1. Werden gespeicherte Datenbestände mittels einer automatisierten Anwendung zur Datenanalyse oder -auswertung verarbeitet, greift dies in die informationelle Selbstbestimmung (Art. 2 Abs. 1 in Verbin

des § 49 HmbPolDVG Verfahrensgegenstände. In beiden Verfahren rügen die Beschwerdeführenden mit ähnlichem Vorbringen, § 25a HSOG beziehungsweise § 49 HmbPolDVG griffen unverhältnismäßig in ihr Grundrecht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) ein. Soweit auch personenbezogene Daten aus Wohnraum- oder Telekommunikationsüberwachung in die Datenanalyse oder -auswertung einbezogen würden, seien überdies das Grundrecht auf Unverletzlichkeit der Wohnung aus Art. 13 Abs. 1 GG und das Fernmeldegeheimnis nach Art. 10 Abs. 1 GG verletzt. Im Verfahren 1 BvR 1547/19 machen die Beschwerdeführenden zudem für den Fall einer Einbeziehung von durch Online-Durchsuchung erhobenen Daten eine Verletzung der durch Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG geschützten Vertraulichkeit und Integrität informationstechnischer Systeme geltend. In beiden Verfassungsbeschwerden wird ferner vorgetragen, aufgrund von Mängeln der angegriffenen Regelungen und ihrer Begleitbestimmungen liege auch eine Verletzung des Grundrechts auf effektiven Rechtsschutz aus Art. 19 Abs. 4 GG vor. Die Beschwerdeführenden sind der Ansicht, aus der besonderen Eingriffsintensität der Ermächtigungen zur Verarbeitung personenbezogener Daten mittels einer automatisierten Anwendung zur Datenanalyse oder -auswertung ergäben sich besondere Rechtfertigungsanforderungen. Den nach §

§ 49Hmb

PolDVG möglichen Maßnahmen komme eine ganz andere Qualität zu als einer bloßen weiteren Nutzung personenbezogener Daten, für die der Grundsatz der hypothetischen Datenneuerhebung als Maßstab genüge. Die schärferen Anforderungen seien durch die angegriffenen Regelungen nicht erfüllt. Die hinsichtlich der eingesetzten Methoden offene Ermächtigung zur verdeckten Datenverarbeitung ohne Begrenzung von Datenart und -umfang erlaube die Erstellung von Persönlichkeits- und Sozialprofilen. Aufgrund der technischen Entwicklung ergäben sich neue, eingriffsintensivere Möglichkeiten der Herstellung von Verknüpfungen und der Erzeugung neuer Informationen, wobei auch der Einsatz komplexer Algorithmen und lernfähiger Systeme in Betracht komme. Soweit personenbezogene Daten aus der Wohnraum- oder Telekommunikationsüberwachung oder aus einer Online-Durchsuchung einflössen, erhöhe sich wegen des Persönlichkeitsbezugs der Daten das Gewicht des Eingriffs. Die Begrenzung auf bestehende polizeiliche Datenbestände schränke den möglichen Zugriff nicht hinreichend ein, da solche Bestände unter relativ geringen Anforderungen erweitert werden könnten. Weil von der Datenanalyse oder -auswertung in großer Zahl Menschen erfasst seien, die hierfür keinen Anlass gegeben hätten, könnten die Maßnahmen enorme Streubreite haben. Ein besonderes Risiko ergebe sich insoweit aus dem Zugriff auf Daten aus polizeilichen Vorgangsverwaltungsdatenbanken. Datenanalysen und -auswertungen nach den angegriffenen Regelungen müssten einem herausragenden öffentlichen Interesse dienen und dürften daher nur zum Schutz von besonders gewichtigen Rechtsgütern wie Leib, Leben oder Freiheit der Person sowie Bestand oder Sicherheit des Bundes oder eines Landes zugelassen werden. Für diese müsse eine mindestens konkretisierte Gefahr bestehen. Für Maßnahmen nach der ersten Alternative des § 25a Abs. 1 HSOG und des § 49 Abs. 1 HmbPolDVG sei aber keine insofern ausreichende Eingriffsschwelle geregelt. Der in Bezug genommene Straftatenkatalog des § 100a Abs. 2 StPO umfasse zudem Gefährdungstatbestände, die Handlungen im Vorfeld einer Rechtsgutsverletzung kriminalisierten und teilweise die Strafbarkeit erheblich vorverlagerten. Auch würden nicht durchgängig hinreichend gewichtige Rechtsgüter vorausgesetzt. Der nach § 25a Abs. 1 Alt. 1 HSOG und § 49 Abs. 1 Alt. 1 HmbPolDVG relevante Katalog des § 100a Abs. 2 StPO enthalte auch Straftaten, deren Schutzgüter nicht gewichtig genug seien, zumal der insoweit einschränkende § 100a Abs. 1 Satz 1 Nr. 2 StPO hier keine Anwendung finde. Die Beschwerdeführenden sind zudem der Ansicht, dass den angegriffenen Regelungen keine ausreichenden Verfahrenssicherungen in Bezug auf Transparenz, Rechtsschutz und Kontrolle zur Seite gestellt seien. Insoweit beanstanden sie, dass die Regelungen weder Benachrichtigungspflichten noch ein Auskunftsrecht enthielten. Auch die gesetzlichen Vorgaben für die Aufsicht seien ungenügend. Angesichts der Eingriffsschwere sei ein Richtervorbehalt oder jedenfalls eine Ausweitung der Befugnisse der Datenschutzbehörde sowie eine vollständige Protokollierung erforderlich. Zudem fehlten eingrenzende Vorgaben zur Dauer der Maßnahme, zur Löschung und zur Anwendung der aus den Grundsätzen der Zweckbindung und -änderung resultierenden Beschränkungen. Im Verfahren 1 BvR 2634/20 machen die Beschwerdeführenden zudem Ausführungen zu besonderen rechtsstaatlichen Herausforderungen der möglichen Verwendung komplexer Algorithmen und (teil-)autonomer Datenverarbeitungssysteme, bei deren Einsatz effektiver Rechtsschutz nur zu gewährleisten sei, wenn eine wirksame technische Vorab- und Dauerkontrolle durch eine unabhängige Instanz erfolge. Bei den nach § 49 HmbPolDVG möglichen komplexen Analysen seien außerdem Vorkehrungen zur Sicherung ihrer Mindestqualität erforderlich. Im Verfahren 1 BvR 1547/19 haben die Hessische Staatskanzlei und der Hessische Beauftragte für Datenschutz und Informationsfreiheit, im Verfahren 1 BvR 2634/20 die Behörde für Justiz und Verbraucherschutz der Freien und Hansestadt Hamburg und der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit Stellung genommen. Der Bundesbeauftrage für den Datenschutz und die Informationsfreiheit hat in beiden Verfahren Stellungnahmen abgegeben.

