36C3 - Die Zukunft grenzüberschreitenden Datenzugriffs und politischer Verfolgung

36C3 preroll music

Heraldangel: Willkommen zu unserem
nächsten Talk! Unsere nächste Speakerin

ist Elisabeth Niekrenz. Sie ist Juristin
und politische Referentin bei Digitale

Gesellschaft e.V. in Berlin. Elisabeth hat
hier quasi vor der Haustür an der

Universität Leipzig Rechtswissenschaften
studiert und war während ihres

Referendariats als Repetitorin für
Strafrecht und Strafprozessrecht tätig.

2018 hat Elisabeth den Sammelband Chaos
zur Konstitution, Subversion und

Transformation von Ordnung
mitherausgegeben. Heute geht es aber um

ein etwas anders gelagertes Thema, nämlich
die Frage, wie es bei internationalen

Abkommen zur Herausgabe von Metadaten und
Inhalten eigentlich um den

Grundrechtsschutz bestellt ist und wie
Vorhaben wie die EU E-Evidenz Verordnung,

die grenzüberschreitende Strafverfolgung
verändern und zugleich politische

Repression eine neue Dimension verleihen
könnten. In diesem Sinne begrüßen wir mit

einem warmen Applaus hier auf der Bühne,
Elisabeth Niekrenz.

Applaus

Niekrenz: Ja, ganz herzlichen Dank für die
Ankündigung. Jetzt muss ich noch, kurz

sehen wir, ah ja, sehr gut. Also ganz
lieben Dank für die Ankündigung nochmal.

Ich freue mich sehr, heute über den
grenzüberschreitenden Datenzugriff von

Strafverfolgungsbehörden sprechen zu
dürfen. Und der Anlass, es wurde auch

schon erwähnt in der Ankündigung, dieses
Thema aus einer EU-Perspektive zu

besprechen, das ist natürlich die
E-Evidenz Verordnung, die derzeit im

Brüsseler Parlament verhandelt wird und
von der sicherlich die eine oder der

andere schon gehört haben. Diese
Verordnung soll es Ermittlungsbehörden aus

Spanien, Frankreich, Ungarn oder auch
Polen ermöglichen, Dienstleister zum

Beispiel in Deutschland zur Herausgabe von
persönlichen Daten in Strafverfahren zu

verpflichten, ohne dass hiesige Behörden
ein Wörtchen mitzureden hätten.

Diese Verordnung steht aber auch nicht singulär
im Raum, sondern eigentlich

in einem Kontext von einer ganzen Reihe von
internationalen Regulierungen der letzten

Jahre, die ich heute ein Stück weit mit
beleuchten möchte, um das sozusagen nicht

so singulär zu betrachten. Damit werden
auch einige hergebrachte Prinzipien des

Völkerrechts bzw. der internationalen
Rechtshilfe durchaus infrage gestellt, und

zwar immer dann, wenn es um elektronisch
gespeicherte Beweismittel, um Daten

sozusagen, geht. Ich denke, es ist zu
berücksichtigen, dass man sich aus einer

europäischen oder aus einer deutschen
Sicht die Frage, ob wir z.B. wollen, dass

ein Unternehmen wie Facebook oder Google
Daten in einem hiesigen Strafverfahren

herausgeben muss, wenn es etwa im Kontext
von oder um den Kontext von

Hasskriminalität geht, der in Deutschland
jetzt gerade wieder ein großes Thema ist.

Diese Frage darf man sich nicht isoliert
stellen, sondern man muss sie sich

gemeinsam stellen mit der Frage, ob denn
dann auch ungarische oder spanische

Ermittlungsbehörden E-Mail Anbieter wie
sagen wir, Mailbox, posteo et cetera

verpflichten können sollen, E-Mail-Daten
und Transaktionsinhalte oder

Transaktionsdaten herauszugeben. Ob wir
uns wünschen, dass in dem Fall deutsche

Behörden eigentlich ein Wörtchen
mitzureden haben sollten? Man soll sie

außerdem gemeinsam stellen mit der Frage,
wie wir denn eigentlich damit umgehen

würden, wenn eines Tages mal Anbieter wie
TikTok aus China oder VK, VKontakte aus

Russland für Ermittlungsbehörden
interessant werden würden. Etwa weil

Personen ganz häufig Straftaten über diese
Plattformen begehen oder sich darüber dazu

verabreden oder sonst interessante
Beweismittel dort liegen. Würden wir dann,

um schnellen Zugriff auf diese Daten zu
erlangen, im Gegenzug den chinesischen

oder russischen Ermittlungsbehörden auch
ermöglichen wollen, auf Daten, die

hierzulande gespeichert sind, von
deutschen Anbietern zugreifen? Und wie

würden wir denn eigentlich darauf
reagieren, wenn diese Länder Unternehmen

einfach einseitig verpflichten würden,
ihnen Daten aus Deutschland abzuliefern?

Vor dem Hintergrund einer Forderung, die
so in etwa lautet, dass das Netz kein

rechtsfreier Raum sein darf und dass man
praktisch ja irgendwie an die Daten

rankommen müsse, werden die langfristigen
Auswirkungen, die ein solches Law

enforcement auch ein Stück weit auf die
internationale Sicherheitsordnung hat,

häufig außen vorgelassen. Und das, obwohl
sie in den Fachdebatten eigentlich

durchaus erörtert werden und nachzulesen
sind. Deswegen möchte ich hier bei diesem

Anlass einfach mal ein paar von diesen
Problemen und Argumenten beleuchten.

Was ist eigentlich das grundlegende Problem,
das mit Regulierungen wie der E-Evidenz

Verordnung behoben werden soll?

Es lautet, wie aus einem Papier der
EU-Kommission kommt

oder wie dort gesagt wird: "The
internet is largely privately owned and

borderless for everyone except authorities
pursuing criminal investigations."

