BVerfG, Beschluss vom 27.05.2020 – 1 BvR 1873/13, 1 BvR 2618/13 – Unvereinbarkeit des § 113 TKG (juris: TKG 2004) idF vom 20.06.2013 sowie mehrerer Bundesgesetze zum manuellen Auskunftsverfahren…

KVRE437572001 ECLI:DE:BVerfG:2020:rs20200527.1bvr187313 BVerfG 1. Senat 20200527 1 BvR 1873/13, 1 BvR 2618/13 Beschluss Art 1 Abs 1 GG, Art 2 Abs 1 GG, Art 10 Abs 1 GG, Art 73 Abs 1 Nr 7 GG, § 22a Abs 1 S 1 BGSG 1994 vom 20.06.2013, § 22a Abs 2 BGSG 1994 vom 20.06.2013, § 10 Abs 1 S 1 BKAG 2018 vom 01.06.2017, § 10 Abs 2 BKAG 2018 vom 01.06.2017, § 40 Abs 1 S 1 BKAG 2018 vom 01.06.2017, § 40 Abs 2 BKAG 2018 vom 01.06.2017, § 2b S 1 BNDG vom 20.06.2013, § 4 S 1 BNDG vom 23.12.2016, § 8d Abs 1 S 1 BVerfSchG vom 20.06.2013, § 8d Abs 2 S 1 BVerfSchG vom 20.06.2013, § 4b S 1 MADG vom 20.06.2013, § 113 Abs 1 S 1 TKG 2004 vom 20.06.2013, § 113 Abs 1 S 2 TKG 2004 vom 20.06.2013, § 113 Abs 1 S 3 TKG 2004 vom 20.06.2013, § 113 Abs 1 S 4 TKG 2004 vom 20.06.2013, § 113 Abs 2 S 1 TKG 2004 vom 20.06.2013, § 113 Abs 3 TKG 2004 vom 20.06.2013, § 113 Abs 4 TKG 2004 vom 20.06.2013, § 113 Abs 5 S 2 TKG 2004 vom 20.06.2013, § 113 Abs 5 S 3 TKG 2004 vom 20.06.2013, § 113b Abs 3 TKG 2004, § 7 Abs 5 S 1 ZFdG vom 20.06.2013, § 7 Abs 6 ZFdG vom 20.06.2013, § 15 Abs 2 S 1 ZFdG vom 20.06.2013, § 15 Abs 3 ZFdG vom 20.06.2013 DEU Bundesrepublik Deutschland Unvereinbarkeit des § 113 TKG (juris: TKG 2004) idF vom 20.06.2013 sowie mehrerer Bundesgesetze zum manuellen Auskunftsverfahren mit Art 2 Abs 1 GG iVm Art 1 Abs 1 GG sowie Art 10 Abs 1 GG - Fortgeltung bis 31.12.2021 1. Der Gesetzgeber muss bei der Einrichtung eines Auskunftsverfahrens auf Grundlage jeweils eigener Kompetenzen für sich genommen verhältnismäßige Rechtsgrundlagen sowohl für die Übermittlung als auch für den Abruf der Daten schaffen.

Übermittlungs- und Abrufregelungen für Bestandsdaten von Telekommunikationsdiensteanbietern müssen die Verwendungszwecke der Daten hinreichend begrenzen, mithin die Datenverwendung an bestimmte Zwecke, tatbestandliche Eingriffsschwellen und einen hinreichend gewichtigen Rechtsgüterschutz binden.

Die Zuordnung dynamischer IP-Adressen muss im Hinblick auf ihr erhöhtes Eingriffsgewicht darüber hinaus auch dem Schutz oder der Bewehrung von Rechtsgütern von hervorgehobenem Gewicht dienen. Es bedarf ferner einer nachvollziehbaren und überprüfbaren Dokumentation der Entscheidungsgrundlagen.

Als Eingriffsschwelle kann im Bereich der Gefahrenabwehr und der nachrichtendienstlichen Tätigkeit das Vorliegen einer konkretisierten Gefahr ausreichen, soweit es um den Schutz von Rechtsgütern oder die Verhütung von Straftaten von zumindest erheblichem Gewicht (allgemeine Bestandsdatenauskunft) oder besonderem Gewicht (Zuordnung dynamischer IP-Adressen) geht.

Inhaltsverzeichnis A. Sachbericht I. Sach- und Rechtslage 1. Gegenstand des § 113 TKG

A.

1 Die Verfassungsbeschwerden richten sich gegen § 113 des Telekommunikationsgesetzes (TKG) sowie gegen mehrere Fachgesetze des Bundes, die die manuelle Bestandsdatenauskunft regeln.

2 Die Beschwerdeführenden wandten sich zunächst gegen § 113 TKG, § 7 Abs. 3 bis 7, § 20b Abs. 3 bis 7 und § 22 Abs. 2 bis 4 des Gesetzes über das Bundeskriminalamt und die Zusammenarbeit des Bundes und der Länder in kriminalpolizeilichen Angelegenheiten (Bundeskriminalamtgesetz ‒ BKAG), § 22a des Gesetzes über die Bundespolizei (Bundespolizeigesetz ‒ BPolG), § 7 Abs. 5 bis 9, § 15 Abs. 2 bis 6 des Gesetzes über das Zollkriminalamt und die Zollfahndungsämter (Zollfahndungsdienstgesetz ‒ ZFdG), § 8d des Gesetzes über die Zusammenarbeit des Bundes und der Länder in Angelegenheiten des Verfassungsschutzes und über das Bundesamt für Verfassungsschutz (Bundesverfassungsschutzgesetz ‒ BVerfSchG), § 2b des Gesetzes über den Bundesnachrichtendienst (BND-Gesetz ‒ BNDG) und § 4b des Gesetzes über den militärischen Abschirmdienst (MAD-Gesetz ‒ MADG), jeweils in der Fassung des Gesetzes zur Änderung des Telekommunikationsgesetzes und zur Neuregelung der Bestandsdatenauskunft vom 20. Juni 2013 (BGBl I S. 1602).

3 Nach der Änderung der § 7 Abs. 7, § 15 Abs. 4 ZFdG durch Art. 4 des Gesetzes zur Neuorganisation der Zollverwaltung vom 3. Dezember 2015 (BGBl I S. 2178) mit Wirkung zum 1. Januar 2016, der Neubezeichnung von § 2b BNDG als § 4 BNDG durch das Gesetz zur Ausland-Ausland-Fernmeldeaufklärung des Bundesnachrichtendienstes vom 23. Dezember 2016 (BGBl I S. 3346) mit Wirkung zum 31. Dezember 2016 und der Ersetzung der § 7 Abs. 3 bis 7, § 20b Abs. 3 bis 7, § 22 Abs. 2 bis 4 BKAG mit den § 10 und § 40 BKAG durch das Gesetz zur Neustrukturierung des Bundeskriminalamtgesetzes vom 1. Juni 2017 (BGBl I S. 1354) mit Wirkung zum 25. Mai 2018 haben die Beschwerdeführenden zu I. ihren Antrag mit Schreiben vom 31. März 2019 den Änderungen angepasst.

I.

4 Der angegriffene § 113 TKG berechtigt Anbieter von Telekommunikationsdiensten zur Übermittlung von Bestandsdaten im sogenannten manuellen Auskunftsverfahren. Die weiteren angegriffenen Normen regeln den Abruf dieser Daten durch verschiedene Sicherheitsbehörden des Bundes. Alle Neuregelungen dienen der Umsetzung der Entscheidung des Bundesverfassungsgerichts vom 24. Januar 2012 (BVerfGE 130, 151 ‒ Bestandsdatenauskunft I), mit der § 113 TKG in seiner Fassung vom 22. Juni 2004 (im Folgenden: § 113 TKG a.F.) teilweise für verfassungswidrig erklärt und das Fehlen fachrechtlicher Abrufregelungen beanstandet wurde.

5 1. Als Grundlage für eine Bestandsdatenauskunft verpflichtet § 111 TKG geschäftsmäßige Anbieter von Telekommunikationsdiensten, die von ihnen vergebenen oder bereitgestellten Rufnummern, Anschlusskennungen und Mobilfunkendgerätenummern sowie die zugehörigen persönlichen Daten der Anschlussinhaber einschließlich der Daten des Vertragsbeginns und ‒ bei Bekanntwerden ‒ des Vertragsendes zu erheben und zu speichern. Zudem sind Kennungen und Kundendaten von elektronischen Postfächern zu speichern, soweit sie ohnehin erhoben werden.

6 Zur Erlangung dieser Bestandsdaten kann sich die um Auskunft ersuchende Behörde entweder im automatisierten Verfahren an die Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen (im Folgenden: Bundesnetzagentur) oder im manuellen Verfahren unmittelbar an die Diensteanbieter wenden. Den Zugriff auf die Daten im automatisierten Verfahren regelt § 112 TKG. Danach hat, wer öffentlich zugängliche Telekommunikationsdienste erbringt, zu gewährleisten, dass die Bundesnetzagentur die nach § 111 TKG gespeicherten Daten jederzeit automatisiert abrufen kann. Ein Abruf erfolgt insbesondere aufgrund eines an die Bundesnetzagentur gerichteten Ersuchens einer der in § 112 Abs. 2 TKG näher bezeichneten Behörden.

7 Die Auskunft im manuellen Verfahren regelt § 113 TKG. Sie erfolgt unmittelbar aufgrund eines Ersuchens einer der in § 113 Abs. 3 TKG abschließend genannten Stellen. Zur Auskunft verpflichtet sind alle diejenigen, die geschäftsmäßig Telekommunikationsdienste erbringen oder daran mitwirken, mithin alle Diensteanbieter im Sinne des Telekommunikationsgesetzes (vgl. § 3 Nr. 6 TKG). Da das geschäftsmäßige Erbringen von Telekommunikationsdiensten gemäß § 3 Nr. 10 TKG das nachhaltige Angebot von Telekommunikation für Dritte sowohl mit als auch ohne Gewinnerzielungsabsicht erfasst, sind gemäß § 113 TKG zum Beispiel auch Betreiber eines Hotspots oder Einrichtungen, die im Rahmen von Geschäftsbeziehungen WLAN-Netze zur Verfügung stellen, auskunftsverpflichtet.

