BVerfG erklärt BKA-Gesetz großenteils für verfassungswidrig: Mit Kor­rek­turen zurück

2/3: Konkretisierte Vorgaben für Verwendung und Weitergabe

Neben den Ermittlungsbefugnissen nach dem BKA-Gesetz musste sich das BVerfG auch mit den Bestimmungen über die weitere Verwendung der Daten und die damit oft verbundene Übermittlung an andere Behörden im In- und Ausland befassen. In der Praxis kann sich diese Problematik insbesondere bei sogenannten "Zufallsfunden" stellen – wenn also das BKA im Zuge einer von ihm durchgeführten Überwachung auf andere Straftaten aufmerksam wird, die in den Zuständigkeitsbereich anderer Behörden fallen.

Das Gericht nutzt die Gelegenheit, um die lange Rechtsprechung hierzu in allgemeiner Weise zu "konsolidieren" und "behutsam einzuschränken" sowie insbesondere für die Datenübertragung ins Ausland erstmalig klare Maßstäbe aufzustellen.

"Hypothetische Neuerhebung" als Maßstab

Demnach darf der Gesetzgeber eine über den ursprünglichen Anlass hinausreichende Verwendung von Daten durch die erhebende Behörde selbst erlauben, sofern mit dieser weiteren Verwendung derselbe generelle Zweck verfolgt wird wie mit der ursprünglichen Erhebung. Eine Ausnahme gilt allerdings für Daten aus der Überwachung von Wohnräumen und IT-Systemen: Diese dürfen auf Grund des großen Eingriffsgewichts nur erneut verwendet werden, wenn eine Gefahrenlage vorliegt, die auch zur erstmaligen Erhebung dieser Daten berechtigen würde.

Eine Nutzung zu anderen Zwecken als dem ursprünglichen könne der Gesetzgeber ebenfalls gestatten. Dies allerdings nur, wenn die Verwendung zu diesem neuen Zweck dem Schutz von Rechtsgütern oder der Aufdeckung von Straftaten dient, die so gewichtig sind, dass sie im Grundsatz auch eine erstmalige Erhebung der Daten gestatten würden. Die Zulässigkeitsschwelle soll sich also an der hypothetischen Neuerhebung der Daten orientieren, allerdings in Hinblick auf die Konkretisierung des Anlasses geringfügig niedriger liegen, als es für eine tatsächliche Neuerhebung notwendig wäre. Anstelle einer "konkretisierten Gefahrenlage" will das BVerfG einen "konkreten Ermittlungsansatz" ausreichen lassen – wiederum mit Ausnahme von Daten aus der Überwachung von Wohnräumen oder IT-Systemen.

Dieselben Maßstäbe sollen auch für eine Datenübermittlung ins Ausland gelten. Dann müsse als zusätzliches Erfordernis jedoch geprüft werden, ob im Empfängerstaat ein angemessenes (nicht notwendigerweise dem deutschen entsprechendes) Datenschutzniveau gewährleistet ist, und ob ausgeschlossen werden kann, dass die Daten dort zu menschenrechtswidrigen Zwecken genutzt werden würden. Umgekehrt dürften deutsche Behörden Daten, die auf menschenrechtswidrige Weise erlangt worden sind, von ausländischen Behörden nicht annehmen.

Verwendungs- und Übermittlungsbefugnisse "unverhältnismäßig weit"

Anhand dieser allgemeinen Vorgaben prüft das BVerfG sodann die Vorschriften des BKAG und flankierender Gesetze. Die Bestimmungen zur weiteren Datenverwendung durch das BKA selbst erklärt es für verfassungswidrig, soweit sie die Ausnahmeregel für Daten aus Wohnraum- und IT-Überwachung nicht berücksichtigen. Ebenfalls verfassungswidrig sei eine Regel, die die Datenverwendung durch das BKA im Rahmen von Zeugen- und Personenschutz ohne jegliche Einschränkung vorsieht.

Weiter beanstandet das BVerfG die Übermittlung von Daten an andere Behörden im Inland, sofern diese unabhängig von einem konkreten Ermittlungsansatz erfolgt. Insbesondere sei die Übermittlung von Daten zum Zweck der Strafverfolgung verfassungswidrig, da sie den vorstehend skizzierten Einschränkungen nicht Rechnung trage. Unverhältnismäßig weit seien auch die Befugnisse zur Datenübermittlung an die Verfassungsschutzbehörden, den Militärischen Abschirmdienst und den Bundesnachrichtendienst.

Auch die Regeln zur Datenübertragung ins Ausland sind teilweise verfassungswidrig. Allerdings nicht, weil eine Prüfung des Datenschutzniveaus und der menschenrechtlichen Lage nicht vorgesehen wäre, sondern weitgehend aus denselben Erwägungen heraus, aus denen auch die Vorschriften zur Übertragung an inländische Behörden unzulänglich sind.

Schließlich mangele es in allen genannten Fällen an einer effektiven Kontrolle durch die Bundesdatenschutzbeauftragte.