Dies ist ein übersetzter Beitrag der französischen Digital-Rights-Organisation La Quadrature du Net zum heutigen Urteil des Europäischen Gerichtshofes, welches die Vorratsdatenspeicherung erheblich ausweitet. Gastbeiträge geben nicht zwangsläufig die Haltung der Redaktion wider.

In seinem Urteil vom 30. April 2024 teilte der Gerichtshof der Europäischen Union (EuGH) seine Einschätzung der Rechtmäßigkeit des massiven Überwachungssystems von Hadopi. Das Urteil ist enttäuschend. Der EuGH hat seine bisherige Rechtsprechung erheblich verwässert, was sich nicht nur auf den Fall der französischen Behörde Hadopi auswirkt.

Mit diesem neuen Urteil wird der Zugriff auf IP-Adressen nicht mehr standardmäßig als schwerwiegender Eingriff in die Grundrechte angesehen. Infolgedessen lässt der Gerichtshof die Möglichkeit einer Massenüberwachung des Internets zu.

Der EuGH hat den massenhaften automatisierten Zugriff auf IP-Adressen genehmigt, die mit der bürgerlichen Identität und dem Inhalt einer Kommunikation verbunden sind. Dieser Zugriff kann zu Bagatellzwecken und ohne vorherige Überprüfung durch ein Gericht oder eine unabhängige Verwaltungsbehörde erfolgen.

Wende in der Rechtsprechung

Das Urteil vom 30. April 2024 stellt eine wichtige Wende in der EU-Rechtsprechung dar. Nach einem Jahrzehnt des juristischen Kampfes, in dem sich die europäischen Regierungen bewusst dafür entschieden haben, die vielen früheren EuGH-Urteile zur Vorratsdatenspeicherung nicht zu respektieren und umzusetzen, haben die Polizeien in ganz Europa gerade den Kampf gewonnen. Mit dem heutigen Urteil räumt der EuGH ein, dass er seine Rechtsprechung irgendwann ändern wird, wenn seine Urteile nicht umgesetzt werden. Dies ist eine beunruhigende Schwächung der Autorität des Gerichtshofs angesichts des Drucks der Mitgliedstaaten.

Während der EuGH im Jahr 2020 die Auffassung vertrat, dass die Vorratsspeicherung von IP-Adressen einen schwerwiegenden Eingriff in die Grundrechte darstellte und der Zugriff auf die IP-Adressen zusammen mit der zivilen Identität des Internetnutzers nur zur Bekämpfung schwerer Straftaten oder zum Schutz der nationalen Sicherheit erfolgen durfte, trifft dies nun nicht mehr zu. Der EuGH hat seine Argumentation umgekehrt: Er ist nun der Ansicht, dass die Vorratsspeicherung von IP-Adressen standardmäßig keinen schwerwiegenden Eingriff in die Grundrechte mehr darstellt und dass ein solcher Zugriff nur in bestimmten Fällen einen schwerwiegenden Eingriff darstellt, der durch geeignete Schutzmaßnahmen abgesichert werden muss.

Im Hinblick auf unseren Fall und die Besonderheit von Hadopi in Frankreich fordert der Gerichtshof Hadopi lediglich auf, sich etwas weiterzuentwickeln. Er ist der Ansicht, dass in bestimmten „atypischen“ Situationen der Zugriff auf die IP-Adresse und die bürgerliche Identität im Zusammenhang mit urheberrechtlich geschützten Werken einen schwerwiegenden Eingriff in das Recht auf Privatsphäre darstellen kann (zum Beispiel wenn das Material Rückschlüsse auf politische Meinungen, die sexuelle Orientierung usw. zulässt); er ist auch der Ansicht, dass ein solcher Zugriff im „Wiederholungsfall“ einen schwerwiegenden Eingriff darstellt, und verlangt daher, dass der Zugriff auf die IP-Adressen nicht „vollständig automatisiert“ sein darf. In allen anderen Fällen stellt der EuGH jedoch eindeutig fest, dass Hadopi massiv und automatisiert auf die bürgerlichen Identitäten von Personen zugreifen kann.

EuGH gibt Online-Anonymität auf

Mit anderen Worten: Die abgestufte Reaktion (benannt nach dem von Hadopi angewandten Verfahren, das darin besteht, mehrere Warnungen zu verschicken, bevor rechtliche Schritte eingeleitet werden, wenn der Internetnutzer seine Verbindung nicht „sichert“) wird eine andere Form annehmen müssen. Der französische Gesetzgeber wird sich einen komplizierten Mechanismus ausdenken müssen, um eine Art unabhängiger externer Kontrolle des Zugriffs auf die bürgerliche Identität durch Hadopi zu gewährleisten. Während Hadopi derzeit nicht verpflichtet ist, sich einer externen Kontrolle zu unterziehen, muss sich die Behörde nun einer solchen unterziehen, wenn sie in diesen „atypischen“ Fällen oder im Falle eines „wiederholten Verstoßes“ auf die Identität zugreifen will. Mit anderen Worten: Externe Bedienstete von Hadopi werden für das Anklicken eines „Validierungs“-Buttons verantwortlich sein, während Hadopi heute selbst die Genehmigung erteilt.

Ganz allgemein hat diese Entscheidung des EuGH vor allem das Ende der Online-Anonymität bestätigt. Während der Gerichtshof im Jahr 2020 feststellte, dass ein in der Datenschutzrichtlinie für elektronische Kommunikation verankertes Recht auf Online-Anonymität existiert, gibt er es jetzt auf. Leider setzt er der Online-Anonymität ein faktisches Ende, indem er der Polizei einen umfassenden Zugang zur zivilen Identität, die mit einer IP-Adresse verbunden ist, und zum Inhalt einer Kommunikation gewährt.