8

9

Juni 2019, Gmail, C-193/18, EU:C:2019:498) noch als Telekommunikationsdienste angesehen werden können. Da § 111 Abs. 1 TKG die Diensteanbieter nicht zur Speicherung von Zugangsdaten verpflichtet, kommt die Erteilung einer Auskunft nur in Betracht, wenn die Diensteanbieter sie gemäß § 95 TKG zu betrieblichen Zwecken speichern. Von Nutzerinnen und Nutzern selbst vergebene Zugangsdaten, mit denen diese ihre Endgeräte oder Speichereinrichtungen vor einem Zugriff Dritter sichern, werden von den Diensteanbietern üblicherweise nur verschlüsselt gespeichert (vgl. § 109 Abs. 1 und 2 TKG sowie § 109 Abs. 6 TKG in Verbindung mit dem Katalog von Sicherheitsanforderungen für das Betreiben von Telekommunikations- und Datenverarbeitungssystemen sowie für die Verarbeitung personenbezogener Daten nach § 109 Telekommunikationsgesetz (TKG)).

Eine Auskunft kann insoweit nicht erteilt werden.

10

11 Gegenstand der Auskunft ist die Zuordnung der IP-Adresse zu einem bestimmten Anschlussinhaber und damit selbst ein Bestandsdatum (vgl. BVerfGE 130, 151 <163>). Dies ist nur möglich, wenn die Diensteanbieter zuvor bei ihnen gespeicherte Verkehrsdaten auswerten, um festzustellen, welchem Anschluss die verwendete IP-Adresse zu dem angefragten Zeitpunkt zugeordnet war. Auskünfte beziehen sich dadurch immer auch auf eine konkrete Verbindung. Bei den Verkehrsdaten, die zu diesem Zweck ausgewertet werden, handelt es sich zunächst um die nach § 96 TKG zu betrieblichen Zwecken gespeicherten Daten. Die Praxis der Speicherung ist insoweit je nach Diensteanbieter, Vertragsgestaltung und in Anspruch genommener Dienstleistung sehr unterschiedlich. Ohne konkreten Anlass ist eine Speicherung zur Erkennung, Eingrenzung oder Beseitigung von Störungen oder Fehlern (§ 96 Abs. 1 Satz 2, § 100 Abs. 1 TKG) jedenfalls bis zu sieben Tage nach Ende der Verbindung zulässig (vgl. BGH, Urteil vom 3. Juli 2014 - III ZR 391/13 -, Rn. 23).

12 Diensteanbieter, die öffentlich zugängliche Telekommunikationsdienste erbringen, dürfen gemäß § 113c Abs. 1 Nr. 3 TKG aber auch Verkehrsdaten auswerten, zu deren Speicherung sie gemäß § 113a Abs. 1, § 113b Abs. 1 und 3 TKG in der Fassung von Art. 2 Nr. 2 des Gesetzes zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten vom 10. Dezember 2015 (BGBl I S. 2218) seit dem 1. Juli 2017 verpflichtet sind. Zwar sieht die Bundesnetzagentur derzeit von Anordnungen und sonstigen Maßnahmen zur Durchsetzung der Speicherungsverpflichtung ab. Ihre entsprechende Erklärung vom 28. Juni 2017 erging als Folge einer Entscheidung des Oberverwaltungsgerichts für das Land Nordrhein-Westfalen in einem einstweiligen Rechtsschutzverfahren (OVG Nordrhein-Westfalen, Beschluss vom 22.

Juni 2017 - 13 B 238/17 -), in dem festgestellt wurde, dass der dort klagende Diensteanbieter bis zum rechtskräftigen Abschluss des Hauptsacheverfahrens nicht verpflichtet ist, die in § 113b Abs. 3 TKG genannten Verkehrsdaten zu speichern. Das Hauptsacheverfahren ist weiterhin anhängig und das Bundesverwaltungsgericht hat zwischenzeitlich in diesem und einem weiteren Verfahren dem Europäischen Gerichtshof die Frage vorgelegt, ob das Unionsrecht der Vorratsdatenspeicherung in der Ausgestaltung durch §§ 113a f. TKG entgegensteht (BVerwG, Beschlüsse vom 25. September 2019 - 6 C 12.18 - und - 6 C 13.18 -). Die Entscheidungen des Oberverwaltungsgerichts und des Bundesverwaltungsgerichts ändern jedoch nichts an der formellen Weitergeltung der Speicherungspflichten der Diensteanbieter, wenngleich in Reaktion auf die Erklärung der Bundesnetzagentur fast alle Diensteanbieter vorerst davon absehen, die Vorratsdatenspeicherung umzusetzen, und auch das Oberverwaltungsgericht aufgrund der Erklärung der Bundesnetzagentur gegenwärtig das Rechtsschutzinteresse für den Erlass einstweiliger Anordnungen zugunsten weiterer Diensteanbieter verneint (vgl.

OVG Nordrhein-Westfalen, Beschluss vom 25. August 2017 - 13 B 762/17 -, Rn. 19 ff.).

13

14 2. Die mit den Verfassungsbeschwerden angegriffenen Abrufregelungen des Bundes bestimmen, dass die Sicherheitsbehörden zur Erfüllung ihrer jeweils genannten Aufgaben von den Diensteanbietern Auskunft über die nach den §§ 95 und 111 TKG erhobenen Daten verlangen dürfen. Die Auskunft über Zugangsdaten ist daran gebunden, dass die gesetzlichen Voraussetzungen für deren Nutzung vorliegen. Die Vorschriften sehen jeweils vor, dass auch Auskunft von anhand einer dynamischen IP-Adresse bestimmter Bestandsdaten verlangt werden darf. Die angegriffenen Abrufregelungen unterscheiden sich hauptsächlich hinsichtlich der Eingriffsvoraussetzungen, die jeweils auf die Aufgaben der abrufberechtigten Behörde zugeschnitten sind, sowie hinsichtlich der Ausgestaltung der Benachrichtigungspflichten.

15 3. Die angegriffenen Vorschriften lauten in ihrer maßgeblichen Fassung vom 20. Juni 2013, die zum 1. Juli 2013 in Kraft getreten ist, wie folgt: § 113 TKG Manuelles Auskunftsverfahren

16 Die zunächst angegriffenen § 7 Abs. 3 bis 7, § 20b Abs. 3 bis 7 und § 22 Abs. 2 bis 4 BKAG in der Fassung vom 20. Juni 2013 wurden zwischenzeitlich durch das Gesetz zur Neustrukturierung des Bundeskriminalamtgesetzes vom 1. Juni 2017 (BGBl I S. 1354) mit Wirkung zum 25. Mai 2018 durch die §§ 10, 40 BKAG ersetzt. Diese lauten: § 10 BKAG Bestandsdatenauskunft

17 4. a) Anlass der Neuregelung der manuellen Bestandsdatenauskunft war die Entscheidung des Bundesverfassungsgerichts vom 24. Januar 2012 (BVerfGE 130, 151 ‒ Bestandsdatenauskunft I). Danach ist zwischen der Datenübermittlung seitens der auskunftsberechtigten Stelle und dem Datenabruf seitens der auskunftsuchenden Stelle zu unterscheiden. Ein Datenaustausch vollzieht sich durch die miteinander korrespondierenden Eingriffe von Abfrage und Übermittlung, die jeweils einer eigenen Rechtsgrundlage bedürfen. Der Gesetzgeber muss, bildlich gesprochen, nicht nur die Tür zur Übermittlung von Daten öffnen, sondern auch die Tür zu deren Abfrage. Erst beide Rechtsgrundlagen gemeinsam, die wie eine Doppeltür zusammenwirken müssen, berechtigen zu einem Austausch personenbezogener Daten (BVerfGE 130, 151 <184>). Damit bedarf es auch für bundesrechtliche Materien qualifizierter Abrufregelungen, die über eine schlichte Datenerhebungsbefugnis hinausgehen und die eine Auskunftsverpflichtung der Diensteanbieter eigenständig begründen (vgl. BVerfGE 130, 151 <202>).

18 Der zur Überprüfung gestellte § 113 Abs. 1 Satz 1 TKG a.F. konnte dementsprechend nur so verstanden werden, dass er zwar zur Übermittlung der Daten durch die Diensteanbieter ermächtigte, für den Datenabruf selbst aber qualifizierte Abrufregelungen voraussetzte (vgl. BVerfGE 130, 151 <202>). Darüber hinaus entschied das Bundesverfassungsgericht, dass § 113 Abs. 1 Satz 1 TKG a.F. verfassungskonform dahin auszulegen sei, dass in ihm keine Rechtsgrundlage für die Zuordnung dynamischer IP-Adressen gesehen werden konnte (vgl. BVerfGE 130, 151 <204 f.>), und erklärte § 113 Abs. 1 Satz 2 TKG a.F. aus Gründen der Verhältnismäßigkeit für verfassungswidrig, weil die Regelung zur Erteilung einer Auskunft über Zugangsdaten unabhängig von den Voraussetzungen für deren Nutzung ermächtigte (vgl. BVerfGE 130, 151 <208 f.>).

19

20 Die in den Fachgesetzen des Bundes erstmals geschaffenen Abrufregelungen sollen die für den Datenaustausch erforderliche zweite Tür bilden. Sie ermächtigen die verschiedenen auskunftsberechtigten Bundesbehörden zum Abruf der nach §§ 95 und 111 TKG erhobenen Daten und begründen eigenständig eine Auskunftsverpflichtung der Diensteanbieter (vgl. BTDrucks 17/12034, S. 13). Für den Abruf von Zugangsdaten und die identifizierende Zuordnung dynamischer IP-Adressen wurden Benachrichtigungspflichten und für den Abruf von Zugangsdaten zudem ein Richtervorbehalt vorgesehen (vgl. BTDrucks 17/12879, S. 4 ff., 11).

II.

21 Die Beschwerdeführenden sind Inhaber von Festnetz- sowie Mobilfunkanschlüssen und nutzen Internetzugangsleistungen verschiedener Diensteanbieter. Sie sehen sich durch die angegriffenen Vorschriften in ihren Grundrechten aus Art. 10 Abs. 1 GG sowie Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG verletzt.

