Am 15.09.2022 hat die EU-Kommission den Cyber Resilience Act präsentiert. Mit dem Gesetzentwurf will die EU-Kommission Voraussetzungen für die Entwicklung sicherer Produkte mit digitalen Elementen (Hardware und Software) über den gesamten Lebenszyklus schaffen.

Die Verordnung soll für Hardware und Software gelten, deren bestimmungsgemäße oder vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netz umfasst. So soll jede Software erfasst sein, die Schnittstellen (wie z. B. APIs) beinhaltet.

Softwarehersteller sollen sich zukünftig an bestimmte Sicherheitsanforderungen (z. B. Mitigation Mechanisms), an spezifische Anforderungen für den Umgang mit Schwachstellen (z. B. Implementierung eines Software Bill of Materials, SBoM), an Meldepflichten und an bestimmte technische Dokumentationen halten. Darüber hinaus ist eine interne Konformitätsbewertung für nicht-kritische Produkte oder eine externe Konformitätsbewertung für kritische Produkte (z. B. Smart Cards) notwendig.

Durch den Cyber Resileince Act würde ein Software Bill of Materials für betroffene Software-Produkte EU-weit eingeführt. Die EU-Kommission definiert SBoM als eine formale Aufzeichnung, die Einzelheiten und Lieferkettenbeziehungen der Komponenten der Software enthält.

Der Gesetzgebungsprozess befindet sich noch ganz am Anfang. Nun müssen die beiden Mitgesetzgeber, das EU-Parlament und der Rat der EU, jeweils zu einer Position kommen, bevor sie in den sog. Trilogverhandlungen einen finalen Kompromiss erarbeiten. Dieser Prozess dauert im Durchschnitt 19 Monate. Mit Änderungen am Kommissionsentwurf ist im Laufe des Prozesses zu rechnen. Anschließend gibt es voraussichtlich eine 24-monatige Übergangsfrist, sodass der Cyber Resilience Act voraussichtlich im Laufe des Jahres 2026 gelten wird.

Quelle: DATEV eG Informationsbüro Brüssel

Am 15.09.2022 veröffentlichte die Berichterstatterin Pilar del Castillo Vera (Spanien/EVP) des federführenden Industrieausschusses des EU-Parlaments ihren Berichtsentwurf zum Data Act. DATEV hat sich mit einer Stellungnahme in den Gesetzgebungsprozess eingebracht. Der Berichtsentwurf stellt eine erheblichere Verbesserung gegenüber des Kommissionsentwurfes dar.

B2G Data Sharing

Erstens soll durch den Data Act dem öffentlichen Sektor ein Recht eingeräumt werden, auf Daten der Unternehmen zuzugreifen.

Eigentlich soll die Bestimmung nur bei einem außergewöhnlichen Bedarf greifen. Jedoch ist der außergewöhnliche Bedarf von der Kommission noch so weit gefasst, dass viele Szenearien davon abgedeckt wären. Zum Bespiel würde es der Entwurf öffentlichen Stellen ermöglichen, auf Daten der Unternehmen zuzugreifen, wenn hierdurch der bürokratische Aufwand für Unternehmen (z. B. durch eine sonst greifende Berichtspflicht) reduziert werden könnte.

Insbesondere im Hinblick auf Schutzbestimmungen für Unternehmen stellt der Berichtsentwurf eine erhebliche Verbesserung dar. So darf sich das Datenverlangen einer öffentlichen Stelle nicht auf Daten beziehen, die unter das Berufsgeheimnis fallen oder sich bereits im öffentlichen Sektor befinden. Darüber hinaus muss die öffentliche Stelle dem betroffenen Unternehmen berichten, wie sie die Daten verarbeitet hat. Schließlich sind nun auch KMU von der Datenbereitstellungspflicht ausgenommen.

Cloud Switching

Zweitens sieht Data Act eine Pflicht für Cloudanbieter vor, Nutzern ihrer Dienste den Anbieterwechsel zu ermöglichen. Demnach müssten Cloudanbieter ihren Nutzern innerhalb von 30 Tagen und bei technischer Unmöglichkeit innerhalb von 6 Monaten die Datenportabilität kostenfrei über öffentliche Schnittstellen und in einem maschinenlesbaren Format ermöglichen.

