Die Debatte um den Einsatz von Palantirs Software wird wohl auch in den kommenden Jahren nicht abreißen. Zu erfolgreich ist der Mythos um das Produkt, zu groß die Versuchung für Politik und Sicherheitsbehörden, sich die mutmaßlich revolutionären Erkenntnismöglichkeiten und das Narrativ der Innovation zu eigen zu machen. Neben den berechtigten grundrechtlichen Bedenken gerät das übrige Verfassungsrecht leicht aus dem Blick. Dabei enthält auch das Staatsorganisationsrecht klare Maßstäbe für den Einsatz digitaler Technologien, beispielsweise die parlamentarische Verantwortlichkeit der Exekutive. Diese setzt als Ausdruck von Demokratie, Gewaltenteilung und Rechtsstaat voraus, dass die Exekutive selbst versteht, wie die von ihr eingesetzten Produkte funktionieren. Nur so kann die Regierung vor dem Parlament Zeugnis ablegen, nur so wird eine gehaltvolle öffentliche Debatte möglich.

Das Störgefühl, das bleibt

Die rechtliche Auseinandersetzung rund um den Einsatz von Palantir hat sich bisher stark auf die gesetzlichen Grundlagen, deren Grundrechtskonformität und den Datenschutz konzentriert.¹⁾ Ob die Zweifel hier ausgeräumt werden konnten, kann in Frage gestellt werden.²⁾ Daneben gibt es ein subtileres Störgefühl, das unter dem Stichwort der Digitalen Souveränität diskutiert wird. Palantir ist ein US-amerikanisches Unternehmen, dessen Softwareprodukte Gotham und Foundry in Baden-Württemberg (bald), Bayern, Hessen und (noch) Nordrhein-Westfalen eingesetzt werden. Die deutschen Namen (DAR, HessenDATA und VeRA) ändern nichts daran, dass es sich um eine proprietäre Softwarelösung handelt. Der Quellcode ist nicht öffentlich einsehbar, über die genauen Funktionalitäten wird nur spekuliert. Als Vertragspartnerin fungiert die deutsche Palantir Technologies GmbH.³⁾ Ihre Eigenständigkeit gegenüber dem amerikanischen Mutterkonzern reicht jedoch nicht einmal für eine eigene Website.⁴⁾ Verstärkt wird diese Skepsis durch die ideologisierende Vermarktung⁵⁾ sowie die große Nähe zur US-Regierung,⁶⁾ welche nicht für ihre Zurückhaltung bei der Informationsbeschaffung bekannt ist.

Diese Elemente werden gleich doppelt ins Feld geführt. Einerseits dienen sie Kritiker:innen als Argument gegen die Verwendung der Software, andererseits machen deutsche und europäische Unternehmen aus dem Versprechen der Digitalen Souveränität ein Geschäftsmodell.⁷⁾ Der Verfassungsschutz setzt wohl auch deswegen auf einen französischen Anbieter.⁸⁾ Aber der Einsatz europäischer Software umgeht nur die spezifisch amerikanischen Aspekte der aufgeworfenen Fragen. Das Störgefühl als ein Gefühl des Kontrollverlusts und der fehlenden Verantwortlichkeit beim Einsatz geheimer, privater Software im Staat, es bleibt.

Parlamentarische Verantwortlichkeit als Maßstab

Eine Antwort auf dieses Störgefühl geben die Maßstäbe, die das Grundgesetz im Staatsorganisationsrecht für die Ausübung von Staatsgewalt vorsieht. Konkret umfasst die parlamentarische Verantwortlichkeit der Exekutive auch die von der Exekutive eingesetzten IT-Produkte und steht so dem „blinden“ Einkaufen fertiger Softwarelösungen entgegen.

