124 2. Die angegriffenen Übermittlungsregelungen dienen legitimen Zwecken und sind hierfür geeignet und erforderlich.
\n125
\n126
\n127 3. Mit den Anforderungen der Verhältnismäßigkeit im engeren Sinne sind die Übermittlungsregelungen nur vereinbar, wenn sie die Verwendungszwecke der einzelnen Befugnisse gemessen an ihrem Eingriffsgewicht selbst hinreichend normenklar begrenzen (a). Diesen Anforderungen genügen die angegriffenen Befugnisse zur allgemeinen Übermittlung von Bestandsdaten (b), zur Übermittlung von Zugangsdaten (c) und zur Übermittlung von anhand einer dynamischen IP-Adresse bestimmter Bestandsdaten (d) nicht, wenngleich die Regelungen zur Datensicherheit keinen Bedenken begegnen (e).
\n128
\n129
\n130 bb)Verpflichtet der Gesetzgeber zur Schaffung von Datenbeständen oder öffnet er diese über den primären Zweck hinaus, wie hier die Datenbestände privater Unternehmen für eine Verwendung zur staatlichen Aufgabenwahrnehmung, obliegt es ihm zugleich, die für deren verfassungsrechtliche Rechtfertigung erforderlichen Verwendungszwecke und Eingriffsschwellen sowie die für die Gewährleistung der Zweckbindung gegebenenfalls erforderlichen Folgeregelungen verbindlich festzulegen (Gebot der Zweckbindung, vgl. BVerfGE 118, 168 <187>; 120, 378 <408>; 125, 260 <344 f., 355>; vgl. auch EuGH, Urteil vom 8. April 2014, Digital Rights Ireland und Seitlinger u.a., C-293/12 u.a., EU:C:2014:238, Rn. 57 ff.; Urteil vom 6.
\nOktober 2015, Schrems, C-362/14, EU:C:2015:650, Rn. 93). Die grundrechtliche Rechtfertigungslast für eine solche Zweckbestimmung oder -änderung ist dabei schon in der Übermittlungsregelung abzudecken, die zur Schaffung der Datenbestände verpflichtet oder sie zur staatlichen Aufgabenwahrnehmung öffnet. Schon diese - obgleich nur erste Tür - selbst hat die Verwendungszwecke hinreichend zu begrenzen (vgl. BVerfGE 125, 260 <344 f., 355>), muss also die Datenverwendung an bestimmte Zwecke, tatbestandliche Eingriffsschwellen und einen hinreichend gewichtigen Rechtsgüterschutz binden, sodass insgesamt die verfassungsrechtlichen Anforderungen gewahrt werden. Dabei steht es dem Gesetzgeber der Abrufregelung ‒ als zweiter Tür ‒ frei, den Abruf der Daten an (noch) höhere Anforderungen zu binden.
\nUnzulässig ist es dagegen, unabhängig von solchen Zweckbestimmungen einen Datenvorrat zu schaffen, dessen Nutzung je nach Bedarf und politischem Ermessen der späteren Entscheidung verschiedener staatlicher Instanzen überlassen bleibt (vgl. BVerfGE 65, 1 <46>; 100, 313 <360>; 125, 260 <345>; 130, 151 <187>; vgl. auch EuGH, Urteil vom 6. Oktober 2015, Schrems, C-362/14, EU:C:2015:650, Rn. 93 f.).
\n131
\n132
\n133
\n134
\n135
\n136
\n137
\n138
\n139
\n140
\n141 (a) Das Eingriffsgewicht wird derzeit auch nicht durch die individualisierende Zuordnung einer statischen IP-Adresse erhöht, sofern diese ‒ anders als dynamische IP-Adressen - je nach Auslegung des Begriffs der \"Anschlusskennung\" in § 111 Abs. 1 Nr. 1 TKG möglicherweise verpflichtend (ablehnend: Graulich, in: Arndt/Fetzer/Scherer/Graulich, TKG, 2. Aufl. 2015, § 111 Rn. 11; Hey/Pauly/Kartheuser, ZD 2012, S. 455 <456>; Dalby, CR 2013, S. 361 <362 Fn. 14>) oder aber nach § 95 TKG freiwillig gespeichert werden. Zwar ermöglicht die Zuordnung einer IP-Adresse zu einem Anschlussinhaber die Erschließung von nach Umfang und Inhalt wesentlich weitreichenderen Informationen als die Identifizierung einer Telefonnummer, da die Auskunft über den Anschlussinhaber einer IP-Adresse zugleich die Information über den Inhalt des Kontakts enthält, der elektronisch fixiert ist und auch länger wieder abrufbar sein kann (vgl.
\nBVerfGE 125, 260 <342>; 130, 151 <198 f.>). Auch kann gegebenenfalls umgekehrt die statische IP-Adresse eines namentlich bekannten Anschlussinhabers abgefragt werden. Nach Angaben der Bundesregierung werden aber nach derzeitigem Stand der Technik und Praxis privaten Nutzerinnen und Nutzern als Einzelkunden in der Regel keine statischen IP-Adressen zugewiesen. Vielmehr erfolgt die Zuweisung von IP-Adressen auch während der laufenden Einführung des Internetprotokolls Version 6, das über einen im Vergleich zur Vorgängerversion deutlich größeren Adressraum verfügt und deshalb die Zuweisung fester IP-Adressen an alle Nutzerinnen und Nutzer grundsätzlich zuließe, weiterhin ganz überwiegend dynamisch.
\nDie Zuweisung von statischen IP-Adressen, deren Zuordnung zurzeit ohnehin über außereuropäische Plattformen öffentlich zugänglich ist, beschränkt sich nach wie vor im Wesentlichen auf Institutionen und Großnutzer (vgl. dazu BVerfGE 130, 151 <198>).
\n142 (b) Das Eingriffsgewicht wird dagegen dadurch begrenzt, dass Auskünfte nur dann erteilt werden dürfen, wenn eine in § 113 Abs. 3 TKG genannte Stelle dies in Textform im Einzelfall zu ihrer Aufgabenwahrnehmung verlangt (vgl. § 113 Abs. 2 Satz 1 TKG). Die Übermittlungsregelung ermächtigt damit ausdrücklich nur zu einer aufgabenbezogenen Auskunft im Einzelfall. Entgegen der Ansicht der Beschwerdeführenden bleibt der Einzelfallbezug auch erhalten, wenn geschäftsmäßige Diensteanbieter mit mehr als 100.000 Kunden gemäß § 113 Abs. 5 Satz 2 TKG für die Entgegennahme eines Auskunftsersuchens sowie für die Erteilung der zugehörigen Auskünfte eine gesicherte elektronische Schnittstelle bereithalten. In § 113 Abs. 5 TKG wird allein das erforderliche technische Umfeld für die Entgegennahme des Auskunftsverlangens und die Erteilung der Auskunft geregelt.
\nDie inhaltlichen und formalen Voraussetzungen für eine Auskunftserteilung werden durch die Verpflichtung, eine gesicherte elektronische Schnittstelle bereitzuhalten, nicht modifiziert. Auch bei Nutzung der Schnittstelle muss das Auskunftsverlangen gegenüber den Diensteanbietern vielmehr einzelfallbezogen geäußert werden. Dies verdeutlicht § 113 Abs. 5 Satz 3 TKG, wonach auch bei Entgegennahme eines Auskunftsverlangens über eine elektronische Schnittstelle dafür Sorge zu tragen ist, dass jedes Verlangen durch eine verantwortliche Fachkraft auf Einhaltung der in § 113 Abs. 2 TKG genannten formalen Voraussetzungen geprüft und die weitere Bearbeitung des Verlangens erst nach einem positiven Prüfergebnis freigegeben wird.
\nDamit soll sichergestellt werden, dass gerade keine automatisierte Datenabfrage stattfindet, sondern jede Anfrage auch providerseitig geprüft wird; eine automatisierte Prüfung ist dementsprechend nicht zulässig (vgl. BTDrucks 17/12034, S. 12). Die Ermöglichung oder Erleichterung von Massenabfragen ist in der Norm auch nicht angelegt. Die Einrichtung einer gesicherten elektronischen Schnittstelle dient vielmehr vorrangig dazu, die Datensicherheit zu erhöhen (vgl. BTDrucks 17/12034, S. 12).
\n143 (c) Das manuelle Auskunftsverfahren bringt für die abfragende Behörde zudem einen gewissen Verfahrensaufwand mit sich, der dazu beitragen dürfte, dass die Behörde die Auskunft nur bei hinreichendem Bedarf einholt oder den benötigten Auskünften eine gewisse Bedeutung zukommt (vgl. zur Vorgängerregelung BVerfGE 130, 151 <206>). Dieser wird - wie ausgeführt - auch bei Nutzung einer elektronischen Schnittstelle nicht verringert.
\n144
\n145
\n146 (a) Erforderlich ist demnach bezogen auf die Gefahrenabwehr grundsätzlich eine im Einzelfall vorliegende konkrete Gefahr im Sinne der polizeirechtlichen Generalklauseln. Diese Schwelle umfasst auch den Gefahrenverdacht. Ebenso beschränkt sie Auskünfte nicht von vornherein auf Polizeipflichtige im Sinne des allgemeinen Polizei- und Ordnungsrechts. Sie ist damit jedoch nicht so entgrenzt, dass sie angesichts des gemäßigten Eingriffsgewichts unverhältnismäßig wäre. Insbesondere werden damit Auskünfte nicht als allgemeines Mittel der Verwaltung ermöglicht, sondern setzen im Einzelfall einen sicherheitsrechtlich geprägten Charakter der betreffenden Aufgabe voraus (vgl. BVerfGE 130, 151 <206>). Bezogen auf die Strafverfolgung genügt das Vorliegen eines Anfangsverdachts (vgl. BVerfGE 130, 151 <206>). Das grundsätzliche Erfordernis einer auf Anhaltspunkte im Tatsächlichen gestützten konkreten Gefahr gilt für die Nachrichtendienste ebenso wie für alle zur Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung zuständigen Behörden (vgl. BVerfGE 125, 260 <343 f.>). Sind derart qualifizierte Eingriffsschwellen vorgesehen, bedarf es im Hinblick auf das gemäßigte Eingriffsgewicht der allgemeinen Bestandsdatenauskunft und ihrer großen Bedeutung für eine effektive Aufgabenwahrnehmung keines spezifisch erhöhten Rechtsgüterschutzes, um die Verhältnismäßigkeit der Datenübermittlung sicherzustellen.
\n147 (b) Der Gesetzgeber ist von Verfassungs wegen aber nicht von vornherein für jede Art der Aufgabenwahrnehmung auf die Schaffung von Eingriffstatbeständen beschränkt, die dem tradierten sicherheitsrechtlichen Modell der Abwehr konkreter, unmittelbar bevorstehender oder gegenwärtiger Gefahren entsprechen. Vielmehr kann er die Grenzen unter besonderen Voraussetzungen auch weiter ziehen, indem er die Anforderungen an die Vorhersehbarkeit des Kausalverlaufs reduziert (vgl. BVerfGE 141, 220 <272 Rn. 112>). Allerdings muss stets gewährleistet bleiben, dass Annahmen und Schlussfolgerungen einen konkret umrissenen Ausgangspunkt im Tatsächlichen haben (BVerfGE 113, 348 <386>). Je gewichtiger das gefährdete Rechtsgut ist und je weiterreichend es durch die jeweiligen Handlungen beeinträchtigt würde, desto geringere Anforderungen dürfen an den Grad der Wahrscheinlichkeit gestellt werden, mit der auf eine drohende Verletzung geschlossen werden kann, und desto weniger fundiert dürfen gegebenenfalls die Tatsachen sein, die auf die Gefährdung des Rechtsguts schließen lassen (vgl. BVerfGE 100, 313 <392>; siehe auch BVerfGE 110, 33 <55, 60>). Umgekehrt steigen bei einem geringen Gewicht des gefährdeten Rechtsguts die Anforderungen an die Prognosesicherheit sowohl hinsichtlich des Grads der Gefährdung als auch hinsichtlich ihrer Intensität (vgl. BVerfGE 113, 348 <386>).
