BT-Drs. 21/6132 – Entwurf eines Gesetzes zur Stärkung digitaler Ermittlungsbefugnisse in der Polizeiarbeit

§ 9a
Automatisierter biometrischer Abgleich mit öffentlich zugänglichen Daten aus dem Internet
(1) Das Bundeskriminalamt kann öffentlich zugängliche personenbezogene Daten, die biometrische Merkmale enthalten, aus dem Internet erheben und mit Daten, auf die es zur Erfüllung seiner Aufgaben zugreifen darf, mittels einer automatisierten Anwendung zur Datenverarbeitung biometrisch abgleichen, sofern
bestimmte Tatsachen den Verdacht begründen, dass eine Straftat von auch im Einzelfall erheblicher Bedeutung, insbesondere eine in § 100a Absatz 2 der Strafprozessordnung bezeichnete Straftat begangen worden ist oder bestimmte Tatsachen die Annahme rechtfertigen, dass eine Person innerhalb eines übersehbaren Zeitraums auf eine zumindest ihrer Art nach konkretisierte Weise eine solche Straftat begehen wird,
dies zur Ergänzung vorhandener Sachverhalte zum Zweck der Identifizierung, Aufenthaltsermittlung, Erforschung des Sachverhalts oder Ermittlung von Zusammenhängen mit anderen Straftaten oder Gefahren im Rahmen der Erfüllung seiner Aufgabe als Zentralstelle nach § 2 Absatz 2 Nummer 1 erforderlich ist und
die Verfolgung oder Verhütung der Straftat auf andere Weise aussichtslos oder wesentlich erschwert wäre.
Ein Abgleich mit öffentlich zugänglichen Echtzeitdaten ist unzulässig.
(2) Die Maßnahme nach Absatz 1 Satz 1 darf durchgeführt werden
gegen Tatverdächtige, Beschuldigte und nach Gefahrenabwehrrecht entsprechend § 18 oder § 19 des Bundespolizeigesetzes polizeipflichtige Personen sowie Personen nach § 18 Absatz 1 Nummer 4 und
gegen Personen nach § 19 Absatz 1 Satz 1 sowie nach Gefahrenabwehrrecht entsprechend § 21 des Bundespolizeigesetzes polizeipflichtige Personen, sofern dies dem Zweck der Identifizierung oder Aufenthaltsermittlung dient und überwiegende schutzwürdige Interessen dieser Personen nicht entgegenstehen.
(3) Für die nach Absatz 1 Satz 1 abzugleichenden Daten ist § 12 Absatz 2 anzuwenden. Der Abgleich mit Daten, die aus in § 12 Absatz 3 genannten Maßnahmen erlangt wurden, ist unzulässig.
(4) Die im Rahmen des biometrischen Abgleichs nach Absatz 1 Satz 1 erhobenen und verarbeiteten Daten sind nach dessen Durchführung unverzüglich zu löschen, sofern sie keinen konkreten Ermittlungsansatz für den Ausgangssachverhalt oder ein anderes Verfahren aufweisen. Durch organisatorische und technische Maßnahmen hat das Bundeskriminalamt zu gewährleisten, dass die Daten gegen unbefugte Kenntnisnahme geschützt sind. Für die Protokollierung der Verarbeitungsschritte gilt § 82 Absatz 1. Zudem ist die Zielperson zu protokollieren.
(5) Das Bundeskriminalamt kann den Abgleich durch eine inländische öffentliche oder nichtöffentliche Stelle oder eine öffentliche oder nichtöffentliche Stelle eines Mitgliedsstaats der Europäischen Union durchführen lassen, hierzu an diese Stelle erforderliche Daten übermitteln und, sofern erforderlich, von § 25 Absatz 6, auch in Verbindung mit § 26, abweichen, wenn
die Voraussetzungen des Absatzes 1 Satz 1 erfüllt sind und
der Abgleich durch das Bundeskriminalamt selbst technisch unmöglich oder nur mit unverhältnismäßig großem Aufwand möglich ist.
