Regelungen des Telekom­mu­ni­ka­ti­o­ns­ge­setzes zur Speicherung und Verwendung von Daten teilweise verfas­sungs­widrigBundes­ver­fas­sungs­gericht ordnet befristete Fortgeltung für verfas­sungs­widrige Vorschriften an

Die Verfas­sungs­be­schwerde des zugrunde liegenden Falls richtet sich gegen die §§ 111 bis 113 des Telekom­mu­ni­ka­ti­o­ns­ge­setzes (TKG).

§ 111 TKG

§ 111 TKG verpflichtet geschäftsmäßige Anbieter von Telekom­mu­ni­ka­ti­o­ns­diensten, die von ihnen vergebenen beziehungsweise bereit­ge­stellten Telekom­mu­ni­ka­ti­o­ns­nummern (Rufnummern, Anschluss­ken­nungen, Mobil­fun­kend­ge­rä­te­nummern und Kennungen von elektronischen Postfächern) sowie die zugehörigen persönlichen Daten der Anschluss­inhaber wie Namen, Anschriften und Geburtsdaten zu erheben und zu speichern.

Die §§ 112, 113 TKG schaffen die Grundlage für zwei verschiedene Verfahren zur Erteilung von Auskünften aus den nach § 111 TKG gespeicherten Daten.

§ 112 TKG

In dem durch § 112 TKG geregelten automatisierten Verfahren müssen die Anbieter von Telekom­mu­ni­ka­ti­o­ns­diensten die Daten so bereit stellen, dass sie von der Bundes­netz­agentur ohne Kenntnisnahme der Anbieter abgerufen werden können. Die Bundes­netz­agentur hat die Daten auf Ersuchen konkret bezeichneter Behörden, darunter insbesondere der Straf­ver­folgungs- und Polizei­voll­zugs­be­hörden, im automatisierten Verfahren abzurufen und diesen zu übermitteln. Die Auskünfte dürfen immer erteilt werden, wenn sie zur Erfüllung der gesetzlichen Aufgaben erforderlich sind.

§ 113 TKG

Das in § 113 Abs. 1 Satz 1 TKG geregelte manuelle Verfahren verpflichtet dagegen die Telekom­mu­ni­ka­ti­o­ns­un­ter­nehmen selbst zur Auskunft­s­er­teilung. Auskunfts­ver­pflichtet sind hier nicht nur die Anbieter, die Telekom­mu­ni­ka­ti­o­ns­dienste der Öffentlichkeit offerieren (z. B. Telefon­ge­sell­schaften oder Provider), sondern darüber hinaus auch alle, die geschäftsmäßig Telekom­mu­ni­ka­ti­o­ns­dienste erbringen (z. B. auch Krankenhäuser oder gegebenenfalls Hotels). Auskunfts­be­rechtigt sind nach dieser Norm grundsätzlich alle Behörden. Voraussetzung ist, dass die Auskunft im Einzelfall für die Verfolgung von Straftaten und Ordnungs­wid­rig­keiten, die Gefahrenabwehr oder nachrich­ten­dienstliche Aufgaben erforderlich ist.

§ 113 Abs. 1 Satz 2 TKG regelt eine spezielle Auskunfts­pflicht hinsichtlich Zugangs­si­che­rungscodes wie Passworten oder Persönlichen Identi­fi­ka­ti­o­ns­nummern (PIN). Auskunfts­be­rechtigt sind insoweit die Straf­ver­folgungs- und Sicher­heits­be­hörden sowie die Nachrich­ten­dienste. In Auslegung des § 113 TKG entspricht es verbreiteter, aber umstrittener Praxis, dass auch Auskünfte über den Inhaber einer so genannten dynamischen Inter­net­pro­to­kol­l­adresse (dynamische IP-Adresse) erteilt werden. Hierbei handelt es sich um die Telekom­mu­ni­ka­ti­o­ns­nummern, mit denen vor allem Privatpersonen normalerweise im Internet surfen.

Der Abruf der Daten durch die auskunfts­be­rech­tigten Behörden richtet sich nach deren eigenen Rechts­grundlagen; in der Praxis wurden hierbei Rechts­grundlagen, die die Behörden allgemein zur Erhebung von Daten ermächtigen, als ausreichend angesehen.

