Die Beschwerdeführenden, darunter Rechtsanwältinnen, ein politischer Aktivist und Mitglieder der organisierten Fußball-Fanszene, wenden sich unter anderem gegen die Befugnis des BKA zur heimlichen Überwachung von Kontaktpersonen mit besonderen Mitteln zum Zweck der Terrorismusabwehr (§ 45 Abs. 1 Satz 1 Nr. 4 BKAG) und die Regelungen zur Weiterverarbeitung bereits erhobener personenbezogener Daten im Informationssystem des Bundeskriminalamts (§ 16 Abs. 1 i.V.m. § 12 Abs. 1 Satz 1 BKAG) sowie im polizeilichen Informationsverbund (§ 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 BKAG). Der polizeiliche Informationsverbund ist eine gemeinsame föderale Datenplattform der Polizeibehörden des Bundes und der Länder zum Austausch von Daten.

Verfassungsbeschwerde teilweise begründet

Die Verfassungsbeschwerde ist, soweit sie zulässig ist, teilweise begründet. Die angegriffenen Regelungen greifen in das Grundrecht der Beschwerdeführenden auf informationelle Selbstbestimmung als Ausprägung des allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG ein. Eingriffe in dieses Grundrecht bedürfen einer gesetzlichen Ermächtigung, die einen legitimen Gemeinwohlzweck verfolgt und für die Zweckerreichung geeignet, erforderlich und verhältnismäßig im engeren Sinne ist. Dabei ergeben sich aus dem Grundsatz der Verhältnismäßigkeit im engeren Sinne spezielle Anforderungen. Wie streng diese im Einzelnen sind, bestimmt sich nach dem Eingriffsgewicht der jeweiligen Befugnis zur Erhebung von oder dem weiteren Umgang mit personenbezogenen Daten. Zur Konkretisierung der Rechtfertigungsanforderungen sind deshalb die grundsätzlich verschiedenen, aber aufeinander bezogenen Grundrechtseingriffe zu unterscheiden. Vorliegend ist insbesondere zwischen der gesondert geregelten Datenerhebung sowie der unter dem Oberbegriff der Weiterverarbeitung einheitlich normierten Speicherung personenbezogener Daten und deren weiterer Nutzung zu differenzieren. Eine Verwendung zuvor erhobener Daten über den ursprünglichen Anlass hinaus begründet dabei einen neuen Grundrechtseingriff und muss verfassungsrechtlich eigens gerechtfertigt werden.

BVerfG bemängelt heimliche Überwachung von Kontaktpersonen

§ 45 Abs. 1 Satz 1 Nr. 4 BKAG genügt in seiner konkreten Ausgestaltung nicht diesen verfassungsrechtlichen Anforderungen. Die Vorschrift ermächtigt das Bundeskriminalamt zur heimlichen Überwachung von Kontaktpersonen mit besonderen Mitteln zum Zweck der Terrorismusabwehr. Die durch die Befugnisnorm gestatteten Eingriffe in das Grundrecht auf informationelle Selbstbestimmung können erhebliches Gewicht haben. Insbesondere wenn die Maßnahmen gebündelt durchgeführt werden und dabei darauf zielen, möglichst alle Äußerungen und Bewegungen zu erfassen und bildlich wie akustisch festzuhalten, können sie tief in die Privatsphäre eindringen und ein besonders schweres Eingriffsgewicht erlangen. Die diesem Eingriffsgewicht entsprechenden verfassungsrechtlichen Anforderungen wahrt § 45 Abs. 1 Satz 1 Nr. 4 BKAG nicht. Die Vorschrift ist nicht zu vereinbaren mit den besonderen Anforderungen, die sich aus der Verhältnismäßigkeit im engeren Sinne an die Rechtfertigung heimlicher Überwachungsmaßnahmen der Polizei ergeben.

