Automatisierte Datenanalyse im Polizeirecht der Länder

Die Befugnis zur automatisierten Analyse polizeilicher Datenbestände ist Landesrecht. Es gibt sie deshalb in sechzehn Ausprägungen mit unterschiedlichem Stand.

Ausgangspunkt

Das Bundesverfassungsgericht erklärte am 16. Februar 2023 die hamburgische Regelung für nichtig und die hessische für verfassungswidrig. Nach den Urteilsgründen ist automatisierte Datenanalyse nicht grundsätzlich untersagt; der Gesetzgeber muss Art und Umfang der verwendbaren Daten sowie die zulässigen Methoden hinreichend bestimmt begrenzen.

Je schwerer der Eingriff, desto strenger die Anforderungen: Fließen sehr viele Daten Unbeteiligter ein und kommt Künstliche Intelligenz zum Einsatz, ist die Analyse nach der Darstellung der Beschwerdeführer nur zur Abwehr konkreter Gefahren für besonders gewichtige Rechtsgüter zulässig. Geringere Voraussetzungen sind nur dann möglich, wenn das Gesetz selbst die Analyse einschränkt.

Hamburg erklärte das Gericht für nichtig, Hessen gewährte es eine Übergangsfrist, weil die dortige Plattform bereits im Einsatz war.

Was die Übersicht zeigt

Sieben Länder haben eine Rechtsgrundlage in Kraft — Baden-Württemberg, Bayern, Berlin, Hamburg, Hessen, Nordrhein-Westfalen und Rheinland-Pfalz. Gegen zwei davon ist eine Verfassungsbeschwerde anhängig oder war es zuletzt. Hamburg ist der einzige Fall einer Nachfolgeregelung nach einer Nichtigerklärung.

Fünf Länder stehen im Gesetzgebungsverfahren oder haben ein Vorhaben angekündigt — Baden-Württemberg hat beschlossen, Niedersachsen, Sachsen-Anhalt und Thüringen sind im Verfahren, das Saarland hat angekündigt.

Fünf Länder haben keine Regelung — für Brandenburg ist das am Gesetzestext geprüft; Bremen, Mecklenburg-Vorpommern, Sachsen und Schleswig-Holstein haben erklärt, aktuell keine entsprechenden Vorhaben zu verfolgen — diese Auskünfte stammen überwiegend aus einer Umfrage von Anfang 2024 und aus Äußerungen vom Frühjahr 2026. Bei Schleswig-Holstein steht daneben eine angekündigte Beschaffung.

Für kein Bundesland steht mehr ein reines „nicht ermittelt”.

Wie eine solche Vorschrift ausgestaltet ist

Für Baden-Württemberg liegt der Wortlaut vor. Er zeigt, welche Stellschrauben eine Regelung dieser Art hat.

Drei Eingriffsschwellen (Abs. 1): Abwehr einer Gefahr für Leib, Leben oder Freiheit einer Person, für den Bestand oder die Sicherheit des Bundes oder eines Landes oder für Sachen von bedeutendem Wert; Verhütung einer bevorstehenden Straftat von erheblicher Bedeutung, die auch im Einzelfall schwer wiegt; Verhütung besonders schwerer Straftaten.

Bindung an einen Anlass (Abs. 2): Die Analyse wird manuell ausgelöst und erfolgt anhand anlassbezogener und zielgerichteter Suchkriterien. Eine direkte Anbindung der Analyseplattform an Internetdienste ist unzulässig. Ausdrücklich ist sicherzustellen, dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden. Die abschließende Bewertung und die Entscheidung über weitere Maßnahmen trifft der Polizeivollzugsdienst.

Ausgeschlossene Datenarten (Abs. 3): Personenbezogene Daten aus einer Wohnraumüberwachung oder einer Online-Durchsuchung dürfen nicht einbezogen werden. Verkehrsdaten aus Funkzellenabfragen und Telekommunikationsdaten sind bei der dritten Eingriffsschwelle ausgeschlossen. Ergänzend einbezogene Daten sind spätestens nach zwei Jahren zu löschen, verlängerbar höchstens zweimal um je ein Jahr durch begründete Anordnung.

