© 2019 Deutscher Bundestag WD 3 - 3000 - 088/19 Verfassungsrechtliche Vorgaben für die Online-Durchsuchung Ausarbeitung Wissenschaftliche Dienste Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 088/19 Seite 2 Verfassungsrechtliche Vorgaben für die Online-Durchsuchung Aktenzeichen: WD 3 - 3000 - 088/19 Abschluss der Arbeit: 01.04.2019 Fachbereich: WD 3: Verfassung und Verwaltung Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 088/19 Seite 3 1. Fragestellung und Vorbemerkung Die Ausarbeitung thematisiert die verfassungsrechtlichen Vorgaben für eine Regelung der sog. Online- Durchsuchung zugunsten der Nachrichtendienste. Dabei wird sowohl auf Anforderungen eingegangen , die sich aus dem Trennungsprinzip ergeben, als auch auf solche, die aus den Grundrechten erwachsen. Die nachfolgenden Ausführungen skizzieren verfassungsrechtliche Anforderungen, die insbesondere in der verfassungsgerichtlichen Rechtsprechung für entsprechende Eingriffsbefugnisse entwickelt wurden. Sie beinhalten keine rechtliche Beurteilung über derzeit laufende oder beabsichtigte Gesetzgebungsvorhaben. Ferner sind die aufgezeigten Anforderungen nicht abschließend zu verstehen , da eine verfassungsrechtliche Beurteilung immer auch von der Ausgestaltung der jeweiligen Regelung abhängig ist. 2. Anforderungen des Trennungsprinzips Das Trennungsprinzip hat seinen Ursprung im Polizeibrief der Alliierten Militärgouverneure vom 14.04.1949. Danach war es verboten, Nachrichtendienste mit Polizeigewalt auszustatten. Der Parlamentarische Rat setzte die Vorgaben des Polizeibriefes entsprechend um und schuf damit die Grundlage für eine getrennte Behördenstruktur. Inwieweit das Trennungsgebot auch nach Wegfall des überkonstitutionellen Besatzungsrechts einen den Gesetzgeber bindenden Rechtsgrundsatz darstellt, blieb lange umstritten.1 Das Bundesverfassungsgericht ließ die Frage, ob das Rechtsstaatsprinzip, das Bundesstaatsprinzip und der Schutz der Grundrechte es verbieten, bestimmte Behörden miteinander zu verschmelzen, ausdrücklich offen.2 In seiner Entscheidung zur Antiterrordatei leitete es aus dem Grundrecht auf informationelle Selbstbestimmung ein zumindest informationelles Trennungsprinzip ab. Der Datentransfer zwischen Nachrichtendiensten und Polizeibehörden sei demnach nur ausnahmsweise unter bestimmten Voraussetzungen zulässig.3 Aus der verfassungsgerichtlich festgestellten begrenzten Möglichkeit des Datenaustausches wird in der Literatur geschlossen, dass die Verfassung damit auch eine hinreichende organisatorische Trennung der Behörden verlangt und auch der Aufgabenzuweisung an die jeweiligen Behörden entsprechende Grenzen setzt.4 Dem Ansatz einer begrenzten Aufgabenübertragung folgend stellen auch die Nachrichtendienstgesetze des Bundes und der Länder klar, dass von den Nachrichtendiensten keine polizeilichen 1 Vgl. Nehm, NJW 2004, 3289 (3290). 2 Vgl. BVerfG, Beschluss vom 28. Januar 1998 – 2 BvF 3/92 –, juris, Rn. 87. 3 BVerfG, Urteil vom 24. April 2013 – 1 BvR 1215/07 –, juris, Rn. 123. 4 Bergemann, in Lisken/Denninger, Handbuch des Polizeirechts, 6. Aufl. 2018, Lit. H Rn. 5. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 088/19 Seite 4 Befugnisse ausgeübt werden dürfen.5 So regelt etwa § 8 Abs. 3 des Bundesverfassungsschutzgesetzes (BVerfSchG): „Polizeiliche Befugnisse oder Weisungsbefugnisse stehen dem Bundesamt für Verfassungsschutz nicht zu; es darf die Polizei auch nicht im Wege der Amtshilfe um Maßnahmen ersuchen, zu denen es selbst nicht befugt ist.