Das Grundgesetz etabliert ein parlamentarisches Regierungssystem. Darin wirkt der Bundestag zunächst über die Gesetzesbindung aus Art. 20 III GG auf die Bundesregierung ein. Zusammen mit dem Vorbehalt des Gesetzes begründet dies für das Parlament zugleich die Pflicht, für den Einsatz entsprechender Software eine gesetzliche Grundlage zu schaffen.⁹⁾ Der Gesetzgeber muss daher den Einsatz von Software durch die Exekutive proaktiv strukturieren.

Daneben steht die parlamentarische Verantwortlichkeit der Regierung. Sie ist einerseits die reaktive Seite der Gesetzesbindung, soweit es um die Einhaltung der gesetzlichen Regelungen geht. Noch umfassender schafft die Verantwortung eine politische Öffentlichkeit für Regierungshandeln, auch dort, wo es keine abschließenden gesetzlichen Regelungen gibt oder neue geschaffen werden sollen. Die Verantwortlichkeit besteht aus vielfältigen Kontrollinstrumenten des Parlaments: Hervorzuheben sind das Zitierrecht, die Fragerechte sowie die Möglichkeit, einen Untersuchungsausschuss einzusetzen.¹⁰⁾ So müssen die Minister:innen im Bundestag Rede und Antwort stehen.¹¹⁾ Die Verantwortlichkeit erlaubt Oppositionskritik an der Regierung und ist zugleich Teil der kollektiven Willensbildung der Mehrheit zwischen Parlament und Regierung.¹²⁾

Parlamentarische Verantwortlichkeit für Software – Wissen als Voraussetzung

Die politische Verantwortung zielt nicht nur auf einen Austausch zwischen den Gewalten, sie soll, vermittelt durch die parlamentarische Öffentlichkeit, das ganze Volk am parlamentarischen Willensbildungsprozess beteiligen.¹³⁾ Die Befragung von Regierungsmitgliedern informiert nicht nur die Abgeordneten, sie schafft auch eine Grundlage für die gesamtgesellschaftliche Debatte.¹⁴⁾ Parlamentarische Verantwortlichkeit mag zuweilen mühsam wirken, aber sie bildet einen zentralen Strang der legitimatorischen Brücke zwischen Wählenden und Staatsgewalt. Diese Funktion läuft leer, soweit die Regierung gar nicht über die Informationen verfügt, die die politische Verantwortlichkeit ermöglichen. Eine Regierung ohne ausreichendes Wissen kann keine Rechenschaft über ihr Handeln ablegen.

Der Einsatz von Software unterliegt der parlamentarischen Verantwortung. So strukturieren die Rechenergebnisse einer mit Gotham vergleichbaren Software unweigerlich das Vorgehen der Gefahrenabwehrbehörden. Die Software erzeugt Erkenntnisse, auf die polizeiliche Maßnahmen gestützt werden.¹⁵⁾ Die Maßnahme ist somit untrennbar mit der Software verknüpft. In der Folge muss sich die parlamentarische Verantwortung der Regierung auf die Software erstrecken. Diese Verantwortung steht neben dem Rechtsschutz des Einzelnen und lässt sich nicht durch ihn ersetzen. Es ist insoweit kein Einwand, dass die Betroffenen gegen die Maßnahmen klagen können. Die politische Verantwortlichkeit vor dem Parlament ergänzt etwaige Gerichtsverfahren.¹⁶⁾ Ein Urteil ist immer auf den Einzelfall bezogen, systematische Aufarbeitung kann nur das Parlament liefern.

Palantir im Einsatz: Was wir wissen

Damit ist zu fragen, ob parlamentarische Verantwortlichkeit für den Einsatz von Palantir aktuell erfolgt bzw. möglich ist. Im Bund ist die Software nicht im Einsatz. Ein Blick in die Bundesländer, die Palantir nutzen, zeigt, dass die parlamentarische Verantwortlichkeit aufgrund fehlenden Wissens ins Leere zu laufen droht. Parlamentarische Unterlagen liefern Anhaltspunkte für das mutmaßliche Wissen und Nichtwissen der Landesregierungen. Diese Einblicke werden ergänzt um Presseberichte, in denen sich die Polizeibehörden selbst äußern.

