darin wird der Begriff der Verkehrsdaten definiert, welche Gegenstand des geplanten Quick-Freeze-Verfahrens gem. § 100g Absatz 5 StPO-E sind. Der Begriff Verkehrsdaten dient der Abgrenzung gegenüber Daten über die Inhalte der Kommunikation. Verkehrsdaten sind dabei Daten, deren Erhebung, Verarbeitung oder Nutzung bei der Erbringung eines Telekommunikationsdienstes „erforderlich“ ist (§ 3 Nr. 70 TKG). 

Was dabei erforderliche Daten sind, ist nicht trennscharf abzugrenzen. 

Verkehrsdaten umfassen in der Regel die (technischen) Rahmenbedingungen der Kommunikation wie beispielsweise:

• Nummer oder Kennung der Anschlüsse (Eindeutige Identifizierung)
• Gerätenummer
• Bei mobilen Geräten auch den Standort
• Beginn und Ende der Verbindung
• Übertragene Datenmengen (wenn Entgelt dafür erhoben wird)
• Art des Dienstes

Ziel der Regelung ist dabei insbesondere die Speicherung von IP-Adressen. Diese Daten werden im gewöhnlichen Geschäftsverkehr ohnehin ermittelt. Nach Beendigung der Verbindung sind Anbieter nach § 9 Absatz 1 Satz 2 TTDSG jedoch verpflichtet, diese Daten zu löschen. Somit kommt es hier aus Sicht der Ermittlungsbehörden derzeit ggf. zum Datenverlust.

Pflichten und Entschädigung aus der Quick Freeze Regelung

Die angeordnete Speicherpflicht aus § 100g StPO überlagert insoweit die Löschungs-Verpflichtung aus § 9 I 2 TTDSG. TK-Dienst-Anbieter müssen die Verkehrsdaten also (vorübergehend) sichern. Die Speicherung der Daten muss so erfolgen, dass sie unverzüglich an die Strafverfolgungsbehörden ausgehändigt werden können. 

Für die mit der Speicherung verbundenen Mehrkosten sollen die Anbieter allerdings entschädigt werden. So sieht bspw. § 23 JVEG-E eine Entschädigung für die konkrete Inanspruchnahme eines Verpflichteten vor. In der Anlage zum JVEG sind detaillierte Gebühren hierfür ausgewiesen. So wird beispielsweise die Verkehrsdaten-Auskunft für eine Kennung pauschal mit 30 Euro abgegolten. Zudem könnten weitere Ansprüche auf Entschädigungen bestehen, wenn die Investitionskosten mehr als 10.000 Euro betragen. Die Höhe der Entschädigung hängt nicht nur von der Investitions-Summe, sondern auch von der tatsächlich benötigten CPU-Zeit ab. Ratsam ist also beides ordentlich zu dokumentieren.

Darüber hinaus enthält auch § 175 Absatz 2 TKG einen eigenständigen Entschädigungsanspruch für notwendige Ausgaben, die durch die Umsetzung der Speicherpflicht von Verkehrsdaten entstehen. Zuständig für Entschädigungsanträge ist hier die Bundesnetzagentur.

Der Referenten-Entwurf erwartet aber keine besonderen Kosten, da es „lediglich um die notwendigen technischen Vorkehrungen für die Sicherung von Daten geht, die ohnehin bereits nach geltendem Recht zu geschäftlichen Zwecken gespeichert werden.“ (BMJ_RefE_Sicherungsanordnung-StPO, S.24.) Es bleibt jedoch abzuwarten, wie hoch der tatsächliche Umsetzungsaufwand der betroffenen Unternehmen sein wird.

Fazit:

Aus dem Entwurf zur Einführung des sog. Quick-Freeze-Verfahrens lässt sich nicht sicher beantworten, welche konkreten (Verkehrs-)Daten eingefroren werden sollen und wer als Anbieter von TK-Diensten von der Speicherpflicht betroffen sein wird. Klar ist allerdings, dass sich Anbieter von TK-Diensten auf eine solche Regelung einstellen müssen. Vor dem Hintergrund der derzeit noch offenen Fragen zur Betroffenheit eines Dienstes oder dem Umfang der Entschädigung für den Aufbau von Speicherkapazitäten ist eine frühzeitige Analyse bestehender Strukturen und Prozesse im Unternehmen unverzichtbar.

Kontakt

Dr. Benjamin Knebel, Rechtsanwalt, Associate.

knebel@clayston.com