22 1. Die Verfassungsbeschwerden seien zulässig. Die Beschwerdeführenden seien alle mit einiger Wahrscheinlichkeit von Abfragen der gespeicherten Daten betroffen. Hiervon würden sie voraussichtlich keine Kenntnis erlangen, da eine Benachrichtigung entweder nicht vorgesehen sei oder Einschränkungen unterliege.

23 2. Die Verfassungsbeschwerden seien auch begründet.

24

25 Die Übermittlungsregelung des § 113 TKG verletze das Verhältnismäßigkeitsgebot. Sowohl in § 113 TKG als auch in den fachrechtlichen Abrufregelungen fehle die noch in der Vorgängerregelung enthaltene Bestimmung, dass Auskünfte nur "im Einzelfall" und damit nicht routinemäßig und massenhaft eingeholt werden dürften, obgleich die weiten Auskunftsrechte unverändert beibehalten worden seien. Die Verpflichtung zur Bereithaltung einer gesicherten elektronischen Schnittstelle (§ 113 Abs. 5 Satz 2 TKG) weite den staatlichen Zugriff zusätzlich aus.

26 § 113 Abs. 2 TKG setze keine spezifische Rechtsgrundlage für den Abruf der Daten voraus. Gefordert werde nur eine gesetzliche Bestimmung, die eine Erhebung der in Absatz 1 der Vorschrift in Bezug genommenen Daten erlaube. Dafür genüge eine allgemeine Datenerhebungsbefugnis. Eine erneute verfassungskonforme Auslegung dahin, dass die Regelung eine spezifische Rechtsgrundlage voraussetze, komme aus Gründen der Normenklarheit nicht in Betracht. Notwendig sei ein "einfachgesetzliches Zitiergebot": § 113 TKG dürfe zur Auskunftserteilung nur aufgrund solcher Abrufregelungen berechtigen, die einen Abruf unter ausdrücklicher Nennung der Vorschrift ermöglichten.

27 Die Identifizierung von Personen, die das Internet nutzen, stelle einen besonders schwerwiegenden Eingriff in das Grundrecht aus Art. 10 Abs. 1 GG dar. Die mögliche Persönlichkeitsrelevanz einer Abfrage des Inhabers einer IP-Adresse sei eine andere als diejenige der Abfrage des Inhabers einer Telefonnummer. Zur Wahrung der Verhältnismäßigkeit sei insoweit im Bereich der Strafverfolgung eine richterliche Anordnung notwendig. Darüber hinaus erfordere die Aufhebung der Anonymität im Internet eine Rechtsgutbeeinträchtigung, der von der Rechtsordnung auch sonst ein hervorgehobenes Gewicht beigemessen werde. Sie sei nur zur Verfolgung von Straftaten von erheblichem Gewicht oder zur Abwehr von Gefahren für wichtige Rechtsgüter verhältnismäßig. Ein Abruf zur Verfolgung jedweder Ordnungswidrigkeiten genüge dem nicht (mit Verweis auf BVerfGE 125, 260 <344>). Ein solcher werde auch durch § 46 Abs. 3 Gesetz über Ordnungswidrigkeiten (OWiG) nicht normenklar ausgeschlossen.

28 Es sei unverhältnismäßig, dass § 113 Abs. 1 Satz 4 TKG von den Anbietern die Heranziehung "sämtlicher unternehmensinterner Datenquellen" zur Auskunftserteilung fordere, weil dies rechtswidrig gespeicherte Daten einschließe. Die Formulierung berge auch die Gefahr, dass die Vorschriften über die Verkehrsdatenerhebung umgangen werden könnten, indem offene Anfragen zu Anschlussinhabern gestellt würden, deren Telekommunikationsverbindungen den Behörden nicht bekannt seien.

29

30 Die fachgesetzlichen Abrufregelungen genügten in verschiedener Hinsicht nicht dem Verhältnismäßigkeitsgrundsatz. Zugangsdaten ermöglichten den Zugriff auf äußerst sensible Inhalte der Telekommunikation und persönliche Inhalte wie Fotos, Tagebücher und Dokumente. Erforderlich sei daher eine Subsidiaritätsklausel, nach der der Staat Zugangsdaten allenfalls dann erheben dürfe, wenn die damit bezweckte Datenerhebung nicht auf andere Weise erfolgen könne. In Betracht komme eine unmittelbare Inanspruchnahme der Diensteanbieter auf Herausgabe inhaltlich oder zeitlich begrenzter Daten. Die dem Bundes- und Zollkriminalamt jeweils in ihrer Funktion als Zentralstelle eingeräumte Befugnis, Zugangsdaten abzufragen, sei unzulässig, weil diese insoweit nicht zur Nutzung der Daten befugt seien.

31 Alle fachrechtlichen Abrufregelungen seien mangels hinreichend begrenzter Zweckbestimmungen verfassungswidrig. Die Regelungen zur Zuordnung von IP-Adressen verletzten zudem das Verhältnismäßigkeitsgebot, weil sie diese eingriffsintensive Maßnahme unter denselben weitreichenden Voraussetzungen zuließen wie die allgemeine Bestandsdatenauskunft. § 8d BVerfSchG, § 2b BNDG und § 4b MADG berücksichtigten nicht die Rechtsprechung des Bundesverfassungsgerichts, nach der Nachrichtendiensten die Identifizierung von Internetnutzern nur erlaubt werden dürfe, wenn aufgrund tatsächlicher Anhaltspunkte vom Vorliegen einer konkreten Gefahr auszugehen sei (mit Verweis auf BVerfGE 125, 260 <343 f.>).

32 Art. 9 des Änderungsgesetzes (BGBl I 2013 S. 1602) stelle fest, dass das Fernmeldegeheimnis durch die Art. 1 bis 8 des Gesetzes eingeschränkt werde, ohne dies auf die Zuordnung von IP-Adressen zu beschränken. Von daher könnte die Befugnis zu Eingriffen in das Fernmeldegeheimnis auch anderen Regelungen entnommen werden.

33 Der Richtervorbehalt für die Erhebung von Zugangsdaten sei unzureichend ausgestaltet. Die vorgesehenen Ausnahmen gingen zu weit. Auch werde es dem Verhältnismäßigkeitsgebot nicht gerecht, dass das Gesetz keinerlei Vorkehrungen zur Gewährleistung der Sicherheit erhobener Zugangsdaten treffe und dass eine statistische Erfassung der erfolgten Abfragen dynamischer IP-Adressen und der Nutzung der elektronischen Schnittstelle nicht vorgesehen sei.

III.

34 Zu den Verfassungsbeschwerden haben die Bundesregierung und die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Stellung genommen.

35 1. Die Bundesregierung hält die Verfassungsbeschwerden für unbegründet. Die Öffnungsregelung zur manuellen Bestandsdatenauskunft in § 113 TKG und die einzelnen Abrufregelungen des Bundesrechts seien verfassungsgemäß.

36

37 Das manuelle Auskunftsverfahren komme typischerweise in Betracht, wenn eine vorherige Abfrage im automatisierten Verfahren ergebnislos geblieben sei oder über die übermittelten Daten hinaus die nach § 95 TKG gespeicherten Daten für die Aufklärung eines Sachverhalts oder die eindeutige Identifizierung des Anschlussinhabers erforderlich seien. Es sei auch dann erforderlich, wenn etwa weitere auf den Anschlussinhaber früher oder aktuell ausgegebene Rufnummern oder Anschlusskennungen in Erfahrung gebracht werden sollten. Eine Abfrage mehrerer Rufnummern oder IP-Adressen erfolge nicht.

38 Da die Behörden vielfach keine Statistiken führten, beruhten Angaben zur Häufigkeit der Abfragen teilweise auf Schätzungen. Es ergebe sich folgendes Bild:

39 Die Bundespolizei erhebe Bestandsdaten ganz überwiegend nur im Rahmen von repressiv-polizeilichen Ermittlungen. Es gebe insgesamt relativ konstant circa 4.600 Anfragen pro Jahr. Im Bereich des Zolls seien seit dem Jahr 2013 jährlich insgesamt zwischen 2.354 und 4.391 Bestandsdatensätze manuell abgefragt worden. Die Abfragen durch die Nachrichtendienste bewegten sich in den letzten Jahren relativ konstant im dreistelligen Bereich.

40 Auskunftsverlangen zu Bestandsdaten nach § 10 Abs. 1 Satz 1 Nr. 1 BKAG erfolgten zum einen zur Beantwortung polizeilicher Rechtshilfeersuchen, die ausländische Polizeibehörden an das Bundeskriminalamt richteten. Zum anderen erfolgten zeitkritische Abfragen zur Feststellung einer Länderzuständigkeit in Gefahrenlagen. Beispielhafte Anlässe für Auskunftsersuchen im Rahmen der Zentralstellenfunktion des Bundeskriminalamts seien Suizidankündigungen sowie Amokdrohungen im Internet, die ein unverzügliches Einschreiten zur Ermittlung der suizidgefährdeten Person beziehungsweise des Gefahrenverantwortlichen erforderlich machten. In Fällen, in denen der einzige Ermittlungsansatz eine IP-Adresse oder Rufnummer sei, könne die örtliche Zuständigkeit einer Länderdienststelle fast nur über die Abfrage nach § 112 oder § 113 TKG festgestellt werden.

Im Rahmen der Aufgabenwahrnehmung nach § 2 BKAG (Zentralstelle) und § 4 BKAG (Strafverfolgung) sei insoweit eine Steigerung von 2.001 im Jahr 2013 auf 17.428 Abfragen im Jahr 2017 zu vermerken. Hauptursache für diese Steigerung sei ein seit Jahren zu verzeichnender Anstieg von Meldungen der US-amerikanischen Zentralstelle National Center for Missing and Exploited Children (NCMEC) bezüglich des Besitzes, der Besitzverschaffung und der Verbreitung von Kinder- und Jugendpornografie durch deutsche Internetnutzer an das Bundeskriminalamt. Zu berücksichtigen sei auch ein verändertes Nutzerverhalten, das durch eine vermehrte Nutzung von Smartphones und des Internets sowie der Zuordnung mehrerer Geräte und Kennungen zu einer Person geprägt sei.

