DURCHFÜHRUNGSBESCHLUSS (EU) 2021/1773 DER KOMMISSION

vom 28. Juni 2021

gemäß der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates zur Angemessenheit des Schutzes personenbezogener Daten durch das Vereinigte Königreich

(Bekannt gegeben unter Aktenzeichen C(2021) 4801)

DIE EUROPÄISCHE KOMMISSION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI (1) des Rates, insbesondere auf Artikel 36 Absatz 3,

in Erwägung nachstehender Gründe:

1. EINFÜHRUNG

(1) Die Richtlinie (EU) 2016/680 enthält die Vorschriften für die Übermittlung personenbezogener Daten durch zuständige Behörden in der Union an Drittländer und internationale Organisationen, soweit die betreffenden Übermittlungen in ihren Anwendungsbereich fallen. Die Vorschriften für internationale Übermittlungen personenbezogener Daten durch die zuständigen Behörden sind in Kapitel V der Richtlinie (EU) 2016/680, insbesondere in den Artikeln 35 bis 40, festgelegt. Der Fluss personenbezogener Daten in Drittländer und aus Drittländern ist für die wirksame Zusammenarbeit bei der Strafverfolgung wesentlich, wobei jedoch sichergestellt sein muss, dass das unionsweit gewährleistete Schutzniveau für personenbezogene Daten bei solchen Übermittlungen nicht beeinträchtigt wird (2).

(2) Nach Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 kann die Kommission im Wege eines Durchführungsrechtsaktes beschließen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Schutzniveau bieten. Unter dieser Voraussetzung können personenbezogene Daten nach Artikel 35 Absatz 1 und Erwägungsgrund 66 der Richtlinie (EU) 2016/680 ohne weitere Genehmigung an ein Drittland übermittelt werden (es sei denn, dass ein anderer Mitgliedstaat, von dem die Daten stammen, die Übermittlung zu genehmigen hat).

(3) Wie in Artikel 36 Absatz 2 der Richtlinie (EU) 2016/680 festgelegt, muss die Annahme eines Angemessenheitsbeschlusses auf einer umfassenden Analyse der Rechtsordnung des Drittlands beruhen. Die Kommission muss im Rahmen ihrer Prüfung feststellen, ob das betreffende Drittland ein Schutzniveau garantiert, das dem innerhalb der Europäischen Union gewährleisteten Schutzniveau „der Sache nach gleichwertig“ ist (Erwägungsgrund 67 der Richtlinie (EU) 2016/680). Die Frage, ob ein Schutzniveau „der Sache nach gleichwertig“ ist, wird anhand des Maßstabs beurteilt, der in den EU-Rechtsvorschriften, insbesondere in der Richtlinie (EU) 2016/680, festgelegt und durch die Rechtsprechung des Gerichtshofs der Europäischen Union (3) entwickelt wurde. Die vom Europäischen Datenschutzausschuss herausgegebene Referenzgrundlage für Angemessenheit ist in diesem Zusammenhang ebenfalls von Bedeutung (4).

(4) Der Gerichtshof der Europäischen Union hat klargestellt, dass es dazu keines identischen Schutzniveaus bedarf (5). Insbesondere können sich die Mittel, auf die das betreffende Drittland für den Schutz personenbezogener Daten zurückgreift, von denen unterscheiden, die in der Europäischen Union herangezogen werden, sofern sie sich in der Praxis als wirksam erweisen, um ein angemessenes Schutzniveau zu gewährleisten. (6) Daher erfordert die Angemessenheitsfeststellung keine Eins-zu-eins-Übereinstimmung mit den Vorschriften der Union. Die Frage ist vielmehr, ob das ausländische System insgesamt aufgrund des Wesensgehalts der Rechte auf Privatsphäre sowie ihrer wirksamen Anwendung, Überwachung und Durchsetzung das erforderliche Maß an Schutz (7) bietet.

(5) Die Kommission hat das einschlägige Recht und die einschlägige Praxis im Vereinigten Königreich sorgfältig analysiert. Auf der Grundlage ihrer nachstehenden Feststellungen kommt die Kommission zu dem Schluss, dass das Vereinigte Königreich ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet, die von zuständigen Behörden in der Union, die in den Anwendungsbereich der Richtlinie (EU) 2016/680 fallen, an zuständige Behörden im Vereinigten Königreich, die in den Anwendungsbereich von Teil 3 des Gesetzes über den Datenschutz von 2018 (Data Protection Act 2018 — im Folgenden „DPA 2018“) (8) fallen, übermittelt werden.

(6) Dieser Beschluss hat zur Folge, dass solche Übermittlungen für einen Zeitraum von vier Jahren, vorbehaltlich einer etwaigen Verlängerung und unbeschadet der in Artikel 35 der Richtlinie (EU) 2016/680 festgelegten Bedingungen, ohne weitere Genehmigung vorgenommen werden dürfen.

