Polizei­be­fugnisse im BKA-Gesetz teilweise verfas­sungs­widrigBKA-Gesetz muss nachgebessert werden

Die Beschwer­de­füh­renden, darunter Rechts­an­wäl­tinnen, ein politischer Aktivist und Mitglieder der organisierten Fußball-Fanszene, wenden sich unter anderem gegen die Befugnis des BKA zur heimlichen Überwachung von Kontaktpersonen mit besonderen Mitteln zum Zweck der Terro­ris­mu­s­abwehr (§ 45 Abs. 1 Satz 1 Nr. 4 BKAG) und die Regelungen zur Weiter­ver­a­r­beitung bereits erhobener perso­nen­be­zogener Daten im Infor­ma­ti­o­ns­system des Bundes­kri­mi­nalamts (§ 16 Abs. 1 i.V.m. § 12 Abs. 1 Satz 1 BKAG) sowie im polizeilichen Infor­ma­ti­o­ns­verbund (§ 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 BKAG). Der polizeiliche Infor­ma­ti­o­ns­verbund ist eine gemeinsame föderale Datenplattform der Polizeibehörden des Bundes und der Länder zum Austausch von Daten.

Verfas­sungs­be­schwerde teilweise begründet

Die Verfassungsbeschwerde ist, soweit sie zulässig ist, teilweise begründet. Die angegriffenen Regelungen greifen in das Grundrecht der Beschwer­de­füh­renden auf informationelle Selbst­be­stimmung als Ausprägung des allgemeinen Persön­lich­keits­rechts aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG ein. Eingriffe in dieses Grundrecht bedürfen einer gesetzlichen Ermächtigung, die einen legitimen Gemeinwohlzweck verfolgt und für die Zweckerreichung geeignet, erforderlich und verhältnismäßig im engeren Sinne ist. Dabei ergeben sich aus dem Grundsatz der Verhält­nis­mä­ßigkeit im engeren Sinne spezielle Anforderungen. Wie streng diese im Einzelnen sind, bestimmt sich nach dem Eingriffs­gewicht der jeweiligen Befugnis zur Erhebung von oder dem weiteren Umgang mit perso­nen­be­zogenen Daten. Zur Konkretisierung der Recht­fer­ti­gungs­an­for­de­rungen sind deshalb die grundsätzlich verschiedenen, aber aufeinander bezogenen Grund­recht­s­ein­griffe zu unterscheiden. Vorliegend ist insbesondere zwischen der gesondert geregelten Datenerhebung sowie der unter dem Oberbegriff der Weiter­ver­a­r­beitung einheitlich normierten Speicherung perso­nen­be­zogener Daten und deren weiterer Nutzung zu differenzieren. Eine Verwendung zuvor erhobener Daten über den ursprünglichen Anlass hinaus begründet dabei einen neuen Grund­recht­s­eingriff und muss verfas­sungs­rechtlich eigens gerechtfertigt werden.

BVerfG bemängelt heimliche Überwachung von Kontaktpersonen

§ 45 Abs. 1 Satz 1 Nr. 4 BKAG genügt in seiner konkreten Ausgestaltung nicht diesen verfas­sungs­recht­lichen Anforderungen. Die Vorschrift ermächtigt das Bundes­kri­mi­nalamt zur heimlichen Überwachung von Kontaktpersonen mit besonderen Mitteln zum Zweck der Terro­ris­mu­s­abwehr. Die durch die Befugnisnorm gestatteten Eingriffe in das Grundrecht auf informationelle Selbst­be­stimmung können erhebliches Gewicht haben. Insbesondere wenn die Maßnahmen gebündelt durchgeführt werden und dabei darauf zielen, möglichst alle Äußerungen und Bewegungen zu erfassen und bildlich wie akustisch festzuhalten, können sie tief in die Privatsphäre eindringen und ein besonders schweres Eingriffs­gewicht erlangen. Die diesem Eingriffs­gewicht entsprechenden verfas­sungs­recht­lichen Anforderungen wahrt § 45 Abs. 1 Satz 1 Nr. 4 BKAG nicht. Die Vorschrift ist nicht zu vereinbaren mit den besonderen Anforderungen, die sich aus der Verhält­nis­mä­ßigkeit im engeren Sinne an die Rechtfertigung heimlicher Überwa­chungs­maß­nahmen der Polizei ergeben.