Schutz Unbeteiligter (Abs. 6): Personenbezogene Vorgangsdaten unbeteiligter Personen werden nicht einbezogen. Das Kategorisierungskonzept muss der eingeschränkten Verwendbarkeit von Daten aus schwerwiegenden Grundrechtseingriffen Rechnung tragen, und technisch-organisatorische Vorkehrungen müssen die praktische Wirksamkeit dieser Regeln sicherstellen.

Dokumentation, Benachrichtigung und parlamentarische Kontrolle: Das Änderungsgesetz erstreckt die bestehenden Vorschriften auf die neue Befugnis. Nach § 74 sind bei Maßnahmen nach § 47a die einbezogenen Daten, die verwendeten Suchkriterien und die betroffenen Personen zu dokumentieren, gegen die nach Auswertung weitere Maßnahmen getroffen wurden; diese Personen sind nach § 86 zu benachrichtigen. Nach dem neu gefassten § 90 unterliegt das Innenministerium insoweit der Kontrolle durch das Parlamentarische Kontrollgremium, das mindestens vierteljährlich zu unterrichten ist, und unterrichtet die Öffentlichkeit jährlich über die Anzahl der Maßnahmen.

Verfahren (Abs. 4, 7 und 8): Die Einzelheiten regelt eine zu veröffentlichende Verwaltungsvorschrift mit Rollen- und Rechtekonzept, Kategorisierungskonzept und Zugriffskontrolle einschließlich verdachtsunabhängiger Stichproben. Die Anordnung trifft die Leitung eines Polizeipräsidiums oder des Landeskriminalamts, schriftlich und begründet. Vor Einrichtung oder wesentlicher Änderung einer Analyseplattform ist der Landesbeauftragte für den Datenschutz anzuhören.

Eine zweite Vorschrift im selben Gesetz

Dasselbe Änderungsgesetz fügte in das baden-württembergische Polizeigesetz einen § 57a ein: Polizeidienststellen können bei ihnen vorhandene personenbezogene Daten zur Entwicklung, zum Training, zum Testen, zur Validierung und zur Beobachtung informationstechnischer Produkte weiterverarbeiten, soweit dies erforderlich ist — insbesondere, wenn unveränderte Daten benötigt werden oder eine Anonymisierung oder Pseudonymisierung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist.

Auch dort ist sicherzustellen, dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden; die Nachvollziehbarkeit des Verfahrens muss sichergestellt werden, soweit technisch möglich. Daten aus den in § 50 genannten Maßnahmen sind ausgeschlossen. Eine Übermittlung an Dritte setzt voraus, dass die dort verarbeitenden Personen zur Geheimhaltung verpflichtet sind.

Diese Vorschrift betrifft nicht die Analyse selbst, sondern das Training von Systemen mit polizeilichen Bestandsdaten. Sie ist in dieser Übersicht nicht erfasst.

Bayern: ein anderer Zuschnitt

Für Bayern liegt der Wortlaut ebenfalls vor. Art. 61a BayPAG regelt denselben Gegenstand, ist aber anders gebaut.

Andere Bezeichnung. Die amtliche Überschrift lautet „Besondere technische Mittel zur anlassbezogenen Zusammenführung von Daten”. Der Begriff der automatisierten Datenanalyse kommt in der Vorschrift nicht vor.

Zwei Eingriffsschwellen. Absatz 1 erlaubt die Maßnahme zur Abwehr einer Gefahr oder einer drohenden Gefahr für Leib, Leben oder Freiheit einer Person, für den Bestand oder die Sicherheit des Bundes oder eines Landes oder für Anlagen der kritischen Infrastruktur. Absatz 2 erweitert das auf die Verhütung von Straftaten nach § 100b Abs. 2 StPO sowie auf Gefahren für Gesundheit, sexuelle Selbstbestimmung, gewerbs- oder bandenmäßig bedrohte Eigentums- und Vermögenswerte und Kulturgüter von mindestens überregionalem Rang.

