Der Umsturz kommt zu früh: Anmerkungen zur polizeilichen Informationsordnung nach dem neuen BKA-Gesetz

Kurz vor Ende der Legislaturperiode hat der Bundestag das neue BKA-Gesetz verabschiedet, das am 25. Mai 2018 in Kraft tritt. Unmittelbarer Anlass war das Urteil des BVerfG zu den Ermächtigungen des BKA zur präventiven Terrorismusabwehr. Zudem soll das Gesetz die EU-Richtlinie über den Datenschutz bei Polizei und Strafjustiz umsetzen. Inhaltlich enthält das Gesetz neben neuen Detailregelungen – wie eher punktuellen Erweiterungen der Aufgaben des BKA und einzelnen neuen Ermächtigungen etwa im Bereich der Terrorismusabwehr – viel Altbekanntes. Eine Ausnahme bilden jedoch die Regelungen über die Informationsordnung des BKA. Sie gestalten die polizeiliche Informationsverwaltung fundamental um.

Diese Umgestaltung soll nach der Gesetzesbegründung die Funktion des BKA als Zentralstelle für das polizeiliche Informationswesen stärken. Den Bundes- und Landespolizeibehörden, die am Informationsverbund des BKA teilnehmen, soll insbesondere erleichtert werden, ihre Datenbestände miteinander zu verknüpfen. Zudem soll die neue Informationsordnung besser dazu geeignet sein, Querbezüge zwischen Deliktsfeldern zu erkennen (beispielsweise zwischen organisierter Kriminalität und Terrorismus oder zwischen Sportgewalt und gewalttätigem Rechtsextremismus).

Um dieses einleuchtende Ziel zu erreichen, bricht das neue BKA-Gesetz geradezu umsturzartig mit den regulatorischen Grundlagen der bisherigen polizeilichen Informationsordnung. Es überführt den bisher in Dateien gegliederten Informationsbestand des BKA und der Landespolizeien in einen einheitlichen Bestand, der durch ein abgestuftes System von Zugriffsrechten erschlossen wird. Leider ist diese neue Ordnung jedoch konzeptionell nicht hinreichend fundiert. Das Gesetz ist deshalb in zentralen Punkten unklar: Möglicherweise stellt es das polizeiliche Informationswesen weitgehend ins Belieben des BKA; dies wäre mit Grundrechten nicht zu vereinbaren. Bemerkenswerterweise lässt sich das Gesetz auch gerade umgekehrt so interpretieren, dass es für die Informationsordnung des BKA überzogene und impraktikable Vorgaben errichtet.

Worum geht es? – Verfahrensexterne Datensammlungen und der Zweckbindungsgrundsatz

Polizeibehörden können personenbezogene Daten verfahrensintern und verfahrensextern sammeln. Eine verfahrensinterne Datensammlung enthält die Entscheidungsgrundlagen eines einzelnen polizeilichen Verfahrens. Sie ist inhaltlich auf das Ziel und zeitlich auf die Dauer des Verfahrens begrenzt. Die neuen Regelungen im BKAG haben hingegen verfahrensexterne Datensammlungen zum Gegenstand. Eine verfahrensexterne Datensammlung enthält personenbezogene Daten, von denen die Polizei annimmt, dass sie zukünftig nützlich sein können, um polizeiliche Aufgaben zu erfüllen. Ein konkretes polizeiliches Verfahren, in dem die Daten genutzt werden sollen, muss hierfür weder laufen noch absehbar sein.

Das BKA speichert verfahrensextern zum einen personenbezogene Daten, die es selbst erhoben hat, etwa im Rahmen seiner Aufgaben zur Strafverfolgung oder zur präventiven Terrorismusabwehr. Zum anderen unterhält das BKA als kriminalpolizeiliche Zentralstelle einen polizeilichen Informationsverbund zwischen Bund und Ländern. Das Verbundsystem enthält auch personenbezogene Daten, die von anderen Polizeibehörden stammen, wenn sie sich auf Fälle mit länderübergreifender Bedeutung beziehen.

