Automatisierte Datenanalyse: Wie KI das Polizeirecht neu definiert
Deutsche Sicherheitsbehörden stehen vor einer grundlegenden Umgestaltung ihrer rechtlichen Grundlagen. Die automatisierte Datenanalyse – der algorithmische Abgleich umfangreicher Datenbestände zur Gefahrenabwehr und Strafverfolgung – ist längst Realität. Doch die rechtliche Regulierung hinkt hinterher. Eine neue Welle von EU-Vorgaben und nationalen Gesetzesentwürfen zwingt Entscheider in Sicherheitsbehörden, Justiz und Verwaltung, ihre bisherige Praxis grundlegend zu überdenken.
Der qualitative Sprung in der Datenverarbeitung
Was früher Datensätze waren, werden durch automatisierte Verfahren zu verwertbarem Wissen. Systeme wie „hessen-DATA" verknüpfen bereits rechtmäßig erhobene Informationen mit Daten aus sozialen Netzwerken und anderen Quellen – und generieren dadurch neue Erkenntnisse über Beziehungsgeflechte, Muster und potenzielle Risiken. Das ist nicht einfach schneller; das ist eine andere Qualität der Informationsverarbeitung.
Das Bundesverfassungsgericht hat 2023 in seiner Palantir-Entscheidung genau diesen Punkt erfasst: Solche Systeme stellen einen erheblichen neuen Eingriff in das Recht auf informationelle Selbstbestimmung dar. Die Effektivität und Vorgelagertheit dieser Maßnahmen – sie wirken oft noch vor konkreten polizeilichen Eingriffen – verleiht ihnen ein „Eigengewicht", das über die ursprüngliche Datenerhebung hinausgeht. Für Führungskräfte bedeutet das: Wer solche Systeme einsetzt oder über deren Einsatz entscheidet, handelt nicht im rechtlichen Graubereich, sondern in einem hochsensiblen verfassungsrechtlichen Terrain.
Die EU-Regulierung setzt neue Standards – mit Spielraum
Die EU-KI-Verordnung 2024/1689 klassifiziert automatisierte Datenanalysesysteme als Hochrisiko-KI und unterwirft sie umfangreichen Anforderungen: Grundrechtefolgenabschätzungen, Registrierungspflichten, technische und organisatorische Maßnahmen, menschliche Aufsicht durch befugte Personen, Dokumentation und Monitoring.
Entscheidend für den deutschsprachigen Raum: Die KI-VO harmonisiert nicht vollständig. Im Bereich der Hochrisiko-Systeme belässt sie den Mitgliedstaaten substanziellen Spielraum. Das bedeutet, nationale Gesetze müssen zusätzliche Ermächtigungsgrundlagen schaffen – die KI-VO allein reicht nicht aus. Deutschland arbeitet an entsprechenden Novellierungen seiner Polizeigesetze und des Europolgesetzes. Österreich und die Schweiz müssen ähnliche Wege gehen, haben aber eigenständige verfassungsrechtliche Grenzen zu beachten.
Handlungsnotwendigkeit im Management
Für Entscheider ergeben sich unmittelbare Konsequenzen: Behörden, die automatisierte Datenanalyse einsetzen oder planen, müssen prüfen, ob die rechtlichen Voraussetzungen vorhanden sind – nicht nur EU-Vorgaben, sondern konkrete nationale Ermächtigungen. Quasi-Anbieter von Systemen (also Behörden, die fremde Software unter eigenem Namen bereitstellen) müssen nachweisen, dass der Anbieter die KI-VO-Anforderungen erfüllt hat und tragen Verantwortung für kontinuierliche Compliance. Die menschliche Aufsicht durch kompetente, befugte Mitarbeitende ist nicht optional – sie ist Pflicht.
Die neue Regulierungslandschaft erfordert nicht nur juristische Expertise, sondern auch ein verändertes Risikomanagement. Die DNA des Polizeirechts wird derzeit neu geschrieben – wer diese Transformation proaktiv gestaltet, vermeidet später teure Korrekturen und Haftungsrisiken.