(6) Das Bundeskriminalamt kann den Abgleich durch eine öffentliche und nichtöffentliche Stelle in einem Drittstaat durchführen lassen und hierzu an diese Stelle erforderliche Daten übermitteln, wenn
dies zum Zweck des Schutzes der nationalen Sicherheit erforderlich ist,
die Voraussetzungen des Absatzes 1 Satz 1 sowie vorbehaltlich des Satzes 2 die Voraussetzungen des § 27 Absatz 8 und des § 81 des Bundesdatenschutzgesetzes erfüllt sind und
der Abgleich durch das Bundeskriminalamt selbst oder eine inländische öffentliche oder nichtöffentliche Stelle oder eine öffentliche oder nichtöffentliche Stelle eines Mitgliedsstaats der Europäischen Union technisch unmöglich oder nur mit unverhältnismäßig großem Aufwand möglich ist.
Sofern dies erforderlich ist, darf das Bundeskriminalamt von § 81 Absatz 1 Nummer 3 und Absatz 4 des Bundesdatenschutzgesetzes abweichen.
(7) Die §§ 25 bis 28 bleiben im Übrigen unberührt.
(8) Die Maßnahme nach Absatz 6 darf nur auf Antrag der Präsidentin oder des Präsidenten des Bundeskriminalamtes oder ihrer oder seiner Vertretung durch das Gericht angeordnet werden. Bei Gefahr im Verzug kann die Anordnung durch die Präsidentin oder den Präsidenten des Bundeskriminalamtes oder ihre oder seine Vertretung getroffen werden. In diesem Fall ist die gerichtliche Entscheidung unverzüglich nachzuholen. Soweit die Anordnung nicht binnen drei Tagen durch das Gericht bestätigt wird, tritt sie außer Kraft. Die Präsidentin oder der Präsident des Bundeskriminalamtes kann die Antragsbefugnis nach Satz 1 sowie die Anordnungsbefugnis nach Satz 2 auf Bedienstete des Bundeskriminalamtes mit Befähigung zum Richteramt übertragen.

§ 9b
Automatisierte Datenanalyse
(1) Das Bundeskriminalamt kann zur Erfüllung der Aufgabe als Zentralstelle Daten, auf die es zur Erfüllung seiner Aufgaben zugreifen darf, nach Maßgabe von § 12 mittels einer automatisierten Anwendung zur Datenverarbeitung zusammenführen und darüber hinaus zum Zwecke der Analyse weiterverarbeiten, sofern bestimmte Tatsachen
den Verdacht begründen, dass eine Straftat im Sinne des § 100a Absatz 2 der Strafprozessordnung begangen worden ist, die Tat auch im Einzelfall schwer wiegt und dies zur Verfolgung der Straftat erforderlich ist, oder
die Annahme rechtfertigen, dass eine Person innerhalb eines übersehbaren Zeitraums auf eine zumindest ihrer Art nach konkretisierte Weise eine Straftat begehen wird, die in § 100a Absatz 2 der Strafprozessordnung genannt ist und sich gegen den Bestand oder die Sicherheit des Bundes oder eines Landes oder gegen Leib, Leben oder Freiheit einer Person oder gegen Sachen von bedeutendem Wert, deren Erhaltung im öffentlichen Interesse geboten ist, richtet, und dies zur Verhütung der Straftat erforderlich ist.
Die nach Satz 1 mittels einer automatisierten Anwendung zur Datenverarbeitung zusammengeführten Daten dürfen ferner für Zwecke der Strafverfolgung gemäß § 4 nach Maßgabe von § 98e der Strafprozessordnung weiterverarbeitet werden.
(2) Die Maßnahme nach Absatz 1 darf durchgeführt werden gegen
Tatverdächtige, Beschuldigte oder nach Gefahrenabwehrrecht entsprechend § 18 oder § 19 des Bundespolizeigesetzes polizeipflichtige Personen sowie Personen nach § 18 Absatz 1 Nummer 4 und
Personen nach § 19 Absatz 1 Satz 1 sowie nach Gefahrenabwehrrecht entsprechend § 21 des Bundespolizeigesetzes polizeipflichtige Personen, sofern überwiegende schutzwürdige Interessen dieser Personen nicht entgegenstehen.