Also es ist eine Binsenweisheit, dass Cloud-
Dienste, Social-Media und E-Mail-Dienste

eine ganz überragende Bedeutung für unsere
Kommunikation und auch für unser Denken

und Arbeiten haben. Es heißt, immer mehr
Daten werden sozusagen online von

Anbietern gespeichert, und das weckt
Begehrlichkeiten, und zwar ganz besondere

unter Behörden und ganz besonders unter
Behörden, die in Strafsachen ermitteln und

für die diese Daten sicherlich im
Einzelfall ganz nützlich sein könnten, um

etwas herauszufinden. Problematisch wird
es nun immer, wenn Daten im Ausland

gespeichert sind, also woanders als die
Ermittlungen stattfinden. Denn dann

gelangen nationalen Rechtsordnungen an
ihre Grenzen. Grundsätzlich gebietet es

nämlich der völkerrechtliche Grundsatz der
Wahrung territoriale Souveränität,

Strafverfolgungshandlungen nur im eigenen
Staatsgebiet durchzuführen.

Es gibt nun zwei Trends in einigen
Regulierungen der letzten Jahre,

nämlich den Trend zum Unilateralismus

und zur extraterritorialen
Ausweitung nationaler Befugnisse.

Das heißt einerseits, dass an Stellen, an
denen Rechtshilfe und internationale

Zusammenarbeit im Sinne einer
Zusammenarbeit von Staaten stattgefunden hat.

Traditionell fangen Staaten an,
einseitig zu beschließen, dass sie von

ihrem Gebiet aus Zugriff oder zumindest
die Möglichkeit, Anbieter zu verpflichten,

haben wollen, Anbieter die Daten woanders
speichern diese Daten herausgeben zu lassen.

Auf der anderen Seite werden
durchaus auch Abkommen geschlossen, also

sozusagen wird multilateral gehandelt, die
dann allerdings häufig davon leben, dass

auch keine Zusammenarbeit mehr stattfinden
soll, auf der Seite der staatlichen

Akteure, sondern dass Staaten eigentlich
auf die Ausübung ihrer souveränen Rechte,

das heißt darüber zu entscheiden, welche
Strafverfolgungsbehörden Auswirkungen auf

ihr Staatsgebiet haben können, verzichtet
wird und sich gegenseitig ungehinderte

Befugnisse einräumen. Und das ist, wenn
wir an das Konzept der territorialen

Souveränität denken, vor allem deshalb
problematisch, weil nationale Souveränität

bei aller Kritik, die man am Konzept
Nationalstaat durchaus haben kann,

innerhalb des Staaten und Rechtssystems,
in dem wir leben, unter anderem die

Funktion hat festzulegen, wer für den
Schutz von Grundrechten zuständig ist.

Und da gibt es einige Probleme mit den
Regulierungen, die nun gemacht werden.

Um das verstehen zu können, nochmal einen
kleinen Blick sozusagen zurück oder auch

durchaus noch in die Gegenwart. Wie
funktioniert denn eigentlich Zusammenarbeit

in Strafsachen, wenn man es
mit grenzüberschreitende Kriminalität

zu tun hat? Oder mit Verfahren, die
irgendwie einen grenzüberschreitenden

Bezug aufweisen, bisher? Es gibt seit
vielen Jahren bzw. fast schon

Jahrhunderten Mutual legal Assistance
Treaties auf Englisch, kurz MLATs. Das

heißt, es gibt viele bilaterale und
multilaterale Abkommen, die zwischen

Staaten regeln, wie man zusammenarbeiten
will. Ein wesentlicher Ursprung oder als

ein wesentlicher Ursprung gilt das
belgische Auslieferungsgesetz von 1833.

Belgien wollte damals seine eigene
politische Neutralität wahren und hat

gesagt, wir liefern schon Personen aus,
die gesucht werden wegen Straftaten,

allerdings nicht bei politischen Delikten.
Ich denke, daran kann man schon ganz gut

erkennen, dass in dem Fall das
Auslieferungsrecht, aber auch insgesamt

die gegenseitige Rechtshilfe durchaus eine
ziemlich hohe außenpolitische Relevanz

haben kann, weil tatsächlich auch nicht
alle Staaten sich darüber einig sind, was

Straftaten sind und was nicht. Dieses
Rechtsgebiet betrifft also so etwas wie

Auslieferungen, aber auch Maßnahmen auf
einer niedrigeren Schwelle, wenn es darum

geht, eine Beweisaufnahme in einem anderen
Land durchzuführen, Dokumente zu

beschlagnahmen, Zeugen zu befragen und
ähnliches. Deutschland ist Teil

verschiedener bilaterale und multilaterale
Abkommen. Viele davon wurden im 20.

Jahrhundert nach dem 2.Weltkrieg
abgeschlossen. Und der Weg, den man da

geht, läuft also grundsätzlich so: Ein
Staat stellt eine Anfrage an oder für ein

Ermittlungsmaßnahme, eine Auslieferung
oder etwas ähnliches an den Staat B und

Staat B prüft dann zunächst einmal die
Anfrage und fragt sich, will ich die in

meinem Staatsgebiet so beantworten, will
ich der nachkommen und hat auch die

Möglichkeit, diese Anfrage oder die
Befolgung sozusagen zu versagen.

