Unterabteilung Europa Ausarbeitung Seite 11
Fachbereich Europa PE 6 - 3000 - 010/21

der Kommunikation einschließt.” Art. 8 der Charta gewährleistet den Schutz personenbezogener
Daten. Nach Art. 8 Abs. 2 der Charta dürfen „[dliese Daten [...| nur nach Treu und Glauben für
festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen
gesetzlich geregelten legitimen Grundlage verarbeitet werden.“ Zudem hat jede Person das Recht,
Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten
zu erwirken. Nach Art. 8 Abs. 3 der Charta ist die Einhaltung dessen von einer unabhängigen
Stelle zu überwachen.

Den oben dargestellten Urteilen des EuGH vom 6. Oktober 2020 und vom 6. Oktober 2015 lassen
sich (verallgemeinerungsfähige) Maßstäbe, die es bei Eingriffen in diese Grundrechte zu beachten
gilt, entnehmen. Zwar ging es in diesen Urteilen um nationale Regelungen, die am Maßstab des
unionalen Sekundärrechts zu messen waren. Da dieses jedoch der Umsetzung der Art. 7 und 8
der Charta diente und der EuGH die entsprechenden Vorschriften im Lichte der Grundrechte
auslegte, dürften sich diese Maßstäbe insoweit übertragen lassen. Sofern der EuGH sich bei den
Regelungen, die eine automatisierte Datenanalyse vorsehen, auf terroristische Aktivitäten
bezieht, dürften die aufgestellten Anforderungen wohl erst recht auch für entsprechende
Regelungen zur Aufdeckung des sexuellen Missbrauchs von Kindern gelten.

Der Einsatz von Technik, die den Inhalt elektronischer Kommunikation auf sexuellen
Kindesmissbrauch durchsucht und diesen an weitere Akteure meldet, stellt einen Eingriffin die
Rechte aus Art. 7 und 8 der Charta dar. Nach Art. 52 Abs. 1 der Charta sind Einschränkungen
der Ausübung dieser Rechte zulässig, sofern sie gesetzlich vorgesehen sind und den
Wesensgehalt dieser Rechte achten.” Dabei müssen sie unter Wahrung des Grundsatzes der
Verhältnismäßigkeit erforderlich sein und den von der Union anerkannten, dem Gemeinwohl
dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten
anderer tatsächlich entsprechen.”® Der vorliegende Verordnungsvorschlag dient der Bekämpfung
des sexuellen Missbrauchs von Kindern, welcher als eine besonders schwere Straftat einzustufen
ist und dessen Bekämpfung eine Priorität der EU darstellt.”” Zum Schutz von Kindern können
sich zudem aus Art. 7 der Charta auch positive Verpflichtungen der Behörden ergeben.” Der
EuGH verlangt, dass die verfolgte, dem Gemeinwohl dienende Zielsetzung in angemessenem
Verhältnis zur Schwere des Eingriffs steht.”' Zudem „muss eine Regelung klare und präzise
Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und

23 Vgl. auch COM(2020) 568 final, S. 5.

” Eu6H, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Rn. 121.

28 EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Rn. 121.

2» Vgl. COM(2020) 568 final, S. 1.

so Vgl. EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18. C-512/18 und C-520/18, Rn. 126.

” EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Rn, 131.

Unterabteilung Europa Ausarbeitung Seite 12
Fachbereich Europa PE 6 - 3000 - 010/21

 

Mindesterfordernisse aufstellen, so dass die Personen, deren personenbezogene Daten betroffen
sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor
Missbrauchsrisiken ermöglichen“.?” Sie muss „insbesondere Angaben dazu enthalten, unter
welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung
solcher Daten vorsieht, getroffen werden darf, damit gewährleistet ist, dass sich der Eingriff auf
das absolut Notwendige beschränkt“.

