Zum Urteil des Bundesverfassungsgerichts zur automatisierten Datenanalyse und seinen Folgen

Neben den unmittelbaren Folgen für Hamburg und Hessen, deren eigens für das Palantir-System geschaffene Rechtsgrundlagen verfassungswidrig sind, hat das Urteil des Bundesverfassungsgerichts weitreichende Folgen für die polizeiliche IT. Vor allem aber für die Einführung von VeRA, das der neue „Standard“ der Polizeibehörden von Bund und Ländern für die automatisierte Datenanalyse werden sollte. | Lesezeit: Ca. 10 Minuten

Die wesentlichen praktischen Konsequenzen des Urteils für Hessen, Hamburg, Palantir und Befürworter der Palantir-Software

Datenanalyse der Polizei in Hessen ist verfassungswidrig, die Rechtsgrundlage für die (noch nicht eingeführte) Software in Hamburg nichtig

Das Bundesverfassungsgericht hat am 16.2.23 der umfassenden, softwaregestützten Datenanalyse durch Polizeibehörden einen herben Dämpfer verpasst [1]: Die Rechtsgrundlage für das hessische System – HessenData [A] – ist verfassungswidrig und muss bis Ende September 2023 überarbeitet werden. Die Rechtsgrundlage in Hamburg für das noch nicht im Wirkbetrieb eingesetzte Analysesystem ist gleich ganz nichtig.

Das ist auch ein Rückschlag für die Anhänger des Datenanalysesystems und dessen Hersteller: Es stammt von der US-Firma Palantir; einem Unternehmen, das aufgrund der engen Zusammenarbeit mit US-Geheimdiensten, Sicherheitsbehörden und dem Militär groß geworden ist. Und in den letzten Jahren – seit einem Börsengang im Jahr 2020 – sein wirtschaftliches Glück auch zunehmend außerhalb der Vereinigten Staaten sucht.

Die Vertriebsbemühungen der deutschen Palantir Technologies GmbH, fielen hierzulande auf fruchtbaren Boden: Einerseits, weil Deutschland wegen seiner – zurückhaltend formuliert – unterentwickelten polizeilichen Informationstechnik ein Entwicklungsland ist. Und andererseits, weil in den Innenministerien technisch inkompetente, aber umso leichter zu beeindruckende Entscheider das Sagen haben. Die offenbar annehmen, mit der Entscheidung für eine Software aus dem Silicon Valley die Abkürzung aus der IT-Steinzeit in die güldene Zukunft nehmen und damit Jahrzehnte voller Fehlentscheidungen ungeschehen machen zu können. Bei letzteren, also Fehlentscheidungen, waren ausgerechnet Hessen und Hamburg zuverlässig seit der Jahrtausendwende an der Spitze, wie auf diesem Portal nachzulesen ist [F].

Welche Folgen hat das Urteil über Hessen und Hamburg hinaus?Die Folgen für das Palantir-System DAR in Nordrhein-Westfalen

Auch Nordrhein-Westfalen wollte unbedingt sein Palantir-System haben und hat das „DAR“ aufgesetzt, das Verfahren zur datenbankübergreifenden Analyse und Recherche, das dort seit 2019 eingeführt wurde [B]. Bezüglich des Einsatzes von DAR ist eine ganz ähnliche Verfassungsbeschwerde anhängig, von der erwartet werden kann, dass sie mit ähnlichem Tenor entschieden wird.

Die Folgen für das als bundesweiter „Standard“ konzipierte System VeRA

Der Dritte im Bunde der Palantir-Verwender ist – jedenfalls so weit derzeit offiziell bekannt – das Bayerische Landeskriminalamt. Dort hat man seit 2020 ein langwieriges Beschaffungsverfahren für VeRA durchgeführt [C]. VeRA steht für verfahrensübergreifende Recherche und Analyse, also eine weitere Worthülse für das Palantir-System, das der Hersteller selbst Gotham nennt. Ein drittes Mal errang auch bei diesem Beschaffungsverfahren Palantir den ersten Platz. Das mag daran gelegen haben, dass die Ausschreibung verdächtig ergebnisfokussiert war, wie Insider mutmaßten. Sicher hat aber auch geholfen, dass die Palantir Technologies GmbH ein sehr großes und personell bestens bestücktes Office in der Münchener Innenstadt aufbaute, keine drei Kilometer vom BayLKA entfernt, und damit in kürzester Zeit für den bayerischen Kunden jeden Wunsch umsetzen konnte.