Schließlich erlaubt ja auch nicht, Staat
A eigenmächtig auf seinem Gebiet diese

Maßnahme durchzuführen, sondern der Staat
B würde sie selbst durchführen, wie man

hier sieht. Und es gibt so ein paar
Gründe. Das gilt sozusagen nicht ganz

uneingeschränkt für alle Abkommen. Aber
das sind vier Kriterien, die sehr häufig

Gründe dafür sind, eine angefragte
Maßnahme nicht auszuführen. Da ist zum

einen die Verfolgung politischer Vergehen,
die häufig ausgeschlossen wird. Ich hatte

es schon erwähnt. Auf der anderen Seite
liegt die beidseitige Strafbarkeit

(Englisch: dual criminality). Das ist ein
Kriterium, das fordert, dass die Tat in

beiden betroffenen Staaten eine Straftat
ist. Beispiel, was vielleicht alle kennen,

ist der Fall Puigdemont, der schließlich
nicht wegen Rebellion an die spanischen

Behörden aus Deutschland mittels eines
europäischen Haftbefehls ausgeliefert

werden konnte, weil es den Straftatbestand
der Rebellion so im deutschen

Strafgesetzbuch nicht gibt. Es ist also
gewissermaßen auch einleuchtend, dass man

als Staat sagt Mensch, dieses Verhalten,
das finden wir hier eigentlich in Ordnung.

Wir haben eine andere moralische,
gesellschaftliche, strafrechtliche

Vorstellung. Deswegen nehmen wir an dieser
Verfolgung nicht teil. Es sind Verstöße

gegen den sogenannten Ordre Public. Das
sind Verstöße gegen ziemlich grundlegende

inländische Wertvorstellungen. Also auch
für solche Fälle muss es immer ein

Austritt oder keine
Auftrittsmöglichkeiten, aber eine

Möglichkeit der Versagung geben. Und es
ist das Prinzip ne bis in idem. Das

bedeutet, dass wegen einer Tat ein Mensch
oder eine Person nicht zweimal verfolgt

werden darf. Das Problem mit diesen MLATs
ist nun, dass das ein Weg ist, der häufig

über den diplomatischen Weg verläuft. Da
sind viele Behörden auf unterschiedlichen

Stellen involviert und der deshalb sehr
lange dauert. Laut EU-Kommission sind zehn

Monate innerhalb der Europäischen Union
derzeit nicht ungewöhnlich. Deshalb

besteht eigentlich eine weitgehende
Einigkeit darüber, dass das System verbessert

werden muss, vor allem im Bereich
elektronische Daten, weil diese sehr

flüchtig seien. Gerade mit so etwas wie
einer dynamischen IP-Adresse kann man gar

nicht einmal so lange was anfangen. Das
sind so die Erwägungen. 2013 haben US-

Behörden unter anderem deshalb etwas Neues
ausprobiert, kann man, so sagen. Sie haben

nämlich einen Beschluss erlassen gegen
Microsoft, mit dem Sie Microsoft

verpflichtet haben, Daten aus dem E-Mail-
Konto eines Nutzers für ein Strafverfahren

zu erhalten oder herauszugeben? Und das
Besondere war, dass diese Daten in einem

Microsoft Data Center in Irland
gespeichert waren. Microsoft hat die

Herausgabe verweigert und hat gesagt ihr
habt gar kein Rechtsregime über diese

Daten. Und europäisches Datenschutzrecht
hindert uns auch daran, die zu

übermitteln. Die Behörde hat dann zunächst
in erster Instanz im gerichtlichen

Verfahren gewonnen. Da hat das Gericht
also gesagt, Unternehmen, auf die US-Recht

Anwendung findet, sind verpflichtet, Daten
herauszugeben, wenn sie in ihrer Kontrolle

sind, egal wo. In der zweiten Instanz im
Berufungsverfahren hat allerdings

Microsoft obsiegt. Und es hieß dann, dass
die damalige Rechtsgrundlage im Stored

Communications Act nicht reicht für eine
Übermittlung von Daten, die außerhalb der

USA gespeichert sind, sodass das Verfahren
schließlich vor dem Supreme Court gelandet ist.

Und währenddessen wurde es auch
einigermaßen zum Politikum. Also sowohl

Irland als auch die EU-Kommission, viele
Verbände, Reporter ohne Grenzen, andere

Interessenträger haben sogenannte Amicus
Curiae briefings eingereicht. Es wurden

Stellungnahmen eingereicht und auch einige
akademische Texte. Und all dies hat

schließlich dazu geführt, dass die USA ein
neues Gesetz erlassen haben, nämlich den

Clout Act. Cloud steht hier für Clarifying
Lawful Overseas Use of Data, und der Cloud

Act besagt, dass US-Anbieter verpflichtet
sind, Daten herauszugeben an US-Behörden,

egal wo sie gespeichert sind. Er sieht
eine gewisse Möglichkeit zur Regelung von

Norm-Konflikten vor. Wenn man also einen
Konflikt mit dem Recht eines anderen

Landes kommt. Und zwar dürfen sich
Anbieter wehren, wenn die Kunden keine US

Personen sind. Und wenn die Offenlegung
der Daten die Gefahr begründet, dass der

Anbieter Gesetze einer ausländischen
Regierung verletzt, allerdings nicht

irgendeiner ausländischen Regierung,
sondern nur eines sogenannten Qualifying

Foreign Governments. Und das wäre ein
Staat, mit dem die USA ein exekutiv

Abkommen geschlossen haben. Darüber, wie
solche Datenherausgaben funktionieren.

Derzeit gibt es noch nicht so viele Staaten, mit
denen die USA ein solches Abkommen

geschlossen haben. Insbesondere mit UK ist
es im Oktober kürzlich passiert. Das

bedeutet für Unternehmen mit Sitz in den
USA, die in der EU Datenspeichern derzeit,

dass sie eigentlich regelmäßig gezwungen
sind, gegen eines dieser beiden

Rechtsregime zu verstoßen. Denn
tatsächlich verbietet es die Datenschutz-

Grundverordnung derzeit, Daten aufgrund
solcher Anfragen in die USA herauszugeben.

Auf der anderen Seite können sie aber
durch US Recht dazu gezwungen werden.