Die Funktionsweise der Software selbst war bisher nicht unmittelbarer Gegenstand parlamentarischer Untersuchungen. Thematisiert wird sie indirekt. Vertreter:innen der Exekutive betonen stets, wie leistungsfähig die Software sei.¹⁷⁾ Die technische Auseinandersetzung fokussiert sich sodann auf die Gefahr des Datenabflusses. So wurde vor dem Hessischen Untersuchungsausschuss zum Vergabeverfahren detailliert dargelegt, unter welchen technischen Bedingungen die Software betrieben wird, um Datenabflüsse zu verhindern.¹⁸⁾ Aber was genau die Software macht, dazu gibt es kaum Angaben. Bei der Marktbeobachtung wurden lediglich Testinstallationen herangezogen, die gerade nicht unter Realbedingungen liefen.¹⁹⁾ Die Nachvollziehbarkeit der Funktionsweise war keines der vergaberechtlichen Kriterien.²⁰⁾ Von einer vertieften informationstechnischen Prüfung wird nicht berichtet, nur von einer Delegationsreise mit Minister, Abgeordneten und Behördenleitern in die ungewöhnlichen Büros in San Francisco.²¹⁾ Bei der Reise der Fachebene nach Amsterdam, um sich dort den Livebetrieb anzuschauen, war ein einzelner Mitarbeiter der IT-Abteilung dabei, der im Abschlussbericht des Untersuchungsausschusses nicht zu Wort kommt.²²⁾

Noch intransparenter gestaltet sich die Situation in Bayern, das für den Bund und alle Bundesländer einen nichtöffentlichen Rahmenvertrag mit Palantir abschloss.²³⁾ Auf der Grundlage dieses Rahmenvertrags haben bisher Bayern und Baden-Württemberg die Software beschafft. Obwohl der Vertrag selbst nie veröffentlicht wurde, wollte man auch hier bezüglich der Sorge um einen möglichen Datenabfluss Transparenz schaffen. Daher ließ das Bayerische LKA das Fraunhofer-Institut in Darmstadt den Quellcode prüfen. Allerdings ist das Prüfungsergebnis einigermaßen unbefriedigend. Der Bericht wurde vom Bayerischen LKA knapp vorgestellt, veröffentlicht wurde er unter Verweis auf Sicherheitsbedenken und Geschäftsgeheimnisse nie. In Stichpunkten heißt es, dass ein unzulässiger Abfluss von Daten oder unautorisierter Zugriff auf das System ausgeschlossen sei.²⁴⁾ In Baden-Württemberg verweist das Ministerium auf das Ergebnis dieser Prüfung, teilt aber ebenso wenig mit, wie genau das Fraunhofer-Institut geprüft hat.²⁵⁾ Erklärt wird nur, dass es dabei ausschließlich um die Gefahr von Datenabflüssen ging. Gegenüber der Presse gibt das Bayerische LKA freimütig zu, dass die Polizei selbst nicht programmiert und nicht nachvollziehen kann, wie das Programm arbeitet.²⁶⁾ So sagt der VeRA-Projektleiter im Wortlaut: „Das sind Milliarden von Zahlen auf Codebasis. Wer das im Detail versteht, ist nur der, der ihn geschrieben hat.“²⁷⁾ Als Beleg der dennoch gewährleisteten Sicherheit wird sodann erneut auf das geheime Gutachten und nicht näher spezifizierte Kontrollen der Updates verwiesen.²⁸⁾

