Das Bundesverfassungsgericht erklärte mit Urteil vom 16. Februar 2023 (1 BvR 1547/19) die § 25a Abs. 1 Alt. 1 des Hessischen Gesetzes über die öffentliche Sicherheit und Ordnung (HSOG) und § 49 Abs. 1 Alt. 1 des Hamburgischen Gesetzes über die Datenverarbeitung der Polizei (HmbPolDVG) für verfassungswidrig.
Die beiden Normen ermöglichen es Behörden, Daten und Datenquellen, die vorher unverbunden waren, automatisch in Analyseplattformen zu vernetzen. Außerdem können bereits vorhandene Datenbestände durch Suchfunktionen automatisch erschlossen werden. Der Polizei wird durch die besagten Vorschriften in begründeten Einzelfällen dazu ermächtigt, personenbezogene Daten automatisch bei einer Datenanalyse (Hessen) oder Datenauswertung (Hamburg) zur vorbeugenden Bekämpfung schwerer Straftaten im Sinne von § 100a Abs. 2 1. Alternative StPO oder zur Abwehr von Gefahren für bestimmte Rechtsgüter § 100a Abs. 2 2. Alternative StPO weiter zu verarbeiten. Diese Regelung ermöglicht die Herstellung von „Beziehungen oder Zusammenhängen zwischen Personen, Personengruppen, Institutionen, Organisationen, Objekten und Sachen“ (Pressemitteilung Nr. 18.2023 vom 16.02.2023). Es können dann die gewonnenen Erkenntnisse bekannten Sachverhalten zugeordnet werden und gespeicherte Daten ausgewertet werden.
Von der hessischen Norm wurde über die Analyseplattform „hessenDATA“ bereits tausendfach Gebrauch gemacht. § 49 Abs. 1 Alt. 1 HmbPolDVG wurde dagegen bisher noch nicht angewendet.
Das Bundesverfassungsgericht hat mit seinem Urteil festgestellt, dass durch die besagten Normen gegen das Recht auf informationelle Selbstbestimmung als Ausfluss des allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG verstoße. Ein Eingriff in dieses sei nicht nur bei der Verwendung bisher getrennter Daten gegeben, sondern auch bei der Erlangung grundrechtsrelevanten neuen Wissens durch die automatisierte Datenauswertung oder –analyse. Die Rechtfertigung eines solchen Eingriffs sei grundsätzlich möglich. So führt das Bundesverfassungsgericht aus:
„[…] vor Hintergrund d. informationstechnischen Entwicklung soll Wirksamkeit der vorbeugenden Bekämpfung schwerer Straftaten gesteigert werden, indem Anhaltspunkte für bevorstehende schwere Straftaten gewonnen werden, die im Datenbestand der Polizei ansonsten unerkannt bleiben.“
Da gerade im Bereich terroristischer und extremistischer Gewalt und im Bereich der organisierten und schweren Kriminalität ein immer weiter wachsendes Datenaufkommen auszuwerten sei, was den Polizeibehörden manuell kaum noch möglich wäre, steigt die Bedeutung automatisierter Datenanalyse im Kontext der Strafverfolgung und –vorbeugung. Um einen derartigen Eingriff in das Grundrecht auf informationelle Selbstbestimmung zu rechtfertigen, würden aber die spezifischen Grundsätze zur Zweckbindung und Zweckänderung gelten, welche das Bundesverfassungsgericht in seiner Rechtsprechung zum Bundeskriminalamtgesetz entwickelt hat. Die Normen aus Hamburg und Hessen würden aber unter anderem die Verarbeitung großer Datenmengen im Wesentlichen ohne Unterscheidung nach Herkunft der Daten und den ursprünglichen Erhebungszwecken ermöglichen.
Die automatische Datenanalyse und –auswertung sei unter anderem deshalb gewichtig, weil die Verarbeitung einmal erhobener und gespeicherter Daten eigene Belastungseffekte haben können und über das Eingriffsgewicht der ursprünglichen Erhebung hinausgingen. Dabei soll durch den ausschöpfenden Einsatz neuer informationstechnologischer Methoden mit bereits vorhandenen Daten neues Wissen erzeugt werden. Dies sei der Polizei zwar auch ohne die besagten Normen bereits manuell möglich, aber die automatische Analyse und Auswertung ermögliche eine noch weitreichendere Verarbeitung und damit die Gewinnung neuer persönlichkeitsrelevanter Informationen, die manuell nicht in dem Umfang erfasst worden wären. Die Maßnahmen seien somit sehr intensiv und können sich einem „Profiling“ annähern. Die Polizei könne sich „mit einem Klick umfassende Profile von Personen, Gruppen und Milieus zu erstellen und auch zahlreiche rechtlich unbeteiligte Personen weiteren polizeilichen Maßnahmen zu unterziehen, die in irgendeinem Zusammenhang Daten hinterlassen haben“, erklärt das Bundesverfassungsgericht weiter. Eine Rechtfertigung eines solchen schweren Eingriffs in die informationelle Selbstbestimmung sei nur unter den engen Voraussetzungen für eingriffsintensive heimliche Überwachungsmaßnahmen möglich, erfordere also eine hinreichend konkrete Gefahr für besonders gewichtiger Rechtsgüter, wie Leib, Leben und Freiheit einer Person.
Dazu führt das Bundesverfassungsgericht weiter aus:
„Die Schwelle einer wenigstens konkretisierten Gefahr für besonders gewichtige Rechtsgüter ist nur dann verfassungsrechtlich verzichtbar, wenn die zugelassenen Analyse- und Auswertungsmöglichkeiten normenklar und hinreichend bestimmt in der Sache so eng begrenzt sind, dass das Eingriffsgewicht der Maßnahmen erheblich gesenkt ist.“
Eine hinreichende Begrenzung der einsetzbaren Daten folge durch die Normen allerdings nicht. So ermögliche die Norm „Data-Mining“ bis hin zur Verwendung selbstlernender Systeme (KI). Zudem seien die Voraussetzungen des für die Maßnahmen erforderlichen „Einzelfalls“ kaum inhaltlich näher beschrieben.
§ 25a Abs. 1 Alt. 1 HSOG gilt bis zu einer Neuregelung, längstens bis zum 30. September 2023 fort. Begründet wird dies mit der großen Bedeutung der Befugnisse für die staatliche Aufgabenwahrung und der Bedeutung der auch jetzt schon angewendeten Norm für die hessische Polizeipraxis. Eine Einschränkung der Fortgeltung der Norm nimmt das Bundesverfassungsgericht allerdings dadurch vor, dass hinreichend konkrete Tatsachen den Verdacht einer Straftat nach § 100b Abs. 2 StPO begründen und aufgrund konkreter Umstände des Einzelfalls Tatverdacht für zukünftig weiteren, gleichgelagerten Straftaten zu rechnen ist, die Leib, Leben oder den Bestand oder die Sicherheit des Bundes oder eines Landes gefährden. Zudem muss die Eignung der verwendeten Daten hinreichend begründet werden und es sei sicherzustellen, dass Daten aus bestimmten, in der Entscheidung weiter konkretisierten, schwerwiegenden Eingriffen in die informationelle Selbstbestimmung nicht verwendet werden.
§ 49 Abs. 1 Alt. 1 HmbPolDVG erklärt das Bundesverfassungsgericht für nichtig, da keine Umstände eine befristete Fortgeltungsanordnung erfordern und rechtfertigen würden.