Es gibt noch einen anderen Anreiz für
Staaten, ein solches Agreement

abzuschließen. Denn dann kann man auch
Anbieter dazu zwingen, Daten

herauszugeben, an zum Beispiel an die
europäischen Staaten, die in den USA

gespeichert sind. Darauf sind die
Strafverfolgungsbehörden in der

Europäischen Union häufig sehr erpicht,
weil ja viele sehr wesentliche Dienste in

den USA sitzen. Deshalb hat auch das
Vereinigte Königreich im Oktober,

ich habe es schon erwähnt, ein solches
Abkommen geschlossen, was zum Teil auch

sehr stark kritisiert wurde. Der Grund ist
vor allem, dass dieses Abkommen als das

erste seiner Art Vorbild für weitere sein
kann und dass in dem Abkommen selbst keine

sehr hohen Schutzanforderungen
reingeschrieben worden sind. Das heißt,

man liest also ein Stück weit das US-Recht
und das britische Recht hinein, insoweit

es um Informationspflichten,
Richtervorbehalt, Hürden sozusagen, unter

welchen Umständen Daten heraus gegeben
werden können, geht. Wenn man sich aber

vorstellt, dass das Abkommen so auch
Vorbild für Abkommen mit Staaten mit einem

deutlich niedrigeren Schutzniveau sein
könnte, dann steht da leider sehr, sehr

wenig drin. Mit der EU haben die
Verhandlungen für den Abschluss eines

solchen Abkommens kürzlich begonnen. Im
September fand ein erstes Treffen statt.

Ja, und das verlangt ein stückweit,
logisch eigentlich, die Voraussetzung oder

zumindest politisch die Voraussetzung,
dass man erstmal regelt, wie denn EU-

Staaten eigentlich untereinander auf Daten
zugreifen können, die in einem anderen

Staat gespeichert sind. Und damit kommen
wir zur E-Evidenz Verordnung. Ein kleiner

Teil des Skandals ist sozusagen, dass die
Kommission bereits Verhandlungen mit den

USA begonnen hat, bevor sich das Parlament
überhaupt auf den Standpunkt zu E-Evidenz

geeinigt hat. Das heißt, die Regeln für
den innereuropäischen Vorgehen sollten

eigentlich ein Stück weit feststehen,
bevor man mit Drittstaaten wie den USA

verhandeln kann. Was sieht nun die
E-Evidenz Verordnung vor? In dieser

Verordnung soll es darum gehen, dass nach
dem Kommissionsentwurf im Verhältnis der

EU-Staaten zueinander, Staaten sowohl
Metadaten als auch Inhaltsdaten, da gibt

es einige komplexe Differenzierungen
zwischen den Datentypen, heraus verlangt

werden dürfen, und zwar egal, wo sie
gespeichert sind, wo in der EU, und egal,

wo der Provider sitzt. Das funktioniert
dann nicht mehr so, dass der Staat A sich

an Staat B wenden würde. Dieser sozusagen
eine Prüfung macht und schließlich dazu

entscheidet, an den Provider heranzutreten
oder nicht, sondern hier würde der Staat A,

sagen wir mal Bulgarien, sich direkt an
einen möglicherweise in Österreich

sitzenden Anbieter wenden mit einer
Herausgabeanordnung. Und Österreich hätte

eigentlich alleine die Rolle in dem Fall,
in dem der Provider nicht compliant ist,

also sagt, ich halte mich nicht daran, aus
irgendwelchen Gründen, die Pflicht eine

Sanktion zu verhängen und im Zweifelsfall
auch zu vollstrecken. Das ist eine

ziemlich kurze Herausgabefrist von zehn
Tagen, in Notfällen sogar nur sechs

Stunden. Und die None-Compliance soll mit
Sanktionen bis zu zwei Prozent des

weltweiten Jahresumsatzes sanktioniert
werden. Damit wird also dem Staat, in dem

ein Anbieter sitzt, oder seine Daten
speichert, die Möglichkeit, ein

Grundrechtsschutz auf seinem Gebiet
sicherzustellen, sehr stark genommen. Auch

Verpflichtungen, Betroffene zu
informieren, so wie viele andere Punkte in

diesem Beschluss, sind ziemlich
problematisch und sind sehr eingeschränkt,

was den Grundrechtsschutz anbelangt. Das
größte Problem aber ist, dass das

Kriterium der beiderseitigen Strafbarkeit,
das ich schon mal angesprochen hatte,

nicht erforderlich ist für eine
Herausgabe. Was heißt das? Das

Strafrecht in der EU ist eigentlich so gut
wie gar nicht harmonisiert bis auf wenige

Bereiche. Etwa in Malta, ist ein
Schwangerschaftsabbruch in fast allen

Konstellationen eine Straftat. Das heißt,
wenn eine maltesische Ärztin dort illegale

Schwangerschaftsabbrüche anbieten würde
und mit ihren Patientinnen z.B. über einen

privaten deutschen Anbieter etwa Posteo
kommunizieren würde, dann könnte Posteo

dazu gezwungen werden, Daten an
maltesische Strafverfolgungsbehörden

herauszugeben. In Polen ist es eine
Straftat, eine Beteiligung von polnischen

Personen am Holocaust zu behaupten. Wenn
also Leute in Polen Aufklärungsarbeit über

solche historischen Geschehnisse leisten
würden und vielleicht über einen Facebook oder

Twitter Account publizieren würden, dann
werden auch diese Unternehmen gezwungen,

wenn sie zum Beispiel in Irland speichern,
Daten an die Behörden herauszugeben. Und

so kann man sich verschiedene Fälle
denken, die die Spannungslage

sozusagen daraus resultiert, dass ich in
einem Staat lebe, in dem eine Handlung

legal ist, überhaupt nicht damit
einverstanden bin, dass eine bestimmte

andere Handlung, also dass diese Handlung als
illegal gelten soll, in einem anderen

Staat. Aber ich muss eben Daten
herausgeben, muss an dieser

Strafverfolgung mitwirken als Provider,
als Mitarbeiter eines solchen Dienstes.