2. VORSCHRIFTEN FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN DURCH ZUSTÄNDIGE BEHÖRDEN FÜR ZWECKE DER STRAFVERFOLGUNG

2.1. Der konstitutionelle Rahmen

(7) Das Vereinigte Königreich ist eine parlamentarische Demokratie. Das Land verfügt über ein souveränes Parlament, das allen anderen staatlichen Einrichtungen übergeordnet ist, eine aus dem Parlament hervorgehende und ihm gegenüber rechenschaftspflichtige Exekutive sowie eine unabhängige Justiz. Die Exekutive bezieht ihre Hoheitsgewalt daraus, dass sie das Vertrauen der gewählten Mitglieder des Unterhauses genießt; sie ist gegenüber beiden Kammern des Parlaments (dem Unterhaus und dem Oberhaus) rechenschaftspflichtig, die für die Kontrolle der Regierung und die Erörterung sowie Verabschiedung von Gesetzesinitiativen verantwortlich sind. Das britische Parlament hat dem schottischen Parlament, dem walisischen Parlament (Senedd Cymru) und der parlamentarischen Versammlung für Nordirland die Verantwortung für die Gesetzgebung in bestimmten inneren Angelegenheiten in Schottland, Wales und Nordirland übertragen. Während Datenschutzfragen dem britischen Parlament vorbehalten sind — d. h. in diesem Bereich gelten landesweit einheitliche Rechtsvorschriften —, wurden andere für diesen Beschluss relevante Politikbereiche den Parlamenten der einzelnen Landesteile übertragen. So wurde beispielsweise die Zuständigkeit für die Strafrechtssysteme Schottlands und Nordirlands, einschließlich polizeilicher Aufgaben (d. h. der von Polizeikräften ausgeführten Tätigkeiten), an das schottische Parlament bzw. die parlamentarische Versammlung für Nordirland (9) übertragen.

(8) Das Vereinigte Königreich besitzt keine kodifizierte Verfassung im Sinne eines konkreten Verfassungsdokuments; vielmehr haben sich die Verfassungsgrundsätze im Laufe der Zeit auf der Grundlage der Rechtsprechung und insbesondere des Gewohnheitsrechts fortentwickelt. Der Verfassungsrang bestimmter Dokumente, wie der Magna Carta, der Bill of Rights von 1689 und des Gesetzes über die Menschenrechte (Human Rights Act) von 1998, ist anerkannt. Maßgeblich für die Entwicklung der Grundrechte des Einzelnen als Teil der Verfassung waren das Gewohnheitsrecht („Common Law“), die genannten Dokumente sowie internationale Verträge, insbesondere die Europäische Menschenrechtskonvention (im Folgenden „EMRK“), die das Vereinigte Königreich im Jahr 1951 ratifiziert hat. Im Jahr 1987 hat das Vereinigte Königreich außerdem das Übereinkommen des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (im Folgenden „Übereinkommen Nr. 108“) ratifiziert (10).

(9) Mit dem Human Rights Act 1998 wurden die in der Europäischen Menschenrechtskonvention verbürgten Rechte in das Recht des Vereinigten Königreichs übernommen. Durch den Human Rights Act werden jeder Person die Grundrechte und -freiheiten gewährt, die in den Artikeln 2 bis 12 und 14 EMRK, in den Artikeln 1 bis 3 ihres Ersten Protokolls und in Artikel 1 ihres Dreizehnten Protokolls in Verbindung mit den Artikeln 16 bis 18 EMRK festgelegt sind. Dazu zählen das Recht auf Achtung des Privat- und Familienlebens, was das Recht auf Datenschutz einschließt, und das Recht auf ein faires Verfahren (11). Insbesondere darf eine Behörde gemäß Artikel 8 EMRK in die Ausübung des Rechts auf Privatsphäre nur eingreifen, soweit der Eingriff gesetzlich vorgesehen und in einer demokratischen Gesellschaft notwendig ist für die nationale oder öffentliche Sicherheit, für das wirtschaftliche Wohl des Landes, zur Aufrechterhaltung der Ordnung, zur Verhütung von Straftaten, zum Schutz der Gesundheit oder der Moral oder zum Schutz der Rechte und Freiheiten anderer.

(10) Nach dem Human Rights Act 1998 muss jede Handlung von Behörden mit einem in der EMRK garantierten Recht vereinbar sein (12). Darüber hinaus sind primärrechtliche und nachrangige Bestimmungen so auszulegen und umzusetzen, dass sie mit diesen Rechten vereinbar sind (13). Soweit eine Privatperson der Ansicht ist, dass ihre Rechte, einschließlich ihrer Rechte auf Privatsphäre und Datenschutz, durch eine Behörde verletzt wurden, kann sie auf der Grundlage des Human Rights Act 1998 die Gerichte des Vereinigten Königreichs anrufen, und kann letztlich, nach Ausschöpfung aller nationalen Rechtsbehelfe, den Europäischen Gerichtshof für Menschenrechte wegen Verletzung ihrer nach der EMRK garantierten Rechte anrufen.

2.2. Der Rechtsrahmen des Vereinigten Königreichs für Datenschutz

(11) Das Vereinigte Königreich ist zum 31. Januar 2020 aus der Europäischen Union ausgetreten. Auf der Grundlage des Abkommens über den Austritt des Vereinigten Königreichs Großbritannien und Nordirland aus der Europäischen Union und der Europäischen Atomgemeinschaft (14) fand das Unionsrecht im Vereinigten Königreich während des Übergangszeitraums bis zum 31. Dezember 2020 weiterhin Anwendung. Vor dem Austritt und während des Übergangszeitraums bestand im Vereinigten Königreich der Rechtsrahmen für den Schutz personenbezogener Daten, der die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit regelte, aus den einschlägigen Teilen des Data Protection Act 2018, mit dem die Richtlinie (EU) 2016/680 in nationales Recht umgesetzt wurde.

