Der manuelle Abruf und die Übermittlung von Bestandsdaten müssen gesetzlich neu geregelt werden. Das Bundesverfassungsgericht in Karlsruhe erklärte §113 des Telekommunikationsgesetzes (TKG) am Freitagmorgen für verwassungswidrig. Auch mehrere Fachgesetze des Bundes, die den Abruf der Daten durch die verschiedenen Behörden festlegen, sind nicht mit dem Grundgesetz vereinbar. Die Karlsruher Richter:innen sehen das Recht auf informationelle Selbstbestimmung und Wahrung des Telekommunikationsgeheimnisses verletzt.
Die Bürgerrechtlerin und Autorin Katharina Nocun und Patrick Breyer, Europaabgeordneter der Piraten-Partei, veranlassten die Klage 2013. Rund 6.000 Bürger:innen schlossen sich ihnen vor dem Bundesverfassungsgericht an.
Zu den Bestandsdaten zählen alle Daten, die Kund:innen ihren Telefon- und Internetprovidern im Zusammenhang mit den Verträgen übermitteln. Nach §111 TKG sind das beispielsweise Rufnummern und andere Anschlusskennungen oder Namen, Anschriften und Geburtsdaten.
Bestandsdaten: einen Grund für jede Abfrage
Auskünfte über diese Daten sind nicht grundsätzlich verfassungswidrig. Die gesetzlichen Regelungen genügen aber im Augenblick nicht den verfassungsrechtlichen Anforderungen. Das betrifft insbesondere die Verwendungszwecke der Daten. Diese seien nicht ausreichend eingegrenzt, so das Urteil aus Karlsruhe. Es müsse klar geregelt werden, welche Behörde bei welchen Anlässen welche Daten abfragen dürfte und wie die Daten dann genutzt würden. In der Urteilsbegründung heißt es:
Unzulässig ist es […], unabhängig von solchen Zweckbestimmungen einen Datenvorrat zu schaffen, dessen Nutzung je nach Bedarf und politischem Ermessen der späteren Entscheidung verschiedener staatlicher Instanzen überlassen bleibt. […]
Vielmehr bedarf es begrenzender Eingriffsschwellen, die sicherstellen, dass Auskünfte nur bei einem auf tatsächliche Anhaltspunkte gestützten Eingriffsanlass eingeholt werden können. Unzulässig ist die Schaffung eines offenen Datenvorrats für vielfältige und ohne äußeren Eingriffsanlass begrenzte Verwendungen im gesamten einer Behörde zugewiesenen Aufgabenbereich.
Das Gericht betonte auch, dass es für jede manuelle Abfrage im Einzelfall einen guten Grund geben muss. Daten flächendeckend abzugreifen und das mit den grundsätzlichen Aufgaben der Behörden bei Strafverfolgung und Gefahrenabwehr zu begründen, darf nicht erlaubt sein. Für jede Abfrage muss die Behörde eine konkrete Gefahr oder – für die Strafverfolgung – einen Anfangsverdacht haben. Außerdem sei es wichtig, sowohl die Übermittlung der Bestandsdaten als auch das Abfragen getrennt voneinander zu regeln.
Dynamische IP-Adressen und Richtervorbehalt
Zu manuellen Abfragen nach §113 sind derzeit alle Stellen berechtigt, die für die „Verfolgung von Straftaten und Ordnungswidrigkeiten“ oder die „Abwehr von Gefahren für die öffentliche Sicherheit oder Ordnung“ zuständig sind. Das sind beispielsweise das Bundeskriminalamt, die Bundespolizei und die Zollbehörden. Auch die Verfassungsschutzbehörden des Bundes und der Länder, der Militärische Abschirmdienst und der Bundesnachrichtendienst können die Bestandsdaten abfragen. An diesen Zuständigkeiten rüttelt das Bundesverfassungsgericht nicht, erklärt aber dennoch die jeweiligen Regelungen für die einzelnen Behörden in großen Teilen für verfassungswidrig, da diese den im Urteil formulierten Anforderungen nicht entsprechen.
Besonderen Augenmerk legte das Urteil auf die Abfrage dynamischer IP-Adressen. Diese lassen noch mehr Rückschlüsse auf die Person zu, so die Urteilsbegründung:
Die Begründung behördlicher Auskunftsansprüche zur Identifizierung dynamischer IP-Adressen hat aufgrund der Aussagekraft und der Verwendungsmöglichkeiten der zu beauskunftenden Bestandsdaten ein erhebliches Gewicht. Der Gesetzgeber wirkt damit auf die Kommunikationsbedingungen im Internet ein und begrenzt den Umfang ihrer Anonymität. Auf Grundlage der Zuordnung dynamischer IP-Adressen kann in Verbindung mit der anlasslosen und systematischen Speicherung von Internetzugangsdaten nach § 113b Abs. 3 TKG in weitem Umfang die Identität derjenigen ermittelt werden, die das Internet nutzen.