Ebenso in diesem Bereich gibt es Verbesserungen. So müssen sich nun Cloud-Anbieter nicht mehr an die strenge Frist von 6 Monaten halten, in der das Cloud Switching abgeschlossen sein muss, sondern können bei technischer Unmöglichkeit einen alternativen Zeitraum benennen.

Ausblick

Der Berichtsentwurf muss nun von den Mitgliedern des Industrieausschusses abgestimmt werden. Hierbei ist noch mit einigen Änderungen zu rechnen. Der fertige Bericht stellt dann die Position des EU-Parlaments dar und ist Grundlage für die nachfolgenden Verhandlungen mit dem Rat.

Quelle: DATEV eG Informationsbüro Brüssel

Der Gerichtshof bestätigt, dass das Unionsrecht einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten entgegensteht, es sei denn, es liegt eine ernste Bedrohung für die nationale Sicherheit vor.

Zur Bekämpfung schwerer Kriminalität können die Mitgliedstaaten jedoch unter strikter Beachtung des Grundsatzes der Verhältnismäßigkeit insbesondere eine gezielte Vorratsspeicherung und/oder umgehende Sicherung solcher Daten sowie eine allgemeine und unterschiedslose Speicherung von IP-Adressen vorsehen.

SpaceNet und Telekom Deutschland erbringen in Deutschland öffentlich zugängliche Internetzugangsdienste; Telekom Deutschland erbringt darüber hinaus öffentlich zugängliche Telefondienste. Beide fochten vor den deutschen Gerichten die ihnen durch das deutsche Telekommunikationsgesetz (TKG) auferlegte Pflicht an, ab dem 1. Juli 2017 Verkehrs- und Standortdaten betreffend die Telekommunikation ihrer Kunden auf Vorrat zu speichern.

Abgesehen von bestimmten Ausnahmen verpflichtet das TKG die Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste – insbesondere zur Verfolgung schwerer Straftaten oder zur Abwehr einer konkreten Gefahr für die nationale Sicherheit – zu einer allgemeinen und unterschiedslosen Vorratsspeicherung eines Großteils der Verkehrs- und Standortdaten der Endnutzer dieser Dienste für eine Dauer von mehreren Wochen.

Das Bundesverwaltungsgericht (Deutschland) möchte wissen, ob das Unionsrecht in seiner Auslegung durch den Gerichtshof1 solchen nationalen Rechtsvorschriften entgegensteht. Seine Zweifel beruhen insbesondere darauf, dass die nach dem TKG vorgesehene Speicherpflicht weniger Daten und eine kürzere Speicherungsfrist (vier bzw. zehn Wochen) betrifft, als sie die nationalen Regelungen vorsahen, um die es in den Rechtssachen ging, in denen die vorangegangenen Urteile ergangen sind. Diese Besonderheiten verringern nach Ansicht des Bundesverwaltungsgerichts die Möglichkeit, dass aus den gespeicherten Daten sehr genaue Schlüsse auf das Privatleben der Personen, deren Daten auf Vorrat gespeichert worden seien, gezogen würden. Außerdem gewährleiste das TKG, dass die auf Vorrat gespeicherten Daten wirksam vor den Risiken eines Missbrauchs und eines unberechtigten Zugangs geschützt seien.

Mit seinem Urteil vom 20.09.2022 bestätigt der Gerichtshof seine bisherige Rechtsprechung. Er antwortet dem Bundesverwaltungsgericht, dass das Unionsrecht nationalen Rechtsvorschriften entgegensteht, die präventiv zur Bekämpfung schwerer Kriminalität und zur Verhütung schwerer Bedrohungen der öffentlichen Sicherheit eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten vorsehen.

