Zusammenfassung

  • Article 9 des Second Additional Protocol erlaubt der 24/7-Kontaktstelle einer Vertragspartei, eine andere Vertragspartei um sofortige Hilfe bei der Beschaffung bestimmter gespeicherter Daten von einem Anbieter in deren Hoheitsgebiet zu bitten, ohne zuvor ein Rechtshilfeersuchen vorzubereiten.
  • Die ersuchte Vertragspartei prüft, ob ein Notfall vorliegt, und veranlasst die Schritte gegenüber dem Anbieter nach ihrem nationalen Recht. Article 14 verlangt zusätzlich Nachweise darüber, wie personenbezogene Daten in einem konkreten Fall abgerufen, verwendet und weitergegeben wurden. Das Eingangsformular deckt diese spätere Kontrolle nicht ab.

Ein gemeinsames Formular klärt den Einstieg

Die Plenarseite des Cybercrime Convention Committee (T-CY) beim Council of Europe führt T-CY(2026)9 als Muster für ein beschleunigtes Ersuchen um Offenlegung gespeicherter Computerdaten in einem Notfall nach Article 9 des Second Additional Protocol. Daneben stehen Muster für Article 6 bis 8. Ein gemeinsames Format hilft, die ersten Angaben zu strukturieren. Es ersetzt weder den Vertrag noch schafft es eine eigenständige grenzüberschreitende Anordnungsbefugnis.

Article 9 ermöglicht es der 24/7-Kontaktstelle einer Vertragspartei, über die Kontaktstelle einer anderen Vertragspartei sofortige Unterstützung für den Zugriff auf bestimmte gespeicherte Daten bei einem Anbieter im Hoheitsgebiet des ersuchten Staates zu beantragen. Ein Rechtshilfeersuchen muss nicht vorher ausgearbeitet werden. Der Mechanismus gilt, vorbehaltlich seiner Ausnahmen, zwischen Staaten, die sowohl Vertragsparteien der Budapest Convention als auch des Protokolls sind, und für bestimmte strafrechtliche Ermittlungen oder Verfahren. Eine veröffentlichte Vorlage macht ihn nicht universell verfügbar.

Ein Notfall ist enger definiert als allgemeiner Zeitdruck: Er setzt ein erhebliches und unmittelbar bevorstehendes Risiko für das Leben oder die Sicherheit einer natürlichen Person voraus. Die Gefahr des Beweismittelverlusts oder die Dringlichkeit einer Ermittlung genügt für sich genommen nicht. Das Ersuchen muss außerdem den Bezug der verlangten Daten zum Risiko erklären. Das Formular kann diese Begründung erleichtern, die rechtliche Bewertung übernimmt es nicht.

Übermittlung und Entscheidung haben verschiedene Träger

Mehrere Akteure erfüllen unterschiedliche Aufgaben. Die zuständige ersuchende Behörde bestimmt den Ermittlungsbedarf und die Daten. Ihre 24/7-Kontaktstelle übermittelt die Anfrage. Die ersuchte Vertragspartei beurteilt, ob die Notfalldefinition erfüllt ist. Ihre national zuständigen Behörden wenden sich nach nationalem Recht an den Anbieter, nehmen die Antwort entgegen und geben sie an die ersuchende Vertragspartei weiter. Die Kontaktstelle verbindet Staaten; sie macht eine ausländische Anfrage nicht zu einer unmittelbaren Anordnung an den Anbieter.

Das Ersuchen muss die zuständige Behörde und das Datum nennen, die Grundlage im Protokoll angeben, den Anbieter bezeichnen, Straftat, einschlägige nationale Vorschriften und Strafrahmen aufführen sowie ausreichende Tatsachen für den Notfall und den Zusammenhang zwischen Gefahr und Daten darlegen. Die angeforderten Daten sind genau zu beschreiben. Verfahrenshinweise und ergänzende Informationen können hinzukommen. Elektronische Anfragen müssen angenommen werden; die ersuchte Partei darf angemessene Authentifizierungs- und Sicherheitsanforderungen stellen.

Die ersuchte Partei teilt ihre Einschätzung zügig mit und nennt gegebenenfalls Bedingungen für die Datenübermittlung oder andere verfügbare Formen der Zusammenarbeit. Kann die ersuchende Partei eine Bedingung nicht erfüllen, muss sie dies unverzüglich mitteilen. Danach entscheidet die ersuchte Partei, ob sie die Daten dennoch bereitstellt. Akzeptiert die ersuchende Partei eine Bedingung, ist sie daran gebunden. Schnelle Kommunikation verschiebt also nicht die Entscheidungsbefugnis des Staates, der die Anfrage ausführt.

Mit der Lieferung beginnt eine weitere Rechenschaftspflicht

Das Muster hält fest, was zu Beginn bekannt ist: Wer fragt an, welches Risiko wird geltend gemacht, welcher Anbieter verfügt über die Daten und welche Daten werden benötigt? Nach der Übermittlung stellen sich andere Fragen: Wer hat auf die Daten zugegriffen, wofür wurden sie verwendet, wurden sie weitergegeben und wie lange blieben sie gespeichert?