Gestufte Datenausschlüsse. Bei Maßnahmen nach Absatz 2 sind DNA-Identifizierungsmuster, Finger- und Handflächenabdrücke, Daten aus Wohnraumüberwachung und verdecktem Zugriff auf informationstechnische Systeme sowie Audio- und Videodateien von der automatisierten Verarbeitung ausgenommen. Der Zugriff ist auf vier Systemkategorien beschränkt.

Verfahren. Das eingesetzte Personal ist besonders auszuwählen und zu schulen, die Zugriffsmöglichkeiten sind technisch zu begrenzen, die Anzeige der Ergebnisse ist auf Treffer zu beschränken, die Voraussetzungen sind zu dokumentieren und das Vorgehen zu protokollieren.

Drei ausdrückliche Verbote in Bayern

Absatz 5 untersagt bei Maßnahmen nach den Absätzen 1 und 2:

1. eine automatisierte Entscheidungsfindung im Sinn von Art. 11 der Richtlinie (EU) 2016/680,
2. die Verwendung selbstlernender Systeme,
3. den unmittelbaren automatisierten Abgleich von personenbezogenen Daten aus der Allgemeinheit offenstehenden Netzwerken.

Nummer 2 ist die weitreichendste dieser Bestimmungen: Sie schließt maschinelles Lernen für diese Maßnahme aus. Damit greift das bayerische Polizeirecht eine Abgrenzung auf, die die KI-Verordnung über den Begriff des KI-Systems trifft — hier jedoch als Verbot, nicht als Einstufung.

Berlin: selbstlernende Systeme ausdrücklich erlaubt

Auch für Berlin liegt der Wortlaut vor. § 47a ASOG trägt die Überschrift „Automatisierte Anwendung zur Analyse vorhandener Daten” und gilt in der geltenden Fassung ab dem 24. Dezember 2025.

Drei Eingriffsschwellen (Abs. 1): Abwehr einer Gefahr für Bestand oder Sicherheit des Bundes oder eines Landes, für Leib, Leben, Freiheit oder sexuelle Selbstbestimmung einer Person oder für Sachen von bedeutendem Wert; Verhütung einer bevorstehenden terroristischen Straftat oder einer Straftat nach § 100a Abs. 2 StPO; sowie die Verhütung einer terroristischen Straftat, wenn das individuelle Verhalten einer Person deren konkrete Wahrscheinlichkeit begründet.

Selbstlernende Systeme sind zulässig — bei der ersten und dritten Schwelle ohne Weiteres, im Übrigen nur bei einer bevorstehenden terroristischen Straftat oder einer Straftat nach § 100b Abs. 2 StPO. Werden sie eingesetzt, darf die Analyse nur durch die Leitung des Landeskriminalamts, deren Vertretung oder besonders beauftragte Beamte des höheren Dienstes angeordnet werden.

Grenzen der Automatisierung. Diskriminierende Algorithmen dürfen weder herausgebildet noch verwendet werden. Automatisierte Entscheidungsfindungen und Sachverhaltsbewertungen sind unzulässig. Alle Ergebnisse müssen durch menschliche Gedankengänge nachvollziehbar sein. Sollen anschließend Maßnahmen gegen Personen getroffen werden, dürfen diesen allein Daten in nicht analysierter Fassung zugrunde gelegt werden.

Daten. Einbezogen werden können unter anderem Vorgangs- und Falldaten, Daten aus polizeilichen Auskunftssystemen, Telekommunikationsdaten und Daten aus Asservaten; bei der ersten Schwelle auch Nutzungs- und Verkehrsdaten. Vorgangsdaten Unbeteiligter bleiben ausgeschlossen. Eine direkte Anbindung an Internetdienste ist ausgeschlossen, ausgenommen geschlossene behördliche Datennetze.

Testen (Abs. 4): Für Tests sind Daten zu anonymisieren; ist das nicht oder nur mit unverhältnismäßigem Aufwand möglich, zu pseudonymisieren; erst danach dürfen personenbezogene Daten verwendet werden. Daten aus Wohnraumüberwachung oder verdecktem Eingriff in informationstechnische Systeme sind ausgeschlossen.

