Die Polizei Nordrhein-Westfalen hat an die umstrittene US-Firma Palantir 14 Mio Euro für die „Analyse- und Rechercheplattform“ DAR bezahlt. Nach der Bewertung der NRW-Landesbehörde für Datenschutz und Informationssicherheit „existiert keine Rechtsgrundlage für den Einsatz der DAR-Software. Der Einsatz mit Echtdaten ist rechtswidrig.“ Das gleiche System soll aktuell bundesweit beschafft werden …
Lesedauer: Ca. 8 Minuten
Rechtsgrundlage für die Mitsprache der Landesbehörde für Datenschutz
In Nordrhein-Westfalen gilt, wie in allen anderen Bundesländern und auf Bundesebene, seit 2018 ein Datenschutzgesetz (DSG-NRW), das auf die aktuelle EU-weit geltende Datenschutz-Grundverordnung [1] abgestimmt ist. Gestaltungsspielraum eines einzelnen Landes über dieses Gesetz existiert nur in engen Grenzen
Der/die Landesbeauftragte für Datenschutz in NRW
Im DSG-NRW ist daher auch die Existenz eines/r Landesbeauftragten für Datenschutz und Informationsfreiheit vorgesehen, einer „von der Landesregierung unabhängigen Landesbehörde“. Der/die Landesbeauftragte wird für die Dauer von acht Jahren auf Vorschlag der Landesregierung in das Amt gewählt. Das geschah letztmals 2015, als die damals SPD-geführte Landesregierung die renommierte Verwaltungsjuristin Helga Block vorschlug, die vom Landtag auch gewählt wurde. Frau Block hatte seit 1988 im NRW-Innenministerium gearbeitet, war seit 2001 dort u.a. für Verfassungsrecht und Datenschutz zuständig und auch Landeswahlleiterin für NRW.
Im Jahr 2020 ging Frau Block in den Ruhestand. Ein/e Nachfolger*in für das Amt des Landesdatenschutzbeauftragten wurde seither von der Landesregierung nicht vorgeschlagen. Eine entsprechende Anfrage von POLICE-IT bei der Staatskanzlei nach den Gründen dafür blieb bisher unbeantwortet. Die Geschäftsführung der Behörde (LDI – Landesbehörde für Datenschutz und Informationssicherheit) wird aktuell vom früheren Stellvertreter der Landesbeauftragten wahrgenommen.
Aufgaben und Befugnisse beim Einsatz von polizeilichen Informationssystemen
Frühzeitige Unterrichtung
Der/die Landesdatenschutzbeauftragte muss „frühzeitig“ über Planungen zur Entwicklung und zum Aufbau polizeilicher Informationssysteme unterrichtet werden, in denen personenbezogene Daten verarbeitet werden sollen (§27, Abs. 5 DSG-NRW). Diese Vorgabe nahm man im LKA NRW allerdings nicht sonderlich wörtlich: Denn der Zuschlag an die Firma Palantir Technologies GmbH wurde am 23.12.2019 erteilt, erst 3 Wochen später, am 13.01.2020 informierte man die Landesbeauftragte von der erfolgten Beschaffung des Projekts DAR und stellte sie damit vor vollendete Tatsachen.
Keine Konsultation des Landesbeauftragten, trotz gesetzlicher Vorgabe
In diesem schlechten Stil der Kooperation ging es weiter: Nach §57 DSG-NRW hat der Verantwortliche, in diesem Fall das Landeskriminalamt NRW, die Landesbeauftragte zu konsultieren, wenn aus einer vom Verantwortlichen zu erstellenden Datenschutz-Folgenabschätzung hervorgeht, dass „die Verarbeitung ein hohes Risiko für die Rechtsgüter der betroffenen Personen zur Folge hat“. Was zweifelsohne der Fall ist, wie unten noch ausführlich begründet wird.
