Strategische Inland-Ausland-Fernmelde­über­wachung durch den BND im Bereich der Cybergefahren teilweise verfassungswidrig

Die Beschwerdeführenden sind deutsche und ausländische Staatsangehörige, die beruflich und privat mittels E-Mail, Telefon und Messengerdiensten Kontakt ins Ausland oder vom Ausland nach Deutschland unterhalten. Ein Beschwerdeführer ist als Rechtsanwalt im Bereich des Datenschutz- und IT-Rechts tätig. Bei einem weiteren Beschwerdeführer handelt es sich um den deutschen Ableger einer internationalen Nichtregierungsorganisation für den Schutz der Menschenrechte. Weitere Beschwerdeführende engagieren sich für den Menschenrechtsschutz im Ausland. Beide Verfassungsbeschwerden richten sich unmittelbar gegen die im November 2015 neu in das Artikel 10-Gesetz eingefügte Befugnis des Bundesnachrichtendienstes zur strategischen Inland-Ausland-Fernmeldeüberwachung nach § 5 Abs. 1 Satz 3 Nr. 8 G 10 im Bereich der Cybergefahren. Die Befugnis bezieht sich auf die Gefahr des internationalen kriminellen, terroristischen oder staatlichen Angriffs mittels Schadprogrammen oder vergleichbaren schädlich wirkenden informationstechnischen Mitteln auf die Vertraulichkeit, Integrität oder Verfügbarkeit von informationstechnischen Systemen und Netzen in Fällen von erheblicher Bedeutung mit Bezug zur Bundesrepublik Deutschland. Die Verfassungsbeschwerden richten sich außerdem gegen verschiedene bereits zuvor eingeführte Regelungen, die diese Befugnis flankieren. Konkret ermächtigt die Vorschrift zur Erfassung und Speicherung von Telekommunikationsrohdatenströmen aus Übertragungswegen, zur Auswertung dieser Rohdaten durch den automatisierten Abgleich mit Suchbegriffen, zur händischen Auswertung der herausgefilterten Daten sowie zur weiteren eigenen Verwendung der als nachrichtendienstlich relevant eingestuften Daten. Abzugrenzen ist die strategische Inland-Ausland-Fernmeldeaufklärung von der strategischen Ausland-Ausland-Fernmeldeaufklärung nach dem BND-Gesetz. Dabei geht es um die Überwachung des Telekommunikationsverkehrs, an dem ausschließlich ausländische Kommunikationsteilnehmende im Ausland beteiligt sind. Generell nicht strategisch überwachen darf der Bundesnachrichtendienst den Telekommunikationsverkehr, an dem auf beiden Seiten ausschließlich deutsche Staatsangehörige oder inländische Personen beteiligt sind.

Überwachung trotz des "besonders hohen Eingriffsrechts" grundsätzlich zulässig

Die Verfassungsbeschwerden sind, soweit sie zulässig sind, überwiegend begründet. Die Ermächtigung zur Datenerhebung und weiteren Datenverarbeitung im Wege der strategischen Inland-Ausland-Fernmeldeaufklärung nach § 5 Abs. 1 Satz 3 Nr. 8 G 10 verletzt das Fernmeldegeheimnis aus Art. 10 Abs. 1 GG, weil sie nicht in vollem Umfang dem Verhältnismäßigkeitsgrundsatz genügt. Die angegriffene Ermächtigung in § 5 Abs. 1 Satz 3 Nr. 8 G 10 betrifft den sachlichen Schutzbereich von Art. 10 Abs. 1 GG(Fernmeldegeheimnis/Telekommunikationsgeheimnis). Mit der grundrechtlichen Verbürgung aus Art. 10 Abs. 1 GG soll historisch vermieden werden, dass der vermittelte Meinungs- und Informationsaustausch über Entfernungen deswegen unterbleibt oder nach Form und Inhalt verändert wird, weil die Beteiligten damit rechnen müssen, dass staatliche Stellen sich in die Kommunikation einschalten und Kenntnisse über die Kommunikationsbeziehungen oder Kommunikationsinhalte gewinnen. Das Telekommunikationsgeheimnis begegnet nach wie vor alten sowie neuen Persönlichkeitsgefährdungen, die sich aus der gestiegenen Bedeutung der Informationstechnik für die Entfaltung des Einzelnen ergeben. Der sachliche Schutzbereich des Telekommunikationsgeheimnisses aus Art. 10 Abs. 1 GG umfasst zuvörderst den Kommunikationsinhalt.