Um den erweiterten Möglichkeiten gerecht zu werden, die die Abfrage dynamischer IP-Adressen bereitstellt, fordert das Gericht hier, dass ein Rechtsgut beeinträchtigt sein muss, dem „von der Rechtsordnung auch sonst ein hervorgehobenes Gewicht beigemessen wird.“ Das könne auch „besonders gewichtige Ordnungswidrigkeiten“ einschließen. Welche Rechtsgüter bzw. Ordnungswidrigkeiten es rechtfertigen, die dynamischen IP-Adressen abzufragen, müsse der Gesetzgeber in der neuen Regelung festlegen. Außerdem müsse die Entscheidungsgrundlage einer solchen Abfrage dokumentiert werden.
Kritiker:innen der Bestandsdatenauskunft beklagen auch immer wieder den fehlenden Richtervorbehalt. Hier sieht das Bundesverfassungsgericht aber keinen Handlungsbedarf, weder bei allgemeinen Bestandsdaten als auch bei dynamischen IP-Adressen. Einzig die Erhebung von Zugangsdaten müsse richterlich genehmigt sein; dies sei ohnehin sichergestellt, da es ohnehin nur mit richterlicher Genehmigung erlaubt ist, diese Zugangsdaten wie PINs oder Passwörter zu nutzen. Für die Erhebung brauche es als keine gesonderte Genehmigung.
Erfolg für Bürgerrechtler:innen
Die Kläger:innen werten das Urteil als Erfolg für Datenschutz und Privatsphäre.
https://twitter.com/kattascha/status/1284080417260351488?s=20
Gegenüber netzpolitik.org sagte Nocun, dass sie und Breyer sich an einigen Stellen mehr gewünscht hätten, „etwa einen generellen Richtervorbehalt bei der Identifizierung von Internetnutzern anhand der IP-Adresse. […] Gerade vor dem Hintergrund wiederkehrender Datenmissbrauchskandale bei Polizei und Geheimdiensten braucht es strengere Vorgaben für die Identifizierung von Internetnutzern.“ Es brauche auf der politischen Ebene ein stärkeres Bewusstsein dafür, wie tiefgreifend der Eingriff in die Privatsphäre der Bürgerinnen und Bürger durch derartige Befugnisse sei, so die Bürgerrechtlerin. Der Gesetzgeber dürfe nicht immer den maximalen rechtlichen Spielraum ausnutzen.
Nocun betont in einem Tweet, dass man jetzt genau beobachten müsse, wie der Gesetzgeber das Urteil umsetze. Selbst wenn das Gesetz dann rechtlich nicht mehr angreifbar sei, müsse in der Zivilgesellschaft weiter diskutiert werden, ob es auch politisch angemessen sei.
Auch Patrick Breyer erklärt gegenüber netzpolitik.org, dass er und seine Mitstreiter:innen Bundesinnenminister Seehofer und Bundesjustizministerin Lambrecht bei der Neuregelung genau auf die Finger schauen würden.
Ich erwarte, dass die lange Umsetzungszeit dazu genutzt wird, um auch den völlig unverhältnismäßig weitreichenden Zugriff auf Bestands- und Nutzungsdaten von Internetdiensten einzudämmen, der mit dem neuen Gesetz zur „Hasskriminalität“ eingeführt worden ist.
Im Zweifelsfall würde er auch ein weiteres Mal nach Karlsruhe ziehen.
Keine Zahlen zu manueller Abfrage
Die Klage bezog sich ausschließlich auf die manuelle Abfrage von Bestandsdaten. Neben dieser direkten Abstimmung zwischen Behörden und Providern gibt es auch noch die automatisierte Abfrage über eine Schnittstelle der Bundesnetzagentur nach §112 TKG. Über diese Schnittstelle wurden 2019 insgesamt 16 Millionen Abfragen getätigt. An mehreren Tagen seien über 100.000 Ersuchen beantwortet worden. Hier muss noch nach der Richtung der Abfrage unterschieden werden. Ein Großteil der Anfragen sucht den Inhaber einer Telefonnummer, nur etwa 300.000 der Abfragen suchten die Telefonnummer einer bestimmten Person. Für die manuellen Abfragen, über die auch IP-Adressen weitergegeben werden können, gibt es keine zentrale Statistik. Aus einer Anfrage der Bundestagsabgeordneten Martina Renner (Die Linke) geht nur für den Verfassungsschutz eine Zahl hervor: 2018 habe das Bundesamt die Bestandsdaten für 2.915 IP-Adressen und 1.026 E‑Mail-Adressen abgefragt.
Im März 2013 hatte der Bundestag die Änderung des Telekommunikationsgesetzes mit den Stimmen der schwarz-gelben Koalition und der SPD beschlossen. Die Änderung war nötig, weil das Bundesverfassungsgericht 2012 die alten Regelungen aus dem Jahr 2004 teilweise für unvereinbar mit dem Grundgesetz erklärte. Am 1. Juli 2013 trat das neue Gesetz in Kraft. Das Gericht erwähnt in der aktuellen Urteilsbegründung explizit, dass die Änderungen, die der Gesetzgeber 2013 beschlossen hatte, den Anforderungen der Urteils von 2012 nicht entsprachen. Bis zum 31. Dezember 2021 bleibt dem Bundestag nun Zeit, einen neuen Gesetzesentwurf zu beschließen.