Es hat zudem zur Folge, vor allem diese
direkt Zugriff, dass ich als Betroffene

dieser Datenverarbeitung, wenn ich denn
überhaupt, oder diese Datenherausgabe,

wenn ich denn überhaupt darüber informiert
werde, mich möglicherweise in einer

fremden Rechtsordnung zur Wehr setzen
muss, was an sich schon ziemlich komplex

ist. Und zweitens ist es so, dass in
gleich mehreren EU-Staaten, es derzeit

ziemlich starke Probleme mit
Rechtsstaatlichkeit gibt. Alles andere,

als sichergestellt ist, dass sich dort ein
faires Verfahren bekomme. Der Maßstab ist

die Zulässigkeit einer Maßnahme im
Anordnungsstaat. Das heißt, wenn wir auf

das Beispiel zurückkommen würden,
Bulgarien erließ eine Anordnung für einen

Provider, der in Österreich sitzt und dort
Daten speichert. Dann würde sich die

Rechtmäßigkeit dieser Anordnung nach
bulgarischen Recht, nach bulgarischem

Recht richten und nicht danach, was in
Österreich eigentlich legal wäre. Also es

wäre möglich, dass bulgarische Behörden in
Österreich stärkere Eingriffsbefugnisse

hätten, mehr dürften, als es die
österreichischen Strafverfolgungsbehörden

überhaupt. Das ist natürlich auch nicht
sehr schlüssig und ist auch dazu geeignet,

gerade nationale Schutzvorschriften in
Deutschland, wären es etwa die

Regelungen der Strafprozessordnung oder
aber insbesondere auch solche, die das

Bundesverfassungsgericht aufgestellt hat,
zu umgehen.Bislang ist überhaupt kein

Vetorecht, bislang heißt in den Entwürfen
von Rat und Kommission, vorgesehen in

diesem Entwurf. Das heißt, ich hätte als
Vollstreckungsstaat, also hier als Staat B,

eigentlich keine Chance dagegen
vorzugehen, gegen diese Herausgabe oder zu

sagen, nein, das darf nicht passieren. Ein
Stück weit anders sieht das im derzeitigen

Bericht des Parlamentsausschuss oder im
derzeitigen Entwurf. Der Bericht selbst als

solcher noch nicht fertig. Die
Berichterstatterin Birgit Sippel, LIBE-

Ausschusses, also der Ausschuss für
bürgerliche Freiheiten im Europäischen

Parlament. Sie sieht in ihrem Entwurf von
Anfang November dieses Jahres vor, dass es

ein Vetorecht geben soll. Das heißt also,
binnen dieser zehn Tage, in denen die oder

innerhalb deren der Provider auf die Anordnung
reagieren soll, wäre es dem Staat, dem

Vollstreckungsstaat möglich, sozusagen ein
Vetorecht, von seinem Vetorecht Gebrauch zu

machen und zu sagen, diese Herausgabe stimmen
wir nicht zu. Zum Beispiel eben, weil die

Tat bei ihnen keine Straftat ist. Das
erfordert allerdings keine obligatorische

Prüfung. Das heißt, es ist gut möglich,
dass diese Anordnung auf dem Schreibtisch

von einem Richter landet. Dieser hat dann
die Möglichkeit, binnen zehn Tagen, was ziemlich

kurz ist, entweder hineinzuschauen und
eine ablehnende Entscheidung zu schreiben

oder aber nichts zu tun in dieser Sache,
was angesichts der arbeitsökonomischen

Prozesse nicht ganz fern liegend ist. Wir
gehen als digitale Gesellschaft davon aus,

dass diese Maßnahme nicht dazu passen
würde, dass es zu einer guten,

flächendeckenden Kontrolle der
inländischen Justiz von diesen Maßnahmen

käme. Problematisch ist aber nicht nur
die, sind nicht nur die Regelungen, wie

sie zwischen zwei Mitgliedsstaaten
vorgesehen sind, sondern auch, was

passieren soll, wenn ein Anbieter
eigentlich in einem Drittstaat, also nicht

die EU-Staat sitzt oder dort seine Daten
speichert. Dieser Drittstaat soll nämlich

schon gar nicht gefragt werden, bevor eine
Anordnung erlassen wird. Es gibt zum Teil

so ein Stück weit die Möglichkeit des
Providers zu sagen, dann bekomme ich hier

Probleme, weil ich gegen das Recht dieses
Drittstaates verstoße. Das ist allerdings nur

sehr eingeschränkt möglich. Es gibt da
eine Prüfung, in die diese Staaten nicht

involviert wird und der auch nur bestimmte
Regelungen respektiert werden. Das heißt,

diese Verordnung ist zwar im Verhältnis
der EU-Staaten zueinander multilateral,

weil sie miteinander was aushandeln, im
Verhältnis zu Drittstaaten allerdings eher

als unilateral zu betrachten. Da wird also
einseitig vorgegeben unter diesen

Umständen wollen wir Daten, die bei euch
gespeichert sind, herausgegeben bekommen

und das regt natürlich auch andere Staaten
durchaus dazu an zu sagen, na ja, dann

stellen wir jetzt auch mal Regelungen auf,
unter denen, oder Voraussetzungen, unter

denen Daten aus der Europäischen Union
vielleicht herausgegeben werden müssen.