Die strategische Telekommunikationsüberwachung ist ein Instrument von besonders schwerem Eingriffsgewicht, insbesondere weil sie anlasslos gegenüber jeder Person erlaubt ist und allein durch bestimmte Zwecksetzungen final angeleitet wird. Sie hat unter den heutigen Bedingungen der Kommunikationstechnik und ihrer Bedeutung für die Kommunikationsbeziehungen eine außerordentliche Reichweite. Das Eingriffsgewicht dieser Befugnis ist nicht mehr zu vergleichen mit demjenigen der Befugnisse, über die das BVerfG in seiner Entscheidung zur strategischen Inland-Ausland-Fernmeldeaufklärung im Jahr 1999 zu entscheiden hatte, sondern übersteigt dieses deutlich. Zugleich haben sich die Analysemöglichkeiten der Nachrichtendienste weiterentwickelt. Durch die Möglichkeit der Verwendung formaler Suchbegriffe rückt die strategische Telekommunikationsüberwachung näher an die individuelle Telekommunikationsüberwachung heran. Diesem besonders schweren Eingriffsgewicht steht ein überragendes öffentliches Interesse an einer wirksamen Inland-Ausland-Fernmeldeaufklärung gegenüber. Die für die Gewichtung dieses öffentlichen Interesses bedeutsamen Umstände sind sowohl mit Blick auf die grundlegend gewandelte außen- und sicherheitspolitische Lage als auch hinsichtlich der erheblich gesteigerten technologischen Möglichkeiten, auf die bei der Entwicklung von Gefahrenlagen zulasten der staatlichen Interessen der Bundesrepublik Deutschland zurückgegriffen werden kann, ebenfalls nicht mehr mit den Gegebenheiten der Entscheidung des BVerfG im Jahr 1999 vergleichbar.

An der Früherkennung von Cybergefahren aus dem Ausland, die von außen- und sicherheitspolitischer Bedeutung für die Bundesrepublik Deutschland sind, zum Schutz von kritischen digitalen Infrastrukturen oder vergleichbar wichtigen informationstechnischen Systemen besteht ein überragendes öffentliches Interesse. Die Zahl der internationalen Cyberangriffe auf informationstechnische Systeme in der Bundesrepublik Deutschland ist hoch und nimmt weiterhin zu. Das Gefährdungspotential internationaler Cyberangriffe ist außerordentlich hoch. Im Zuge der digitalen Transformation der Gesellschaft, Wirtschaft, Verwaltung und Politik hängen nahezu alle Lebensbereiche immer stärker von einer funktionierenden digitalen Infrastruktur und deren Sicherheit ab. Auch die Verfassungsorgane und die anderen notwendigen Faktoren des Verfassungslebens sind zur Wahrnehmung ihrer Aufgaben in zunehmendem Maße von der Nutzung informationstechnischer Systeme abhängig. Internationale Cyberangriffe auf kritische digitale Infrastrukturen oder vergleichbar wichtige informationstechnische Systeme zielen auf eine Destabilisierung des Gemeinwesens und können zur Bedrohung für die verfassungsmäßige Ordnung, den Bestand und die Sicherheit des Bundes oder der Länder sowie für Leib, Leben und Freiheit werden. In der digital transformierten Gesellschaft kann die Gefahr internationaler Cyberangriffe auf die IT-Infrastruktur elementarer und überlebenswichtiger Bereiche – etwa die Versorgung mit Wasser und Energie sowie das Transport- und Gesundheitswesen – ein vergleichbares Ausmaß wie die Gefahr eines bewaffneten Angriffs erreichen. Dieser ist in § 5 Abs. 1 Satz 3 Nr. 1 G 10 von Anfang an als legitimer Grund für die strategische Fernmeldeüberwachung anerkannt worden.

Dokumentation wird zu schnell gelöscht

Die Befugnis zur strategischen Inland-Ausland-Fernmeldeaufklärung ist trotz ihres besonders hohen Eingriffsgewichts aufgrund des überragenden öffentlichen Interesses grundsätzlich mit Art. 10 Abs. 1 GG vereinbar, bedarf aber der verhältnismäßigen Ausgestaltung. § 5 Abs. 1 Satz 3 Nr. 8 G 10 genügt den Anforderungen an die Begrenzung und Strukturierung der strategischen Inland-Ausland-Fernmeldeaufklärung nicht vollumfänglich. Es fehlt eine hinreichend bestimmte und normenklare Regelung zur Aussonderung von Daten aus der reinen Inlandskommunikation, an der nur deutsche Staatsangehörige oder inländische Personen beteiligt sind. Zwar sieht § 5 Abs. 1 Satz 3 Nr. 8 G 10 vor, dass nur internationale Telekommunikationsbeziehungen überwacht werden dürfen. Bei der Durchführung der strategischen Inland-Ausland-Fernmeldeaufklärung werden aber zwingend auch Daten aus rein inländischen Telekommunikationsverkehren miterfasst. Das betrifft jedenfalls die digitale, paketvermittelte Telekommunikation, die in der Praxis den weit überwiegenden Anteil der internationalen Telekommunikation ausmacht (unter anderem die gesamte Kommunikation über das Internet). Das Artikel 10-Gesetz enthält keine Vorgaben dazu, wie mit diesen notwendig miterfassten Daten aus rein inländischen Telekommunikationsverkehren umzugehen ist.