(12) Zur Vorbereitung auf den Austritt aus der EU erließ die Regierung des Vereinigten Königreichs das Gesetz von 2018 über den Austritt aus der Europäischen Union (European Union (Withdrawal) Act 2018 — im Folgenden „EUWA“) (15), durch das unmittelbar geltende Rechtsvorschriften der Union in das Recht des Vereinigten Königreichs übernommen wurden und das besagte, dass aus Unionsrecht abgeleitete innerstaatliche Rechtsvorschriften („EU-derived domestic legislation“) auch nach Ende des Übergangszeitraums wirksam bleiben. Teil 3 des DPA 2018 (16) zur Umsetzung der Richtlinie (EU) 2016/680 stellt eine solche aus Unionsrecht abgeleitete innerstaatliche Rechtsvorschrift im Sinne des EUWA dar. Gemäß EUWA muss eine unverändert aus Unionsrecht abgeleitete innerstaatliche Rechtsvorschrift von den Gerichten des Vereinigten Königreichs gemäß der einschlägigen Rechtsprechung des Gerichtshofs der Europäischen Union (im Folgenden „Gerichtshof“) und den allgemeinen Grundsätzen des Unionsrechts ausgelegt werden, so wie sie unmittelbar vor dem Ende des Übergangszeitraums galten (bezeichnet als „beibehaltene EU-Rechtsprechung“ („retained EU case law“) bzw. als „beibehaltene allgemeine Grundsätze des EU-Rechts“ („retained general principles of EU law“)) (17).

(13) Gemäß EUWA sind die Minister des Vereinigten Königreichs befugt, im Wege von Verordnungen abgeleitete Rechtsvorschriften einzuführen, um aufgrund des Austritts des Vereinigten Königreichs aus der Union notwendige Änderungen am beibehaltenen EU-Recht vorzunehmen. Diese Befugnis wurde durch Erlass der Verordnungen von 2019 über Datenschutz, Privatsphäre und elektronische Kommunikation (Änderungen usw.) (EU-Austritt) (Data Protection, Privacy and Electronic Communications (Amendments usw.) (EU Exit) Regulations 2019 — im Folgenden „DPPEC Regulations“) (18) ausgeübt. Mit diesen Verordnungen werden die Datenschutzgesetze des Vereinigten Königreichs, einschließlich des DPA 2018, geändert, um sie an den nationalen Kontext anzupassen (19).

(14) Folglich werden im Vereinigten Königreich die Rechtsnormen über die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafverfolgung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, nach dem Übergangszeitraum gemäß dem Austrittsabkommen weiterhin in den einschlägigen Teilen des DPA 2018 (jedoch in der durch die DPPEC Regulations geänderten Fassung) und insbesondere in Teil 3 dieses Gesetzes geregelt. Die britische Datenschutz-Grundverordnung (United Kingdom General Data Protection Regulation — im Folgenden „UK GDPR“) findet auf diese Art der Verarbeitung keine Anwendung.

(15) Teil 3 des DPA 2018 enthält die Vorschriften über die Verarbeitung personenbezogener Daten für Zwecke der Strafverfolgung, einschließlich der Datenschutzgrundsätze, der Rechtsgrundlagen für die Verarbeitung (Rechtmäßigkeit), der Rechte der betroffenen Personen, der Verpflichtungen der zuständigen Behörden als Verantwortliche und Einschränkungen der Weiterübermittlung. Gleichzeitig sind die geltenden Vorschriften für Aufsicht, Durchsetzung und Rechtsbehelfe, die im Bereich der Strafverfolgung zur Anwendung kommen, in den Teilen 5 und 6 des DPA 2018 festgelegt.

(16) Um der wichtigen Rolle der Polizeikräfte im Bereich der Strafverfolgung Rechnung zu tragen, sollten auch die Vorschriften zur Regelung der Polizeiarbeit berücksichtigt werden. Da die Polizeiarbeit dezentralisiert gehandhabt wird, ist sie in a) England und Wales, b) Schottland und c) Nordirland durch unterschiedliche, aber inhaltlich oftmals ähnliche Gesetze geregelt (20). Darüber hinaus liefern verschiedene Arten von Leitliniendokumenten zusätzliche Klarstellungen zum Einsatz polizeilicher Befugnisse. Es gibt drei wesentliche Formen von Leitlinien für die Polizeiarbeit: 1. In Gesetzesform erlassene Anweisungen, zum Beispiel der Ethik-Kodex (Code of Ethics) (21) und der Verhaltenskodex für die Verwaltung polizeilicher Informationen (Code of Practice on the Management of Police Information — im Folgenden „MoPI Code of Practice“) (22), eingeführt gemäß dem Polizeigesetz (Police Act) von 1996 (23), oder die gemäß dem Gesetz über polizeiliche und strafrechtliche Beweismittel (Police and Criminal Evidence Act) (24) eingeführten Kodizes (im Folgenden „PACE-Codes“) (25); 2. die vom College of Policing erstellten Leitlinien über zugelassene dienstliche Vorgehensweisen bei der Verwaltung polizeilicher Informationen (Authorised Professional Practice on the Management of Police Information — im Folgenden „APP Guidance on the Management of Police Information“ oder „APP Guidance“) (26), sowie 3. operative Leitlinien (herausgegeben von der Polizei selbst). Der National Police Chiefs Council (eine für alle Polizeikräfte im Vereinigten Königreich zuständige Koordinierungsstelle) gibt operative Leitlinien heraus, die von allen Polizeikräften gebilligt wurden und somit landesweit gelten (27). Diese Leitlinien sollen für dienststellenübergreifend einheitliche Vorgehensweisen bei der Informationsverwaltung sorgen (28).

(17) Der MoPI Code of Practice wurde 2005 vom Secretary of State in Anwendung seiner Befugnisse nach Paragraf 39A des Police Act 1996 herausgegeben (29). Jeder nach dem Police Act herausgegebene Verhaltenskodex muss vom Secretary of State genehmigt werden; außerdem muss die National Crime Agency dazu konsultiert werden, bevor er dem Parlament vorgelegt wird. Nach Paragraf 39A Absatz 7 des Police Act hat die Polizei nach dem Gesetz erlassene Kodizes gebührend zu berücksichtigen, sodass von ihr erwartet wird, sich an die darin enthaltenen Vorgaben zu halten (30). Darüber hinaus müssen Leitlinien ohne Gesetzescharakter (wie etwa die APP Guidance on the Management of Police Information) immer mit dem MoPI Code of Practice vereinbar sein, der solchen Leitlinien übergeordnet ist (31). Auch wenn Polizeibeamte in bestimmten operativen Situationen gezwungen sein können, von diesem Leitfaden abzuweichen, sind sie in jedem Fall verpflichtet, die Vorschriften von Teil 3 des DPA 2018 einzuhalten (32).

