RECHTSAKT DES RATES vom 12. März 1999 zur Festlegung der Bestimmungen über die Übermittlung von personenbezogenen Daten durch Europol an Drittstaaten und Drittstellen (1999/C 88/01)

DER RAT DER EUROPÄISCHEN UNION -

gestützt auf das Übereinkommen aufgrund von Artikel K.3 des Vertrags über die Europäische Union über die Errichtung eines Europäischen Polizeiamts (Europol-Übereinkommen) (1), insbesondere auf Artikel 18 Absatz 2,

aufgrund des Entwurfs, den der Verwaltungsrat nach Anhörung der gemeinsamen Kontrollinstanz nach Artikel 24 des Europol-Übereinkommens ausgearbeitet hat,

in der Erwägung, daß der Rat die allgemeinen Bestimmungen über die Übermittlung von Informationen durch Europol an Drittstaaten und Drittstellen unter Berücksichtigung der in Artikel 18 Absatz 3 des Europol-Übereinkommens aufgeführten Umstände einstimmig festzulegen hat -

HAT FOLGENDE BESTIMMUNGEN ERLASSEN:

Artikel 1

Begriffsbestimmungen

Im Sinne dieser Bestimmungen bezeichnet der Ausdruck

a) "Drittstaaten" Nichtmitgliedstaaten der Europäischen Union gemäß Artikel 10 Absatz 4 Nummer 4 des Europol-Übereinkommens;

b) "Drittstellen" die nachstehend aufgeführten Stellen gemäß Artikel 10 Absatz 4 Nummern 1 bis 3 und 5 bis 7 des Europol-Übereinkommens:

- "EU-Stellen" die in Artikel 10 Absatz 4 Nummern 1 bis 3 des Europol-Übereinkommens genannten Stellen;

- "Nicht-EU-Stellen" die in Artikel 10 Absatz 4 Nummern 5 bis 7 des Europol-Übereinkommens genannten Stellen;

c) "Vereinbarungen" eine Vereinbarung im Sinne des Artikels 3;

d) "personenbezogene Daten" alle Informationen über eine bestimmte oder bestimmbare natürliche Person; als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;

e) "Verarbeitung personenbezogener Daten" ("Verarbeitung") jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten;

f) "zuständige Behörden" die in Artikel 5 Absatz 1 genannten Behörden.

Artikel 2

Übermittlung personenbezogener Daten

(1) Europol kann nach Maßgabe des Artikels 18 des Europol-Übereinkommens unter einer der folgenden Voraussetzungen personenbezogene Daten an Drittstaaten oder Drittstellen übermitteln:

a) wenn eine Vereinbarung nach Artikel 3 zwischen Europol und einem Drittstaat oder einer Drittstelle geschlossen wurde;

b) im Ausnahmefall, wenn der Direktor die Übermittlung der Daten für absolut notwendig hält,

- um die grundlegenden Interessen der betreffenden Mitgliedstaaten im Rahmen der Ziele von Europol zu wahren,

- um eine unmittelbar drohende kriminelle Gefahr abzuwenden.

(2) Bei der Anwendung des Absatzes 1 werden die Rechtsvorschriften und die Verwaltungspraxis des Drittstaates oder der Nicht-EU-Stelle im Bereich des Datenschutzes - auch in bezug auf die für Datenschutzfragen zuständige Behörde - berücksichtigt.

(3) Für die Übermittlung von personenbezogenen Daten, die in die Geheimhaltungsgrade Europol 1, 2 oder 3 eingestuft sind, bedarf es eines Abkommens nach Maßgabe des Artikels 18 Absatz 6 des Europol-Übereinkommens; dieses Abkommen muß der Geheimschutzregelung für Europol-Informationen Rechnung tragen.

Artikel 3

Vereinbarungen über die Übermittlung personenbezogener Daten durch Europol

(1) Zur Erreichung der Ziele nach Artikel 2 des Übereinkommens kann Europol mit Drittstaaten und Drittstellen Vereinbarungen schließen. Diese Vereinbarungen müssen Bestimmungen hinsichtlich des Empfängers der Daten, der Art der zu übermittelnden Daten und des Zwecks, zu dem die Daten übermittelt oder verwendet werden, enthalten.

(2) Der Rat kann einstimmig festlegen, mit welchen Drittstaaten und mit welchen Nicht-EU-Stellen Vereinbarungen auszuhandeln sind.

Der Verwaltungsrat kann festlegen, mit welchen EU-Stellen Vereinbarungen auszuhandeln sind.

(3) Der Direktor von Europol nimmt nach Stellungnahme des Verwaltungsrates und nach vorheriger einstimmiger Genehmigung durch den Rat Verhandlungen über den Abschluß von Vereinbarungen mit Drittstaaten oder Nicht-EU-Stellen auf. Bei der Erteilung der Genehmigung berücksichtigt der Rat die Bestimmung des Artikels 2 Absatz 2. Der Rat kann zusätzlich zu den im Absatz 1 genannten Bedingungen noch weitere Bedingungen vorschreiben.

Die Vereinbarungen können nur nach einstimmiger Genehmigung durch den Rat geschlossen werden. Eine solche Genehmigung kann nur erteilt werden, wenn zuvor über den Verwaltungsrat die Stellungnahme der gemeinsamen Kontrollinstanz eingeholt wurde. Ein Beschluß des Rates kann einen oder mehrere Drittstaaten oder eine oder mehrere Nicht-EU-Stellen betreffen.

(4) Der Direktor von Europol nimmt nach vorheriger Genehmigung durch den Verwaltungsrat Verhandlungen über den Abschluß von Vereinbarungen mit EU-Stellen auf. Der Verwaltungsrat kann zusätzlich zu den in Absatz 1 genannten Bedingungen noch weitere Bedingungen vorschreiben.

