Mit seinem Urteil vom 16. Februar 2023 hat das Bundesverfassungsgericht polizeirechtliche Regelungen zur automatisierten Datenauswertung im Grundsatz für zulässig erklärt, ihre Anwendung aber strengeren Kriterien unterworfen. Damit wurden zugleich Leitplanken für eine zukünftige, bundesweite Verwendung von Software für das „predictive policing“ geschaffen. Grundsätzliche Fragen bleiben ungeklärt.
Schon seit über zehn Jahren wird in der Bundesrepublik der Einsatz von algorithmenbasierter Analysesoftware in der Polizei erprobt. Diese soll ihre Arbeit im Bereich der Kriminalitätsprävention und der Strafverfolgung unterstützen. Zu unterscheiden sind dabei zwei grundsätzlich unterschiedliche Ansätze: die allgemein unter dem Begriff „predictive policing“ entwickelten Anwendungen, die unter Auswertung von polizeilichen Falldaten und z. T. mit Hinzuziehung von soziodemografischen, sozialstatistischen und georeferenzierten Daten die Eintrittswahrscheinlichkeit von Wohnungseinbruchsdiebstählen (WED) durch professionell vorgehende Täter*innen prognostizieren und zur Steuerung des Ressourceneinsatzes bei der Bestreifung herangezogen werden können. Baden-Württemberg, Bayern, Berlin, Hessen, Niedersachsen, Nordrhein-Westfalen und Sachsen setzten dabei ab 2015 das kommerzielle Produkt PRECOBS vom Institut für musterbasierte Prognosetechnik (IfmPt) oder Eigenentwicklungen ein. Der Betrieb wurde in den meisten Ländern wieder eingestellt, weil ein Erfolg nicht nachweisbar war.[1]
Davon zu unterscheiden sind daten- oder algorithmenbasierte Systeme, die die Polizei bei der Analyse von Daten aus der Vorgangs- und Fallbearbeitung unterstützen sollen, um Zusammenhänge zeitlich und räumlich auseinanderliegender Taten oder mögliche Gefahren erkennen zu können. Einzig Sachsen hatte sich entschieden, durch PRECOBS zugleich potenzielle Tatverdächtige in den Prognosegebieten feststellen zu können – um diese bestenfalls auf frischer Tat zu ertappen. Auch dieser Versuch wurde abgebrochen. Die Polizei Hessen wiederum war 2017 die erste, die mit der Analyseplattform hessenDATA ein spezifisches System angeschafft hat. Mit der auf der Anwendung „Gotham“ von Palantir Technologies basierenden Plattform sollten die verschiedenen polizeilichen „Datentöpfe“ (Fall- und Vorgangsbearbeitungssysteme, Datenbanken) mit Daten aus Überwachungsmaßnahmen, datenforensischen Auswertungen von digitalen Asservaten und mit in sozialen Netzwerken erhobene Daten zusammengeführt und automatisiert ausgewertet werden. Die Polizei selbst gibt an, nur durch diese Analyse die islamistisch motivierten Anschlagsplanungen eines 17-Jährigen rechtzeitig vereitelt zu haben.[2] Sie verweist auch auf die große Masse an zu bewältigenden Erkenntnismitteilungen und -abfragen anderer Polizeibehörden, die durch händische Abfrage in den unterschiedlichen Datentöpfen gar nicht zu bewältigen seien. Mit der Anwendung könnten nicht nur solche Abfragen einfacher und schneller beantwortet werden, sondern zugleich Verknüpfungen zwischen Täter*innen in anderen Ländern und polizeibekannten Personen in Hessen erkannt und daraus Maßnahmen abgeleitet werden. Auch die Auswertung der durch Ermittlungsmaßnahmen beschlagnahmten Daten(träger) sei nur noch mit automatisierten Verfahren möglich.
