Mit seinem Urteil vom 16.2.2023¹⁾ hatte das Bundesverfassungsgericht die 2018 in Hessen und 2019 in Hamburg geschaffenen polizeirechtlichen Ermächtigungsgrundlagen zum Einsatz einer sog. automatisierten Anwendung zur Datenanalyse (§ 25a HSOG, § 49 HmbPolDVG) für nichtig (Hamburg) bzw. mit der Verfassung unvereinbar (Hessen) erklärt.

Wie schon in fast drei Dutzend früheren verfassungsgerichtlichen Entscheidungen zum Informationsrecht der Sicherheitsbehörden,²⁾ verwarf das Gericht auch diesmal das Instrument der automatisierten Datenanalyse nicht vollständig, sondern verlangte gesetzgeberische „Nachbesserungen“ im Hinblick auf die Verhältnismäßigkeit der damit verbundenen Grundrechtseingriffe.³⁾

Als Reaktion auf das Urteil überarbeiteten nicht nur die betroffenen Länder ihre Regelungen,⁴⁾ sondern es setzte in Bund und Ländern eine regelrechte Welle von Gesetzgebungsverfahren zum Erlass entsprechender Befugnisnormen ein.

Hamburg, Hessen und Nordrhein-Westfalen als Vorreiter der automatisierten polizeilichen Datenanalyse

Hessen schuf § 25a HSOG a.F., nachdem es als erstes Bundesland das von der umstrittenen US-amerikanischen Firma Palantir Inc.⁵⁾ angebotene Programm „Gotham“ erworben hatte. Mit Hilfe des entsprechend angepassten Programms sollten die umfangreichen und heterogenen landespolizeilichen Datenbestände zusammengeführt und analysiert werden.⁶⁾ Hamburg schuf zwar eine Ermächtigungsgrundlage, erwarb das Palantir-System jedoch nicht.⁷⁾

Außer in Hessen und Hamburg gab es in Bund und Ländern zunächst keine vergleichbaren Regelungen. Im April 2022 trat dann in Nordrhein-Westfalen mit § 23 Abs. 6 NRWPolG eine Vorschrift in Kraft, die ebenfalls die automatisierte Analyse der dortigen polizeilichen Datenbestände ermöglichen soll;⁸⁾ auch gegen diese wurde Verfassungsbeschwerde erhoben.⁹⁾

„Gesetzgebungswelle“ nach der Entscheidung

Auf die Entscheidung des Bundesverfassungsgerichts folgten nun zahlreiche Gesetze zur automatisierten Datenanalyse. Den Anfang machte der Bund mit § 29a Abs. 2a bis c Geldwäschegesetz¹⁰⁾, mit dem die Zentralstelle für Finanztransaktionsuntersuchungen zu entsprechenden Datenanalysen ermächtigt wird.¹¹⁾

Auf Länderebene schufen – in dieser zeitlichen Reihenfolge – sodann Bayern mit § 61a BayPAG¹²⁾, Rheinland-Pfalz mit § 65a POG Rh.-Pf.¹³⁾, Baden-Württemberg mit § 47a BW PolG¹⁴⁾, Berlin mit § 47a BlnASOG¹⁵⁾, Sachsen-Anhalt mit § 30a SOG LSA¹⁶⁾ und Sachsen mit § 62a SächsPVDG¹⁷⁾ entsprechende Ermächtigungsgrundlagen. Nordrhein-Westfalen reagierte auf das Urteil durch die Überarbeitung der bisherigen Regelung.¹⁸⁾

Noch 2025 erließ der Bund – in Anknüpfung an nicht mehr umgesetzte Gesetzentwürfe der Ampelkoalition¹⁹⁾ – auch für den Zoll in § 13 Abs. 2 bis 6 ZFdG eine Befugnisnorm.²⁰⁾ Nunmehr legte die Bundesregierung mehrere Gesetzentwürfe vor²¹⁾, mit denen entsprechende Ermächtigungsgrundlagen auch für das repressiv-polizeiliche Handeln (§ 98c StPO-E), die Bundespolizei (§ 58b BPolG-E) und – gestaffelt nach dessen Aufgaben gleich dreifach – das Bundeskriminalamt (§§ 9b, 39b, 63 BKAG-E) geschaffen werden sollen.²²⁾

Große Bandbreite an Regelungskonzepten

Infolge dieser regen gesetzgeberischen Tätigkeit liegt inzwischen eine große Vielfalt an Regelungsmustern für die automatisierte Datenanalyse vor. Die erlassenen Normen und Entwürfe unterscheiden sich hinsichtlich Textumfang, vorgesehener Eingriffsschwellen und Form- und Verfahrensvorschriften ganz erheblich. Sie müssen daher jeweils im Einzelnen anhand der vom Bundesverfassungsgericht in seinem Urteil vom 16.2.2023 aufgestellten Maßstäbe und Kriterien beurteilt werden. Diese sind infolge zahlreicher Je-Desto-Erwägungen hinsichtlich Eingriffstiefe und verfassungsrechtlicher Rechtfertigung alles andere als einfach.

Auch das Gericht wird in absehbarer Zeit über weitere Regelungen entscheiden. Zwar nahm es die Verfassungsbeschwerde gegen die nordrhein-westfälische Regelung – nach deren Änderung im Jahr 2025²³⁾ – im Februar 2026 nicht zur Entscheidung an,²⁴⁾ jedoch sind noch Verfassungsbeschwerden gegen die bayerische Regelung und die Neuregelungen in Hessen anhängig.²⁵⁾

Auf dem Weg zu Palantir II

Die vom Gericht aufgestellten Grundsätze boten und bieten den jeweiligen Beschwerdeführern in beiden Fällen jedenfalls genügend Anknüpfungspunkte für eine Behauptung der Verfassungswidrigkeit.