1. Die Hessische Staatskanzlei hält die Verfassungsbeschwerde im Verfahren 1 BvR 1547/19 bereits für unzulässig. Sie scheitere aus Gründen der Subsidiarität. Außerdem sei die Beschwerdebefugnis nicht ausreichend dargelegt. Die Beschwerdeführenden setzten sich nur unzureichend mit den bislang noch nicht geklärten Möglichkeiten der Auslegung des § 25a HSOG in Zusammenschau mit weiteren Normen auseinander. Sie verfehlten die Substantiierungsanforderungen aber auch deshalb, weil sie von vornherein von einem zu hohen Eingriffsgewicht ausgingen. Die Datenanalyse sei auf den rechtmäßigen polizeilichen Datenbestand beschränkt. Es würden lediglich vorhandene Daten sowie die darin erfassten Verbindungen nachvollziehbar zusammengeführt und dargestellt. Da eine Erhebung durch die Polizei und eine Speicherung in ihren Datenbanken nach den gesetzlichen Vorgaben erfolgt sein müsse, sei auch nicht eine unbegrenzte Zahl von Personen betroffen, die noch nie anlassbezogen polizeilich erfasst worden seien. Die Integration von Daten aus öffentlich zugänglichen sozialen Netzwerken in das nicht an das Internet angeschlossene Analysesystem hessenDATA könne nur manuell unter Beachtung der datenschutzrechtlichen Bestimmungen vorgenommen werden. Es gehe nicht um umfassende Persönlichkeitsbilder und Sozialprofile, sondern allein um die Effektivierung und Beschleunigung der Datenverarbeitung innerhalb eines klar definierten Datenbestands. Ein datenschutzrechtliches Sonderregime sei für die Durchführung der Datenanalyse nach § 25a HSOG nicht erforderlich, da die verfassungsrechtlichen Vorgaben durch die anwendbaren sonstigen Regelungen umgesetzt würden; hiermit hätten sich die Beschwerdeführenden nicht vertieft auseinandergesetzt. Mit § 25a HSOG werde kein flächendeckend verfügbares Instrument geschaffen. Die Befugnis dürfe nur in begründeten Einzelfällen und unter Berücksichtigung des allgemeinen Verhältnismäßigkeitsgebots in Anspruch genommen werden. Die Nutzung zur vorbeugenden Bekämpfung von Straftaten setze tatsächliche Anhaltspunkte für die potenzielle Begehung einer Straftat voraus. Dabei wirke sich die Notwendigkeit eines Verdachts von schweren Straftaten nach § 100a Abs. 2 StPO zusätzlich gefahrerhöhend aus. Die Anforderungen an die Gefahrenprognose sänken, je höherwertig das durch die Straftat zu schützende Rechtsgut sei, so dass in aller Regel jedenfalls ein Anfangsverdacht für die Erforderlichkeit einer Datenanalyse nach § 25a Abs. 1 HSOG genüge. Bei der zweiten Anwendungsalternative werde hinreichend bestimmt eine konkrete Gefahr für die benannten Schutzgüter verlangt. Auch die Beanstandung der Regelungen zur Gewährleistung von Transparenz, Rechtsschutz und Kontrolle sei nicht hinreichend substantiiert. Die gesetzlichen Informations-, Benachrichtigungs- und Auskunftspflichten nach § 29 HSOG in Verbindung mit §§ 50 bis 52 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) fänden auf § 25a HSOG ebenso Anwendung wie die Protokollpflichten nach § 71 HDSIG sowie die Berichtigungs-, Lösch- und Verarbeitungseinschränkungspflichten nach § 27 HSOG in Verbindung mit §§ 53, 70 HDSIG. Demensprechend sei für hessenDATA ein Löschkonzept mit umfangreichen Löschroutinen entwickelt worden, dessen Inhalte im Rahmen vorab stattfindender Schulungen und durch Unterlagen vermittelt würden. Der von den Beschwerdeführenden angeführten Gefahr eines missbräuchlichen Zugriffs durch beliebige Polizistinnen und Polizisten werde mit den Vorgaben des Hessischen Datenschutz- und Informationsfreiheitsgesetzes – insbesondere zur Sicherheit der Datenverarbeitung, zur Durchführung der Datenschutz-Folgenabschätzung und zur vorherigen Konsultation des Hessischen Datenschutzbeauftragten – begegnet. Es seien zudem nach § 65 HDSIG ein Verzeichnis von Verarbeitungstätigkeiten anzufertigen, und nach § 59 Abs. 1 Satz 1 und § 66 HDSIG seien Maßnahmen zur Gewährleistung eines – unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und der Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen – dem Risiko angemessenen Schutzniveaus zu treffen. In Abstimmung mit dem Hessischen Datenschutzbeauftragten seien für hessenDATA in einem die genannten Grundsätze berücksichtigenden Rechte- und Rollenkonzept Nutzerkreise und strenge Nutzungsbedingungen festgelegt worden. Danach könne lediglich ein beschränkter Benutzerkreis in sachlich zuständigen Organisationsbereichen nach entsprechender Schulung, Belehrung und Freischaltung innerhalb des jeweiligen Zuständigkeitsbereichs die Analyseplattform nutzen. Eine wirksame Aufsicht sei gewährleistet. Dem Datenschutzbeauftragten kämen über die in § 25a Abs. 3 Satz 2 HSOG vorgesehene Einbindung hinaus seine Rechte aus § 14 HDSIG zu, wozu etwa das Recht der Beanstandung, der Anordnung von Abhilfemaßnahmen oder der Warnung zähle. Damit korrespondiere die Verpflichtung öffentlicher Stellen nach § 14 Abs. 4 Satz 1 HDSIG, den Datenschutzbeauftragten bei seinen Aufgaben zu unterstützen, was sich vor allem in der Pflicht zur Kooperation bei Ausübung der ihm zugewiesenen Untersuchungsbefugnisse – auch in Hinblick auf Verarbeitungsvorgänge inklusive der hierzu verwendeten Software – manifestiere. In Ergänzung dazu verpflichte § 63 HDSIG zur proaktiven Zusammenarbeit mit dem Hessischen Datenschutzbeauftragten; § 64 HDSIG sehe zudem bei Inbetriebnahme neuer Verarbeitungsvorgänge und bei wesentlichen Veränderungen bestehender Dateisysteme mit erheblichem Gefährdungspotenzial die Pflicht der für den Datenschutz verantwortlichen Stelle vor, sich an den Hessischen Datenschutzbeauftragten zu wenden und diesen anzuhören.
2. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit berichtet über Schlussfolgerungen, die er vor dem Hintergrund seiner Prüftätigkeit im Hinblick auf die praktische Anwendung von hessenDATA gezogen habe, und gelangt zu der Einschätzung, § 25a HSOG sei verfassungswidrig. Die Eingriffsschwellen seien gemessen am Eingriffsgewicht nicht bestimmt genug beziehungsweise zu weit gefasst. Die beiden tatbestandlichen Alternativen bereiteten Schwierigkeiten bei der Definition eines klaren Anwendungsbereichs. Da die erste Alternative der vorbeugenden Bekämpfung von Straftaten die Anwendung weit ins Gefahrenvorfeld ziehe, in dem die Grenzen von Gefahrenabwehr und Strafverfolgung verschwömmen, drohe eine Umgehung der Strafprozessordnung, in der eine vergleichbare Rechtsgrundlage fehle. Es bestehe die Möglichkeit, dass der für die Weiterverarbeitung personenbezogener Daten erforderliche Ermittlungsansatz schon in den tatsächlichen Anhaltspunkten für das Vorliegen einer Straftat oder im Anfangsverdacht für eine Straftat nach § 100a Abs. 2 StPO gesehen und damit bereits eine Nutzung der Anwendung zu präventiven Zwecken begründet werde. Wegen der Eingriffstiefe des sogenannten "Data-Mining" sei die Eingriffsschwelle des § 25a Abs. 1 Alt. 1 HSOG nicht hinreichend qualifiziert. Zu fordern sei eine hinreichend konkretisierte Gefahr. Zu einer Einhegung der Anwendungsfälle im Gefahrenvorfeld tauge auch das Tatbestandsmerkmal "begründeter Einzelfall" nicht, weil § 25a Abs. 1 Alt. 1 HSOG hierzu keine weiteren Anhaltspunkte enthalte und sich auch aus den gesetzlichen Protokollierungspflichten keine weitere Konturierung ergebe; entsprechend werde hessenDATA von den Behörden so genutzt, dass nicht an einen konkreten Sachverhalt in einem einzelnen Ermittlungsverfahren angeknüpft werde, sondern die Software in übergreifenden Vorgängen und Projekten in verschiedenen Phänomenbereichen Anwendung finde. Um eine wirkliche Auseinandersetzung im Einzelfall sowie eine rechtliche Überprüfung zu gewährleisten, sollte daher in § 25a HSOG im Sinne der Normenklarheit und Bestimmtheit eine gesonderte Pflicht zu einer ausformulierten und dokumentierten Begründung festgeschrieben werden. Die nach § 71 Abs. 2 HDSIG geforderte Begründung im Rahmen der Protokollierung genüge nicht, weil durch diese nur eine technische Nachvollziehbarkeit der Abfragen sichergestellt werde. Eine erhöhte Eingriffsintensität ergebe sich aus der Vielzahl, Breite und Art der verwendeten Datenbestände, die auch Daten von Nichtstörern beziehungsweise Nichttatverdächtigen, strafprozessual millionenfach erhobene Daten (überwiegend unbeteiligter Personen) aus Funkzellenabfragen und polizeiexterne Daten umfassten. Nicht mehr angemessen erscheine § 25a HSOG ferner deswegen, weil mit der in Hessen eingesetzten Software Persönlichkeitsprofile erstellt werden könnten. Diese Gefahr bestehe insbesondere, weil nach § 20 Abs. 9 HSOG die Einbeziehung der umfangreichen, auch "sonstige Personen" betreffenden Daten aus dem Vorgangsbearbeitungssystem ComVor als Durchbrechung der strengen Zweckbindung zulässig sei. Trotz des Rückgriffs auf solche Daten sowie der Komplexität der Analyse fehle es der Norm zudem an einer gesetzlichen Eingrenzung der Zugriffsmöglichkeiten und Nutzungen von Anwendungen wie hessenDATA. Zwar bestünden abgestufte Zugriffsrechte und Beschränkungen für Daten aus besonders eingriffsintensiven Maßnahmen, grundsätzlich könnten aber ohne konkrete gesetzliche Begrenzungen alle Nutzer zugreifen. Betroffenenrechte und Rechtsschutzmöglichkeiten seien nicht hinreichend verankert. Problematisch sei, dass das gesetzliche Auskunftsrecht allein hinsichtlich der Quellsysteme und nicht auch hinsichtlich der Analyseergebnisse verstanden werden könne. Die Norm mache auch keine Vorgaben, wie eine Speicherfrist für die Analyseergebnisse umgesetzt werden solle. Auch spezielle gesetzliche Protokollierungspflichten nach § 28 HSOG oder die gesetzliche Benachrichtigungspflicht nach § 29 Abs. 5 in Verbindung mit § 28 Abs. 2 HSOG umfassten § 25a HSOG nicht, weswegen für eine betroffene Person bei Ablehnung eines Auskunftsersuchens zu § 25a HSOG Rechtsschutz kaum erreichbar sei. Schließlich seien die verfahrensbegleitenden Schutzmaßnahmen gemessen an der Eingriffsintensität unzureichend. Die Datenschutzbehörde sei lediglich 2019 mehrfach zu generellen phänomenbezogenen Anordnungen der Polizeibehörden angehört worden, auf deren Grundlage die Anwendung von hessenDATA nunmehr offenbar solange erfolge, wie keine größeren Veränderungen in technischer Hinsicht beziehungsweise bei der Nutzung von Quellsystemen einträten. Dadurch laufe die als Absicherung in datenschutzrechtlicher Hinsicht gedachte Anhörung nach § 25a Abs. 3 Satz 2 HSOG leer. Hinzu komme, dass die Datenschutzbehörde nicht befugt sei, eine vorübergehende oder endgültige Beschränkung der Verarbeitung anzuordnen.
3. Die Behörde für Justiz und Verbraucherschutz der Freien und Hansestadt Hamburg zweifelt im Verfahren 1 BvR 2634/20 bereits an der Zulässigkeit der Verfassungsbeschwerde. Diese sei auch unbegründet. § 49 HmbPolDVG sei nur Ermächtigung für eine technische Hilfestellung für die im Einzelfall tätigen Polizisten und von allenfalls moderater Eingriffsqualität. Die Datenverarbeitung im Wege einer automatisierten Anwendung begründe keine andere Qualität, wegen der über die Grundsätze der hypothetischen Datenneuerhebung hinaus weitere Anforderungen angelegt werden müssten. Der automatisierte Zugriff unterscheide sich nicht vom gezielten Blick eines Beamten in eine Akte oder ein Dateisystem im Sinne einer manuellen Auswertung; für diese werde lediglich ergänzend eine technische Alternative bereitgestellt. Insbesondere gehe es trotz der Beschreibung in Absatz 2 nicht darum, gewissermaßen anlassunabhängig umfassende Sozialprofile ganzer Milieus oder Persönlichkeitsprofile zu erstellen. Zum einen komme dem Merkmal "in begründeten Einzelfällen" deutlich einschränkende Wirkung zu, zum anderen unterliege auch die weitere Behandlung der durch die Anwendung gewonnenen Erkenntnisse den gesetzlichen Vorgaben des Datenschutzrechts. Bedeutsam sei zudem, dass § 49 HmbPolDVG nicht zu Datenerhebungen ermächtige, die Möglichkeiten einer Gewinnung neuer Erkenntnisse also durch den vorhandenen Datenbestand eingeschränkt seien. Dass sich so neue Verdachtsmomente ergeben könnten, an die sich operative Maßnahmen anschließen, sei bei der Verarbeitung von in polizeilichen Dateisystemen gespeicherten Daten nichts Ungewöhnliches. Die angegriffene Regelung sei den Vorstellungen des Gesetzgebers gemäß auszulegen, der den Einsatz von Software zum "predictive policing" abgelehnt habe und den Einsatz komplexer Algorithmen und lernfähiger Systeme nicht zulassen wollte. Dies komme auch in der Ersetzung des Begriffs "Datenanalyse" durch "Datenauswertung" zum Ausdruck. Die erste tatbestandliche Alternative der vorbeugenden Bekämpfung bestimmter Straftaten umfasse lediglich die "Verhütung von Straftaten", nicht aber die "Vorsorge für die Verfolgung künftiger Straftaten". Angesichts des Wortlauts der angegriffenen Regelung, insbesondere des Merkmals "in begründeten Einzelfällen", seien zudem stets tatsächliche Anhaltspunkte für die bevorstehende Begehung einer Straftat zu fordern; eine abstrakte Gefahrenlage genüge nicht. Bereits die tatbestandliche Anknüpfung an bestimmte Straftatbestände verlange zwangsläufig hinreichende und gesicherte Erkenntnisse über den erwarteten Geschehensablauf. Es sei auch nicht zu beanstanden, dass die angegriffene Regelung für die einzusetzende automatisierte Anwendung zur Datenauswertung keine konkreten Vorgaben mache. Der Gesetzgeber dürfe Ermächtigungsgrundlagen grundsätzlich technikoffen halten. Detailliertere Verfahrensregelungen seien angesichts der nicht besonders hohen Eingriffsintensität der Norm, die bereits durch eine Vielzahl von Verfahrensbestimmungen des gesetzlichen Gesamtkontexts flankiert sei, nicht erforderlich.
4. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit teilt im Ergebnis weithin die Bedenken der Beschwerdeführenden im Verfahren 1 BvR 2634/20 . § 49 HmbPolDVG schaffe kaum begrenzte Möglichkeiten der Zusammenführung zur Weiternutzung vormals getrennter, zweckgebundener polizeilicher Daten. Besonders kritisch sei, dass auch die polizeilichen Vorgangsverwaltungs- und Bearbeitungssysteme einbezogen werden könnten. Diese dienten dem Auffinden von Vorgängen und der Rekonstruktion, welche Anzeigen, Sachverhalte und sonstigen Geschehnisse im Zuge der polizeilichen Tätigkeit bearbeitet worden seien. In diese Datenbanken werde eine nicht unerhebliche Zahl von Betroffenen ohne eigenes Zutun aufgenommen. Auch die an § 6a ATDG angelehnte Regelung der Methode wirke eingriffsverstärkend. Die im Gesetzgebungsverfahren geäußerte Ansicht, mit der Ersetzung des Begriffs der "Datenanalyse" durch den der "Datenauswertung" sei ein "Data-Mining" ausgeschlossen, überzeuge kaum. Welche Methodik zur Verarbeitung verwendet werden solle, sei in § 49 HmbPolDVG nicht ersichtlich; die Gesetzesentstehung lasse erkennen, dass es um Effektivitätssteigerungen gehe. Es bestehe das Risiko der Erzeugung nahezu umfassender Persönlichkeitsbilder und Sozialprofile verdächtiger Zielpersonen; die Verarbeitung verschaffe der Polizei neue Erkenntnisse und Zusammenhänge. Die in der angegriffenen Regelung formulierte Voraussetzung "in begründeten Einzelfällen...erforderlich" genüge nicht den verfassungsrechtlichen Anforderungen an die Eingriffsschwelle, wonach wenigstens tatsächliche Anhaltspunkte für die Entstehung einer konkreten Gefahr zu verlangen seien. Fraglich sei, ob angesichts der Eingriffsschwere die Mindestschwelle einer konkreten Gefahr überhaupt noch genüge. Höher müsse die Eingriffsschwelle jedenfalls liegen, wenn Daten verarbeitet würden, die aus einer Wohnraumüberwachung erlangt wurden. Eine entsprechende polizeiliche Praxis sei zwar angesichts der allgemeinen Grundsätze der Zweckbindung für die Weiterverwendung von Daten nach § 34 Abs. 4 HmbPolDVG möglich, jedoch praktisch wegen der potenziellen Menge an Abfragen problematisch. In jedem Fall wäre eine solche Lösung technisch anspruchsvoll, weil im Rahmen der Zusammenführung verschiedene Eingriffsschwellen für unterschiedliche Dateisysteme abgebildet werden müssten. Auch sei zum Teil sehr zweifelhaft, ob mit dem in Bezug genommenen Katalog des § 100a Abs. 2 StPO hinreichend bedeutsame Rechtsgüter geschützt würden. Außerdem bedürfe es einer speziellen Auskunftsregelung und spezieller Löschpflichten. Zudem müsse die aufsichtsrechtliche Kontrolle erweitert werden, da nach gegenwärtiger Gesetzeslage eine sinnvolle Aufsicht durch die Datenschutzbehörde nicht möglich sei.
5. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zweifelt an der Verfassungsmäßigkeit des §

