WP29 Datenschutzgruppe kritisiert Umsetzung der Vorratsdatenspeicherung

Dieser Artikel ist auch verfügbar auf:
Englisch: WP29 criticizes the implementation of the EU data retention directive

Die Artikel 29 Datenschutzgruppe (WP29) hat anlässlich ihres Meetings vom 12. bis 14. Juli 2010 einen Bericht über die Umsetzung der EU-Richtlinie 2006/24/EC über die Vorratsdatenspeicherung angenommen und kam zu dem Schluss, dass die Richtlinie derzeit nicht in allen Mitgliedsländern einheitlich angewendet wird.

Der Bericht – Ergebnis einer gemeinsamen Befragung durch die Datenschutzbehörden in den EU-Mitgliedsstaaten – zeigt, dass die EU-Richtlinie in den verschiedenen EU-Ländern sehr unterschiedlich ausgelegt und umgesetzt wird. Gemäß Richtlinie, können die Mitgliedsstaaten eine Speicherdauer von
6 bis 24 Monaten wählen.

„Die Artikel 29 Arbeitsgruppe sieht mit Sorge, dass die Richtlinie auf nationaler Ebene anscheinend nicht einheitlich umgesetzt wird. Insbesondere hat es den Anschein, dass sie von den Mitgliedsstaaten so ausgelegt wurde, als ob die Entscheidung über diese Frage offen gelassen worden wäre,“ so der Bericht.

Wegen Fehlens aussagekräftiger Statistiken aus den Mitgliedsländern ist es darüber hinaus sehr schwierig, die Auswirkungen der Richtlinie zu beurteilen. Die WP29 ruft deshalb die Europäische Kommission auf, diese Erkenntnisse in ihre Betrachtungen einzubeziehen. Denn die Kommission muss
bis 15. September 2010 über die Auswirkungen der Richtlinie, und darüber, ob sie geändert oder aufgehoben werden soll, entscheiden.

Der Bericht zeigt auf, dass in vielen Fällen mehr Daten als erlaubt aufgezeichnet werden. Die Richtlinie über die Vorratsdatenspeicherung enthält eine einschränkende Liste der zu speichernden Verkehrsdaten, wobei die Speicherung von Kommunikationsinhalten ausdrücklich verboten ist. Es hat aber den Anschien, dass solche Daten ebenfalls gespeichert werden, und dass einige Internet Service Provider (ISP) besuchte Webadressen, Header von E-Mail-Nachrichten und sogar die Mitempfänger von E-Mails (cc-Adressen) speichern.“ In Bezug auf Telefonverbindungen hat sich gezeigt, dass der Standort nicht nur zu Beginn der Verbindung gespeichert, sondern kontinuierlich erfasst wird.

Die WP29 ist der Auffassung, dass die Richtlinie in allen Mitgliedsländern einheitlich angewendet werden sollte. Der Bericht enthält auch eine Reihe von Empfehlungen zur Änderung der Richtlinie, um eine gemeinsame Basis, aber auch einen verbesserten Rechtsschutz in Bezug auf die Privatsphäre, eine sicherere Datenübertragung und standardisierte Übergabeabläufe sicherzustellen.

„Es gibt signifikante Unterschiede bei der Speicherung von Internet-Verkehrsdaten; auch die Speicherdauer variiert in den einzelnen Mitgliedsländern deutlich. Bei der Speicherung von Telefon-Verkehrsdaten ergibt sich hingegen ein einheitlicheres Bild. In den nationalen Gesetzen vieler Mitgliedsstaaten wird eine kürzere Speicherdauer als die maximal von der Richtlinie vorgegebene präferiert,“ so der Bericht.

Daher empfiehlt die Datenschutzgruppe, die maximal erlaubte Speicherdauer zu kürzen und den Nationalstaaten nicht mehr die Möglichkeit zu geben, die Speicherdauer selbst zu bestimmen, womit eine einheitliche Vorgehensweise gewährleistet würde. „Um gleiche Wettbewerbsbedingungen zu schaffen, sollte die maximale Speicherdauer verkürzt und eine einheitliche, kürzere Frist vorgegeben werden, die von allen Providern in der gesamten EU einzuhalten ist.“

Mangelnde Einheitlichkeit zeigt sich auch im Hinblick auf Art und Anzahl der Sicherungsbestimmungen für die Speicherung von Daten. „In Bezug auf die Informationssicherheit zeigt sich ein inhomogenes Bild hinsichtlich der Vollstreckung; dabei kann gesagt werden, dass die Sicherheitsvorkehrungen mit der Größe des Providers variieren. Während große Provider technische und organisatorische Maßnahmen setzen, die ein angemessenes Schutzniveau für die bevorrateten Verkehrsdaten gewährleisten können, scheinen kleinere Provider geringere Standards einzuhalten. Die meisten von ihnen sind – hauptsächlich aus Kostengründen – nicht in der Lage, IT Sicherheitslösungen auf höchstem Niveau zum Schutz der Verkehrsdaten einzuhalten,“ stellt der Bericht fest.

Die Datenschutzgruppe empfiehlt auch eine Verbesserung bei der Sicherheit der Verkehrsdaten. „Im weiteren Sinne sollte die Sicherheit der Verkehrsdaten 'per se' überdacht werden.“ Der Bericht schlägt vor, auch Telefonanbieter dazu zu verpflichten, die Daten mit bestimmten spezifizierten Maßnahmen zu schützen. Die Datenschutzgruppe hofft, dass die Europäische Kommission die Empfehlungen berücksichtigen wird, wenn sie über das Schicksal der Europäischen Richtlinie über die Vorratsdatenspeicherung entscheidet.

Diese Ansicht steht in Einklang mit der Stellungnahme von über hundert Organisationen aus 23 europäischen Ländern (einschließlich EDRi), die die EU-Kommissare im Juni 2010 aufgefordert haben, die Richtlinie zur Vorratsdatenspeicherung gänzlich aufzuheben.

Report 01/2010 on the second joint enforcement action: Compliance at national level of Telecom Providers and ISPs with the obligations required from national traffic data retention legislation (13.07.2010)

Annex to the report (situation per countries) (13.07.2010)

Privacy watchdogs urge more data retention harmonisation (16.07.2010)

unwatched: Vorratsdatenspeicherung – Zeit für evidenzbasierte Entscheidungen