Norway.
§ 100 Meinungsfreiheit. EWR innen, EU außen. Die Absicherung, die real ist.

Sektion 100 der Grunnloven (Norwegische Verfassung, datiert 17. Mai 1814) wurde durch die Änderungen von 2004 substantiell reformiert und liest sich nun als eine der expansiveren Pressefreiheits-Klauseln in Europa. Absatz 1 erklärt „Es soll Meinungsfreiheit geben." Absatz 2 verbietet Prior Restraint und Nach-Veröffentlichungs-Haftung außer in engen, gesetzlich definierten Fällen, die selbst in einer freien Gesellschaft gerechtfertigt sein müssen. Absatz 4 kodifiziert das Recht auf Zugang zu Dokumenten des Staates und der Kommunen. Absatz 6 erlegt staatlichen Behörden eine positive Verpflichtung auf, Bedingungen zu schaffen, die offenen und informierten öffentlichen Diskurs erleichtern. Die Reform von 2004 wurde von einer parlamentarischen Kommission (der Ytringsfrihetskommisjonen) formuliert und wird im Allgemeinen als Verfassungsverankerung einer positiven Pflicht des Staates gelesen, freie Meinungsäußerung zu unterstützen, nicht nur zu tolerieren.

Norwegen ist Mitglied des Europäischen Wirtschaftsraums (EWR), aber nicht der Europäischen Union. GDPR (Verordnung (EU) 2016/679) gilt in Norwegen durch Beschluss 154/2018 des EWR-Gemeinsamen Ausschusses, der sie in Anhang XI des EWR-Abkommens eingliederte; sie wird inländisch durch Personopplysningsloven (LOV-2018-06-15-38) umgesetzt. Die substantiellen Pflichten sind identisch mit denen eines EU-basierten Anbieters: Artikel-5-Minimierung, Artikel-17-Löschung, das vollständige GDPR-Rechte-Regime. Der strukturelle Unterschied ist jurisdiktionell: Norwegische Gerichte interpretieren GDPR durch den EFTA-Gerichtshof (Homogenitätsprinzip) statt durch direkte Vorabentscheidungs-Vorlagen an den Gerichtshof der Europäischen Union (CJEU). In der Praxis verfolgt der EFTA-Gerichtshof CJEU-Urteile genau, aber er ist institutionell unterschiedlich, und das norwegische Höchstgericht (Høyesterett) behält endgültige Interpretationsautorität.

Das ist der strukturelle Vorteil, bei dem präzise zu sein lohnt. Das EU-e-Evidence-Paket (Verordnung (EU) 2023/1543 und die begleitende Richtlinie) schafft Europäische Produktions- und Aufbewahrungsanordnungen, die ein Mitgliedstaat einem Dienstanbieter in einem anderen Mitgliedstaat direkt zustellen kann, mit vergleichsweise kurzen Antwortfenstern. Norwegen ist kein EU-Mitgliedstaat und ist nicht Vertragspartei von e-Evidence. Grenzüberschreitende Anfragen an einen Server in Oslo gehen daher durch die älteren, langsameren, gerichtlich überwachten Kanäle: das EU-MLA-Übereinkommen von 2000 (Norwegen ist über Schengen assoziiert), Europarats-Instrumente oder bilaterale MLATs. Keines davon ist so schnell oder so direkt wie e-Evidence. Es ist keine Unsichtbarkeit; es ist Verfahrens-Reibung.

Datatilsynet ist die norwegische Datenschutzbehörde mit Sitz in Oslo. Sie wird in veröffentlichten Umfragen konsistent unter den durchsetzungsstärkeren europäischen DSBs eingeordnet (insbesondere die jährlichen Durchsetzungsberichte von EDRi). Jüngste hochkarätige Aktionen umfassen das Grindr-Bußgeld (2021, NOK 65M wegen unrechtmäßiger Einwilligungs-Handhabung), die Meta-Verhaltenswerbungs-Entscheidung (2023, die zur vorübergehenden Aussetzung der Verhaltenswerbung auf Facebook und Instagram im gesamten EU/EWR über das EDPB-Dringlichkeitsverfahren führte) und fortlaufende Durchsetzung gegen biometrische Übergriffe. Für einen Kunden bedeutet das, dass GDPR-Rechte nicht nur per Vertrag inkorporiert sind — sie werden aktiv von einem Regulator mit veröffentlichter Handlungsbereitschaft durchgesetzt.