des § 49 HmbPolDVG. Den Regelungen komme eine erhöhte Eingriffsintensität zu, weil auf ihrer Grundlage ein umfassender Zugriff auf sämtliche polizeiliche Datenbestände und damit potenziell auf eine sehr große Menge teils sensibler Daten eines großen Kreises von Personen genommen werden könne. Problematisch seien insbesondere die Einbeziehung von Vorgangsbearbeitungssystemen und die perspektivischen Möglichkeiten einer umfassenden Einbeziehung der Datenbanken anderer Polizeien von Bund und Ländern. Weiterhin erhöhe die Art und Weise der Datenverarbeitung das Eingriffsgewicht. Das durch die Regelungen zugelassene "Data-Mining" gehe über die Rasterfahndung hinaus, weil diese immer noch durch ein begrenzendes Auswerteraster geprägt sei, nun aber Systeme Daten auch unabhängig von einem Raster mit trainierten oder selbstlernenden Algorithmen auswerteten. Eine Nutzung von künstlicher Intelligenz sei nicht ausgeschlossen. Problematisch sei dabei unter Transparenzgesichtspunkten, dass beim maschinellen Lernen nach dem derzeitigen Stand der Technik die Nachvollziehbarkeit nicht sichergestellt sei. Das unklare Merkmal "begründeter Einzelfall" werde weder durch das Erfordernis einer konkreten Gefahrenlage oder tatsächlicher Anhaltspunkte noch durch eine sonstige Schwelle eingegrenzt, so dass in der polizeilichen Praxis eine sehr weite Auslegung zu befürchten sei. Es drohe eine Anwendung bereits bei bestimmten Entwicklungen einer polizeilichen Lage (etwa allgemeine Zunahme von Drogendelikten) oder bei jeder Strafanzeige. Die Vorschriften könnten zum Standardinstrument werden. Auch der Verweis auf § 100a Abs. 2 StPO sei problematisch, unter anderem weil der Katalog nach den Erweiterungen der letzten Jahre auch niederschwellige Delikte aufliste. Zudem sei zweifelhaft, ob die notwendige Trennung nach den unterschiedlichen Zweckbestimmungen bei der automatisierten Datenauswertung praktisch gewährleistet werden könne. Die Einhaltung der Zweckbindung sei bei Zusammenführung und Abgleich einer großen Menge von Daten aus unterschiedlichen Quellen schwierig. Eine Durchbrechung der Zweckbindung sei zwar für § 49 HmbPolDVG anders als bei § 25a in Verbindung mit § 20 Abs. 9 Satz 3 HSOG nicht ausdrücklich geregelt, aber der Zielrichtung nach offenbar auch dort intendiert. Das Bundesverfassungsgericht hat am 20. Dezember 2022 eine mündliche Verhandlung durchgeführt. Geäußert haben sich die Beschwerdeführenden, die Hessische Landesregierung sowie der Senat der Freien und Hansestadt Hamburg. Als sachkundige Dritte nach § 27a BVerfGG haben sich der Hessische Beauftragte für Datenschutz und Informationsfreiheit, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit sowie Dr. Constanze Kurz für den Chaos Computer Club e.V. geäußert. Die Verfassungsbeschwerden gegen §