Das Projekt VeRA ähnelt allerdings einem trojanischen Pferd: Denn hier hat nicht nur das Bayerische Landeskriminalamt für die Polizei in Bayern beschafft, sondern Bayern hat sich für ein System entschieden, in Folge dessen ein Rahmenvertrag mit Palantir abgeschlossen wurde, dem sämtliche Polizeibehörden des Bundes und der Länder beitreten können. Die bayerische Entscheidung für Palantir ist also eine Art verdeckter Festlegung auf das Palantir-System als „Standard“ für die künftige Datenanalysesoftware in der deutschen Polizei. Nun gut, mag man einwenden, gegen ein einheitliches System für alle ist ja nicht viel zu sagen. Wenn damit das Teilen von Informationen zwischen den Behörden besser klappt als in der Vergangenheit.

Was sagt das Verfassungsgericht zum praktischen Einsatz der Palantir-Software

Hier kommt nun wieder das Urteil des Bundesverfassungsgerichts ins Spiel: Denn das Gericht hat nicht nur die trockenen juristischen Formulierungen geprüft (und verworfen), die in Hessen und Hamburg eigens VOR dem schon beschlossenen Einsatz des Palantir-Systems in die Polizeigesetze eingeflochten worden waren.

Nein, im heutigen Urteil findet sich auch der Beleg dafür, dass sich das Gericht ausführlich mit dem Betrieb und der Nutzung des Palantir-Systems beschäftigt hat, das ja schon seit mehreren Jahren in Hessen im Wirkbetrieb ist und von dem aktuell, wie das Verfassungsgericht formulierte, „hessenData tausendfach jährlich Gebrauch macht“. Hilfreich waren wohl insbesondere Aussagen von Polizeivertretern in der mündlichen Verhandlung vor Gericht im Dezember 2022.

Was sagt das Verfassungsgericht (nicht) zur polizeilichen Nutzung von Informationen aus den sozialen Medien?

Polizeimitarbeiter aus Hessen haben in der mündlichen Verhandlung argumentiert [1b, Rn 52], dass Polizeibehörden insbesondere in den Bereichen terroristischer und extremistischer Gewalt sowie der organisierten und schweren Kriminalität zunehmend digitale Medien und Kommunikationsmittel nutzen (sic!): Das ist eine höchstrichterliche Bestätigung einer Vermutung, die wir schon seit langem hegten. Leider ergibt sich weder Kritik des Gerichts am Sachverhalt, dass Polizei soziale Medien zur Generierung neuen Wissens durchsiebt. Auch wird nicht die Frage gestellt, welche Belastbarkeit eigentlich eine Information über einen hier fiktiven Thomas Müller hat, die in einem Tweet, oder Chat oder sonst wo bei Twitter, Facebook, Whatsapp oder Instagram auftaucht. Ganz abgesehen von der Frage, welcher der tausenden von Thomas Müllers im konkreten Fall eigentlich gemeint ist.

Wie soll man in einer Polizeidatenbank oder in sozialen Medien den einen Thomas Müller vom anderen unterscheiden??