Beschwer­de­führer fühlen sich durch Daten­spei­cherung in Grundrechten verletzt

Die Beschwer­de­führer nutzen vorausbezahlte Mobilfunkkarten sowie Inter­net­zu­gangs­dienste und machen geltend, durch die Speicherung ihrer Daten und deren mögliche Übermittlung im Rahmen der Auskunfts­ver­fahren in ihren Grundrechten verletzt zu sein.

Erhebung und Speicherung von Telekom­mu­ni­ka­ti­o­nsdaten sowie Verwendung des automatisierten Auskunfts­ver­fahren verfas­sungsgemäß

Das Bundes­ver­fas­sungs­gericht entschied, dass die Erhebung und Speicherung von Telekom­mu­ni­ka­ti­o­nsdaten nach § 111 TKG sowie ihre in § 112 TKG geregelte Verwendung im automatisierten Auskunfts­ver­fahren verfas­sungsgemäß sind. Der hierdurch bewirkte Eingriff in das Recht auf informationelle Selbst­be­stimmung ist nur von begrenztem Gewicht und angesichts der erstrebten Verbesserung der staatlichen Aufga­ben­wahr­nehmung gerechtfertigt. Für den Datenabruf reichen hierbei auch die allgemeinen Daten­er­he­bungs­vor­schriften der abruf­be­rech­tigten Behörden.

§ 113 Abs. 1 Satz 1 TKG berechtigt nicht zur Zuordnung dynamischer IP-Adressen

Keinen Erfolg hat die Verfas­sungs­be­schwerde auch insoweit, als sie sich gegen die in § 113 Abs. 1 Satz 1 TKG enthaltene Regelung zur Erteilung allgemeiner Auskünfte durch die Telekom­mu­ni­ka­ti­o­ns­diens­tean­bieter im manuellen Auskunfts­ver­fahren richtet. Die Vorschrift ist jedoch verfas­sungs­konform so auszulegen, dass es für den Datenabruf spezieller fachrechtlicher Ermäch­ti­gungs­grundlagen bedarf. Zudem berechtigt § 113 Abs. 1 Satz 1 TKG nicht zu einer Zuordnung von dynamischen IP-Adressen. Für eine Übergangszeit, längstens bis zum 30. Juni 2013, darf die Vorschrift unabhängig von diesen Maßgaben angewendet werden.

Verletzung des Rechts auf informationelle Selbst­be­stimmung

Dagegen ist § 113 Abs. 1 Satz 2 TKG mit dem Recht auf informationelle Selbst­be­stimmung nicht vereinbar. Die Vorschrift gilt jedoch übergangsweise, längstens bis zum 30. Juni 2013 mit der Maßgabe fort, dass die Sicherungscodes nur unter den Bedingungen erhoben werden dürfen, unter denen sie nach den jeweils maßgeblichen Vorschriften (etwa denen des Straf­pro­zess­rechts) auch genutzt werden dürfen.

Pflichten der Diensteanbieter zur Erhebung, Speicherung und Bereitstellung von Daten verletzten Recht auf informationelle Selbst­be­stimmung

Der Entscheidung liegen im Wesentlichen folgende Erwägungen zugrunde: Die angegriffenen Vorschriften sind im Wesentlichen am Maßstab des Rechts auf informationelle Selbst­be­stimmung gemäß Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG zu messen. Die in den §§ 111 bis 113 TKG geregelten Pflichten der Diensteanbieter zur Erhebung, Speicherung und Bereitstellung der Daten bewirken ebenso wie die Befugnis der Bundes­netz­agentur zum Zugriff auf diese Daten und zu deren Übermittlung beziehungsweise wie die Befugnis der Telekom­mu­ni­ka­ti­o­ns­an­bieter zur Auskunft­s­er­teilung jeweils eigenständige Eingriffe in dieses Grundrecht. Ein weiterer eigenständiger Grund­recht­s­eingriff liegt darüber hinaus im Abruf der Daten, der eine gegenüber den §§ 112, 113 TKG eigenständige Rechtsgrundlage erfordert. Für Abruf und Auskunft­s­er­teilung müssen damit korre­spon­dierende Rechts­grundlagen bestehen, die wie Doppeltüren zusammenwirken. Dagegen greifen die angegriffenen Vorschriften solange sie nicht für die Zuordnung dynamischer IP-Adressen genutzt werden nicht in das Telekom­mu­ni­ka­ti­o­ns­ge­heimnis des Art. 10 Abs. 1 GG ein. Das Grundrecht schützt allein die Vertraulichkeit konkreter Telekom­mu­ni­ka­ti­o­ns­vorgänge, nicht aber die Vertraulichkeit der jeweiligen Umstände der Bereitstellung von Telekommunikationsdienstleistungen. Die in den §§ 111 bis 113 TKG angeordnete Speicherung und Auskunft­s­er­teilung betrifft lediglich die abstrakte Zuordnung von Telekom­mu­ni­ka­ti­o­ns­nummern zu bestimmten Anschluss­in­habern, die ebenso wie die Zuordnung einer statischen IP-Adresse zu einem Nutzer nicht in den Schutzbereich des Art. 10 GG fällt.