gegen § 49 HmbPolDVG sind zulässig, soweit sie gegen die Eingriffsschwelle in § 25a Abs. 1 Alt. 1 HSOG und § 49 Abs. 1 Alt. 1 HmbPolDVG (Datenanalyse oder -auswertung zur vorbeugenden Bekämpfung von Straftaten) gerichtet sind. Insoweit erscheint eine Verletzung der Beschwerdeführenden in ihrer durch Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG als Ausprägung des allgemeinen Persönlichkeitsrechts geschützten informationellen Selbstbestimmung möglich. Im Übrigen sind die Verfassungsbeschwerden unzulässig. Gegenstand der Prüfung ist damit weder die Frage, ob die Gesetzgeber verfassungsrechtlich ausreichende Regelungen zu den durch die Datenanalyse oder -auswertung nach §

§ 49Hmb

PolDVG zu schützenden Rechtsgütern getroffen haben. Noch ist hier zu überprüfen, ob die für Transparenz und Rechtsschutz sorgenden Verfahrens- und Organisationsregelungen verfassungsrechtlichen Anforderungen genügen, ob insbesondere auch mit Blick auf komplexe Formen automatisierten Datenabgleichs bis hin zu selbstlernenden Systemen (Künstliche Intelligenz, "KI") hinreichende verfahrensrechtliche Sicherungen bestehen. Es ist auch nicht zu prüfen, ob der verfassungsrechtliche Grundsatz der Zweckbindung bereits erhobener personenbezogener Daten gewahrt ist, ob also insbesondere auch hinreichend begrenzt ist, inwiefern Daten, die unter Eingriff in Art. 13 Abs. 1 GG oder Art. 10 Abs. 1 GG erhoben worden sind, weiter genutzt werden dürfen. Insoweit haben die Beschwerdeführenden die Möglichkeit einer Grundrechtsverletzung nicht ausreichend dargelegt. Überwiegend fehlen konkretere Ausführungen zu den verfassungsrechtlichen Anforderungen. Zudem hätte eine nähere Auseinandersetzung mit dem einfachgesetzlichen Normenbestand erfolgen müssen, vor allem mit der Frage, warum die aus Sicht der Beschwerdeführenden gebotenen Sicherungen nicht bereits in anderen Bestimmungen des geltenden Rechts, insbesondere des Landesdatenschutz- und Polizeirechts, enthalten sind, die konkret zu benennen und deren Reichweite zu erörtern gewesen wären (vgl. dazu auch BVerfG, Urteil des Ersten Senats vom

1. April 2022 - 1 BvR 1619/17 -, Rn. 129, 132 – Bayerisches Verfassungsschutzgesetz). Die Verfassungsbeschwerden sind, soweit sie zulässig sind, begründet. Aufgrund der angegriffenen Befugnis kann jedenfalls in die durch Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG als Ausprägung des allgemeinen Persönlichkeitsrechts geschützte informationelle Selbstbestimmung eingegriffen werden (I). Ein Grundrechtseingriff durch automatisierte Datenanalyse oder -auswertung durch Polizeibehörden ist grundsätzlich verfassungsrechtlich rechtfertigbar. Die verfassungsrechtlichen Anforderungen an die Rechtfertigung einer automatisierten Datenanalyse oder -auswertung richten sich nach der konkreten Reichweite der Befugnis und sind entsprechend variabel; hier sind sie angesichts der Ausgestaltung der angegriffenen Vorschriften streng (II). § 25a Abs. 1 Alt. 1 HSOG und § 49 Abs. 1 Alt. 1 HmbPolDVG enthalten danach keine ausreichende Eingriffsschwelle (III). Beide Vorschriften sind deshalb verfassungswidrig. Dies betrifft die Datenanalyse oder -auswertungsbefugnis zur vorbeugenden Straftatenbekämpfung. Die Befugnis zur Abwehr von Gefahren (§ 25a Abs. 1 Alt. 2 HSOG, § 49 Abs. 1 Alt. 2 HmbPolDVG) bleibt unberührt. Werden gespeicherte Datenbestände gemäß § 25a HSOG oder § 49 HmbPolDVG mittels einer automatisierten Anwendung zur Datenanalyse oder -auswertung verarbeitet, greift dies in die informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) aller ein, deren Daten bei diesem Vorgang personenbezogen Verwendung finden. Mit der automatisierten Auswertung gespeicherter Daten erlaubt der Gesetzgeber eine weitere Nutzung früher erhobener Daten über den ursprünglichen Anlass hinaus. Das begründet einen neuen Grundrechtseingriff und muss verfassungsrechtlich eigens nach dem Grundsatz der Zweckbindung gerechtfertigt werden (vgl. BVerfGE 141, 220 <324 Rn. 277, 327 Rn. 285>; näher unten Rn. 55 ff.). Indessen liegt ein Grundrechtseingriff hier nicht nur in der weiteren, zusammenführenden Verwendung vormals getrennter Daten, sondern darüber hinaus in der Erlangung besonders grundrechtsrelevanten neuen Wissens, das durch die automatisierte Datenanalyse oder -auswertung geschaffen werden kann (vgl. BVerfGE 156, 11 <39 f. Rn. 73 f.>; näher unten Rn. 67 ff.). Die Rechtfertigung eines Grundrechtseingriffs setzt eine gesetzliche Ermächtigung voraus, die einen legitimen Zweck verfolgt und auch im Übrigen dem Grundsatz der Verhältnismäßigkeit genügt. Die angegriffenen Regelungen dienen dem legitimen Zweck, vor dem Hintergrund informationstechnischer Entwicklung die Wirksamkeit der vorbeugenden Bekämpfung schwerer Straftaten zu steigern, indem Anhaltspunkte für bevorstehende schwere Straftaten gewonnen werden, die im Datenbestand der Polizei ansonsten unerkannt blieben. Die hessische Landesregierung hat in diesem Verfahren dargelegt, die Polizeibehörden seien infolge der insbesondere in den Bereichen terroristischer und extremistischer Gewalt sowie der organisierten und schweren Kriminalität zunehmenden Nutzung digitaler Medien und Kommunikationsmittel mit einem ständig anwachsenden und nach Qualität und Format zunehmend heterogenen Datenaufkommen konfrontiert. Die dazu in den polizeilichen Datenbeständen enthaltenen Informationen könnten gerade unter Zeitdruck kaum manuell gewonnen werden; eine automatisierte Datenanalyse sei daher von großer Bedeutung für erfolgreiches polizeiliches Handeln. Zur Steigerung der Wirksamkeit vorbeugender Straftatenbekämpfung sind die Regelungen im verfassungsrechtlichen Sinne geeignet. Sie sind auch erforderlich, weil durch eine automatisierte Datenanalyse oder -auswertung für die Verhütung von Straftaten relevante Erkenntnisse erschlossen werden können, die auf andere, grundrechtsschonendere Weise nicht gleichermaßen zu gewinnen wären. Spezielle Anforderungen ergeben sich hier aus dem Gebot der Verhältnismäßigkeit im engeren Sinne. Wie streng diese Anforderungen im Einzelnen sind, bestimmt sich nach dem Eingriffsgewicht der Maßnahme (vgl. BVerfGE 141, 220 <269 Rn. 105>; 155, 119 <178 Rn. 128> – Bestandsdatenauskunft II; BVerfG, Urteil des Ersten Senats vom
2. April 2022 - 1 BvR 1619/17 -, Rn. 152; stRspr). Das Eingriffsgewicht einer automatisierten Datenanalyse oder -auswertung und die verfassungsrechtlichen Rechtfertigungsanforderungen ergeben sich zum einen aus dem Gewicht der vorausgegangenen Datenerhebungseingriffe; insoweit gelten die Grundsätze der Zweckbindung und Zweckänderung

§ 49Hmb

PolDVG werden im Wege der automatisierten Datenanalyse oder -auswertung personenbezogene Daten weiterverarbeitet, die bereits früher erhoben und gespeichert worden sind. Die Rechtfertigungsanforderungen an die weitere Nutzung staatlich erhobener Daten richten sich nach den Grundsätzen der Zweckbindung und Zweckänderung (grundlegend BVerfGE 65, 1 <46>). Erlaubt der Gesetzgeber die Nutzung von Daten über den konkreten Anlass und rechtfertigenden Grund einer Datenerhebung hinaus, muss er hierfür eine eigene Rechtsgrundlage schaffen. Er kann unter Wahrung der näheren verfassungsrechtlichen Anforderungen sowohl eine weitere Nutzung der Daten im Rahmen der für die Datenerhebung maßgeblichen Zwecke vorsehen (a) als auch eine Zweckänderung erlauben (b) (vgl. BVerfGE 141, 220 <324 ff. Rn. 276 ff.> m.w.N.; stRspr). §

§ 49Hmb

PolDVG erlauben sowohl zweckwahrende als auch zweckändernde Weiternutzungen (c).