\n148 Eingriffsgrundlagen müssen daher regelmäßig zumindest eine hinreichend konkretisierte Gefahr verlangen. Eine solche kann schon dann bestehen, wenn sich der zum Schaden führende Kausalverlauf noch nicht mit hinreichender Wahrscheinlichkeit vorhersehen lässt, sofern bereits bestimmte Tatsachen auf eine im Einzelfall drohende Gefahr hinweisen. Die Tatsachen müssen dafür zum einen den Schluss auf ein wenigstens seiner Art nach konkretisiertes und zeitlich absehbares Geschehen zulassen, zum anderen darauf, dass bestimmte Personen beteiligt sein werden, über deren Identität zumindest so viel bekannt ist, dass die Überwachungsmaßnahme gezielt gegen sie eingesetzt und weitgehend auf sie beschränkt werden kann (BVerfGE 141, 220 <272 Rn. 112> mit Verweis auf BVerfGE 120, 274 <328 f.> und 125, 260 <330 f.>). Eine solche Absenkung der Eingriffsschwellen ist aus Gründen der Verhältnismäßigkeit aber untrennbar verbunden mit erhöhten Anforderungen an die konkret geschützten Rechtsgüter (vgl. BVerfGE 141, 220 <272 Rn. 112>).
\n149 Zum Schutz herausgehobener Rechtsgüter, wie etwa zur Verhütung terroristischer Straftaten, können die Anforderungen an die Vorhersehbarkeit des Geschehensablaufs in dieser Weise auch dann weiter abgesenkt und Eingriffe erlaubt werden, wenn zwar noch kein seiner Art nach konkretisiertes und zeitlich absehbares Geschehen erkennbar ist, jedoch zumindest das individuelle Verhalten einer Person die konkrete Wahrscheinlichkeit begründet, dass sie solche Straftaten in überschaubarer Zukunft begehen wird (vgl. BVerfGE 141, 220 <272 f. Rn. 112, 291 Rn. 164>). Zu berücksichtigen ist stets auch das Eingriffsgewicht der konkreten Maßnahme. Während der Absenkung von Eingriffsschwellen bei tief in die Privatsphäre eingreifenden Maßnahmen deutliche Grenzen gesetzt sind, bestehen bei weniger gewichtigen Eingriffen auch weiterreichende Gestaltungsmöglichkeiten (vgl. BVerfGE 141, 220 <269 Rn. 104>).
\n150 Weniger gewichtige Eingriffe - wie sie die allgemeine Bestandsdatenauskunft begründet - können daher beim Vorliegen einer konkretisierten Gefahr bereits dann zu rechtfertigen sein, wenn sie dem Schutz von Rechtsgütern von zumindest erheblichem Gewicht dienen (vgl. dazu BVerfGE 150, 244 <284 Rn. 99>; 150, 309 <336 Rn. 73>), wie dies etwa bei der Verhütung von Straftaten von zumindest erheblicher Bedeutung (vgl. dazu BVerfGE 141, 220 <270 Rn. 107> m.w.N.) der Fall ist. Hochrangige, überragend wichtige oder auch besonders gewichtige Rechtsgüter (vgl. BVerfGE 115, 320 <346>; 120, 274 <328>; 141, 220 <270 Rn. 108>) sind demgegenüber nur dann erforderlich, wenn die Eingriffsschwelle noch weiter hinter einer konkretisierten Gefahr zurückbleiben sollte oder es sich etwa um tief in die Privatsphäre eingreifende Befugnisse handelte.
\n151 (c) Diese verfassungsrechtlichen Anforderungen gelten grundsätzlich für alle Eingriffsermächtigungen mit präventiver Zielrichtung. Sie gelten damit auch für die Verwendung der Daten durch Nachrichtendienste (vgl. BVerfGE 125, 260 <331>). Auch für ihre Tätigkeiten genügen damit Eingriffsgrundlagen, die eine hinreichend konkretisierte Gefahr (oben Rn. 148 f.) verlangen, den verfassungsrechtlichen Anforderungen. Zwar sind auch insoweit stets tatsächliche Anhaltspunkte erforderlich (vgl. BVerfGE 120, 274 <330>). Bei - wie vorliegend - nicht tief in die Privatsphäre eingreifenden und insgesamt weniger gewichtigen Eingriffen kann es jedoch genügen, dass eine Auskunft zur Aufklärung einer bestimmten, nachrichtendienstlich beobachtungsbedürftigen Aktion oder Gruppierung im Einzelfall geboten ist (vgl. dazu BVerfGE 130, 151 <206>), denn damit wird ein wenigstens der Art nach konkretisiertes und absehbares Geschehen vorausgesetzt. Im Hinblick darauf, dass der Aufgabenbereich der Nachrichtendienste von vornherein dadurch gekennzeichnet ist, dass er dem Schutz besonders gewichtiger Rechtsgüter dient (vgl. BVerfGE 141, 220 <339 Rn. 320>; vgl. auch BVerfGE 133, 277 <326 Rn. 118>), bedarf es keiner weitergehenden Anforderungen an den Rechtsgüterschutz.
\n152 (d) Demgegenüber kann im Bereich der Strafverfolgung eine in tatsächlicher Hinsicht unterhalb des Anfangsverdachts liegende Eingriffsschwelle zur Vornahme von grundrechtsrelevanten Eingriffen nicht genügen. Zwar können für Maßnahmen mit präventiver Zielsetzung die Grenzen für bestimmte Bereiche auch weiter gezogen werden, indem die Anforderungen an die Vorhersehbarkeit des Kausalverlaufs reduziert werden (oben Rn. 147). Voraussetzung ist aber stets eine tatsachenbezogene Grundlage. Auch die im Gefahrenabwehrrecht anerkannten Eingriffsschwellen der \"konkretisierten Gefahr\" und der \"drohenden Gefahr\", die in zeitlicher Hinsicht ins Vorfeld verlagert sind, setzen tatsächliche Anhaltspunkte für die Entstehung einer konkreten Gefahr voraus (vgl. BVerfGE 141, 220 <272 Rn. 112>). Nichts Anderes gilt für Maßnahmen der Strafverfolgung. Auch im Vorfeldbereich kommen sie nur bei Vorliegen tatsächlicher Anhaltspunkte in Betracht (vgl. BVerfGE 113, 348 <386>; 117, 244 <263>). Vage Anhaltspunkte oder Vermutungen reichen demgegenüber nicht aus (vgl. BVerfGE 115, 166 <197 f.>; 124, 43 <66 f.>).
\n153 Danach reicht eine in tatsächlicher Hinsicht unterhalb des Anfangsverdachts angesiedelte Eingriffsschwelle im Bereich der Strafverfolgung nicht aus. Die Annahme eines Anfangsverdachts setzt lediglich das Vorliegen zureichender tatsächlicher Anhaltspunkte für eine Straftat voraus (vgl. BGH, Beschluss vom 12. Januar 2005 - 5 StR 191/04 -, Rn. 7). Solche tatsächlichen Anhaltspunkte liegen hinsichtlich ihrer Aussagekraft noch unter den für manche Ermittlungsmaßnahmen geforderten \"bestimmten Tatsachen\", weshalb der Anfangsverdacht bereits die Verdachtsstufe mit den geringsten in der Strafprozessordnung vorgesehenen tatsächlichen Voraussetzungen ist (vgl. BVerfGE 109, 279 <350>; 129, 208 <268>). Würden die Voraussetzungen noch weiter zurückgenommen, wären nur noch vage Anhaltspunkte gefordert.
\n154
\n155 (a) Trotz des für sich gesehen begrenzten Informationsgehalts der betreffenden Daten, ihrer engen Verwendungsmöglichkeiten sowie ihrer großen Bedeutung für eine effektive Aufgabenwahrnehmung der abfrageberechtigten Behörden sind die Verwendungszwecke nicht hinreichend begrenzt. Zwar handelt es sich bei den gesetzlich bestimmten Verwendungszwecken um zentrale Aufgaben der Gewährleistung von Sicherheit. In Anbetracht der zunehmenden Bedeutung der elektronischen Kommunikationsmittel und des heutigen Kommunikationsverhaltens der Menschen in allen Lebensbereichen sind die Behörden darauf angewiesen, insbesondere auch Telekommunikationsnummern individuell zuordnen zu können. Doch auch unter Berücksichtigung ihres nur gemäßigten Eingriffsgewichts ist die hier angegriffene Regelung zu weit gefasst, da Auskünfte bereits dann erteilt werden können, wenn sie in irgendeinem Zusammenhang zu der staatlichen Aufgabenwahrnehmung stehen und einen Einzelfallbezug erkennen lassen, ohne dass ein auf tatsächliche Anhaltspunkte gestützter Eingriffsanlass vorausgesetzt wird. Eröffnet sind damit vielfältige und in jeder Hinsicht unbegrenzte Verwendungen.
\n156 (b) Die erforderlichen Eingriffsschwellen können § 113 TKG auch nicht ‒ wie noch der Vorgängerregelung ‒ im Wege der Auslegung entnommen werden.
\n157 Zwar enthielt der im Wesentlichen gleichlautende § 113 TKG a.F. ebenfalls keine begrenzenden Eingriffsschwellen. Diese konnten jedoch durch das Bundesverfassungsgericht im Wege der Auslegung ermittelt werden. Dabei stützte es sich maßgeblich auf die begrenzende Wirkung der tatbestandlichen Voraussetzungen, nach denen Auskünfte nur im Einzelfall angefordert werden durften und zur Aufgabenwahrnehmung erforderlich sein mussten. Davon ausgehend legte das Bundesverfassungsgericht die Regelung bezogen auf die Gefahrenabwehr dahin aus, dass eine Auskunft eine \"konkrete Gefahr\" voraussetze und dass im Aufgabenbereich der Nachrichtendienste die Auskunft zumindest zur Aufklärung einer bestimmten, nachrichtendienstlich beobachtungsbedürftigen Aktion oder Gruppierung im Einzelfall geboten sein müsse. Auch soweit sich Auskünfte auf die Verfolgung von Straftaten und Ordnungswidrigkeiten bezogen, leitete es aus dem Erfordernis der Erforderlichkeit im Einzelfall ab, dass zumindest ein Anfangsverdacht vorliegen müsse (vgl. BVerfGE 130, 151 <205 f.>).
\n158 Die hier angegriffene Übermittlungsregelung kann nicht erneut in diesem Sinne verständig ausgelegt werden. Dem stehen sowohl ihr Wortlaut als auch der klar erkennbare gesetzgeberische Wille entgegen. Anders als die Vorgängerregelung setzt § 113 Abs. 2 Satz 1 TKG, der die näheren Voraussetzungen der durch § 113 Abs. 1 Satz 1 TKG erlaubten Übermittlung regelt, schon nicht voraus, dass die zu erteilenden Auskünfte zur Aufgabenwahrnehmung der abfrageberechtigten Stellen \"erforderlich\" sein müssen. Genau darauf aber hat das Bundesverfassungsgericht in seiner Entscheidung zur Vorgängerregelung neben der Einzelfallbezogenheit maßgeblich abgestellt. Gerade aus dem Erfordernis der Erforderlichkeit im Einzelfall hat es abgeleitet, dass dem § 113 TKG a.F. ‒ wenngleich niedrige ‒ Eingriffsschwellen zu entnehmen waren.
\nWenn der Gesetzgeber vor diesem Hintergrund nunmehr wiederum nur die Verwendungszwecke als solche regelt, keine begrenzenden Eingriffsschwellen bestimmt und dabei gleichzeitig auf das Merkmal der Erforderlichkeit der Auskunftserteilung für die Aufgabenwahrnehmung verzichtet, kann das Bundesverfassungsgericht darüber im Rahmen einer neuerlichen Auslegung nicht hinweggehen. Dies entspräche auch nicht dem gesetzgeberischen Willen. So sah der von der Bundesregierung eingebrachte Gesetzentwurf zunächst gar keine aufgabenbezogene Begrenzung der Auskunftserteilung vor (vgl. BTDrucks 17/12034, S. 5), da - so die Gegenerklärung auf Einwände des Bundesrats (vgl. BRDrucks 664/12 [Beschluss], S. 1 f.; BTDrucks 17/12034, S. 17) - aus der neuen, seitens des Bundesverfassungsgerichts vorgegebenen dualen Gesetzessystematik folge, dass die erforderliche aufgabenbezogene Begrenzung der Auskunftserteilung nicht mehr in § 113 TKG geregelt werden könne.