Die digitale Gesellschaft hat sich deshalb
Ende Oktober in einem offenen Brief an die

Europaabgeordneten aus Deutschland gewandt
gewendet, gemeinsam mit zwölf weiteren

Organisationen. Mittlerweile gibt es auch
noch eine englischsprachige Fassung des

Briefs, die von CEPIS, dem Europäischen
Informatik Berufsverband an

Ausschussmitglieder gesandt wurde und
wir stehen im Austausch mit einigen der

Berichterstatterin, um ein Stück weit
unsere Belange oder unsere Einschätzung

damit einfließen zu lassen. Eine letzte
Regulierung, die ich vielleicht nur ganz

kurz einreißen würde, wäre die Cybercrime
Konvention, die eigentlich schon von 2001

stammt. Da geht es im Allgemeinen ein
Stück weit um eine Harmonisierung von

Straftatbeständen und um Verpflichtungen
zur gegenseitigen Rechtshilfe. Und seit

2017 gibt es Verhandlungen über das zweite
Zusatzprotokoll oder über ein zweites

Zusatzprotokoll, und das würde vorsehen,
dass die teilnehmenden Staaten

Teilnehmerdaten ebenso direkt und ohne
beidseitige Strafbarkeit von Unternehmen

anderen Staaten heraus verlangen können.
Neben einer Vielzahl der Staaten, die ja

im Europarat beteiligt sind, sind hier
noch viel, viel mehr Staaten beteiligt

insgesamt 64 zum Stand 2019 und darunter
auch die Türkei, Marokko, Argentinien,

ein paar habe ich aufgeschrieben, Japan, die
Philippinen, Chile. Das heißt sozusagen

die Probleme, die wir schon in der
Europäischen Union mit Rechtsstaatlichkeit

haben, werden dort vielleicht nochmal
stärker. Und was haben wir gesehen? Wir

haben es also mit einer extra
territorialen Ausweitung von nationalen

Befugnissen zu tun. Das heißt, dass diese
Gesetzgebungen in vielen Fällen oder in

der Regel davon abweichen, dass der
physische Speicherort ein Kriterium für

das Rechtsregime, dem Daten unterworfen
sind, wären. Das wird so ein Stück weit

gestützt durch einige theoretische
Konzepte darüber, dass Daten nicht

territorial betrachtet werden sollten. Zum
Beispiel eine US amerikanische

Rechtswissenschaftlerin Jennifer Daskal.
Ich habe auch noch eine Quellenangabe am

Ende, nennt auch ein paar Argumente darum,
warum sie das eigentlich auch für richtig

hält, sozusagen nicht am Speicherort anzuknüpfen.
Das liegt daran, dass Daten auf eine

andere Art und Weise mobil sind als diese
Wasserflasche etwa, die sich auch bewegen

kann. Denn sie bewegen sich mit
Lichtgeschwindigkeit. Daran, dass Daten

teilbar sind, an mehreren Orten zugleich
vorliegen können. Dass der Ort des Zugangs

nicht zum Speicherort abhängig ist und
dass auch sie unter der Kontrolle von

Dritten stünden. Das heißt, die Nutzenden
würden den Speicherort nicht wählen. Es

würden sich allerdings aus meiner Sicht und
aus Sicht vieler anderer, wenn sich diese

Anschauung von der Nicht-Territorialität von
Daten durchsetzte, einige ganz wesentliche

Probleme ergeben. Es hat zunächst was zu
tun, ich habe es schon erwähnt damit, dass

der Grundrechtsschutz in dem Staat, in dem
die Daten gespeichert werden, nicht mehr

gewährleistet wäre. Und wie gesagt.
ungeachtet aller Kritik am Konzept würde

also die Souveränität in ihrer Funktion
ein Stück weit Rechtsstaatlichkeit und

Grundrechte oder zumindest die
Verantwortung dafür sicherzustellen,

unterlaufen. Ich würde auch sagen, dass es
sich hier nicht direkt um eine

Internationalisierung von einem Vorgehen
handelt in dem Sinne, dass Staaten

gemeinsame Standards finden würden, die
vielleicht auch durch unabhängige oder

gemeinsame Stellen eingehalten würden,
sondern eigentlich um eine relativ starke

Nationalisierung, weil es immer nationale
Bedürfnisse sind, die aufgestockt und

verstärkt werden. Es ist so, man sollte
das vielleicht nicht zu stark

romantisieren. Aber ich würde schon daran
festhalten, dass das Internet Räume

schafft, in denen politische Opposition
manchmal agieren kann und die es

vielleicht sozusagen mit einer stärkeren
Anbindung an den Staat, in dem man sich

befindet, nicht gäbe. Gerade die
Möglichkeit, dass sich in einem Land sein

kann und den Dienst nutze, dessen
Regulierung in den Händen eines anderen

Staates liegt, die kann unter Umständen
einen gewissen Freiraum schaffen. Man kann

es vielleicht irgendeine Art von kleinem
Asyl nennen. Das heißt also, wenn diese

Dienste, die woanders sitzen, keine Daten
an Verfolger im eigenen Land herausgeben,

sich nicht entziehen lassen, dann können
sie sich ein Stück weit Aktionsräume

schaffen. Wenn wir jetzt zum Beispiel an
Hongkong denken, wo ja die Anonymität der

Aktivistinnen und Aktivisten eine ganz
große Rolle spielt. Dann ist da natürlich

auch sehr wichtig, dass man, dass man
sozusagen Dienste wie Reddit oder Telegram

oder sicherlich auch viele andere
verwenden kann, die nicht in Hongkong

sitzen und auch nicht in China sitzen und
auf die chinesische oder Hongkong-,

Behörden aus Hongkong keinen Zugriff
haben. Eine Vielzahl von Unternehmen, die

in den USA oder auch woanders ansässig
sind, geben zum Beispiel Staaten wie die

Türkei per se keine Daten heraus. Und das
mit sehr gutem Grund, wie ich denke. Wenn

man nun solche Dienste im Rahmen von
Abkommen verpflichten würde, auch an

autoritäre Staaten Daten herauszugeben.
Das ist zwar noch nicht so direkt

geschehen, wäre aber eigentlich der
nächste logische Schritt, wenn man sich

auf eine weltweite Ebene vorstellt. Dann
würden doch einige Türen zu diesen

Aktionsräumen geschlossen. Das heißt
natürlich nicht, dass so eine digitale

Vernetzung nicht weiterhin möglich wäre,
dass man nicht neue neue Wege finden würde

und dass man nicht ohnehin, wenn man
besser beraten ist, in solchen Situationen

Tor-Server und einen VPN zu benutzen. Aber natürlich
nimmt es so zu sagen und erhöht es schon

ein Stück weit, die Hürden sich anonym
bewegen zu können. Wenn man sich die

Stellungnahmen von Reporter ohne Grenzen
und weiteren Presse Verbänden im Microsoft