(3) Eine direkte Anbindung der Anwendung zur automatisierten Datenanalyse an Register, die nicht in den Anwendungsbereich der Richtlinie (EU) 2016/680 fallen, und an Internetdienste ist unzulässig. Datensätze aus gezielten, auch automatisierten Abfragen in sonstigen staatlichen Registern und im Einzelfall erhobene Datensätze aus Internetquellen können in die Weiterverarbeitung einbezogen werden.
(4) Im Rahmen der Weiterverarbeitung nach Absatz 1 können
datei- und informationssystemübergreifend Beziehungen oder Zusammenhänge zwischen Verfahren, Vorgängen, Personen, Personengruppierungen, Institutionen, Organisationen, Orten, Objekten und Sachen identifiziert und hergestellt, sowohl qualitativ als auch quantitativ klassifiziert, strukturell analysiert und visualisiert werden,
für die Erreichung des Zwecks der Weiterverarbeitung nach Absatz 1 unbedeutende Informationen und Erkenntnisse ausgeschlossen werden,
die eingehenden Erkenntnisse zu bekannten Sachverhalten zugeordnet werden,
Suchkriterien, insbesondere nach Sachnähe, Aktualität und Erheblichkeit der Verknüpfung mit anderen Informationen bezogen auf den Zweck der Weiterverarbeitung nach Absatz 1, gewichtet werden sowie
gespeicherte Daten statistisch ausgewertet werden.
(5) Das Bundeskriminalamt hat bei der Weiterverarbeitung nach Absatz 1 sicherzustellen, dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden. Die § 12 und § 22 Absatz 2 sowie Regelungen zum Schutz des Kernbereichs privater Lebensgestaltung bleiben unberührt. Eine ausschließlich auf der Maßnahme nach Absatz 1 beruhende automatisierte Entscheidungsfindung, die unmittelbar eine nachteilige Rechtsfolge für die betroffene Person hat oder diese erheblich beeinträchtigt, ist unzulässig.
(6) Das Bundeskriminalamt gewährleistet im Rahmen der Regelung der Zugriffsberechtigungen nach § 15, dass das für die Durchführung der Maßnahme nach Absatz 1 eingesetzte Personal besonders geschult wird. Durch organisatorische und technische Maßnahmen hat das Bundeskriminalamt zu gewährleisten, dass die Daten gegen unbefugte Kenntnisnahme geschützt sind. Für die Protokollierung der Zugriffe und Verarbeitungsschritte gilt § 82 Absatz 1. Zudem ist die Zielperson zu protokollieren. Die Übermittlung von personenbezogenen Daten an andere Stellen zur Durchführung der automatisierten Datenanalyse nach Absatz 1 ist unzulässig.
(7) Die Maßnahme nach Absatz 1 ist durch die Präsidentin oder den Präsidenten des Bundeskriminalamtes oder ihrer oder seiner Vertretung oder durch eine Bedienstete oder einen Bediensteten des Bundeskriminalamtes mit Befähigung zum Richteramt anzuordnen.

(3) Das Bundeskriminalamt darf bei ihm vorhandene personenbezogene Daten zur Entwicklung, Überprüfung, Änderung oder zum Trainieren von IT-Produkten einschließlich selbstlernender Systeme weiterverarbeiten, sofern dies zur Erfüllung seiner Aufgaben erforderlich ist, insbesondere weil
1. unveränderte Daten benötigt werden oder
2. eine Anonymisierung oder Pseudonymisierung der Daten nicht oder nur mit unverhältnismäßigem Aufwand möglich ist.
Das Trainieren von IT-Produkten mit personenbezogenen Daten, die aus in § 12 Absatz 3 genannten Maßnahmen erlangt wurden, ist unzulässig. Durch organisatorische und technische Maßnahmen hat das Bundeskriminalamt zu gewährleisten, dass die Daten gegen unbefugte Kenntnisnahme geschützt sind. Das Bundeskriminalamt hat bei der Weiterverarbeitung nach Satz 1 sicherzustellen, dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden.
