Die GFF hat in Karlsruhe Verfassungsbeschwerde gegen das Bundeskriminalamtgesetz (BKAG) in seiner Fassung vom 1. Juni 2017 eingereicht. Verschiedene Regelungen des BKAG verletzen das Grundrecht auf informationelle Selbstbestimmung sowie das Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, kurz IT-Grundrecht.

Kontaktpersonen von Verdächtigen können überwacht werden

Das BKAG stattet das Bundeskriminalamt mit einer Reihe möglicher Überwachungsmaßnahmen aus. Insbesondere zur Terrorismusabwehr stehen weitreichende Mittel der verdeckten Überwachung zur Verfügung, etwa Abhörmaßnahmen oder der Einsatz verdeckter Ermittler*innen. Bereits 2016 hatte das Bundesverfassungsgericht in seinem Urteil zum alten BKAG festgestellt, dass diese Mittel nur unter bestimmten, verfassungsrechtlich definierten Anforderungen zum Einsatz kommen dürfen. Das Bundesverfassungsgericht trug dem Gesetzgeber daher auf, das BKAG zu verbessern und sicherzustellen, dass die darin enthaltenen Grundrechtseingriffe immer im Verhältnis zu ihrem Ziel, der Terrorismusabwehr, stehen.

Dies ist auch in der Neufassung des BKAG von 2017 nicht der Fall. Noch immer können Personen, die lediglich Kontakt zu einer verdächtigen Person hatten, zum Ziel von Überwachungsmaßnahmen werden. Dies betrifft auch zwei der Beschwerdeführerinnen, die durch ihre berufliche Tätigkeit als Anwältinnen in Kontakt mit Verdächtigen stehen. Die Überwachungsmaßnahmen, die dem BKA in einem solchen Fall zur Verfügung stehen, betreffen den Kernbereich der Privatsphäre eines Menschen.

In seinem Urteil vom 1. Oktober 2024 erklärt das Bundesverfassungsgericht, dass für heimliche Überwachungsmaßnahmen gegenüber bloßen Kontaktpersonen eine spezifische individuelle Nähe zur potenziellen Straftat feststehen muss. Die Voraussetzungen für eine Überwachung waren hier zu unbestimmt und weit gefasst und verstoßen gegen das Recht auf Privatsphäre und informationelle Selbstbestimmung.

Staatstrojaner gefährdet IT-Sicherheit

Zudem enthält das BKAG seit 2017 – wie auch viele Polizeigesetze – Befugnisse zum Einsatz sogenannter Staatstrojaner. Das BKA kann zur Terrorismusabwehr Online-Durchsuchungen vornehmen sowie die laufende Kommunikation auswerten (Quellen-TKÜ). Zu diesem Zweck darf das BKA staatliche Spähsoftware auf den Rechnern Verdächtiger aufspielen und dafür selbst solche Sicherheitslücken in Hard- und Software ausnutzen, die den Herstellern unbekannt sind. Dieser Umgang mit IT-Sicherheitslücken bedroht die IT-Sicherheit aller Bürger*innen, obwohl der Staat sie eigentlich zu schützen hätte. Der Staatstrojaner verletzt daher das sogenannte IT-Grundrecht, das die Vertraulichkeit und Integrität informationstechnischer Systeme gewährleistet.

Update: Mit Blick auf die Entscheidung des Bundesverfassungsgerichts zu unserer Verfassungsbeschwerde gegen das Polizeigesetz Baden-Württemberg haben wir die Rüge zum Staatstrojaner zurückgezogen, womit die staatliche Spähsoftware nicht mehr Teil der mündlichen Verhandlung am 20. Dezember 2023 ist. Hier hat das Bundesverfassungsgericht mehr Vortrag von uns verlangt, den wir weder in jenem Verfahren noch im vorliegenden Verfahren gegen das BKA-Gesetz nachholen konnten – dafür aber in unserem Verfahren gegen das G10.

BKA-Datensammlung bedarf konkreter Grenzen

Schließlich zielt die Verfassungsbeschwerde darauf ab, die Datenbestände des BKA verfassungskonform zu regulieren. Insoweit betritt die Verfassungsbeschwerde Neuland, weil es an konkreten verfassungsrechtlichen Maßstäben für das Sammeln und Speichern von Daten durch das BKA noch fehlt. Sensible personenbezogene Daten können bereits aufgrund vager Anhaltspunkte, teils sogar aufgrund bloßer Vermutungen in weitem Umfang bevorratet und ohne weitere sachliche und zeitliche Grenzen genutzt werden. Dadurch können umfassende Persönlichkeitsprofile von Menschen entstehen und auf Dauer gespeichert bleiben, die sich nie etwas haben zuschulden kommen lassen.

Die Datensammlung des BKA erstreckt sich auf erhebliche Kreise der Bevölkerung und begründet für die betroffenen Personen das Risiko, Opfer von diskriminierenden Befragungen bis hin zu freiheitsentziehenden Maßnahmen zu werden. Die Verfassungsbeschwerde unterbreitet mit Blick auf die Datensammlungen des BKA einen Vorschlag zur Konkretisierung der erforderlichen verfassungsrechtlichen Maßstäbe.

Zumindest was die Voraussetzungen für die Aufnahme von Beschuldigten in die Datenbank INPOL angeht, erklärte das Bundesverfassungsgericht die entsprechende Regelung für unvereinbar mit dem Recht auf informationelle Selbstbestimmung. Die vorsorgliche Speicherung in INPOL erfordere als relevanter Grundrechtseingriff eine gewisse Erheblichkeits-Schwelle und eine individuelle Negativ-Prognose.

Mehrere Grundrechtsverletzungen

Umfassende Überwachungsermächtigungen, unkontrolliertes Datensammeln – das Bundesverfassungsgericht erklärte mehrere Eingriffsbefugnisse nach dem BKAG für verfassungswidrig. Die fünf Beschwerdeführer*innen der Verfassungsbeschwerde könnten von den grundrechtswidrigen Maßnahmen durch ihre beruflichen oder sonstigen Tätigkeiten mit besonderer Wahrscheinlichkeit betroffen sein, doch im Endeffekt können alle Bürger*innen unverschuldet ins Visier des BKA geraten. Ziel der Verfassungsbeschwerde war, dass diese Missstände behoben werden und das Bundesverfassungsgericht konkrete Maßstäbe für die Datenbevorratung und -nutzung durch das BKA schafft.

BKA-Gesetz teilweise verfassungswidrig

Im Dezember 2023 verhandelte das Bundesverfassungsgericht unsere Verfassungsbeschwerde gegen das BKAG.

In der mündlichen Verhandlung wurde durch die Fragen des Ersten Senats und auch durch die Antworten der Bundesregierung sehr deutlich, dass die angegriffenen Befugnisse zur Überwachung von Kontaktpersonen zu weitgehend formuliert und nicht klar geregelt sind. Verfassungsrichterin Ines Härtel betonte, dass für eine besonders eingriffsintensive Norm – wie die für heimliche Überwachung – auch besondere Anforderungen an die Normklarheit gelten.

Weiter wurde der von Bund und Ländern gemeinsam genutzten Informationsverbund INPOL ausführlich erörtert. Die Datenbank, auf die Polizeibehörden in ganz Deutschland zugreifen können. Hier wurde an den Fragen des Gerichts und den Antworten der Regierung deutlich, dass es kein ganz klares Kontrollprogramm gibt, bevor Daten in die Datenbank aufgenommen werden. Insbesondere wurde auch klar, dass nicht in jedem Fall geprüft wird, ob ein Mensch wirklich gefährlich ist, bevor er in die Datenbank eingetragen wird.