Diese Anforderungen richten sich sowohl an das mit der Datenerhebung zu schützende Rechtsgut als auch an die vorliegend allein gerügte sogenannte Eingriffsschwelle, also den Anlass der Überwachung. Der Einsatz einer eingriffsintensiven heimlichen Überwachungsbefugnis wie der vorliegenden setzt schon gegenüber der verantwortlichen Person eine wenigstens konkretisierte Gefahr für ein hinreichend gewichtiges Rechtsgut voraus. Sollen auch Kontaktpersonen aus dem Umfeld der verantwortlichen Person mit derartigen Mitteln überwacht werden, bedarf es einer hinzutretenden spezifischen individuellen Nähe der Betroffenen zu der aufzuklärenden Gefahr. Unabhängig davon ist Voraussetzung der Überwachung von Kontaktpersonen, dass jedenfalls eine Überwachung der verantwortlichen Person mit entsprechenden Mitteln zulässig wäre. Andernfalls fehlte es bereits an einer hinreichenden aufzuklärenden Gefahr. Diesen Anforderungen an die Eingriffsschwelle genügt § 45 Abs. 1 Satz 1 Nr. 4 BKAG bereits hinsichtlich der notwendigen Gefahrnähe der in Bezug genommenen verantwortlichen Person nicht; erst recht darf deshalb eine nicht verantwortliche Kontaktperson nicht überwacht werden.

§ 45 Abs. 1 Satz 1 Nr. 4 BKAG erlaubt die Datenerhebung hinsichtlich einer Kontaktperson (§ 39 Abs. 2 Nr. 2 BKAG), wenn diese in einer spezifischen Nähebeziehung zu einer verantwortlichen Person steht und die Abwehr der Gefahr oder die Verhütung der Straftaten auf andere Weise aussichtslos ist oder wesentlich erschwert wäre. § 39 Abs. 2 Nr. 2 BKAG nimmt Bezug auf eine verantwortliche Person nach § 39 Abs. 2 Nr. 1 BKAG. Nach § 39 Abs. 2 Nr. 1 BKAG genügt für eine Erhebung personenbezogener Daten, dass Tatsachen die Annahme rechtfertigen, dass diese Person „eine Straftat nach § 5 Absatz 1 Satz 2 begehen will und die erhobenen Daten zur Verhütung dieser Straftat erforderlich sind“. Damit bleiben die Anforderungen weit hinter den in § 45 Abs. 1 Satz 1 Nr. 1 bis 3 BKAG normierten Anforderungen für besondere Mittel der Datenerhebung bei verantwortlichen Personen zurück und sollen schon nach der gesetzlichen Konzeption nur für weniger eingriffsintensive Erhebungen gelten. Eine für derart eingriffsintensive Maßnahmen hinreichende Eingriffsschwelle kann § 45 Abs. 1 Satz 1 Nr. 4 BKAG auch nicht im Wege der verfassungskonformen Auslegung entnommen werden.

Eingriffsbefugnis wahrt verfassungsrechtlichen Anforderungen an zweckwahrende Nutzung

Soweit die Verfassungsbeschwerde sich gegen § 16 Abs. 1 BKAG wendet, bestehen keine durchgreifenden verfassungsrechtlichen Bedenken gegen die Vorschrift. § 16 Abs. 1 BKAG ermächtigt das BKA zur Weiterverarbeitung personenbezogener Daten in seinem Informationssystem. Die Rüge bezieht sich allein auf die Weiterverarbeitung personenbezogener Daten, die das BKA zuvor mit besonders eingriffsintensiven Mitteln (§ 45 Abs. 2 BKAG) erhoben hat und im Rahmen der Aufgabenerfüllung zum Zweck der Terrorismusabwehr (§ 5 BKAG) verarbeitet. Gerügt ist nur die Weiterverarbeitung der Daten im Rahmen ihrer ursprünglichen Zwecke (vgl. § 12 Abs. 1 Satz 1 BKAG). In diesem Umfang erlaubt § 16 Abs. 1 BKAG Eingriffe in das Grundrecht auf informationelle Selbstbestimmung von erheblichem Gewicht. Eingriffsverstärkend wirkt, dass die verarbeiteten Daten zuvor mit eingriffsintensiven Überwachungsmethoden erhoben wurden. Das Eingriffsgewicht wird allerdings dadurch begrenzt, dass die Vorschrift allein die Weiterverarbeitung der Daten im Rahmen ihrer ursprünglichen Zwecke ermöglicht.

Die verfassungsrechtlichen Rechtfertigungsanforderungen der Weiterverarbeitung ergeben sich im Ausgangspunkt aus dem Gewicht der vorausgegangenen Datenerhebungseingriffe; insoweit gelten die Grundsätze der Zweckbindung und Zweckänderung. Die jeweilige Eingriffsgrundlage bestimmt die zur Datenerhebung ermächtigte Behörde, den Zweck und die Bedingungen der Datenerhebung und definiert damit die erlaubte Verwendung. Die Zweckbindung der auf ihrer Grundlage gewonnenen Informationen bestimmt sich nach der Reichweite der Erhebungszwecke in der für die jeweilige Datenerhebung maßgeblichen Ermächtigungsgrundlage. Eine weitere Nutzung innerhalb der ursprünglichen Zwecksetzung kommt damit nur seitens derselben Behörde im Rahmen derselben Aufgabe und für den Schutz derselben Rechtsgüter in Betracht wie für die Datenerhebung maßgeblich.