(18) Weitere Leitlinien zu den Datenschutzvorschriften des Vereinigten Königreichs für die Verarbeitung von Daten im Bereich der Strafverfolgung werden vom Büro des Information Commissioner (Information Commissioner’s Office — im Folgenden „ICO“) (33) bereitgestellt (nähere Informationen zum ICO finden sich in den Erwägungsgründen 93 bis 109). Obwohl die Leitlinien nicht rechtsverbindlich sind, wären die Gerichte in einem Verfahren verpflichtet, einen etwaigen Verstoß gegen die Leitlinien zu berücksichtigen, da sie auslegungsrelevant sind und zeigen, wie der Information Commissioner die Datenschutzvorschriften in der Praxis ausgelegt und durchsetzt (34).

(19) Schließlich müssen die britischen Strafverfolgungsbehörden gemäß den Erwägungsgründen 8 bis 10 sicherstellen, dass die Bestimmungen der EMRK und des Übereinkommens Nr. 108 eingehalten werden.

(20) Somit ist der Rechtsrahmen für die Verarbeitung von Daten durch die britischen Strafverfolgungsbehörden seiner Struktur und seinen wesentlichen Bestandteilen nach dem in der EU geltenden Rechtsrahmen sehr ähnlich. Dazu gehört auch, dass dieser Rahmen nicht nur auf Verpflichtungen beruht, die im innerstaatlichen Recht festgelegt sind und durch EU-Recht geprägt wurden, sondern auch auf völkerrechtlichen Verpflichtungen, die das Vereinigte Königreich insbesondere durch seinen Beitritt zur EMRK und zum Übereinkommen Nr. 108 sowie durch die Anerkennung der Gerichtsbarkeit des Europäischen Gerichtshofs für Menschenrechte eingegangen ist. Diese sich aus rechtsverbindlichen internationalen Instrumenten ergebenden Verpflichtungen, die insbesondere den Schutz personenbezogener Daten betreffen, sind daher ein besonders wichtiges Element des Rechtsrahmens, der in diesem Beschluss bewertet wird.

2.3. Sachlicher und räumlicher Anwendungsbereich

(21) Der sachliche Anwendungsbereich von Teil 3 des DPA 2018 entspricht dem Anwendungsbereich der Richtlinie (EU) 2016/680 im Sinne ihres Artikels 2 Absatz 2. Teil 3 gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten durch eine zuständige Behörde sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten durch eine zuständige Behörde, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(22) Zudem fällt ein Verantwortlicher nur dann in den Anwendungsbereich dieses Teils 3, wenn es sich dabei um eine zuständige Behörde („competent authority“) handelt und die Verarbeitung für Zwecke der Strafverfolgung („law enforcement purposes“) erfolgt. Daher sind die Datenschutzvorschriften, die in diesem Beschluss bewertet werden, auf alle Strafverfolgungsaufgaben dieser zuständigen Behörden anwendbar.

(23) Als „zuständige Behörde“ im Sinne der Begriffsbestimmung in Paragraf 30 DPA 2018 gelten die in Anhang 7 des DPA 2018 aufgeführten Personen sowie jede andere Person, soweit sie gesetzlich festgelegte Aufgaben für die Zwecke der Strafverfolgung ausübt. Die in Anhang 7 aufgeführten zuständigen Behörden umfassen nicht nur Polizeikräfte, sondern auch alle ministeriellen Regierungsbehörden im Vereinigten Königreich und andere Behörden mit Ermittlungsaufgaben (dazu gehören z. B. der Commissioner for Her Majesty’s Revenue and Customs, die Welsh Revenue Authority, die Competition and Markets Authority und Her Majesty’s Land Register), Staatsanwaltschaften, sonstige Strafjustizbehörden und andere mit Strafverfolgungsaufgaben betraute Träger oder Organisationen (35). Teil 3 des DPA 2018 gilt zudem für Gerichte und Tribunale im Rahmen der Ausübung ihrer richterlichen Funktionen, mit Ausnahme des Teils, der die Rechte der betroffenen Person und die Aufsichtsfunktion des ICO betrifft (36). Die in Anhang 7 enthaltene Liste der zuständigen Behörden ist nicht endgültig und kann vom Secretary of State im Wege von Verordnungen unter Berücksichtigung von Änderungen der behördlichen Organisationsstruktur aktualisiert werden (37).

(24) Die betreffende Verarbeitung muss also einem Zweck der Strafverfolgung („law enforcement purpose“) dienen, der definiert wird als Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (38). Die Verarbeitung durch eine zuständige Behörde wird nicht durch Teil 3 des DPA 2018 geregelt, wenn sie nicht für Zwecke der Strafverfolgung erfolgt. Dies ist zum Beispiel der Fall, wenn die Competition and Markets Authority nicht strafbare Sachverhalte untersucht (z. B. Unternehmenszusammenschlüsse). In diesem Fall kommt die UK GDPR in Verbindung mit Teil 2 des DPA 2018 zur Anwendung, weil die zuständigen Behörden personenbezogene Daten zu anderen Zwecken als zu Strafverfolgungszwecken verarbeiten. Um zu bestimmen, welche Datenschutzregelung (Teil 3 oder Teil 2 des DPA 2018) auf eine bestimmte Verarbeitung personenbezogener anwendbar ist, muss die zuständige Behörde, d. h. der Verantwortliche, prüfen, ob es sich beim Hauptzweck („primary purpose“) der fraglichen Verarbeitung um einen der Strafverfolgungszwecke gemäß DPA 2018 handelt.