Kontrolle (Abs. 3, 5 und 7): Zugriffe sind zu begründen und zu protokollieren; betroffene Personen, gegen die Folgemaßnahmen getroffen wurden, sind zu benachrichtigen; die behördliche Datenschutzbeauftragte führt mindestens alle zwei Jahre Stichprobenkontrollen durch. Vor Einrichtung oder wesentlicher Änderung ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit anzuhören. Der Senat unterrichtet das Abgeordnetenhaus jährlich; die parlamentarische Kontrolle übt ein Kontrollgremium aus.

Rheinland-Pfalz: nahezu wortgleich mit Baden-Württemberg

Für Rheinland-Pfalz liegt der Wortlaut ebenfalls vor. § 65a POG folgt in Aufbau und Formulierung weitgehend derselben Vorlage wie § 47a PolG BW — bis in einzelne Wendungen hinein.

Übereinstimmend geregelt sind: die manuelle Auslösung anhand anlassbezogener Suchbegriffe, das Verbot einer direkten Anbindung an Internetdienste, die Vorgabe, dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden dürfen, der Ausschluss von Daten aus Wohnraumüberwachung und Online-Durchsuchung, die Löschung von Verkehrsdaten nach zwei Jahren mit Begründungspflicht bei Nichtlöschung, das Rollen- und Rechtekonzept, das Kategorisierungskonzept, der Ausschluss der Vorgangsdaten Unbeteiligter und die Anhörung des Landesbeauftragten für den Datenschutz.

Zwei Unterschiede fallen auf. Rheinland-Pfalz bestimmt ausdrücklich, dass die Analyse Informationen auf der Grundlage vordefinierter Regeln bereitstellt und dass maschinelle Sachverhaltsbewertungen unzulässig sind. Und das Rollen- und Rechtekonzept ist nach Phänomenbereichen gegliedert, mit dem Grundsatz, dass die Zahl der Zugriffsberechtigten umso geringer sein muss, je umfangreicher und sensibler die erfassten Daten sind.

Hessen: das Ursprungsland der Regelung

Hessen ist der Ausgangspunkt der ganzen Entwicklung. Die ursprüngliche Fassung des § 25a HSOG war Gegenstand des Urteils des Bundesverfassungsgerichts vom 16. Februar 2023. Die geltende Fassung gilt ab dem 13. Dezember 2025 und trägt die Überschrift „Automatisierte Anwendung zur Datenanalyse”.

Die Vorschrift beschreibt sich selbst. Sie bezeichnet die Analyse ausdrücklich als technisches Hilfsmittel, das den Polizeibehörden ermöglichen soll, ihre Bewertungen, Prognosen und Entscheidungen auf der Grundlage möglichst verlässlicher Tatsachenfeststellungen zu treffen.

Ein eigener Grundsatz: funktionale Reduzierung der Eingriffsintensität. Rollen- und Rechtekonzept sowie Kategorisierungskonzept orientieren sich am Ziel, das zu analysierende Datenvolumen zu verringern, die Analysemethode angemessen zu wählen und Unbeteiligte größtmöglich zu schützen.

Und eine Staffelung, die kein anderes Land so hat: Eine automatisierte Datenanalyse darf umso komplexer sein, je gewichtiger der Veranlassungszusammenhang ist — und sie muss umso einfacher sein, je weniger gewichtig er ist. Die Eingriffstiefe der Methode wird damit an den sachlichen Bezug der betroffenen Person gekoppelt.

Beim Rollen- und Rechtekonzept formuliert Hessen denselben Grundsatz wie Rheinland-Pfalz, nur andersherum: mehr Berechtigte mit Zugriff auf weniger Daten, wenige Berechtigte mit Zugriff auf mehr.