“ Zu den polizeilichen Befugnissen zählen vor allem behördliche Handlungen mit Zwangscharakter, wie polizeiliche Standardmaßnahmen (z.B. Identitätsfeststellung, Sistierung, erkennungsdienstliche Maßnahmen, Festnahme, Verhaftung, Vorführung, Durchsuchung, oder Beschlagnahme).6 Es soll im Ergebnis weder eine Geheimpolizei noch ein polizeilicher Geheimdienst entstehen.7 Statt der Abwehr von Gefahren soll die nachrichtendienstliche Tätigkeit ausschließlich der Informationsbeschaffung dienen.8 Bisher ist ein verdeckter Eingriff in informationstechnische Systeme auf Bundesebene lediglich in § 49 des Bundeskriminalamtgesetzes (BKAG) – folglich im Polizeirecht – vorgesehen.9 Es erscheint jedoch vertretbar, auch Maßnahmen einer sog. Online-Durchsuchung als Mittel der Informationsbeschaffung – folglich als nachrichtendienstliche Aufgabe – einzuordnen. Zwar kann einem solchen Eingriff ein gewisser Zwangscharakter nicht abgesprochen werden, da zwangsweise auf ein informationstechnisches System zugegriffen wird. Dennoch dürfte eine Online-Durchsuchung im Schwerpunkt eine Maßnahme zur Informationsbeschaffung darstellen, solange der Eingriff zumindest nicht auch der Manipulation des informationstechnischen Systems dienen soll. Das Bundesverfassungsgericht hat in seiner Entscheidung über die Zulässigkeit einer entsprechenden Regelung im Verfassungsschutzgesetz des Landes Nordrhein-Westfalen ebenfalls nicht die Aufgabenzuweisung als solche infrage gestellt oder die Online-Durchsuchung als ausschließlich polizeiliche Maßnahme eingestuft.10 3. Grundrechtliche Anforderungen Ein staatlicher Zugriff auf informationstechnische Systeme wirft verschiedene Grundrechtsfragen auf. Je nach Ausgestaltung einer Regelung können unterschiedliche Grundrechte betroffen sein. Im Folgenden sollen mögliche Grundrechtskonstellationen aufgezeigt werden. Aufgrund der verschiedenen Ausgestaltungsmöglichkeiten kann keine abschließende Darstellung der Gesamtproblematik 5 Bergemann, in Lisken/Denninger, Handbuch des Polizeirechts, 6. Aufl. 2018, Lit. H Rn. 5; vgl. für die Rechtslage des Bundes: § 8 Abs. 3 Bundeverfassungsschutzgesetz; § 2 Abs. 3 BND-Gesetz; § 1 Abs. 4 MAD-Gesetz; exemplarisch für die Landesebene: § 8 Abs. 7 des Verfassungsschutzgesetzes Berlin. 6 Vgl. Roth, in: Schenke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019; § 8 BVerfSchG Rn. 48. 7 Bergemann, in Lisken/Denninger, Handbuch des Polizeirechts, 6. Aufl. 2018, Lit. H Rn. 5. 8 Roth, in: Schenke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019; § 8 BVerfSchG Rn. 48. 9 Zum Regelungsgegenstand: Schenke, in: Schenke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019; § 49 BKAG Rn. 1. 10 Vgl. BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 254 ff. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 088/19 Seite 5 erfolgen. Die Ausführungen orientieren sich an den Fallkonstellationen, die bisher vom Bundesverfassungsgericht behandelt wurden. 3.1. Betroffene Grundrechte Als betroffene Grundrechte kommen das Telekommunikationsgeheimnis gem. Art. 10 Abs. 1 GG, die Unverletzlichkeit der Wohnung nach Art. 13 GG sowie das allgemeine Persönlichkeitsrecht nach Art. 2 Abs. 1 GG i.V.m. Art. 1 GG in Betracht. Das Bundesverfassungsgericht prüfte entsprechende Eingriffsbefugnisse bisher vor allem am Maßstab des allgemeinen Persönlichkeitsrechtes in seiner Ausprägung als Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme. Die Gewährleitungsgehalte der anderen genannten Grundrechte reichten aus verfassungsgerichtlicher Sicht nicht aus, eine staatliche Infiltration informationstechnischer Systeme grundrechtlich abzubilden.11 Insbesondere das Telekommunikationsgeheimnis erfasse vorrangig den reinen Kommunikationsvorgang bzw. nicht beim Nutzer gespeicherte Kommunikationsinhalte oder Verbindungsdaten.12 Der Schutz der Unverletzlichkeit der Wohnung schütze ebenfalls nicht vor einer Infiltration des Systems. Der Schutzbereich der Wohnung sei nur betroffen, wenn mittels eines Zugriffs auf das informationstechnische System Vorgänge aus der Wohnung beobachtet oder abgehört würden.13 Das Bundesverfassungsgericht entwickelte daher in Ergänzung zum Schutz der informationellen Selbstbestimmung als Ausprägung des allgemeinen Persönlichkeitsrechts das Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme. Dieses Recht „bewahrt den persönlichen und privaten Lebensbereich der Grundrechtsträger vor staatlichem Zugriff im Bereich der Informationstechnik auch insoweit, als auf das informationstechnische System insgesamt zugegriffen wird und nicht nur auf einzelne Kommunikationsvorgänge oder gespeicherte Daten“.14 Das Bundesverfassungsgericht ordnete Online-Durchsuchungen in einer späteren Entscheidung ausdrücklich als Eingriff in das genannte Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme ein.15 11 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 181. 12 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 182 ff. 13 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 193. 14 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 201. 15 BVerfG, Urteil vom 20. April 2016 – 1 BvR 966/09 –, juris Rn. 210. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 088/19 Seite 6 3.2. Vorgaben für eine verfassungskonforme Ausgestaltung eines Eingriffes Eingriffe in das Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme sind nur auf Grund eines Gesetzes und unter Wahrung strenger Verhältnismäßigkeitsanforderungen zulässig.16 3.2.1. Gesetzliche Grundlage Für einen Eingriff in das genannte Grundrecht ist zunächst eine hinreichend bestimmte gesetzliche Grundlage erforderlich. Das Bundesverfassungsgericht verlangt zudem, dass in der gesetzlichen Grundlage bereits die Eingriffsschwelle definiert wird. Es unterscheidet dabei ausdrücklich nicht zwischen nachrichtendienstlichen und polizeilichen Eingriffsermächtigungen. Für beide Bereiche gelten daher gleiche erhöhte Anforderungen an die Regelung des Eingriffsanlasses.17 Eine Online-Durchsuchung ist nur unter gesteigerten Voraussetzungen insbesondere zum Schutz bedeutender Rechtgüter zulässig. Erforderlich ist demnach, „dass tatsächliche Anhaltspunkte für eine im Einzelfall drohende konkrete Gefahr für ein überragend wichtiges Rechtsgut vorliegen“.18 Entsprechende Maßnahmen sind demnach erlaubt, „wenn Tatsachen den Schluss auf ein wenigstens seiner Art nach konkretisiertes und zeitlich absehbares Geschehen zulassen und wenn erkennbar ist, dass bestimmte Personen beteiligt sein werden, über deren Identität zumindest so viel bekannt ist, dass die Überwachungsmaßnahme gezielt gegen sie eingesetzt und weitgehend auf sie beschränkt werden kann. Ausreichend ist insoweit auch, wenn zwar noch nicht ein seiner Art nach konkretisiertes und zeitlich absehbares Geschehen erkennbar ist, jedoch das individuelle Verhalten eines Betroffenen eine konkrete Wahrscheinlichkeit begründet, dass er solche Straftaten in überschaubarer Zukunft begehen wird.“19 Die gesetzliche Grundlage muss zudem, um verhältnismäßig zu sein, den Grundrechtsschutz für den Betroffenen auch durch geeignete Verfahrensvorkehrungen sichern.20 3.2.2. Verhältnismäßigkeit / verfahrensrechtliche Ausgestaltung Das Bundesverfassungsgericht fordert für eine verhältnismäßige Ausgestaltung einer entsprechenden Eingriffsermächtigung neben den allgemeinen Anforderungen der Verhältnismäßigkeit insbesondere auch verfahrensrechtliche Absicherungen für Betroffene. Solche werden als besondere Ausprägung der Verhältnismäßigkeit aus der Angemessenheit abgeleitet. 16 BVerfG, Urteil vom 20. April 2016 – 1 BvR 966/09 –, juris Rn. 212. 17 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 254 ff. 18 BVerfG, Urteil vom 20. April 2016 – 1 BvR 966/09 –, juris Rn. 212; BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 242. 19 BVerfG, Urteil vom 20. April 2016 – 1 BvR 966/09 –, juris Rn. 213; ähnlich: BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 251. 20 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 242. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 088/19 Seite 7 Da sich Zugriffe auf informationstechnische Systeme in aller Regel der Kenntnis der Betroffenen entziehen, sind diese grundsätzlich unter den Vorbehalt einer richterlichen Anordnung zu stellen.21 Ausdrücklich führt das Bundesverfassungsgericht hierzu aus: „Bewirkt eine heimliche Ermittlungsmaßnahme einen schwerwiegenden Grundrechtseingriff, so ist eine vorbeugende Kontrolle durch eine unabhängige Instanz verfassungsrechtlich geboten , weil der Betroffene sonst ungeschützt bliebe. Dem Gesetzgeber ist allerdings bei der Gestaltung der Kontrolle im Einzelnen, etwa bei der Entscheidung über die kontrollierende Stelle und das anzuwendende Verfahren, grundsätzlich ein Regelungsspielraum eingeräumt. Bei einem Grundrechtseingriff von besonders hohem Gewicht wie dem heimlichen Zugriff auf ein informationstechnisches System reduziert sich der Spielraum dahingehend, dass die Maßnahme grundsätzlich unter den Vorbehalt richterlicher Anordnung zu stellen ist. Richter können aufgrund ihrer persönlichen und sachlichen Unabhängigkeit und ihrer ausschließlichen Bindung an das Gesetz die Rechte des Betroffenen im Einzelfall am besten und sichersten wahren […].“22 Der Gesetzgeber darf aus verfassungsgerichtlicher Sicht aber auch eine andere Stelle mit der Kontrolle betrauen, wenn diese gleiche Gewähr für ihre Unabhängigkeit und Neutralität bietet wie ein Richter.23 Das Bundesverfassungsgericht erwägt hierzu etwa eine vorbeugende Kontrolle durch die sog. G 10-Kommission.24 In einer weiteren Entscheidung bezeichnet es dieses als „Kontrollorgan eigener Art außerhalb der rechtsprechenden Gewalt, das als Ersatz für den fehlenden gerichtlichen Rechtsschutz dient.“25 Denkbar ist es daher auch, als verfahrensrechtliche Absicherung eine Beteiligung der G 10-Kommission vorzusehen. 3.2.3. Schutz des Kernbereichs privater Lebensgestaltung Verfassungsrechtlich erforderlich sind zudem Vorkehrungen zum Schutz des Kernbereichs privater Lebensgestaltung. Dieser ergibt sich unmittelbar aus der Menschenwürdegarantie. Zu diesem führt die verfassungsgerichtliche Rechtsprechung ausdrücklich aus: „Heimliche Überwachungsmaßnahmen staatlicher Stellen haben einen unantastbaren Kernbereich privater Lebensgestaltung zu wahren, dessen Schutz sich aus Art. 1 Abs. 1 GG ergibt […]. Selbst überwiegende Interessen der Allgemeinheit können einen Eingriff in ihn nicht rechtfertigen […]. Zur Entfaltung der Persönlichkeit im Kernbereich privater Lebensgestaltung gehört die Möglichkeit, innere Vorgänge wie Empfindungen und Gefühle sowie 21 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 257; BVerfG, Urteil vom 20. April 2016 – 1 BvR 966/09 –, juris Rn. 216. 22 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 259. 23 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 260. 24 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 269. 25 BVerfG, Beschluss vom 20. September 2016 – 2 BvE 5/15 –, juris Rn. 41. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 088/19 Seite 8 Überlegungen, Ansichten und Erlebnisse höchstpersönlicher Art ohne die Angst zum Ausdruck zu bringen, dass staatliche Stellen dies überwachen [...].“26 Zum Schutz des Kernbereichs privater Lebensgestaltung ist zunächst vorzusehen, dass eine Informationserhebung aus diesem Bereich möglichst unterbleibt.27 Ist dies nicht möglich, muss der Gesetzgeber Sicherungen auf der Aus- und Verwertungsebene vorsehen.28 Hierzu muss insbesondere sichergestellt werden, dass erhobene Daten mit Kernbereichsbezug unverzüglich gelöscht werden und eine Verwertung ausgeschlossen ist.29 Eine entscheidende Bedeutung kann hierzu aus Sicht des Bundesverfassungsgerichts auch einer Sichtung der Daten durch eine unabhängige Stelle zukommen. *** 26 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 271. 27 BVerfG, Beschluss vom 20. September 2016 – 2 BvE 5/15 –, juris Rn. 219. 28 BVerfG, Beschluss vom 20. September 2016 – 2 BvE 5/15 –, juris Rn. 220. 29 BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07 –, juris Rn. 277.