Diese Anforderungen richten sich sowohl an das mit der Datenerhebung zu schützende Rechtsgut als auch an die vorliegend allein gerügte sogenannte Eingriffs­schwelle, also den Anlass der Überwachung. Der Einsatz einer eingriff­sin­tensiven heimlichen Überwa­chungs­be­fugnis wie der vorliegenden setzt schon gegenüber der verant­wort­lichen Person eine wenigstens konkretisierte Gefahr für ein hinreichend gewichtiges Rechtsgut voraus. Sollen auch Kontaktpersonen aus dem Umfeld der verant­wort­lichen Person mit derartigen Mitteln überwacht werden, bedarf es einer hinzutretenden spezifischen individuellen Nähe der Betroffenen zu der aufzuklärenden Gefahr. Unabhängig davon ist Voraussetzung der Überwachung von Kontaktpersonen, dass jedenfalls eine Überwachung der verant­wort­lichen Person mit entsprechenden Mitteln zulässig wäre. Andernfalls fehlte es bereits an einer hinreichenden aufzuklärenden Gefahr. Diesen Anforderungen an die Eingriffs­schwelle genügt § 45 Abs. 1 Satz 1 Nr. 4 BKAG bereits hinsichtlich der notwendigen Gefahrnähe der in Bezug genommenen verant­wort­lichen Person nicht; erst recht darf deshalb eine nicht verantwortliche Kontaktperson nicht überwacht werden.

§ 45 Abs. 1 Satz 1 Nr. 4 BKAG erlaubt die Datenerhebung hinsichtlich einer Kontaktperson (§ 39 Abs. 2 Nr. 2 BKAG), wenn diese in einer spezifischen Nähebeziehung zu einer verant­wort­lichen Person steht und die Abwehr der Gefahr oder die Verhütung der Straftaten auf andere Weise aussichtslos ist oder wesentlich erschwert wäre. § 39 Abs. 2 Nr. 2 BKAG nimmt Bezug auf eine verantwortliche Person nach § 39 Abs. 2 Nr. 1 BKAG. Nach § 39 Abs. 2 Nr. 1 BKAG genügt für eine Erhebung perso­nen­be­zogener Daten, dass Tatsachen die Annahme rechtfertigen, dass diese Person „eine Straftat nach § 5 Absatz 1 Satz 2 begehen will und die erhobenen Daten zur Verhütung dieser Straftat erforderlich sind“. Damit bleiben die Anforderungen weit hinter den in § 45 Abs. 1 Satz 1 Nr. 1 bis 3 BKAG normierten Anforderungen für besondere Mittel der Datenerhebung bei verant­wort­lichen Personen zurück und sollen schon nach der gesetzlichen Konzeption nur für weniger eingriff­sin­tensive Erhebungen gelten. Eine für derart eingriff­sin­tensive Maßnahmen hinreichende Eingriffs­schwelle kann § 45 Abs. 1 Satz 1 Nr. 4 BKAG auch nicht im Wege der verfas­sungs­kon­formen Auslegung entnommen werden.

Eingriffs­be­fugnis wahrt verfas­sungs­recht­lichen Anforderungen an zweckwahrende Nutzung