Beide genannten Ansätze benutzen lediglich vorgegebene Algorithmen, um unmittelbar oder nach vordefinierten statistischen Wahrscheinlichkeiten Verknüpfungen zu suchen oder herzustellen. Von „starker“, im Sinne selbst lernender „Künstlicher Intelligenz“ sind sie weit entfernt.[3]
Das Urteil des Bundesverfassungsgerichts
In Hessen wurde 2018 für die Nutzung von hessenDATA eine eigene Rechtsgrundlage geschaffen, der § 25a des Hessischen Gesetzes über die öffentliche Sicherheit und Ordnung (HSOG). Demnach dürfen die „Polizeibehörden … in begründeten Einzelfällen gespeicherte personenbezogene Daten mittels einer automatisierten Anwendung zur Datenanalyse weiterverarbeiten zur vorbeugenden Bekämpfung von in §100a Abs. 2 der Strafprozessordnung genannten Straftaten“. Dies sind jene Straftaten, die den dort geregelten Einsatz von Telekommunikationsüberwachung rechtfertigen. Nach Angaben der Hessischen Staatsregierung in der Anhörung des Bundesverfassungsgerichts macht die Polizei davon „jährlich tausendfach“ Gebrauch. Folgt man den Ausführungen der Polizeizeug*innen im Parlamentarischen Untersuchungsausschuss des Hessischen Landtags, wird hessenDATA auch schon dann genutzt, wenn andere Polizeibehörden eine Erkenntnisabfrage an das LKA stellen.
Das Bundesverfassungsgericht (BVerfG) kommt in seinem Urteil zu dem Ergebnis, dass die hessische Befugnis zur automatisierten Datenverarbeitung eine Verletzung des Rechts auf informationelle Selbstbestimmung darstellt.[4] Gleiches gilt für die wortgleiche Regelung im Hamburgischen Gesetz über die Datenverarbeitung der Polizei (HmbPolDVG). Das hessische Polizeigesetz darf bis zum 30. September dieses Jahres unter den vom Gericht angeordneten Einschränkungen weiter angewendet werden, dann muss eine verfassungskonforme Neufassung in Kraft treten. Das Hamburger Gesetz wurde für nichtig erklärt, da es ohnehin noch keine Anwendung gefunden hat. Die mit hessenDATA vergleichbare und ebenfalls auf „Gotham“ basierende „Verfahrensübergreifende Recherche und Analyseplattform“ (VeRA) des bayerischen LKA hat hingegen noch gar keine Rechtsgrundlage. Die Staatsregierung hat aber mittlerweile eingeräumt, dass eine Rechtsgrundlage geschaffen werden muss.[5] In Nordrhein-Westfalen wird unter dem Namen „Datenbankübergreifende Recherche und Analyse“ (DAR) ebenfalls „Gotham“ eingesetzt. Nach Kritik der Landesdatenschutzbeauftragten wurde mit Gesetz vom 13. April 2022 eine gesetzliche Grundlage geschaffen,[6], die in ihrer Ausgestaltung weitgehend der hessischen entspricht. Auch hiergegen hat die Gesellschaft für Freiheitsrechte Beschwerde beim Bundesverfassungsgericht erhoben, die derzeit noch anhängig ist. In ihrem Jahresbericht 2021 wies die Datenschutzbeauftragte von NRW darauf hin, dass für die automatisierte Auswertung in DAR Daten aus über zehn polizeilichen Datenbanken vollständig gespiegelt und so ein neuer Datenpool geschaffen werde, angereichert durch Daten aus Überwachungsmaßnahmen, bundesweiten polizeilichen Datenbanken und weiteren Registern.[7]
Rechtsstaatliche Einhegungsversuche
Dass die Rechtsgrundlagen der Auswertung in Hamburg und Hessen in ihren aktuellen Fassungen für verfassungswidrig erklärt wurden, bedeutet aber keinesfalls, dass aus Sicht des Gerichts die Zusammenführung aller möglichen Daten generell unzulässig wäre. Der Zweck, für eine wirksamere vorbeugende Bekämpfung von Straftaten von erheblicher Bedeutung auf neue informationstechnische Möglichkeiten zurückzugreifen, sei legitim und der Einsatz dieser Technik angesichts eines hohen Informationsaufkommens in der heutigen Zeit geeignet und erforderlich, so das Gericht. In Fortschreibung seiner Rechtsprechung der letzten Jahre – verwiesen sei zuletzt auf das Urteil zur projektbezogenen Auswertung von Daten aus der „Antiterror-Datei“ (Beschl. v. 10.11.2020, Az. 1 BvR 3214/15) – stellt das Gericht aber klar, dass eine solche Zusammenführung polizeilich bereits bekannter Daten selbst einen Grundrechtseingriff darstellen kann; denn durch die neu erkannte Verknüpfung zweier Daten – etwa, wenn hierdurch Kennverhältnisse zwischen Personen oder Bewegungsprofile einer Person entdeckt werden – entstehe „grundrechtsrelevantes neues Wissen“ (Rn. 49, auch Rn. 67ff.).