Im Falle einer zweckwahrenden Weiterverarbeitung sind die erhobenen Daten grundsätzlich zu löschen, nachdem der unmittelbare Anlassfall abgeschlossen und damit der der Erhebungsmaßnahme zugrundeliegende konkrete Zweck erfüllt ist. Ein Absehen von einer Löschung über den unmittelbaren Anlassfall hinaus kommt nur in Betracht, soweit sich aus den Daten – sei es aus ihnen selbst, sei es in Verbindung mit weiteren Kenntnissen der Behörde – zwischenzeitlich ein konkreter Ermittlungsansatz ergeben hat und damit die Voraussetzungen einer zweckändernden Nutzung vorliegen. Die zweckwahrende Verarbeitung („weitere Nutzung“) personenbezogener Daten, die zuvor mit besonders eingriffsintensiven Mitteln des § 45 Abs. 2 BKAG erhoben worden sind, nach § 16 Abs. 1 i.V.m. § 12 Abs. 1 Satz 1 BKAG genügt in Zusammenschau mit den gesetzlichen Löschungsvorgaben den verfassungsrechtlichen Anforderungen. Die Eingriffsbefugnis wahrt die verfassungsrechtlichen Anforderungen an eine zweckwahrende Nutzung. Die Vorgaben des § 12 Abs. 1 Satz 1 BKAG sichern neben der Identität der erhebenden und verarbeitenden Behörde (BKA, dass die Weiterverarbeitung nur zur Erfüllung derselben Aufgabe und zum Schutz derselben Rechtsgüter oder zur Verfolgung oder Verhütung derselben Straftaten erfolgt.

Die verfassungsrechtlichen Vorgaben werden auch gewahrt, soweit das BKA im Rahmen dieser gesetzlichen Vorgaben die zur Terrorismusabwehr erhobenen personenbezogenen Daten so lange zweckwahrend weiterverarbeiten kann, wie der der Datenerhebung zugrundeliegende konkrete Gefahrenabwehrvorgang noch nicht abgeschlossen ist. Auf diese Weise kann dem gewichtigen Bedürfnis einer effektiven Terrorismusabwehr durch eine adäquate Bestimmung des Zwecks der Maßnahme Rechnung getragen werden. Der Gesetzgeber hat durch Löschungsvorgaben sichergestellt, dass bei einer Weiterverarbeitung nach § 16 Abs. 1 i.V.m. § 12 Abs. 1 Satz 1 BKAG der Grundsatz der Zweckbindung gewahrt wird. Personenbezogene Daten sind unverzüglich zu löschen, wenn ihre Kenntnis für die Aufgabenerfüllung nicht mehr erforderlich ist beziehungsweise wenn sie zur Erfüllung des der Erhebungsmaßnahme zugrundeliegenden Zwecks nicht mehr erforderlich sind (vgl. § 77 Abs. 1 Satz 1 BKAG, § 75 Abs. 2 Bundesdatenschutzgesetz und § 79 Abs. 1 Satz 1 BKAG). Dies genügt den verfassungsrechtlichen Anforderungen. Der Grundsatz der Zweckwahrung wird durch § 79 Abs. 1 Satz 1 a.E. BKAG hinreichend gesichert. Danach sind die Daten ausdrücklich nur zu löschen, soweit keine Weiterverarbeitung nach den Vorschriften des Abschnitts 2 Unterabschnitt 2 erfolgt, zu denen § 16 Abs. 1 BKAG gehört. Mit Blick auf die zweckwahrende weitere Verwendung der Daten kommt ein Absehen von einer Löschung nach Erfüllung des der Erhebungsmaßnahme zugrundeliegenden konkreten Zwecks nur insoweit in Betracht, als sich aus den Daten konkrete Ermittlungsansätze für die Abwehr von Gefahren des internationalen Terrorismus ergeben.