Soweit die Verfas­sungs­be­schwerde sich gegen § 16 Abs. 1 BKAG wendet, bestehen keine durchgreifenden verfas­sungs­recht­lichen Bedenken gegen die Vorschrift. § 16 Abs. 1 BKAG ermächtigt das BKA zur Weiter­ver­a­r­beitung perso­nen­be­zogener Daten in seinem Infor­ma­ti­o­ns­system. Die Rüge bezieht sich allein auf die Weiter­ver­a­r­beitung perso­nen­be­zogener Daten, die das BKA zuvor mit besonders eingriff­sin­tensiven Mitteln (§ 45 Abs. 2 BKAG) erhoben hat und im Rahmen der Aufga­be­n­er­füllung zum Zweck der Terro­ris­mu­s­abwehr (§ 5 BKAG) verarbeitet. Gerügt ist nur die Weiter­ver­a­r­beitung der Daten im Rahmen ihrer ursprünglichen Zwecke (vgl. § 12 Abs. 1 Satz 1 BKAG). In diesem Umfang erlaubt § 16 Abs. 1 BKAG Eingriffe in das Grundrecht auf informationelle Selbst­be­stimmung von erheblichem Gewicht. Eingriffs­ver­stärkend wirkt, dass die verarbeiteten Daten zuvor mit eingriff­sin­tensiven Überwa­chungs­me­thoden erhoben wurden. Das Eingriffs­gewicht wird allerdings dadurch begrenzt, dass die Vorschrift allein die Weiter­ver­a­r­beitung der Daten im Rahmen ihrer ursprünglichen Zwecke ermöglicht.

Die verfas­sungs­recht­lichen Recht­fer­ti­gungs­an­for­de­rungen der Weiter­ver­a­r­beitung ergeben sich im Ausgangspunkt aus dem Gewicht der voraus­ge­gangenen Daten­er­he­bungs­ein­griffe; insoweit gelten die Grundsätze der Zweckbindung und Zweckänderung. Die jeweilige Eingriffs­grundlage bestimmt die zur Datenerhebung ermächtigte Behörde, den Zweck und die Bedingungen der Datenerhebung und definiert damit die erlaubte Verwendung. Die Zweckbindung der auf ihrer Grundlage gewonnenen Informationen bestimmt sich nach der Reichweite der Erhebungszwecke in der für die jeweilige Datenerhebung maßgeblichen Ermäch­ti­gungs­grundlage. Eine weitere Nutzung innerhalb der ursprünglichen Zwecksetzung kommt damit nur seitens derselben Behörde im Rahmen derselben Aufgabe und für den Schutz derselben Rechtsgüter in Betracht wie für die Datenerhebung maßgeblich.

Im Falle einer zweckwahrenden Weiter­ver­a­r­beitung sind die erhobenen Daten grundsätzlich zu löschen, nachdem der unmittelbare Anlassfall abgeschlossen und damit der der Erhebungs­maßnahme zugrun­de­liegende konkrete Zweck erfüllt ist. Ein Absehen von einer Löschung über den unmittelbaren Anlassfall hinaus kommt nur in Betracht, soweit sich aus den Daten – sei es aus ihnen selbst, sei es in Verbindung mit weiteren Kenntnissen der Behörde – zwischen­zeitlich ein konkreter Ermitt­lungs­ansatz ergeben hat und damit die Voraussetzungen einer zweckändernden Nutzung vorliegen. Die zweckwahrende Verarbeitung („weitere Nutzung“) perso­nen­be­zogener Daten, die zuvor mit besonders eingriff­sin­tensiven Mitteln des § 45 Abs. 2 BKAG erhoben worden sind, nach § 16 Abs. 1 i.V.m. § 12 Abs. 1 Satz 1 BKAG genügt in Zusammenschau mit den gesetzlichen Löschungs­vorgaben den verfas­sungs­recht­lichen Anforderungen. Die Eingriffs­be­fugnis wahrt die verfas­sungs­recht­lichen Anforderungen an eine zweckwahrende Nutzung. Die Vorgaben des § 12 Abs. 1 Satz 1 BKAG sichern neben der Identität der erhebenden und verarbeitenden Behörde (BKA, dass die Weiter­ver­a­r­beitung nur zur Erfüllung derselben Aufgabe und zum Schutz derselben Rechtsgüter oder zur Verfolgung oder Verhütung derselben Straftaten erfolgt.