Hier stoßen wir auf ein Problem der Praxis, das auch in diesem Gerichtsverfahren offenbar nicht erkannt wurde. Wie werden Menschen in Polizeidatenbanken oder sozialen Medien identifiziert? Als Stellvertreter für den einzelnen existiert ein, wie auch immer umfassendes Set von Daten, das verknüpft ist mit dem Namen einer Person. Dummerweise können solche Namen mehrfach vorkommen, wie das Beispiel des Namens „Thomas Müller“ vor Augen führt. Zweitens können Namen schlicht falsch sein, weshalb die Polizei von Anfang an auch mit „anderen Namen“, z.B. in den INPOL-Systemen operiert. Und drittens gibt es zigtausende von Personen-Datensätzen in den Polizeidatenbanken, in denen die Namen schlicht falsch geschrieben sind. Das fängt an mit den Schmidts/Schmitts… und Meiers/Mayers usw. bei Deutschen an und endet bei den Varianten von Amad, Ahmad, Amed und Ahmed u.a. bei Nicht-Deutschstämmigen. An jedem solcher Datensets hängen weitere personenbezogene Informationen. Doch was kommt eigentlich an „Wissen“ heraus, das ja angeblich bei der Datenanalyse generiert wird, wenn Datensets aufgrund von falschen oder falsch geschriebenen oder mehrfach vorkommenden Namen miteinander verknüpft werden, obwohl sie sich gar nicht auf die „eigentlich gemeinte“ Zielperson beziehen?! Richtig, Sie ahnten es: Garbage – Datenmüll! Der aber für den Betroffenen sehr unangenehm werden kann, wenn er aufgrund solcher „Verwechslungen“, wie die Polizei solche systemischen Fehler hinterher gerne nennt, dann unangenehmste Folgen erleidet – oder gar ums Leben kommt, wie das auf diesem Portal gut dokumentierte Schicksal des jungen Syrers Amad A. belegt.

Automatisierte Datenanalyse soll bisher nicht vorhandene Brücken herstellen zwischen inkompatiblen Polizeisystemen

Als weiteres Argument aus der Praxis von hessenData wurde genannt, dass die in den polizeilichen Datenbeständen enthaltenen Informationen unter Zeitdruck kaum manuell gewonnen werden können, weshalb eine automatisierte Datenanalyse von großer Bedeutung sei für erfolgreiches polizeiliches Handeln. Die Formulierung verschleiert jedoch die tatsächliche Absicht:

Um welche „polizeilichen Datenbestände“ geht es?

Wenn da von „polizeilichen Datenbeständen“ die Rede ist, betrifft das die Polizeidatenbanken, wie INPOL-Zentral beim BKA, die INPOL-Teilnehmersysteme bei allen Bundes- und Landespolizeibehörden, INPOL-Fall und b-CASE (das ist das Fallbearbeitungssystem von BKA und Bundespolizei) und die Vorgangs- und Fallbearbeitungssysteme, von denen jede Polizeibehörde ihr eigenes betreibt. Insgesamt weit mehr als sechzig verschiedene Systemen mit Datenbanken von weitgehend unterschiedlicher Struktur.

Warum gibt es mehr als sechzig unterschiedliche polizeiliche Informationssysteme?

Dass man – „datenbankbergreifend“, wie es in NRW heißt – oder „verfahrensübergreifend“, wie in der VeRA-Ausschreibung, mit einer manuellen Recherche keine Chance hat, ist Tatsache. Jedoch verursacht durch einen Wildwuchs an Systemen, der in den letzten zwanzig Jahren entstanden ist und den das Bundesinnenministerium, das Bundeskriminalamt und die Polizeien der Länder gemeinsam zu vertreten haben.

Das Palantir-System VeRA soll die „Einmalabfrage“ über Systemgrenzen hinweg ermöglichen

Die dadurch entstandene aktuelle Situation soll jetzt geheilt werden dadurch, dass mit VeRA alle Polizeibehörden ein Palantir-System erhalten, mit dem sie sowohl in „polizeilichen Datenbeständen“ als auch in den sozialen Medien mal neugierig stöbern können, was denn so zu finden ist über eine Person. Denn das ist es, was grundsätzlich mit dem System möglich ist, weil rechtliche Einschränkungen aktuell noch fehlen (, wie das Urteil ja belegt) und praktische Einschränkungen nicht realisiert sind, wie unten noch ausgeführt wird.