Zuordnung von dynamischen IP-Adressen stellt Eingriff in Telekom­mu­ni­ka­ti­o­ns­ge­heimnis dar

Demgegenüber begründet die Zuordnung von dynamischen IP-Adressen einen Eingriff in das Telekom­mu­ni­ka­ti­o­ns­ge­heimnis. Denn für die Identifizierung einer dynamischen IP-Adresse müssen die Telekom­mu­ni­ka­ti­o­ns­un­ter­nehmen die entsprechenden Verbin­dungsdaten ihrer Kunden sichten und somit auf konkrete Telekom­mu­ni­ka­ti­o­ns­vorgänge zugreifen, die vom Schutzbereich des Art. 10 GG umfasst sind.

Speiche­rungs­pflicht des § 111 TKG verfolgt legitimen Zweck

Die Speiche­rungs­pflicht des § 111 TKG ist verfas­sungs­rechtlich nicht zu beanstanden. Sie dient dazu, eine verlässliche Datenbasis für die in §§ 112, 113 TKG geregelte Auskunft­s­er­teilung vorzuhalten, die es bestimmten Behörden erlaubt, Telekom­mu­ni­ka­ti­o­ns­nummern individuellen Anschluss­in­habern zuzuordnen. Die hiermit erstrebte Verbesserung staatlicher Aufga­ben­wahr­nehmung vor allem im Bereich der Strafverfolgung, Gefahrenabwehr und nachrich­ten­dienst­licher Tätigkeiten ist ein legitimer Zweck, der den Grund­recht­s­eingriff rechtfertigt. Die in § 111 TKG geregelte punktuelle Vorhaltung bestimmter, begrenzter und in ihrem Infor­ma­ti­o­ns­gehalt genau umschriebener Daten für die in den §§ 112, 113 TKG eingehend definierten Verwen­dungs­zwecke verstößt nicht gegen das strikte Verbot der Vorrats­da­ten­spei­cherung.

Indivi­du­a­li­sierende Zuordnung von Telekom­mu­ni­ka­ti­o­ns­nummern zu den jeweiligen Anschluss­in­habern kein schwerwiegender Eingriff in Grundrechte

§ 111 TKG ist verhältnismäßig. Angesichts des nicht sehr weit reichenden Infor­ma­ti­o­ns­gehalts der erfassten Daten handelt es sich um einen Eingriff von nur begrenztem Gewicht. Sie geben aus sich heraus noch keinen Aufschluss über konkrete Aktivitäten Einzelner, sondern ermöglichen allein die indivi­du­a­li­sierende Zuordnung von Telekom­mu­ni­ka­ti­o­ns­nummern zu den jeweiligen Anschluss­in­habern. Grundlegend anders als im Fall der vorsorglichen Speicherung sämtlicher Telekom­mu­ni­ka­ti­o­ns­ver­kehrsdaten umfassen diese Daten als solche weder höchst­per­sönliche Informationen noch ist mit ihnen die Erstellung von Persönlichkeits- oder Bewegungs­profilen möglich. Auch erfasst § 111 TKG nicht die dynamischen IP-Adressen. Die Möglichkeit der Zuordnung der in § 111 TKG erfassten Daten dient einer effektiven Aufga­ben­wahr­nehmung der in den Verwen­dungs­vor­schriften näher bestimmten Behörden. Sie ist verfas­sungs­rechtlich dadurch gerechtfertigt, dass der Staat anlassbezogen ein legitimes Interesse an der Aufklärung bestimmter Telekom­mu­ni­ka­ti­o­ns­vorgänge haben und diesem Interesse zur Erfüllung bestimmter Aufgaben ein erhebliches, in Einzelfällen auch überragendes Gewicht zukommen kann.