Die verfas­sungs­recht­lichen Vorgaben werden auch gewahrt, soweit das BKA im Rahmen dieser gesetzlichen Vorgaben die zur Terro­ris­mu­s­abwehr erhobenen perso­nen­be­zogenen Daten so lange zweckwahrend weiter­ver­a­r­beiten kann, wie der der Datenerhebung zugrun­de­liegende konkrete Gefah­re­n­ab­wehr­vorgang noch nicht abgeschlossen ist. Auf diese Weise kann dem gewichtigen Bedürfnis einer effektiven Terro­ris­mu­s­abwehr durch eine adäquate Bestimmung des Zwecks der Maßnahme Rechnung getragen werden. Der Gesetzgeber hat durch Löschungs­vorgaben sichergestellt, dass bei einer Weiter­ver­a­r­beitung nach § 16 Abs. 1 i.V.m. § 12 Abs. 1 Satz 1 BKAG der Grundsatz der Zweckbindung gewahrt wird. Perso­nen­be­zogene Daten sind unverzüglich zu löschen, wenn ihre Kenntnis für die Aufga­be­n­er­füllung nicht mehr erforderlich ist beziehungsweise wenn sie zur Erfüllung des der Erhebungs­maßnahme zugrun­de­lie­genden Zwecks nicht mehr erforderlich sind (vgl. § 77 Abs. 1 Satz 1 BKAG, § 75 Abs. 2 Bundes­da­ten­schutz­gesetz und § 79 Abs. 1 Satz 1 BKAG). Dies genügt den verfas­sungs­recht­lichen Anforderungen. Der Grundsatz der Zweckwahrung wird durch § 79 Abs. 1 Satz 1 a.E. BKAG hinreichend gesichert. Danach sind die Daten ausdrücklich nur zu löschen, soweit keine Weiter­ver­a­r­beitung nach den Vorschriften des Abschnitts 2 Unterabschnitt 2 erfolgt, zu denen § 16 Abs. 1 BKAG gehört. Mit Blick auf die zweckwahrende weitere Verwendung der Daten kommt ein Absehen von einer Löschung nach Erfüllung des der Erhebungs­maßnahme zugrun­de­lie­genden konkreten Zwecks nur insoweit in Betracht, als sich aus den Daten konkrete Ermitt­lungs­ansätze für die Abwehr von Gefahren des internationalen Terrorismus ergeben.

Speiche­rungs­be­fugnis erlaubt Eingriffe in das Grundrecht auf informationelle Selbst­be­stimmung von erheblichem Gewicht

§ 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1, soweit dieser in Verbindung mit § 13 Abs. 3, § 29 BKAG die Speicherung zuvor erhobener perso­nen­be­zogener Grunddaten durch das BKA im polizeilichen Infor­ma­ti­o­ns­verbund erlaubt, genügt nicht den verfas­sungs­recht­lichen Anforderungen. Hier zur Prüfung steht nur die Bereitstellung der Daten im polizeilichen Infor­ma­ti­o­ns­verbund, nicht aber der Zugriff auf diese Daten. Nicht gegenständlich ist die Weiter­ver­a­r­beitung mittels Wohnrau­m­über­wachung oder Online-Durchsuchung gewonnener perso­nen­be­zogener Daten. Die durch § 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 BKAG eröffnete Speiche­rungs­be­fugnis erlaubt Eingriffe in das Grundrecht auf informationelle Selbst­be­stimmung von erheblichem Gewicht. Eingriff­sin­ten­si­vierend wirkt sich aus, dass die vorsorgende Speicherung regelhaft eine zweckändernde Weiter­ver­a­r­beitung darstellt. Denn in den meisten Fällen werden perso­nen­be­zogene Daten zum Zweck der Verhütung und Verfolgung von Straftaten gespeichert, die ursprünglich zu anderen konkreten Zwecken erhoben worden sind. Die Speicherung hat vorliegend auch mit Blick auf die Herkunft der perso­nen­be­zogenen Daten ein erhöhtes Eingriffs­gewicht, soweit diese zuvor mittels besonders eingriff­sin­tensiver Überwa­chungs­maß­nahmen erhoben worden sind. Aufgrund der Heimlichkeit der vorsorgenden Speicherung ist die Erlangung nachträglichen Rechtsschutzes erheblich eingeschränkt, was das Eingriffs­gewicht erhöht. Mit Blick auf Art und Umfang der zu speichernden perso­nen­be­zogenen Daten wird das Eingriffs­gewicht durch die Vorgaben in § 18 Abs. 2 Nr. 1 BKAG beschränkt. Gespeichert werden können im gerügten Umfang von Beschuldigten nur Grunddaten (insbesondere Name, Geschlecht, Geburtsdatum, Geburtsort, Staats­an­ge­hö­rigkeit und Anschrift) und bestimmte tatvor­wurfs­be­zogene Informationen. Diesen Daten kommt eine nicht unerhebliche, aber beschränkt bleibende Persön­lich­keits­re­levanz zu. Für die Beurteilung der Eingriff­sin­tensität zu gewichten sind auch die weitreichenden Verwen­dungs­mög­lich­keiten der gespeicherten Daten durch eine Vielzahl von Behörden (vgl. § 29 Abs. 3 BKAG). Neben der Auswertung durch das BKA und einer entsprechenden Unterrichtung der Straf­ver­fol­gungs­be­hörden kann die Weiter­ver­a­r­beitung auch auf eine Kooperation im Rahmen des polizeilichen Infor­ma­ti­o­ns­verbunds gerichtet sein. Im Rahmen dieses Datenaustauschs erhalten weitere Sicher­heits­be­hörden auf einen mitunter erheblichen Teil der perso­nen­be­zogenen Daten Zugriff. Die erleichterten Zugriffs­mög­lich­keiten erhöhen die Eingriff­sin­tensität.