\nSie betreffe nicht die Übermittlungsbefugnis der Diensteanbieter, sondern die Erhebungsbefugnis der Behörden. Die Voraussetzungen der Auskunftserteilung seien deshalb - wie der Entwurf ausgehend von einem Missverständnis der verfassungsgerichtlichen Rechtsprechung (vgl. BVerfGE 125, 260 <344 f., 355>; 130, 151 <184 f.; 202 f., 207 ff.>) ausführt - ausschließlich im jeweiligen Fachrecht zu verankern (vgl. BTDrucks 17/12034, S. 20). Der Gesetzgeber ist dem zwar letztlich nicht vollständig gefolgt und hat zumindest eine Beschränkung der Auskunft auf den Einzelfall eingefügt und die Verwendungszwecke der Auskunftserteilung bestimmt, womit er die materiellen Grenzen der jeweils bereichsspezifisch zu schaffenden Befugnisregelungen klarstellen wollte (vgl.
\nBTDrucks 17/12879, S. 10). Weitergehende Begrenzungen wollte er aber ersichtlich nicht setzen. Dies lassen auch die gleichzeitig geschaffenen fachrechtlichen Abrufregelungen erkennen, die weitgehend keine begrenzenden Eingriffsschwellen enthalten und insbesondere nicht das Vorliegen einer konkreten Gefahr voraussetzen (dazu im Folgenden Rn. 206 ff.).
\n159
\n160
\n161 Die Erklärung der Verfassungswidrigkeit einer Norm hindert den Gesetzgeber zwar nicht daran, eine inhaltlich gleichlautende Bestimmung wiederum zu erlassen (vgl. BVerfGE 77, 84 <103 f.>). Dabei kann er aber die vom Bundesverfassungsgericht festgestellten Gründe der Verfassungswidrigkeit des ursprünglichen Gesetzes nicht übergehen. Eine Normwiederholung verlangt vielmehr ihrerseits besondere Gründe, die sich vor allem aus einer wesentlichen Änderung der für die verfassungsrechtliche Beurteilung maßgeblichen tatsächlichen oder rechtlichen Verhältnisse oder der ihr zugrundeliegenden Anschauungen ergeben können. Fehlen solche Gründe, ist das Bundesverfassungsgericht nicht gehalten, die bereits entschiedenen verfassungsrechtlichen Fragen erneut zu erörtern (BVerfGE 96, 260 <263>).
\n162
\n163
\n164
\nJuli 2017 gemäß §§ 113a, 113b TKG von Erbringern öffentlich zugänglicher Telekommunikationsdienste verpflichtend zu speichernden Verkehrsdaten (siehe allerdings zur derzeitigen Handhabung der Speicherungspflicht oben Rn. 12) erfasst. Da die Verwendung dieser Daten zur Erteilung einer Auskunft nach § 113 Abs. 1 Satz 3 TKG durch § 113c Abs. 1 Nr. 3 TKG aber ausdrücklich angeordnet wird, bestehen im Zusammenwirken beider Normen im Hinblick auf die gebotene Normenklarheit des § 113 Abs. 1 Satz 3 TKG keine Bedenken.
\n165
\n166
\n167 Zwar hat die Zuordnung einer dynamischen IP-Adresse eine gewisse Ähnlichkeit mit der Identifizierung einer Telefonnummer. Die Abfrage des Inhabers einer Telefonnummer erbringt jedoch nicht ohne weiteres auch Informationen zu konkreten Telekommunikationsakten. Demgegenüber enthält eine Auskunft über den Anschlussinhaber einer dynamischen IP-Adresse in sich notwendig zugleich die Information, dass und von welchem Anschluss aus diese IP-Adresse zu einer bestimmten Zeit genutzt wurde. Da der Inhalt von Internetseiten elektronisch fixiert und länger wieder abrufbar ist, gibt die Individualisierung der IP-Adresse zugleich Auskunft über den Inhalt des Kontakts. Schon vom Umfang, vor allem aber vom Inhalt der Kontakte her, über die sie Auskunft geben kann, hat sie damit eine erheblich größere Persönlichkeitsrelevanz als die Identifizierung einer Telefonnummer und kann mit ihr nicht gleichgesetzt werden (vgl. BVerfGE 130, 151 <204> mit Verweis auf BVerfGE 125, 260 <341 ff.>).
\n168
\n169 Das Gewicht des Eingriffs wird hier jedoch dadurch abgemildert, dass die um Auskunft ersuchenden Behörden bei der Zuordnung dynamischer IP-Adressen keine Kenntnis der Verkehrsdaten erhalten. Die Behörden rufen diese nicht selbst ab, sondern erhalten lediglich personenbezogene Auskünfte über den Inhaber eines bestimmten Anschlusses, der von den Diensteanbietern unter Rückgriff auf die Verkehrsdaten sowie gegebenenfalls weitere Daten (etwa der Source Port Number, vgl. Rn. 42) ermittelt wurde. Die Aussagekraft des beauskunfteten Bestandsdatums bleibt eng begrenzt. Die Verwendung der Verkehrsdaten führt allein zu der Auskunft, welcher Anschlussinhaber unter einer den Sicherheitsbehörden bereits bekannten IP-Adresse zu einem bestimmten Zeitpunkt im Internet angemeldet war (vgl. BVerfGE 125, 260 <341>). Ihr Erkenntniswert bleibt punktuell. Systematische Ausforschungen über einen längeren Zeitraum oder die Erstellung von Persönlichkeits- und Bewegungsprofilen lassen sich allein auf Grundlage solcher Auskünfte gerade nicht verwirklichen (vgl. BVerfGE 125, 260 <341>).
\n170 (a) Dies gilt zunächst für die nach § 96 TKG erhobenen Verkehrsdaten. Hierbei handelt es sich um solche Verkehrsdaten, die die Diensteanbieter nach Maßgabe ihrer betrieblichen Erfordernisse in begrenztem Umfang und für den Einzelnen durch Vertragsgestaltung teilweise vermeidbar gemäß § 96 TKG speichern dürfen (vgl. BVerfGE 125, 260 <352>). Verkehrsdaten, zu denen auch die IP-Adresse selbst gehört, werden danach weder vollständig noch systematisch gespeichert. Die Praxis der Speicherung ist je nach Diensteanbieter, Vertragsgestaltung und in Anspruch genommener Dienstleistung vielmehr sehr unterschiedlich. Ohne konkreten Anlass ist eine Speicherung zur Erkennung, Eingrenzung oder Beseitigung von Störungen oder Fehlern (§ 96 Abs. 1 Satz 2, § 100 Abs. 1 TKG) nach der fachgerichtlichen Rechtsprechung jedenfalls bis zu sieben Tage nach Ende der Internetverbindung zulässig (vgl. BGH, Urteil vom 13. Januar 2011 - III ZR 146/10 -, Rn. 22; Urteil vom 3. Juli 2014 - III ZR 391/13 -, Rn. 23; vgl. auch Leitfaden des BfDI und der BNetzA für eine datenschutzgerechte Speicherung von Verkehrsdaten, Stand 19. Dezember 2012, S. 4 f.), wovon die Diensteanbieter in unterschiedlichem Umfang, teilweise aber auch gar nicht Gebrauch machen. Durch vertragliche Gestaltung teilweise abdingbar und durch die Nutzerinnen und Nutzer beeinflussbar ist zudem, wie oft eine Internetverbindung unterbrochen wird, und damit das für den Beginn der Speicherfrist relevante Ende der Verbindung.
\n171 (b) Für die Zuordnung einer dynamischen IP-Adresse können allerdings nicht nur die nach § 96 TKG erhobenen Verkehrsdaten ausgewertet werden, sondern grundsätzlich auch die von öffentlich zugänglichen Telekommunikationsdiensten für zehn Wochen (§ 113b Abs. 1 Nr. 1 TKG) anlasslos und systematisch gespeicherten Verkehrsdaten (vgl. BVerfGE 125, 260 <328, 352>; siehe aber zur derzeitigen Handhabung der Speicherungspflicht oben Rn. 12). Damit geht grundsätzlich eine deutliche Erhöhung des Eingriffsgewichts einher. Neben dem Umstand, dass diese Daten selbst nicht Gegenstand der Auskunft sind, ist freilich zu berücksichtigen, dass für die Zuordnung einer IP-Adresse nur ein von vornherein feststehender kleiner Ausschnitt der Daten verwendet wird, deren Speicherung für sich genommen unter deutlich geringeren Voraussetzungen angeordnet werden könnte. Eine Speicherung allein der für solche Auskünfte erforderlichen Internetzugangsdaten zur Identifizierung dynamischer IP-Adressen hätte ein deutlich geringeres Gewicht als die nahezu vollständige Speicherung der Daten sämtlicher Telekommunikationsverbindungen (vgl. BVerfGE 125, 260 <341>). Die ansonsten für die Verwendung vorsorglich gespeicherter Verkehrsdaten maßgeblichen, besonders strengen Anforderungen gelten daher für solche Auskünfte nicht gleichermaßen (vgl. BVerfGE 125, 260 <340>).
\n172 (c) Soweit gemäß § 113 Abs. 1 Satz 4 TKG für die Auskunftserteilung anhand dynamischer IP-Adressen darüber hinaus sämtliche unternehmensinternen Datenquellen zu berücksichtigen sind, kommt dem keine weitere eingriffserhöhende Wirkung zu. Die Regelung bringt zum Ausdruck, dass es die Diensteanbieter nicht in der Hand haben, die für die Identifizierung von IP-Adressen erforderlichen Daten frei auszuwählen oder zu verknappen (vgl. Graulich, in: Arndt/Fetzer/Scherer/Graulich, TKG, 2. Aufl. 2015, § 113 Rn. 29; Löwnau/Ipsen, in: Scheurle/Mayen, TKG, 3. Aufl. 2018, § 113 Rn. 11). Es handelt sich insoweit lediglich um eine technikoffene Formulierung, die - entgegen der Auffassung der Beschwerdeführenden - jedenfalls nicht die Verwendung rechtswidrig gespeicherter Daten zur Zuordnung dynamischer IP-Adressen eröffnen kann.
\n173 (d) § 113 Abs. 1 Satz 3 TKG eröffnet schließlich auch keine spezifischen Missbrauchsgefahren. Insbesondere ermöglicht er keine über den dort ausdrücklich geregelten Zweck hinausgehende Verwendung von Verkehrsdaten. Der Gesetzgeber hat mit § 113 Abs. 1 Satz 3 TKG hinreichend klargestellt, dass nur Auskünfte zu einzelnen, den Behörden bereits bekannten IP-Adressen unter Verwendung von Verkehrsdaten erlaubt sind (vgl. auch BTDrucks 17/12034, S. 10, 12). Eine Ermächtigung zu offenen Anfragen der Behörden zu Anschlussinhabern, deren Telekommunikationsverbindungen nicht bekannt sind, enthält die Regelung - auch in Verbindung mit § 113 Abs. 1 Satz 4 TKG - nicht (vgl. dazu BVerfGE 125, 260 <357>). Die Übermittlung der einem Anschlussinhaber zu einem bestimmten Zeitpunkt zugewiesenen IP-Adresse, dessen weitere Daten (wie etwa der Name und die Adresse) der abfragenden Stelle bekannt sind, ist daher nicht zulässig (vgl.
\nGraulich, in: Schenke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019, § 10 BKAG Rn. 20). Die Formulierung von § 113 Abs. 1 Satz 3 und 4 TKG bringt klar zum Ausdruck, dass Verkehrsdaten und alle sonstigen unternehmensinternen Datenquellen überhaupt nur für die Zuordnung einer IP-Adresse verwendet werden dürfen. Eine weitergehende Befugnis ergibt sich entgegen der Auffassung der Beschwerdeführenden auch nicht aus der in Art. 9 des Änderungsgesetzes (BGBl I 2013 S. 1602) enthaltenen allgemein gefassten Formulierung, dass durch die hier angegriffenen Neuregelungen das Fernmeldegeheimnis eingeschränkt sei. Eine gesetzliche Bestimmung zur Wahrung des Zitiergebots kann keine Befugnis zu Eingriffen in das Fernmeldegeheimnis begründen.
\n174
\n175
\n176 (a) Die Zuordnung dynamischer IP-Adressen bedarf ‒ wie die allgemeine Bestandsdatenauskunft ‒ begrenzender Eingriffsschwellen, die sicherstellen, dass Auskünfte nicht ins Blaue hinein eingeholt werden können. Erforderlich sind daher grundsätzlich qualifizierte Eingriffsschwellen, die einen Anfangsverdacht oder eine konkrete Gefahr auf einzelfallbezogener Tatsachenbasis voraussetzen. Letzteres gilt für die Nachrichtendienste ebenso wie für alle zur Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung zuständigen Behörden (vgl. BVerfGE 125, 260 <343 f.>).