Die Vereinbarungen können nur mit Genehmigung durch den Verwaltungsrat geschlossen werden. Eine solche Genehmigung kann nur erteilt werden, wenn der Verwaltungsrat zuvor die Stellungnahme der gemeinsamen Kontrollinstanz eingeholt hat.

Artikel 4

Übermittlung personenbezogener Daten unter Aufsicht des Direktors

Der Direktor unterrichtet den Verwaltungsrat und die gemeinsame Kontrollinstanz so bald wie möglich über jeden Beschluß zur Übermittlung personenbezogener Daten nach Maßgabe des Artikels 2 Absatz 1 Buchstabe b) sowie über die Gründe für diesen Beschluß.

Auf Antrag übermittelt er dem Verwaltungsrat und der gemeinsamen Kontrollinstanz weitere Informationen wie etwa die Kriterien, nach denen er bewertet hat, ob das Datenschutzniveau der betreffenden Drittstaaten oder Nicht-EU-Stellen in Anbetracht der Umstände der Übermittlung sowie angesichts der damit verfolgten Ziele, der Art der zu übermittelnden Daten und des Zwecks, zu denen diese übermittelt wurden, angemessen war.

Artikel 5

Zuständige Behörden

(1) Die Übermittlung personenbezogener Daten durch Europol an Drittstaaten und die Weitergabe dieser Daten in dem jeweiligen Drittstaat ist auf die Behörden beschränkt, die nach nationalem Recht für die Verhütung und Bekämpfung von Straftaten zuständig sind.

(2) Bei der Aushandlung von Vereinbarungen bemüht sich Europol darum, daß ein Drittstaat nach Möglichkeit eine zuständige Behörde (den "Erstempfänger") benennt, die als nationale Kontakstelle zwischen Europol und den anderen zuständigen Behörden des betreffenden Drittstaates fungiert.

(3) Bei der Übermittlung personenbezogener Daten sorgt Europol dafür, daß der Empfänger sich verpflichtet, diese Daten nur an die zuständigen Behörden und unter denselben Bedingungen weiterzugeben, die auch für die Erstübermittlung gelten.

(4) Ist es einem Drittstaat nicht möglich, eine zuständige Zentralbehörde als nationale Kontaktstelle zu benennen, können in Ausnahmefällen Vereinbarungen über die direkte Übermittlung von Informationen durch Europol an eine oder mehrere zuständige Behörden des betreffenden Drittstaates geschlossen werden.

(5) Europol übermittelt nur dann Daten an eine zuständige Behörde eines Drittstaates oder an eine Drittstelle, wenn diese Behörde oder diese Stelle zusichert, die Daten nicht an andere Drittstaaten oder Drittstellen weiterzugeben.

(6) Die Zuständigkeit des Empfängers der Daten für die Verhütung und Bekämpfung von Straftaten muß aus jeder Vereinbarung klar hervorgehen.

Artikel 6

Zweck der Übermittlung personenbezogener Daten

(1) Personenbezogene Daten, deren Übermittlung beantragt wurde, werden nicht übermittelt, wenn Zweck und Gründe des Antrags nicht angegeben wurden.

Die Übermittlung personenbezogener Daten, die im Sinne des Artikels 6 des Übereinkommens des Europarates vom 28. Januar 1981 zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten über die rassische Herkunft, politische Anschauungen, religiöse oder andere Überzeugungen Aufschluß geben sowie die Gesundheit oder das Sexualleben betreffen, ist auf die nach Artikel 4 unbedingt erforderlichen Fälle zu beschränken.

(2) Bei der Übermittlung personenbezogener Daten an einen Drittstaat oder an eine Drittstelle hat Europol sicherzustellen, daß der Empfänger sich verpflichtet, diese Daten nur für die Zwecke zu verwenden, für die sie übermittelt wurden.

Artikel 7

Berichtigung und Löschung personenbezogener Daten

(1) Bei der Übermittlung personenbezogener Daten an einen Drittstaat oder an eine Drittstelle hat Europol sicherzustellen, daß der Empfänger sich verpflichtet, diese Daten zu berichtigen oder zu löschen, wenn sich herausstellt, daß sie unrichtig, ungenau oder überholt sind oder nicht hätten übermittelt werden dürfen. Stellt Europol fest, daß die personenbezogenen Daten unrichtig, ungenau oder überholt sind oder nicht hätten übermittelt werden dürfen, ist der Drittstaat oder die Drittstelle, die die Daten erhalten haben, unverzüglich hiervon zu unterrichten und aufzufordern, Europol mitzuteilen, daß die Daten berichtigt oder gelöscht werden. Der Direktor von Europol unterrichtet den Verwaltungsrat und die gemeinsame Kontrollinstanz über seine Maßnahmen in diesem Bereich.

(2) In jeder Vereinbarung ist die Verpflichtung zur Berichtigung oder Löschung nach den Modalitäten des Absatzes 1 festzulegen.

(3) Bei der Übermittlung personenbezogener Daten hat Europol sicherzustellen, daß der Empfänger sich verpflichtet, diese Daten zu löschen, wenn sie für die Zwecke, für die sie übermittelt wurden, nicht mehr erforderlich sind.

Artikel 8

Verantwortlichkeit

In jeder Vereinbarung sind entsprechende Bestimmungen über die Verantwortlichkeit im Fall einer unbefugten oder unrichtigen Datenverarbeitung festzulegen.

Artikel 9

Inkrafttreten

Diese Bestimmungen treten am Tag nach ihrer Annahme in Kraft.

Geschehen zu Brüssel am 12. März 1999.

Im Namen des Rates

Der Präsident

O. SCHILY

(1) ABl. C 316 vom 27.11.1995, S. 1.