Speicherungsbefugnis erlaubt Eingriffe in das Grundrecht auf informationelle Selbstbestimmung von erheblichem Gewicht

§ 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1, soweit dieser in Verbindung mit § 13 Abs. 3, § 29 BKAG die Speicherung zuvor erhobener personenbezogener Grunddaten durch das BKA im polizeilichen Informationsverbund erlaubt, genügt nicht den verfassungsrechtlichen Anforderungen. Hier zur Prüfung steht nur die Bereitstellung der Daten im polizeilichen Informationsverbund, nicht aber der Zugriff auf diese Daten. Nicht gegenständlich ist die Weiterverarbeitung mittels Wohnraumüberwachung oder Online-Durchsuchung gewonnener personenbezogener Daten. Die durch § 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 BKAG eröffnete Speicherungsbefugnis erlaubt Eingriffe in das Grundrecht auf informationelle Selbstbestimmung von erheblichem Gewicht. Eingriffsintensivierend wirkt sich aus, dass die vorsorgende Speicherung regelhaft eine zweckändernde Weiterverarbeitung darstellt. Denn in den meisten Fällen werden personenbezogene Daten zum Zweck der Verhütung und Verfolgung von Straftaten gespeichert, die ursprünglich zu anderen konkreten Zwecken erhoben worden sind. Die Speicherung hat vorliegend auch mit Blick auf die Herkunft der personenbezogenen Daten ein erhöhtes Eingriffsgewicht, soweit diese zuvor mittels besonders eingriffsintensiver Überwachungsmaßnahmen erhoben worden sind. Aufgrund der Heimlichkeit der vorsorgenden Speicherung ist die Erlangung nachträglichen Rechtsschutzes erheblich eingeschränkt, was das Eingriffsgewicht erhöht. Mit Blick auf Art und Umfang der zu speichernden personenbezogenen Daten wird das Eingriffsgewicht durch die Vorgaben in § 18 Abs. 2 Nr. 1 BKAG beschränkt. Gespeichert werden können im gerügten Umfang von Beschuldigten nur Grunddaten (insbesondere Name, Geschlecht, Geburtsdatum, Geburtsort, Staatsangehörigkeit und Anschrift) und bestimmte tatvorwurfsbezogene Informationen. Diesen Daten kommt eine nicht unerhebliche, aber beschränkt bleibende Persönlichkeitsrelevanz zu. Für die Beurteilung der Eingriffsintensität zu gewichten sind auch die weitreichenden Verwendungsmöglichkeiten der gespeicherten Daten durch eine Vielzahl von Behörden (vgl. § 29 Abs. 3 BKAG). Neben der Auswertung durch das BKA und einer entsprechenden Unterrichtung der Strafverfolgungsbehörden kann die Weiterverarbeitung auch auf eine Kooperation im Rahmen des polizeilichen Informationsverbunds gerichtet sein. Im Rahmen dieses Datenaustauschs erhalten weitere Sicherheitsbehörden auf einen mitunter erheblichen Teil der personenbezogenen Daten Zugriff. Die erleichterten Zugriffsmöglichkeiten erhöhen die Eingriffsintensität.

Angesichts dieses erheblichen Eingriffsgewichts wahrt § 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 i.V.m. § 13 Abs. 3, § 29 BKAG nicht die verfassungsrechtlichen Anforderungen. Es fehlt an einer hinreichend normierten Speicherungsschwelle und den gebotenen Vorgaben zur Speicherdauer. Die vorsorgende Speicherung stellt eine Zweckänderung dar. Für eine verfassungsrechtliche Rechtfertigung erforderlich sind jedenfalls die Festlegung angemessener Speicherzwecke und Speicherschwellen sowie die Bestimmung einer angemessenen Speicherdauer. Für die Bestimmung der Speicherschwelle muss der Gesetzgeber neben Herkunft, Art und Umfang der Daten insbesondere berücksichtigen, dass sich die Speicherung auch im Einzelfall an den festgelegten Speicherzwecken messen lassen muss. Die Speicherschwelle muss den Zusammenhang zwischen den vorsorgend gespeicherten personenbezogenen Daten und der Erfüllung des Speicherzwecks in verhältnismäßiger Weise absichern und den spezifischen Gefahren der vorsorgenden Speicherung angemessen begegnen. Dies ist bei der Speicherung von Daten für die Verhütung und Verfolgung vom Speicherzweck erfasster Straftaten nur gegeben, wenn eine hinreichende Wahrscheinlichkeit dafür besteht, dass die Betroffenen eine strafrechtlich relevante Verbindung zu möglichen Straftaten aufweisen werden und gerade die gespeicherten Daten zu deren Verhütung und Verfolgung angemessen beitragen können. Diese Prognosen müssen sich auf zureichende tatsächliche Anhaltspunkte stützen. Für die verfassungsrechtliche Rechtfertigung der vorsorgenden Speicherung personenbezogener Daten bedarf es zudem der gesetzlichen Regelung einer angemessenen Speicherdauer. Diese wird insbesondere geprägt durch das Eingriffsgewicht, die Belastbarkeit der Prognose in der Zeit sowie durch andere sich aus dem Grundsatz der Verhältnismäßigkeit ergebende Gesichtspunkte. Die Prognose verliert über die Zeit ohne Hinzutreten neuer relevanter Umstände grundsätzlich an Überzeugungskraft.