\n177 (b) Zu den Anforderungen des Übermaßverbots gehört es zudem, dass die in § 113 Abs. 1 Satz 3 TKG eröffnete Bestandsdatenauskunft durch einen im Verhältnis zum Grundrechtseingriff hinreichend gewichtigen Rechtsgüterschutz gerechtfertigt sein muss. Zwar bedarf es hier grundsätzlich keiner begrenzenden Rechtsgüter- oder Straftatenkataloge. Das maßgeblich aufgrund Art, Umfang und Verwendungsmöglichkeiten der verarbeiteten Daten erhöhte Eingriffsgewicht der Zuordnung von IP-Adressen erlaubt es indessen nicht, diese allgemein und uneingeschränkt auch zur Abwehr jeglicher Gefahren sowie zur Verfolgung oder Verhinderung jedweder Ordnungswidrigkeiten zuzulassen. Auch unter Berücksichtigung des gesteigerten Interesses an der Möglichkeit, Kommunikationsverbindungen im Internet zum Rechtsgüterschutz oder zur Wahrung der Rechtsordnung dem jeweiligen Akteur zuordnen zu können und der angesichts der zunehmenden Bedeutung des Internets für die verschiedenartigen Bereiche des täglichen Lebens erhöhten Gefahr seiner Nutzung für Straftaten und Rechtverletzungen vielfältiger Art, bedarf die Aufhebung der Anonymität des Internets zumindest einer Rechtsgutbeeinträchtigung, der von der Rechtsordnung auch sonst ein hervorgehobenes Gewicht beigemessen wird.
\nDies schließt Auskünfte zur Verfolgung oder Verhinderung von Ordnungswidrigkeiten nicht vollständig aus. Es muss sich insoweit aber um ‒ auch im Einzelfall ‒ besonders gewichtige Ordnungswidrigkeiten handeln, die der Gesetzgeber zudem ausdrücklich benennen muss (vgl. BVerfGE 125, 260 <344>). Im Bereich der Gefahrenabwehr kann dementsprechend nicht jede Gefahr für ein Schutzgut als Eingriffsschwelle genügen (vgl. BVerfGE 150, 244 <286 Rn. 106>). Andernfalls könnte aufgrund des die Unverletzlichkeit der gesamten Rechtsordnung erfassenden Schutzumfangs des Gefahrenabwehrrechts jeglicher Verstoß gegen Rechtsvorschriften zum Anlass einer Zuordnung von IP-Adressen werden.
\n178 Dem Eingriffsgewicht der individualisierten Zuordnung dynamischer IP-Adressen entspricht es daher, dass sie zu ihrer Rechtfertigung jeweils auf Gründe gestützt werden muss, die dem Schutz oder der Bewehrung von Rechtsgütern von hervorgehobenem Gewicht (vgl. BVerfGE 125, 260 <344>) dienen. Eines darüber hinausgehenden erheblichen Gewichts bedarf es im Hinblick auf die ausschließlich anlassbezogene und punktuelle Zuordnung des Internetkontakts nicht. Zu den Rechtsgütern von hervorgehobenem Gewicht zählen jedenfalls die durch das Strafrecht geschützten Rechtsgüter. Der Gesetzgeber kann die Bestandsdatenauskunft aber auch zur Verfolgung oder Verhinderung anderer hinreichend gewichtiger Delikte zulassen, für deren Bekämpfung eine Zuordnung von IP-Adressen von Bedeutung ist, was besonders gewichtige Ordnungswidrigkeiten einschließen kann (vgl. dazu BVerfGE 125, 260 <344>; 150, 244 <284 Rn. 99>).
\n179 (c) Die gesetzliche Bestimmung der Eingriffsschwelle und des Schutzguts stehen allerdings in einem Wechselverhältnis, sodass auch die Befugnis zur Zuordnung von IP-Adressen nicht stets das Vorliegen einer konkreten Gefahr im tradierten Sinne erfordert. Die Eingriffsbefugnis kann daher auch mit abgesenkten Eingriffsschwellen den Anforderungen der Verhältnismäßigkeit genügen. Ausreichend ist dabei grundsätzlich das Vorliegen einer konkretisierten Gefahr (oben Rn. 148 f.). Je nach Gewicht des zu schützenden Rechtsguts kann es genügen, wenn entweder ein seiner Art nach konkretisiertes und zeitlich absehbares Geschehen erkennbar ist oder alternativ das individuelle Verhalten von Betroffenen die konkrete Wahrscheinlichkeit begründet, dass sie bestimmte Straftaten in überschaubarer Zukunft begehen werden (vgl. BVerfGE 141, 220 <272 f. Rn. 112, 291 Rn. 164 f., 305 Rn. 213>). Dies gilt sowohl für die allgemeine Gefahrenabwehr als auch innerhalb des Aufgabenbereichs der Nachrichtendienste.
\n180 Soll eine solche konkretisierte Gefahr die Eingriffsbefugnis begründen, bedarf es im Hinblick auf das erhöhte Eingriffsgewicht der Zuordnung von IP-Adressen, das maßgeblich durch die Art, den Umfang und die Verwendungsmöglichkeiten der zu beauskunftenden Bestandsdaten und der dabei verwendeten Verkehrsdaten bestimmt wird, einer Begrenzung der Auskunft auf den Schutz von zumindest besonders gewichtigen Rechtsgütern (vgl. dazu BVerfGE 141, 220 <270 Rn. 108> m.w.N.). In der Übermittlungsregelung muss der Gesetzgeber entweder die Rechtsgüter von besonderem Gewicht selbst konkret benennen oder zumindest das erforderliche Gewicht normenklar festhalten.
\n181 Soweit die Gefahrenabwehr auf die Verhütung von Straftaten bezogen ist, muss es sich um zumindest schwere Straftaten handeln (vgl. auch BVerfGE 125, 260 <328 f.>). Welche Straftatbestände hiervon umfasst sein sollen, hat der Gesetzgeber abschließend mit der Öffnung der Datenbestände festzulegen. Er kann dabei auf bestehende Kataloge zurückgreifen oder einen eigenen Katalog schaffen, etwa um Straftaten zu erfassen, für die die Zuordnung von IP-Adressen besondere Bedeutung hat. Die Qualifizierung einer Straftat als schwer muss aber in der Strafnorm - etwa durch deren Strafrahmen - einen objektivierten Ausdruck finden (vgl. BVerfGE 109, 279 <343 ff., insbesondere 347 f.>). Eine Generalklausel oder die lediglich pauschale Verweisung auf nicht näher eingegrenzte Straftaten reichen hingegen nicht aus (vgl. auch BVerfGE 125, 260 <329>).
\n182 Für den Bereich der Nachrichtendienste muss demgegenüber eine derartige Begrenzung der Rechtsgüter nicht ausdrücklich angeordnet werden, da deren Tätigkeit von vornherein dem Schutz besonders gewichtiger Rechtsgüter in diesem Sinne dient (vgl. BVerfGE 141, 220 <339 Rn. 320>; vgl. auch BVerfGE 133, 277 <326 Rn. 118>); schon die Voraussetzung einer hinreichend konkretisierten Gefahr als Eingriffsschwelle sichert hier, dass auch im Einzelfall hinreichend gewichtige Rechtsgüter in Frage stehen.
\n183
\n184 (a) § 113 Abs. 2 Satz 1 TKG, der die Voraussetzungen der Übermittlung näher regelt und die Verwendungszwecke auch für die Zuordnung dynamischer IP-Adressen bestimmt, setzt weder einen Anfangsverdacht noch eine auf tatsächliche Anhaltspunkte gestützte konkrete Gefahr voraus.
\n185 Bezogen auf die allgemeine Gefahrenabwehr fehlt zudem die ‒ auch unter Zugrundelegung solchermaßen qualifizierter Eingriffsschwellen ‒ erforderliche Begrenzung der Befugnis auf einen hinreichend gewichtigen Rechtsgüterschutz. Soweit die Zuordnung einer IP-Adresse zur Abwehr einer Gefahr für die öffentliche Sicherheit und Ordnung (§ 113 Abs. 2 Satz 1 TKG) eröffnet ist, wird die Unverletzlichkeit der Rechtsordnung insgesamt in Bezug genommen, ohne hinsichtlich der in Frage stehenden Rechtsgüter zu gewichten (vgl. BVerfGE 150, 244 <286 Rn. 106>). Es fehlt eine Beschränkung auf die Abwehr von Gefahren für Rechtsgüter von hervorgehobenem Gewicht.
\n186 Das Gleiche gilt bezogen auf die Strafverfolgung, soweit § 113 Abs. 2 Satz 1 TKG die Auskunftserteilung zum Zweck der Verfolgung jeglicher Ordnungswidrigkeiten erlaubt. Es fehlt die erforderliche Beschränkung auf besonders gewichtige Ordnungswidrigkeiten. Diese kann auch durch § 46 Abs. 3 Satz 1 OWiG nicht mit der erforderlichen Normenklarheit getroffen werden. Die Regelung untersagt zwar generell - und damit sogar weitergehend - die Verfolgung von Ordnungswidrigkeiten in Bußgeldverfahren, wenn entsprechende Maßnahmen das Telekommunikationsgeheimnis betreffen würden, und dürfte damit auf tatsächlicher Ebene die Gefahr einer Zuordnung von IP-Adressen zur Verfolgung von Ordnungswidrigkeiten ausschließen. Auch können Verwendungsregeln durchaus in verschiedenen Regelungen - insgesamt verfassungskonform - abschließend bestimmt werden (vgl. BVerfGE 125, 260 <351 f.>), wenn, wie hier, die Übermittlung und der Abruf Materien betreffen, für die allein dem Bund die Gesetzgebung zusteht (oben Rn. 110 ff.). Dies setzt aber voraus, dass die Normen in ihrem Zusammenwirken den Verwendungszweck der Daten hinreichend präzise und normenklar umgrenzen, sodass gewährleistet ist, dass der Datentransfer insgesamt den grundrechtlichen Anforderungen genügt. § 46 Abs. 3 Satz 1 OWiG und die hier angegriffene Übermittlungsregelung treffen aber - ohne auch nur aufeinander Bezug zu nehmen - für die Verwendung der Daten einander unauflösbar widersprechende Regelungen.
\n187 (b) Die Befugnis zur Zuordnung von IP-Adressen wird in § 113 Abs. 2 Satz 1 TKG auch nicht durch abgesenkte Eingriffsschwellen begrenzt. Insbesondere eine konkretisierte Gefahr wird weder für die allgemeine Gefahrenabwehr noch für die Tätigkeiten der Nachrichtendienste vorausgesetzt. § 113 Abs. 2 Satz 1 TKG erfordert, soweit die Auskunft nach § 113 Abs. 1 Satz 3 TKG betroffen ist, weder ein wenigstens der Art nach konkretisiertes und absehbares Geschehen noch alternativ, dass das individuelle Verhalten einer Person die konkrete Wahrscheinlichkeit begründen muss, dass sie in überschaubarer Zukunft eine Straftat begeht. In Bezug auf die allgemeine Gefahrenabwehr fehlen zudem die für eine solche Absenkung der Eingriffsschwellen erforderliche Begrenzung auf den Schutz zumindest besonders gewichtiger Rechtsgüter und - soweit die Straftatenverhütung betroffen ist - eine Beschränkung auf die Verhütung zumindest schwerer Straftaten.
\n188
\nZum anderen ist die Sicherheit der Übermittlung der abgerufenen Daten zu gewährleisten. Insoweit sieht § 113 Abs. 5 Satz 2 TKG für Anbieter mit mehr als 100.000 Kunden die Einrichtung einer gesicherten elektronischen Schnittstelle vor. Die Regelung wird durch Teil B der Technischen Richtlinie zur Umsetzung gesetzlicher Maßnahmen zur Überwachung der Telekommunikation, Erteilung von Auskünften (TR TKÜV) konkretisiert. Dass diese Pflicht für kleinere Diensteanbieter nicht gilt, führt nicht zu einer Unterschreitung des verfassungsrechtlich gebotenen Mindestmaßes der Sicherheit der Datenübermittlung. Insoweit ist jedenfalls die allgemeine Regelung des § 109 Abs. 1 TKG einschlägig, die sämtlichen Diensteanbietern auferlegt, nach dem Stand der Technik Vorkehrungen zum Datenschutz zu treffen.