Vor Ort betreuen Palantir-Mitarbeitende die Software, sodass auch bei der Durchführung der Verträge kaum staatliches Wissen über die Software entstehen kann. Der Vertrag für Baden-Württemberg umfasst Betrieb, Updates und Schulungen durch Palantir.²⁹⁾ In Medienberichten ist zu sehen, dass die Palantir-Mitarbeitenden in Hessen über eigene, separate Büros verfügen.³⁰⁾ Hierhin werden sie „aus aller Welt“ eingeflogen.³¹⁾ Gearbeitet wird teilweise mit firmeneigenen Laptops.³²⁾ IT-Mitarbeitende der Polizei werden nicht erwähnt – vielmehr verweist Hessen pauschal auf die Prüfung der Updates und vertragliche Pflichten zur Lieferung sicherer Software.³³⁾ Die Sicherheitsüberprüfung der Palantir-Mitarbeitenden³⁴⁾ hat keine Aussagekraft für deren Arbeitsprodukte. Wissen über die Funktionsweise der Software wird hier nicht geschaffen. Andersherum generiert die Software fleißig das Wissen der Polizei.³⁵⁾

Natürlich könnte es sein, dass die Exekutive über mehr Wissen verfügt, als diese Anhaltspunkte nahelegen. Dann läge die fehlende Offenlegung entweder daran, dass die Regierung das verschleiern möchte, oder daran, dass die Parlamente nicht aufklären wollen. Mindestens genauso wahrscheinlich ist es jedoch, dass entsprechendes Wissen schlicht nicht existiert.

Grenzen der Pflicht zu wissen

Wie sähe sie also aus, die grundgesetzlich gewollte Welt? Muss der Staat alles selbst machen? So dramatisch ist es nicht. Natürlich muss die Exekutive nicht alles wissen. Eine erste Grenze liegt in der Relevanz des Vorgangs. Allerdings wird niemand bestreiten, dass umfangreiche polizeiliche Analysetools eine hervorgehobene Bedeutung haben. Eine weitere Grenze ergibt sich dort, wo jenseits des Staats Wissen frei verfügbar ist. Die Polizei braucht keine Experten für die jeweils in den Polizeifahrzeugen verbauten Dieselmotoren. Hier ist in der Zivilgesellschaft, insbesondere in der Wissenschaft, ausreichend Wissen vorhanden. So dürfte es sich auch zur Funktionsweise von Hardware, von Chips, Arbeitsspeichern oder Bildschirmen verhalten. Für Software wäre das vermutlich nur bei der Verwendung von Open-Source-Lösungen der Fall. Das ist bei den Produkten von Palantir (und ebenso bei ChapsVision aus Frankreich) anders. Ihre Funktionsweise wird geheim gehalten. Wissenschaftler:innen können sich nur auf das beziehen, was sie aus Parlaments- und Presseberichten kennen. Weil dieses Wissen kaum verfügbar ist, muss die Regierung entsprechende Transparenz herstellen.

Es liegt nahe, dass die Austauschbarkeit einzelner Lösungen die Anforderungen der Verantwortlichkeit senkt. Allerdings sind bei proprietären Softwarelösungen die Pfadabhängigkeiten oft mit dem Geschäftsmodell verbunden.³⁶⁾ Im britischen Gesundheitssystem und Militär wird bereits eine solche Abhängigkeit von Palantir diagnostiziert.³⁷⁾ Produkte, die Lock-in-Effekte mit sich bringen, verlangen mehr Debatte.

Kein Kernbereich digitaler Eigenverantwortung

Neben den Grenzen des Wissens gibt es die Grenzen der parlamentarischen Verantwortung, insbesondere den Kernbereich exekutiver Eigenverantwortung.³⁸⁾ Der Kernbereich schützt die Willensbildung und somit Funktionsfähigkeit der Regierung.³⁹⁾ Nicht geschützt ist hingegen das Ergebnis dieser Willensbildung, die getroffene Entscheidung. Solange die Regierung die Entscheidung über eine Software vorbereitet, muss sie sich nicht kontrollieren lassen. Das Parlament darf aber nachträglich prüfen, wie die Entscheidung zustande kam und den Einsatz der Software selbst kontrollieren. Auch Geheimschutzinteressen schließen die parlamentarische Kontrolle nicht allgemein aus, sondern erfordern lediglich entsprechende Vorkehrungen.⁴⁰⁾ Einen Kernbereich digitaler Eigenverantwortung der Regierung gibt es nicht.

