// HEISE ONLINE — INTELLIGENZA ARTIFICIALE
Auslegungssache 166: Datenherausgabe auf Zuruf?
Neue EU-Regeln erlauben Ermittlern, Daten direkt bei Anbietern im Ausland anzufordern. Wir diskutieren über kurze Fristen und Risiken für Grundrechte.
Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden.
Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden.
Mehr dazu in unserer
Datenschutzerklärung.
Seit dem 18. August gilt in der EU die E-Evidence-Verordnung (EEVO). Sie soll Ermittlungen über Ländergrenzen hinweg beschleunigen. Behörden können sich nun direkt an Diensteanbieter in anderen EU-Staaten wenden und verlangen, dass diese Daten zu Tatverdächtigen herausgeben oder sichern. Langwierige staatliche Rechtshilfe soll dadurch in vielen Fällen entfallen.
Die Regeln erfassen weit mehr als große Telekommunikations- und Internetkonzerne. Auch Hosting- und Cloud-Dienste, E-Mail-Anbieter, Domain-Verwalter, soziale Netzwerke und Betreiber von Foren können von Strafverfolgern angefragt werden. Sie müssen sich bei einem EU-Portal registrieren. Selbst Anbieter außerhalb der EU müssen mitmachen, wenn sie ihre Dienste in Europa anbieten, und eine bevollmächtigte Stelle in der EU melden.
In Episode 166 des c't-Datenschutz-Podcasts Auslegungssache diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich die Folgen mit dem Rechtsanwalt Thomas Rickert. Er arbeitet vor allem zu Datenschutz- und IT-Themen und ist Geschäftsführer der Legal-Tech-Plattform EviGate, die Unternehmen bei der Bearbeitung solcher Anfragen unterstützt.
Besonders kritisch sehen die Gesprächspartner die knappen Fristen. Für gewöhnliche Herausgaben bleiben zehn Tage. Droht Gefahr für Leib und Leben oder für wichtige Infrastruktur, müssen Anbieter innerhalb von acht Stunden reagieren, auch nachts oder am Wochenende. Daten müssen sie auf Aufforderung unverzüglich sichern. Dafür brauchen sie laut Rickert eigentlich geschulte Beschäftigte. Im Unternehmen müssen Zuständigkeiten für solche Fälle geregelt sein, außerdem der technische Zugriff auf verschiedene Systeme.
Wer sich nicht registriert oder eine Anfrage falsch bearbeitet, riskiert hohe Bußgelder. Je nach Verstoß können bis zu 500.000 Euro fällig werden. Bei Unternehmen mit mehr als 25 Millionen Euro Jahresumsatz kann die Sanktion auf zwei Prozent des weltweiten Jahresumsatzes steigen. Der Druck könnte Anbieter dazu verleiten, Daten vorschnell herauszugeben, statt eine Anfrage sorgfältig zu prüfen.
Hinzu kommt ein grundlegendes Problem: Bei Eilanfragen müssen Anbieter wie erwähnt Daten unter Umständen schon nach acht Stunden liefern, während die zuständige Behörde im eigenen Land bis zu 96 Stunden für Einwände hat. Dann sind die Informationen längst übermittelt. Das kann Journalisten, Ärzte, Rechtsanwälte und deren Kontaktpersonen gefährden. Anbieter dürfen zwar auf mögliche Verletzungen vertraulicher Kommunikation hinweisen, die Herausgabe aber nicht ohne Weiteres verweigern.
Die Runde erkennt den Nutzen schnellerer Ermittlungen bei Terrorismus, Menschenhandel, Kindesmissbrauch oder Cyberkriminalität an. Dennoch überträgt das neue E-Evidence-System einen erheblichen Teil der Prüfung auf private Anbieter, die weder vollständige Ermittlungsakten erhalten noch ausreichend Expertise haben. Das Fazit fällt deshalb skeptisch aus: E-Evidence kann Strafverfolgung beschleunigen, schafft aber zugleich großes Missbrauchspotenzial und setzt den Schutz vertraulicher Daten unter Druck.