\nIV.
\n189 Die mit § 113 TKG korrespondierenden Abrufregelungen genügen in materieller Hinsicht weitgehend nicht den verfassungsrechtlichen Anforderungen des Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG und des Art. 10 Abs. 1 GG.
\n190 1. Da Übermittlung und Abruf personenbezogener Daten je eigenständige Grundrechtseingriffe begründen, müssen auch die einzelnen Abrufregelungen in Abhängigkeit von dem jeweils betroffenen Grundrecht und ihrem Eingriffsgewicht den Anforderungen der Verhältnismäßigkeit sowie der Normenklarheit und Bestimmtheit genügen. Die relevanten verfassungsrechtlichen Anforderungen ergeben sich vor allem aus dem Grundsatz der Verhältnismäßigkeit im engeren Sinne, der voraussetzt, dass die Abrufregelungen auf einer jeweils eigenen hinreichend bestimmten gesetzlichen Grundlage beruhen, die die Datenverwendung auf spezifische Zwecke hinreichend begrenzt.
\n191 2. Die angegriffenen Abrufregelungen dienen ‒ wie schon § 113 TKG (oben Rn. 124 ff.) - legitimen Zwecken und sind hierfür geeignet und erforderlich.
\n192 Insbesondere bedarf es hinsichtlich der Abfrage von Zugangsdaten nicht der von den Beschwerdeführenden für erforderlich gehaltenen Subsidiaritätsklausel, wonach eine Abfrage von Zugangsdaten nur dann erfolgen darf, wenn die damit bezweckte Datenerhebung nicht auf andere Weise, insbesondere durch die unmittelbare Inanspruchnahme der Diensteanbieter auf Auskunft über die Inhaltsdaten erreicht werden kann. In Bezug auf die durch Zugangsdaten geschützten Inhalte, die auf Endgeräten und von dort aus zugänglichen externen Speichermedien gespeichert sind, ist eine unmittelbare Inanspruchnahme der Diensteanbieter schon nicht gleich geeignet, um das angestrebte Ziel zu erreichen. Die Diensteanbieter sind regelmäßig nicht im Besitz der Endgeräte und haben daher selbst dann, wenn sie etwa PIN und PUK einer SIM-Karte kennen und das Endgerät nicht zusätzlich durch einen persönlichen Zugangssicherungscode gesichert ist, keinen Zugang zu den dort gespeicherten oder mittelbar zugänglichen Daten wie Fotos, Kontakten oder auch E-Mail-Postfächern anderer Diensteanbieter.
\n193 Demgegenüber kann zwar der mit einer Abfrage von Zugangsdaten erstrebte Zugriff auf die Inhalte externer Speichereinrichtungen, soweit diese wie etwa Voice-Mailboxen oder gegebenenfalls E-Mail-Postfächer (vgl. aber zu webbasierten E-Mail-Diensten EuGH, Urteil vom 13. Juni 2019, Gmail, C-193/18, EU:C:2019:498) dem Anwendungsbereich des Telekommunikationsgesetzes unterfallen, auch durch eine unmittelbare Inanspruchnahme der Diensteanbieter auf Herausgabe (Durchsuchung, Sicherstellung und Beschlagnahme) oder auf Überwachung der laufenden Kommunikation (Telekommunikationsüberwachung, Onlinedurchsuchung) erreicht werden (vgl. BVerfGE 124, 43 <55>). Diese Maßnahmen sind aus Gründen der Verhältnismäßigkeit regelmäßig auch auf bestimmte Zeiträume (etwa in § 100a, § 100e Abs. 1 Satz 4 und 5 StPO, § 100b, § 100e Abs. 2 Satz 4 und 5 StPO) oder auf bestimmte zeitlich oder sonst abgrenzbare Inhalte zu begrenzen (zur Beschlagnahme von Datenbeständen BVerfGE 113, 29 <55 f.>; 124, 43 <68>) und gewähren insoweit begrenztere Informationen als der durch Übermittlung des Zugangscodes verschaffte Zugang zu einer Speichereinrichtung (vgl. auch BTDrucks 19/17741, S. 38).
\nDies lässt freilich unberührt, dass auch die Anwendung der Abrufbefugnis für Zugangsdaten im Einzelfall dem Grundsatz der Erforderlichkeit zu folgen hat, der sicherstellt, dass Zugangsdaten nicht unabhängig von den Anforderungen an ihre Nutzung und damit gegebenenfalls unter leichteren Voraussetzungen abgefragt werden (vgl. insoweit BVerfGE 130, 151 <208 f.>). Auch die Nutzung von Zugangsdaten kann daher dahin beschränkt sein, dass sie nur für bestimmte Zeiträume oder anderweitig abgrenzbare Inhalte zulässig ist. Begründet wird insoweit ein begrenztes Erhebungsverbot.
\n194 3. Mit dem Verhältnismäßigkeitsgrundsatz im engeren Sinne sind die Abrufregelungen nur vereinbar, wenn die einzelnen Befugnisse zum Datenabruf hinreichend begrenzt und die notwendigen übergreifenden Anforderungen an Transparenz, Rechtsschutz und Kontrolle beachtet werden (a). Diesen Anforderungen genügen die angegriffenen Befugnisse zum allgemeinen Abruf von Bestandsdaten (b) im Gegensatz zu den Befugnissen zum Abruf von Zugangsdaten (c) weitgehend nicht. Ebenfalls in weitem Umfang nicht hinreichend eingegrenzt sind die Befugnisse zum Abruf von anhand einer dynamischen IP-Adresse bestimmter Bestandsdaten (d), welche zudem sämtlich nicht den verfassungsrechtlichen Anforderungen an die verfahrensrechtlichen Sicherungen genügen(e).
\n195
\n196
\n197
\n198
\n199
\n200
\n201 Nach dem Bild einer Doppeltür müssen die - jeweils zuständigen - Gesetzgeber nicht nur die Tür zur Übermittlung der Daten öffnen, sondern auch die Tür zu deren Abfrage (vgl. BVerfGE 130, 151 <184>). Insoweit muss schon der Gesetzgeber der Übermittlungsregelung in eigener Regelungsverantwortung eine klare und abschließende Entscheidung treffen, zu welchen Zwecken und mit welchen Begrenzungen er die erste Tür öffnet (vgl. BVerfGE 125, 260 <355>). Diese erste Tür kann auch der Gesetzgeber der zweiten Tür nicht weiter öffnen. Er ist vielmehr insoweit an die in der Übermittlungsregelung getroffenen Verwendungsregeln gebunden (vgl. auch Brodowski, Verdeckte technische Überwachungsmaßnahmen im Polizei- und Strafverfahrensrecht, 2016, S. 137).
\nDabei steht es dem Gesetzgeber der Abrufregelungen zwar frei, den Datenabruf durch die berechtigten Behörden an noch engere Zwecke, höhere Eingriffsschwellen oder an den Schutz oder die Bewehrung noch gewichtigerer Rechtsgüter zu binden (vgl. Bäcker, Kriminalpräventionsrecht, 2015, S. 505). Aus Gründen der Normenklarheit darf er aber selbst dann, wenn er ‒ wie vorliegend ‒ zugleich Gesetzgeber der Abrufregelungen ist, nicht die in der Übermittlungsregelung begrenzten Verwendungszwecke unterlaufen und die Behörden zum Abruf zu anderen, weitergehenden Zwecken ermächtigen, niedrigere Eingriffsschwellen oder einen weniger gewichtigen Rechtsgüterschutz vorsehen. Abrufregelungen mit solchermaßen abgesenkten Verwendungsregeln könnten zwar die Behörden - im Rahmen des verfassungsrechtlich Zulässigen - zum Datenabruf ermächtigen; die Diensteanbieter wären jedoch zur Auskunft weder berechtigt noch verpflichtet (vgl. § 113 Abs. 2 Satz 1 TKG).
\nDerartige Abrufregelungen enthielten von daher einen mit der Übermittlungsregelung von vornherein unvereinbaren Normbefehl. Die Verwendungszwecke der auszutauschenden Daten müssen aber gerade durch das Zusammenwirken der Übermittlungs- und Abrufregelung normenklar begrenzt sein. Es darf nicht der Anschein erweckt werden, dass eine Behörde losgelöst von den in der Übermittlungsregelung getroffenen Verwendungsregeln auf Daten zugreifen dürfte. Dadurch würden Zugriffsmöglichkeiten eröffnet, die missbräuchlich und unvorhersehbar genutzt werden könnten.
\n202 Ein Widerspruch zwischen Übermittlungsregelung und einer weniger begrenzten Abrufregelung könnte auch nicht dahin aufgelöst werden, dass ein Datenaustausch nur unter den engeren Voraussetzungen der Übermittlungsregelung erfolgen dürfte. Die Einhaltung dieser engeren Voraussetzungen können und dürfen die Diensteanbieter in materieller Hinsicht nicht überprüfen. Sie liegt vielmehr allein in der Verantwortung der abfrageberechtigten Stellen (vgl. § 113 Abs. 2 Satz 4 TKG) und kann auch nur dort zuverlässig beurteilt werden. Sie würden aber durch die fachrechtlichen Abrufregelungen zu einem weitergehenden Datenabruf ermächtigt, ohne dass eine behördeninterne Kontrolle am Maßstab der Übermittlungsregelung gewährleistet wäre. Auch insoweit würden Zugriffsmöglichkeiten eröffnet, die rechtsstaatlich nicht mehr eingehegt und vorhersehbar wären (dazu Dieterle, ZD 2016, S. 517 <521>).
\n203 dd)Aus dem Verhältnismäßigkeitsgrundsatz folgen darüber hinaus gewisse übergreifende Anforderungen an Transparenz, Rechtsschutz und aufsichtliche Kontrolle, die sich nach den jeweiligen Sachkompetenzen richten und in den Abrufregelungen sichergestellt werden müssen (vgl. BVerfGE 125, 260 <344 ff.>; 150, 244 <285 Rn. 101>; stRspr) und welche sich im Einzelnen nach dem Eingriffsgewicht der Regelungen bemessen. Verfassungsrechtlich geboten sind auch tragfähige Regelungen zur Nutzung der Daten sowie zur Datenlöschung (vgl. BVerfGE 65, 1 <46>; 150, 244 <285 Rn. 101>).
\n204
\n205
\n206
\n207
\n208 (a) § 10 Abs. 1 Satz 1 Nr. 1 BKAG ermächtigt das Bundeskriminalamt als Zentralstelle für das polizeiliche Auskunfts- und Nachrichtenwesen und für die Kriminalpolizei zum Abruf von Bestandsdaten. Die Vorschrift setzt allein die Erforderlichkeit der Auskunft zur Erfüllung einer dem Bundeskriminalamt nach § 2 Abs. 2 Nr. 1 oder Abs. 6 BKAG obliegenden Aufgabe voraus, ohne begrenzende Eingriffsschwellen vorzusehen.
\n209 Das Bundeskriminalamt ist als Zentralstelle im Wesentlichen auf die Wahrnehmung von Koordinationsaufgaben beschränkt (vgl. BVerfGE 110, 33 <51>). Polizeiliche Aufgaben der Gefahrenabwehr und Strafverfolgung sind insoweit nicht übertragen, sondern werden dort nur koordiniert und informationell verklammert. Im Rahmen seiner Zentralstellenaufgaben unterstützt das Bundeskriminalamt die Polizeibehörden bei der Verhütung und Verfolgung von Straftaten mit länderübergreifender, internationaler oder erheblicher Bedeutung (§ 2 Abs. 1 BKAG). Zur Wahrnehmung dieser Aufgabe hat es alle hierfür erforderlichen Informationen zu sammeln und auszuwerten (§ 2 Abs. 2 Nr. 1 BKAG) sowie unter anderem strategische und operative kriminalpolizeiliche Analysen zu erstellen und Einrichtungen für kriminaltechnische Untersuchungen zu unterhalten und zu koordinieren (vgl. § 2 Abs. 6 BKAG). Soweit es zur Erfüllung dieser Aufgaben erforderlich ist, ermächtigt § 10 Abs. 1 Satz 1 Nr. 1 BKAG dazu, Bestandsdaten abzufragen.
