Verfassungsrichter stärken digitale Privatsphäre – auch in Gesundheitseinrichtungen

Karlsruhe. Deutsche Sicherheitsbehörden dürfen ohne konkrete Gefahr oder ohne Anfangsverdacht einer Straftat grundsätzlich keine Auskunft mehr über den Inhaber eines Telefonanschlusses oder einer IP-Adresse verlangen. Das hat das Bundesverfassungsgericht in Karlsruhe entschieden.

Das gilt auch für die Klinikpatienten bereitgestellten Telefonanschlüsse und für die Nutzung halböffentlicher WLAN-Netze, etwa in Krankenhäusern, MVZs oder anderen Gesundheitseinrichtungen, sofern die Nutzer bekannt sind.

Der Gesetzgeber hatte dem Bundeskriminalamt, der Bundespolizei, dem Zollkriminalamt sowie den Nachrichtendiensten des Bundes das Recht eingeräumt, bei Telekommunikationsunternehmen die Bestandsdaten über Anschlussinhaber eines Telefonanschlusses manuell abzufragen. Auch Auskunft über eine zu einem bestimmten Zeitpunkt zugewiesene IP-Adresse bei der Internetnutzung konnte verlangt werden.

Auch PIN war bislang betroffen

Zu den Bestandsdaten gehören Name, Geburtsdatum und Rufnummer eines Anschlussinhabers. Auch eine Handy-PIN und die Zuordnung einer IP-Adresse zu einem bestimmten Anschlussinhaber konnte abgefragt werden. Diensteanbieter können dagegen von Nutzern selbst vergebene Passwörter nicht weitergeben, da diese üblicherweise verschlüsselt werden.

Auch die Inhalte der Kommunikation sind nicht betroffen. Die über 5800 Beschwerdeführer, darunter Patrick Breyer von der Piratenpartei, rügten dies als einen „tiefgreifenden Eingriff in die Privatsphäre“.

Recht der informationellen Selbstbestimmung gestärkt

Das Bundesverfassungsgericht gab den Beschwerden nun statt. Die Datenabfrage verstoße gegen das Recht auf informationelle Selbstbestimmung und das Telekommunikationsgeheimnis und sei daher verfassungswidrig. Bis spätestens Ende 2021 müssten höhere Hürden in das Gesetz eingezogen werden.

Grundsätzlich könne eine Auskunft über die Bestandsdaten zwar zulässig sein. Dies müsse jedoch verhältnismäßig sein und die Datenabfrage dürfe nicht „ins Blaue hinein“ erfolgen.

Gerechtfertigt sei der Zugriff auf die Daten nur, wenn im Einzelfall eine „konkrete Gefahr“ bestehe. Für die Strafverfolgung reiche aber ein Anfangsverdacht aus, entschieden die Verfassungsrichter. Solche „begrenzenden Eingriffsschwellen“ sehe das Gesetz bislang nicht vor, rügten die Verfassungsrichter. Gleiches gelte auch für die Regelungen zur Auskunft über den Anschlussinhaber einer bei Privatnutzern üblichen dynamischen IP-Adresse.

2012 hatte das Bundesverfassungsgericht bereits die Vorgängerregelung als zu weit kritisiert. Inwieweit Kliniken und andere Gesundheitseinrichtung von dem nun erneut verworfenen Datenzugriff betroffen waren, ist unklar. Bei der Deutschen Krankenhausgesellschaft gebe es hierzu „gar keine Erkenntnisse“, erklärte ein Sprecher des Klinik-Dachverbandes auf Anfrage in Berlin. (fl/mwo)