Key facts of the case:
A claim was brought to the Constitutional Court stating that the Telecommunications Act 2003 is unconstitutional and violates the rights enshrined in Art. 7, 8, 11 and 12 CFR. According to the complaint, the Act seriously encroaches on fundamental rights through the ordered storage obligation of the providers of public communication services and the access to this data (information) by security and law enforcement authorities. The applicant claims lack of proportionality of the regulations in view of the range of the interference, the circle and the type of data concerned and the consequent severity of the interference with the right to informational self-determination, as well as that information is not only intended to investigate serious crimes.
Outcome of the case:
In the federal law, with which a telecommunications law is enacted (telecommunications law 2003 - TKG 2003), BGBl I No. 70/2003 in the version BGBl I No. 27/2011 , the following provisions are repealed as unconstitutional:
- §92 Abs3 Z6b;
- in §93 (3) the phrase "including inventory data";
- in §94 Paragraph 1 the phrase "including information about inventory data";
- in §94 (2) the phrase "including information about inventory data";
- in §94 (4) the word sequences "including the transmission of stock data," and "and the more detailed provisions regarding the storage of the logs prepared in accordance with §102c";
- in section 98 (2) the phrase "even if this requires access to stored data stored in accordance with section 102a (3) Z6 litd";
- in §99 Paragraph 5 Z2 the word sequence ", even if this was stored as stock data according to §102a Paragraph 2 Z1, Paragraph 3 Z6 lita and b or §102a Paragraph 4 Z1, 2, 3 and 5 at the latest six months before the request,";
- in §99 Abs5 Z3 the phrase ", even if this requires access to stored data according to §102a Abs3 Z6 litd";
- in §99 Abs5 Z4 the word sequences "also" and "as stock data according to §102a Abs2 Z1 or §102a Abs4 Z1, 2, 3 and 5";
- §102a;
- §102b;
- §102c paragraph 2, 3 and 6;
- in §109 paragraph 3 Z22, 23, 24, 25 and 26.
II. §134 Z2a and §135 Abs2a of the Code of Criminal Procedure 1975 (StPO), BGBl No. 631, as amended by BGBl I No. 33/2011 , are revoked as unconstitutional.
III. The Federal Law on the Organization of Security Administration and the Exercise of the Security Police (Security Police Act - SPG), BGBl No. 566/1991 , repeals the following provisions:
- In §53 Abs3a Z3 in the version BGBl I No. 33/2011 , the phrase "even if it is necessary for the use of stock data according to §99 Abs5 Z4 in conjunction with §102a TKG 2003,";
- in §53 Paragraph 3b in the version of Federal Law Gazette I No. 13/2012 , the phrase ", even if the use of stock data in accordance with §99 Paragraph 5 Z3 in conjunction with §102a TKG 2003 is necessary,".
2.2.7. Also Art. 7 and 8 CFR are to be considered as benchmarks in this proceedings to review a legislative act. As the Constitutional Court stated in its request for a preliminary ruling in VfSlg 19.072/2002 following its previous jurisprudence (VfSlg 19.632/20129) the rights of the CFR in the are of competence of the CFR (Art. 51 (1) CFR) form benchmarks in the procedures to check norms, especially in procedures according to Art. 139 and Art. 140 Constitutional Act (Bundes Verfassungsgestz, B-VG).