Von seiner Befugnis Zugangsdaten abzufragen, habe das Bundeskriminalamt im Rahmen seiner Zentralstellenaufgaben bisher keinen Gebrauch gemacht.

41 Die Zahlen der insgesamt erfolgten Abfragen von Zugangsdaten und Abfragen zum Zwecke der Zuordnung dynamischer IP-Adressen könnten für das Bundeskriminalamt und die Bundespolizei nicht angegeben werden. Im Bereich des Zolls seien sie auf jeweils etwa bis zu 100 Abfragen jährlich zu schätzen. Von den Nachrichtendiensten habe lediglich das Bundesamt für Verfassungsschutz in den letzten Jahren Zugangsdaten in einstelliger Anzahl abgefragt. Alle Nachrichtendienste hätten jedoch Bestandsdaten anhand von IP-Adressen abgefragt, wobei deren Anzahl schwanke. So habe der Militärische Abschirmdienst in den Jahren 2016 bis 2018 eine einzige Abfrage anhand einer IP-Adresse vorgenommen, während der Bundesnachrichtendienst 166 Abfragen im Jahr 2017 vorgenommen habe. Die Zahlen für das Bundesamt für Verfassungsschutz wiesen eine steigende Tendenz von circa 50 Abfragen im Jahr 2013 bis auf circa 850 Abfragen im Jahr 2017 auf.

42

43 Obgleich bei dem IPv6 nicht mehr das Problem der Mangelverwaltung bestehe, würden auch die IPv6-Adressen vor allem im Privatkundenbereich im Regelfall dynamisch und nicht statisch zugewiesen. Eine statische IP-Adresse könne auf ausdrücklichen Wunsch des Kunden zugewiesen werden, was vor allem im Bereich der Geschäftskunden genutzt werde.

44

45 § 113 TKG erlaube keine vom Einzelfall losgelöste Massenabfrage. Eine Unverhältnismäßigkeit ergebe sich auch nicht aus § 113 Abs. 5 Satz 2 TKG. Zwar könne einer Regelung, die Datenabfragen sehr vereinfache, indem sie durch ein zentral zusammengefasstes und automatisiertes Verfahren die Daten ohne zeitliche Verzögerungen oder Reibungsverluste durch Prüferfordernisse zur Verfügung stelle, ein erhöhtes Eingriffsgewicht zukommen. Da die Auskunft aber weiterhin nur in Textform und im Einzelfall verlangt werden könne, sei sichergestellt, dass eine Abfrage nicht pauschal und ohne konkreten Anlass erfolge. Auch der mit einem manuellen Verfahren verbundene Verfahrensaufwand bleibe bestehen. Die Schnittstelle erhöhe lediglich die Datensicherheit.

46 § 113 TKG genüge dem Gebot der Normenklarheit. Der Gesetzgeber habe mit § 113 Abs. 2 Satz 1 TKG klargestellt, dass es für die Datenabfrage einer qualifizierten Rechtsgrundlage für die abrufende Stelle bedürfe und die dafür in Frage kommenden Stellen eindeutig und abschließend bestimmt. Die geschaffenen Abrufregelungen seien durch eine jeweils ausdrückliche Bezugnahme auf die nach §§ 95, 111 TKG erhobenen Daten hinreichend qualifiziert.

47 Die durch § 113 Abs. 1 Satz 3 TKG ermöglichte Identifizierung von IP-Adressen anhand von Verkehrsdaten verstoße nicht gegen Art. 10 Abs. 1 GG. Bei der verfassungsrechtlichen Bewertung sei zu berücksichtigen, dass ein Eingriff durch die Verwendung von Verkehrsdaten nur unvollständig in der Norm selbst geregelt werde. Die Pflicht der Unternehmen, Verkehrsdaten auszuwerten, verwirkliche sich erst in der konkreten Abfrage. Nicht alle verfassungsrechtlich gebotenen materiellen und verfahrensrechtlichen Vorgaben könnten aber in der Öffnungsnorm geregelt werden, weil diese nicht als "Vollnorm" ausgestaltet werden dürfe. Insoweit ergebe sich eine abschließende verfassungsrechtliche Beurteilung nur aus der Zusammenschau von Öffnungsnorm und Abrufbefugnis.

48 Für die Verwendung von Verkehrsdaten durch die Diensteanbieter zur Identifizierung einer IP-Adresse gälten weniger strenge verfassungsrechtliche Maßstäbe als für deren unmittelbare Verwendung durch Behörden, da diese selbst keinen Einblick in die Verkehrsdaten erhielten. Darüber hinaus werde immer nur ein bestimmter Teil der vorhandenen Verkehrsdaten verwendet. Eine Beschränkung des Anwendungsbereichs auf Straftaten von erheblichem Gewicht sowie auf Gefahren für wichtige Rechtsgüter sei verfassungsrechtlich ebenso wenig geboten wie ein Richtervorbehalt. Sicherzustellen sei lediglich, dass eine Auskunft nur bei Vorliegen eines Anfangsverdachts oder einer konkreten Gefahr auf einzelfallbezogener Tatsachenbasis erfolgen dürfe. Dies gelte auch für die Nachrichtendienste. § 113 Abs. 2 TKG werde diesen Vorgaben gerecht. Die fachgesetzlichen Ermächtigungsgrundlagen setzten auch voraus, dass die Datenerhebung erforderlich sei. Die Rückbindung an einen Einzelfall sei damit gewährleistet. Das Verfahren nach § 113 Abs. 1 Satz 3 TKG könne nicht zur Verfolgung von Ordnungswidrigkeiten genutzt werden, da § 46 Abs. 3 Satz 1 OWiG dem entgegen stehe. Die Formulierung des § 113 Abs. 1 Satz 3 TKG mache auch deutlich, dass es sich um eine Ausnahmeregelung handele und eine Auswertung von Verkehrsdaten zu anderen Zwecken unzulässig sei.

49 Die angegriffenen Abrufregelungen seien ebenfalls verfassungsgemäß. Die Vorgaben des Bundesverfassungsgerichts seien durch den in § 113 Abs. 2 TKG angeordneten Einzelfallbezug in Verbindung mit dem Verweis auf die gesetzlichen Aufgaben der ermächtigten Behörden in den Abrufregelungen eingehalten. Diese Normen enthielten den Bezug auf "die Verhütung und Verfolgung von Straftaten" (§ 2 Abs. 2 Nr. 1 in Verbindung mit § 7 Abs. 3 Satz 1 BKAG a.F., vgl. § 10 Abs. 1 Satz 1 Nr. 1 BKAG), "auf eine im Einzelfall bestehende Gefahr für Zeugen" (§ 26 Abs. 1 Satz 1 BKAG a.F.), "auf die konkrete Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes einer Person" (§ 22a Abs. 1 Satz 1 BPolG) oder auf die allgemeinen gesetzlichen Aufgabenbestimmungen der Nachrichtendienste. Deren Aufgabe der Informationssammlung sei etwa nach § 3 Abs. 1 BVerfSchG auf die Aufklärung bestimmter Beobachtungsobjekte beschränkt. Voraussetzung sei jeweils das Vorliegen tatsächlicher Anhaltspunkte (§ 4 Abs. 1 Satz 3 BVerfSchG), also ein nachrichtendienstlicher Anfangsverdacht.

50 Das Bundeskriminalamt werde ermächtigt, Bestandsdaten abzufragen, soweit dies zur Erfüllung seiner Aufgabe als Zentralstelle nach § 2 Abs. 2 Nr. 1 BKAG für die Wahrnehmung der in § 2 Abs. 1 BKAG beschriebenen Aufgabe erforderlich sei. Nach § 2 Abs. 1 BKAG unterstütze das Bundeskriminalamt als Zentralstelle für das polizeiliche Auskunfts- und Nachrichtenwesen und für die Kriminalpolizei die Polizeien des Bundes und der Länder bei der Verhütung und Verfolgung von Straftaten mit länderübergreifender, internationaler oder erheblicher Bedeutung. Nur dazu seien Bestandsdatenabfragen erlaubt und nicht zur bloßen Gefahrenvorsorge. Mit dem Hinweis auf die "Gefahrverhütung" öffne das Gesetz die Bestandsdatenabfrage lediglich für eine auf spezielle individualisierte Tatsachen begründete Form der Gefahrenabwehr.

51 Die gefahrenabwehrrechtlichen Abrufregelungen wiesen den erforderlichen Einzelfallbezug auf. § 22a Abs. 1 BPolG etwa setze voraus, dass das Auskunftsverlangen der Erforschung des Sachverhalts oder der Ermittlung des Aufenthaltsortes einer Person diene. Soweit § 15 Abs. 2 ZFdG auf § 4 Abs. 2 und 3 ZFdG verweise und durch die Einbeziehung von Vorsorgeaufgaben über den Maßstab einer individuell tatsachenbasierten Abfragebefugnis hinausgehen könnte, dürfte eine allein auf Vorsorge abzielende Abfrage schon wegen § 113 Abs. 2 Satz 1 TKG ausgeschlossen sein, da der Einzelfallbezug einer derartigen Abfrage entgegenstehe. Ergänzend erscheine eine verfassungskonforme Einschränkung der Verweisungsnormen möglich, die diese auf die Gefahren- und Straftatenverhütung beschränke.

52 Auch hinreichende Eingriffsschwellen seien vorgesehen. Alle Abrufregelungen setzten die Erforderlichkeit der Auskunft zur Aufgabenerfüllung voraus. § 20b Abs. 3 BKAG a.F. (vgl. § 40 BKAG) beziehe sich auf § 4a Abs. 1 BKAG a.F. (vgl. § 5 Abs. 1 BKAG) und knüpfe damit an die Abwehr von konkreten Gefahren des internationalen Terrorismus an. Für die Aufgabe des Zeugenschutzes nach § 6 BKAG a.F. (vgl. § 7 BKAG) werde ausdrücklich eine im Einzelfall bestehende Gefahr vorausgesetzt.