Vier Gesetze in drei Wochen

Die Geltungsbeginne der geprüften Regelungen liegen dicht beieinander:

Land	Norm	gilt ab
Rheinland-Pfalz	§ 65a POG	1. März 2025
Baden-Württemberg	§ 47a PolG BW	3. Dezember 2025
Hessen	§ 25a HSOG	13. Dezember 2025
Nordrhein-Westfalen	Novelle des PolG NRW	13. Dezember 2025
Berlin	§ 47a ASOG Bln	24. Dezember 2025

Vier davon traten binnen dreier Wochen im Dezember 2025 in Kraft, zwei am selben Tag. Zusammen mit der weitgehenden Wortgleichheit zwischen Baden-Württemberg und Rheinland-Pfalz und den wiederkehrenden Formulierungen in den übrigen Texten deutet das auf eine abgestimmte oder zumindest voneinander abgeleitete Gesetzgebung hin.

Dieser Eintrag stellt fest, dass die Termine so liegen; über die Gründe trifft er keine Aussage.

Was die Länder gemeinsam regeln

Aus den sieben vorliegenden Gesetzestexten — Baden-Württemberg, Bayern, Berlin, Hamburg, Hessen, Nordrhein-Westfalen und Rheinland-Pfalz — lässt sich ein gemeinsamer Kern ablesen:

Alle sieben verlangen eine manuelle Auslösung mit anlassbezogenen Suchkriterien, schließen eine direkte Anbindung an offene Netze aus, verlangen Protokollierung und Begründung des Einzelfalls und binden die Anordnung an eine Leitungsebene.

Sechs von sieben — alle außer Bayern — enthalten die Vorgabe, dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden dürfen. Der Begriff kommt im bayerischen Polizeiaufgabengesetz nicht vor; Bayern regelt stattdessen ein Verbot selbstlernender Systeme.

Vier von sieben schließen Daten aus Wohnraumüberwachung und Online-Durchsuchung ausnahmslos aus; die übrigen lassen sie unter engen Voraussetzungen zu.

Sechs von sieben sehen ein Rollen-, Rechte- oder Berechtigungskonzept sowie ein Kategorisierungskonzept vor, das der eingeschränkten Verwendbarkeit von Daten aus schwerwiegenden Grundrechtseingriffen Rechnung trägt — teils in wortgleicher Formulierung.

Sechs von sieben untersagen die automatisierte Entscheidungsfindung oder maschinelle Sachverhaltsbewertung ausdrücklich.

Sechs von sieben sehen die Anhörung des jeweiligen Landesdatenschutzbeauftragten vor der Einrichtung oder wesentlichen Änderung vor.

Die Übereinstimmungen gehen erkennbar auf das Urteil des Bundesverfassungsgerichts vom 16. Februar 2023 zurück: Die hessische Vorschrift war dessen Gegenstand, und die übrigen Länder haben ihre Regelungen an den dortigen Vorgaben ausgerichtet — teils bis in den Wortlaut.

Nordrhein-Westfalen: kein eigener Paragraf, aber die weitreichendste Technikregelung

In Nordrhein-Westfalen steht die Befugnis nicht in einem eigenen Paragrafen mit entsprechender Überschrift, sondern in § 23 Absatz 6 zur Weiterverarbeitung. Wer nach dem Begriff der automatisierten Datenanalyse sucht, findet sie nicht.

Zwei Eingriffsschwellen (Abs. 6): vorbeugende Bekämpfung besonders schwerer Straftaten, wenn bestimmte Tatsachen die Begehung einer bereits konkretisierten Straftat annehmen lassen oder das individuelle Verhalten die konkrete Wahrscheinlichkeit einer terroristischen Straftat begründet; sowie Abwehr einer Gefahr für Bestand oder Sicherheit des Bundes oder eines Landes, für Leib, Leben oder Freiheit einer Person oder für Sachen von bedeutendem Wert.

Eine niedrigere Schwelle für nicht personenbezogene Auswertung: Zielt die Verarbeitung nicht auf die Gewinnung personenbezogener Erkenntnisse, genügt abweichend davon, dass sie zur Erfüllung polizeilicher Aufgaben erforderlich ist.

