AN:
Die deutschen Abgeordneten des Europäischen Parlaments
Berlin, 23.10.2019
Betreff: Kein grenzüberschreitender Direktzugriff auf persönliche Daten
Sehr geehrte Damen und Herren,
das Europäische Parlament berät über die Vorschläge von Kommission und Rat zu einer geplanten Verordnung über elektronische Beweismittel. Wir wenden uns an Sie, um unserer Besorgnis über den Vorschlag Ausdruck zu verleihen.
Der Entwurf sieht vor, dass Strafverfolgungsbehörden eines Mitgliedstaates (Anordnungsstaat) Provider, die in einem anderen Mitgliedstaat ansässig sind (Vollstreckungsstaat), unmittelbar verpflichten können, Meta- und Inhaltsdaten ihrer Kunden herauszugeben. Die Herausgabe muss binnen zehn Tagen und in Notfällen binnen 6 Stunden erfolgen. Halten sich Anbieter nicht daran, so drohen ihnen Sanktionen in Höhe von bis zu 2 % des weltweiten Jahresumsatzes. Der Vollstreckungsstaat muss die Anordnung nicht auf ihre Rechtmäßigkeit hin überprüfen und hat kein Recht, ihr zu widersprechen. Er ist hingegen verpflichtet, bei Nichteinhaltung eine Sanktion gegenüber dem Provider zu verhängen und zu vollstrecken. Dabei ist nicht erforderlich, dass die Tat, wegen der ermittelt wird, in beiden Staaten eine Straftat ist. Auch Anbieter, die in Drittstaaten sitzen, in denen die zu verfolgende Tat keine Straftat ist, sollen zur Datenherausgabe verpflichtet werden dürfen, wenn sie ihre Dienste in der Europäischen Union anbieten.
Die unterzeichnenden Organisationen warnen ausdrücklich vor diesem Vorhaben. Der Vorschlag nimmt Staaten die Möglichkeit, die Grundrechte ihrer Bürger zu schützen. Er höhlt das europäische Datenschutzrecht aus und droht, das bestehende internationale System der Rechtshilfe in Strafsachen zu beschädigen. Nur zwei Jahre nach Ablauf der Umsetzungsfrist der europäischen Ermittlungsanordnung ist nicht geklärt, ob tatsächlich Lücken in der grenzüberschreitenden Strafverfolgung bestehen.
Auf Seite 3 finden Sie unsere Kritikpunkte im Einzelnen.
Mit freundlichen Grüßen
Chaos Computer Club e.V.
Deutsche Vereinigung für Datenschutz e.V.
digitalcourage e.V.
Digitale Freiheit
Digitale Gesellschaft e.V.
Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung e.V.
Gesellschaft für Informatik e.V.
Humanistische Union
Neue Richtervereinigung e.V.
rganisationsbüro der Strafverteidigervereinigungen
Republikanischer Anwältinnen und Anwälteverein e.V.
SaveTheInternet
Vereinigung Demokratischer Juristinnen und Juristen e.V.
Als Einzelperson: Kilian Vieth, Stiftung Neue Verantwortung
Unsere Kritikpunkte im Einzelnen:
Der Grundrechtsschutz kann nicht sichergestellt werden
Der Vollstreckungsstaat hat keine Möglichkeit, für die Einhaltung des grundgesetzlich vorgeschriebenen Schutzes zu sorgen.
(1) In welchen Fällen eine Datenherausgabe möglich ist, richtet sich ausschließlich nach dem Recht des Anordnungsstaats. Dadurch ist es möglich, dass Ermittlungsbehörden aus anderen europäischen Ländern unter niedrigeren Voraussetzungen Daten aus Deutschland erhalten können, als dies deutschen Behörden möglich wäre. Dies bedeutet eine Aushöhlung der Regelungen der Strafprozessordnung und der Rechtsprechung des Bundesverfassungsgerichts zum Schutz des Grundrechts auf informationelle Selbstbestimmung.
(2) Der Vollstreckungsstaat kann den Schutz von Berufsgeheimnisträgern, Immunitäten und Zeugnisverweigerungsrechten oder die Verhältnismäßigkeit einer Datenverarbeitung nicht sicherstellen. Die vom Rat eingefügte Notifikation stellt keine ausreichende Schutzmöglichkeit dar, da der Vollstreckungsstaat lediglich Hinweise auf die Betroffenheit von Immunitäten oder Berufsgeheimnisträgern geben kann, aber kein Recht zur verbindlichen Ablehnung besteht. Selbst gegen eine offensichtlich missbräuchliche Anordnung steht dem Vollstreckungsstaat kein Veto-Recht zu.