Angesichts dieses erheblichen Eingriffs­ge­wichts wahrt § 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 i.V.m. § 13 Abs. 3, § 29 BKAG nicht die verfas­sungs­recht­lichen Anforderungen. Es fehlt an einer hinreichend normierten Speiche­rungs­schwelle und den gebotenen Vorgaben zur Speicherdauer. Die vorsorgende Speicherung stellt eine Zweckänderung dar. Für eine verfas­sungs­rechtliche Rechtfertigung erforderlich sind jedenfalls die Festlegung angemessener Speicherzwecke und Speicher­schwellen sowie die Bestimmung einer angemessenen Speicherdauer. Für die Bestimmung der Speicher­schwelle muss der Gesetzgeber neben Herkunft, Art und Umfang der Daten insbesondere berücksichtigen, dass sich die Speicherung auch im Einzelfall an den festgelegten Speicherzwecken messen lassen muss. Die Speicher­schwelle muss den Zusammenhang zwischen den vorsorgend gespeicherten perso­nen­be­zogenen Daten und der Erfüllung des Speicherzwecks in verhält­nis­mäßiger Weise absichern und den spezifischen Gefahren der vorsorgenden Speicherung angemessen begegnen. Dies ist bei der Speicherung von Daten für die Verhütung und Verfolgung vom Speicherzweck erfasster Straftaten nur gegeben, wenn eine hinreichende Wahrschein­lichkeit dafür besteht, dass die Betroffenen eine strafrechtlich relevante Verbindung zu möglichen Straftaten aufweisen werden und gerade die gespeicherten Daten zu deren Verhütung und Verfolgung angemessen beitragen können. Diese Prognosen müssen sich auf zureichende tatsächliche Anhaltspunkte stützen. Für die verfas­sungs­rechtliche Rechtfertigung der vorsorgenden Speicherung perso­nen­be­zogener Daten bedarf es zudem der gesetzlichen Regelung einer angemessenen Speicherdauer. Diese wird insbesondere geprägt durch das Eingriffs­gewicht, die Belastbarkeit der Prognose in der Zeit sowie durch andere sich aus dem Grundsatz der Verhält­nis­mä­ßigkeit ergebende Gesichtspunkte. Die Prognose verliert über die Zeit ohne Hinzutreten neuer relevanter Umstände grundsätzlich an Überzeu­gungskraft.