(25) In Bezug auf den räumlichen Anwendungsbereich von Teil 3 des DPA 2018 sieht Paragraf 207 Absatz 2 vor, dass der DPA für die Verarbeitung personenbezogener Daten im Zusammenhang mit den Tätigkeiten von Personen mit einer Niederlassung auf dem gesamten Gebiet des Vereinigten Königreichs gilt. Dazu gehören Behörden im Hoheitsgebiet von England, Wales, Schottland und Nordirland, die in den sachlichen Anwendungsbereich von Teil 3 des DPA 2018 fallen (39).

2.3.1. Bestimmung der Begriffe „personenbezogene Daten“ und „Verarbeitung“

(26) Die Bestimmung der Schlüsselbegriffe „personenbezogene Daten“ („personal data“) und „Verarbeitung“ („processing“) findet sich in Paragraf 3 DPA 2018 und gilt im gesamten DPA. Die Begriffsbestimmungen sind eng an die entsprechenden Bestimmungen des Artikels 3 der Richtlinie (EU) 2016/680 angelehnt. Nach dem DPA 2018 gelten alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen, als personenbezogene Daten (40). Nach Paragraf 3 Absatz 3 DPA 2018 wird eine natürliche Person als identifizierbar angesehen, wenn sie direkt oder indirekt, unter anderem mittels Zuordnung zu einer Kennung wie einem Namen oder einer Kennnummer, oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser Person sind, identifiziert werden kann. Das Konzept der „Verarbeitung“ wird definiert als ein im Zusammenhang mit Daten oder einer Datenreihe ausgeführter Vorgang oder eine solche Vorgangsreihe, wie a) das Erheben, das Erfassen, die Organisation, das Ordnen oder das Speichern, b) das Anpassen oder Verändern, c) das Auslesen, das Abfragen oder die Verwendung, d) die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, e) den Abgleich oder die Verknüpfung, oder f) die Einschränkung, das Löschen oder die Vernichtung. Des Weiteren wird im Gesetz der Ausdruck „Verarbeitung sensibler Daten“ („sensitive processing“) definiert als „a) die Verarbeitung personenbezogener Daten, aus denen die Rasse oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, b) die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, c) die Verarbeitung von Gesundheitsdaten, d) die Verarbeitung von Daten zur Sexualität oder der sexuellen Orientierung“ (41). Diesbezüglich sind die Ausdrücke „biometrische Daten“ („biometric data“) (42), „Gesundheitsdaten“ („data concerning health“) (43) und „genetische Daten“ („genetic data“) (44) in Paragraf 205 DPA 2018 definiert.

(27) In Paragraf 32 DPA 2018 werden die Ausdrücke „Verantwortlicher“ („controller“) und „Auftragsverarbeiter“ („processor“) im Zusammenhang mit der Verarbeitung personenbezogener Daten für Zwecke der Strafverfolgung in enger Anlehnung an die entsprechenden Begriffsbestimmungen in der Richtlinie (EU) 2016/680 definiert. Der Ausdruck „Verantwortlicher“ („controller“) bezeichnet die zuständige Behörde, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Ist diese Verarbeitung gesetzlich vorgegeben, so ist der Verantwortliche die zuständige Behörde, der diese Verpflichtung durch das betreffende Gesetz auferlegt wird. Der Ausdruck „Auftragsverarbeiter“ („processor“) bezeichnet jede Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (soweit es sich dabei nicht um Beschäftigte des Verantwortlichen handelt).

2.4. Garantien, Rechte und Pflichten

2.4.1. Rechtmäßigkeit der Verarbeitung und Verarbeitung nach Treu und Glauben

(28) Nach Paragraf 35 DPA 2018 hat die Verarbeitung personenbezogener Daten — ähnlich wie in Artikel 4 Absatz 1 Buchstabe a der Richtlinie (EU) 2016/680 festgelegt — auf rechtmäßige Weise und nach dem Grundsatz von Treu und Glauben zu erfolgen. Gemäß Paragraf 35 Absatz 2 DPA 2018 ist die Verarbeitung personenbezogener Daten für einen der Strafverfolgungszwecke nur dann rechtmäßig, wenn sie auf gesetzlicher Grundlage beruht und entweder die betroffene Person ihre Einwilligung für die Verarbeitung zu dem betreffenden Zweck erteilt hat oder die Verarbeitung für die Erfüllung einer Aufgabe erforderlich ist, die von der zuständigen Behörde für den betreffenden Zweck wahrgenommenen wird.

2.4.1.1. Verarbeitung auf Grundlage des Rechts

(29) Ähnlich wie in Artikel 8 der Richtlinie (EU) 2016/680 muss eine Verarbeitung nach Teil 3 des DPA 2018 zur Gewährleistung ihrer Rechtmäßigkeit auf „Grundlage des Rechts“ erfolgen. Die Verarbeitung gilt als rechtmäßig („lawful“), wenn sie kraft Gesetzes, Common Law oder königlicher Vorrechte gestattet ist (45).