Automatisiertes Auskunfts­ver­fahren verfas­sungsgemäß

Das automatisierte Auskunfts­ver­fahren gemäß § 112 TKG ist ebenfalls mit der Verfassung vereinbar. Die Vorschrift ist Rechtsgrundlage für die Pflicht der Diensteanbieter zur Bereitstellung der Daten als Kundendatei sowie für den Zugriff auf diese Daten durch die Bundes­netz­agentur und deren Übermittlung an die auskunfts­be­rech­tigten Behörden. Für den Abruf der Daten durch die Behörden setzt § 112 TKG dem "Doppel­tü­ren­modell" entsprechend eine eigene Ermäch­ti­gungs­grundlage voraus, wobei die allgemeinen Daten­er­he­bungs­vor­schriften der jeweils auskunfts­be­rech­tigten Behörden ausreichen.

Kein Verstoß gegen Kompe­ten­z­ordnung des Grundgesetzes durch automatisiertes Auskunfts­ver­fahren

§ 112 TKG verstößt nicht gegen die Kompe­ten­z­ordnung des Grundgesetzes. Der Bund durfte das automatisierte Auskunfts­ver­fahren auf der Grundlage seiner Kompetenz für das Telekom­mu­ni­ka­ti­o­nsrecht gemäß Art. 73 Abs. 1 Nr. 7 GG regeln. Hierzu gehört auch die Regelung des Datenschutzes in diesem Bereich und zugleich die Festlegung, wann eine Behörde in Öffnung dieser daten­schutz­recht­lichen Anforderungen Daten übermitteln darf. Demgegenüber endet seine Gesetz­ge­bungs­be­fugnis dort, wo es um den Abruf solcher Informationen geht. Die Ermächtigungen zum Datenabruf selbst bedürfen eines eigenen Kompetenztitels des Bundes oder müssen den Ländern überlassen bleiben. Da § 112 TKG lediglich den Datenaustausch zwischen Behörden regelt, bestehen kompe­tenz­rechtlich keine Bedenken, dass der Bund das Auskunfts­ver­fahren soweit regelt, dass die Länder für den Datenabruf nur noch allgemeine Daten­er­he­bungs­grundlagen bereitstellen müssen. Denn das Letztent­schei­dungsrecht der Länder über das Ob und Wie des Datenabrufs bleibt unberührt.

Automatisiertes Auskunfts­ver­fahren genügt Anforderungen des Verhält­nis­mä­ßig­keits­grund­satzes

§ 112 TKG genügt den Anforderungen des Verhält­nis­mä­ßig­keits­grund­satzes. Die Vorschrift dient der Effektivierung der staatlichen Aufga­ben­wahr­nehmung. Bei den Zwecken, für die den Behörden Auskünfte nach § 112 Abs. 2 TKG erteilt werden, handelt es sich um zentrale Aufgaben der Gewährleistung von Sicherheit. Angesichts der Bedeutung elektronischer Kommu­ni­ka­ti­o­ns­mittel und des fortent­wi­ckelten Kommu­ni­ka­ti­o­ns­ver­haltens der Menschen in allen Lebensbereichen sind die Behörden darauf angewiesen, Telekom­mu­ni­ka­ti­o­ns­nummern individuell zuordnen zu können. Es ist verfas­sungs­rechtlich nicht zu beanstandenden, wenn der Gesetzgeber die Übermittlung dieser Auskünfte erlaubt, um Straftaten und Gefahren aufzuklären, verfas­sungs­be­drohliche Entwicklungen zur Information der Regierung und der Öffentlichkeit zu beobachten oder in Notsituationen zu helfen.

