Regelungen im Datenschutz: Keine Abfrage ins Blaue

Das Bundesverfassungsgericht fordert Nachbesserungen am Gesetz zur Bestandsdatenauskunft. Kleinere Vergehen sind kein Anlass dafür.

Bundesverfassungsgericht, Schild

Setzt dem Datenabfragen Grenzen: Das Bundesverfassungsgericht Foto: Uli Deck/dpa

FREIBURG taz Der Gesetzgeber muss die Datenabfrage der Sicherheitsbehörden bei Internet- und Telefonprovidern etwas erschweren. Das hat das Bundesverfassungsgericht jetzt auf die Klage der Bürgerrechtler Patrick Breyer und Katharina Nocun entschieden. Das Bestandsdatengesetz von 2012 sei weitgehend verfassungswidrig.

Die Klage betraf die sogenannten Bestandsdaten der Internet- und Telefonkunden. Gemeint sind insbesondere Name und Anschrift, mit denen die Kunden identifiziert werden. Oft hat die Polizei nur die Telefonnummer, die E-Mail-Adresse oder die IP-Adresse eines Verdächtigen und will wissen, welche reale Person dahinter steckt. Dann macht sie eine Bestandsdaten-Abfrage.

Die Bestandsdaten der Telefonkunden werden jährlich millionenfach im automatisierten Verfahren bei der Bundesnetzagentur abgefragt. Beim Bundesverfassungsgericht ging es aber um die so genannte manuelle Abfrage. Hier fragen die Sicherheitsbehörden direkt die Internet- und Telefonprovider nach Informationen, die der Netzagentur nicht vorliegen. So können nur die Internetprovider mitteilen, wem sie zu einem bestimmten Zeitpunkt eine IP-Adresse für Aktivitäten im Internet zugewiesen haben. Es geht hier um einige zehntausend Abfragen im Jahr, insbesondere im Bereich Kinderpornografie.

Das Bundesverfassungsgericht hatte die Regeln zur Bestandsdatenauskunft bereits 2012 beanstandet. Auch damals war Patrick Breyer der Kläger. In diesem Beschluss erfanden die Richter das Doppeltür-Prinzip. Für eine Abfrage seien jeweils zwei gesetzliche Regelungen erforderlich. Die erste Regelung betrifft die Übermittlung der Daten durch den Provider (Tür 1), die zweite Regelung den Abruf der Daten durch die Sicherheitsbehörden (Tür 2).

Beschwerde schon 2013

Der Gesetz­geber versuchte, das neue Konzept 2013 im Gesetz zur Neuregelung der Bestandsdatenauskunft umzusetzen. Auch gegen dieses erhob Patrick Breyer, der inzwischen Europaabgeordneter der Piraten ist, Verfassungsbeschwerde. Mitklägerin ist Katharina Nocun, damals Bundesgeschäftsführerin der Piraten, heute Buchautorin („Fake Facts“). Unterstützt wurde ihre Sammelklage von 5.827 BürgerInnen. Die Klage hatte Erfolg.

Das Bundesverfassungsgericht entschied nun, dass der Bundestag die Vorgaben von 2012 nicht korrekt umgesetzt hat. Sowohl die Übermittlungsvorschrift im Telekommunikationsgesetz (Tür 1) als auch die Abrufvorschriften in den Gesetzen der Sicherheitsbehörden (Tür 2) seien unverhältnismäßige Eingriffe in das Recht auf informationelle Selbstbestimmung. Betroffen sind die Gesetze für sechs Sicherheitsbehörden, unter anderem Bundeskriminalamt, Bundespolizei und Bundesamt für Verfassungsschutz.

„Eingriffsschwellen“ gefordert

In den Gesetzen fehlten vor allem spezifische „Eingriffsschwellen“, so die Richter in Karlsruhe. Eine Abfrage „ins Blaue hinein“ dürfe nicht zulässig sein. So müsse bei der Abfrage von Passwörtern belegt werden, dass eine Berechtigung zur Nutzung der Daten (etwa eines E-Mail-Postfachs) besteht. Bei der Zuordnung von IP-Adressen müsse ein „hervorgehobenes Rechtsgut“ geschützt werden. Nicht jede kleine Ordnungswidrigkeit könne eine Abfrage rechtfertigen.

Der Bundestag muss die Vorschriften bis zum Jahresende 2021 nachbessern. Patrick Breyer war nur mäßig zufrieden. Er hatte auf einen generellen Richtervorbehalt gehofft und auf eine Beschränkung des Abrufs auf schwere Straftaten und Gefahren. (Az.: 1 BvR 1873/13).

Einmal zahlen
.

Fehler auf taz.de entdeckt?

Wir freuen uns über eine Mail an fehlerhinweis@taz.de!

Inhaltliches Feedback?

Gerne als Leser*innenkommentar unter dem Text auf taz.de oder über das Kontaktformular.

Bitte registrieren Sie sich und halten Sie sich an unsere Netiquette.

Haben Sie Probleme beim Kommentieren oder Registrieren?

Dann mailen Sie uns bitte an kommune@taz.de.