Warren anschaut, dann sieht man, dass dort
ganz massive Einschränkungen von

Pressefreiheit befürchtet werden. Sie
tragen also vor, dass Newsrooms heutzutage

verstärkt in der Cloud stattfinden und die
Zusammenarbeit von weit voneinander

entfernten arbeitenden Personen sich
relativ einfach abwickeln lässt und so

nicht mehr funktionieren würde. Konkret
schreiben Sie "Expanding the U.S.

government's ability to reach electronic
records, stored outside its borders sets a

danger international example that foreign
governments hostile towards journalists

may exploit." Sie haben damals in diesem
Fall vor dem Supreme Court gesagt, wenn

jetzt die USA es Diensten oder wenn
jetzt die USA sozusagen sich selbst

herausnehmen, Dienste zu verpflichten,
Daten, die anderswo gespeichert sind,

herauszugeben, dann würden andere Länder
das auch so machen. Auch das Argument,

dass die Speicherort für Nutzer so häufig
gleichgültig sei, ja nicht von denen

gewählt würde, ist so nicht ganz richtig,
wenn auch sicherlich in einigen Fällen.

Denn ich denke, es gibt sehr viele Fälle,
und das kommt gerade für politisch aktive

Leute relevant sein. In denen nutzen Sie
sehr wohl Ihren Speicherort bewusst wählen

und sich Gedanken darüber machen, an wen
Daten gegebenenfalls herausgegeben würden.

Und so als ganz pragmatisches Argument,
hätte das auch die Folge, diese

Entscheidung sozusagen zu übergehen, dass
die Idee vom Datenschutz als

Standortvorteil eigentlich unmöglich
gemacht wird. Dann hat man es natürlich

mit einer starken Privatisierung der
Rechtshilfe zu tun. Letztlich bleibt im

Zweifelsfall der Provider übrig als die
Instanz, die irgendwie noch sagen könnte,

wollen wir eigentlich nicht befolgen diese
Anordnung, weil wir sehen hier ein grundrechtliches Problem.

Und ich denke, das können und sollen
eigentlich diese Dienste nicht machen,

sondern genau dazu sind ja staatliche
Stellen oder sollten staatliche Stellen im

System der internationalen Rechtshilfe
dasein. Ganz spannend ist auch eine

Stellungnahme von ehemaligen Geheimdienst
und Sicherheitsbehörden. Personal der USA,

UK und Frankreich ebenfalls im Microsoft
Warren Case. Die warnen nämlich extrem

davor, dass die extra territoriale
Anwendung von US-Recht negative

Auswirkungen haben könnte. Sie sagen
nämlich, dass durch Normen Konflikte die

ganze Effektivität der internationalen
Zusammenarbeit in Strafsachen geschädigt

wird. Gehen also davon aus, dass der
Unilateralismus tendenziell zu Konflikten

zwischen Staaten führen wird, der die
Zusammenarbeit auch in diesen Fragen

stören wird. Und auf der anderen Seite ist
es wahrscheinlich, massiv zu Datenlokalisierungspflichten

kommen wird, die wir jetzt
schon in Russland haben. Also zu einer

weiteren Zersplitterung von Internet kommt.
Noch ein paar Literatur Empfehlungen. Ich

sage mal so ein bisschen für den Einstieg,
für alle, die sich ein stückweit tiefer

für das Thema interessieren. Burchardt
legt in der ZIS einige der hier

genannten Argumente nochmal ganz
grundlegend dar. Jennifer Daskal spricht

sich so ein bisschen für eine Deterritorialisierung
von Daten aus, und Martin Böse hat ein

sehr umfangreiches Gutachten über die
E-Evidenzverordnungen, die geplante,

geschrieben. Man begegnet auch
strafrechtlichem Terror ganz häufig der

Forderung, dass eigentlich alles
verfolgbar sein müsse ohne Einschränkungen

und die Verhältnismäßigkeit eigentlich
ziemlich grundlegendes rechtsstaatliches

Prinzip. Also, sich mal zu überlegen, wenn
ich jetzt diese gesetzliche Maßnahme

implementiere, welche negativen Folgen hat
das noch? Sie wird in vielen politischen

Diskursen über Strafrechtsverschärfungen
eigentlich nicht so richtig gehört.

Ich denke, es ist einigermaßen deutlich
geworden, dass gerade auch außenpolitische

Interessenlagen und Leerläufe in der
in der internationalen

Zusammenarbeit in Strafsachen irgendwie
Aktionsräume für politische Opposition

bilden können. Also gerade Fälle in den
Staaten nicht miteinander

zusammenarbeiten, sei es die Situationen,
in denen Personen vielleicht sogar Asyl

finden können oder in denen einfach Daten
nicht herausgegeben werden. Ich denke,

wenn sogar ehemalige Geheimdienstleute
davor warnen, Gesetzen extraterritoriale

Wirkungen zukommen zu lassen, dann lässt
sich eigentlich erkennen, dass selbst wenn

man jetzt eine maximale Strafverfolgung
befürworten würde, diese vermeintlichen

Lösungen nicht so richtig zu Ende gedacht
sind. Ob wir mit diesen Tendenzen jetzt am

Ende zu einem Netz von internationalen
Herausgabeverpflichtung wirklich kommen

werden oder ob man relativ schnell zu
Situationen kommt, in den Staaten merken,

eigentlich passt uns das hier überhaupt
nicht, dass jetzt dieses Land Daten von

unserem Anbieter heraus verlangt und das
System uns dann eher über dem Kopf

zusammenbrechen wird. Das kann ich nicht
so richtig vorhersehen. Wenn man

tatsächlich die Strafverfolgung so ein
Stück weit effektiv und unter

Berücksichtigung von Grundrechtsschutz
verbessern will, dann müsste man wohl oder

