Gesetzentwurf zur Bestandsdatenauskunft: Was die Telekom wann wem über Sie verraten darf

Jeder der in seinem Briefkasten schon einmal einen nicht so freundlichen Brief von ihrerseits aber sehr freundlichen Anwälten von Sony Music gefunden und sich gewundert hat, weshalb die Telekom ausgerechnet die eigene Adresse und nicht die des Nachbarn weitergegeben hatte, ist mit der Thematik bestens vertraut: Telekommunikationsunternehmen sind zur Speicherung und – unter bestimmten Voraussetzungen zur Herausgabe – von Bestandsdaten wie Name, Adresse, Anschlussnummer, aber auch Passwörtern und dynamischen IP-Adressen und deren Zuordnung verpflichtet.

Die bisherige Regelung hierzu ließ einiges an Eindeutigkeit vermissen. Daher hatte das Bundesverfassungsgericht (BVerfG) darauf hingewiesen, dass eine qualifiziertere Rechtsgrundlage sowohl für eine Auskunftspflicht als auch für ein Auskunftsverlangen bestehen müsse (Beschl. v. 24.01.2012, Az. 1 BvR 1299/05). Die Karlsruher Richter waren vor allem nicht damit einverstanden, dass das Gesetz die Zuordnung dynamischer Internetadressen nicht regelt und dass auf Zugangssicherungscodes wie PIN und PUK zugegriffen werden kann, ohne dass dafür dieselben Voraussetzungen wie für die Nutzung der Codes gilt.

Die Vorgeschichte der §§ 111 bis 113 Telekommunikationsgesetz (TKG) geht noch einige Jahre weiter zurück. Nach den Terroranschlägen in London (2005) und Madrid (2004) verabschiedete das Europaparlament eine Richtlinie, um die Vorratsdatenspeicherung europaweit einheitlich zu regeln. Sowohl die deutsche Umsetzung als auch die Richtlinie selbst hatten für Kritik vom BVerfG (Urt. v. 02.03.2010, Az. 1 BvR 256/08), von Bürgern und Organisationen wie dem Deutschen Anwaltverein gesorgt. Auf Ablehnung stießen insbesondere die Dauer der Speicherung, aber auch die generelle Frage, personenbezogene Daten zu unbestimmten und noch nicht bestimmbaren Zwecken zu sammeln. Eine Grundsatzdebatte zur Vorratsdatenspeicherung vermied das BVerfG damals. Für problematisch befand es lediglich die eher unsaubere Umsetzung der europarechtlichen Vorgaben durch die Bundesrepublik Deutschland.

Gesetzentwurf setzt BVerfG-Beschluss um

Nun hat das Kabinett einen Gesetzentwurf beschlossen, der sich streng an die Anforderungen aus Karlsruhe hält und weder neue Befugnisse schafft, noch bestehende erweitert. Anders als der ursprüngliche – scharf kritisierte – Entwurf des Bundesinnenministeriums, der unter anderem eine erhebliche Ausweitung der Kompetenzen der Bundespolizei vorsah. Stattdessen werden die Voraussetzungen für ein Auskunftsverlangen klar geregelt.

Der neu entworfene § 113 Abs. 3 TKG listet abschließend auf, wer auskunftsberechtigt ist. Darunter: Staatsanwaltschaft, Polizei, Ordnungsbehörden, aber auch der Verfassungsschutz, der Militärische Abschirmdienst und der Bundesnachrichtendienst. Wer Daten will, muss einen schriftlichen Antrag einreichen. Allerdings genügt eine E-Mail, die bei Gefahr im Verzug auch nachgereicht werden kann. Zusätzlich muss der Auskunftsberechtigte auch für den konkreten Fall gesetzlich ermächtigt sein, die Daten zu erheben. Entsprechend sieht der Entwurf eine Reihe von Änderungen in vielen bekannten – und unbekannteren – Sicherheitsgesetzen vor.

Vorratsdatenspeicherung ist längst ein internationales Problem

Behörden sollen Zugangssicherungscodes nur unter erhöhten Voraussetzungen bekommen, nämlich dann wenn sie die auf den Endgeräten gespeicherten Daten auch nutzen dürfen Telekommunikationsunternehmen müssen außerdem eine gesicherte elektronische Schnittstelle einrichten, um Auskunftsverlangen schnell abwickeln zu können. Zudem ist die Möglichkeit, dynamische IP-Adressen ihren Nutzern zuzuordnen, nun ausdrücklich geregelt. Damit ist klar, auf welcher Rechtsgrundlage der Sony-Brief künftig den Weg in den Briefkasten finden wird.

Obwohl sich der Gesetzentwurf streng an den Karlsruher Anforderungen orientiert, ließ die erste Kritik nicht lange auf sich warten. Die einzurichtenden Schnittschnellen würden für die Telekommunikationsunternehmen hohe Kosten bedeuten. Außerdem könnten zu viele Behörden eine Auskunftsberechtigung erhalten. Das Justizministerium wies die Kritik zurück. Die ausdrückliche Auflistung der berechtigten Behörden sei ein Zugewinn an Rechtsstaatlichkeit. Bedenklich ist dabei aber die Möglichkeit, dass die Länder weitere Behörden bestimmen können, die ein Auskunftsrecht bekommen sollen. Das könnte zu einer Ausweitung von Befugnissen für bestimmte Stellen führen.

Die Richtlinie hat noch weitere Baustellen hinterlassen: die Herausgabe und Speicherung von Verkehrsdaten, die uneinheitliche Regelung der Speicherdauer in Europa und grenzüberschreitende Auskunftsverlangen. Spätestens seit ein New York District Attorney im Januar Twitter dazu aufforderte, die Daten eines Occupy Wall Street Demonstranten offenzulegen, ist die Vorratsdatenspeicherung nämlich ein internationales Problem.

Der Autor Dr. Thomas Weimann ist Fachanwalt für Informationstechnologierecht und Partner bei BRP Renaud und Partner am Standort Stuttgart. Der Autor Daniel Nagel ist Rechtsanwalt bei BRP Renaud und Partner am Standort Stuttgart. Beide beschäftigen sich schwerpunktmäßig mit IT-Recht, Datenschutzrecht, AGB-Gestaltung und internationalem Recht.