Dagegen steht das Unionsrecht nationalen Rechtsvorschriften nicht entgegen, die – es zum Schutz der nationalen Sicherheit gestatten, den Betreibern elektronischer Kommunikationsdienste aufzugeben, Verkehrs- und Standortdaten allgemein und unterschiedslos auf Vorrat zu speichern, wenn sich der betreffende Mitgliedstaat einer als real und aktuell oder vorhersehbar einzustufenden ernsten Bedrohung für die nationale Sicherheit gegenübersieht. Eine solche Anordnung kann durch ein Gericht oder eine unabhängige Verwaltungsstelle kontrolliert werden und darf nur für einen auf das absolut Notwendige begrenzten, aber im Fall des Fortbestands der Bedrohung verlängerbaren Zeitraum ergehen;

• zum Schutz der nationalen Sicherheit, zur Bekämpfung schwerer Kriminalität und zur Verhütung schwerer Bedrohungen der öffentlichen Sicherheit auf der Grundlage objektiver und nicht diskriminierender Kriterien anhand von Kategorien betroffener Personen oder mittels eines geografischen Kriteriums für einen auf das absolut Notwendige begrenzten, aber verlängerbaren Zeitraum eine gezielte Vorratsspeicherung von Verkehrs- und Standortdaten vorsehen;
• für dieselben Zwecke einen auf das absolut Notwendige begrenzten Zeitraum eine allgemeine und unterschiedslose Vorratsspeicherung der IP-Adressen, die der Quelle einer Verbindung zugewiesen sind, vorsehen;
• zum Schutz der nationalen Sicherheit, zur Bekämpfung der Kriminalität und zum Schutz der öffentlichen Sicherheit eine allgemeine und unterschiedslose Vorratsspeicherung der die Identität der Nutzer elektronischer Kommunikationsmittel betreffenden Daten vorsehen;
• es zur Bekämpfung schwerer Kriminalität und, a fortiori, zum Schutz der nationalen Sicherheit gestatten, den Betreibern elektronischer Kommunikationsdienste aufzugeben, während eines festgelegten Zeitraums die ihnen zur Verfügung stehenden Verkehrs- und Standortdaten umgehend zu sichern.

Solche nationalen Rechtsvorschriften müssen außerdem durch klare und präzise Regeln sicherstellen, dass bei der Speicherung der fraglichen Daten die für sie geltenden materiellen und prozeduralen Voraussetzungen eingehalten werden und dass die Betroffenen über wirksame Garantien zum Schutz vor Missbrauchsrisiken verfügen.

In Bezug auf das TKG stellt der Gerichtshof fest, dass aus der Vorlageentscheidung hervorgeht, dass die durch dieses Gesetz begründete Pflicht zur Vorratsspeicherung insbesondere die Daten betrifft, die erforderlich sind, um die Quelle und den Adressaten einer Nachricht, Datum und Uhrzeit von Beginn und Ende der Verbindung oder, im Fall der Übermittlung von Kurz-, Multimedia- oder ähnlichen Nachrichten, die Zeitpunkte der Versendung und des Empfangs der Nachricht sowie, im Fall der mobilen Nutzung, die Bezeichnung der Funkzellen, die vom Anrufer und vom Angerufenen bei Beginn der Verbindung genutzt wurden, zu identifizieren.

Im Rahmen der Bereitstellung von Internetzugangsdiensten bezieht sich die Pflicht zur Vorratsspeicherung u. a. auf die dem Teilnehmer zugewiesene IP-Adresse, Datum und Uhrzeit von Beginn und Ende der Internetnutzung unter der zugewiesenen IP-Adresse und, im Fall der mobilen Nutzung, die Bezeichnung der bei Beginn der Internetverbindung genutzten Funkzelle. Die Daten, aus denen sich die geografische Lage und die Hauptstrahlrichtungen der die jeweilige Funkzelle versorgenden Funkantennen ergeben, werden ebenfalls gespeichert.

Zwar werden die Daten betreffend E-Mail-Dienste nicht von der in der im TKG vorgesehenen Pflicht zur Vorratsspeicherung erfasst, jedoch stellen sie auch nur einen Bruchteil der in Rede stehenden Daten dar. Außerdem werden u. a. Daten von Nutzern gespeichert, die dem Berufsgeheimnis unterliegen, wie beispielsweise Rechtsanwälte, Ärzte und Journalisten.