übel die MLAT-Verfahren verbessern. Man
müsste in der EU die europäische

Ermittlungs Anordnung, die es seit 2014
gibt und deren Umsetzungfrist erst 2017

abgelaufen ist, sozusagen ein Stück weit
erst mal evaluieren und dann schauen, wo

man verbessern kann. Aber so auf die
Schnelle sozusagen solche Befugnisse

einzuführen, die ziemlich weitgehende
Konsequenzen im internationalen Bereich

haben können, halte ich eher für eine sehr
problematische Herangehensweise. Genau das

wars erst einmal von mir. Wenn ihr
die Arbeit der DGS gut findet, wenn ihr

wollt, dass wir weiterhin aufklären,
offene Briefe schreiben und so weiter,

dann freuen wir uns auf jeden Fall, wenn
ihr Spenden möchtet, Fördermitglieder

werdet oder euch auch mal bei uns meldet,
gerne mal beim netzpolitischen Abend in

Berlin vorbeischaut. Ja, danke!

Applaus

Herald: Ja, und jetzt haben wir noch ein
wenig Zeit für Fragen, die ihr habt.

Hier gibt es drei Mikrofone im Saal. Bitte
stellt euch da hin. Damit ich sehen kann,

wer Fragen hat. Ansonsten frage ich, wie
immer einfach erst mal das Internet. Gibt

es aus dem Internet Fragen? Nein, das ist
ja ein first time, sozusagen. Dann nehmen

wir hier mal bitte Micro 2. Deine Frage
bitte kurz und knackig.

Mic 2: Hallo und Dankeschön! Kannst du was
zum Richtervorbehalt sagen? Aktuell und

nach der Verordnung, wenn sie so in Kraft tritt?
Niekranz: Also von der E-Evidenz Verordnung

gibts ja gerade drei Versionen, eine von
Kommission und Rat und die vom Parlament

ist sozusagen als solche noch nicht
fertig. In dem Entwurf, den Birgit Sippel

vorgelegt hat und der möglicherweise den
natürlichen Maßstab bietet, in dem man

jetzt anknüpfen kann für eine mögliche
Parlamentsversion, steht drin, dass eine

unabhängige Behörde sein muss. Das heißt,
dass zumindest für Deutschland nach dem

EuGH-Urteil zum Internationalen zum
europäischen Haftbefehl, dass tatsächlich

Richter auch das sein müssen, weil
Staatsanwälte in Deutschland nicht

unabhängig sind, sondern weisungsgebunden.
Sozusagen in der Situation, in der der

Zielstaat diese Anordnung kontrolliert. In
den Versionen von Kommission und Rat

gibt es einen Richtervorbehalt, allerdings
nur sehr eingeschränkt, und zwar für

empfindlichere Datenkategorien. Das wären
sozusagen Inhaltsdaten und ich meine für

Transaktionsdaten. Für Bestandsdaten gilt
das allerdings nicht.

Herald: Dankeschön. Mikro eins, bitte die
Frage.

Mic 1: Mich würde interessieren, wenn es
jetzt ein Konflikt gibt zwischen der EU-

DSGVO und der E-Evidenzverordnung. Wie das
ausgehen könnte und welche Institution

diesen Konflikt dann bereinigen wird.
Niekranz: Den Konflikt, den es derzeit

gibt. Ich weiß nicht, ob du diesen vielleicht
meintest, der spielt sozusagen sich zwischen dem

Cloud Act und der DSGVO ab. Meinst du das?
Mic 1: Das meinte ich. Und, gesetzt der Fall,

es kommt diese E-Evidenz-Verordnung, und
jemand stellt fest: Das ist ja gar nicht

DSGVO-kompatibel. Was passiert jetzt?
Niekranz: Ok, also erstmal zur Cloud-Act-

E-Evidenz-Situation. Faktisch ist es so,
dass ich als Anbieter, wenn ich eine

Herausgabe-Anordnung aus den USA bekomme,
dort zunächst mal den größeren

Handlungsdruck hab. Mir ist ehrlich gesagt
nicht bekannt, ob es schon Fälle gegeben

hat, in denen Anbieter DSGVO-widrig
Daten an die USA herausgegeben haben. Ich

gehe aber davon aus, dass das der Fall
ist. Ich habe noch nicht gehört, dass

daraufhin europäische Behörden irgendwie
aktiv geworden seien, ein Bußgeld verhängt

hätten oder so... Wenn man ein Bußgeld
verhängen wollte, müsste man ein

Stück weit sicherlich berücksichtigen, dass
die Anbieter sich in so einer

Normkonfliktsituation befinden und, ich
sage mal, nicht so richtig böswillig

gehandelt haben. Ich denke, da die
europäischen Datenschutzbehörden mit

relativ vielen problematischen Fragen
beschäftigt sind, ist es so ein Stück weit

zweitrangig eher. Wie die E-Evidenz gegen
die DSGVO verstößen könnte. Zu einem

richtigen Normkonflikt kann ich jetzt so nicht
sagen, weil sich der Konflikt, den ich mit

dem Cloud Act meine, dann ergibt, wenn man
Daten aus der EU in ein anderes Land, in

einen Drittstaat transferiert. Und diese
Befugnis sieht die E-Evidenz zunächst mal

nicht vor.
Herald: Okay, dann wars das leider auch

schon mit den Fragen. Es tut mir leid, ihr hier
vorne wartet... Ihr könnt ja Elisabeth

Niekrenz : auch gleich nochmal ansprechen. Und
ansonsten? Die digitale Gesellschaft ist

ja hier auch auf dem Kongress präsent. In
diesem Sinne noch einmal herzlichen Dank

und einen warmen Applaus für Elisabeth
Niekrenz.

Applaus

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2020. Mach mit und hilf uns!