53 Es sei unbedenklich, dass § 8d BVerfSchG, § 2b BNDG und § 4b MADG eine Auskunft bereits "zur Erfüllung der Aufgaben" des jeweiligen Nachrichtendienstes zuließen. Das Fehlen einer besonderen Eingriffsschwelle rechtfertige sich aus den beschränkten Aufgaben der Nachrichtendienste. Das Bundesverfassungsgericht habe angenommen, dass sich aus dem Erfordernis der Erforderlichkeit im Einzelfall ergebe, dass eine Auskunft gemäß § 113 Abs. 1 Satz 1 TKG a.F. zur Aufklärung einer bestimmten nachrichtendienstlich beobachtungsbedürftigen Aktion oder Gruppierung geboten sein müsse, ohne dass dieses Erfordernis speziell geregelt werden müsste. Insoweit unterscheide sich die Neuregelung nicht von der Vorgängervorschrift.

54 Es stelle keinen unverhältnismäßigen Eingriff in Art. 10 Abs. 1 GG dar, dass die Bestandsdatenauskunft, die sich dynamischer IP-Adressen bediene, unter denselben Voraussetzungen wie die allgemeine Bestandsdatenauskunft möglich sei. Aufgrund der nur mittelbaren Verwendung von Verkehrsdaten könnten derartige Auskunftsansprüche auch unabhängig von begrenzenden Rechtsgüter- oder Straftatenkatalogen vorgesehen werden. Für Abfragen durch die Nachrichtendienste sei sichergestellt, dass die Erforderlichkeit der Identifizierung in jedem Einzelfall geprüft werde.

55 Soweit das Bundesverfassungsgericht für die Abfrage von Zugangsdaten sichergestellt wissen wolle, dass auch die gesetzlichen Voraussetzungen für die Nutzung der Daten gegeben seien, sei diese Einschränkung in allen Abrufregelungen aufgenommen worden. Die Subsidiarität der Abfrage dieser Daten müsse nicht ausdrücklich geregelt werden. Eine Abfrage ergehe nur nach einer Einzelfallprüfung. Soweit dies verfassungsrechtlich geboten sei, enthielten zudem die Normen, die die Nutzung der abgefragten Daten regelten, besondere Verhältnismäßigkeitsregelungen. Der Eingriff in das Grundrecht auf informationelle Selbstbestimmung sei auch nicht deshalb unverhältnismäßig, weil von einer vorherigen gerichtlichen Entscheidung abgesehen werden könne, wenn der Betroffene Kenntnis von der Abfrage der Zugangsdaten habe oder haben müsse. Es sei gerade die Heimlichkeit einer Maßnahme, die besondere Verfahrenssicherungen wie den Vorbehalt richterlicher Anordnung erfordern könne. Wenn aber der Betroffene Kenntnis vom Herausgabeverlangen habe oder haben müsse, sei ein richterlicher Beschluss entbehrlich.

56 2. Die Bundesdatenschutzbeauftragte erachtet die angegriffenen Regelungen zu einem Teil als verfassungswidrig. Es widerspreche der Entscheidung des Bundesverfassungsgerichts zur Vorratsdatenspeicherung, dass § 113 Abs. 1 Satz 3 TKG die Auskunft über die Zuordnung einer dynamischen IP-Adresse auch zur Verfolgung einfacher Ordnungswidrigkeiten zulasse (mit Verweis auf BVerfGE 125, 260 <344>).

57 § 10 Abs. 1 Satz 1 Nr. 1 BKAG in Verbindung mit dem in Bezug genommenen § 2 Abs. 2 Nr. 1 BKAG knüpfe nicht an eine konkrete Aufgabe zur Gefahrenabwehr an, sondern nur an die Aufgaben des Bundeskriminalamts als Zentralstelle. Damit verlange die Vorschrift keinen konkreten Anlass für Datenerhebungen. Die Daten müssten lediglich der Ergänzung vorhandener Sachverhalte oder sonst zu Zwecken der Auswertung dienlich sein, um Gegenstand einer Abfrage zu sein. Die Datenerhebung sei zudem zum Zweck der Erstellung von Analysen erlaubt (§ 2 Abs. 6 Nr. 1 BKAG). Dies lasse Zweifel an der hinreichenden Bestimmtheit und Verhältnismäßigkeit zu. Ein praktischer Bedarf für eine Erhebung von Zugangsdaten zur Erfüllung der Zentralstellenaufgaben bestehe nicht.

Die entsprechende Regelung ergebe mangels denkbarer Nutzungsmöglichkeiten keinen Sinn. Die Möglichkeit der Bestandsdatenauskunft anhand von IP-Adressen knüpfe weder an ein konkretes Ermittlungsverfahren noch an eine Gefahrenlage an. Auch die Zuordnung dynamischer IP-Adressen lasse der Wortlaut bereits zur Ergänzung vorhandener Sachverhalte oder sonst zu Zwecken der Auswertung zu. Bei enger Auslegung könne eine einzelne Abfrage aber noch als verhältnismäßig anzusehen sein, wenn etwa das Bundeskriminalamt auf einer "Internetstreife" Erkenntnisse über den Anfangsverdacht einer Straftat oder einer Gefahrenlage erhalte. Dann sei die Abfrage der IP-Adresse ein erster Anknüpfungspunkt, um den Sachverhalt an eine zuständige Strafverfolgungs- oder Polizeibehörde weiterzuleiten.

58 § 7 ZFdG sei noch allgemeiner formuliert und knüpfe lediglich an die Aufgaben des Zollkriminalamts als Zentralstelle nach § 3 ZFdG an. Zu den Zentralstellenaufgaben gehöre es, gemäß § 3 Abs. 9 ZFdG alle notwendigen Informationen zu sammeln und auszuwerten. Über diese Vorschrift würden die Zentralstellenaufgaben gleichzeitig mit den Aufgaben des Zollkriminalamts nach §§ 4 und 5 ZFdG verknüpft (eigene Strafverfolgungsaufgaben, Sicherungs- und Schutzmaßnahmen). § 15 ZFdG setze ebenfalls nur die Erforderlichkeit zur Aufgabenerfüllung für das Zollkriminalamt voraus.

59 § 22a BPolG knüpfe die Bestandsdatenabfrage nicht durchgehend an das Vorliegen einer konkreten Gefahr. Die Regelung stelle die Voraussetzungen der Bestandsdatenabfrage denen der Generalklausel für Datenerhebungen nach § 21 Abs. 1 und 2 BPolG gleich. § 21 Abs. 1 BPolG lasse es aber bereits ausreichen, dass die Abfrage erforderlich sei, um irgendeine Aufgabe der Bundespolizei zu erfüllen. Gemäß § 21 Abs. 2 Nr. 1 BPolG sei die Datenerhebung zur Verhütung von Straftaten zulässig, soweit Tatsachen die Annahme rechtfertigten, dass betroffene Personen bestimmte Straftaten begehen wollten. Dies schließe aber nicht aus, dass sich die Prognose allein auf allgemeine Erfahrungssätze stütze (mit Verweis auf BVerfGE 141, 220 <291 Rn. 165>). Auch soweit § 22a Abs. 1 Satz 1 BPolG zusätzlich bestimme, dass die Datenerhebung zur Erforschung des Sachverhalts oder des Aufenthaltsorts einer Person erforderlich sein müsse, führe dies nicht zu einer hinreichenden Begrenzung.

60 § 20b Abs. 3 BKAG a.F. (vgl. § 40 Abs. 1 BKAG) verweise zunächst nur auf die dem Bundeskriminalamt obliegende Aufgabe der Abwehr von Gefahren des internationalen Terrorismus. Soweit die Datenerhebung auch zur Verhütung von Straftaten nach § 4a Abs. 1 Satz 2 BKAG a.F. (vgl. § 5 Abs. 1 Satz 2 BKAG) zulässig sei, wenn Tatsachen die Annahme rechtfertigten, dass betroffene Personen entsprechende Straftaten begehen wollten, sei wiederum nicht ausgeschlossen, dass sich die Prognose allein auf allgemeine Erfahrungssätze stütze.

61 Voraussetzung für eine Bestandsdatenabfrage durch die Nachrichtendienste sei lediglich, dass sie zur Erfüllung von deren Aufgaben erforderlich sei. Dies schränke die Befugnis faktisch nicht ein, da sich die Erforderlichkeit im Bereich der Nachrichtendienste leicht begründen lasse.

62 Es gebe zudem Defizite bei den verfahrenssichernden Maßnahmen. Die Einführung eines Richtervorbehalts für die Auskunft über den Inhaber einer IP-Adresse sei datenschutzrechtlich geboten, was maßgeblich mit dem Bedeutungszuwachs des Internets in den letzten Jahren zu begründen sei. Da für die allgemeine Bestandsdatenauskunft keine Benachrichtigungspflicht vorgesehen sei, erfolge die Abfrage heimlich. Dies wirke sich auf die Eingriffsintensität aus. Hierbei sei zu berücksichtigen, dass Betroffene über eine Speicherung beauskunfteter Daten in der Regel auch nicht auf anderem Wege informiert würden. Eine zentrale Protokollierung der Datenerhebungen durch die Behörden sei nicht vorgesehen. Dies könne die datenschutzrechtliche Kontrolle erschweren. Da die Daten gegenüber Betroffenen nicht offen erhoben würden, sei eine anlassunabhängige Datenschutzkontrolle notwendig, um den durch die Heimlichkeit eingeschränkten Rechtsschutz zu kompensieren.

B.

63 Die Verfassungsbeschwerden sind überwiegend zulässig.

I.

64 Die Beschwerdeführenden wenden sich mit ihren Rechtssatzverfassungsbeschwerden gegen Übermittlungs- und Abrufregelungen von Bestandsdaten im manuellen Auskunftsverfahren. Unmittelbar richten sich ihre Angriffe gegen die die Diensteanbieter jeweils ermächtigenden Befugnisnormen zur Übermittlung von Bestandsdaten im Allgemeinen (§ 113 Abs. 1 Satz 1 TKG), von Zugangsdaten (§ 113 Abs. 1 Satz 1 und 2 TKG) und von Bestandsdaten, die anhand dynamischer IP-Adressen bestimmt werden (§ 113 Abs. 1 Satz 1 und 3 TKG). Sie wenden sich zudem gegen die damit korrespondierenden Befugnisnormen, die die verschiedenen Sicherheitsbehörden jeweils zum Abruf dieser Daten ermächtigen. Mittelbar erstrecken sich die Angriffe auf die weiteren Regelungen der angegriffenen Normen, mit denen der Gesetzgeber die Befugnisse zur Gewährleistung der Verhältnismäßigkeit flankiert und ohne die deren Verfassungsmäßigkeit nicht beurteilt werden kann.