(30) Die Befugnisse zuständiger Behörden sind im Allgemeinen gesetzlich geregelt, das heißt, ihre Aufgaben und Befugnisse sind in vom Parlament verabschiedeten Rechtsvorschriften eindeutig festgelegt (46). In bestimmten Fällen können die Polizei und andere in Anhang 7 des DPA 2018 aufgeführte zuständige Behörden Daten auch auf Grundlage des Common Law verarbeiten (47). Das britische Common Law hat sich im Wege der Rechtsprechung entwickelt. Das Common Law ist im Zusammenhang mit Befugnissen der Polizei relevant, die ihre grundlegende Pflicht, die Öffentlichkeit durch die Aufdeckung und Verhütung von Straftaten zu schützen, aus dieser Rechtsquelle ableitet (48). Die polizeilichen Befugnisse zur Erfüllung dieser Pflicht sind jedoch sowohl im Common Law als auch in Gesetzen (49) verankert. Gesetzliche Befugnisse der Polizei haben Vorrang vor etwaigen nach dem Common Law gewährten Befugnissen (50).

(31) Die aus dem Common Law abgeleiteten Befugnisse und Pflichten eines Polizeibeamten erstrecken sich nach Auffassung der Gerichte auf „alle Schritte, die ihm zur Aufrechterhaltung des Friedens, zur Verhinderung von Straftaten oder zum Schutz von Eigentum vor Schäden durch strafbare Handlungen notwendig erscheinen“ (51). Im Common Law verankerte Befugnisse gelten nicht uneingeschränkt. Sie unterliegen einer Reihe von Einschränkungen, die unter anderem durch die Gerichte (52) und durch Rechtsvorschriften — insbesondere durch den Human Rights Act 1998 und den Equality Act 2010 (53) — festgelegt wurden. Dazu gehört auch, dass zuständige Behörden bei der Verarbeitung von Daten gemäß Teil 3 des DPA 2018 ihre im Common Law verankerten Befugnisse stets im Einklang mit den Vorschriften des DPA 2018 ausüben. (54) Darüber hinaus ist bei der Entscheidung zur Durchführung jedweder Form der Datenverarbeitung grundsätzlich den Anforderungen der anwendbaren Leitlinien Rechnung zu tragen, wie etwa dem MoPI Code of Practice und den für die einzelnen Länder des Vereinigten Königreichs geltenden spezifischen Leitlinien (55). Durch verschiedene, von der Regierung und den Polizeidienststellen herausgegebene Leitliniendokumente soll sichergestellt werden, dass Polizeibeamte ihre Befugnisse innerhalb der durch das Common Law oder das einschlägige Gesetz vorgegebenen Grenzen ausüben (56).

(32) Eine weitere Komponente des „Rechts“ sind die königlichen Vorrechte („royal prerogatives“), d. h. bestimmte Befugnisse der Krone, die von der Exekutive ausgeübt werden können und nicht gesetzlich festgelegt sind, sondern sich aus der Souveränität des Monarchen ergeben (57). Es gibt nur sehr wenige Beispiele königlicher Vorrechte, die im Zusammenhang mit der Strafverfolgung relevant sind. Dazu gehört beispielsweise der Rechtsrahmen für die gegenseitige Amtshilfe, der die Weitergabe von Daten durch einen Secretary of State an Drittländer für Zwecke der Strafverfolgung ermöglicht, wobei die Befugnis zu dieser Form der Datenweitergabe nicht immer gesetzlich geregelt ist (58). Da die königlichen Vorrechte an die Grundsätze des Common Law (59) gebunden und dem Gesetz untergeordnet sind, unterliegen sie den im Human Rights Act 1998 und im DPA 2018 vorgesehenen Grenzen (60).

(33) Um dem Grundsatz der Rechtmäßigkeit zu entsprechen, verlangt die britische Regelung analog zu Artikel 8 der Richtlinie (EU) 2016/680, dass die zuständigen Behörden bei der Verarbeitung auf Grundlage des Rechts sicherstellen, dass diese Verarbeitung auch für die Erfüllung der Aufgabe erforderlich („necessary“) ist, die für den Zweck der Strafverfolgung wahrgenommen wird. In einer Konkretisierung dieses Aspekts hat das ICO klargestellt: „Es muss sich um ein zielgerichtetes und verhältnismäßiges Mittel zur Erfüllung des Zwecks handeln. Die rechtmäßige Grundlage gilt nicht, wenn der Zweck nach vernünftigem Ermessen auch durch weniger stark eingreifende Mittel erzielt werden kann. Das Argument, die Verarbeitung sei erforderlich, weil man sich intern für bestimmte Betriebsabläufe entschieden habe, ist unzureichend. Ausschlaggebend ist die Frage, ob die Verarbeitung für den angegebenen Zweck erforderlich ist“ (61).

2.4.1.2. Verarbeitung auf der Grundlage der Einwilligung der betroffenen Person

(34) Wie in Erwägungsgrund 28 erwähnt, sieht Paragraf 35 Absatz 2 DPA 2018 vor, dass eine Verarbeitung personenbezogener Daten auf der Grundlage der Einwilligung („consent“) der betroffenen Person zulässig ist.

(35) Allerdings ist die Einwilligung als Rechtsgrundlage für die in den Anwendungsbereich dieses Beschlusses fallenden Verarbeitungsvorgänge offenbar nicht relevant. Die unter diesen Beschluss fallenden Verarbeitungsvorgänge werden immer Daten betreffen, die nach der Richtlinie (EU) 2016/680 von einer zuständigen Behörde eines Mitgliedstaats an eine zuständige Behörde im Vereinigten Königreich übermittelt worden sind. Daher werden sie typischerweise nicht die Form der direkten Interaktion (Erhebung) zwischen einer Behörde und betroffenen Personen umfassen, die auf der Grundlage der Einwilligung nach Paragraf 35 Absatz 2 Buchstabe a DPA 2018 erfolgen kann.