Den aus einer automatisierten Analyse resultierenden Eingriff stuft der EuGH als besonders
schwerwiegend ein, sofern diese sich — wie vorliegend - allgemein und unterschiedslos auf die
Daten der Nutzer elektronischer Kommunikationsmittel erstreckt. Dies gilt nach dem EuGH
umso mehr, als sich den Daten, die Gegenstand der automatisierten Analyse sind, die Art der im
Internet konsultierten Informationen entnehmen lässt.” Letzteres dürfte die nach Art. 3 des
Verordnungsvorschlags zugelassene Technik ebenfalls ermöglichen. Schwer wiegt zudern, dass
eine solche Analyse bei sämtlichen Nutzern erfolgt, also auch bei Personen, bei denen keinerlei
Anhaltspunkt dafür besteht, dass ihr Verhalten in einem auch nur mittelbaren oder entfernten
Zusammenhang mit dem sexuellen Missbrauch von Kindern stehen könnte.

Die im Voraus festgelegten Modelle und Kriterien, auf denen diese Art der Datenverarbeitung
beruht, müssen zum einen spezifisch und zuverlässig sein, so dass sie zu Ergebnissen führen, die
es ermöglichen, Personen zu identifizieren, gegen die ein begründeter Verdacht der Beteiligung
am sexuellen Missbrauch von Kindern bestehen könnte, und dürfen zum anderen nicht
diskriminierend sein.” Aufgrund einer zu erwartenden Fehlerquote muss jedes durch eine
automatisierte Verarbeitung gewonnene positive Ergebnis individuell mit nicht automatisierten
Mitteln überprüft werden, bevor eine individuelle Maßnahme mit nachteiligen Auswirkungen
auf die betreffenden Personen getroffen wird.” Die Zuverlässigkeit und Aktualität dieser Modelle
und Kriterien sowie der verwendeten Datenbanken muss zudem regelmäßig überprüft werden.”

Die Ausführungen des EuGH zur automatisierten Datenanalyse beziehen sich auf Situationen, „in
denen sich ein Mitgliedstaat einer als real und aktuell oder vorhersehbar einzustufenden ernsten
Bedrohung für die nationale Sicherheit gegenübersieht““". Die Schwere und Aktualität der Gefahr

 

32 EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Rn. 132; Vgl. auch EuGH, Urt. v. 6.10.2015.
Rs. C-362/14, Rn. 9. \

3 EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Rn. 132.
u Vgl. EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Rn. 174.
35 Vgl. EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Rn. 174.

36 Vgl. EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Ro. 174 für einen Zusammenhang mit
terroristischen Aktivitäten.

97 Vgl. EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-512/18 und C-520/18, Rn. 180 für terroristische Aktivitäten.
3 Vgl. EuGH, Urt. v. 6.10.2020, verb. Rs. G-511/18, C-512/18 und C-520/18, Rn. 182.
” Vgl. EuGH, Urt. v. 6.10.2020, verb. Rs. C-511/18, C-51 2/18 und C-520/18, Rn. 182.

“ EuGH. Urt. v. 6.10.2020, verb. Rs. G-511/18, C-512/18 und C-520/18, 2. Entscheidungsgrund, 1. Spiegelstrich.

Unterabteilung Europa Ausarbeitung Seite 13
Fachbereich Europa PE 6 - 3000 - 010/21

 

 

in solchen Situationen dürften über die dauerhaft gegebene Gefahr des sexuellen Missbrauchs an
Kindern hinausgehen, sodass schon zweifelhaft sein dürfte, ob der EuGH seine Maßstäbe
entsprechend übertragen oder höhere aufstellen würde.

Art. 3 Satz 1 lit. a) des Verordnungsvorschlags legt fest, dass die Verarbeitung verhältnismäßig
sein und auf die bewährte, bereits eingesetzte Technik beschränkt bleiben muss, dem Stand der
Technik in der Branche entsprechen muss und am wenigsten in die Privatsphäre eingreift. Art. 3
lit. b) des Verordnungsvorschlags verlangt, dass die verwendete Technik hinreichend zuverlässig
ist, indem sie die Fehlerquote gering hält und bei gelegentlich auftretenden Fehlern deren Folgen
unverzüglich berichtigt. Nach Art. 3 lit. c) des Verordnungsvorschlags muss die zur Aufdeckung
von Kontaktaufnahmen zu Kindern verwendete Technik auf die Verwendung geeigneter
Indikatoren wie Schlüsselwörter und objektiv ermittelte Risikofaktoren wie Altersunterschiede
beschränkt sein und das Recht auf Überprüfung durch einen Menschen wahren. Art. 3 Satz 1

lit. d) beschränkt die Verarbeitung auf das unbedingt erforderliche Maß und verlangt die
unverzügliche Löschung der Daten, wenn kein sexueller Missbrauch von Kindern im Internet
festgestellt wurde. Art. 3 Satz 1 lit. e) und Satz 2 des Verordnungsvorschlags legen
Berichtspflichten und Aufbewahrungserfordernisse fest.