Die im TKG vorgesehene Pflicht zur Vorratsspeicherung erstreckt sich somit auf einen umfangreichen Satz von Verkehrs- und Standortdaten, der im Wesentlichen den Datensätzen entspricht, die zu den vorgenannten früheren Urteilen geführt haben.

Ein solcher Satz von Verkehrs- und Standortdaten, die zehn bzw. vier Wochen lang gespeichert werden, kann aber sehr genaue Schlüsse auf das Privatleben der Personen, deren Daten gespeichert wurden – etwa auf Gewohnheiten des täglichen Lebens, ständige oder vorübergehende Aufenthaltsorte, tägliche oder in anderem Rhythmus erfolgende Ortsveränderungen, ausgeübte Tätigkeiten, soziale Beziehungen dieser Personen und das soziale Umfeld, in dem sie verkehren –, und insbesondere die Erstellung eines Profils dieser Personen ermöglichen.

In Bezug auf die im TKG vorgesehenen Garantien, die die gespeicherten Daten gegen Missbrauchsrisiken und vor jedem unberechtigten Zugang schützen sollen, weist der Gerichtshof darauf hin, dass die Vorratsspeicherung dieser Daten und der Zugang zu ihnen unterschiedliche Eingriffe in Grundrechte der Betroffenen darstellen, die eine gesonderte Rechtfertigung erfordern. Daraus folgt, dass nationale Rechtsvorschriften, die die vollständige Einhaltung der Voraussetzungen gewährleisten, die sich im Bereich des Zugangs zu auf Vorrat gespeicherten Daten aus der Rechtsprechung ergeben, naturgemäß den schwerwiegenden Eingriff in die Rechte der Betroffenen, der sich aus der allgemeinen Vorratsspeicherung dieser Daten ergeben würde, weder beschränken noch beseitigen können.

Fußnote

¹ Siehe u. a. Urteile vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20 (siehe auch Pressemitteilung Nr. 58/22), sowie vom 6. Oktober 2020, La Quadrature du Net u. a., C-511/18, C-512/18 und C-520/18 (siehe auch Pressemitteilung Nr. 123/20).

Quelle: EuGH

Es ist nicht zulässig, dass die Anbieter von Diensten der elektronischen Kommunikation die Verkehrsdaten ab dem Zeitpunkt der Speicherung zur Bekämpfung von Straftaten des Marktmissbrauchs, u. a. von Insidergeschäften, präventiv ein Jahr lang allgemein und unterschiedslos auf Vorrat speichern.

Ein nationales Gericht kann die Feststellung, dass innerstaatliche Rechtsvorschriften, die eine solche Vorratsspeicherung der Verkehrsdaten vorsehen, ungültig sind, nicht in ihren zeitlichen Wirkungen beschränken.

Gegen VD und SR laufen in Frankreich Strafverfahren wegen Insiderhandels, Hehlerei im Zusammenhang mit Insiderhandel, Beihilfe, Bestechung und Geldwäsche. Ausgangspunkt der Ermittlungen waren im Rahmen der Bereitstellung von Diensten der elektronischen Kommunikation generierte personenbezogene Daten betreffend Telefongespräche von VD und SR, die dem Ermittlungsrichter von der Finanzaufsichtsbehörde (Autorité des marchés financiers, AMF) nach entsprechenden Ermittlungen zur Verfügung gestellt worden waren.

VD und SR haben bei der Cour de cassation (Kassationsgerichtshof, Frankreich) gegen zwei Urteile der Cour d’appel de Paris (Berufungsgericht Paris) Kassationsbeschwerden eingelegt. Sie wenden sich dagegen, dass sich die AMF bei der Erhebung der Daten auf innerstaatliche Rechtsvorschriften gestützt habe, die, soweit sie eine allgemeine und unterschiedslose Vorratsspeicherung der Verbindungsdaten vorsähen, unionsrechtswidrig seien und in denen die Befugnis der Ermittler der AMF zur Anforderung gespeicherter Daten nicht begrenzt werde. Sie berufen sich insoweit auf die Rechtsprechung des Gerichtshofs¹.