(36) Auch wenn der Rückgriff auf die Einwilligung für die im Rahmen dieses Beschlusses vorgenommene Bewertung als nicht relevant betrachtet wird, sei der Vollständigkeit halber darauf hingewiesen, dass die Verarbeitung im Rahmen der Strafverfolgung nie allein auf der Einwilligung beruht, da eine zuständige Behörde unabhängig davon grundsätzlich zur Verarbeitung der Daten befugt sein muss (62). Konkret, und in Anlehnung an Richtlinie (EU) 2016/680 (63), bedeutet dies, dass die Einwilligung als zusätzliche Bedingung vorliegen muss, um bestimmte begrenzte und spezifische Verarbeitungsvorgänge zu ermöglichen, die andernfalls nicht durchgeführt werden könnten, wie etwa die Erhebung und Verarbeitung der DNA-Probe einer nicht verdächtigen Person. In diesem Fall würde die Verarbeitung nicht erfolgen, wenn die Einwilligung nicht erteilt wird oder wenn sie widerrufen wird (64).

(37) Wird die Einwilligung des Betroffenen verlangt, so muss diese unmissverständlich und durch eine eindeutige bestätigende Handlung erteilt worden sein (65). Die Polizeidienststellen müssen über eine Datenschutzerklärung verfügen, die unter anderem die notwendigen Angaben im Zusammenhang mit der wirksamen Nutzung der Einwilligung umfasst. Darüber hinaus veröffentlichen einige Polizeidienststellen zusätzliche Angaben darüber, wie sie den Datenschutzvorschriften nachkommen und wie und in welchen Fällen sie die Einwilligung als Rechtsgrundlage nutzen würden (66).

2.4.1.3. Verarbeitung sensibler Daten

(38) Wenn besondere Kategorien („special categories“) von Daten verarbeitet werden, sollten besondere Garantien vorhanden sein. Diesbezüglich sieht Teil 3 des DPA 2018 in Anlehnung an Artikel 10 der Richtlinie (EU) 2016/680 für die Verarbeitung sensibler Daten („sensitive processing“) strengere Garantien vor (67).

(39) Nach Paragraf 35 Absatz 3 DPA 1998 dürfen die zuständigen Behörden sensible Daten nur in zwei Fällen zu Strafverfolgungszwecken verarbeiten, nämlich 1. wenn die betroffene Person in die Verarbeitung für den Strafverfolgungszweck eingewilligt hat und der Verantwortliche zum Zeitpunkt der Durchführung der Verarbeitung über eine angemessene Dokumentation verfügt (68); oder 2. wenn die Verarbeitung für den Zweck der Strafverfolgung unbedingt erforderlich ist, die Verarbeitung mindestens eine der Voraussetzungen nach Anhang 8 des DPA 2018 erfüllt und der Verantwortliche zum Zeitpunkt der Durchführung der Verarbeitung über eine angemessene Dokumentation verfügt (69).

(40) In Bezug auf den ersten Fall wird, wie in Erwägungsgrund 38 dargelegt, die Einwilligung für die Art der Übermittlung, die Gegenstand dieses Beschlusses ist, als nicht relevant betrachtet (70).

(41) Beruht die Verarbeitung sensibler Daten nicht auf der Einwilligung, kann sie unter einer der in Anhang 8 des DPA 2018 genannten Bedingungen erfolgen. Diese Bedingungen beziehen sich auf die Notwendigkeit der Verarbeitung zu gesetzlichen Zwecken, zu Zwecken der Rechtspflege, zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person, zum Schutz von Kindern und gefährdeten Personen, im Zusammenhang mit Rechtsansprüchen, im Rahmen gerichtlicher Handlungen, zur Verhinderung von Betrug, Archivierung, und in Fällen, in denen die betroffene Person die personenbezogenen Daten offenkundig öffentlich gemacht hat. Abgesehen von dem Fall, in dem die Daten offenkundig öffentlich gemacht wurden, unterliegen alle in Anhang 8 genannten Bedingungen einer strengen Notwendigkeitsprüfung („strict necessity“). Dazu hat das ICO Folgendes klargestellt: „Der Ausdruck ‚unbedingt notwendig‘ bedeutet in diesem Zusammenhang, dass sich die Verarbeitung auf eine dringende gesellschaftliche Notwendigkeit beziehen muss und nach vernünftigem Ermessen nicht durch weniger starke Eingriffe erzielt werden kann“ (71). Darüber hinaus unterliegen einige der Bedingungen zusätzlichen Einschränkungen. So muss beispielsweise beim Rückgriff auf die Bedingung der Notwendigkeit zu gesetzlichen Zwecken („statutory purposes“ — Anhang 8 Nummer 1) und zum Schutz von Kindern und gefährdeten Personen („safeguarding condition“ — Anhang 8 Nummer 4) zusätzlich das Kriterium des erheblichen öffentlichen Interesses erfüllt sein. Darüber hinaus muss die betroffene Person im Zusammenhang mit den Bedingungen betreffend den Schutz des Kindes (Anhang 8 Nummer 4) auch einer bestimmten Altersgruppe angehören und als gefährdet gelten. Ferner kann der Verantwortliche die Bedingung nach Anhang 8 Nummer 4 nur heranziehen, wenn bestimmte Umstände gegeben sind (72). Die Bedingungen der Notwendigkeit für richterliche Handlungen („judicial acts“ — Anhang 8 Nummer 7) und zur Verhinderung von Betrug („preventing fraud“ — Anhang 8 Nummer 8) unterliegen ebenfalls Einschränkungen. Beide gelten nur für bestimmte Verantwortliche. Die Notwendigkeit für richterliche Handlungen können nur die Gerichte oder andere Justizbehörden geltend machen, und auf das Kriterium der Betrugsbekämpfung können sich nur Verantwortliche stützen, bei denen es sich um Betrugsbekämpfungsstellen handelt.

