Ein drittes belgisches Gesetz fällt, aus einem neuen Grund
Am 3. September 2026 legte Generalanwalt Maciej Szpunar sein Gutachten in der Rechtssache C-661/24 vor und empfahl dem Gerichtshof der Europäischen Union, Belgiens Vorratsdatenspeicherungsgesetz von 2022 zu kippen. Es ist das dritte belgische Vorratsdatenspeicherungsgesetz in Folge, das vor dem EuGH scheitert: Die EU-weite Vorratsdatenspeicherungsrichtlinie fiel 2014, ein zweites belgisches Gesetz fiel nach dem La-Quadrature-du-Net-Urteil des Gerichtshofs von 2020, und dieser Ersatz von 2022 steht nun vor demselben Schicksal.
Das Gesetz von 2022 verpflichtete Kommunikationsanbieter, Identifikations-, Verkehrs- und Standortdaten für jeden Nutzer zu speichern, mit dem Ziel, Cyberkriminalität, Netzwerksicherheitsverletzungen und Online-Betrug zu bekämpfen. Szpunar stellte fest, dass es einen besonders breiten Datensatz erfasst, ohne Speichermethoden vorzuschreiben, die die verschiedenen Kategorien wirklich getrennt halten, was seiner Ansicht nach den Eingriff in die Grundrechte unverhältnismäßig macht.
Der eigentlich entscheidende Test: lückenlose Trennung
Der Grund, warum dieses Gutachten weiter reicht als eine routinemäßige Aufhebung, ist der Maßstab, den Szpunar für eine bestandsfähige Regelung vorschlägt. Er argumentiert, Staaten dürften eine breitere Palette an Verkehrs- und Standortdaten wahllos speichern, nicht nur IP-Adressen, solange technische Kontrollen die Kategorien getrennt halten, bis eine Rechtsgrundlage für ihre Zusammenführung besteht, und nennt diese Trennung die Bedingung für Verhältnismäßigkeit, nicht die Menge der erhobenen Daten.
Er rahmt dies teils als Antwort darauf, wie Cyberkriminalität tatsächlich funktioniert: internetgestützte Straftaten benötigten die Metadatenspur zur Strafverfolgung, argumentiert er, weshalb pauschale Erhebungsverbote das Risiko systemischer Straflosigkeit für eine wachsende Deliktkategorie bergen.
Woher dieser Test eigentlich stammt
Szpunar erfindet den Trennungstest nicht aus dem Nichts. 2024 entschied der EuGH in einer separaten La-Quadrature-du-Net-Rechtssache, diesmal gegen Frankreichs Urheberrechtsdurchsetzungsregime gerichtet, dass die wahllose Erhebung und Speicherung von IP-Adressen und Kundenidentitätsdaten zulässig sei, selbst zur Bekämpfung von Straftaten unterhalb der Schwerkriminalitätsschwelle, solange die verschiedenen Metadatenkategorien getrennt bleiben, bis jemand eine Rechtsgrundlage für ihre Zusammenführung schafft.
Szpunars Gutachten bittet den Gerichtshof, genau diese Logik von IP-Adressen im Speziellen auf die breitere Palette an Verkehrs- und Standortdatentypen auszudehnen, die Belgiens Gesetz erfasst. Ein Dubliner Rechtsprofessor und langjähriger Vorsitzender von Digital Rights Ireland nannte es potenziell ein sehr wichtiges Gutachten, eines, das den EuGH einlädt, die Grundlage seiner gesamten Rechtsprechung zur Vorratsdatenspeicherung neu zu überdenken, ausgerichtet an Aufbewahrungs- und Zugriffskontrollen statt an der Erhebung selbst.
Nicht jeder liest das als Fortschritt
Digitalrechtsgruppen unter dem Dachverband European Digital Rights haben bereits signalisiert, dass sie jedes auf dieser Argumentation aufgebaute Regelwerk bekämpfen werden, mit dem Argument, wahllose Speicherung schaffe ihr eigenes Sicherheitsrisiko: Die Metadaten, die ein Staat zur Strafverfolgung speichert, sind auch Metadaten, die bei der nächsten Datenpanne verwundbar sind. Sie bestreiten zudem die Annahme, wahllose Speicherung senke tatsächlich die Kriminalität, und sagen, es gebe keinen wissenschaftlich belegten Zusammenhang zwischen beidem.
Szpunars Gutachten ist nur beratend. Der EuGH kann anders entscheiden, folgt jedoch laut Rechtsbeobachtern, die den Fall verfolgen, in den meisten Fällen den Gutachten seiner Generalanwälte.
Wie es weitergeht, und die Tabelle, die das Muster zeigt
Die Europäische Kommission bereitet still neue EU-weite Regeln vor, um die längst tote Vorratsdatenspeicherungsrichtlinie zu ersetzen, hat dazu eine Folgenabschätzung und eine öffentliche Konsultation durchgeführt und versprochen, bis 2027 Maßnahmen für die grenzüberschreitende rechtmäßige Überwachung zu prüfen. Ein EuGH-Urteil, das Szpunars Gutachten folgt, würde diesem Entwurfsprozess ein grünes Licht für breitere Speicherung geben, das er zuvor nicht eindeutig hatte. Jedes Unternehmen, das Kommunikationsmetadaten unter einem EU-Speichermandat verarbeitet, sollte dieses Gutachten als ersten Hinweis darauf behandeln, wohin sich dieser Rahmen entwickelt, Monate bevor ein endgültiges Urteil oder ein Kommissionsvorschlag existiert.
| Jahr | Urteil oder Gutachten | Wirkung |
|---|---|---|
| 2014 | EU-Vorratsdatenspeicherungsrichtlinie gekippt | Pauschale Speicherung von sechs bis 24 Monaten als Massenüberwachung eingestuft |
| 2020 | La Quadrature du Net (Belgien) | Speicherung nur bei gezieltem Vorgehen mit echten Zugriffsschutzmaßnahmen erlaubt |
| 2022 | Belgiens drittes Speichergesetz | Breites Vorratsdatenspeicherungsgesetz verabschiedet, nun angefochten |
| 2024 | La Quadrature du Net (Frankreich, Urheberrecht) | Wahllose IP-Adressspeicherung erlaubt, sofern Kategorien getrennt bleiben |
| 2026 | Szpunar-Gutachten, Rechtssache C-661/24 | Schlägt Ausweitung des Trennungstests auf breitere Metadatentypen vor |
Servola Journal
Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.
Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was uns allen widerfährt, nicht davon abhängen sollte, wer es sich leisten kann.
Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.
Weiterlesen: Ein DSGVO-Bußgeld für Akten, die in einem Badezimmer verrotteten | Perplexitys lokaler KI-Modus ist keine DSGVO-Abkürzung