Die personenbezogenen Daten, die das BKA verfahrensextern bevorratet, wurden in der Regel im Rahmen eines polizeilichen Verfahrens für das Ziel dieses Verfahrens erhoben. Wenn derartige Daten für spätere Verfahren aufbewahrt werden, ändert sich der Zweck der Datenverarbeitung. Eine solche Zweckänderung ist datenschutzrechtlich nicht generell unzulässig, muss aber besonders geregelt werden.

Bei verfahrensexternen Datensammlungen sind zwei Stufen der Datenverarbeitung regelungsbedürftig, die Datenspeicherung und die spätere Überführung der gespeicherten Daten in ein neues polizeiliches Verfahren. Auf der Stufe der Datenspeicherung ist festzulegen, welche personenbezogenen Daten die Polizei unter welchen Voraussetzungen bevorraten darf. Auf der Stufe der Datenüberführung ist zu regeln, unter welchen Voraussetzungen und zu welchen Zielen die Polizei die Daten weiterverarbeiten darf. Diese Vorgaben definieren zusammengenommen den Zweck der Datenspeicherung.

Aus grundrechtlicher Sicht stehen die Regelungen zu den beiden Stufen in einem Wechselwirkungsverhältnis: Stellt das Gesetz nur geringe Anforderungen an die Datenspeicherung, so muss es die Datenüberführung stärker begrenzen. Umgekehrt kann eine großzügige Befugnis zur Datenüberführung grundrechtlich hinnehmbar sein, wenn die Daten nur unter strengen Voraussetzungen überhaupt gespeichert werden dürfen.

Die Bevorratungsregelungen im bisherigen BKAG

Das noch geltende Recht sieht für diese regelungsbedürftigen Fragen ein prinzipiell tragfähiges Regelungskonzept vor. Der Datenbestand des BKA ist danach in Dateien gegliedert. § 8 BKAG regelt abschließend, unter welchen Voraussetzungen personenbezogene Daten in diesen Dateien gespeichert werden dürfen. Hierfür kommt es entscheidend auf Umstände an, die in der Person des Betroffenen liegen. Die möglichen Inhalte der Dateien und die möglichen Weiterverarbeitungen der gespeicherten Daten sind nach § 7 Abs. 11 BKAG in einer Rechtsverordnung zu konkretisieren. Diese Rechtsverordnung – die übrigens erst mit mehreren Jahren Verzögerung und nach einem Rechtsstreit durch alle Instanzen erlassen wurde – zählt detailliert auf, welche Daten über welche Personengruppen überhaupt in Dateien des Bundeskriminalamts bevorratet werden können. Außerdem definiert sie Grundtypen von Dateien mit unterschiedlichen Zwecken und ordnet ihnen unterschiedliche Datenarten zu (im Einzelnen: delikts- und phänomenbezogene Dateien, Kriminalaktennachweise, Gewalttäterdateien, erkennungsdienstliche Dateien sowie die DNA-Analyse-Datei). Die Verordnung wirkt damit als Baukasten, aus dem das BKA die Spezifikationen einzelner Dateien zusammenstellen kann. Die Details sind für jede Datei nach § 34 BKAG in einer Errichtungsanordnung festzulegen, also einer Verwaltungsvorschrift.

Diese Kaskadenlösung ist grundsätzlich sachgerecht. Sie gewährleistet, dass die wesentlichen Fragen im formellen Gesetz geregelt sind. Zugleich ermöglicht sie dem BKA, seinen Informationsbestand flexibel umzustrukturieren, um auf neue Entwicklungen zu reagieren. Allerdings weisen die geltenden Regelungen im Detail einige Defizite auf.

So sind die Speicherungsanlässe in § 8 BKAG teils zu weit gefasst. Zum einen dürfen bestimmte personenbezogene Daten von Beschuldigten eines Ermittlungsverfahrens ohne weiteren Anlass gespeichert werden. Insoweit verlangt § 8 Abs. 1 BKAG keine personenbezogene Prognose zukünftiger Straftaten, sondern errichtet eine gesetzliche Vermutung, dass die Daten allein aufgrund der Beschuldigtenstellung des Betroffenen nützlich sind. Diese Vermutung lässt sich in der Praxis in der Regel kaum widerlegen. Insbesondere ist weitgehend irrelevant, ob der Betroffene zu Recht beschuldigt wurde. Nicht einmal ein kriminalistischer Restverdacht wird gefordert, um die Datenspeicherung zu legitimieren. Vielmehr ist umgekehrt die (weitere) Speicherung nach § 8 Abs. 3 BKAG nur dann unzulässig, wenn das Verfahren gegen den Beschuldigten mit einer Entscheidung geendet hat, aus der sich positiv ergibt, dass er die Tat nicht oder nicht rechtswidrig begangen hat. Eine solche Entscheidung ergeht jedoch allenfalls in Ausnahmefällen, da es nicht Aufgabe des Strafverfahrens ist, die Unschuld einer Person zu erweisen.