Geschäftsgeheimnisse vor dem Parlament

Oftmals wird die fehlende Transparenz mit Geschäftsgeheimnissen begründet. Diese sind als grundrechtlich geschützte Position im Rahmen der parlamentarischen Verantwortlichkeit zu wahren, dennoch bieten sie keinen pauschalen Einwand. So kann etwa ein Untersuchungsausschuss nicht unmittelbar Personen des Privatrechts untersuchen, wohl jedoch ihren Einsatz durch die Regierung.⁴¹⁾ Die Exekutive kann sich ihrer Verantwortung also nicht durch Privatisierung entziehen, sie muss vielmehr im Einzelfall abwägen. Ob sich die Regierung vor diesem Hintergrund vertraglich verpflichten kann, dem Parlament keine Einsicht zu gewähren, erscheint äußerst fragwürdig.⁴²⁾ So wäre parlamentarische Transparenz – entsprechend der Situation bei Sicherheitsbedenken – durch die Anwendung der Geheimschutzregeln möglich. Das läuft zwar dem Zweck der parlamentarischen Öffentlichkeit zuwider, ermöglicht jedoch zumindest den Abgeordneten eine Informationsgrundlage für ihre darauffolgenden Entscheidungen.

Eine Alternative zu nichtöffentlichen Sitzungen zeigt das Fraunhofer-Gutachten auf. Der Staat ist als Kunde offenkundig attraktiv genug, dass sich große Konzerne ausführlich begutachten lassen. Das Vorgehen in Bayern zeigt aber eben auch, wie wenig ein solches Gutachten wert ist, wenn der Begutachtungsauftrag zu knapp ist oder vom Ergebnis nur Stichpunkte übrigbleiben. In derartigen Begutachtungsszenarien müssten zumindest Auftrag, Methodik und Kernerkenntnisse öffentlich gemacht werden, um Wissen und somit eine Grundlage der Verantwortung zu schaffen.

Verfassungsrecht als konkrete Substanz der Digitalen Souveränität

Die parlamentarische Verantwortung der Exekutive ist zweifelsohne nur einer der verfassungsrechtlichen Maßstäbe, die für die Staatsdigitalisierung relevant sind. Verwandte Überlegungen dürften auch mit anderen Maßstäben der Staatsstrukturprinzipien anzustellen sein.⁴³⁾ Es liegt nahe, dass die grundrechtlichen Ansätze weiterhin den Schwerpunkt der Rechtsprechung bilden werden. Umso wichtiger ist es, die staatsstrukturellen Gelingensbedingungen nicht aus dem Blick zu verlieren. Die komplexere Justiziabilität des Staatsorganisationsrechts darf nicht dazu führen, dass es als Maßstab für die Digitalisierung vernachlässigt wird. So enthält das Grundgesetz auch außerhalb des Grundrechtekatalogs zahlreiche Vorgaben, die nutzbar gemacht werden können.

Das hier geforderte Wissen der Regierung um die Funktion ihrer Software hätte durchaus willkommene Nebenwirkungen. Eine verständliche bzw. verstandene Software würde unweigerlich Weiterentwicklung und Austauschbarkeit erleichtern. Ein Staat, der über entsprechendes Wissen verfügt, könnte wohl Recht- und Zweckmäßigkeit auch in veränderten technischen Situationen besser nachvollziehen. Ganz ohne zu definieren, was der schwammige Begriff der Digitalen Souveränität bedeutet, hätte der Staat einiges an Digitaler Souveränität gewonnen.