Zweifelhaft erscheint, ob die einzusetzende Technik hinreichend präzisiert und die Verarbeitung
tatsächlich auf das absolut Notwendige beschränkt wird. Der Verordnungsvorschlag fordert
insoweit lediglich, dass „die Verarbeitung verhältnismäßig ist und auf’ bewährte Technik
beschränkt bleibt, [...], dem Stand der Technik in der Branche entspricht und am wenigsten in
die Privatsphäre eingreift“, ohne dies jedoch inhaltlich hinreichend auszugestalten.

Im Hinblick auf die durch den EuGH aufgestellten Anforderungen fehlt der Regelung des
Verordnungsvorschlags insbesondere das Erfordernis der individuell mit nicht automatisierten
Mitteln erfolgenden Überprüfung jedes durch eine automatisierte Verarbeitung gewonnenen
positiven Ergebnisses, bevor eine individuelle Maßnahme mit nachteiligen Auswirkungen auf die
betreffenden Personen getroffen wird. Der Vorschlag verlangt lediglich in Bezug auf die
Aufdeckung von Kontaktaufnahmen das Recht auf Überprüfung durch einen Menschen zu
wahren.

Dem nach der Rechtsprechung des EuGH als besonders schwer einzustufenden Eingriff in Art. 7
und 8 der Charta steht das Ziel der Bekämpfung einer besonders schweren Straftat gegenüber. Ob
der Verordnungsvorschlag die hohen Anforderungen des EuGH, die dieser in Bezug auf die
automatisierte Datenanalyse aufstellt, wahrt, erscheint zweifelhaft. Eine abschließende
Beurteilung bleibt dem EuGH vorbehalten.

Unterabteilung Europa Ausarbeitung Seite 14
Fachbereich Europa PE 6 - 3000 - 010/21

 

5. Zum künftigen EU-Rechtsakt

Hinsichtlich des künftigen Rechtsaktes heißt es: „Hierzu wird [die Kommission] unter anderem
die betreffenden Anbieter von Online-Diensten ab dem 2.Quartal 2021 dazu verpflichten,
bekanntes Material über sexuellen Kindesmissbrauch aufzudecken und den Behörden zu melden.
Die angekündigten Rechtsvorschriften sollen künftig diese Verordnung [COM(2020) 568 final]
ersetzen und verbindliche Maßnahmen zur Aufdeckung und Meldung von sexuellem Missbrauch
von Kindern einführen, um mehr Klarheit und Sicherheit für die Arbeit sowohl der
Strafverfolgungsbehörden als auch der einschlägigen Akteure des Privatsektors bei der
Bekämpfung von Missbrauch im Internet zu schaffen und gleichzeitig die Grundrechte der
Nutzer, insbesondere das Recht auf Meinungsfreiheit und freie Meinungsäußerung und auf den
Schutz der personenbezogenen Daten und der Privatsphäre zu gewährleisten und Mechanismen
zur Gewährleistung von Rechenschaftspflicht und Transparenz zu schaffen.”

Mangels konkreter Angaben zum Inhalt des künftigen Rechtsaktes lässt sich dessen Vereinbarkeit
insbesondere mit Art. 7,8 und 11 der Charta zum jetzigen Zeitpunkt nicht beurteilen.

6. Zusammenfassung

Es erscheint zweifelhaft, ob der Verordnungsvorschlag COM(2020) 568 final die hohen
Anforderungen, die der EuGH in Bezug auf Einschränkungen der Rechte aus Art. 7 und 8 der
Charta aufstellt, erfüllt. Dem EuGH bleibt eine verbindliche Entscheidung vorbehalten. Der

zukünftige Rechtsakt, den die Kommission für das 2. Quartal 2021 plant, lässt sich mangels
konkreter Angaben zum jetzigen Zeitpunkt nicht beurteilen.

- Fachbereich Europa -

“3 Vgl. COM(2020) 568 final, S. 1, 2.