Identifizierung von statischen IP-Adressen nicht unver­hält­nismäßig

Unver­hält­nismäßig ist die Vorschrift nach dem derzeitigen Stand der technischen Entwicklung und Praxis auch nicht insoweit, als sie unter Umständen die Identifizierung von statischen IP-Adressen ermöglicht. Denn da diese zum gegenwärtigen Zeitpunkt in aller Regel nur Institutionen und Großnutzern, nicht aber privaten Nutzern als Einzelkunden zugewiesen werden, hat die Möglichkeit der Abfrage solcher Nummern nur geringes Gewicht. Allerdings trifft den Gesetzgeber insoweit eine Beobachtungs- und gegebenenfalls Nachbes­se­rungs­pflicht. Die dynamischen IP-Adressen sind von § 111 TKG jedoch nicht umfasst, sodass § 112 TKG diesbezüglich eine Deanony­mi­sierung nicht ermöglicht.

Manuelles Auskunfts­ver­fahren bedarf verfas­sungs­kon­former Auslegung

Das manuelle Auskunfts­ver­fahren gemäß § 113 Abs. 1 Satz 1 TKG ist gleichfalls mit der Verfassung vereinbar. Die Vorschrift bedarf aber in zweifacher Hinsicht einer verfas­sungs­kon­formen Auslegung.

Für Datenabruf seitens auskunfts­be­rech­tigter Behörden bedarf es fachrechtlicher, gegebenenfalls landes­recht­licher Ermäch­ti­gungs­grundlagen

Zum einen ist sie sowohl aus kompe­tenz­recht­lichen als auch aus rechts­s­taat­lichen Gründen so auszulegen, dass sie für sich allein Auskunfts­pflichten der Telekom­mu­ni­ka­ti­o­ns­un­ter­nehmen noch nicht begründet. Da es sich um Auskunfts­pflichten Privater handelt, bedarf es für den Abruf der Daten seitens der auskunfts­be­rech­tigten Behörden fachrechtlicher, gegebenenfalls landes­recht­licher Ermäch­ti­gungs­grundlagen, die eine Verpflichtung der Telekom­mu­ni­ka­ti­o­ns­diens­tean­bieter gegenüber den abruf­be­rech­tigten Behörden eigenständig und normenklar begründen. Denn kompe­tenz­rechtlich gehört die Begründung einer Auskunfts­pflicht Privater nicht mehr zur Regelung der Übermitt­lungs­zwecke, sondern zum Datenabruf. Aus dem Grundsatz der Normenklarheit ergibt sich, dass insoweit hinreichend klar geregelt sein muss, gegenüber welchen Behörden die Anbieter konkret zur Daten­über­mittlung verpflichtet sein sollen.

Manuelles Auskunfts­ver­fahren darf nicht zur Zuordnung dynamischer IP-Adressen angewandt werden

Zum anderen darf die Vorschrift nicht zur Zuordnung von dynamischen IP-Adressen angewendet werden. Dies verbietet sich schon deshalb, weil die Zuordnung von dynamischen IP-Adressen als Eingriff in Art. 10 Abs. 1 GG zu qualifizieren ist. Für solche Eingriffe gilt das Zitiergebot gemäß Art. 19 Abs. 1 Satz 2 GG, wonach der Gesetzgeber das Grundrecht, in das eingegriffen wird, unter Angabe des Artikels nennen muss. Daran fehlt es vorliegend. Im Übrigen ist in § 113 Abs. 1 TKG nicht hinreichend klar geregelt, ob mit ihm auch eine Identifizierung solcher Adressen, die ein eigenes Gewicht hat, erlaubt werden soll.

Ausgehend von den vorstehenden Maßgaben genügt § 113 Abs. 1 Satz 1 TKG den Anforderungen des Verhält­nis­mä­ßig­keits­grund­satzes. Angesichts des begrenzten Infor­ma­ti­o­ns­gehalts der betreffenden Daten sowie ihrer großen Bedeutung für eine effektive Aufga­ben­wahr­nehmung ist die Reichweite der Vorschrift verfas­sungs­rechtlich nicht zu beanstanden. Sie ermöglicht keineswegs Auskünfte ins Blaue hinein als allgemeines Mittel für einen gesetzesmäßigen Verwal­tungs­vollzug, sondern setzt im Einzelfall die Erfor­der­lichkeit zur Wahrnehmung einer sicher­heits­rechtlich geprägten Aufgabe voraus. Auch der weite Kreis der Auskunfts­ver­pflichteten ist mit Blick auf das Ziel einer Effektivierung der Ermitt­lungs­mög­lich­keiten gerechtfertigt.