\n210 Dabei enthält die Vorschrift keine ihre Reichweite näher begrenzenden Eingriffsschwellen. Vielmehr erlaubt sie einen Datenabruf schon dann, wenn dieser zur Wahrnehmung der genannten Aufgaben erforderlich ist. Der Eingriffsanlass wird auch nicht dadurch begrenzt, dass Bestandsdaten gemäß § 10 Abs. 1 Satz 1 Nr. 1 BKAG nur zur Ergänzung vorhandener Sachverhalte oder sonst zu Zwecken der Auswertung erhoben werden dürfen. Die Datenerhebung bleibt damit zwar auf den vorhandenen Informationsstand beschränkt, der nur ergänzt oder ausgewertet werden darf, weshalb die Vorschrift keine Datenerhebungen abdeckt, durch die völlig neue Erkenntnisse erstmals gewonnen werden sollen (vgl. Bäcker, Terrorismusabwehr durch das Bundeskriminalamt, 2009, S. 23). Gleichwohl ändert diese Beschränkung nichts am Vorfeldcharakter der Auswertungstätigkeit.
\n211 Die Vorschrift kann auch nicht ‒ anders als noch die frühere Übermittlungsregelung in § 113 TKG a.F. (vgl. BVerfGE 130, 151 <205 f.>) ‒ verständig dahin ausgelegt werden, dass sie bezogen auf die Gefahrenabwehr eine konkrete oder hinreichend konkretisierte Gefahr voraussetzt. Denn der Regelung fehlt es nicht nur an einer Eingriffsschwelle, sondern bereits an einer Beschränkung auf den Einzelfall, was - neben dem Erfordernis der Erforderlichkeit zur Aufgabenwahrnehmung - grundlegend für eine entsprechende Auslegung ist (vgl. dazu BVerfGE 130, 151 <205 f.>).
\n212 Soweit das Bundeskriminalamt als Zentralstelle auch im Bereich der Strafverfolgung zur Abfrage von Bestandsdaten ermächtigt wird, kommt § 10 Abs. 1 Satz 1 Nr. 1 BKAG von vornherein nicht als Ermächtigungsgrundlage in Betracht. Handelt es sich um rein repressives Handeln, erfordert der Datenabruf das Vorliegen zumindest eines Anfangsverdachts (oben Rn. 146, 153). Sobald aber ein solcher vorliegt, findet grundsätzlich die Strafprozessordnung mit ihren Verfahrensgarantien Anwendung und das Bundeskriminalamt müsste gemäß § 2 Abs. 2 Nr. 2 BKAG die zuständige Strafverfolgungsbehörde des Bundes oder der Länder unterrichten und den Vorgang an diese abgeben. Der Abruf von Bestandsdaten richtet sich dann nicht mehr nach der hier angegriffenen Abrufregelung, sondern allein nach § 100j StPO (vgl.
\nGraulich, in: Schenke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019, § 10 BKAG Rn. 11; vgl. auch BTDrucks 17/12034, S. 13). Eine Befugnis des Bundeskriminalamts als Zentralstelle zur Bestandsdatenabfrage kann vor diesem Hintergrund im Bereich der Strafverfolgung grundsätzlich nicht bestehen (vgl. dazu auch BTDrucks 19/17741, S. 15). Soweit es - wie die Anwendungsbeispiele aus der Praxis zeigen - notwendig sein sollte, in einem konkreten Fall die örtlich zuständige Strafverfolgungsbehörde zu ermitteln, um den Vorgang dann zuständigkeitshalber an diese abzugeben oder um zeitkritische Anfragen im internationalen polizeilichen Dienstverkehr zu bearbeiten (vgl. BTDrucks 17/12034, S. 13), betrifft diese Koordinierungsaufgabe zwar den Kern der Zentralstellenfunktion des Bundeskriminalamtes.
\nFür eine Befugnis zum Datenabruf durch das Bundeskriminalamt als Zentralstelle fehlt jedoch eine - verfassungsrechtlich nicht ausgeschlossene - Regelung dahin, dass und unter welchen Voraussetzungen § 10 Abs. 1 Satz 1 Nr. 1 BKAG hier anwendbar sein kann.
\n213 (b)§ 10 Abs. 1 Satz 1 Nr. 2 und 3 BKAG, die das Bundeskriminalamt im Rahmen des Schutzes von Verfassungsorganen und der eigenen Leitung (§ 6 BKAG) sowie des Zeugenschutzes (§ 7 BKAG) zum Datenabruf ermächtigen, soweit die verlangte Auskunft zur Erfüllung dieser Aufgaben erforderlich ist, sind ebenfalls nicht hinreichend begrenzt. Einen konkreten Eingriffsanlass setzen weder die Regelungen selbst noch die in Bezug genommenen Aufgabennormen in §§ 6 und 7 BKAG voraus. Zwar geht die Begründung des Gesetzentwurfs davon aus, dass in diesen Fällen eine konkrete Gefahr bestehen wird (vgl. BTDrucks 17/12034, S. 14). Der Gesetzestext lässt dies jedoch nicht erkennen. Insbesondere werden die mit den Aufgabenzuweisungen in §§ 6 und 7 BKAG korrespondierenden allgemeinen Befugnisnormen in §§ 63 bis 65 und § 66 BKAG, die jeweils eine im Einzelfall bestehende Gefahr oder auch andere Eingriffsschwellen voraussetzen, nicht in Bezug genommen. Unabhängig davon bestehen im Hinblick auf den allgemeinen Verweis auf die Aufgaben des Bundeskriminalamts nach §§ 6 und 7 BKAG auch Bedenken, ob dies dem Bestimmtheitserfordernis genügt (vgl. BVerfGE 141, 220 <333 Rn. 303>).
\n214 (c)Auch die in den § 15 Abs. 2 Satz 1und § 7 Abs. 5 Satz 1 ZFdG geregelten Befugnisse zum Abruf von Bestandsdaten sind nicht hinreichend eingegrenzt und deshalb unverhältnismäßig. Von daher bedarf es keiner Entscheidung, ob die in beiden Normen gewählte Regelungstechnik mit Verweisungen und zahlreichen Weiterverweisungen noch den Anforderungen an eine hinreichende Normenklarheit genügt (vgl. BVerfGE 110, 33 <57 f., 61 ff.>; BVerfG, Urteil des Ersten Senats vom 19. Mai 2020 - 1 BvR 2835/17 -, Rn. 215).
\n215 (aa) § 15 Abs. 2 Satz 1 ZFdG ermächtigt das Zollkriminalamt, zur Erfüllung seiner Aufgaben nach § 4 Abs. 2 bis 4 ZFdG Bestandsdaten abzufragen. Die Vorschrift knüpft allein an die Erforderlichkeit zur Erfüllung der Aufgaben des Zollkriminalamts bei der Überwachung des Außenwirtschaftsverkehrs, des grenzüberschreitenden Warenverkehrs und der Bekämpfung der international organisierten Geldwäsche an. Die bloße Erfüllung der verschiedenen Aufgaben setzt jedoch keinen Eingriffsanlass voraus (vgl. dazu Wamers, in: Fehn/Wamers, Hk-ZFdG, § 4 Rn. 15, 51).
\n216 Soweit dem Zollkriminalamt nach § 4 Abs. 2 und 3 ZFdG die Aufdeckung unbekannter Straftaten und die Vorsorge für künftige Strafverfahren als jeweils repressiv-polizeiliche Aufgaben obliegen (vgl. dazu BVerfGE 113, 348 <370>; Braun, in: Gola/Heckmann, BDSG, 13. Aufl. 2019, § 45 Rn. 17), kann § 15 Abs. 2 Satz 1 ZFdG von vornherein nicht zum Datenabruf ermächtigen (dazu oben Rn. 212). Das Gleiche gilt im Ergebnis, soweit das Zollkriminalamt bei der Bekämpfung der international organisierten Geldwäsche nach § 4 Abs. 4 ZFdG mitwirkt und insoweit - neben der präventiven Überwachung des Geldverkehrs - originär strafverfolgend tätig wird (vgl. § 12b, § 31a Abs. 6 Zollverwaltungsgesetz (ZollVG); Wamers, in: Fehn/Wamers, Hk-ZFdG, § 4 Rn. 62).
\n217 (bb) Die Erwägungen zu § 10 Abs. 1 Satz 1 Nr. 1 BKAG und § 15 Abs. 2 Satz 1 ZFdG lassen sich weitgehend auf § 7 Abs. 5 Satz 1 ZFdG übertragen, der das Zollkriminalamt zur Abfrage von Bestandsdaten zur Erfüllung seiner Aufgaben als Zentralstelle nach § 3 ZFdG ermächtigt. Die dort bestimmten Aufgaben sind noch weiter gefasst als die von § 10 Abs. 1 Satz 1 Nr. 1 BKAG in Bezug genommenen Zentralstellenaufgaben des Bundeskriminalamts. Das Zollkriminalamt unterstützt andere Behörden der Zollverwaltung bei der Sicherung des Steueraufkommens und der Überwachung der Ausgaben nach Unionsrecht sowie der Aufdeckung unbekannter Steuerfälle und der Aufdeckung, Verhütung und Verfolgung von Steuerstraftaten und -ordnungswidrigkeiten (§ 3 Abs. 1 ZFdG). Seine Aufgaben umfassen ebenfalls Datenerhebungen weit im Vorfeld einer Gefahrenlage, insbesondere auch zur Sammlung und Auswertung von Informationen unter anderem für kriminalwissenschaftliche und -technische Einrichtungen (§ 3 Abs. 8 und 9 Nr. 1 ZFdG). Soweit sich die Aufgaben im präventiv-polizeilichen Bereich bewegen, wird eine begrenzende Eingriffsschwelle an keiner Stelle vorausgesetzt. Soweit sich die Zentralstellenaufgaben auch im repressiven Bereich bewegen (vgl. etwa § 3 Abs. 1 Satz 1 Nr. 2 ZFdG), was der Gesetzgeber offensichtlich nicht im Blick hatte (vgl. BTDrucks 17/12034, S. 14), ist der Anwendungsbereich des § 7 Abs. 5 Satz 1 ZFdG von vornherein nicht eröffnet.
\n218 (d) § 8d Abs. 1 Satz 1 BVerfSchG sowie § 2b Satz 1 BNDG und § 4b Satz 1 MADG, soweit sie auf § 8d Abs. 1 Satz 1 BVerfSchG verweisen, genügen gleichfalls nicht den Anforderungen an die Verhältnismäßigkeit im engeren Sinne. Die Regelungen enthalten weder begrenzende Eingriffsschwellen noch eine Beschränkung auf den Einzelfall, sondern stellen einzig auf die Erforderlichkeit zur Erfüllung der Aufgabe des jeweiligen Dienstes ab. Umfasst werden daher auch allein strategische Auskunftsinteressen oder die Abrundung eigener Informationsbestände. Entgegen der Annahme der Bundesregierung ist die Aufgabe des Bundesamts für Verfassungsschutz auch nicht auf die Aufklärung bestimmter Beobachtungsobjekte beschränkt. § 3 Abs. 1 BVerfSchG weist dem Bundesamt ohne Einschränkung die Sammlung und Auswertung von Informationen, insbesondere von sach- und personenbezogenen Auskünften, Nachrichten und Unterlagen über die dort genannten Bestrebungen und Tätigkeiten zu. Dies lässt nicht den Schluss zu, dass die Auskunft auch im Einzelfall zumindest zur Aufklärung einer bestimmten beobachtungsbedürftigen Aktion oder Gruppierung selbst erforderlich sein müsste.
\n219
\n220 (a) Nicht verhältnismäßig im engeren Sinne ist § 40 Abs. 1 Satz 1 BKAG, soweit er auf § 39 Abs. 1 BKAG Bezug nimmt. Der als Befugnisnorm ausgestaltete § 39 Abs. 1 BKAG verweist seinerseits auf § 5 Abs. 1 BKAG, der die Aufgabe des Bundeskriminalamts zur Abwehr von Gefahren des internationalen Terrorismus beschreibt. Als Aufgabennorm umfasst § 5 Abs. 1 BKAG Ermittlungen auch weit im Vorfeld konkreter Gefahren (vgl. zu § 4a Abs. 1 Satz 1 BKAG a.F. BVerfGE 141, 220 <331 Rn. 297>). Diese tatbestandliche Weite wird durch die weiteren Glieder der Verweisungskette nicht eingehegt. Weder § 40 BKAG selbst noch § 39 BKAG setzen begrenzende Eingriffsschwellen oder auch nur einen Einzelfallbezug voraus. Vielmehr erlauben sie den Datenabruf bereits dann, wenn die Auskunft allgemein dazu dienen kann, Gefahren des internationalen Terrorismus zu begegnen.