Die rechtlichen Belange von Millionen von Betroffenen werden jedoch nicht berücksichtigt

Auch dieses Ansinnen des „One-Stop-Shopping“ bzw. – im Polizeideutsch – der „Einmalabfrage“ ist ja grundsätzlich bedenkenswert.
WENN dabei auch die Belange der Betroffenen berücksichtigt würden, also der Millionen von Menschen, über die in der Gesamtheit all dieser Systeme personenbezogene Informationen gespeichert sind, was bisher leider nicht der Fall ist.

Von der „Rolle“ der Person im polizeilichen Kontext ist im Urteil keine Rede

Um deren Belange angemessen zu berücksichtigen, wäre – erstens – an die jeweilige „Rolle“ der Person im polizeilichen Kontext zu denken. Denn es macht sicher einen Unterschied, ob man sich für einen fiktiven Thomas Müller als Verdächtigen einer Straftat interessiert, für eine der Personen mit diesem Namen, über die erkennungsdienstliche Daten in INPOL vorhanden sind. Oder ob bzw. welcher Thomas Müller in den sozialen Medien genannt ist. Die Berücksichtigung der „Rolle“ der Person würde es erfordern, dass eine solche Rolle auch als Kennzeichen im Informationsbestand und richtigen Kontext erhoben und gespeichert wurde. Das wird zwar in §14 (Abs. 1, Ziff. 2) des BKA-Gesetzes ausdrücklich gefordert, trifft aber schon für die polizeilichen Datenbestände nicht zu und erst recht nicht für die Informationen in den sozialen Medien.

Das Bundesverfassungsgericht fordert (erneut) nachdrücklich die Beachtung des Grundsatzes der Zweckbindung

Nach dem im Datenschutzrecht niedergelegten Grundsatz der Zweckbindung dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben, verarbeitet und genutzt werden. Die Zwecke müssen zuvor festgelegt sein und dürfen nicht nachträglich verändert werden. Damit sollte – hier vereinfacht gesagt – erreicht werden, dass personenbezogene Informationen später nur zu dem Zweck genutzt werden, zu dem sie ursprünglich erhoben und gespeichert wurden. Das Urteil des gleichen Senats des Bundesverfassungsgerichts zum Bundeskriminalamtsgesetz vom April 2016 [3] hatte dieses Konzept für die Polizei bekräftigt, das heutige Urteil hat die unverändert hohe Bedeutung der Zweckbindung erneut unterstrichen.

Zweckbindung erfordert die Kennzeichnung jedes einzelnen personenbezogenen Datums

Um vor einer späteren Nutzung den Zweck bei der Erhebung nd Speicherung prüfen zu können, muss dieser Zweck an das betreffende personenbezogene Datum „gebunden“ werden. Dies geschieht durch eine entsprechende Kennzeichnung [D]. Man kann sich eine solche Kennzeichnung wie ein Etikett vorstellen, das dem personenbezogenen Datum bei der Erhebung und Speicherung mitgegeben wird. Ein solcher Zweck liegt z.B. in der Strafverfolgung, also die Information wurde erhoben und gespeichert im Zuge einer strafrechtlichen Ermittlung. Oder in der Abwehr von Gefahren für die Öffentliche Sicherheit und Ordnung. Gekennzeichnet werden müssen aber auch solche personenbezogenen Daten, die z.B. aus einer TK- oder Wohnraumüberwachung gewonnen wurden, weil sie nur eingeschränkt weiterverwendet werden dürfen.

Über den schäbigen Umgang mit dem Gebot der Kennzeichnung in polizeilichen Informationssystemen

Dass solche Kennzeichnungen in den sozialen Medien nicht vorhanden sind, versteht jeder. Sie sollten allerdings vorhanden sein in den polizeilichen Datenbeständen. Das hat das Bundesverfassungsgericht in seinem wegweisenden Urteil zum BKA-Gesetz aus dem Jahr 2016 gefordert [3]. Daraufhin wurde das damals geltende BKA-Gesetz (von 2008) reformiert und die Große Koalition aus CDU/CSU und SPD hat ins neue BKA-Gesetz von 2018 scheinbar „gehorsam“ in §12 das Gebot der Zweckbindung ins Gesetz hineingeschrieben und in §14 das der Kennzeichnung.