Daher sind, um im engeren Sinne über die Verhältnismäßigkeit dieser polizeilichen Datenanalyse urteilen zu können, die vom BVerfG in seinem Urteil zum Bundeskriminalamtsgesetz (BKAG) von 2016 aufgestellten Grundsätze der zweckändernden Datennutzung zu beachten.[8] Das BVerfG hatte damals zur Frage, wie von der Polizei bereits erhobene Daten verfassungskonform zu nutzen sind, zwischen einer „zweckwahrenden“ und einer „zweckändernden“ Weiternutzung unterschieden: erstere meint die Weiternutzung von Daten durch dieselbe Dienststelle für dieselbe Aufgabe und den Schutz derselben Rechtsgüter. Zu einem bereits im Fokus polizeilicher Ermittlungen stehenden Verdächtigen bei einem Wohnungseinbruchsdiebstahl erhobene Daten können ohne weitere Prüfung weiterverwendet werden, wenn es einen weiteren solchen Fall gibt und die Polizei nach den „üblichen Verdächtigen“ schaut. „Zweckändernd“ ist die Nutzung der Daten durch andere Dienststellen, für eine andere Aufgabe oder zum Schutz anderer Rechtsgüter. Hier fordert das BVerfG in seinem BKAG-Urteil, dass dann zu prüfen ist, ob die bereits einmal mit eingriffsintensiven Maßnahmen – Telekommunikationsüberwachung (TKÜ), Observation, Verdeckte Ermittler*innen – erhobenen personenbezogenen Daten auch in dem neuen Fall hätten erhoben werden dürfen. Dies bezeichnet das Gericht als „hypothetische Datenneuerhebung“ (hyDaNe): vereinfacht gesagt dürfen Erkenntnisse aus einer Telefonüberwachung, die der Aufklärung eines Mordverdachts dienen, nicht verwendet werden, um das ordnungswidrige Parken in einer Einfahrt „aufzuklären“, aber als Spurenansatz zu Ermittlungen wegen bandenmäßigen Handels mit Betäubungsmitteln, weil die jeweilige Erhebungsvorschrift sowohl in Mord- als auch in Drogenhandelsdelikten eine TKÜ erlaubt (Rn. 57). Noch strengere Maßstäbe sind in beiden Konstellationen an solche Daten zu stellen, die aus Wohnraumüberwachungen und Online-Durchsuchungen stammen. Zur Verwendung dieser Daten bei der Gefahrenabwehr hat sich das BVerfG leider nicht geäußert. Es ist zu hoffen, dass es dies bei dem Verfahren zur nordrhein-westfälischen Regelung der automatisierten Datenauswertung nachholt.
Es liegt in der Natur der Sache, dass polizeiliche Datensammlungen auch solche eingriffsintensiv erhobenen Daten neben einfachen Registerauskünften anderer Behörden, etwa das Kfz- oder Melderegister, enthalten. Notwendig ist deshalb eine entsprechende Kennzeichnung über die Herkunft der Daten – die wird derzeit zwar in den polizeilichen Informationssystemen implementiert, muss aktuell aber noch im Einzelfall vorgenommen werden.[9] Grundsätzlich ist es technisch möglich, den „hyDaNe“-Grundsatz auch bei automatisierten Datenauswertungen zu beachten. Dies setzt aber eben die (nachträgliche) Kennzeichnung teils Jahrzehnte alter Datensätze voraus. Das BVerfG fordert dafür „normenklare Regelungen, die die Einhaltung des Grundsatzes der Zweckbindung rechtlich und praktisch sichern“ (Rn. 64). Die technisch mögliche Analyse aller möglichen Daten soll rechtlich eingehegt werden.