Ebenfalls nicht in vollem Umfang ausreichend sind die Vorkehrungen zum Schutz des Kernbereichs der privaten Lebensgestaltung. Zur Entfaltung der Persönlichkeit im Kernbereich privater Lebensgestaltung gehört die Möglichkeit, innere Vorgänge, Überlegungen und Erlebnisse höchstpersönlicher Art zum Ausdruck zu bringen. Geschützt ist insbesondere die nichtöffentliche Kommunikation mit Personen des höchstpersönlichen Vertrauens, die in der berechtigten Annahme geführt wird, nicht überwacht zu werden. Die gezielte Kernbereichserfassung ist auch gegenüber ausländischen Personen im Ausland unzulässig, sodass Suchbegriffe, die den Kernbereich der Lebensgestaltung betreffen, gegenüber diesen Personen nicht eingesetzt werden dürfen. § 5 Abs. 2 Satz 3 in Verbindung mit § 5 Abs. 2 Satz 2 Nr. 2 G 10 regelt dies für ausländische Personen im Ausland nicht hinreichend bestimmt und normenklar.

Zudem sieht § 5 Abs. 2 Satz 6 G 10 eine zu kurze Frist für die Löschung der Dokumentation über die Durchführung der strategischen Inland-Ausland-Fernmeldeaufklärung vor. Nach dieser Vorschrift ist die Dokumentation am Ende des Kalenderjahres, das dem Jahr der Protokollierung folgt, zu löschen. Diese Aufbewahrungsfrist ist zu kurz, um den von der Überwachung Betroffenen effektiven subjektiven Rechtsschutz zu ermöglichen. Die starre Frist nimmt keinen Bezug auf die Regelungen zur Benachrichtigung der von den Maßnahmen Betroffenen. Diese erfolgt erst nach der endgültigen Einstellung der jeweiligen Maßnahme. Dass die Protokolldaten zu diesem Zeitpunkt noch vorhanden sind, ist nicht sichergestellt.

Überwachung muss kontrolliert werden

Schließlich genügt die Ausgestaltung der unabhängigen objektivrechtlichen Kontrolle durch die G 10-Kommission nicht durchgehend den insoweit bestehenden besonders hohen Anforderungen. Die Kontrolle muss unter anderem die faktische Schwäche der individuellen Rechtsschutzmöglichkeiten ausgleichen, die aus den nur begrenzten Auskunfts- und Benachrichtigungspflichten über die strategische Telekommunikationsüberwachung folgt. Als Ersatz ist eine fachlich kompetente, professionalisierte gerichtsähnliche Kontrolle sicherzustellen, die materiell und verfahrensmäßig einer gerichtlichen Kontrolle gleichwertig, insbesondere mindestens ebenso wirkungsvoll ist. Dem genügt nicht, dass die Mitglieder der G 10-Kommission lediglich ein öffentliches Ehrenamt innehaben statt wie verfassungsrechtlich geboten hauptamtlich tätig zu sein. Zudem stellt das Artikel 10-Gesetz nicht sicher, dass der G 10-Kommission Mitglieder mit richterlicher Erfahrung angehören.

Die Unvereinbarkeitserklärung von § 5 Abs. 1 Satz 3 Nr. 8 G 10 ist mit der Anordnung der vorübergehenden Fortgeltung der Norm zu verbinden. Die beanstandete Befugnis kann für die Sicherheit der Bundesrepublik Deutschland, insbesondere bei Berücksichtigung der potentiellen Dynamik bedrohlicher Entwicklungen unter den Bedingungen der Informationstechnik, auch kurzfristig große Bedeutung gewinnen. Mit Blick auf das Telekommunikationsgeheimnis gilt sie unter anderem mit der Maßgabe der Pflicht zur Aussonderung der Daten aus rein inländischen Telekommunikationsverkehren fort. Außerdem dürfen auch gegenüber ausländischen Personen im Ausland keine Suchbegriffe, die den Kernbereich der privaten Lebensgestaltung betreffen, eingesetzt werden.