Die Vorlagefragen der Cour de cassation betreffen innerstaatliche Rechtsvorschriften, nach denen die Anbieter von Diensten der elektronischen Kommunikation die Verkehrsdaten ab dem Zeitpunkt der Speicherung zur Bekämpfung von Straftaten des Marktmissbrauchs, u. a. von Insidergeschäften, präventiv ein Jahr lang allgemein und unterschiedslos auf Vorrat speichern. Es geht im Wesentlichen um das Zusammenspiel der einschlägigen Vorschriften der Datenschutzrichtlinie für elektronische Kommunikation² im Lichte der Charta der Grundrechte der Europäischen Union (im Folgenden Charta)³ und der einschlägigen Vorschriften der Marktmissbrauchsrichtlinie⁴ und der Marktmissbrauchsverordnung⁵. Für den Fall, dass die betreffenden innerstaatlichen Rechtsvorschriften unionsrechtswidrig sein sollten, möchte das vorlegende Gericht wissen, ob ihre Wirkungen vorläufig aufrechterhalten werden können, um Rechtsunsicherheit zu vermeiden und es zu ermöglichen, dass die auf ihrer Grundlage auf Vorrat gespeicherten Daten zur Aufdeckung und Verfolgung von Insidergeschäften verwendet werden.

Mit seinem Urteil vom 20.09.2022 stellt der Gerichtshof als Erstes fest, dass weder die Marktmissbrauchsrichtlinie noch die Marktmissbrauchsverordnung im Hinblick auf die Ausübung der den zuständigen Finanzaufsichtsbehörden durch sie übertragenen Befugnisse eine Rechtsgrundlage für eine allgemeine Verpflichtung zur Aufbewahrung der Datenverkehrsaufzeichnungen im Besitz der Anbieter von Diensten der elektronischen Kommunikation bilden können.

Als Zweites weist der Gerichtshof darauf hin, dass es sich bei der Datenschutzrichtlinie für elektronische Kommunikation um den Referenzrechtsakt im Bereich der Speicherung und allgemein der Verarbeitung personenbezogener Daten in der elektronischen Kommunikation handelt. Die Datenschutzrichtlinie ist daher auch für die Datenverkehrsaufzeichnungen im Besitz der Anbieter von Diensten der elektronischen Kommunikation maßgeblich, die die zuständigen Finanzaufsichtsbehörden im Sinne der Marktmissbrauchsrichtlinie und der Marktmissbrauchsverordnung bei Letzteren anfordern können. Für die Beurteilung der Frage, ob die Verarbeitung der Aufzeichnungen im Besitz der Anbieter von Diensten der elektronischen Kommunikation zulässig ist, sind mithin die Voraussetzungen gemäß der Datenschutzrichtlinie für elektronische Kommunikation in der Auslegung durch den Gerichtshof maßgeblich.

Der Gerichtshof gelangt deshalb zu dem Schluss, dass es nach der Marktmissbrauchsrichtlinie und der Marktmissbrauchsverordnung in Verbindung mit der Datenschutzrichtlinie für elektronische Kommunikation und im Lichte der Charta nicht zulässig ist, dass die Anbieter von Diensten der elektronischen Kommunikation die Verkehrsdaten ab dem Zeitpunkt der Speicherung zur Bekämpfung von Straftaten des Marktmissbrauchs, u. a. von Insidergeschäften, ein Jahr lang allgemein und unterschiedslos auf Vorrat speichern.

Als Drittes hält der Gerichtshof an seiner Rechtsprechung fest, wonach das Unionsrecht dem entgegensteht, dass ein nationales Gericht die nach nationalem Recht zu treffende Feststellung, dass innerstaatliche Rechtsvorschriften, mit denen die Anbieter von Diensten der elektronischen Kommunikation zur allgemeinen und unterschiedslosen Vorratsspeicherung der Verkehrs- und Standortdaten verpflichtet werden, wegen ihrer Unvereinbarkeit mit der Datenschutzrichtlinie für elektronische Kommunikation ungültig sind, in ihren zeitlichen Wirkungen beschränkt.