Das stellt nicht nur den Gesetzgeber vor immense Herausforderungen, es erhöht auch die Komplexität der eingesetzten Software. Denn diese interessiert sich bislang wenig für rechtliche Rahmenbedingungen, sondern in erster Linie für statistische Werte und wahrscheinliche Relationen. Gerade weil diese Software aber so viel kann – jedenfalls potenziell, vielleicht manches auch erst in der Zukunft – geht das BVerfG davon aus, dass allein der Grundsatz der Zweckbindung für eine rechtliche Einhegung nicht hinreichend sein könnte (Rn. 53ff.). Bislang gehe es bei den polizeilichen Datensystemen nur darum, einmal gewonnene Erkenntnisse als Spuren- und Ermittlungsansätze in anderen Ermittlungsverfahren zu nutzen. Die automatisierte Auswertung und Analyse gehe aber schon deshalb weiter, weil sie große und komplexe Informationsbestände nutzen könne, neue persönlichkeitsrelevante Informationen generiere, die sonst nicht zugänglich wären, bis hin zur Erstellung von Persönlichkeitsprofilen. Damit die polizeiliche Nutzung von Analysesoftware im engeren Sinne verhältnismäßig sein könne, müsse sehr präzise gesetzlich geregelt werden, was sie zu welchem Zweck darf. Das Gericht gibt hierzu verfassungsrechtliche Grundsätze an die Hand, vermeidet aber ganz ausdrücklich, auch in seinem Maßgabebeschluss zur weiteren Verwendung von HessenDATA, klarere gesetzliche Vorgaben vorzuformulieren. Dies dürfte auch damit zu tun haben, dass das Gericht bezüglich der „hyDaNe“ und der Einhegung gefahrenabwehrrechtlicher Befugnisse die Erfahrung machen musste, dass der Gesetzgeber einfach Sätze aus seinen Urteilen in Gesetze kopiert, ohne sich Gedanken um Gesetzessystematik und Handhabbarkeit zu machen.
So skizziert das BVerfG also lediglich die Pole, zwischen denen sich eine gesetzliche Regelung zu bewegen hat. Vereinfacht gesagt: je mehr das System kann, desto höher muss die Schwelle sein, es einzusetzen. Dabei gilt der Grundsatz: je höher der Gesetzgeber das zu schützende Rechtsgut ansetzt, umso geringer kann die Anforderung an die Eintrittswahrscheinlichkeit der Gefahr sein. Diese Figur ist aus der Rechtsprechung des BVerfG zu gefahrenabwehrrechtlichen Befugnissen im Bereich der Terrorismusbekämpfung bekannt. Begrenzt der Gesetzgeber also den Einsatz auf die Abwehr von Gefahren für Leib und Leben oder den Bestand des Staates, kann er den Einsatz schon zulassen, wenn sich der mögliche Schadenseintritt zeitlich und räumlich noch nicht weiter konkretisieren lässt. Weitet er hingegen den Kreis der zu schützenden Rechtsgüter aus, etwa den Schutz einfacher Sachwerte, muss auch die Gefahr noch weiter konkretisiert sein. Umgekehrt könnte auch eine Regelung den formulierten Anforderungen genügen, die zwar nur eine geringe Schwelle für den Einsatz vorsieht, aber dafür die Analysefähigkeit so einschränkt, dass entweder nur geringfügige Einsichten in das Leben der Betroffenen erlangt werden können oder gar keine personenbezogenen Daten generiert werden, sondern nur solche, die etwa die Eintrittswahrscheinlichkeit von Einbrüchen für einzelne Straßenzüge prognostizieren können.
Diesen Anforderungen genügen die angegriffenen Regelungen in Hessen und Hamburg offensichtlich nicht. Sie ließen die „automatisierte Verarbeitung unbegrenzter Datenbestände mittels rechtlich unbegrenzter Methoden“ zu (Rn. 149). So sei es möglich, mit einem Klick Profile von Personen, Gruppen oder Milieus zu erstellen oder zahlreiche unbeteiligte Personen polizeilichen Maßnahmen zu unterziehen. Für die verfassungsrechtliche Bewertung sieht es das Gericht als unerheblich an, dass die eingesetzten Systeme dazu technisch noch nicht in der Lage seien.