Zum anderen erlaubt § 8 Abs. 5 BKAG, personenbezogene Daten „sonstiger Personen“ zu speichern, wenn „bestimmte Tatsachen die Annahme rechtfertigen, dass die Betroffenen Straftaten von erheblicher Bedeutung begehen werden“. Für diese Prognose benennt das Gesetz keine Anknüpfungspunkte. Sie kann in weitem Umfang etwa auf zulässiges Verhalten oder auf äußere Umstände gestützt werden, die der Betroffene nicht zu verantworten hat. Beispielsweise kann es ausreichen, dass eine Person in räumlichem und zeitlichem Zusammenhang mit einer Gewalttat bei einer Demonstration oder einem Fußballspiel angetroffen und deshalb gegen sie ein Platzverweis ausgesprochen wurde.

Ob diese weit gefassten Speicherermächtigungen mit den Grundrechten der Betroffenen in Einklang stehen, ist sehr zweifelhaft. Zwar verficht das BVerfG zu den Rechtsgrundlagen polizeilicher Datensammlungen eine eher permissive Linie. Deutlich strenger fällt jedoch die Rechtsprechung des EGMR aus. Zukünftig werden die Regelungen über polizeiliche Datensammlungen zudem an Art. 7 und Art. 8 GRCH zu messen sein, da die bis 2018 umzusetzende Datenschutzrichtlinie für Polizei und Strafjustiz die polizeiliche Informationsordnung unionsrechtlich überformt. Da der EuGH das Datenschutzrecht seit geraumer Zeit als grundrechtliches Profilierungsfeld nutzt, liegt nahe, dass auch er hohe Anforderungen an mitgliedstaatliche Regelungen über verfahrensexterne Datensammlungen errichten wird.

Darüber hinaus beschreibt die Daten-Verordnung die Zwecke der unterschiedlichen Dateitypen nicht durchweg trennscharf. So sieht § 9 Abs. 1 Nr. 1 BKADV delikts- und phänomenbezogene Dateien vor, die „der Sammlung und Auswertung von Informationen zu Straftaten… dienen und die vor allem das Erkennen von Zusammenhängen zwischen Taten untereinander und zu Tätern sowie von Täterorganisationen ermöglichen“. Hieraus werden die möglichen Anlässe und Ziele der zulässigen Datenüberführungen nicht deutlich. § 9 Abs. 1 Nr. 3 lit. b BKADV ermöglicht dem Bundeskriminalamt, Gewalttäterdateien unter anderem zu dem Zweck „der Verhinderung gewalttätiger Auseinandersetzungen und sonstiger Straftaten im Zusammenhang mit Sportveranstaltungen“ zu führen. Dem lässt sich zwar ein Ziel, aber kein Anlass für die Datenüberführung entnehmen. Die Verordnung öffnet damit beide Dateitypen für weitgehend anlasslose Verwendungen jeder Art. Dies schließt etwa einen routinemäßigen Datenabgleich immer dann ein, wenn eine Polizeibehörde die Personalien einer bestimmten Person aufnimmt. Es ist zu bezweifeln, dass diese Regelungen mit dem Bestimmtheitsgebot und dem Verhältnismäßigkeitsgrundsatz in Einklang stehen.

Die neue Informationsordnung des BKA und das BKAG-Urteil des BVerfG

Das neue BKAG stellt die Informationsordnung des BKA grundlegend um. An die Stelle der hergebrachten Gliederung in Dateien tritt ein einheitlicher Informationsbestand, auf den alle Bearbeiter aus dem Kreis der beteiligten Behörden im Rahmen ihrer Dienstaufgaben zugreifen können.