\n221 Zwar bestimmt der den 5. Abschnitt des Bundeskriminalamtgesetzes einleitende § 38 Abs. 1 BKAG, dass das Bundeskriminalamt zur Erfüllung seiner Aufgabe nach § 5 Abs. 1 Satz 1 BKAG die notwendigen Maßnahmen treffen kann, um eine Gefahr abzuwenden, und § 38 Abs. 2 BKAG konkretisiert eine Gefahr im Sinne dieses Abschnitts als eine im Einzelfall bestehende Gefahr für die öffentliche Sicherheit im Zusammenhang mit Straftaten nach § 5 Abs. 1 Satz 2 BKAG (vgl. zur Vorgängerregelung § 20a Abs. 2 BKAG a.F. BVerfGE 141, 220 <288 Rn. 157>). § 38 Abs. 1 BKAG gilt aber von vornherein nur, soweit die Befugnisse des Bundeskriminalamts nicht besonders geregelt sind. §§ 39 und 40 BKAG stellen jedoch solche besonderen Regelungen dar und setzen ihrerseits gerade keine Gefahr voraus (anders als etwa § 20g Abs. 1 Satz 1 Nr. 1 BKAG a.F., vgl. BVerfGE 141, 220 <288 f. Rn. 158>). Sie gehen daher in ihrem Anwendungsbereich § 38 BKAG vor; nur soweit Befugnisnormen überhaupt eine Gefahr voraussetzen, kann auf § 38 Abs. 2 BKAG zurückgegriffen werden (vgl. zu den Vorgängerregelungen Bäcker, Terrorismusabwehr durch das Bundeskriminalamt, 2009, S. 53).
\n222 Auch die weitere tatbestandliche Voraussetzung des § 40 Abs. 1 Satz 1 BKAG, dass der Datenabruf zur Erforschung eines Sachverhalts oder des Aufenthaltsorts einer Person erforderlich sein muss, führt zu keiner hinreichenden Begrenzung der Abrufregelung. Die Bedeutung dieses im Strafprozessrecht üblichen Zusatzes (vgl. etwa § 100a Abs. 1 Satz 1 Nr. 3, § 100f Abs. 1 StPO) im Zusammenhang mit Aufgaben der Gefahrenabwehr erschließt sich hier nicht.
\n223 (b) Soweit § 40 Abs. 1 Satz 1 BKAG auf § 39 Abs. 2 Nr. 1 BKAG Bezug nimmt, fehlen jedenfalls hinreichend begrenzte Eingriffsschwellen.
\n224 In dem gegenüber § 39 Abs. 1 BKAG spezielleren § 39 Abs. 2 BKAG wird die Erhebung personenbezogener Daten zur Verhütung von Straftaten geregelt, die nur unter engeren Voraussetzungen zugelassen wird (vgl. Graulich, in: Schenke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019, § 39 BKAG Rn. 2). § 39 Abs. 2 BKAG ergänzt die auf die Gefahrenabwehr beschränkte Eingriffsgrundlage des § 39 Abs. 1 BKAG und setzt ausdrücklich schon früher, nämlich bereits bei der Verhütung künftiger Straftaten an. § 40 Abs. 1 Satz 1 BKAG in Verbindung mit § 39 Abs. 2 Nr. 1 BKAG ermächtigt zum Abruf von Bestandsdaten im Bereich des internationalen Terrorismus, soweit Tatsachen die Annahme rechtfertigen, dass eine Person eine Straftat nach § 5 Abs. 1 Satz 2 BKAG begehen will.
\n225 Zwar ist der Gesetzgeber nicht von vornherein auf die Schaffung von Eingriffstatbeständen beschränkt, die der Abwehr konkreter Gefahren dienen. Allerdings bedarf es auch bei Maßnahmen zur Straftatenverhütung zumindest einer auf bestimmte Tatsachen und nicht allein auf allgemeine Erfahrungssätze gestützten Prognose, die auf eine konkrete Gefahr bezogen ist (oben Rn. 147). Grundsätzlich gehört hierzu, dass ein wenigstens seiner Art nach konkretisiertes und zeitlich absehbares Geschehen erkennbar ist (BVerfGE 141, 220 <272 Rn. 112, 290 f. Rn. 164>). Insbesondere in Bezug auf terroristische Straftaten kann der Gesetzgeber stattdessen aber auch darauf abstellen, ob das individuelle Verhalten einer Person die konkrete Wahrscheinlichkeit begründet, dass sie in überschaubarer Zukunft solche Straftaten begehen wird (vgl. BVerfGE 141, 220 <272 Rn. 112, 291 Rn. 164>).
\n226 Dem wird § 39 Abs. 2 Nr. 1 BKAG, der im Wesentlichen dem verfassungsrechtlich beanstandeten § 20g Abs. 1 Satz 1 Nr. 2 BKAG a.F. entspricht (vgl. BVerfGE 141, 220 <291 Rn. 165>), nicht gerecht. Zwar knüpft er an die mögliche Begehung terroristischer Straftaten an und verlangt das Vorliegen von Tatsachen, die darauf schließen lassen. Die Regelung setzt aber weder die Erkennbarkeit eines wenigstens seiner Art nach konkretisierten und absehbaren Geschehens voraus noch alternativ, dass das individuelle Verhalten einer Person die konkrete Wahrscheinlichkeit begründet, dass sie in überschaubarer Zukunft Straftaten begehen wird (vgl. BVerfGE 141, 220 <291 Rn. 165>). Sie enthält damit keine begrenzenden Anforderungen an die Vorhersehbarkeit des Kausalverlaufs.
\n227 (c) Keinen verfassungsrechtlichen Bedenken unterliegt demgegenüber § 40 Abs. 1 Satz 1 BKAG, soweit er auf § 39 Abs. 2 Nr. 2 BKAG Bezug nimmt.
\n228 § 39 Abs. 2 Nr. 2 BKAG erlaubt den Datenabruf gegenüber Kontaktpersonen und entspricht für sich genommen weitgehend dem vom Bundesverfassungsgericht verfassungsrechtlich nicht beanstandeten § 20g Abs. 1 Satz 1 Nr. 3 in Verbindung mit § 20b Abs. 2 Nr. 2 BKAG a.F. (vgl. BVerfGE 141, 220 <291 ff. Rn. 166 ff.>). Der Gesetzgeber eröffnet hier keine ins Blaue hineingehende Möglichkeit der Überwachung des gesamten Umfelds einer Zielperson. Die Vorschrift verlangt vielmehr eine im Einzelnen definierte Tatnähe. Tatsachen, die die Annahme rechtfertigen, dass eines der genannten Nähekriterien vorliegt, sind demnach Voraussetzung für entsprechende Maßnahmen (vgl. dazu im Einzelnen BVerfGE 141, 220 <292 f. Rn. 168 f.>). Auch die mit Herabsetzung der Eingriffsschwelle einhergehenden erhöhten Anforderungen an das Gewicht der zu schützenden Rechtsgüter sind ohne weiteres erfüllt. Angesichts des begrenzten Eingriffsgewichts der allgemeinen Bestandsdatenauskunft bedarf es einer Begrenzung auf die Verhütung von Straftaten von zumindest erheblichem Gewicht (oben Rn. 150). Die Verhütung der im Einzelnen präzisierten (vgl. § 5 Abs. 1 Satz 2 BKAG) terroristischen Straftaten (vgl. insoweit BVerfGE 141, 220 <272 f. Rn. 112>) genügt dem allemal.
\n229
\n230 (a) Nicht verhältnismäßig ist § 22a Abs. 1 Satz 1 BPolG, soweit er auf § 21 Abs. 1 BPolG verweist. § 21 Abs. 1 BPolG, der den Abruf von Bestandsdaten von vornherein nur zu präventiv-polizeilichen Zwecken und nicht zur Verfolgung von Straftaten und Ordnungswidrigkeiten gemäß §§ 12, 13 BPolG gestattet (vgl. Schenke, in: Schenke/Graulich/Ruthig, Sicherheitsrecht des Bundes, 2. Aufl. 2019, § 14 BPolG Rn. 42; Wehr, BPolG, 2. Aufl. 2015, § 21 Rn. 4; Drewes, in: Drewes/Malmberg/Wagner/Walter, BPolG, 6. Aufl. 2019, § 22a Rn. 8, § 21 Rn. 10), setzt lediglich voraus, dass ein Abruf zum Zweck einer der Bundespolizei obliegenden Aufgabe erforderlich ist. Damit werden alle Aufgaben erfasst, die der Bundespolizei durch das Bundespolizeigesetz oder andere Bundesgesetze zugewiesen worden sind (§ 1 Abs. 2 BPolG). Weder § 22a Abs. 1 Satz 1 BPolG noch § 21 Abs. 1 BPolG enthalten dabei ihre Reichweite begrenzende Eingriffsschwellen oder auch nur eine Begrenzung des Abrufs auf Einzelfälle (vgl. Drewes, in: Drewes/Malmberg/Wagner/Walter, BPolG, 6. Aufl. 2019, § 21 Rn. 13). Zwar konkretisiert § 14 Abs. 2 BPolG eine Gefahr im Sinne des Abschnitts 2 des Bundespolizeigesetzes als konkrete Gefahr. § 21 BPolG geht jedoch als speziellere Regelung der Generalklausel in § 14 BPolG vor und schließt damit einen Rückgriff auf diese aus (vgl. Drewes, in: Drewes/Malmberg/Wagner/Walter, BPolG, 6. Aufl. 2019, § 21 Rn. 5; vgl. auch zu § 39 Abs. 1 Satz 1 BKAG bereits oben Rn. 221).
\n231 (b) § 22a Abs. 1 Satz 1 BPolG ist auch nicht hinreichend begrenzt, soweit er auf § 21 Abs. 2 Nr. 1 BPolG verweist. § 21 Abs. 2 BPolG enthält die gegenüber Absatz 1 speziellere Befugnis zur Erhebung personenbezogener Daten zum Zwecke der Verhütung von Straftaten. Er betrifft in Nummer 1 die Daten eines möglicherweise künftigen Täters. Eine Datenerhebung wird insoweit zwar nur zugelassen, wenn Tatsachen die Annahme rechtfertigen, dass eine Person eine Straftat mit erheblicher Bedeutung im Sinne des § 12 Abs. 1 BPolG begehen will. § 21 Abs. 2 Nr. 1 BPolG enthält jedoch ‒ ebenso wie § 39 Abs. 2 Nr. 1 BKAG (oben Rn. 223 ff.) ‒ keine hinreichend ausgestalteten Prognoseanforderungen (vgl. BVerfGE 141, 220 <291 Rn. 165>).
\n232 (c) Dagegen genügt § 22a Abs. 1 Satz 1 BPolG, soweit er auf § 21 Abs. 2 Nr. 2 BPolG verweist, für sich genommen den verfassungsrechtlichen Anforderungen. Zwar bestimmt die Regelung, die die Kontaktpersonen erfasst, keine ins Einzelne gehenden konkreten Nähekriterien (dazu BVerfGE 141, 220 <292 Rn. 168>), sondern setzt allein voraus, dass Tatsachen die Annahme rechtfertigen, dass die Kontaktperson zu einer Zielperson in einer Weise in Verbindung steht, die erwarten lässt, dass eine Maßnahme zur Straftatenverhütung führen wird, oder eine solche Verbindung hergestellt wird. Der Gesetzgeber eröffnet hier aber keine ins Blaue gehende Möglichkeit der Überwachung des gesamten Umfelds einer Zielperson. Es muss vielmehr jenseits allgemeiner Erfahrungssätze eine auf Tatsachen gestützte konkrete Erwartung begründet sein. In der Anwendung der Vorschrift können daher der bloße Kontakt oder die persönliche Nähe des Betreffenden zur Zielperson die Voraussetzungen der Regelung nicht erfüllen. Dies genügt den Anforderungen an die Vorhersehbarkeit des Kausalverlaufs.
