Die Bundesregierung will das Recht der Nachrichtendienste umfassend reformieren. Der Regierungsentwurf (BT-Drs. 21/7868) ist nach einem Bericht von LTO über 700 Seiten lang und wurde am 24. September 2026 in erster Lesung im Bundestag beraten. In der öffentlichen Diskussion geht es bisher vor allem um Staatstrojaner, den Einsatz von KI bei der Auswertung von Daten und die Kontrolle der Dienste.
Für Unternehmen ist ein anderer Teil des Entwurfs mindestens genauso wichtig. Deutlich mehr Branchen als bisher sollen dem Bundesamt für Verfassungsschutz und dem Bundesnachrichtendienst künftig auf Ersuchen Auskunft geben und darüber Stillschweigen bewahren. Wir haben uns angesehen, was nach dem aktuellen Entwurf auf Unternehmen zukommt. Beschlossen ist das Gesetz allerdings noch nicht, im parlamentarischen Verfahren kann sich also noch einiges ändern.
Der Kreis der Auskunftspflichtigen wird größer
Bisher waren die Auskunftspflichten gegenüber den Diensten über mehrere Vorschriften verstreut. Der Entwurf fasst sie im neuen Bundesverfassungsschutzgesetz (§§ 11 bis 15 BVerfSchG-E) und im BND-Gesetz (§§ 12 bis 16 BNDG-E) zusammen.
Im Verkehrsbereich war bislang nur der Luftverkehr erfasst. Künftig sollen auch andere Anbieter im Personen- und Güterverkehr Auskunft geben müssen, z. B. Bahn- und Fernbusunternehmen, Mietwagen- und Carsharing-Anbieter oder Speditionen. KFZ-Hersteller und nachrangig Kfz-Werkstätten sollen Telemetriedaten wie den Standort oder den Kilometerstand liefern. Im Finanzbereich trifft die Pflicht alle Verpflichteten nach dem Geldwäschegesetz sowie technische Zahlungsdienstleister. Dazu kommen die Anbieter digitaler Dienste sowie Telekommunikations- und Postdienste. Wer IT-Systeme Dritten überlässt, etwa als Hosting-Anbieter, muss bei der Aufklärung von IT-Angriffen Auskunft geben.
Weit gehen auch die Pflichten für Betreiber von Videoüberwachung im öffentlich zugänglichen Raum. Sie sollen den Nachrichtendiensten die Mitbenutzung ihrer Kameras ermöglichen, Bilder in Echtzeit ausleiten und gespeicherte Aufzeichnungen übermitteln.
Erfasst ist jedes Unternehmen, das in Deutschland eine Niederlassung hat oder hier Leistungen erbringt. Auf Widerstand stößt vor allem der Zugriff auf Fahrzeugdaten. Wie netzpolitik.org berichtet, warnt das Kfz-Gewerbe davor, dass Autohäuser und Werkstätten „zum verlängerten Arm der Nachrichtendienste werden“.
Wann die Dienste Auskunft verlangen dürfen
Der Gesetzentwurf sieht ein abgestuftes Auskunftssystem vor. Für Auskünfte über einen Dienst selbst sowie über sogenannte Bestandsdaten aus dem Kundenverhältnisgenügen bereits Anhaltspunkte im Einzelfall.
Höhere Hürden gelten für die sogenannte qualifizierte Auskunft über die Nutzung eines Dienstes. Diese umfasst ausdrücklich auch Inhalte und darf vom Verfassungsschutz nur dann verlangt werden, wenn eine „wenigstens erheblich beobachtungsbedürftigen Bedrohung“ vorliegt (§ 11 Abs. 5 BVerfSchG-E).
Für besonders sensible Daten gelten nochmals höhere Hürden: Auskünfte über Inhalten aus Cloud-Diensten und aus der Telekommunikation sind nur unter noch strengeren gesetzlichen Voraussetzungen zulässig.
Für die verpflichteten Unternehmen enthält das Auskunftsersuchen grundsätzlich lediglich die jeweilige Rechtsgrundlage. Ob die Voraussetzungen vorliegen, prüft laut Gesetzesbegründung allein die Behörde. Ein Ersuchen kann sich auch auf Daten beziehen, die erst künftig anfallen, ist dann aber jeweils auf höchstens ein Jahr befristet. Eine allgemeine Vorratsspeicherung sieht der Entwurf nicht vor. Im Einzelfall kann allerdings eine Pflicht zur Speicherung bestehen. Den Aufwand bekommen die Unternehmen nach dem Justizvergütungs- und -entschädigungsgesetz erstattet.
Schweigepflicht und Sanktionen
Über ein Ersuchen dürfen weder das Unternehmen noch seine Beschäftigten die betroffene Person oder andere Stellen informieren, und zwar „auch im Wege gesetzlicher Meldepflichten“ (§ 9 Abs. 3 BVerfSchG-E, § 8 BNDG-E) nicht. Wer sich nicht daran hält, macht sich strafbar. Es drohen bis zu zwei Jahre Freiheitsstrafe oder Geldstrafe. Hinzu kommt ein Benachteiligungsverbot. Allein wegen eines Ersuchens darf ein Unternehmen also keinen Vertrag kündigen, keine Leistungen einschränken und keine höheren Entgelte verlangen.