1. a)Der Gesetzgeber kann zum einen eine Datennutzung über das für die Datenerhebung maßgebende Verfahren hinaus als weitere Nutzung im Rahmen der ursprünglichen Zwecke dieser Daten erlauben; er unterliegt dann den im Urteil zum Bundeskriminalamtgesetz näher konturierten verfassungsrechtlichen Anforderungen an die zweckwahrende Weiternutzung (vgl. BVerfGE 141, 220 <324 ff. Rn. 278 ff.> m.w.N.). Die zulässige Reichweite solcher Nutzungen richtet sich nach der Ermächtigung für die Datenerhebung. Die jeweilige Eingriffsgrundlage bestimmt die zur Datenerhebung ermächtigte Behörde, den Zweck und die Bedingungen der Datenerhebung und definiert damit die erlaubte Verwendung. Die Zweckbindung der auf ihrer Grundlage gewonnenen Informationen beschränkt sich folglich nicht allein auf eine Bindung an bestimmte, abstrakt definierte Behördenaufgaben, sondern bestimmt sich nach der Reichweite der Erhebungszwecke in der für die jeweilige Datenerhebung maßgeblichen Ermächtigungsgrundlage. Eine weitere Nutzung innerhalb der ursprünglichen Zwecksetzung kommt damit nur seitens derselben Behörde im Rahmen derselben Aufgabe und für den Schutz derselben Rechtsgüter in Betracht wie für die Datenerhebung maßgeblich: Ist diese nur zum Schutz bestimmter Rechtsgüter oder zur Verhütung bestimmter Straftaten erlaubt, so begrenzt dies deren unmittelbare sowie weitere Verwendung auch in derselben Behörde, soweit keine gesetzliche Grundlage für eine Zweckänderung eine weitergehende Nutzung erlaubt. Nicht zu den Zweckbindungen, die für jede weitere Nutzung der Daten seitens derselben Behörde im selben Aufgabenkreis zum Schutz derselben Rechtsgüter und zur Verfolgung oder Verhütung derselben Straftaten je neu beachtet werden müssen, gehören grundsätzlich die für die Datenerhebung maßgeblichen Anforderungen an Eingriffsschwellen, wie sie traditionell die hinreichend konkretisierte Gefahrenlage im Bereich der Gefahrenabwehr und ein qualifizierter Tatverdacht im Bereich der Strafverfolgung darstellen. Das Erfordernis einer hinreichend konkretisierten Gefahrenlage oder eines qualifizierten Tatverdachts bestimmt den Anlass, aus dem entsprechende Daten erhoben werden dürfen, nicht aber die erlaubten Zwecke, für die die Daten der Behörde dann zur Nutzung offenstehen. Folglich widerspricht es nicht von vornherein dem Gebot einer dem ursprünglichen Erhebungszweck entsprechenden Verwendung, wenn die weitere Nutzung solcher Daten bei Wahrnehmung derselben Aufgabe auch unabhängig von weiteren gesetzlichen Voraussetzungen als bloßer Spurenansatz erlaubt wird. Die Behörde kann die insoweit gewonnenen Kenntnisse zum Schutz derselben Rechtsgüter und im Rahmen derselben Aufgabenstellung – allein oder in Verbindung mit anderen ihr zur Verfügung stehenden Informationen – als schlichten Ausgangspunkt für weitere Ermittlungen nutzen. Damit ist keine Datennutzung ins Blaue hinein eröffnet. Vielmehr hat auch eine Verwendung der Daten als Spurenansatz durch die Bindung an die für die Datenerhebung maßgeblichen Aufgaben und die Anforderungen des Rechtsgüterschutzes einen hinreichend konkreten Ermittlungsbezug. Für die Wahrung der Zweckbindung kommt es demnach darauf an, dass die erhebungsberechtigte Behörde die Daten im selben Aufgabenkreis zum Schutz derselben Rechtsgüter und zur Verfolgung oder Verhütung derselben Straftaten nutzt, wie es die jeweilige Datenerhebungsvorschrift erlaubt. Diese Anforderungen sind erforderlich, aber grundsätzlich auch ausreichend, um eine weitere Nutzung der Daten im Rahmen der Zweckbindung zu legitimieren. Weiter reicht die Zweckbindung allerdings für Daten aus Wohnraumüberwachungen und Online-Durchsuchungen: Hier ist jede weitere Nutzung der Daten, auch seitens derselben Behörde im selben Aufgabenkreis zum Schutz derselben Rechtsgüter und zur Verfolgung oder Verhütung derselben Straftaten, nur dann zweckentsprechend, wenn sie auch aufgrund einer den Erhebungsvoraussetzungen entsprechenden dringenden Gefahr (vgl. dazu BVerfG, Urteil des Ersten Senats vom 26. April 2022 - 1 BvR 1619/17 -, Rn. 297 m.w.N.) oder im Einzelfall zumindest hinreichend konkretisierten Gefahr (vgl. dazu BVerfGE 141, 220 <272 f. Rn. 112>) erforderlich ist. Das außerordentliche Eingriffsgewicht solcher Datenerhebungen spiegelt sich hier auch in einer besonders engen Bindung jeder weiteren Nutzung der gewonnenen Daten an die Voraussetzungen und damit Zwecke der Datenerhebung. Eine Nutzung der Erkenntnisse als bloßer Spuren- oder Ermittlungsansatz unabhängig von einer dringenden oder im Einzelfall hinreichend konkretisierten Gefahr kommt hier nicht in Betracht.
2. b)Der Gesetzgeber kann zum anderen eine weitere Nutzung der Daten auch zu anderen Zwecken als denen der ursprünglichen Datenerhebung erlauben (Zweckänderung); als Ermächtigung zu einer Datennutzung für neue Zwecke unterliegt sie den im Urteil zum Bundeskriminalamtgesetz formulierten verfassungsrechtlichen Anforderungen an die zweckändernde Weiternutzung von Daten (vgl. BVerfGE 141, 220 <326 ff. Rn. 284 ff.> m.w.N.). Die Ermächtigung zu einer Nutzung von Daten zu neuen Zwecken begründet einen neuen Eingriff in das Grundrecht, in das durch die Datenerhebung eingegriffen wurde. Zweckänderungen sind folglich jeweils an den Grundrechten zu messen, die für die Datenerhebung maßgeblich waren. Hierbei orientiert sich das Gewicht, das einer solchen Regelung im Rahmen der Abwägung zukommt, am Gewicht des Eingriffs der Datenerhebung. Informationen, die durch besonders eingriffsintensive Maßnahmen erlangt wurden, können auch nur zu besonders gewichtigen Zwecken genutzt werden. Als Maßstab der Verhältnismäßigkeitsprüfung gilt insoweit das Kriterium der hypothetischen Datenneuerhebung. Für Daten aus eingriffsintensiven Überwachungs- und Ermittlungsmaßnahmen kommt es danach darauf an, ob die entsprechenden Daten nach verfassungsrechtlichen Maßstäben auch für den geänderten Zweck mit vergleichbar schwerwiegenden Mitteln neu erhoben werden dürften. Voraussetzung für eine Zweckänderung ist danach, dass die neue Nutzung der Daten dem Schutz von Rechtsgütern oder der Aufdeckung von Straftaten eines solchen Gewichts dient, die verfassungsrechtlich ihre Neuerhebung mit vergleichbar schwerwiegenden Mitteln rechtfertigen könnten. Nicht in jedem Fall identisch sind die Voraussetzungen einer Zweckänderung mit denen einer Datenerhebung hingegen hinsichtlich des erforderlichen Konkretisierungsgrads der Gefahrenlage oder des Tatverdachts, also hinsichtlich der Eingriffsschwelle. Die diesbezüglichen Anforderungen bestimmen unter Verhältnismäßigkeitsgesichtspunkten primär den Anlass nur unmittelbar für die Datenerhebung selbst, nicht aber auch für die weitere Nutzung der erhobenen Daten. Als neu zu rechtfertigender Eingriff bedarf aber auch die Ermächtigung zu einer Nutzung für andere Zwecke eines eigenen, hinreichend spezifischen Anlasses. Verfassungsrechtlich geboten, aber regelmäßig auch ausreichend, ist insoweit, dass sich aus den Daten – sei es aus ihnen selbst, sei es in Verbindung mit weiteren Kenntnissen der Behörde – ein konkreter Ermittlungsansatz ergibt. Der Gesetzgeber kann danach – bezogen auf die Datennutzung von Sicherheitsbehörden – eine Zweckänderung von Daten grundsätzlich dann erlauben, wenn es sich um Informationen handelt, aus denen sich im Einzelfall konkrete Ermittlungsansätze zur Aufdeckung von vergleichbar gewichtigen Straftaten oder zur Abwehr von zumindest auf mittlere Sicht drohenden Gefahren für vergleichbar gewichtige Rechtsgüter wie die ergeben, zu deren Schutz die entsprechende Datenerhebung zulässig ist. Anderes gilt allerdings wie bei der zweckwahrenden Weiterverarbeitung auch hier für Informationen aus Wohnraumüberwachungen oder dem Zugriff auf informationstechnische Systeme. Angesichts des besonderen Eingriffsgewichts dieser Maßnahmen muss hier jede neue Nutzung der Daten wie bei der Datenerhebung selbst auch durch eine dringende Gefahr oder eine im Einzelfall hinreichend konkretisierte Gefahr gerechtfertigt sein.
3. c)Nach §