§ 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 i.V.m. § 13 Abs. 3, § 29 BKAG ist mit dem Grundsatz der Verhältnismäßigkeit im engeren Sinne unvereinbar. Die Vorschrift enthält für die Speicherung personenbezogener Daten zu Zwecken künftiger Straftatenverhütung und -verfolgung keine hinreichende Speicherschwelle. Sie lässt für die vorsorgende Speicherung allein die Beschuldigteneigenschaft genügen. Insbesondere ist eine Negativprognose fachrechtlich nicht vorgesehen. Der Status des Beschuldigten ist mit Unsicherheiten hinsichtlich der Beziehung zur vorgeworfenen Straftat verbunden und vermag deshalb für sich allein erst recht keinen belastbaren Schluss auf die hinreichende Wahrscheinlichkeit einer relevanten Beziehung zu anderen zukünftig zu verfolgenden oder zu verhütenden Straftaten zu tragen. Auch wenn die Praxis des BKS prognostische Elemente vor einer Speicherung berücksichtigt, ist für die verfassungsrechtliche Beurteilung der Befugnis deren rechtliche Reichweite und nicht eine Behördenpraxis maßgeblich. Den verfassungsrechtlichen Anforderungen wird auch nicht dadurch entsprochen, dass eine Speicherung nach § 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 BKAG die Prüfung der Erforderlichkeit im Einzelfall voraussetzt. Mangels näher bestimmter Vorgaben genügt sie in ihrer Offenheit nicht dem verfassungsrechtlich gebotenen Differenzierungsgrad.

Überdies fehlt es an einem hinreichend ausdifferenzierten Regelungskonzept zur Speicherdauer. Nach § 75 Abs. 2 BDSG sind personenbezogene Daten unverzüglich zu löschen, wenn ihre Verarbeitung unzulässig ist, sie zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen oder ihre Kenntnis für die Aufgabenerfüllung nicht mehr erforderlich ist. Zudem enthält § 75 Abs. 4 BDSG die Pflicht, angemessene Fristen vorzusehen und durch verfahrensrechtliche Vorkehrungen sicherzustellen, dass diese Fristen eingehalten werden. Ob gespeicherte personenbezogene Daten zu löschen sind, überprüft das BKA danach zuvörderst im Rahmen einer durch Gesetz oder Verordnung nicht hinreichend angeleiteten Einzelfallbearbeitung. Zwar sieht § 77 Abs. 1 Satz 1 BKAG zeitlich festgelegte Fristen für die Prüfung der Löschungspflichten vor. Allerdings genügt dies allein nicht den Anforderungen an ein durch den Gesetzgeber auszugestaltendes Regelungskonzept. Es bleibt hier weiterhin dem BKA überlassen, durch eigene innerbehördliche Vorgaben die Prüfungs- und Aussonderungsfristen zu konkretisieren.

§ 45 Abs. 1 Satz 1 Nr. 4 BKAG gilt mit der Maßgabe fort, dass er nur zur Anwendung gelangt, wenn in der Person, zu der die von der Maßnahme betroffene „Kontaktperson“ in Kontakt steht (§ 39 Abs. 2 Nr. 2 BKAG), eine der in § 45 Abs. 1 Satz 1 Nr. 2 bis 3 BKAG geregelten Voraussetzungen vorliegt. § 18 Abs. 1 Nr. 2, Abs. 2 Nr. 1 i.V.m. § 13 Abs. 3, § 29 BKAG gilt mit der Maßgabe fort, dass eine Speicherung der personenbezogenen Daten nur gestattet ist, wenn eine spezifische Negativprognose in der Weisegestellt worden ist, dass die Betroffenen mit hinreichender Wahrscheinlichkeit eine strafrechtlich relevante Verbindung zu möglichen Straftaten aufweisen werden und gerade die gespeicherten Daten zu deren Verhütung und Verfolgung angemessen beitragen können. Diese Prognosen müssen sich auf zureichende tatsächliche Anhaltspunkte stützen.