(4) Unter den Voraussetzungen von Absatz 3 darf das Bundeskriminalamt, sofern dies zur Erfüllung seiner Aufgaben erforderlich ist, bei ihm vorhandene personenbezogene Daten an inländische öffentliche oder nichtöffentliche Stellen, Stellen nach § 26 Absatz 1 Satz 1 Nummer 1 und 2, Absatz 2 sowie Stellen nach § 27 Absatz 1 Satz 1 übermitteln. § 28 bleibt unberührt. Eine Übermittlung von Daten nach § 12 Absatz 3 ist unzulässig. Personenbezogene Daten werden nur an solche Personen übermittelt, die Amtsträger oder für den öffentlichen Dienst besonders Verpflichtete sind oder die zur Geheimhaltung verpflichtet worden sind. § 1 Absatz 2, 3 und 4 Nummer 2 des Verpflichtungsgesetzes ist auf die Verpflichtung zur Geheimhaltung entsprechend anzuwenden. Der Empfänger darf die übermittelten Daten nur zu dem Zweck nach Absatz 3 Satz 1 weiterverarbeiten. Das Bundeskriminalamt hat die empfangene Stelle darauf hinzuweisen. Absatz 3 Satz 3 und 4 gilt entsprechend.

§ 63b
Automatisierter biometrischer Abgleich mit öffentlich verfügbaren Daten aus dem Internet
(1) Das Bundeskriminalamt kann öffentlich zugängliche personenbezogene Daten, die biometrische Merkmale enthalten, aus dem Internet erheben und mit Daten, auf die es zur Erfüllung seiner Aufgaben zugreifen darf, mittels einer automatisierten Anwendung zur Datenverarbeitung biometrisch abgleichen, sofern dies im Einzelfall zum Zweck der Identifizierung, Aufenthaltsermittlung, Erforschung des Sachverhalts oder Ermittlung von Zusammenhängen von Straftaten oder Gefahren erforderlich ist
zur Abwehr einer Gefahr für eine zu schützende Person oder für eine zu schützende Räumlichkeit nach § 6 oder
zum Schutz von Leib, Leben, Freiheit, sexueller Selbstbestimmung oder bedeutenden Sachwerten einer zu schützenden Person oder zum Schutz einer zu schützenden Räumlichkeit nach § 6, wenn Tatsachen den Schluss auf ein wenigstens seiner Art nach konkretisiertes und zeitlich absehbares Geschehen zulassen, an dem bestimmte Personen beteiligt sein werden, oder
zum Schutz von Leib, Leben, Freiheit oder sexueller Selbstbestimmung einer zu schützenden Person oder zum Schutz einer zu schützenden Räumlichkeit nach § 6, wenn das individuelle Verhalten einer Person die konkrete Wahrscheinlichkeit begründet, dass sie in einem übersehbaren Zeitraum eine Straftat gegen eines dieser Rechtsgüter der zu schützenden Person oder gegen eine zu schützende Räumlichkeit begehen wird,
und die Abwehr der Gefahr oder der Schutz des genannten Rechtsguts auf andere Weise aussichtlos oder wesentlich erschwert wäre. Ein Abgleich mit öffentlich zugänglichen Echtzeitdaten ist unzulässig.
(2) Die Maßnahme nach Absatz 1 Satz 1 darf durchgeführt werden
gegen die entsprechend § 18 oder § 19 des Bundespolizeigesetzes Verantwortlichen oder Personen im Sinne von Absatz 1 Satz 1 Nummer 2 oder 3 und
gegen Personen entsprechend § 21 des Bundespolizeigesetzes, sofern überwiegende schutzwürdige Interessen dieser Personen nicht entgegenstehen.
(3) Für die nach Absatz 1 Satz 1 abzugleichenden Daten ist § 12 Absatz 2 anzuwenden. Der Abgleich mit Daten, die die aus in § 12 Absatz 3 genannten Maßnahmen erlangt wurden, ist unzulässig.