Der Gerichtshof stellt jedoch klar, dass die Verwertbarkeit von Beweismitteln, die aufgrund einer solchen Vorratsspeicherung von Daten erlangt wurden, nach dem Grundsatz der Verfahrensautonomie der Mitgliedstaaten dem nationalen Recht unterliegt – vorbehaltlich der Beachtung u. a. der Grundsätze der Äquivalenz und der Effektivität. Letzterer verpflichtet ein nationales Strafgericht dazu, Informationen und Beweise, die durch eine mit dem Unionsrecht unvereinbare allgemeine und unterschiedslose Vorratsspeicherung erlangt wurden, auszuschließen, sofern die betreffenden Personen nicht in der Lage sind, sachgerecht zu den Informationen und Beweisen Stellung zu nehmen, die einem Bereich entstammen, in dem das Gericht nicht über Sachkenntnis verfügt, und geeignet sind, die Würdigung der Tatsachen maßgeblich zu beeinflussen.

Fußnoten

¹ Urteil vom 21. Dezember 2016, Tele2 Sverige und Watson u. a., C-203/15 und C-698/15 (vgl. auch Pressemitteilung Nr. 145/16).
² Art. 15 Abs. 1 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. 2002, L 201, S. 37) in der durch die Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 (ABl. 2009, L 337, S. 11) geänderten Fassung.
³ Insbesondere Art. 7, 8, 11 und 52 Abs. 1.
⁴ Art. 12 Abs. 2 Buchst. a und d der Richtlinie 2003/6/EG des Europäischen Parlaments und des Rates vom 28. Januar 2003 über Insider-Geschäfte und Marktmanipulation (Marktmissbrauch) (ABl. 2003, L 96, S. 16).
⁵ Art. 23 Abs. 2 Buchst. g und h der Verordnung (EU) Nr. 596/2014 des Europäischen Parlaments und des Rates vom 16. April 2014 über Marktmissbrauch (Marktmissbrauchsverordnung) und zur Aufhebung der Richtlinie 2003/6/EG des Europäischen Parlaments und des Rates und der Richtlinien 2003/124/EG, 2003/125/EG und 2004/72/EG der Kommission (ABl. 2014, L 173, S. 1).

Quelle: EuGH

Um die nationalen Klimaschutzziele Deutschlands zu erreichen, ist am 19. Dezember 2019 als Teil des Klimapaketes der damaligen Bundesregierung das Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen verkündet worden – zunächst für die Sektoren Wärme und Verkehr. Mit einem jetzt vorgelegten Gesetzentwurf der Bundesregierung (20/3438) sollen nunmehr auch ab 2023 die Brennstoffe Kohle und Abfälle in das Gesetz aufgenommen werden. Die Aufhebung der bisherigen Brennstoffbeschränkung sichere eine umfassende CO2-Bepreisung aller fossilen Brennstoffemissionen durch das Brennstoffemissionshandelsgesetze (BEHG). (…)

Quelle: Deutscher Bundestag, hib-Nr. 459/2022

Die Bundesregierung hat einen Gesetzentwurf (20/3439) zur Abschaffung der Kostenheranziehung bei jungen Menschen in der Kinder- und Jugendhilfe vorgelegt.

Bisher gilt: In der Kinder- und Jugendhilfe werden junge Menschen, die in einer Pflegefamilie oder einer Einrichtung oder sonstigen Wohnform der Kinder- und Jugendhilfe leben und die ein eigenes Einkommen haben, zu den Kosten der Leistung der Kinder- und Jugendhilfe aus ihrem Einkommen herangezogen. Dies gilt auch für alleinerziehende Mütter oder Väter mit ihrem Kind, die in einer gemeinsamen Wohnform untergebracht sind (sog. Leistungsberechtigte nach § 19 SGB VIII). Der Kostenbetrag kann bis zu 25 Prozent des Einkommens betragen. Auch die Ehegatten und Lebenspartner der jungen Menschen und Leistungsberechtigten nach § 19 SGB VIII werden abhängig von der Höhe ihres Einkommens zu den Kosten aus ihrem Einkommen herangezogen. (…)

Quelle: Deutscher Bundestag, hib-Nr. 459/2022