Mit der Abschaffung der Dateien fallen auch die – wenngleich unvollkommenen – Zweckvorgaben des bisherigen Dateiregimes weg. Allerdings wäre ein völlig „zweckfreier“ Datenpool mit den Grundrechten nicht zu vereinbaren. Zumindest bei personenbezogenen Daten, die mit eingriffsintensiven Mitteln erhoben wurden, reichen auch die vielfältigen und teils weit gefassten Aufgaben des BKA allein nicht aus, um die Datenspeicherung hinreichend trennscharf zu begrenzen.

Um die gebotene Zweckbindung zu gewährleisten, orientiert sich das Gesetz an dem BKAG-Urteil des BVerfG. In diesem Urteil differenziert das Gericht zwischen zwei Arten einer Nutzung von personenbezogenen Daten, die im Rahmen eines konkreten polizeilichen Verfahrens erhoben wurden, für die Zwecke anderer Verfahren:

Noch im Rahmen des Erhebungszwecks hält sich eine „weitere Nutzung“. Das BVerfG versteht darunter eine Nutzung „im selben Aufgabenkreis zum Schutz derselben Rechtsgüter und zur Verfolgung oder Verhütung derselben Straftaten, wie es die jeweilige Datenerhebungsvorschrift erlaubt“. Der Gesetzgeber darf eine solche weitere Nutzung in den Worten des BVerfG auch als „bloßer Spurenansatz“ zulassen. Terminologisch ist diese Bezeichnung schief. Der Begriff des Spurenansatzes ist im Strafprozessrecht etabliert und wird dort von der in § 161 Abs. 2 StPO geregelten Verarbeitung personenbezogener Daten zu Beweiszwecken abgegrenzt. Diese Differenzierung ließe sich auf das Polizeirecht nicht übertragen, da es dort keine Hauptverhandlung gibt, in der Daten zu Beweiszwecken genutzt werden könnten. Zudem setzt auch eine Verwertung erlangter Daten als Spurenansatz im strafprozessualen Ermittlungsverfahren den Anfangsverdacht einer Straftat voraus, während das BVerfG erkennbar gerade diese tatsächliche Eingriffsschwelle absenken will. Gemeint sein dürfte vielmehr, dass die weitere Nutzung keines tatsächlichen Anlasses bedarf, also insbesondere keine konkreten Anhaltspunkte für weitere drohende oder begangene Straftaten erforderlich sind. Ein Spurenansatz in diesem Sinne dient vielmehr dazu, solche Anhaltspunkte erst zu gewinnen.

Sollen erhobene personenbezogene Daten dagegen im Rahmen einer anderen polizeilichen Aufgabe oder durch eine andere Behörde als die Erhebungsbehörde genutzt werden, so handelt es sich um eine Zweckänderung. Der Gesetzgeber darf diese nur zulassen zum „Schutz von Rechtsgütern oder der Aufdeckung von Straftaten eines solchen Gewichts, die verfassungsrechtlich ihre Neuerhebung mit vergleichbar schwerwiegenden Mitteln rechtfertigen könnten“. Zudem bedarf die zweckändernde Nutzung eines „hinreichend spezifischen Anlasses“. Allerdings soll es zulässig sein, den Nutzungsanlass großzügiger zu fassen als den Anlass der Datenerhebung, für den bei eingriffsintensiven Überwachungen die Schwellen der konkreten Gefahr oder des strafprozessualen Anfangsverdachts maßgeblich sind. Das BVerfG spricht insoweit von einem „konkreten Ermittlungsansatz“, allerdings ohne dieses Erfordernis zu konkretisieren. Erforderlich sein dürfte ein einzelfallbezogenes Wahrscheinlichkeitsurteil, das sich auf ein zumindest in Umrissen konturierbares Geschehen bezieht.

Diese Differenzierung wird nunmehr in § 12 BKAG-neu aufgegriffen. Die Vorschrift errichtet allgemeine Anforderungen an die Weiterverarbeitung erhobener Daten. Der Begriff der Weiterverarbeitung weicht von der hergebrachten datenschutzrechtlichen Terminologie in Deutschland ab und orientiert sich am europäischen Recht. Ihm unterfallen, wie sich aus dem Regelungskontext ergibt und auch die