Dazu teilte uns das LDI am 15.04.2021 auf Anfrage mit: „Die LDI NRW schätzt das Risiko auf Grundlage unseres bisherigen Kenntnisstands als durchaus hoch ein. Ausweislich der Vorlage 17/4988 des Ministeriums des Innern NRW (IM NRW) an den Landtag NRW vom 13. April 2021 ist das IM NRW jedoch der Ansicht, dass seitens der LDI NRW ein Missverständnis hinsichtlich der Funktionsweise des DAR-Systems vorliegt.“
Das angebliche Missverständnis ist eine Schutzbehauptung …
Zu diesem angeblichen Missverständnis sagt das Innenministerium: Für die Annahme eines Missverständnisses durch die Landesbehörde spricht, „dass die LDI NRW zu einem Ergebnis kommt, das auf einem Verständnis der Funktionsweise der Software fußt, die von den vorhandenen Funktionalitäten abweicht. Wesentliche von der LDI NRW der Software zugerechnete Möglichkeiten lässt die eingekaufte Version nicht zu.“
… denn die Annahme der LDI entspricht der Auftragsbeschreibung bei Beschaffung
Das würde allerdings bedeuten, dass das Innenministerium für 14 Millionen Euro ein System bei Palantir gekauft hat, das den wesentlichen Anforderungen des Beschaffungsprojekts nicht auch nur ansatzweise genügt. Denn in der veröffentlichten Auftrags-Kurzbeschreibung der Auftragsbekanntmachung vom 13.01.2021 über diese Beschaffung heißt es :
Warum der Einsatz von Palantir-Gotham im Projekt DAR ein hohes Risiko für jeden Betroffenen darstellt
Das von der LDI angemerkte Risiko ist beim Einsatz von Palantir Gotham zweifelsohne gegeben, insbesondere aus diesen zwei Gründen:
1. Zusammenführung von Daten aus unterschiedlichen Quellen auf einer Plattform
Das System kann – und soll ja ausdrücklich laut Auftragsbeschreibung – auf einer Plattform Informationen aus unterschiedlichen Quellen zusammenführen:
- Sowohl aus Polizeidatenbanken, zu denen zu zählen sind: Das Vorgangsbearbeitungssystem, das, bzw. die Fallbearbeitungssysteme, das INPOL-Land- oder INPOL-Zentral-System, das System zur Auswertung von überwachten TK-Anschlüssen usw.,
- als auch aus anderen öffentlichen Registern, wie beispielsweise dem Einwohnermelderegister, dem Ausländerzentralregister, dem zentralen Fahrzeug- und Führerscheinregister, dem Waffenregister u.a.
- und aus anderen „öffentlichen Quellen“ im Internet und insbesondere den sozialen Medien.
2. Zweckbindung und Kennzeichnungspflicht wird von den Quellsystemen nicht (ausreichend) beachtet
Die Verpflichtung zur Zweckbindung, der entsprechenden Kennzeichnung von personenbezogenen Daten in polizeilichen Informationssystemen, wird dort, wie auch in den anderen Informationsquellen gar nicht oder nur unzureichend beachtet:
„Nach ständiger Rechtsprechung des Bundesverfassungsgerichts dürfen personenbezogene Daten grundsätzlich nur zu dem Zweck verarbeitet werden, zu dem sie ursprünglich erhoben worden sind. …“. An diesen Grundsatz erinnerte der Bundesdatenschutzbeauftragte Prof. Kelber, erst am 6.4.2021 in einem eigenen Positionspapier [2].
Die derzeit eingesetzten polizeilichen Informationssysteme sind jedoch – weitgehend aus technischen Gründen – gar nicht in der Lage, den Zweck der Erhebung, Speicherung und Verarbeitung im Bezug auf das einzelne personenbezogene Datum zu kennzeichnen und bei der weiteren Nutzung abzuprüfen:
Das gilt für sämtliche in Frage stehende IT-Systeme der Polizei NRW
- für das Vorgangsbearbeitungssystem ViVA,
- das ebenfalls in ViVA integrierte INPOL-Teilnehmersystem für NRW,
- die Fallbearbeitungssysteme CASE (=Variante von RS-Case) bzw. FINDUS,
- sowie für das Zentralsystem des Verbundsystems aller deutschen Polizeibehörden, INPOL-Zentral,
- und für das noch im Auf- bzw. Ausbau befindliche Zentralsystem für den Polizeilichen Informations- und Analyseverbund PIAV,
obwohl für alle diese System die entsprechende gesetzliche Kennzeichnungspflicht gilt.