Sollte das Gericht die Maßstäbe aus dem ersten Urteil aufrechterhalten, werden bei der Überprüfung der Normen die bekannten Je-Desto-Relationen eine entscheidende Rolle spielen. Je stärker der Gesetzgeber Art und Umfang der Datenbestände begrenzt, die in eine Analyse integriert werden dürfen, und je mehr er die zulässigen Analysemethoden und Verwendungen der Ergebnisse limitiert, desto geringer dürfen die normativ vorgegebenen Eingriffsanlässe und -schwellen sein; gleiches gilt für die Anforderungen an die mit der Analyse verbundene Zweckänderung der Daten.²⁶⁾

Interessant wird sein, ob das Bundesverfassungsgericht insoweit auf die inzwischen lauter werdende Kritik an diesen – nicht selten als zu kleinteilig empfundenen Kriterien und Maßstäben²⁷⁾ – reagiert und die Maßstäbe verändert oder neu justiert.

Eine größere Rolle könnten in der Folgeentscheidung die Fragen spielen, ob und unter welchen Voraussetzungen eine automatisierte Datenanalyse KI-gestützt erfolgen darf und inwieweit der Einsatz des Systems der umstrittenen Firma Palantir unter dem Gesichtspunkt der nationalen digitalen Souveränität²⁸⁾ vertretbar ist.

KI-Einsatz und digitale Souveränität im verfassungsgerichtlichen Fokus?

Diese beiden Aspekte kamen im Urteil vom 16.2.2023 – immerhin, aber auch nur – am Rande zur Sprache. Den Gesichtspunkt der digitalen Souveränität verarbeitete das Gericht in der schlichten Wendung: „Wird Software privater Akteure oder anderer Staaten eingesetzt, besteht zudem eine Gefahr unbemerkter Manipulation oder des unbemerkten Zugriffs auf Daten durch Dritte“.²⁹⁾ Der Aspekt des Einsatzes selbstlernender Systeme/künstlicher Intelligenz findet im Urteil an vier Stellen Erwähnung,³⁰⁾ war aber im Hinblick auf die teilweise Unzulässigkeit der Verfassungsbeschwerde nicht Gegenstand der konkreten Prüfung.³¹⁾

Unabhängig von dem Urteil ist die digitale Souveränität inzwischen in den Fokus der rechtspolitischen Diskussion geraten.³²⁾ Unter diesem Gesichtspunkt ist das System der umstrittenen Firma Palantir besonders brisant, gerade wenn es von Sicherheitsbehörden eingesetzt wird.³³⁾ Zwar betreiben das Programm bisher – soweit ersichtlich – nur Hessen, Bayern, Nordrhein-Westfalen und Baden-Württemberg (letzteres probeweise). Daher sind die Befugnisnormen und entsprechende Gesetzentwürfe im Bund und den übrigen Ländern bisher noch reine „Vorratsregelungen“. Das Bundesamt für Verfassungsschutz setzt wohl inzwischen auf eine europäische Palantir-Alternative.³⁴⁾ Daraus leitet die rechtspolitische Debatte ab, dass politisch die Abkehr von Palantir begonnen habe.³⁵⁾ Andererseits hat sich der baden-württembergische Landtag jüngst mehrheitlich explizit für den Einsatz des Palantir-Programms ausgesprochen.³⁶⁾

Da auch Hessen an der Nutzung von Palantir-Gotham – also dem „Einsatz der Software privater Akteure oder fremder Staaten“ – festhält, dürfte die verfassungsgerichtlich festgestellte Gefahr unbemerkter Manipulation oder des unbemerkten Zugriffs auf Daten durch Dritte in der Argumentation der Beschwerdeführer gegen die Neuregelung sicher nicht zu kurz kommen.

Die hessische Neuregelung bietet – anders als etwa die bayerische Parallelnorm³⁷⁾ – auch Anlass für eine konkrete verfassungsgerichtliche Entscheidung über das Ob und Wie einer KI-gestützten Datenanalyse. Hessen hat mit seiner Neuregelung nach dem erklärten Willen des Gesetzgebers³⁸⁾ den Einsatz selbstlernender Systeme bei der automatisierten Datenanalyse legitimiert.³⁹⁾

2023 hatte das Gericht die Gefahren einer KI-gestützten Datenanalyse sehr plastisch umschrieben und die damit verbundene Erhöhung des Eingriffsgewichts betont.⁴⁰⁾ Daran muss sich die hessische Neuregelung nun konkret messen lassen. Im Bund und den anderen Ländern verhalten sich die Vorschriften und Gesetzentwürfe zur Zulässigkeit eines KI-Einsatzes unterschiedlich. Das Spektrum reicht von explizit unzulässig (neben Bayern in Sachsen-Anhalt) über explizit zulässig (NRW, Berlin), bedingt zulässig (GwG, Sachsen) bis unklar (übrige Regelungen). Einige Regelungen beschränken sich etwa auf die aus dem Urteil übernommene Formulierung, dass „diskriminierende Algorithmen weder herausgebildet noch verwendet werden dürfen“ (z.B. § 98c StPO-E), ohne sich zur Zulässigkeit von KI weiter zu verhalten.

Ob vor diesem Hintergrund der KI-Einsatz und die digitale Souveränität in den verfassungsgerichtlichen Fokus geraten, bleibt abzuwarten. Feststehen dürfte, dass sich die Serie der verfassungsgerichtlichen Entscheidungen zum Informationsrecht der Sicherheitsbehörden in absehbarer Zeit durch eine „Palantir II“-Entscheidung fortsetzen wird.⁴¹⁾