65 Die Verfassungsbeschwerden richten sich daher gegen § 113 TKG, § 7 Abs. 3 bis 7, § 20b Abs. 3 bis 7 und § 22 Abs. 2 bis 4 BKAG, § 22a BPolG, § 7 Abs. 5 bis 9, § 15 Abs. 2 bis 6 ZFdG, § 8d BVerfSchG, § 2b BNDG und § 4b MADG jeweils in der Fassung vom 20. Juni 2013 sowie gegen §§ 10, 40 BKAG in der Fassung vom 1. Juni 2017, § 4 BNDG in der Fassung vom 23. Dezember 2016 und § 7 Abs. 7, § 15 Abs. 4 ZFdG in der Fassung vom 3. Dezember 2015. Dabei erstrecken sich die Verfassungsbeschwerden nicht auf die Regelungen, die die Speicherung der im manuellen Auskunftsverfahren verwendeten Bestands- und Verkehrsdaten betreffen. Nicht Gegenstand der Verfassungsbeschwerden sind daher die §§ 95 ff. TKG, die die Speicherung dieser Daten zu betriebsinternen Zwecken erlauben, sowie die §§ 111, 113a ff. TKG, die Diensteanbieter zur Speicherung von Bestands- und Verkehrsdaten verpflichten.

II.

66 Die Verfassungsbeschwerden sind teilweise unzulässig. Soweit die Beschwerdeführenden zu I. mit nachgereichtem Schriftsatz ihre Angriffe auf § 4 BNDG in der Fassung vom 23. Dezember 2016 und § 7 Abs. 7, § 15 Abs. 4 ZFdG in der Fassung vom 3. Dezember 2015 erstreckt haben, ist ihre Verfassungsbeschwerde verfristet. Obgleich sie schon die jeweilige Vorgängerreglung fristgemäß angegriffen haben, erstreckt sich ihre Verfassungsbeschwerde nicht automatisch auf die an ihre Stelle getretene Norm; dies gilt selbst dann, wenn die Neuregelung ‒ wie hier § 4 BNDG ‒ inhaltsgleich zu der Vorgängerregelung ist (vgl. BVerfGE 87, 181 <194>).

67 Zwar waren die Beschwerdeführenden nicht gehindert, ihre Verfassungsbeschwerde auf die neuen Regelungen umzustellen (vgl. BVerfGE 87, 181 <194>), wenngleich die Frist zur Erhebung einer Verfassungsbeschwerde durch - wie hier - bloß redaktionelle, nicht inhaltliche Änderungen der Vorschriften nicht erneut zu laufen beginnt (vgl. BVerfGE 12, 139 <141>; BVerfGK 18, 328 <335>; vgl. auch Peters, in: Barczak, BVerfGG, 2018, § 93 Rn. 141). Wird aber Beschwerdeführenden die Umstellung ihrer bereits gegen die vorherige Gesetzesfassung erhobenen Verfassungsbeschwerde ermöglicht, so muss die Umstellung ihrerseits die Jahresfrist wahren. Da aber § 4 BNDG bereits zum 31. Dezember 2016 und § 7 Abs. 7, § 15 Abs. 4 ZFdG zum 1. Januar 2016 in Kraft getreten sind, wahrte die am 1. April 2019 erfolgte Erstreckung der Verfassungsbeschwerde auf diese Vorschriften nicht mehr die Jahresfrist des § 93 Abs. 3 BVerfGG (siehe aber zur Erstreckung nach § 78 Satz 2 BVerfGG unten, Rn. 267).

68 Für die Verfassungsbeschwerde der Beschwerdeführenden zu II. gegen die § 7 Abs. 3 bis 7, § 20b Abs. 3 bis 7 und § 22 Abs. 2 bis 4 BKAG in der Fassung vom 20. Juni 2013 fehlt das Rechtsschutzinteresse, da die Regelungen am 25. Mai 2018 außer Kraft getreten sind (vgl. BVerfGE 100, 271 <281 f.>; 108, 370 <383>). Ein Rechtsschutzinteresse besteht hier auch nicht ausnahmsweise deshalb fort, weil ansonsten die Klärung verfassungsrechtlicher Fragen von grundsätzlicher Bedeutung unterbliebe (vgl. BVerfGE 81, 138 <140>; 100, 271 <281 f.>; stRspr). Die im Hinblick auf die Altregelungen auftretenden Fragen stellen sich in gleicher Weise bei den von den Beschwerdeführenden zu I. angegriffenen Neuregelungen in §§ 10, 40 BKAG, lassen sich also in diesem Zusammenhang klären.

III.

69 Im Übrigen sind die Verfassungsbeschwerden zulässig.

70 1. Die Beschwerdeführenden sind beschwerdebefugt.

71

72

73

74 Die Beschwerdeführenden erlangen weder von dem an einen Diensteanbieter gerichteten Auskunftsverlangen noch von der Auskunftserteilung selbst verlässlich Kenntnis (vgl. auch BVerfGE 133, 277 <312 Rn. 84>; 150, 309 <324 f. Rn. 36>). Dies gilt auch, soweit die Abrufregelungen für die Beauskunftung von Zugangsdaten sowie der anhand dynamischer IP-Adressen bestimmten Daten Benachrichtigungspflichten vorsehen, da diese weitreichende Ausnahmen enthalten und möglicherweise erst spät greifen (vgl. BVerfGE 120, 378 <394>; 141, 220 <261 Rn. 82>). Für die allgemeine Bestandsdatenauskunft bestehen von vornherein keine Benachrichtigungspflichten.

75

76 2. Die Verfassungsbeschwerden genügen den Anforderungen der Subsidiarität.

77

78

79 3. a) Die Verfassungsbeschwerden gegen § 113 TKG und die fachrechtlichen Abrufregelungen in der Fassung vom 20. Juni 2013 wurden fristgerecht erhoben. Zwar regelte § 113 TKG schon in früheren Fassungen die manuelle Bestandsdatenauskunft. Die angegriffene Neuregelung wurde aber in weiten Teilen grundlegend geändert. § 113 TKG ist nun ausdrücklich nur als Übermittlungsbefugnis ausgestaltet, die fachrechtliche Abrufregelungen voraussetzt. Insbesondere die abrufberechtigten Behörden wurden neu geregelt und die Verwendungszwecke der Bestandsdaten abweichend begrenzt. Erstmals berechtigt die Vorschrift zur Auskunft über Bestandsdaten, die anhand einer dynamischen IP-Adresse bestimmt werden (§ 113 Abs. 1 Satz 3 TKG).

80 Auch § 113 Abs. 1 Satz 2 TKG konnte fristgerecht angegriffen werden. Zwar hat die Norm gegenüber der Vorgängerregelung vom 22. Juni 2004 (BGBl I S. 1190) ‒ trotz geänderten Wortlauts und neuer Regelungsstruktur ‒ für sich genommen keinen grundsätzlich neuen Gehalt. Die Vorgängerregelung wurde jedoch für verfassungswidrig erklärt (BVerfGE 130, 151). Wenn der Gesetzgeber nunmehr eine Regelung mit im Wesentlichen gleichem Inhalt wiederholt, stellt diese einen neuen verfassungsrechtlichen Prüfungsgegenstand dar (vgl. dazu BVerfGE 96, 260 <263>; 102, 127 <141>; vgl. auch BVerfGE 135, 259 <281 Rn. 36>). Die Jahresfrist des § 93 Abs. 3 BVerfGG begann daher mit Inkrafttreten der angegriffenen Regelungen zum 1. Juli 2013 neu zu laufen (vgl. auch BVerfGE 130, 151 <177> m.w.N.).

81

82 4. Durch die geringfügige Änderung der § 7 Abs. 7, § 15 Abs. 4 ZFdG zum 1. Januar 2016 und die Neubezeichnung des § 2b BNDG als § 4 BNDG zum 31. Dezember 2016 ist das Rechtsschutzinteresse für die Verfassungsbeschwerden gegen die Vorschriften in ihrer Fassung vom 20. Juni 2013 insoweit nicht entfallen. Ihr Regelungsgehalt wurde nicht verändert und die Verfassungsbeschwerden sind von daher insoweit nicht gegenstandslos (vgl. auch BVerfGE 108, 370 <383>).

IV.

83 Die angegriffenen Vorschriften haben teilweise Bezüge zu datenschutzrechtlichen Bestimmungen in Richtlinien und Verordnungen der Europäischen Union. Gleichwohl ist die Zuständigkeit des Bundesverfassungsgerichts für die Prüfung dieser Normen eröffnet und die Verfassungsbeschwerden sind zulässig, da es sich jedenfalls nicht um die Umsetzung zwingenden Unionsrechts handelt.

84 1. Allerdings übt das Bundesverfassungsgericht grundsätzlich keine Kontrolle über unionsrechtliches Fachrecht aus und überprüft dieses Recht nicht am Maßstab der Grundrechte des Grundgesetzes, solange die Unionsgrundrechte einen wirksamen Schutz der Grundrechte generell bieten, der dem vom Grundgesetz jeweils als unabdingbar gebotenen Grundrechtsschutz im Wesentlichen gleich zu achten ist, zumal den Wesensgehalt der Grundrechte generell verbürgen; maßgeblich ist insoweit eine auf das jeweilige Grundrecht des Grundgesetzes bezogene generelle Betrachtung (vgl. BVerfGE 73, 339 <387>; 102, 147 <162 f.>; 125, 260 <306>;BVerfG, Beschluss des Ersten Senats vom 6. November 2019 - 1 BvR 276/17 -, Rn. 47 a.E. - Recht auf Vergessen II).

