Bundesverfassungsgericht: E-Mail-Anbieter muss IP-Adressen übermitteln

In einer Entscheidung vom 20. Dezember 2018 (Az.: 2 BvR 2377/16) hat das Bundesverfassungsgericht beschlossen, dass E-Mail-Anbieter im Falle einer Telekommunikationsüberwachung (TKÜ) immer auch die IP-Adressen der überwachten Accounts übermitteln müssen und hierfür verpflichtet sind, die erforderlichen Vorkehrungen zu deren Vorhaltung zu treffen.

Die Staatsanwaltschaft Stuttgart hatte als Teil einer Ermittlung wegen Verdachts von Verstößen gegen das Betäubungsmittelgesetz und das Kriegswaffenkontrollgesetz eine TKÜ eines E-Mail-Accounts beantragt. Dieser Account wurde von einem E-Mail-Anbieter gestellt, der sein Angebot als datenschutzoptimiert und sehr sicher und seine Arbeitsweise als den Grundsätzen der Datensicherheit und der Datensparsamkeit besonders verpflichtet beschreibt. Aufgrund dessen, so argumentierte der E-Mail-Anbieter, habe er sich für eine Systemstruktur (z.B. mit „Network Address Translation") entschieden, die keine IP-Adressen seiner Kunden aufzeichne. Das zuständige Amtsgericht ordnete dennoch an, dass zukünftig – ungeachtet des Geschäftsmodells des Anbieters – Verkehrsdaten und insbesondere IP-Adressen des Kunden aufgezeichnet und übermittelt werden müssten. Der E-Mail-Anbieter verweigerte dies, woraufhin das Amtsgericht gegen ihn ein Ordnungsgeld in Höhe von 500 Euro, ersatzweise sieben Tage Ordnungshaft, festsetzte. Hiergegen legte der Anbieter Verfassungsbeschwerde ein und führte u.a. eine Verletzung seiner Berufsausübungsfreiheit nach Art. 12 Abs. 1 Satz 1 GG an.

Das Bundesverfassungsgericht nahm die Beschwerde einstimmig nicht zur Entscheidung an. Die TKÜ und damit auch das Ordnungsgeld basierten auf verfassungsgemäßen Vorschriften, welche die Speicher- und Übermittlungspflicht ausdrücklich normierten. Es verwies insofern insbesondere auf § 100a StPO, welcher die Strafverfolgungsbehörden zur Überwachung und Aufzeichnung der Telekommunikation ermächtige. Gemäß § 110 Abs. 1 Satz 1 Nr. 1 TKG in Verbindung mit den einschlägigen Vorschriften der TKÜV sei der Anbieter zudem verpflichtet, seinen Betrieb so zu gestalten, dass er die bei ihm vorhandenen IP-Adressen im Rahmen einer rechtmäßig angeordneten Überwachung der Telekommunikation bereitstellen könne. An der Verfassungsmäßigkeit der gesetzlichen Grundlagen hegte das Bundesverfassungsgericht keine Zweifel. Zwar griffen diese in die Berufsfreiheit des Anbieters ein, dieser Eingriff sei aber zur Aufrechterhaltung einer funktionstüchtigen Strafrechtspflege gerechtfertigt.

Das Bundesverfassungsgericht zeigt dem in Zeiten der DSGVO (grundsätzlich zu Recht) so häufig beschworenen Grundsatz der „Privacy by design" mit seiner Entscheidung eine klare Grenze auf: Geschäftsmodelle von Telekommunikationsanbietern können insoweit nicht auf eine Speicherung und Übermittlung von Daten verzichten, wie dies im Rahmen verfassungsgemäßer Gesetze verpflichtend ist.

Dieses Ergebnis ist kaum zu beanstanden. Der involvierte Anbieter hatte grundsätzlich durchaus Zugang zu den IP-Adressen seiner Kunden, er verzichtete lediglich darauf, diese auch zur Übermittlung an die Strafverfolgungsbehörden zu „loggen". Letzteres mag aus Sicht des rechtschaffenden Nutzers zwar durchaus löblich erscheinen. Hätte die Verfassungsbeschwerde Erfolg gehabt, hätte dies allerdings im Ergebnis bedeutet, dass jeder Telekommunikationsanbieter sich seiner Pflichten zur Ermöglichung einer TKÜ mit dem schlichten Verweis auf das von ihm gewählte Geschäftsmodell hätte entziehen können. Diese Ermittlungsmethode wäre damit – selbst im Falle schwerer Straftaten – ihrer technischen Existenzgrundlage beraubt worden. Die Entscheidung des Bundesverfassungsgerichts taugt somit kaum für große Aufregung. Andererseits ist jede gesetzliche Ermächtigungsgrundlage zur Datenerhebung selbstverständlich auch in Zukunft streng an den Vorgaben des Grundgesetzes zu messen, um unverhältnismäßige Zugriffe des Staates zu verhindern.

Auswirkungen hat die Entscheidung zunächst für alle Unternehmen mit vergleichbaren Geschäftsmodellen, wie der nunmehr erfolglosen Beschwerdeführerin. Diese können ihren Kunden – jedenfalls im Anwendungsbereich der deutschen Gesetzgebung – keine Kommunikationsdienste anbieten, welche eine Herausgabe deren IP-Adressen unmöglich machen.

Die Entscheidung bietet damit allen Anbietern von Kommunikationsdiensten Anlass, die eigene Compliance mit den Vorgaben der TKÜ im Konkreten sowie des Telekommunikationsrechts im Allgemeinen zu hinterfragen. Eine erste wichtige Frage ist dabei, ob der eigene Kommunikationsdienst überhaupt Telekommunikation im Sinne des Gesetzes darstellt. Es mag insofern auf den ersten Blick überraschen, dass ein E-Mail-Anbieter Telekommunikationsleistungen erbringt. Und in der Tat wird eben diese Frage aktuell in Bezug auf den Google-Dienst Gmail vor dem Europäischen Gerichtshof verhandelt. Das Bundesverfassungsgericht hat sich allerdings ausdrücklich für einen „weiten" Telekommunikationsbegriff entschieden. Dies mag ein Vorzeichen insbesondere für die vielen weiteren Anbieter von sogenannten Over-the-Top-Diensten sein, die danach gegebenenfalls ebenso reguliert sind (im Einzelfall mag dies freilich am Merkmal der „Öffentlichkeit" des Dienstes scheitern). In jedem Fall verdient die Rechtsentwicklung auf diesem Gebiet besonderes Augenmerk.

Für weitere Informationen und Unterstützung stehen wir Ihnen gerne zur Verfügung.