Für Informationen aus anderen öffentlichen Registern existieren solche Kennzeichnungsregeln für die Zweckbindung gar nicht, und erst recht nicht für Informationen aus dem Internet und sozialen Medien. Die darüber hinaus den Nachteil haben, dass sie wahr sein können oder eben „fake news“.
Ob das Palantir-System Gotham, das für das Projekt DAR in NRW beschafft wurde, die Zweckbindung und Kennzeichnung in der gesetzlich geforderten Detailtiefe für personenbezogene Daten beachten kann, ist bisher nicht erwiesen. Eindeutige Aussagen des Herstellers dazu sind nicht bekannt.
Was also – zusammenfassend – die Frage aufwirft: Wie sollte eine Plattform DAR/Palantir die gesetzliche Zweckbindungs- und Kennzeichnungspflicht einhalten können, wenn die anliefernden Datenquellen gar nicht in der Lage sind, diese zur Verfügung zu stelllen??
Wie will das Innenministerium diesen fundamentalen Fehler bei der Konzeption von polizeilichen Informationssysteme in wenigen Tagen aus der Welt schaffen?
Das Innenministerium hat in seiner Vorlage vom 13.4.2021 angekündigt, dem LDI bis zum 7.5.2021 eine ausführliche Stellungnahme zukommen zu lassen mit einer Verdeutlichung, „dass diese Anwendung [=DAR/Palantir] den geltenden datenschutzrechtlichen Anforderungen genügt.“
Wir sind gespannt darauf, wie das Ministerium in drei Wochen die Kennzeichnungspflicht und Einhaltung der Zweckbindungsregel für alle seine polizeilichen Informationssysteme sicherstellen und ggf. nachweisen will, die diese gesetzlichen Anforderungen bisher nicht einhalten. Und werden den weiteren Diskurs daher mit großem Interesse weiter verfolgen.
3. Data-Mining „auf Verdacht“ auf der Grundlage von zusammengeführten Informationen aus diversen Quellen ist unzulässig
Das Bundesverfassungsgericht hat sich in seinem jüngsten Urteil (zur Antiterrordatei) auch zum Data Mining in polizeilichen Informationssystemen geäußert. Mit dem Tenor, dass angesichts der Eingriffsintensität eine wenigstens hinreichend konkretisierte Gefahr vorliegen müsse, um entsprechende Grundrechtseingriffe zu rechtfertigen. Und dass der Gesetzgeber als Eingriffsschwelle festzulegen [habe], dass bestimmte, den Verdacht begründende Tatsachen [gegen die betroffene Person] vorliegen müssen [3].
Das schiebt einer Google-ähnlichen Suchmaschine für die Polizei über immer mehr Bürger dieses Landes deutlich einen Riegel vor.
Die aktuelle Bewertung der Landesbehörde über das Projekt DAR
Nicht vorenthalten möchten wir Ihnen in Gänze die vorläufige datenschutzrechtliche Einschätzung für das System DAR des LDI vom 15.04.2021:
- Die DAR-Software ermöglicht die umfassende Zusammenführung und Analyse von Daten unterschiedlicher Quellen zwecks Generierung neuer Erkenntnisse.
- Hierbei handelt es sich um sogenanntes Data-Mining.
- Unabhängig von der Aussage zu 2. stellt die DAR-Software einen Eingriff von erheblichem Gewicht in das Grundrecht auf informationelle Selbstbestimmung der betroffenen Personen dar.