Diese Grundsätze gelten nach der bisherigen Rechtsprechung des Bundesverfassungsgerichts auch für die Überprüfung innerstaatlicher Rechtsvorschriften, die zwingende Vorgaben in deutsches Recht umsetzen (vgl. BVerfGE 118, 79 <95 ff.>; BVerfG, Beschluss des Zweiten Senats vom 11. März 2020, - 2 BvL 5/17 -, Rn. 65). Verfassungsbeschwerden, die sich gegen in diesem Sinne verbindliches Fachrecht der Europäischen Union richten, sind danach grundsätzlich unzulässig (vgl. BVerfGE 118, 79 <95>; 121, 1 <15>; 125, 260 <306>; siehe hingegen zur bundesverfassungsgerichtlichen Kontrolle am Maßstab der Unionsgrundrechte im Fall der Überprüfung der Anwendung von zwingendem Recht der Europäischen Union und der Anwendung innerstaatlicher Vorschriften, die zwingendes Unionsrecht umsetzen, BVerfG, Beschluss des Ersten Senats vom 6.

November 2019 - 1 BvR 276/17 -, Rn. 52; die Möglichkeit bundesverfassungsgerichtlicher Kontrolle am Maßstab der Unionsgrundrechte im Fall der Normprüfung offenlassend jetzt BVerfG, Beschluss des Ersten Senats vom 6. November 2019 - 1 BvR 276/17 -, Rn. 51 a.E.; Beschluss des Zweiten Senats vom 13. Februar 2020 - 2 BvR 739/17 -, Rn. 116 - Einheitliches Patentgericht).

85 2. Danach sind die angegriffenen Vorschriften am Maßstab des Grundgesetzes überprüfbar, denn sie beruhen nicht auf zwingenden Vorgaben des Unionsrechts. Sie setzen nicht vollständig vereinheitlichendes Unionsrecht um. Das gilt zunächst, soweit die angegriffenen Vorschriften in den Anwendungsbereich der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation, ABl EU, L 201 vom 31. Juli 2002, S. 37, im Folgenden: RL 2002/58/EG) oder der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27.

April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl EU, L 119 vom 4. Mai 2016, S. 89, im Folgenden: RL 2016/680/EU) fallen könnten. Zielsetzung dieser Unionsrechtsakte ist der Schutz personenbezogener Daten. Sie enthalten dagegen keine Bestimmungen, die die Mitgliedstaaten zur Schaffung von Regelungen zum Abruf von Bestandsdaten verpflichten oder ihnen sonst hierzu abschließende Vorgaben machen. Vielmehr sehen sie mehr oder minder begrenzte Öffnungsklauseln vor, die den Mitgliedstaaten die Schaffung derartiger Regelungen zwar grundsätzlich ermöglichen, aber nicht gebieten (so etwa in Art. 15 Abs. 1 RL 2002/58/EG; vgl.

EuGH, Urteil vom 29. Januar 2008, Promusicae, C-275/06, EU:C:2008:54, Rn. 50) oder gehen von vornherein nicht über die Verpflichtung zur Wahrung datenschutzrechtlicher Grundsätze hinaus (so etwa Kapitel II RL 2016/680/EU).

86 Nichts Anderes gilt auch insoweit, als die Vorschriften teilweise in den Anwendungsbereich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl EU, L 119 vom 4. Mai 2016, S. 1, im Folgenden: DSGVO) fallen mögen. Die Datenschutzgrundverordnung erstrebt zwar grundsätzlich eine unionsrechtliche Vereinheitlichung des Datenschutzes. Dies besagt aber nicht, dass alle Einzelregelungen unionsweit vereinheitlicht sind. So belassen für die hier in Frage stehenden Regelungen insbesondere Art. 6 Abs. 2 und 3 DSGVO den Mitgliedstaaten erhebliche Gestaltungsspielräume (vgl. Kühling/Martini u.a., Die Datenschutz-Grundverordnung und das nationale Recht, 2016, S. 28; anders hingegen für die dortige Rechtslage BVerfG, Beschluss des Ersten Senats vom 6. November 2019 - 1 BvR 276/17 -, Rn. 33 ff.).

87 Handelt es sich also - wie vorliegend - nicht um vollständig unionsrechtlich determiniertes Recht, sondern um innerstaatliche Normen im nicht voll vereinheitlichten Bereich, prüft das Bundesverfassungsgericht die angegriffenen Normen am Maßstab der Grundrechte des Grundgesetzes. Das gilt im Grundsatz unabhängig davon, ob und wieweit die angegriffenen Vorschriften nach der Rechtsprechung des Gerichtshofs der Europäischen Union zugleich als Durchführung des Unionsrechts im Sinne des Art. 51 Abs. 1 Satz 1 GRCh angesehen werden können (vgl. zur RL 2002/58/EG EuGH, Urteil vom 21. Dezember 2016, Tele2 Sverige und Watson u.a., C-203/15 u.a., EU:C:2016:970, Rn. 78 ff.; Urteil vom 2. Oktober 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, Rn. 29 ff.) und deshalb daneben auch die Unionsgrundrechte Geltung beanspruchen können (vgl. dazu BVerfG, Beschluss des Ersten Senats vom 6. November 2019 - 1 BvR 16/13 -, Rn. 39 - Recht auf Vergessen I; näher unter Rn. 261).

88 3. Unberührt bleibt hiervon die Frage, ob sich weitere rechtliche Anforderungen unmittelbar aus dem Sekundärrecht der Europäischen Union ergeben, insbesondere aus Art. 15 Abs. 1 RL 2002/58/EG hinsichtlich der Reichweite der den Diensteanbietern auferlegten Pflichten. Die Auslegung und Anwendung des Fachrechts der Europäischen Union ist nicht Sache des Bundesverfassungsgerichts, sondern obliegt den Fachgerichten im Verbund mit dem Europäischen Gerichtshof (BVerfG, Urteil des Ersten Senats vom 19. Mai 2020 - 1 BvR 2835/17 -, Rn. 85 m.w.N. - BND - Ausland-Ausland-Aufklärung).

C.

89 Die Verfassungsbeschwerden sind überwiegend begründet. Die angegriffenen Vorschriften genügen in weiten Teilen nicht den Anforderungen an die Verhältnismäßigkeit.

I.

90 Die Regelungen zur Übermittlung und zum Abruf von Bestandsdaten greifen in das Recht auf informationelle Selbstbestimmung des Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG ein. Soweit sie auch zur Übermittlung und zum Abruf von Bestandsdaten ermächtigen, die anhand dynamischer IP-Adressen bestimmt werden, liegt ein Eingriff in das speziellere Telekommunikationsgeheimnis des Art. 10 Abs. 1 GG vor.

91 1. § 113 Abs. 1 Satz 1 und 2 TKG sowie die damit korrespondierenden fachrechtlichen Abrufregelungen (§ 10 Abs. 1 Satz 1 und 2, § 40 Abs. 1 Satz 1 und 2 BKAG, § 22a Abs. 1 Satz 1 und 2 BPolG, § 7 Abs. 5 Satz 1 und 2, § 15 Abs. 2 Satz 1 und 2 ZFdG, § 8d Abs. 1 Satz 1 und 2 BVerfSchG sowie § 2b Satz 1 BNDG und § 4b Satz 1 MADG, soweit sie Bezug auf § 8d Abs. 1 Satz 1 und 2 BVerfSchG nehmen) greifen in das Recht auf informationelle Selbstbestimmung ein.

92

93 Vorschriften, die zum Umgang mit personenbezogenen Daten durch staatliche Behörden ermächtigen, begründen in der Regel verschiedene, aufeinander aufbauende Eingriffe. Es ist zwischen der Erhebung, Speicherung und Verwendung von Daten zu unterscheiden (vgl. BVerfGE 100, 313 <366 f.>; 120, 378 <400 f.>; 125, 260 <310>; vgl. auch EGMR (GK), S. and Marper v. The United Kingdom, Urteil vom 4. Dezember 2008, Nr. 30562/04 u.a., § 67; EuGH, Urteil vom 8. April 2014, Digital Rights Ireland und Seitlinger u.a., C-293/12 u.a., EU:C:2014:238, Rn. 34 ff.). Bei der Regelung eines Datenaustauschs zur staatlichen Aufgabenwahrnehmung ist darüber hinaus aber auch zwischen der Datenübermittlung seitens der auskunfterteilenden Stelle und dem Datenabruf seitens der auskunftsuchenden Stelle zu unterscheiden. Ein Datenaustausch vollzieht sich durch die einander korrespondierenden Eingriffe von Abfrage und Übermittlung, die jeweils einer eigenen Rechtsgrundlage bedürfen. Der Gesetzgeber muss, bildlich gesprochen, nicht nur die Tür zur Übermittlung von Daten öffnen, sondern auch die Tür zu deren Abfrage. Erst beide Rechtsgrundlagen gemeinsam, die wie eine Doppeltür zusammenwirken müssen, berechtigen zu einem Austausch personenbezogener Daten (BVerfGE 130, 151 <184>).

94

95 Einen eigenständigen Grundrechtseingriff begründen zunächst § 113 Abs. 1 Satz 1 und 2 TKG, die die Diensteanbieter auf Verlangen einer abrufberechtigten Behörde verpflichten, über die von ihnen nach den §§ 95 und 111 TKG gespeicherten Daten Auskunft zu erteilen (vgl. BVerfGE 130, 151 <185>). Zwar berechtigen die Regelungen allein noch nicht zum Datenaustausch. Vielmehr bedarf es - nach dem Bild einer Doppeltür - für den Abruf der Daten einer weiteren Rechtsgrundlage (vgl. BVerfGE 125, 260 <312>; 130, 151 <185>; 150, 244 <278 Rn. 80>; 150, 309 <335 Rn. 68>). Doch obgleich § 113 TKG seitens der abrufberechtigten Behörden eigene Erhebungsbefugnisse voraussetzt, haben § 113 Abs. 1 Satz 1 und 2 TKG allein als Rechtsgrundlage für die Übermittlung bereits Eingriffsqualität (vgl. BVerfGE 130, 151 <185>). Schon die Bestimmung der Verwendungszwecke und die Befugnis zur Datenübermittlung als Teil der Verwendungsregelung begründen den Eingriffscharakter. Dabei ist es unerheblich, dass § 113 TKG eine Übermittlung der Daten seitens privater Diensteanbieter betrifft (vgl. BVerfGE 125, 260 <312>).