This is true in any case where the guarantees of the CFR in their formulation and certainty are similar to constitutionally safeguarded rights of the Austria constitution. Legal norms transforming a Directive, are anyhow a case of executing Union law (VfSlg 19.632/2012). Even as the Data Retention Directive now is declared as being invalid, the norms announced in BGBl U 27/2011, were norms transforming Union law, as they were in the area of compentenc of Directive 2002/58/EC and were released naming its Art. 15 (1). If the legislator, using its scope of implementation when transposing Union law, creates norms, which apart from the CFR also touch (other) constitutionally safgeuarded law, the Constittuional Court decides upon the basis of this law, if it has the same scope of application as the law of the CFR (VfSlg 19.632/2012) and when the limitations for the allowed interventions of the legislator in those constitutionally safeguarded rights is narrower or at least not wider as in the corresponding rights of the CFR. This is assumed for Art. 8 ECHR and § 1 Data Protection Act 2000 (Datenschutzgesetz 2000, DSG 2000). 2.2.8.1. Art. 8 ECHR determines the interpretation of Art. 7 CFR in such a way, that it –according to the explanations to Art. 7 – is corresponding and therefore has “the same meaning and range” as it (Art. 52 (3) CFR, in this understanding also the references to the jurisprudence of th ECtHR in the judgement of the Court of the European Union in “Digital Rights Ireland and Seitlinger et al, Rz 35, 47, 54f). 2.2.9. According to jurisprudence of the Constitutional Court it follows from this rule, that stricter standards have to be applied regarding the proportionality of interferences with the right to data protection according to § 1 DSG 2000, as those stemming from Art. 8 ECHR (VfSlg 16.369/2001; 18.643/2008). This level of protection remains untouched by the CFR also in those cases, where the legislator has a margin of appreciation when implementing Union law (see Art. 53 CFR). Against this background the challenged norms are to be measured against the norms of the constitutional law, namely § 1 DSG 2000 and Art. 8 ECHR. […]Legal limitations of the right to data protection have to be proportionate in weighing the gravity of the interference and the weight of the goal to be reached (see also Art. 8 together with Art. 52 (1) CFR and Court of the European Union “Digital Rights Ireland and Seitlinger et al, Rz 38, 47, 69 as well as ECtHR 4.12.2008 [GK], case S. and Marper, Appl. 30.562/04, EuGRZ 2009, 299). Such laws may only allow the use of data, which is especially worthy of protection, only to guarantee important public interests and in the same time have to determine proportionate guarantees for the protection of interest of confidentiality of the persons affected (§ 1 (2) second sentence DSG 2000). 2.3.10. The norms regarding data retention, including the rules on provision of information on stored data in the criminal procedures act and in the security police act are foreseen for reaching the goals mentioned in Art. 8 (2) ECHR, namely keeping up public order and the protection of rights and freedoms of others. Furthermore the legislator could arguably act on the assumption, that rules on data retention are suitable in an abstract way to reach this goal (see also Court of the European Union, Digital Rights Ireland und Seitlinger ua., Rz 44 und 49 on Art7 und 8 GRC). 2.3.14.7. In its order for reference VfSlg 19.702/2012 to the Court of the European Union, the Constitutional Court referenced clearly to the higher risk of misuse, which is linked to data retention, because of the high amount of telecommunication service providers and therefore of actors obliged to safe data a non-manageable circle of persons has access to such data, which has to be saved for at least for six months. The Court of Justice of the European Union came to the conclusion (Digital Rights Ireland and Seitlinger, et al, Rz 66) that Art. 8 CFR has the consequence, that guarantees have to be established, that the stored data is effectively protected against risks of misues and undue access as well as unjustified usage. The same condition is valid for Art. 8 ECHR and § 1 DSG 2000.