\n233 Auch die mit Herabsetzung der Eingriffsschwelle einhergehenden erhöhten Anforderungen an das Gewicht der zu schützenden Rechtsgüter sind erfüllt. Die Abrufbefugnis ist beschränkt auf die Verhütung von Straftaten im Sinne des § 12 Abs. 1 BPolG mit erheblicher Bedeutung.Wenngleich nicht ersichtlich ist, welche konkreten Strafvorschriften zu einer Abfrage von Bestandsdaten ermächtigen, werden diese zumindest ihrer Art nach bezeichnet.
\n234
\n235 Alle Abrufregelungen setzen gleichlautend voraus, dass eine Auskunft nur verlangt werden darf, wenn die gesetzlichen Voraussetzungen für die Nutzung der Daten vorliegen. Die Regelungen stellen damit sicher, dass Zugangsdaten nicht unabhängig von den Anforderungen an deren Nutzung und damit gegebenenfalls unter leichteren Voraussetzungen abgefragt werden können (vgl. BVerfGE 130, 151 <208 f.>). Entgegen der Auffassung der Beschwerdeführenden bedurfte es keiner darüber hinausgehenden abschließenden Auflistung der jeweils in Betracht kommenden Ermächtigungsgrundlagen, die zu einer Nutzung der Daten berechtigen können. Die Fassung der Normen lässt keine Zweifel daran, dass die Zulässigkeit des Abrufs an die Voraussetzungen gebunden ist, die bezogen auf den in der Abfragesituation konkret erstrebten Nutzungszweck zu erfüllen sind (dazu BVerfGE 130, 151 <209>), mithin, dass die Voraussetzungen einer weiteren Ermächtigungsgrundlage, die eine solche Nutzung erlaubt, erfüllt sein müssen. Unklarheiten darüber, welche Normen hier in Betracht kommen können, bestehen nicht.
\n236 Dabei ist es von Verfassungs wegen unbeachtlich, dass es für den Abruf von Zugangsdaten nach § 10 Abs. 1 Satz 1 Nr. 1, Satz 2 BKAG und § 7 Abs. 5 Satz 2 ZFdG keinen praktischen Anwendungsbereich gibt, weil weder das Bundeskriminalamt noch das Zollkriminalamt im Rahmen ihrer präventiv-polizeilichen Zentralstellenfunktion über eine eigenständige Befugnis zur Nutzung von nicht offen zugänglichen Inhaltsdaten verfügen, die sie zum Abruf von Zugangsdaten berechtigen würde.
\n237
\n238 Zwar ist es aus Gründen der Verhältnismäßigkeit grundsätzlich nicht geboten, für den Abruf von Bestandsdaten, die anhand dynamischer IP-Adressen bestimmt werden, gegenüber der allgemeinen Bestandsdatenabfrage erhöhte Eingriffsschwellen vorzusehen (oben Rn. 176, 179). Erforderlich ist aber stets ein hinreichend gewichtiger Rechtsgüterschutz, der in Wechselwirkung mit der jeweiligen Eingriffsschwelle steht. Für die Zuordnung von IP-Adressen bedarf es selbst dann, wenn Eingriffsschwellen vorgesehen werden, die bezogen auf die Gefahrenabwehr eine konkrete Gefahr und bezogen auf die Strafverfolgung einen Anfangsverdacht voraussetzen, einer Beschränkung der Eingriffsbefugnis auf den Schutz von Rechtsgütern von hervorgehobenem Gewicht (oben Rn. 177 f.). Sind die Eingriffsschwellen hingegen herabgesetzt und will der Gesetzgeber für die Auskunft die Abwehr konkretisierter Gefahren genügen lassen, ist unter Berücksichtigung des spezifischen Eingriffsgewichts der Zuordnung dynamischer IP-Adressen jedenfalls eine Beschränkung auf besonders gewichtige Rechtsgüter geboten (oben Rn. 180). Diesen verfassungsrechtlichen Anforderungen werden die angegriffenen Regelungen - zusätzlich zu dem weitgehenden Fehlen begrenzender Eingriffsschwellen - überwiegend nicht gerecht.
\n239
\n240
\n241
\nWittreck, in: Dreier, GG, 3. Aufl. 2015, Art. 73 Rn. 72). Dies gilt auch für die Zentralstellenaufgaben des Bundeskriminalamts, die gemäß § 2 Abs. 1 BKAG auf koordinierende und unterstützende Aufgaben bei der Verhütung und Verfolgung von Straftaten mit länderübergreifender, internationaler oder erheblicher Bedeutung beschränkt sind. § 10 Abs. 2, Abs. 1 Satz 1 Nr. 1 BKAG dient damit zwar dem Schutz von Rechtsgütern von hervorgehobenem Gewicht. Da hier jedoch der vorgelagerte Bereich der Verhütung von Straftaten betroffen ist, bedarf es aber des Schutzes besonders gewichtiger Rechtsgüter, was die Verhütung von zumindest schweren Straftaten voraussetzt. Eine derartige Begrenzung enthält die Regelung nicht.
\nDas Gleiche gilt für § 22a Abs. 2 BPolG in Verbindung mit § 21 Abs. 2 BPolG, der lediglich der Verhütung von Straftaten mit erheblicher Bedeutung dient.
\n242
\n243
\n244
\n245
\n246 Im Hinblick auf Auskünfte, die eine erhöhte Eingriffsintensität aufweisen, wie die Zuordnung von IP-Adressen und - potentiell - die Auskunft über Zugangsdaten, sehen die fachrechtlichen Abrufregelungen eine nachträgliche Benachrichtigung grundsätzlich vor. Die Regelungen genügen den verfassungsrechtlichen Anforderungen, obgleich eine Benachrichtigung nur erfolgt, soweit und sobald der Zweck der Bestandsdatenauskunft nicht vereitelt wird, aber unterbleibt, wenn ihr überwiegende schutzwürdige Belange Dritter oder des Betroffenen entgegenstehen (vgl. BVerfGE 125, 260 <344>; 129, 208 <250 f.>). Dabei sichert die den Behörden auferlegte Pflicht zur Dokumentation insbesondere der Gründe der Zurückstellung, dass nach gebotener Zeit das Fortbestehen der Voraussetzungen überprüft wird. Einer richterlichen Bestätigung des Absehens von der Benachrichtigung bedarf es darüber hinaus nicht (vgl. BVerfGE 125, 260 <344>). Im Falle des Abrufs von Zugangsdaten können sich aber erhöhte Anforderungen aus den Ermächtigungsgrundlagen zur Nutzung der Daten ergeben.
\n247
\n248
\n249 Angesichts der nur geringen Eingriffsintensität der allgemeinen Bestandsdatenauskunft ist auch unter Berücksichtigung des Umstands, dass die Maßnahme regelmäßig geheim erfolgt und Betroffene auch im Nachhinein nicht über eine erteilte Auskunft benachrichtigt werden, keine Dokumentation der Entscheidungsgrundlagen erforderlich. Sie ist auch nicht deshalb geboten, weil sich die Entscheidung über eine Bestandsdatenabfrage allein im Inneren einer Behörde vollziehen würde (dazu BVerfGE 150, 244 <303 Rn. 157>). Zwar können allein die Behörden die materiellen Voraussetzungen eines Auskunftsverlangens sicherstellen. Sie treten aber jedenfalls insoweit nach außen, als sie ein schriftliches Auskunftsverlangen unter Angabe einer gesetzlichen Bestimmung an die Diensteanbieter richten müssen (vgl. § 113 Abs. 2 Satz 1 TKG).
\n250 Dagegen kann die Zuordnung dynamischer IP-Adressen angesichts ihres erhöhten Eingriffsgewichts nur dann als verhältnismäßig angesehen werden, wenn die Entscheidungsgrundlagen für die Durchführung einer solchen Maßnahme nachvollziehbar und überprüfbar dokumentiert werden. Die rechtlichen und tatsächlichen Grundlagen entsprechender Auskunftsbegehren sind aktenkundig zu machen (BVerfGE 125, 260 <344>). Zum einen rationalisiert und mäßigt es die Entscheidung, wenn die entscheidende Behörde sich selbst über ihre Entscheidungsgrundlagen Rechenschaft ablegen muss. Zum anderen ermöglicht erst die Dokumentation eine aufsichtliche Kontrolle durch die Datenschutzbeauftragten. Schließlich wird durch die Dokumentation die verwaltungsgerichtliche Kontrolle erleichtert (vgl. BVerfGE 150, 244 <303 Rn. 157>). Für den Abruf von Zugangsdaten bedarf es demgegenüber keiner Regelung genereller Dokumentationspflichten. Soweit sie aufgrund des Eingriffsgewichts im Einzelfall geboten sein sollten, ergeben sich entsprechende Anforderungen regelmäßig aus den jeweiligen Ermächtigungsgrundlagen zur Nutzung der Daten.
\n251
\n252
\n253
\n254
\n255
\n256 Die Verhältnismäßigkeit gebietet daher nicht, für die Erhebung der Zugangsdaten als solche eigene Voraussetzungen vorzusehen und insoweit ausnahmslos einem Richtervorbehalt zu unterstellen. Rechtsstaatlich geboten ist nur, die Auskunftserteilung über die Zugangssicherung - materiell wie verfahrensrechtlich - auch an die Voraussetzungen zu binden, die in der jeweiligen Abfragesituation für den damit konkret erstrebten Nutzungszweck erfüllt sein müssen (vgl. BVerfGE 130, 151 <208 f.>). Diese bestimmen sich nach eigenständigen Rechtsgrundlagen und unterscheiden sich je nach Art und Gewicht des Eingriffs sowohl in formeller als auch in materieller Hinsicht. Weil bei jeder Abfrage von Zugangsdaten gleichzeitig auch die Voraussetzungen für deren Nutzung vorliegen müssen, ist die vorherige richterliche Kontrolle dann, wenn sie aufgrund einer eingriffsintensiven Nutzung verfassungsrechtlich geboten ist, dort uneingeschränkt sichergestellt (vgl. Bäcker, in: Rensen/Brink, Linien der Rechtsprechung des Bundesverfassungsgerichts, Bd. 1, 2009, S. 99 <114 f.>).
\n257 Wenn gleichwohl auf einfachrechtlicher Ebene, sozusagen überschießend, für die Abfrage aller Zugangsdaten ein eigener Richtervorbehalt unabhängig von den Nutzungsvoraussetzungen vorgesehen ist, führen dessen Ausnahmen (vgl. § 10 Abs. 3 Satz 4, § 40 Abs. 3 Satz 4 BKAG, § 22a Abs. 3 Satz 4 BPolG, § 7 Abs. 7 Satz 4, § 15 Abs. 4 Satz 4 ZFdG) nicht zur Unverhältnismäßigkeit der Regelungen. Sofern der hier geregelte Richtervorbehalt allerdings dazu bestimmt wäre, die sich aus den jeweiligen Nutzungsregelungen ergebenden Anforderungen an den Richtervorbehalt zu ersetzen, begegnete die Reichweite der hier in Rede stehenden Ausnahmen aber für sich genommen verfassungsrechtlichen Bedenken. Soweit der vorgesehene Richtervorbehalt ausnahmsweise dann entfällt, wenn der Betroffene von einer beabsichtigten Zugangsdatenabfrage Kenntnis hat oder haben müsste, ist nicht ausgeschlossen, dass Rechtsschutz insoweit nur noch nachträglich stattfinden kann.
\nDer Betroffene wäre dann nicht bessergestellt als im Falle der nachträglichen Benachrichtigung. Der Richtervorbehalt soll demgegenüber aber gerade eine vorbeugende Kontrolle sichern und einen Grundrechtseingriff gegebenenfalls von vornherein vermeiden. Soweit der Richtervorbehalt auch dann entfällt, wenn die Nutzung der Daten bereits durch eine gerichtliche Entscheidung gestattet wird, ist nicht sichergestellt, dass gerade auch die abfragende Behörde zur Nutzung der Daten berechtigt ist und die dafür erforderlichen Voraussetzungen vorliegen (vgl. Hauck, StV 2014, S. 360 <364>). Da die Regelung jedoch die sich aus den jeweiligen Nutzungsregelungen ergebenden Anforderungen an einen Richtervorbehalt schon bei Zugriff auf die Zugangsdaten nicht ersetzt, sondern deren Vorliegen voraussetzt, ist sie verfassungsrechtlich nicht zu beanstanden.
\n258
\n259
\n260