§ 49Hmb

PolDVG können personenbezogene Daten sowohl zweckwahrend als auch zweckändernd weiterverarbeitet werden. Die beiden Vorschriften erlauben die Verarbeitung sehr großer Datenmengen, im Wesentlichen ohne selbst nach der Herkunft der Daten und den ursprünglichen Erhebungszwecken zu unterscheiden. Zur Wahrung der verfassungsrechtlichen Anforderungen der Zweckbindung müssten darum anderweitig hinreichend normenklare Regelungen getroffen sein, die die Einhaltung des Grundsatzes der Zweckbindung rechtlich und praktisch sichern. Materiell ist bei der fachrechtlichen Ausgestaltung der Zweckbindung auch zu beachten, dass eine Datenanalyse oder -auswertung von Daten, die zwar gegenwärtig in den eigenen Datenbeständen der Behörde gespeichert sind, die aber ursprünglich von einer anderen Stelle erhoben und an sie weitergegeben wurden, keine weitere Nutzung im Rahmen der ursprünglichen Zwecke sein kann, sondern schon wegen dieses Behördenwechsels als zweckändernde Datennutzung den dafür geltenden verfassungsrechtlichen Anforderungen unterliegt. Entsprechend wurde etwa in der mündlichen Verhandlung seitens des Hessischen Ministeriums des Innern und für Sport bekundet, dass unter den Voraussetzungen des § 479 Abs. 2 Satz 2 Nr. 2 StPO in eine Datei der hessischen Polizei gelangte Daten auch später nur unter den Voraussetzungen dieser Vorschrift gemäß § 25a HSOG erneut verarbeitet werden dürfen. Praktisch dürfte zur Einhaltung des verfassungsrechtlichen Zweckbindungsgrundsatzes insbesondere eine Kennzeichnung von Daten erforderlich sein (vgl. etwa § 20a HSOG und § 65 HmbPolDVG; s. aber zur Befreiung hiervon § 20a Abs. 4 HSOG und § 78 Abs. 1 HmbPolDVG; s. auch § 91 BKAG). Ob diese verfassungsrechtlichen Anforderungen hier eingehalten sind, muss allerdings offen bleiben, da dies von den Beschwerdeführenden nicht zulässig gerügt worden ist (oben Rn. 48). 2. Ob der Grundrechtseingriff verfassungsrechtlich gerechtfertigt ist, lässt sich aber bei einer Datenanalyse oder -auswertung nicht allein mit Blick auf das Gewicht der ursprünglichen Datenerhebung beurteilen, weil die weitere Verarbeitung durch eine automatisierte Datenanalyse oder -auswertung eigene Belastungseffekte haben kann, die über das Eingriffsgewicht der ursprünglichen Erhebung hinausgehen (a). Das spezifische Eingriffsgewicht einer automatisierten Datenanalyse oder -auswertung ist nicht immer gleich, sondern hängt von der näheren Ausgestaltung dieser Befugnis ab. Anhand genereller Maßstäbe lässt sich bestimmen, welchen verfassungsrechtlichen Anforderungen eine Befugnis zur automatisierten Datenanalyse oder -auswertung je nach Ausgestaltung unterliegt (b). Die konkreten Rechtfertigungsanforderungen hängen dann davon ab, wie der Gesetzgeber die Befugnis im Einzelnen regelt; hier sind die Rechtfertigungsanforderungen wegen der potenziellen Reichweite von § 25a Abs. 1 Alt. 1 HSOG und § 49 Abs. 1 Alt. 1 HmbPolDVG hoch (c). a) Eine weitere Bearbeitung von einmal erhobenen und gespeicherten Daten durch eine automatisierte Datenanalyse oder -auswertung kann spezifische Belastungseffekte haben, die über das Eingriffsgewicht der ursprünglichen Erhebung hinausgehen (vgl. BVerfGE 156, 11 <39 Rn. 73>). Die automatisierte Datenanalyse oder -auswertung nach §

§ 49Hmb

PolDVG ist darauf gerichtet, neues Wissen zu erzeugen. § 25a Abs. 2 HSOG und § 49 Abs. 2 HmbPolDVG beschreiben dies als das Herstellen von Zusammenhängen zwischen Personen, Personengruppierungen, Institutionen, Organisationen, Objekten und Sachen, den Ausschluss von unbedeutenden Informationen und Erkenntnissen, die Zuordnung eingehender Informationen zu bekannten Sachverhalten sowie die statistische Auswertung der gespeicherten Daten. Rechtlich kann die handelnde Behörde aus den zur Verfügung stehenden Daten mit praktisch allen informationstechnisch möglichen Methoden weitreichende Erkenntnisse abschöpfen sowie aus der Auswertung neue Zusammenhänge erschließen. Die Verknüpfung von Daten ermöglicht etwa mehrstufige Analysen, die neue Verdachtsmomente erst erzeugen, sowie weitere Analyseschritte oder auch daran anschließende operative Maßnahmen ( BVerfGE 156, 11 <40 Rn. 73>). Zwar ist es für sich genommen nicht ungewöhnlich, dass die Polizei ihre einmal gewonnenen Erkenntnisse als Spuren- oder Ermittlungsansätze allein oder in Verknüpfung mit anderen ihr zur Verfügung stehenden Informationen als Ausgangspunkt weiterer Ermittlungen nutzt (vgl. BVerfGE 141, 220 <325 f. Rn. 281>). Auch die alltägliche polizeiliche Erkenntnisgewinnung ist Ergebnis einer Zusammenstellung und Bewertung von aus unterschiedlichen Quellen erlangten Informationen (vgl. Rademacher, AöR 142 <2017>, S. 366 <369, 372 ff.>; s. auch Schneider, GSZ 2020, S. 1 <4 f.>; Kuhlmann/Trute, GSZ 2021, S. 103 <104>). Die automatisierte Analyse oder Auswertung nach §