Auskunfts­pflicht hinsichtlich Zugangs­si­che­rungscodes verletzt Grundrecht der infor­ma­ti­o­nellen Selbst­be­stimmung

Dagegen verletzt die Vorschrift des § 113 Abs. 1 Satz 2 TKG das Grundrecht auf informationelle Selbst­be­stimmung, weil sie nicht den Anforderungen des Verhält­nis­mä­ßig­keits­grund­satzes genügt. Die Regelung betrifft die Zugangs­si­che­rungscodes, die den Zugang zu Endgeräten sichern und damit die Betreffenden vor einem Zugriff auf die entsprechenden Daten beziehungsweise Telekom­mu­ni­ka­ti­o­ns­vorgänge schützen. Der Zugriff auf diese Daten ist jedoch in dem Umfang, wie ihn § 113 Abs. 1 Satz 2 TKG regelt, für die effektive Aufga­ben­wahr­nehmung dieser Behörden nicht erforderlich. Die Vorschrift macht sie den Behörden zugänglich und versetzt sie damit in die Lage, die entsprechenden Barrieren zu überwinden, ohne die Voraussetzungen für die Nutzung dieser Codes zu regeln. Diese sollen sich vielmehr, wie § 113 Abs. 1 Satz 3 TKG klarstellt, allein nach eigenständigen Rechts­grundlagen des Fachrechts, so z. B. nach den entsprechenden Vorschriften der Straf­pro­zess­ordnung, bestimmen. Es ist jedoch kein Grund ersichtlich, warum die Behörden die in § 113 Abs. 1 Satz 2 TKG geregelten Zugangscodes unabhängig von den Anforderungen an deren Nutzung und damit gegebenenfalls unter leichteren Voraussetzungen abfragen können sollen. Die Erhebung der in § 113 Abs. 1 Satz 2 TKG geregelten Zugangsdaten ist mit Blick auf die dort verfolgten Zwecke nur dann erforderlich, wenn auch die Voraussetzungen von deren Nutzung gegeben sind. Dies stellt die Regelung des § 113 Abs. 1 Satz 2 TKG in ihrer derzeitigen Fassung nicht hinreichend sicher.

Sicher­heits­be­hörden dürfen Auskünfte über Zugangs­si­che­rungscodes bei gegebenen gesetzlichen Voraussetzungen für Nutzung verlangen

Das Bundes­ver­fas­sungs­gericht hat die verfas­sungs­widrige Vorschrift des § 113 Abs. 1 Satz 2 TKG nicht für nichtig erklärt, sondern ihre befristete Fortgeltung angeordnet mit Maßgabe, dass die Sicher­heits­be­hörden Auskünfte über Zugangs­si­che­rungscodes wie PIN und PUK nur dann verlangen dürfen, wenn die gesetzlichen Voraussetzungen für ihre Nutzung gegeben sind. Denn die Nichti­g­er­klärung hätte zur Folge, dass auch für die Fälle, in denen die Behörden zu Recht zur Verhinderung oder Ahndung gewichtiger Rechts­guts­ver­let­zungen auf Telekom­mu­ni­ka­ti­o­nsdaten Zugriff nehmen dürfen, nicht hinreichend gesichert wäre, dass sie hierzu in der Lage sind. Dies wäre angesichts des begrenzten Gewichts des Grund­recht­s­ein­griffs auch zwischen­zeitlich nicht hinzunehmen. Einer Überg­angs­re­gelung bedarf es aus denselben Gründen auch bezüglich der verfas­sungs­recht­lichen Anforderungen an die Auslegung des § 113 Abs. 1 Satz 1 TKG. Würden diese Anforderungen sofort wirksam, wären in zahlreichen Fällen bis zum Erlass neuer Abrufregelungen des Fachrechts weder Auskünfte zu Telekom­mu­ni­ka­ti­o­ns­nummern möglich noch könnten dynamische IP-Adressen identifiziert werden.