Politiets sikkerhetstjeneste (PST) ist der Norwegische Polizei-Sicherheitsdienst, die inländische Sicherheits- und Spionageabwehr-Behörde. Etterretningstjenesten (E-tjenesten) ist der ausländische militärische Geheimdienst. PST operiert unter dem Polizeigesetz und dem Zivil-Geheimdienst-Gesetz von 2016 mit parlamentarischer Aufsicht durch das EOS-Komitee. Das Geheimdienst-Gesetz von 2020 (etterretningstjenesteloven) gab E-tjenesten neue Befugnisse zur Massensammlung grenzüberschreitenden Verkehrs — diese waren Gegenstand einer 2021er Anfechtung beim Europäischen Gerichtshof für Menschenrechte, die verfahrensrechtliche Mängel fand; das norwegische Parlament verabschiedete 2023 Änderungen, um sie zu adressieren. Das aktuelle Regime zielt auf Terrorismus- und Spionageabwehr bei grenzüberschreitenden Flüssen, nicht auf gewöhnliche Hosting-Kunden; wie anderswo ist keine Gerichtsbarkeit ein Ersatz für Verschlüsselung auf Anwendungsebene gegen einen staatlichen Gegner.

Das ist eine aktive Debatte, bei der zu ehrlich zu sein lohnt. Norwegen implementierte die EU-Datenspeicherungs-Richtlinie (2006/24/EG) 2011, setzte sie aber aus, bevor sie in Kraft trat, nachdem das CJEU-Urteil Digital Rights Ireland (2014) die Richtlinie aufhob. Seit 2022 gab es periodische Vorschläge des Justizministeriums, eine gezielte IP-Adressen-Aufbewahrung für Ermittlungen schwerer Straftaten wieder einzuführen. Zum Datum dieses Artikels gilt keine allgemeine Aufbewahrungspflicht für Hosting-Anbieter in Norwegen. NordBastion unterliegt keiner Massen-Aufbewahrung; wir behalten nur, was operativ notwendig ist, nach den im Transparenzbericht veröffentlichten Zeitplänen. Sollte sich die Rechtslage materiell ändern, wird der Warrant Canary das widerspiegeln.

Norwegen ist seit 1949 NATO-Gründungsmitglied und beherbergt erhebliche alliierte Infrastruktur. NATO-Mitgliedschaft schafft an sich keine grenzüberschreitenden Rechtsverfahrens-Verpflichtungen gegen Hosting-Kunden; sie operiert auf den militärischen und Geheimdienst-Schichten, nicht in der gewöhnlichen Rechtsverfahrens-Pipeline, die ein Osloer Rechenzentrum erreicht. Die ehrliche Rahmung ist dieselbe wie für SÄPO in Schweden oder Supo in Finnland: Signalaufklärungs-Kooperation existiert, sie ist durch inländisches Gesetz und parlamentarische Aufsicht eingeschränkt, und sie ist nicht das alltägliche Risiko, dem eine gewöhnliche Hosting-Arbeitslast gegenübersteht — aber sie ist ein realer Teil des Bildes, wenn die Arbeitslast wirklich staatliche Gegner anzieht.

Nur durch eine norwegische gerichtliche Anordnung, für eine benannte Person, für Daten, die wir tatsächlich halten — und diese Schnittmenge ist per Design eng. Das norwegische Strafprozessgesetz (Straffeprosessloven) verlangt gerichtliche Aufsicht für Produktionsanordnungen. Das norwegische Medienhaftungsgesetz (Lov om redaksjonell uavhengighet og ansvar i redaktørstyrte journalistiske medier, 2020) und Strafprozessgesetz § 125 schaffen ein starkes Quellenschutz-Privileg für Journalisten und redaktionelle Mitarbeiter. Für gewöhnliche Hosting-Kunden ist die bindende Grenze das, was nicht existiert: Wir sammeln bei der Anmeldung keine Identität, wir halten keine Zahlungskartendaten, und Infrastruktur-Logs werden nach der veröffentlichten Rotation gehalten. Was nicht existiert, kann nicht erzwungen werden.

Nach dem EWR-Homogenitätsprinzip (Artikel 6 EWR, Artikel 3 ESA-Gerichtsabkommen) ist der EFTA-Gerichtshof verpflichtet, das in den EWR übernommene EU-Recht im Einklang mit EuGH-Urteilen auszulegen — sowohl solchen, die vor dem EWR-Abkommen ergangen sind, als auch in der Praxis solchen, die danach ergangen sind. Das post-Schrems-II-Umfeld ist der aktuelle Testfall: EuGH-Urteile zur Angemessenheit von Datenübermittlungen (Schrems II, C-311/18, 2020; Meta v. Bundeskartellamt, C-252/21, 2023) fließen über die EFTA-Gerichtsauslegung in norwegisches Recht ein, aber norwegische Gerichte haben einen zusätzlichen Verfahrensschritt, bei dem die Exekutive prinzipiell EWR-Vorbehalte geltend machen kann. In der Praxis geschieht dies im Datenschutzrecht selten; es wird der Vollständigkeit halber erwähnt.