§ 49Hmb

PolDVG geht aber schon deshalb weiter, weil sie die Verarbeitung großer und komplexer Informationsbestände ermöglicht. Je nach der eingesetzten Analysemethode können zudem durch verknüpfende Auswertung vorhandener Daten neue persönlichkeitsrelevante Informationen gewonnen werden, die ansonsten so nicht zugänglich wären. Die Maßnahme erschließt die in den Daten enthaltenen Informationen damit intensiver als zuvor. Sie bringt nicht nur in den Daten angelegte, aber zunächst mangels Verknüpfung verborgene Erkenntnisse über Personen hervor, sondern kann sich bei entsprechendem Einsatz einem "Profiling" (vgl. § 41 Nr. 4 HDSIG, § 2 Abs. 10 HmbPolDVG) annähern (vgl. Bäuerle, in: Möstl/Bäuerle, BeckOK Polizei- und Ordnungsrecht Hessen, 27. Edition, Stand: 1. Oktober 2022, § 25a HSOG, Rn. 21 ff.). Denn es können sich softwaregestützt neue Möglichkeiten einer Vervollständigung des Bildes von einer Person ergeben, wenn Daten und algorithmisch errechnete Annahmen über Beziehungen und Zusammenhänge aus dem Umfeld der Betroffenen einbezogen werden. Insoweit kann auch die Kombination personenbezogener und nicht personenbezogener Daten und gegebenenfalls die algorithmentypische Berücksichtigung bloßer Korrelationen neue, sonst nicht sicht- oder ermittelbare persönlichkeitsrelevante Aufschlüsse geben. Ein herkömmliches Verfahren, die nach dem Modell abgestufter Erkenntnisverdichtung erfolgende Ermittlungstätigkeit, wird hierdurch mit einer viel größeren Durchschlagskraft versehen (vgl. BVerfGE 115, 320 <356 f.> m.w.N. – zur Rasterfahndung). Regelmäßig sichert der Grundsatz der Zweckbindung die Verhältnismäßigkeit des in der Weiterverarbeitung bereits erhobener Daten liegenden Grundrechtseingriffs (oben Rn. 55 ff.). Dieser Grundsatz wurde jedoch vor dem Hintergrund einer im Wesentlichen manuellen Sichtung und Verknüpfung personenbezogener Daten näher konturiert, die in den tatsächlichen Kapazitätsgrenzen solcher Arbeitsweise auch ihre praktischen Erkenntnisgrenzen finden. Das Ziel einer Befugnis zur automatisierten Datenanalyse oder -auswertung ist nun aber gerade, diese praktischen Erkenntnisgrenzen zu überwinden. Das ist verfassungsrechtlich legitim, weil es der Effektuierung der Gefahrenbekämpfung dient. Mit der Überwindung der praktischen Erkenntnisgrenzen klassischer Polizeiarbeit gehen jedoch auch besondere Gefahren für die durch die Datenverarbeitung Betroffenen einher. Je nach Ausgestaltung kann die automatisierte Anwendung – insbesondere in Abhängigkeit von Art und Umfang der verarbeiteten Daten und von den Verarbeitungsmethoden – die Erstellung von Bewegungs- und Verhaltens- oder Beziehungsprofilen oder noch umfassenderer Persönlichkeitsbilder ermöglichen, die so im Wege händischer Suche oder einfacher automatisierter Abgleiche nicht erlangt werden könnten. Die automatisierte Anwendung kann die Arbeitsweise und Erkenntnismöglichkeiten der Polizei somit entscheidend verändern und kann so auch das Gewicht der individuellen Beeinträchtigung bedeutend erhöhen (vgl. auch BVerfGE 156, 11 <39 f. Rn. 73> m.w.N.). Der verfassungsrechtliche Grundsatz der Zweckbindung könnte dem Eingriffsgewicht dann für sich genommen nicht hinreichend Rechnung tragen.

1. b)Die verfassungsrechtlichen Anforderungen an die Rechtfertigung einer automatisierten Datenanalyse oder -auswertung variieren (aa). Denn eine Besonderheit der Datenanalyse oder -auswertungsbefugnis liegt darin, dass die Eingriffsintensität der darauf gestützten Maßnahmen je nach gesetzlicher Ausgestaltung sehr unterschiedlich sein kann (bb). Entsprechend variabel sind die Anforderungen an die Eingriffsvoraussetzungen, also insbesondere an die Eingriffsschwelle, das zu schützende Rechtsgut und die Sicherung von Transparenz, Rechtsschutz und aufsichtlicher Kontrolle (cc), deren Regelung dem Grundsatz des Gesetzesvorbehalts, dem Gebot der Normenklarheit und dem Bestimmtheitsgebot genügen muss (dd).
2. aa)Die verfassungsrechtlichen Anforderungen an die Rechtfertigung einer automatisierten Datenanalyse oder -auswertung variieren, da deren Eingriffsintensität je nach gesetzlicher Ausgestaltung ganz unterschiedlich sein kann. Bei einer Begrenzung der Befugnis auf eine sehr schlichte Form des Abgleichs einer überschaubaren Zahl von Daten näher eingegrenzter Herkunft ist das besondere Eigengewicht der Datenanalyse oder -auswertung gering. Je weiter die Möglichkeiten der automatisierten Weiterverarbeitung von Daten reichen, umso mehr entfernt sich der darin liegende Eingriff aber von der ursprünglichen Datenerhebung und umso weniger reicht der Grundsatz der Zweckbindung für sich genommen verfassungsrechtlich aus, um den erneuten Eingriff zu rechtfertigen. Ermöglicht die automatisierte Datenanalyse oder -auswertung einen schweren Eingriff in die informationelle Selbstbestimmung der Betroffenen, lässt sie etwa die Erstellung von genaueren Bewegungs-, Verhaltens- oder Beziehungsprofilen zu oder setzt sie vermehrt Personen, die objektiv nicht zurechenbar in das relevante Geschehen verfangen sind, dem Risiko aus, aufgrund der Ergebnisse der automatisierten Datenanalyse oder -auswertung weiteren, gezielt gegen sie gerichteten, polizeilichen Ermittlungsmaßnahmen unterzogen zu werden, ist dies nur unter den engen Voraussetzungen zu rechtfertigen, wie sie allgemein für eingriffsintensive heimliche Überwachungsmaßnahmen gelten (Rn. 104 ff.). Sind hingegen die Möglichkeiten der Erkenntnisgewinnung so eingegrenzt, dass kein besonders schwerer eigenständiger Eingriff in die informationelle Selbstbestimmung der Betroffenen erfolgen kann, kann die Befugnis zur automatisierten Datenanalyse oder -auswertung an eine niedrigere Eingriffsschwelle geknüpft werden oder kann die Polizei davon auch zum Schutz von weniger gewichtigen Rechtsgütern Gebrauch machen (Rn. 107). Unter Umständen kann dann schon die Einhaltung des Grundsatzes der Zweckbindung zur verfassungsrechtlichen Rechtfertigung der weiteren Verarbeitung der Daten in einer automatisierten Anwendung ausreichen (näher unten Rn. 108).
3. bb)Wie streng die Anforderungen an die Eingriffsschwelle und den Rechtsgüterschutz bei einer Datenanalyse oder -auswertungsbefugnis im Einzelnen sind, bestimmt sich nach dem Eingriffsgewicht, das von verschiedenen Faktoren abhängt und demgemäß vom Gesetzgeber durch unterschiedliche Vorkehrungen und Kombinationen von Schutzmechanismen beeinflusst werden kann.