§ 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 i.V.m. § 13 Abs. 3, § 29 BKAG ist mit dem Grundsatz der Verhält­nis­mä­ßigkeit im engeren Sinne unvereinbar. Die Vorschrift enthält für die Speicherung perso­nen­be­zogener Daten zu Zwecken künftiger Straf­ta­ten­ver­hütung und -verfolgung keine hinreichende Speicher­schwelle. Sie lässt für die vorsorgende Speicherung allein die Beschul­dig­te­nei­gen­schaft genügen. Insbesondere ist eine Negativprognose fachrechtlich nicht vorgesehen. Der Status des Beschuldigten ist mit Unsicherheiten hinsichtlich der Beziehung zur vorgeworfenen Straftat verbunden und vermag deshalb für sich allein erst recht keinen belastbaren Schluss auf die hinreichende Wahrschein­lichkeit einer relevanten Beziehung zu anderen zukünftig zu verfolgenden oder zu verhütenden Straftaten zu tragen. Auch wenn die Praxis des BKS prognostische Elemente vor einer Speicherung berücksichtigt, ist für die verfas­sungs­rechtliche Beurteilung der Befugnis deren rechtliche Reichweite und nicht eine Behördenpraxis maßgeblich. Den verfas­sungs­recht­lichen Anforderungen wird auch nicht dadurch entsprochen, dass eine Speicherung nach § 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 BKAG die Prüfung der Erfor­der­lichkeit im Einzelfall voraussetzt. Mangels näher bestimmter Vorgaben genügt sie in ihrer Offenheit nicht dem verfas­sungs­rechtlich gebotenen Diffe­ren­zie­rungsgrad.

Überdies fehlt es an einem hinreichend ausdif­fe­ren­zierten Regelungs­konzept zur Speicherdauer. Nach § 75 Abs. 2 BDSG sind perso­nen­be­zogene Daten unverzüglich zu löschen, wenn ihre Verarbeitung unzulässig ist, sie zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen oder ihre Kenntnis für die Aufga­be­n­er­füllung nicht mehr erforderlich ist. Zudem enthält § 75 Abs. 4 BDSG die Pflicht, angemessene Fristen vorzusehen und durch verfah­rens­rechtliche Vorkehrungen sicherzustellen, dass diese Fristen eingehalten werden. Ob gespeicherte perso­nen­be­zogene Daten zu löschen sind, überprüft das BKA danach zuvörderst im Rahmen einer durch Gesetz oder Verordnung nicht hinreichend angeleiteten Einzel­fa­ll­be­a­r­beitung. Zwar sieht § 77 Abs. 1 Satz 1 BKAG zeitlich festgelegte Fristen für die Prüfung der Löschungs­pflichten vor. Allerdings genügt dies allein nicht den Anforderungen an ein durch den Gesetzgeber auszu­ge­stal­tendes Regelungs­konzept. Es bleibt hier weiterhin dem BKA überlassen, durch eigene inner­be­hördliche Vorgaben die Prüfungs- und Ausson­de­rungs­fristen zu konkretisieren.

§ 45 Abs. 1 Satz 1 Nr. 4 BKAG gilt mit der Maßgabe fort, dass er nur zur Anwendung gelangt, wenn in der Person, zu der die von der Maßnahme betroffene „Kontaktperson“ in Kontakt steht (§ 39 Abs. 2 Nr. 2 BKAG), eine der in § 45 Abs. 1 Satz 1 Nr. 2 bis 3 BKAG geregelten Voraussetzungen vorliegt. § 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 i.V.m. § 13 Abs. 3, § 29 BKAG gilt mit der Maßgabe fort, dass eine Speicherung der perso­nen­be­zogenen Daten nur gestattet ist, wenn eine spezifische Negativprognose in der Weisegestellt worden ist, dass die Betroffenen mit hinreichender Wahrschein­lichkeit eine strafrechtlich relevante Verbindung zu möglichen Straftaten aufweisen werden und gerade die gespeicherten Daten zu deren Verhütung und Verfolgung angemessen beitragen können. Diese Prognosen müssen sich auf zureichende tatsächliche Anhaltspunkte stützen.