Schlussfolgerungen und Konsequenzen
Ergebnis des Urteils wird sicherlich nicht der Verzicht auf den Einsatz von Analysesoftware in der Polizei sein. Hierzu formuliert schon das Gericht viel zu offensiv, dass die Polizei die Flut an vorhandenen Daten ohne gar nicht mehr bewältigen kann. Wo in den 80er Jahren des 20. Jahrhunderts bei einer Hausdurchsuchung noch ein Terminkalender mit kryptischen Namenskürzeln und ein paar Briefe beschlagnahmt wurden, zielen heutige Beschlagnahmen geradezu darauf, in möglichst großer Zahl Datenträger zu beschlagnahmen, auszulesen und mit den gewonnenen Daten aus Adressbüchern und Chatverläufen (echte) soziale Netzwerke zu rekonstruieren („netzwerkbezogener Ansatz“). Wo Staatsanwaltschaften in früheren Zeiten aus verfahrensökonomischen Gründen den Kreis der Beschuldigten möglichst auf jene beschränkt hat, bei denen eine erfolgreiche Aburteilung zu erwarten war, wird der Kreis der Beschuldigten nun so weit wie möglich gezogen, um möglichst massenhaft Daten beschlagnahmen, auswerten und so weitere Beteiligte oder Kontaktpersonen identifizieren zu können. Aktuelles Beispiel ist das Verfahren gegen die „Patriotische Union“ um Heinrich XIII. Prinz Reuß.
Fraglich ist aber, wie die vom BVerfG aufgestellten Leitplanken in verständliche gesetzliche Regelungen gegossen werden können, die schließlich für die Behörden auch praktikabel und effektiv sind. Bereits in seinem Urteil zu den im Antiterror-Dateigesetz (ATDG) regulierten „Projektdateien“ hatte sich das BVerfG mit der Frage des „Data-Mining“ beschäftigt[10]. Mit dem § 6a des ATDG wurde die „erweiterte projektbezogene Datennutzung“ zugelassen, bei der es ebenfalls darum ging, die von den teilnehmenden Behörden (Polizei und Verfassungsschutz) in der AntiterrorDatei gespeicherten Daten nach möglichen, noch nicht bekannten, Querverbindungen zu durchsuchen. Hier mussten allerdings noch gezielte Suchanfragen gestellt werden. Das Gericht hatte damals geurteilt, es reiche nicht aus, dass die Suche nach solchen Verbindungen zwischen Daten oder Datensätzen irgendwie im Einzelfall „erforderlich“ sei, es müsste einen tatsachengestützten Verdacht geben, dem mit der Suchanfrage nachzugehen sei.
Von den im Urteil des BVerfG zu hessenDATA aufgestellten Hürden für die Weiternutzung von Daten in polizeilichen Analysesystemen dürften die oben beschriebenen Systeme zur Kriminalitätsprognose nicht betroffen sein. Ziele die Befugnis zur Nutzung von automatisierten Analysesystem lediglich darauf, gefährliche oder gefährdete Orte zu identifizieren, reiche die Einhaltung des Grundsatzes der Zweckbindung bereits aus. Aber auch hier wird es auf den Umfang der Nutzung ankommen. So soll das System SKALA (System zur Kriminalitätsauswertung und Lageantizipation) in Nordrhein-Westfalen, eine Eigenentwicklung auf Basis des Statistikprogramms SPSS-Modeler von IBM und der Geodatenanwendung AcrisGIS, auf deutlich aufkommensintensivere Deliktsbereiche wie Kfz-Diebstahl und Gewerbeeinbrüche, zukünftig auch Raubdelikte, ausgeweitet werden.[11] Zumindest indirekt wird auch eine solche automatisierte Datenauswertung grundrechtsrelevant, wenn die Polizei aufgrund von Prognosen über vermehrte Straßenraubdelikte in den „gefährlichen Orten“ anlasslose Personenkontrollen noch weiter verschärft und dabei gegen bestimmte soziale Gruppen vorgeht. Die von der Polizei Bayern wiederum beschaffte Anwendung „Verfahrensübergreifende Recherche und Analyse“ (VeRA), ebenfalls basierend auf „Gotham“, kann im Rahmen des Digitalisierungsprogramms „P20“ der deutschen Polizeien dem gesamten Verbund zur Verfügung gestellt werden.
Die Bundesregierung hat sich lange zurückhaltend zu der Frage geäußert, ob sie VeRA für das BKA und die Bundespolizei anschaffen wolle – hierzu solle die Rechtsgrundlage dann geschaffen werden, wenn „die technischen und fachlichen Rahmenbedingungen feststehen“.[12] Das Bundesinnenministerium hat Ende Juni angekündigt, lieber auf eine Eigenentwicklung zu setzen. Die Festlegung der gewünschten Funktionalitäten und die Schaffung einer Rechtsgrundlage dafür kann also ganz nach den Wünschen des BKA erfolgen.