Article 13 unterwirft die Begründung, Umsetzung und Ausübung der Befugnisse aus dem Protokoll innerstaatlichen Bedingungen und Garantien, die Menschenrechte und Freiheiten angemessen schützen. Article 14 enthält Schutzvorgaben für empfangene personenbezogene Daten. Absatz 8 verlangt von jeder Vertragspartei Aufzeichnungen oder andere geeignete Mittel, mit denen sich für einen konkreten Fall nachweisen lässt, wie auf Daten einer Person zugegriffen wurde, wie sie verwendet und wie sie offengelegt wurden. Ein vollständiges Antragsformular belegt nicht die spätere Verarbeitung.

Article 14 betrifft außerdem Zweckbindung, Speicher- und Überprüfungsfristen, Empfängerkategorien sowie Rechte auf Auskunft, Berichtigung und Rechtsschutz. Individuelle Benachrichtigungen können nach den im Vertrag vorgesehenen Bedingungen und dem anwendbaren Recht beschränkt werden. Wenn eine Mitteilung während laufender Ermittlungen nicht möglich ist, muss die spätere Kontrolle trotzdem auf belastbare Aufzeichnungen zurückgreifen können.

Als Umsetzungsoption bietet sich eine stabile Fallkennung an, die Anfrage, Notfallprüfung, nationale Maßnahme beim Anbieter, Antwort, Bedingungen sowie spätere Zugriffe und Offenlegungen verbindet. Das Protokoll schreibt diese Kennung nicht als Pflichtfeld des Musters vor; sie ist eine organisatorische Empfehlung für durchgängige Zurechenbarkeit. Die Unterlagen sollten kenntlich machen, wer die Tatsachen geprüft, die Nachricht übermittelt, die nationale Befugnis ausgeübt und die Daten anschließend genutzt hat.

Article 10 bleibt ein eigener Eilweg

Article 10 sieht beschleunigte Rechtshilfe in einem Notfall vor. Der Erläuternde Bericht beschreibt, dass Article 9 die Vorbereitung und Übersetzung eines Rechtshilfeersuchens vermeiden und einen Austausch in Echtzeit über das 24/7-Netz ermöglichen kann. Article 10 kann andere Formen der Zusammenarbeit abdecken und die Beweismittelauthentifizierung erleichtern. Die Wahl hängt von Sachlage, rechtlichen Umständen und der Erfahrung der Vertragsparteien ab.

Deshalb sollte die Fallakte auch festhalten, warum ein Verfahren gewählt und gegebenenfalls gewechselt wurde. Wenn die benötigte Hilfe über bestimmte gespeicherte Daten eines Anbieters hinausgeht, kann Article 10 geeigneter sein. Die erste Beschleunigung darf den Übergang nicht unsichtbar machen.

Berichte zur Umsetzung zeigen unterschiedliche nationale Ausgangslagen. Bei einem CyberSPEX-Workshop in Bukarest im Mai 2026 schilderten Praktiker aus EU-Mitgliedstaaten, dass manche Staaten Polizeibeamte oder spezialisierte Staatsanwaltschaften an ihren 24/7-Kontaktstellen ermächtigen konnten. Andere Teilnehmer sahen Bedarf für Gesetzesänderungen. Diskutiert wurden außerdem die Reaktionsfähigkeit der Anbieter, insbesondere kleinerer Anbieter, und das Fehlen einer einheitlichen Pflicht zur schnellen Reaktion vor der nationalen Umsetzung.

Das sind auf einem Workshop berichtete Herausforderungen, kein Nachweis eines Verstoßes eines bestimmten Staates oder Unternehmens.

Der Anwendungsbereich hängt auch von der Vertragsbeteiligung ab. Die Seite des Second Additional Protocol beim Council of Europe zeigte in ihrer letzten sichtbaren Aktualisierung vom 15. April 2026 insgesamt 52 Unterzeichner und vier ratifizierende Staaten. Nach Article 2 gilt das Instrument zwischen Parteien beider Verträge. Eine gemeinsame Vorlage erleichtert die Vorbereitung, erweitert aber nicht automatisch den Kreis der Beteiligten.

Die Legitimität zeigt sich in der späteren Rekonstruktion

Leistung lässt sich nicht nur an der Zeit zwischen Anfrage und Antwort messen. Nach dem unmittelbaren Risiko muss sich rekonstruieren lassen, wer den Schwellenwert geprüft hat, warum gerade diese Daten notwendig waren, welche Behörde den Anbieter kontaktierte, welche Bedingungen galten und wer später auf die Daten zugegriffen oder sie weitergegeben hat.

Das T-CY-Muster ordnet den ersten Austausch. Die nationale Umsetzung muss ihn mit der innerstaatlichen Zuständigkeitsverteilung und den Aufzeichnungen nach Article 14 verbinden. Aggregierte, angemessen geschützte Angaben zu Fallzahlen, Bearbeitungszeiten, Bedingungen, Verfahrenswechseln und späteren Prüfungen können zeigen, ob die Standardisierung die Praxis verbessert. Vergleichbar sind solche Angaben nur bei gemeinsamen Definitionen und ohne Offenlegung einzelner Verfahren.

Bei einer erheblichen und unmittelbar bevorstehenden Gefahr für Leben oder Sicherheit ist ein schneller Weg begründet. Seine Legitimität hängt jedoch davon ab, dass nach dem Notfall ein durchgehender Nachweis von der Tatsachengrundlage über die Entscheidung und die Anbieterreaktion bis zur späteren Nutzung sowie zu anwendbaren Benachrichtigungs- und Rechtsschutzschritten besteht. Article 9 beschleunigt die Anfrage; Article 13 und 14 halten Schutz und Rechenschaft im selben Ablauf.

Quellen