- Derartige Eingriffe können nicht auf gesetzliche Generalklauseln gestützt werden, sondern erfordern eine bereichsspezifische Rechtsgrundlage, die den Eingriff hinreichend bestimmt und normenklar regelt.
- Zur Sicherstellung der Verhältnismäßigkeit muss eine solche Rechtsgrundlage dem Eingriff entsprechende Eingriffsschwellen und hinreichende Anforderungen an den Rechtsgüterschutz enthalten.
- Die von der Landesregierung gegenüber der LDI NRW bisher genannten Rechtsgrundlagen, die den Einsatz der DAR-Software stützen sollen, erfüllen die unter 4. und 5. genannten Anforderungen nach Ansicht der LDI NRW nicht.
Das gleiche System hat beste Erfolgsaussichten als bundesweites System VeRA
Im Landeskriminalamt Bayern dürften aktuell die Teilnahmeanträge vorliegen für das System VeRA – die verfahrensübergreifende Recherche- und Analyseplattform. Sehr ungewöhnlich ist, dass Bayern dieses Beschaffungsvorhaben nicht nur im eigenen Namen, sondern auch für das Bundeskriminalamt und alle anderen Bundesländern durchführt (, sofern die ein Palantir-System haben wollen und sich leisten können). Die klare Bewertung der NRW-Landesdatenbehörde wird erfahrungsgemäß dazu führen, dass man tricksen und verheimlichen wird, um eine GEWÜNSCHTE Beschaffungsentscheidung durchzudrücken.
Für DAR/Palantir wird schon jetzt mehr Geld gebraucht, es hapert allerdings an einer stichhaltigen Begründung
Der Einsatz des Palantir-Systems in NRW, derzeit angeblich nur im Testbetrieb, veranlasste nicht nur die LDI zu kritischen Anmerkungen. Auch im Innen- und Haushaltsausschuss des NRW-Landtags wurde Klärungsbedarf laut: Zu einer Anfrage der Fraktion Bündnis90/Die Grünen zum „Aktuellen Sachstand zur Software Gotham-Palantir“ beschränkte das Innenministerium seine Antwort auf zwei Punkte: Den oben beschriebenen Diskurs mit dem LDI und einem weiteren Finanzierungsauftrag für das Projekt in Höhe von 7 Millionen Euro (noch einmal die Hälfte zusätzlich zum ursprünglichen Beschaffungsvolumen). Gerne hätte man zu einem „aktuellen Sachstand“, der Frage entsprechend, allerdings noch mehr erfahren …
Nicht stichhaltige Begründung für einen Nachschuss von 7 Millionen Euro „wegen Corona“
Ein Antrag des NRW-Finanzministeriums vom 16.03.2021 auf Einwilligung des Haushalts- und Finanzausschusses stand unter der Überschrift „Aufrechterhaltung der Handlungsfähigkeit der nordrhein-westfälischen Polizei in der Corona-Pandemie“.
Der Betrieb der eingerichteten verfahrensübergreifenden Analyseplattform muss sichergestellt werden, weil die vermehrten Anforderungen an die Verfügbarkeit von Homeoffice-Plätzen und kontaktreduzierten Arbeitsformen den persönlichen Austausch hemmt. Nur durch den Ausbau der Plattform ist es möglich, die in den verschiedenen Anwendungen und Systemen (z. B. Vorgangsbearbeitungssystem, Fallbearbeitungssystem, Telekommunikationsüberwachungssoftware oder Falldatenbank) (na, also! /d. Verf.) gespeicherten Daten zusammenzuführen. Gerade bei zeitkritischen Ermittlungsmaßnahmen wie beispielsweise Anschlagsdrohungen muss unverzügliches Handeln auch in Zeiten durch Corona-Maßnahmen eingeschränkter unmittelbarer Kommunikation in Präsens gewährleistet werden.