Der schäbige Trick mit der zeitlich unbefristeten Übergangsregelung – ein Freifahrtschein für die Polizei

Das hörte sich gut an und steht bis heute so im Gesetz. Allerdings wurden dann wohl doch noch Fachleute aus der Praxis gefragt: Die erklärt haben, dass alle oben genannten polizeilichen Informationssysteme weit davon entfernt sind, solche Kennzeichnungen erfüllen zu können. Dumme Sache!
Doch in letzter Minute, am Tag der dritten Lesung des BKA-Gesetzes, verfiel man auf eine ebenso trickreiche, wie schäbige Notlösung: Es wurde nämlich ein §91 ins BKA-Gesetz aufgenommen, der reichlich verklausuliert besagt, dass die bestehenden Informationssysteme (alle oben genannten gehörten damals und auch heute noch dazu!) nicht kennzeichnen müssen, wenn sie’s denn nicht können. So einfach ist das! Und dabei ist es seit dem Inkrafttreten des neuen BKA-Gesetzes am 28.5.2018 auch geblieben. Vorne im Gesetz wird also der Schein gewahrt und so getan, als habe der brave Gesetzgeber den Willen des Verfassungsgerichts umgesetzt; während nach dem Freifahrtschein in §91 BKAG tatsächlich niemand veranlasst ist, sich ernsthaft Gedanken um die Realisierung der Kennzeichnung zu machen. Ich habe seitdem mehrfach bei der Pressestelle des Bundesinnenministerium nachgefragt und jedes Mal zu hören bekommen, dass diese Regelung auf unbestimmte Zeit aufgenommen wurde und nach wie vor Gültigkeit hat. Und an INPOL, dem größten Datensilo der Polizei von Bund und Ländern mit rund sechs Millionen Personen-Datensätzen werde man – im Hinblick auf zukünftige Entwicklungen – sicher kein Geld für Verbesserungen mehr verschwenden.

Im Beck’schen Kurzkommentar „Sicherheitsrecht des Bundes“ heißt es zu §91 BKAG:

Dieser Trickserei des Gesetzgebers haben das Bundeskriminalamt und die deutsche Polizei als Nutznießer die Verleihung des „Big Brother Awards“ 2022 in der Rubrik Behörden zu verdanken [E].

Was weiß der heutige Präsident des Bundesverfassungsgerichts und Vorsitzende des Ersten Senats von dieser Trickserei?

Das heutige Urteil in Sachen Automatisierte Datenanalyse wurde von Stephan Harbarth verkündet, dem aktuellen Präsident des Bundesverfassungsgerichts und Vorsitzenden des Ersten Senats. Harbarth, war zur Zeit der Neufassung des BKA-Gesetzes, also 2017, stellvertretender Vorsitzender der CDU/CSU-Bundestagsfraktion für die Bereiche Innen, Recht und Verbraucherschutz und wurde in diesem Amt im Jahr 2018 zweimal bestätigt. Es fällt schwer anzunehmen, dass ihm dank dieser damaligen Tätigkeit heute nicht bekannt sein sollte, dass die Kennzeichnung verbaliter zwar im BKA-Gesetz steht, aber dank der Mitwirkung seiner Fraktion und des Koalitionspartners SPD seinerzeit durch die Übergangsregelung in §91 faktisch ausgehebelt wurde.

Doch was hat die nicht erfolgende Kennzeichnung mit dem heutigen Urteil des Bundesverfassungsgerichts zu tun?!