Was die Analyse leisten darf, ist ausdrücklich beschrieben: Beziehungen oder Zusammenhänge zwischen Personen, Personengruppierungen, Institutionen, Organisationen, Objekten und Sachen herstellen, unbedeutende Informationen ausschließen, eingehende Erkenntnisse bekannten Sachverhalten zuordnen und Daten statistisch auswerten.

Auflagen bei selbstlernenden Systemen (Abs. 6a): Kommen selbstständig arbeitende oder selbstlernende Systeme zum Einsatz, muss sichergestellt werden, dass diskriminierende Algorithmen weder verwendet noch herausgebildet werden. Soweit technisch möglich, muss die Nachvollziehbarkeit des verwendeten Verfahrens gewährleistet werden. Automatisierte Einzelentscheidungen sind ausgeschlossen.

Protokollierung mit Methodenangabe: Zu protokollieren sind der Anlass der Analyse, das Vorliegen der Voraussetzungen, Angaben zu den einbezogenen Datenbeständen und zur angewandten Analysemethode sowie eine Begründung ihrer Verhältnismäßigkeit im Hinblick auf das Ziel der Maßnahme. Die eingesetzten Systeme sind nachvollziehbar zu dokumentieren; der Landesbeauftragte für Datenschutz überprüft die Vorgänge anhand der Protokolldaten regelmäßig.

Hamburg: die einzige Nachfolgeregelung

Hamburg ist der einzige Fall, in dem das Bundesverfassungsgericht eine Regelung für nichtig erklärt hat und der Landesgesetzgeber anschließend neu geregelt hat. Der neue § 49 gilt ab dem 5. Februar 2025 und trägt die Überschrift „Automatisierte Anwendung zur Auswertung vorhandener Daten”.

Die schärfste Beschreibung des Verfahrens: Die Analyse „wird manuell ausgelöst und läuft regelbasiert auf einer von Menschen definierten Abfolge von Analyse- und Verarbeitungsschritten ab”. Damit ist der Ablauf selbst als menschlich festgelegt beschrieben — kein anderes Land formuliert das so.

Zwei Eingriffsschwellen (Abs. 2): Abwehr einer Gefahr für Bestand oder Sicherheit des Bundes oder eines Landes, für Leib, Leben oder Freiheit einer Person oder für Sachen von bedeutendem Wert; sowie Verhütung bevorstehender Straftaten nach § 100b StPO.

Eine Einschränkung, die sonst fehlt: Handelt es sich um eine Vorfeldstraftat, ist die Maßnahme nur zulässig, wenn eine konkrete oder konkretisierte Gefahr für das geschützte Rechtsgut vorliegt.

Ausschlüsse: Daten aus Wohnraumüberwachung und Online-Durchsuchung dürfen nicht einbezogen werden. Verkehrsdaten sind bei der zweiten Schwelle von der automatisierten Einbeziehung ausgenommen. Eine direkte Anbindung an Internetdienste ist ausgeschlossen. Vorgangsdaten Unbeteiligter bleiben außen vor.

Selbstlernende Systeme: drei Antworten

Bei der Frage, ob maschinelles Lernen für diese Maßnahme eingesetzt werden darf, unterscheiden sich die Länder mit vorliegendem Gesetzestext deutlich:

Bayern verbietet es. Art. 61a Abs. 5 Nr. 2 BayPAG untersagt die Verwendung selbstlernender Systeme.

Berlin erlaubt es unter engeren Voraussetzungen als die Analyse selbst und bindet die Anordnung an die Leitung des Landeskriminalamts.

Nordrhein-Westfalen setzt es voraus und knüpft Auflagen daran — Schutz vor diskriminierenden Algorithmen, Nachvollziehbarkeit des Verfahrens, Ausschluss automatisierter Einzelentscheidungen, Protokollierung der Analysemethode.