Wie das Innenministerium, um mehr Geld zu bekommen, die eigenen Argumente entkräftet…
Die Antragsbegründung dazu ist, da mag der Wunsch die Vernunft überstimmt haben, zumindest unvorsichtig, weil er die Argumente aus dem Hause Innenministerium – vermutlich unfreiwillig – entkräftet:
- Die Bedarfsdarstellung macht deutlich, dass das System bereits im Wirkbetrieb und damit auch mit Echtdaten verwendet wird („eingerichtete verfahrensübergreifende Analyseplattform“ / „zeitkritische Ermittlungsmaßnahmen“ / „Anschlagsdrohungen“ / „unverzügliches Handeln“).
Dafür fehlt die Rechtsgrundlage, der Einsatz mit Echtdaten ist rechtswidrig, sagt die LDI. - Die Beschreibung des Zugangs von Nutzerarbeitsplätzen vom Home-Office aus wird das LDI sicher dazu veranlassen, sich zeitnah anzusehen, wie eigentlich die Sicherheit der Übermittlung hochgradig kritischer, personenbezogener Daten an den heimischen Schreibtisch eines DAR-Nutzers gewährleistet ist und wie der Abfluss von Informationen von einem solchen Arbeitsplatz aus an andere Mitbewohner des Homeoffice-Nutzers wirksam verhindert wird.
Ausreichend viele Landtags-Abgeordneten sahen dies offenbar ähnlich. Denn am 25.03.2021 informierte Innenminister Reul den Innenausschuss darüber, dass der Antrag seines Hauses auf weitere 7 Millionen Euro nur ein Jahr nach der Erstbeschaffung des Palantir-Systems nicht aufrechterhalten werde. „In der Kürze der Zeit“ sei es nicht möglich gewesen, eine genaue Überprüfung dieser Anmeldung vorzunehmen und dazu eine ausführliche Begründung zur Verfügung zu stellen.
Einen Versuch war’s immerhin wert …
Das Öllampen-Geschäftsmodell von Palantir
Dass eine Entscheidung für Palantir sehr teuer werden kann, belegen Berichte aus amerikanischen Polizeibehörden. Denn Palantir betreibt ein „Öllampen“-Geschäftsmodell („Verschenke die Öllampe, verkaufe das Öl?“), weshalb in den Vereinigten Staaten diverse Polizeibehörden den Einsatz wieder aufgegeben haben. Sie konnten ihn sich einfach nicht mehr leisten. Sieht so aus, als würde das Innenministerium NRW schon nach kurzer Geschäftsbeziehung mit Palantir die gleiche Erfahrung machen.
Quellen
[1] Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), 04.05.2016https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679&from=DE [2] Positionspapier des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zum Grundsatz der Zweckbindung in polizeilichen Informationssystemen
https://www.bfdi.bund.de/DE/Infothek/Transparenz/Stellungnahmen/2021/Positionspapier_Zweckbindung-Polizei.pdf;jsessionid=E97042548D2A6B913D64C2292F7B3880.1_cid344?__blob=publicatio [3] Data-Mining: Antiterrordateigesetz teilweise verfassungswidrig, 04.03.2021, Boorberg
https://publicus.boorberg.de/data-mining/
Copyright und Nutzungsrechte
(C) 2021 CIVES Redaktionsbüro GmbH
Sämtliche Urheber- und Nutzungsrechte an diesem Artikel liegen bei der CIVES Redaktionsbüro GmbH bzw. bei dem bzw. den namentlich benannten Autor(en). Links von anderen Seiten auf diesen Artikel, sowie die Übernahme des Titels und eines kurzen Textanreißers auf andere Seiten sind zulässig, unter der Voraussetzung der korrekten Angabe der Quelle und des/der Namen des bzw. der Autoren. Eine vollständige Übernahme dieses Artikels auf andere Seiten bzw. in andere Publikationen, sowie jegliche Bearbeitung und Veröffentlichung des so bearbeiteten Textes ohne unsere vorherige schriftliche Zustimmung ist dagegen ausdrücklich untersagt.