2.2.7. Auch die Art7 und 8 GRC kommen in diesem Gesetzesprüfungsverfahren als Maßstab in Betracht. Wie der Verfassungsgerichtshof im Vorabentscheidungsersuchen VfSlg 19.702/2012 im Anschluss an seine Vorjudikatur dargelegt hat (VfSlg 19.632/2012), bilden die von der GRC garantierten Rechte im Anwendungsbereich der GRC (Art51 Abs1 GRC) einen Prüfungsmaßstab in Verfahren der Normenkontrolle, insbesondere in Verfahren nach Art139 und 140 B-VG. Dies gilt jedenfalls dann, wenn die betreffende Garantie der GRC in ihrer Formulierung und Bestimmtheit verfassungsgesetzlich gewährleisteten Rechten der österreichischen Bundesverfassung gleicht. Gesetzliche Regelungen, die in Umsetzung einer Richtlinie ergingen, bilden jedenfalls einen Fall der Durchführung des Unionsrechts (VfSlg 19.632/2012). Auch wenn die Vorratsdatenspeicherungsrichtlinie nunmehr (mit Wirkung ex tunc) für ungültig erklärt wurde, ergingen die angefochtenen Bestimmungen – insbesondere jene, die mit BGBl I 27/2011 kundgemacht wurden – schon allein deshalb in Durchführung des Rechts der Union, weil sie im Anwendungsbereich der RL 2002/58/EG und namentlich ihres Art15 Abs1 erlassen wurden. 2.2.8. Wenn der Gesetzgeber in Wahrnehmung seines Umsetzungsspielraums bei der Durchführung von Unionsrecht Regelungen schafft, die neben einem Grundrecht der GRC auch ein (anderes) verfassungsgesetzlich gewährleistetes Recht berühren, entscheidet der Verfassungsgerichtshof auf der Grundlage dieses Rechts, wenn es den gleichen Anwendungsbereich wie das Recht der GRC hat (VfSlg 19.632/2012) und wenn die Grenzen für zulässige Eingriffe des Gesetzgebers in die verfassungsgesetzlich gewährleisteten Rechten enger oder wenigstens nicht weiter gezogen sind als in den korrespondierenden Rechten der GRC. Davon ist sowohl für Art8 EMRK als auch für §1 DSG 2000 auszugehen: 2.2.8.1. Art8 EMRK bestimmt die Auslegung des Art7 GRC dergestalt, dass er ihm ausweislich der Erläuterungen zu Art7 GRC "entspricht" und folglich die "gleiche Bedeutung und Tragweite" wie dieser hat (Art52 Abs3 GRC, in diesem Sinne auch die Hinweise auf die Rechtsprechung des Europäischen Gerichtshofes für Menschenrechte im Urteil des Gerichtshofes der Europäischen Union, Digital Rights Ireland und Seitlinger ua., Rz 35, 47, 54 f.). 2.2.9. Nach der Rechtsprechung des Verfassungsgerichtshofes folgt aus dieser Regelung, dass an die Verhältnismäßigkeit des Eingriffs in das Grundrecht auf Datenschutz nach §1 DSG 2000 ein strengerer Maßstab angelegt werden muss, als er sich bereits aus Art8 EMRK ergibt (VfSlg 16.369/2001, 18.643/2008). Dieses Schutzniveau bleibt von der GRC auch in jenen Fällen unangetastet, in denen der Gesetzgeber über einen Spielraum in Durchführung des Unionsrechts verfügt (vgl. Art53 GRC; siehe schon oben 2.2.6). Vor diesem Hintergrund sind die angefochtenen Bestimmungen am Maßstab des Bundesverfassungsrechts, und zwar des §1 DSG 2000 und des Art8 EMRK, zu messen. […]Gesetzliche Beschränkungen des Grundrechts auf Datenschutz müssen in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit ihnen verfolgten Ziele verhältnismäßig sein (vgl. auch Art8 iVm Art52 Abs1 GRC und EuGH, Digital Rights Ireland und Seitlinger ua., Rz 38, 47, 69 sowie EGMR 4.12.2008 [GK], Fall S. und Marper, Appl. 30.562/04, EuGRZ 2009, 299 [Z101]). Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen (§1 Abs2 zweiter Satz DSG 2000). 2.3.10. Die Vorschriften betreffend die Vorratsdatenspeicherung einschließlich der Bestimmungen über die Erteilung von Auskünften über Vorratsdaten in der StPO und im SPG dienen der Erreichung von in Art8 Abs2 EMRK genannten Zielen, nämlich insbesondere der Aufrechterhaltung der öffentlichen Ruhe und Ordnung und dem Schutz der Rechte und Freiheiten anderer. Auch konnte der Gesetzgeber im Rahmen seines Beurteilungsspielraums vertretbarerweise davon ausgehen, dass Regelungen über eine Vorratsdatenspeicherung zur Erreichung dieser Ziele abstrakt geeignet sind (vgl. auch EuGH, Digital Rights Ireland und Seitlinger ua., Rz 44 und 49 zu Art7 und 8 GRC). 2.3.14.7. Der Verfassungsgerichtshof hat in seinem Vorlagebeschluss VfSlg 19.702/2012 an den Gerichtshof der Europäischen Union explizit auf das erhöhte Risiko des Missbrauchs hingewiesen, das mit der Vorratsdatenspeicherung verbunden ist, weil angesichts der Vielzahl der Anbieter von Telekommunikationsdienstleistungen und damit von Speicherungsverpflichteten ein nicht überblickbarer Kreis von Personen Zugriff auf solche auf Vorrat für mindestens sechs Monate zu speichernde Verkehrsdaten hat. Der Gerichtshof der Europäischen Union kam zum Ergebnis (EuGH, Digital Rights Ireland und Seitlinger ua., Rz 66), dass Art8 GRC zur Folge hat, dass Garantien dafür geschaffen werden müssen, dass die auf Vorrat gespeicherten Daten wirksam vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu ihnen und jeder unberechtigten Nutzung geschützt sind. Dasselbe Erfordernis besteht nach Art8 EMRK und §1 DSG 2000.