Ohne beidseitige Strafbarkeit ist politische Verfolgung möglich
Das Strafrecht ist in den Staaten der europäischen Union nicht harmonisiert. Was als Straftat gilt und was nicht, differiert stark. So reichen in etwa die Gesetze über die Strafbarkeit von Schwangerschaftsabbrüchen von einem umfassenden Verbot (Malta) bis hin zu weitgehender Liberalisierung wie in den Niederlanden. In Polen ist es eine Straftat, der polnischen Bevölkerung oder dem polnischen Staat eine Mitverantwortung für den Holocaust zu geben. Auch bezüglich der Verletzung des Bankgeheimnisses und vieler anderer Tatbestände bestehen erhebliche Unterschiede, wie erst vor wenigen Jahren an dem prominenten Fall Puigdemont deutlich wurde. Mit der E-Evidence werden Anbieter und Staaten gezwungen, an der Verfolgung von Taten mitzuwirken, die in ihrem Land legal sind. Dies wird auch zu politisch ungewollten Ergebnissen führen.
Die Erforderlichkeit des Instruments ist nicht belegt
Erst 2014 hat das Europäische Parlament die Richtlinie über die Europäische Ermittlungsanordnung verabschiedet, die eine schnellere Zusammenarbeit der Strafverfolgungsbehörden ermöglichen soll. Sie schafft verbindliche Fristen für die grenzüberschreitende Kooperation. Die Umsetzungsfrist ist erst 2017 ausgelaufen. Eine Evaluation fand noch nicht statt. Es gibt keine Studien darüber, welchen Beitrag die europäische Ermittlungsanordnung zur Gewinnung elektronischer Beweismittel leistet, ob Verbesserungsbedarf besteht und wo eventuelle Schwächen liegen. Auch Erkenntnisse darüber, in wie vielen Fällen Ermittlungen eingestellt werden mussten, weil der Zugriff auf elektronische Daten nicht möglich war, fehlen. Ohne Erkenntnisse über die Wirksamkeit erst kürzlich etablierter Instrumente ist die Einführung eines neuen Regelwerks unverhältnismäßig. Wir fordern eine evidenzbasierte Sicherheitspolitik.
Ein internationaler Spill-Over-Effekt ist zu befürchten, der politische Verfolgung erleichtern wird
Die internationale Zusammenarbeit in Strafsachen ist bisher durch gegenseitige Rechtshilfe geprägt. Von der E-Evidence-Verordnung sind auch Dienste mit Sitz in Drittstaaten betroffen, die Daten außerhalb der EU speichern. Wenn die EU einseitig Regeln aufstellt, die in anderen Staaten gelten sollen, bricht sie mit dem Konzept der gegenseitigen Rechtshilfe. Dies wird Drittstaaten einladen, ähnlich zu verfahren. Autoritäre Staaten können ebenso international tätige Anbieter verpflichten, in der Europäischen Union gespeicherte Daten herauszugeben. Damit werden politisch Verfolgte, die im Ausland Schutz suchen, gefährdet. Zudem werden die Wertungen der Datenschutzgrundverordnung ausgehöhlt: Sie verlangt von Datenverarbeitern, Daten, die in der EU gespeichert sind, nur unter sehr engen Voraussetzungen in Drittstaaten zu übertragen. Die E-Evidence nimmt aber keine Rücksicht darauf, ob nationale Datenschutzgesetze von Drittstaaten eine Übertragung in die EU gestatten. [1]
Der Bundesrat befürchtet in seiner Stellungnahme eine „Erosion der bisherigen und bewährten Prinzipien der Rechtshilfe und des international arbeitsteiligen Strafverfahrens“ [2].
Die bereits begonnenen Verhandlungen der Kommission mit den USA übergehen das Parlament
Die Kommission hat bereits Verhandlungen mit den USA über ein Kooperationsabkommen begonnen, bevor das Parlament sich einen Standpunkt zur diesem Abkommen zugrundeliegende E-Evidence-Verordnung bilden konnte. Damit wird nicht nur das Parlament als direkt demokratisch legitimierte Institution der EU übergangen. Die USA haben den Rahmen für ein solches Abkommen durch ein 2018 verabschiedetes Gesetz, den CLOUD-Act, bereits vorgegeben. Vieles spricht dafür, dass ein Abkommen, das den Anforderungen der DSGVO und des CLOUD-Act gerecht wird, nicht möglich ist.
[1] Vgl. Böse, An Assessment of the Commission‘s proposal on electronic evidence, Study requested by the LIBE committee, September 2018, S. 35. [2] Bundesrat, Drucksache 215/18, Beschluss vom 06.07.2018: Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über Europäische Herausgabeanordnungen und Sicherungsanordnungen für elektronischeBeweismittel in Strafsachen, S. 11.