96 Ein hiervon zu unterscheidender, eigenständiger Eingriff liegt in den mit § 113 Abs. 1 Satz 1 und 2 TKG korrespondierenden Abrufregelungen des Bundes, die den in § 113 TKG tatbestandlich vorausgesetzten Abruf der Daten seitens der auskunftsberechtigten Behörden regeln (vgl. BVerfGE 130, 151 <185>).

97 2. § 113 Abs. 1 Satz 3 TKG sowie die damit korrespondierenden fachrechtlichen Abrufregelungen (§ 10 Abs. 2, § 40 Abs. 2 BKAG, § 22a Abs. 2 BPolG, § 7 Abs. 6, § 15 Abs. 3 ZFdG, § 8d Abs. 2 Satz 1 BVerfSchG sowie § 2b Satz 1 BNDG und § 4b Satz 1 MADG, soweit sie Bezug auf § 8d Abs. 2 Satz 1 BVerfSchG nehmen), die eine Zuordnung dynamischer IP-Adressen ermöglichen, greifen in Art. 10 Abs. 1 GG ein.

98

99 Anders liegt es demgegenüber bei der identifizierenden Zuordnung dynamischer IP-Adressen. Diese fällt in den Schutzbereich des Art. 10 Abs. 1 GG (vgl. BVerfGE 130, 151 <181>; vgl. auch EGMR, Benedik v. Slovenia, Urteil vom 24. April 2018, Nr. 62357/14, §§ 130 ff., wonach derartige Maßnahmen das Recht auf Achtung des Privatlebens aus Art. 8 Abs. 1 EMRK berühren). Allerdings ergibt sich dies nicht schon daraus, dass sich die Zuordnung einer dynamischen IP-Adresse notwendig immer auf einen bestimmten Telekommunikationsvorgang bezieht, über den sie damit mittelbar ebenso Auskunft gibt. Denn auch insoweit betrifft die Auskunft selbst nur Daten, die einem Anschlussinhaber abstrakt zugewiesen sind.

Die Betroffenheit des Art. 10 Abs. 1 GG wird hier vielmehr dadurch begründet, dass die Diensteanbieter für die Identifizierung einer dynamischen IP-Adresse in einem Zwischenschritt die entsprechenden Verbindungsdaten ihrer Kunden sichten und dafür auf konkrete Telekommunikationsvorgänge zugreifen müssen. Diese von den Diensteanbietern gespeicherten Telekommunikationsverbindungen unterliegen dem Schutz des Telekommunikationsgeheimnisses und zwar unabhängig davon, ob sie von den Diensteanbietern auf vertraglicher Grundlage (vgl. § 96 TKG) gespeichert (vgl. BVerfGE 130, 151 <181 ff.>) oder aufgrund gesetzlicher Verpflichtung (vgl. §§ 113a, 113b TKG) vorrätig gehalten werden müssen (vgl. BVerfGE 125, 260 <312>).

Die staatlich auferlegte Pflicht zu deren Nutzung ist selbst dann an Art. 10 Abs. 1 GG zu messen, wenn die Verbindungsdaten selbst nicht herausgegeben werden (vgl. BVerfGE 130, 151 <182 f.>).

100 Das aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG folgende Recht auf informationelle Selbstbestimmung kommt neben Art. 10 GG nicht zur Anwendung, denn bezogen auf die Telekommunikation enthält Art. 10 GG eine spezielle Garantie, die die allgemeine Vorschrift verdrängt und aus der sich besondere Anforderungen für die Daten ergeben, die durch Eingriffe in das Telekommunikationsgeheimnis erlangt werden. Insoweit lassen sich allerdings die Maßgaben, die das Bundesverfassungsgericht aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG entwickelt hat, weitgehend auf die speziellere Garantie des Art. 10 GG übertragen (vgl. BVerfGE 100, 313 <358 f.>; 125, 260 <310>).

101

102

II.

103 Die angegriffenen Vorschriften sind formell verfassungsgemäß. Insbesondere steht dem Bund sowohl für § 113 TKG als auch für die Abrufregelungen in den jeweiligen Fachgesetzen die Gesetzgebungskompetenz zu.

104 1. Der Bund kann die in § 113 TKG enthaltenen Regelungen kraft Sachzusammenhangs zu seiner Kompetenz für das Telekommunikationsrecht nach Art. 73 Abs. 1 Nr. 7 GG treffen.

105

Insbesondere kann er auch diejenigen Regelungen treffen, die notwendig sind, damit die Übermittlung von Daten an Strafverfolgungs- und Gefahrenabwehrbehörden sowie Nachrichtendienste den grundrechtlichen Anforderungen genügen (vgl. BVerfGE 125, 260 <315>). Demgegenüber endet die Gesetzgebungsbefugnis dort, wo es um den Abruf solcher Informationen geht. Die Ermächtigungen zum Datenabruf selbst bedürfen eines eigenen Kompetenztitels oder müssen den Ländern überlassen bleiben (vgl. BVerfGE 125, 260 <315>; 130, 151 <193>).

106

107 2. Der Bund kann auch die angegriffenen Abrufregelungen auf der Grundlage ihm zustehender Gesetzgebungskompetenzen erlassen.

108

109 Im Bereich der Gefahrenabwehr (auch soweit die Verhütung von Straftaten betroffen ist) liegt die Gesetzgebungszuständigkeit weithin bei den Ländern (vgl. BVerfGE 113, 348 <368 f.>; 125, 260 <346>). Jedoch kommen dem Bund auch in diesen Bereichen partiell ausschließliche oder konkurrierende Gesetzgebungszuständigkeiten zu.

110

111

112 Soweit § 10 Abs. 1 Satz 1 Nr. 2 BKAG die Bestandsdatenauskunft zum Schutz von Mitgliedern der (Bundes-)Verfassungsorgane und der Leitung des Bundeskriminalamts eröffnet, folgt die Gesetzgebungskompetenz des Bundes aus der Natur der Sache (vgl. BTDrucks 7/178, S. 7; 13/1550, S. 20; vgl. auch Graulich, in: Schenke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019, § 6 BKAG Rn. 2; a.A. Bäcker, Terrorismusabwehr durch das Bundeskriminalamt, 2009, S. 28). Die Regelung der dem Zeugenschutz dienenden Bestandsdatenauskunft nach § 10 Abs. 1 Satz 1 Nr. 3 BKAG steht dem Bund als Annex kraft Sachzusammenhangs zu der in Art. 74 Abs. 1 Nr. 1 Var. 4 GG geregelten Kompetenz für das gerichtliche Verfahren auf dem Gebiet des Strafrechts zu (vgl. Schreiber, NJW 1997, S. 2137 <2140>; Griesbaum, NStZ 1998, S. 433 <435>; Bäcker, Terrorismusabwehr durch das Bundeskriminalamt, 2009, S. 27).

113 Die Gesetzgebungskompetenz des Bundes für die durch § 40 BKAG eröffnete Bestandsdatenauskunft ergibt sich aus Art. 73 Abs. 1 Nr. 9a GG. Die Befugnis dient mittels der Verweise über § 39 Abs. 1 und 2 BKAG auf § 5 Abs. 1 BKAG der Abwehr der in dem Kompetenztitel geregelten Gefahren des internationalen Terrorismus.

114

115

116

117

118

119

120 3. Die angegriffenen Regelungen über die Zuordnung dynamischer IP-Adressen genügen dem für Eingriffe in das Fernmeldegeheimnis geltenden Zitiergebot des Art. 19 Abs. 1 Satz 2 GG. Art. 9 des Änderungsgesetzes vom 20. Juni 2013 (BGBl I S. 1602) weist auf die Einschränkung des Art. 10 GG durch Art. 1 bis 8 des Änderungsgesetzes ausdrücklich hin. Der Warn- und Besinnungsfunktion des Zitiergebots (vgl. BVerfGE 64, 72 <79 f.>; 120, 274 <343>) wird damit genügt. Dass das eingeschränkte Grundrecht nur in einem Artikel des Änderungsgesetzes und zudem nicht durchgängig in der jeweils zur Einschränkung ermächtigenden Norm genannt wird, ist verfassungsrechtlich hinnehmbar, wenngleich die konkrete Bezugnahme in der Ermächtigungsnorm der Ratio des Zitiergebotes am besten entsprechen dürfte (vgl. Huber, in: von Mangoldt/Klein/Starck, GG, 7. Aufl. 2018, Art. 19 Rn. 96; siehe auch Singer, DÖV 2007, S. 496 <501>; Krebs, in: von Münch/Kunig, GG, Bd. 1, 6. Aufl. 2012, Art. 19 Rn. 14; a.A. Axer, in: Merten/Papier, HGRe, Bd. III, 2009, § 67 Rn. 31), wie dies in den § 8d Abs. 6 BVerfSchG, § 2b Satz 3 BNDG und § 4b Satz 3 MADG klarstellend (vgl. BTDrucks 17/12034, S. 15) erfolgt ist.

121 Einer erneuten Beachtung des Zitiergebots bei der Einführung der §§ 10, 40 BKAG durch das Gesetz zur Neustrukturierung des Bundeskriminalamtgesetzes vom 1. Juni 2017 bedurfte es nicht. Die Warn- und Besinnungsfunktion betrifft zwar nicht nur die erstmalige Grundrechtseinschränkung, sondern wird bei jeder erheblichen Veränderung der Eingriffsvoraussetzungen bedeutsam, die zu neuen Grundrechtseinschränkungen führt. Bei Gesetzen, die lediglich bereits geltende Grundrechtseinschränkungen unverändert oder - wie hier - mit geringen Abweichungen wiederholen, findet das Zitiergebot hingegen keine Anwendung (vgl. BVerfGE 129, 208 <237> m.w.N.).

III.

122 Die angegriffenen Übermittlungsbefugnisse in § 113 TKG genügen in materieller Hinsicht nicht den verfassungsrechtlichen Anforderungen des Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG sowie des Art. 10 Abs. 1 GG.

123