(4) Die im Rahmen des biometrischen Abgleichs nach Absatz 1 Satz 1 erhobenen und verarbeiteten Daten sind nach dessen Durchführung unverzüglich zu löschen, sofern sie keinen konkreten Ermittlungsansatz für den Ausgangssachverhalt oder ein anderes Verfahren aufweisen. Durch organisatorische und technische Maßnahmen hat das Bundeskriminalamt zu gewährleisten, dass die Daten gegen unbefugte Kenntnisnahme geschützt sind. Für die Protokollierung der Verarbeitungsschritte gilt § 82 Absatz 1. Zudem ist die Zielperson zu protokollieren.
(5) Das Bundeskriminalamt kann den Abgleich durch eine inländische öffentliche oder nichtöffentliche Stelle oder eine öffentliche oder nichtöffentliche Stelle eines Mitgliedsstaats der Europäischen Union durchführen lassen, hierzu an diese Stelle erforderliche Daten übermitteln und, sofern erforderlich, von § 25 Absatz 6, auch in Verbindung mit § 26, abweichen, wenn
die Voraussetzungen des Absatzes 1 Satz 1 erfüllt sind und
der Abgleich durch das Bundeskriminalamt selbst technisch unmöglich oder nur mit unverhältnismäßig großem Aufwand möglich ist.
(6) Das Bundeskriminalamt kann den Abgleich durch eine öffentliche oder nichtöffentliche Stelle in einem Drittstaat durchführen lassen und hierzu an diese Stelle erforderliche Daten übermitteln, wenn
dies zum Zweck des Schutzes der nationalen Sicherheit erforderlich ist,
die Voraussetzungen des Absatzes 1 Satz 1 sowie vorbehaltlich des Satzes 2 die Voraussetzungen des § 27 Absatz 8 und des § 81 des Bundesdatenschutzgesetzes erfüllt sind und
der Abgleich durch das Bundeskriminalamt selbst oder eine inländische öffentliche oder nichtöffentliche Stelle oder eine öffentliche oder nichtöffentliche Stelle eines Mitgliedsstaats der Europäischen Union technisch unmöglich oder nur mit unverhältnismäßig großem Aufwand möglich ist.
Sofern dies erforderlich ist, darf das Bundeskriminalamt von § 81 Absatz 1 Nummer 3 und Absatz 4 des Bundesdatenschutzgesetzes abweichen.
(7) Die §§ 25 bis 28 bleiben im Übrigen unberührt.
(8) Die Maßnahme nach Absatz 6 darf nur auf Antrag der Präsidentin oder des Präsidenten des Bundeskriminalamtes oder ihrer oder seiner Vertretung durch das Gericht angeordnet werden. Bei Gefahr im Verzug kann die Anordnung durch die Präsidentin oder den Präsidenten des Bundeskriminalamtes oder ihre oder seine Vertretung getroffen werden. In diesem Fall ist die gerichtliche Entscheidung unverzüglich nachzuholen. Soweit die Anordnung nicht binnen drei Tagen durch das Gericht bestätigt wird, tritt sie außer Kraft. Die Präsidentin oder der Präsident des Bundeskriminalamtes kann die Antragsbefugnis nach Satz 1 sowie die Anordnungsbefugnis nach Satz 2 auf Bedienstete des Bundeskriminalamtes mit Befähigung zum Richteramt übertragen.

§ 63c
Automatisierte Datenanalyse
(1) Das Bundeskriminalamt kann Daten, auf die es zur Erfüllung seiner Aufgaben zugreifen darf, nach Maßgabe von § 12 mittels einer automatisierten Anwendung zur Datenverarbeitung zusammenführen und darüber hinaus zum Zwecke der Analyse weiterverarbeiten, sofern dies zur Abwehr einer im Einzelfall bestehenden Gefahr für Leib, Leben oder Freiheit einer nach § 6 zu schützenden Person erforderlich ist. Eine Maßnahme nach Satz 1 ist auch zulässig, sofern
Tatsachen die Annahme rechtfertigen, dass eine Person innerhalb eines übersehbaren Zeitraums auf eine zumindest ihrer Art nach konkretisierte Weise eine Straftat von auch im Einzelfall erheblicher Bedeutung gegen Leib, Leben oder Freiheit einer nach § 6 zu schützenden Person begehen wird, oder
das individuelle Verhalten einer Person die konkrete Wahrscheinlichkeit begründet, dass sie innerhalb eines übersehbaren Zeitraums eine Straftat von auch im Einzelfall erheblicher Bedeutung gegen Leib, Leben oder Freiheit einer nach § 6 zu schützenden Person begehen wird,
und dies zur Verhütung dieser Straftat erforderlich ist. Die nach Sätzen 1 und 2 mittels einer automatisierten Anwendung zur Datenverarbeitung zusammengeführten Daten dürfen ferner für Zwecke der Strafverfolgung gemäß § 4 nach Maßgabe von § 98e der Strafprozessordnung weiterverarbeitet werden.