Die Bußgelder für verpflichtete Unternehmen sind ebenfalls nicht zu unterschätzen. Wer eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt, muss mit bis zu 300.000 Euro Strafe rechnen, bei bestimmten Mitwirkungspflichten wie bei der Videoüberwachung sogar mit bis zu 500.000 Euro. Das Bundesinnenministerium bzw. das Bundesverwaltungsamt soll außerdem Geschäftsräume betreten, Zwangsgelder bis zu 1 Million Euro festsetzen und als letztes Mittel den Betrieb untersagen dürfen (§ 71 BVerfSchG-E, § 134 BNDG-E). Telekommunikations- und Postanbieter müssen darüber hinaus Geheimschutzmaßnahmen treffen und Personal vorhalten, das bereit ist, sich einer Sicherheitsüberprüfung zu unterziehen.
Datenschutzrechtliche Einordnung
Die DSGVO gilt für die Nachrichtendienste selbst nicht, allerdings regelmäßig für die Unternehmen, die um Auskunft ersucht werden. Gibt es eine Auskunftspflicht, ist Art. 6 Abs. 1 c DSGVO die Rechtsgrundlage für die Übermittlung. Bei besonderen Kategorien personenbezogener Daten wie Gesundheitsdaten kommt zusätzlich Art. 9 Abs. 2 g DSGVO in Betracht. Unternehmen, die nicht zu den Verpflichteten gehören, dürfen nach dem Entwurf zwar übermitteln, müssen es aber nicht. Entscheiden sie sich für eine freiwillige Herausgabe, tragen sie dafür selbst die datenschutzrechtliche Verantwortung.
Schwierig wird es vor allem wegen der Schweigepflicht. Nach Art. 15 Abs. 1 c DSGVO können Betroffene erfahren, an welche Empfänger ihre Daten gegangen sind. Ein Ersuchen darf das Unternehmen bei dieser Auskunft aber nicht offenlegen. Möglich ist eine solche Beschränkung nach Art. 23 Abs. 1 a DSGVO, wenn sie dem Schutz der nationalen Sicherheit dient.
Bei der Auftragsverarbeitung stellt sich ein ähnliches Problem. Muss ein Dienstleister aufgrund einer gesetzlichen Pflicht Daten herausgeben, hat er seinen Auftraggeber nach Art. 28 Abs. 3 a DSGVO grundsätzlich vorher zu informieren, es sei denn, das Recht verbietet eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses. Wer Cloud- oder Hosting-Dienste nutzt, bekommt von einem Ersuchen beim Dienstleister unter Umständen also gar nichts mit.
Berufliche Verschwiegenheitspflichten wie die Anwaltliche gehen laut Gesetzesbegründung vor. Trotzdem sehen die Ärzteschaft und die Anwaltschaft das Berufsgeheimnis nach § 203 StGB durch die Reform insgesamt in Gefahr.
Handlungsbedarf für Unternehmen
Unternehmen sollten zunächst klären, ob sie überhaupt zu den Adressaten gehören. Das kann auch dann der Fall sein, wenn sie an einer Leistung nur als Dienstleister mitwirken. Ist das so, empfiehlt sich ein fester Ablauf für Behördenersuchen. Darin sollte geregelt sein, wer Ersuchen entgegennimmt und wer Echtheit, Rechtsgrundlage und Umfang prüft. Herausgegeben wird dann nur, was tatsächlich verlangt ist.
Wichtig ist auch die Vertraulichkeit. Der Kreis der Eingeweihten sollte möglichst klein bleiben, und wer beteiligt ist, sollte über das Mitteilungsverbot und die Strafbarkeit belehrt werden. Jedes Ersuchen sollte intern und zugriffsgeschützt dokumentiert werden. Auch die Antwortvorlagen für Auskunftsersuchen nach Art. 15 DSGVO und Meldeklauseln in Auftragsverarbeitungsverträgen gehören auf den Prüfstand, denn sie müssen mit dem Mitteilungsverbot vereinbar sein. Schließlich sollte das Benachteiligungsverbot in den Compliance- und KYC-Prozessen (Know Your Customer) verankert werden, damit ein Ersuchen dort nicht zum Anlass für Kündigungen wird.
Fazit
Mit der geplanten Reform werden Unternehmen in deutlich größerem Umfang zu Informationsquellen der Nachrichtendienste. Das betrifft Carsharing-Anbieter und Kfz-Werkstätten genauso wie Betreiber von Videokameras. Weil Verstöße gegen die Schweigepflicht strafbar sind und hohe Bußgelder drohen, steigt der Druck, Ersuchen schnell und korrekt zu bearbeiten. Unternehmen, die betroffen sein können, sollten ihre Prozesse deshalb schon jetzt vorbereiten und sie nach der Verabschiedung des Gesetzes mit dem endgültigen Text abgleichen.
Keine Kommentare