Hamburg und Rheinland-Pfalz benennen selbstlernende Systeme nicht, beschreiben das Verfahren aber so, dass maschinelles Lernen der Sache nach ausscheidet: Hamburg verlangt einen Ablauf „regelbasiert auf einer von Menschen definierten Abfolge von Analyse- und Verarbeitungsschritten”, Rheinland-Pfalz eine Arbeitsweise „auf der Grundlage vordefinierter Regeln”.

Baden-Württemberg und Hessen treffen dazu keine ausdrückliche Regelung.

Damit ergibt sich eine Reihe von der engsten zur weitesten Regelung: Bayern verbietet, Hamburg und Rheinland-Pfalz schließen der Beschreibung nach aus, Baden-Württemberg und Hessen schweigen, Berlin erlaubt unter Voraussetzungen, Nordrhein-Westfalen setzt voraus.

Wohnraumüberwachungsdaten: vier Antworten

Baden-Württemberg, Hamburg, Hessen und Rheinland-Pfalz schließen Daten aus Wohnraumüberwachung und Online-Durchsuchung ausnahmslos aus.

Nordrhein-Westfalen lässt sie zu, soweit dies zur Abwehr einer gegenwärtigen Gefahr für Leib, Leben oder Freiheit einer Person unerlässlich ist.

Bayern lässt sie bei der ersten Eingriffsschwelle zu, aber nur zur Abwehr einer dringenden Gefahr; bei der zweiten Schwelle sind sie ausgeschlossen.

Für den thüringischen Entwurf berichtet die Fachpresse, dass bei Gefahr für die öffentliche Sicherheit auch Daten aus der verdeckten Überwachung von Wohnraum oder Privatgeräten einfließen dürfen. Diese Angabe beruht auf Berichterstattung über einen Entwurf und ist mit Vorbehalt zu lesen.

Eine wiederkehrende Formulierung

Zwei Länder enthalten in ihren allgemeinen Vorschriften zur Datenspeicherung eine gleichlautende Schranke:

Wertende Angaben dürfen nicht allein auf Informationen gestützt werden, die unmittelbar durch automatisierte Datenverarbeitung gewonnen wurden — so § 22 Abs. 6 PolG NRW und § 38 Abs. 4 BbgPolG.

Diese Vorschriften stammen erkennbar aus einer Zeit vor der aktuellen Diskussion, greifen aber dieselbe Frage auf, die auch die neueren Regelungen beschäftigt: Ein maschinell erzeugtes Ergebnis darf eine polizeiliche Bewertung nicht allein tragen.

Ein Muster: Polizeidaten für Entwicklung und Training

Bei der Durchsicht der Landesgesetze fällt eine zweite Vorschriftengruppe auf, die nicht die Analyse selbst betrifft, sondern die Verwendung polizeilicher Bestandsdaten für die Entwicklung und das Training von Systemen:

• Baden-Württemberg: § 57a PolG BW — Weiterverarbeitung zur Entwicklung, zum Training, zum Testen, zur Validierung und zur Beobachtung informationstechnischer Produkte
• Berlin: § 47a Abs. 4 ASOG — Verarbeitung zu Testzwecken, mit Vorrang von Anonymisierung und Pseudonymisierung
• Nordrhein-Westfalen: § 24b PolG NRW — Weiterverarbeitung zu IT-Entwicklungszwecken

Bayern kennt keine solche Vorschrift. Eine Durchsicht des Polizeiaufgabengesetzes ergab keine Regelung zur Weiterverarbeitung für Entwicklungs-, Trainings- oder Testzwecke; die Begriffe kommen im Gesetz nicht vor. Das passt zu dem in Art. 61a Abs. 5 Nr. 2 geregelten Verbot selbstlernender Systeme: Wo maschinelles Lernen für die Maßnahme untersagt ist, entfällt der Anlass, das Training gesondert zu regeln.

Diese Vorschriften sind in dieser Übersicht nicht erfasst. Sie wären eine eigene Frage wert.

Stand der Recherche

Alle Angaben stammen aus Rechtsprechung, Sachverständigenstellungnahmen, Fachberichterstattung und Auskünften von Innenministerien. Die Gesetzestexte der Länder wurden nicht ausgewertet.