(2) Die Maßnahme nach Absatz 1 darf durchgeführt werden gegen
die entsprechend § 18 oder § 19 des Bundespolizeigesetzes Verantwortlichen oder Personen im Sinne von Absatz 1 Satz 2 Nummer 1 oder 2 und
Personen entsprechend § 21 des Bundespolizeigesetzes, sofern überwiegende schutzwürdige Interessen dieser Personen nicht entgegenstehen.
(3) Eine direkte Anbindung der Anwendung zur automatisierten Datenanalyse an Register, die nicht in den Anwendungsbereich der Richtlinie (EU) 2016/680 fallen, und an Internetdienste ist unzulässig. Datensätze aus gezielten, auch automatisierten Abfragen in sonstigen staatlichen Registern und im Einzelfall erhobene Datensätze aus Internetquellen können in die Weiterverarbeitung einbezogen werden.
(4) Im Rahmen der Weiterverarbeitung nach Absatz 1 Satz 1 können
datei- und informationssystemübergreifend Beziehungen oder Zusammenhänge zwischen Verfahren, Vorgängen, Personen, Personengruppierungen, Institutionen, Organisationen, Orten, Objekten und Sachen identifiziert und hergestellt, sowohl qualitativ als auch quantitativ klassifiziert, strukturell analysiert und visualisiert werden,
für die Erreichung des Zwecks der Weiterverarbeitung nach Absatz 1 unbedeutende Informationen und Erkenntnisse ausgeschlossen werden,
die eingehenden Erkenntnisse zu bekannten Sachverhalten zugeordnet werden,
Suchkriterien, insbesondere nach Sachnähe, Aktualität und Erheblichkeit der Verknüpfung mit anderen Informationen bezogen auf den Zweck der Weiterverarbeitung nach Absatz 1, gewichtet werden sowie
gespeicherte Daten statistisch ausgewertet werden.
(5) Das Bundeskriminalamt hat bei der Weiterverarbeitung nach Absatz 1 sicherzustellen, dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden. Die § 12 und § 22 Absatz 2 sowie Regelungen zum Schutz des Kernbereichs privater Lebensgestaltung bleiben unberührt. Eine ausschließlich auf der Maßnahme nach Absatz 1 beruhende automatisierte Entscheidungsfindung, die unmittelbar eine nachteilige Rechtsfolge für die betroffene Person hat oder diese erheblich beeinträchtigt, ist unzulässig.
(6) Das Bundeskriminalamt gewährleistet im Rahmen der Regelung der Zugriffsberechtigungen nach § 15, dass das für die Durchführung der Maßnahme nach Absatz 1 eingesetzte Personal besonders geschult wird. Durch organisatorische und technische Maßnahmen hat das Bundeskriminalamt zu gewährleisten, dass die Daten gegen unbefugte Kenntnisnahme geschützt sind. Für die Protokollierung der Zugriffe und Verarbeitungsschritte gilt § 82 Absatz 1. Zudem ist die Zielperson zu protokollieren. Die Übermittlung von personenbezogenen Daten an andere Stellen zur Durchführung der automatisierten Datenanalyse nach Absatz 1 ist unzulässig.
(7) Die Maßnahme nach Absatz 1 ist durch die Präsidentin oder den Präsidenten des Bundeskriminalamtes oder ihrer oder seiner Vertretung oder durch eine Bedienstete oder einen Bediensteten des Bundeskriminalamtes mit Befähigung zum Richteramt anzuordnen.