Nun, das heutige Urteil verlangt, dass eine Weiternutzung von einmal von der Polizei erhobenen personenbezogenen Informationen durch ein solches Datenanalysesystem sich nach den Vorgaben zu richten hat, die bereits für die Datenerhebung maßgeblich waren. Das heißt also: Bei der Datenanalyse mit DAR oder hessenDATA oder VeRA müsste jede einzelne personenbezogene Information so gekennzeichnet sein, wie im oben zitierten §14 des BKA-Gesetzes vorgeschrieben. Das gilt zumindest theoretisch! Denn praktisch werden ja die zu analysierenden Daten aus den „polizeilichen Datenbeständen“ aufgrund der Übergangsregelung in §91 gar nicht gekennzeichnet. Im Urteil heißt es dazu: „Praktisch findet hier nach übereinstimmenden Aussagen in der mündlichen Verhandlung derzeit keine Kennzeichnung statt.“ [1b, Rn 139, sowie sinngemäß weiter so in Rn 142 und 144]

Daraus folgt rein logisch:

• Das Bundesverfassungsgericht verlangt als Voraussetzung für die automatisierte Datenanalyse die Einhaltung des Grundsatzes der Zweckbindung.
• Der erfordert praktisch eine Kennzeichnung der personenbezogenen Informationen, wie in §14 BKA-Gesetz vorgegeben.
• Eine solche Kennzeichnung erfolgt jedoch nicht, wie sich aus §91 BKA-Gesetz und den soeben oben zitierten Ausführungen im Urteil ergibt.

Demzufolge ist die vom Gericht verlangte Voraussetzung für jede Form von automatisierter Datenanalyse in der Polizei nicht gegeben und eine solche Datenanalyse für nicht gekennzeichnete personenbezogene Informationen aus den polizeilichen Datenbeständen verfassungsrechtlich nicht zulässig.
Quo Vadis, VeRA??

Quellen

[1a]   Regelungen in Hessen und Hamburg zur automatisierten Datenanalyse für die vorbeugende Bekämpfung von Straftaten sind verfassungswidrig Pressemitteilung des Bundesverfassungsgerichts vom 16.2.2023

[1b]   Urteil des Ersten Senats vom 16. Februar 2023 Automatisierte Datenanalyse – 1 BvR 1547/19 – und – 1 BvR 2634/20 –

[2]   Bundesverfassungsgericht schränkt Nutzung von Palantir-Software ein, Handelsblatt, 16.02.2023
https://www.handelsblatt.com/politik/deutschland/verbrechensbekaempfung-bundesverfassungsgericht-schraenkt-nutzung-von-palantir-software-ein/28984322.html

[3]   Urteil des Ersten Senats (zum BKA-Gesetz von 2008) vom 20. April 2016 – 1 BvR 966/09 – und – 1 BvR 1140/09 –

Dossiers und einzelne Beiträge zu verwandten Themen

[A]   Das Dossier zu HessenData und Palantir

[B]   Das Dossier zum DAR, der datenbankübergreifenden Analyse und Recherche in Nordrhein-Westfalen

[C]   Das Dossier zu VeRA, der verfahrensübergreifende Recherche und Analyse

[D]   Kennzeichnungspflichten im BKA-Gesetz – unbefristet ausgesetzt

[E]   Big-Brother-Award 2022: Datenschutz-Negativpreis für Polizei und BKA

[F]   Das IPCC-Dossier über das Inpol-Polas-Competence-Center

[G]   Hessendata and its Impact on Personal Data Protection and Privacy

Copyright und Nutzungsrechte

(C)2023 CIVES Redaktionsbüro GmbH
Sämtliche Urheber- und Nutzungsrechte an diesem Artikel liegen bei der CIVES Redaktionsbüro GmbH bzw. bei dem bzw. den namentlich benannten Autor(en). Links von anderen Seiten auf diesen Artikel, sowie die Übernahme des Titels und eines kurzen Textanreißers auf andere Seiten sind zulässig, unter der Voraussetzung der korrekten Angabe der Quelle und des/der Namen des bzw. der Autoren. Eine vollständige Übernahme dieses Artikels auf andere Seiten bzw. in andere Publikationen, sowie jegliche Bearbeitung und Veröffentlichung des so bearbeiteten Textes ohne unsere vorherige schriftliche Zustimmung ist dagegen ausdrücklich untersagt.