Europäische Herausgabeanordnung an Cloud-Dienste: elektronische Beweismittel in Österreich

Die Verordnung unterscheidet Teilnehmerdaten, Daten zur alleinigen Nutzeridentifizierung, Verkehrsdaten und Inhaltsdaten. Teilnehmerdaten betreffen etwa Name, Anschrift, E-Mail-Adresse, Telefonnummer sowie Angaben zum Vertrag und zur Dauer eines Dienstes. IP-Adresse, Quellport und Zeitstempel können zur alleinigen Nutzeridentifizierung angefordert werden.

Verkehrsdaten geben zusätzlichen Kontext zur Nutzung eines Dienstes. Dazu gehören etwa Quelle und Ziel einer Nachricht, Geräteort, Zeitpunkt, Dauer, Größe oder sonstige Kommunikationsmetadaten. Inhaltsdaten sind digitale Inhalte wie Text, Sprache, Video, Bilder und Ton.

Die Einordnung hat unmittelbare Folgen. Eine Herausgabeanordnung für Teilnehmerdaten oder für die alleinige Nutzeridentifizierung kann nach Art 5 Abs 3 für alle Straftaten ergehen. Verkehrs- und Inhaltsdaten setzen nach Art 5 Abs 4 grundsätzlich eine Straftat voraus, die im Ausstellungsstaat mit einer Freiheitsstrafe im Höchstmaß von mindestens drei Jahren bedroht ist, oder eine der dort genannten besonderen Deliktsgruppen. Art 5 Abs 2 verlangt außerdem Notwendigkeit und Verhältnismäßigkeit.

Die Anordnung richtet sich nach Art 7 unmittelbar an eine benannte Niederlassung oder einen rechtlichen Vertreter des Diensteanbieters im Anwendungsbereich der Verordnung. Die tatsächliche Lage einzelner Server entscheidet daher nicht allein über die Zuständigkeit. Erfasst werden gespeicherte Daten, die ein Diensteanbieter zum Zeitpunkt des Eingangs der Bescheinigung besitzt oder für den Verantwortlichen verarbeitet.

Art 5 Abs 6 sieht grundsätzlich die Adressierung des Diensteanbieters vor, der als Verantwortlicher nach der Datenschutz-Grundverordnung handelt. Der Auftragsverarbeiter darf ausnahmsweise unmittelbar adressiert werden, wenn der Verantwortliche trotz angemessener Bemühungen nicht festgestellt werden kann oder eine Adressierung die Ermittlungen gefährden könnte.

Bei Daten einer öffentlichen Stelle gelten zusätzliche Grenzen. Werden Daten für eine Behörde in einer von einem Anbieter bereitgestellten Infrastruktur gespeichert, darf die Europäische Herausgabeanordnung nach Art 5 Abs 8 nur ergehen, wenn diese öffentliche Stelle im Ausstellungsstaat liegt.

Die Europäische Sicherungsanordnung verhindert zunächst, dass gespeicherte Daten entfernt, gelöscht oder verändert werden. Sie ist auf eine spätere Herausgabe über Rechtshilfe, eine Europäische Ermittlungsanordnung oder eine Europäische Herausgabeanordnung ausgerichtet. Für alle Datenkategorien kann sie bei einer Straftat ergehen, wenn eine vergleichbare nationale Maßnahme zulässig wäre.

Nach Art 11 muss der Adressat die Daten unverzüglich sichern. Die Pflicht endet nach 60 Tagen, wenn die ausstellende Behörde nicht bestätigt, dass eine anschließende Herausgabeanordnung erlassen wurde. Innerhalb dieses Zeitraums darf sie die Sicherung um weitere 30 Tage verlängern, soweit dies für die anschließende Herausgabe erforderlich ist.

Bei einer Herausgabeanordnung muss der Anbieter grundsätzlich unverzüglich mit der Sicherung beginnen. Ohne Mitteilung an die Vollstreckungsbehörde sind die Daten spätestens innerhalb von zehn Tagen nach Eingang der Bescheinigung zu übermitteln. In einem Notfall gilt eine Frist von höchstens acht Stunden. Eine erforderliche Mitteilung an die Vollstreckungsbehörde kann die Übermittlung im regulären Verfahren bis zum Ablauf der Zehn-Tage-Frist hemmen.

Art 13 verpflichtet die ausstellende Behörde, die Person, deren Daten angefordert werden, grundsätzlich unverzüglich über die Herausgabe zu informieren. Die Mitteilung muss auch die verfügbaren Rechtsbehelfe nennen. Nach dem nationalen Recht des Ausstellungsstaats kann die Behörde die Information aufschieben, einschränken oder unterlassen, wenn die Voraussetzungen des Art 13 Abs 2 erfüllt sind. Die Gründe dafür müssen in der Akte festgehalten und kurz in der Bescheinigung begründet werden.

Art 18 gewährt jeder Person, deren Daten über eine Europäische Herausgabeanordnung angefordert wurden, einen wirksamen Rechtsbehelf. Beschuldigte können diesen während jenes Strafverfahrens ausüben, in dem die Daten verwendet werden. Der Rechtsbehelf wird vor einem Gericht im Ausstellungsstaat nach dessen nationalem Recht erhoben und kann die Rechtmäßigkeit, Notwendigkeit und Verhältnismäßigkeit der Maßnahme betreffen.

Für die Verteidigung ist der zeitliche Ablauf entscheidend. Sichern Sie die Information, die Bescheinigung, den Zeitpunkt der Kenntnis und alle Angaben zum Ausstellungsstaat. Die Verordnung legt nicht für jeden Fall dieselbe nationale Frist fest. Deshalb muss die zuständige Rechtsordnung rasch festgestellt werden.

Wenn die Vollstreckungsbehörde nach Art 8 informiert wird, kann sie nach Art 12 unter anderem geschützte Immunitäten oder Privilegien, eine offenkundige Verletzung eines relevanten Grundrechts in außergewöhnlichen Fällen, den Grundsatz ne bis in idem oder fehlende beiderseitige Strafbarkeit geltend machen. Für die letzte Konstellation gelten Ausnahmen für bestimmte Deliktsgruppen, wenn die im Ausstellungsstaat erforderliche Strafdrohung erreicht wird.

Vor einer Verweigerung soll die Vollstreckungsbehörde mit der ausstellenden Behörde sprechen. Sie kann der vollständigen Übermittlung widersprechen oder Bedingungen für die Übermittlung oder Verwendung nennen. Das Verfahren zeigt, weshalb Datenkategorie, Tatvorwurf und betroffene Person in der Bescheinigung präzise bezeichnet werden müssen.

Ein Cloud-Anbieter kann außerdem nach Art 17 einen Konflikt mit einer Verpflichtung des anwendbaren Rechts eines Drittstaats geltend machen. Der bloße Speicherort der Daten in einem Drittstaat genügt dafür nicht. Erforderlich sind Angaben zur konkreten Rechtsnorm, ihrer Anwendbarkeit und zum Offenlegungsverbot. Hält die ausstellende Behörde an der Anordnung fest, entscheidet das zuständige Gericht im Ausstellungsstaat über den Konflikt.