(42) Schließlich muss im Falle der Verarbeitung auf Grundlage einer der in Anhang 8 aufgeführten Bedingungen, beziehungsweise gemäß Paragraf 42 DPA 2018, eine angemessene Dokumentation („appropriate policy document“) vorliegen, in der erläutert wird, mit welchen Verfahren der Verantwortliche die Einhaltung der Datenschutzgrundsätze sicherstellt und wie er bei der Speicherung und Löschung personenbezogener Daten verfährt, und es gilt die Pflicht zum Führen eines erweiterten Verzeichnisses.

2.4.2. Zweckbindung

(43) Personenbezogene Daten sollten für einen bestimmten Zweck verarbeitet und anschließend nur verwendet werden, soweit dies mit dem Zweck der Verarbeitung nicht unvereinbar ist. Dieser Datenschutzgrundsatz wird durch Paragraf 36 DPA 2018 garantiert. Diese Bestimmung verlangt ähnlich wie Artikel 4 Absatz 1 Buchstabe b der Richtlinie (EU) 2016/680, dass a) personenbezogene Daten in jedem Fall für festgelegte, eindeutige und rechtmäßige Strafverfolgungszwecke erhoben werden und dass b) die so erhobenen Daten nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden.

(44) Die Verarbeitung personenbezogener Daten durch die zuständigen Behörden kann zu Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken erfolgen (73). Diesbezüglich wird im DPA 2018 außerdem klargestellt, dass die Archivierung (oder die Verarbeitung zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken) nicht zulässig ist, wenn sie im Hinblick auf Entscheidungen erfolgt, die gegenüber einer bestimmten betroffenen Person ergangen sind, oder wenn die Verarbeitung voraussichtlich mit erheblichem Schaden oder Leid für diese Person verbunden wäre (74).

2.4.3. Richtigkeit und Datenminimierung

(45) Die Daten müssen sachlich richtig und, wenn nötig, auf dem neuesten Stand sein. Ferner müssen sie dem Verarbeitungszweck entsprechen und maßgeblich sein und dürfen für die Zwecke, zu denen sie verarbeitet werden, nicht übermäßig sein. Diese Grundsätze werden analog zu Artikel 4 Absatz 1 Buchstaben c, d und e der Richtlinie (EU) 2016/680 in den Paragrafen 37 und 38 DPA 2018 garantiert. Dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf den Zweck der Strafverfolgung, für den sie verarbeitet werden (75), unrichtig (76) sind, unverzüglich (77) gelöscht oder berichtigt werden, und damit personenbezogene Daten, die unrichtig, unvollständig oder nicht mehr aktuell sind, nicht für einen der Strafverfolgungszwecke übermittelt oder bereitgestellt werden (78).

(46) Darüber hinaus sieht die Datenschutzregelung des Vereinigten Königreichs ähnlich wie Artikel 7 der Richtlinie (EU) 2016/680 vor, dass bei personenbezogenen Daten so weit wie möglich zwischen faktenbasierten Daten und auf persönlichen Einschätzungen beruhenden Daten unterschieden wird (79). Gegebenenfalls muss so weit wie möglich klar zwischen den personenbezogenen Daten unterschieden werden, die sich auf verschiedene Kategorien betroffener Personen beziehen, wie Verdächtige, verurteilte Straftäter, Opfer von Straftaten und Zeugen (80).

2.4.4. Speicherbegrenzung

(47) Gemäß Artikel 5 der Richtlinie (EU) 2016/680 sollten Daten grundsätzlich nicht länger gespeichert werden, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Gemäß Paragraf 39 DPA 2018 und analog zu Artikel 5 der EU-Richtlinie dürfen personenbezogene Daten, die zu einem der Strafverfolgungszwecke verarbeitet werden, nicht länger gespeichert werden, als es für den Zweck, zu dem sie verarbeitet werden, erforderlich ist. Die Rechtsordnung des Vereinigten Königreichs verlangt, dass für die regelmäßige Überprüfung der Notwendigkeit einer weiteren Speicherung personenbezogener Daten zu einem der Strafverfolgungszwecke angemessene Fristen vorgesehen werden. Weitere Vorschriften über Verfahrensweisen bei der Speicherung personenbezogener Daten und die anwendbaren Fristen wurden in den einschlägigen Rechtsvorschriften und Leitlinien über die Befugnisse und Arbeitsweisen der Polizei festgelegt. So geben beispielsweise in England und Wales der MoPI Code of Practice des College of Policing in Verbindung mit der APP Guidance on the Management of Police Information einen Rahmen vor, um einheitliche und risikobasierte Speicher-, Überprüfungs- und Entsorgungsverfahren für die Verwaltung von Informationen bei der operativen Polizeiarbeit sicherzustellen (81). Dieser Rahmen umfasst klare Vorgaben für alle Dienststellen in Bezug auf die Erstellung, den Austausch, die Nutzung und die Verwaltung von Informationen zwischen einzelnen Polizeidienststellen und anderen Behörden (82). Es wird erwartet, dass die Polizei den MoPI Code of Practice befolgt, und die Einhaltung der Vorgaben wird vom Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (HMICFRS) kontrolliert (83).

(48) Der Police Service of Northern Ireland (PSNI) ist gesetzlich nicht dazu verpflichtet, den MoPI Code of Practice zu befolgen. Allerdings wird der 2011 angenommene MoPI-Rahmen durch ein Handbuch des Police Service of Northern Ireland (84) ergänzt, in dem festgelegt ist, nach welchen Grundsätzen und Verfahren der MoPI Code of Practice in Nordirland anzuwenden ist.

(49) In Schottland stützen sich die Polizeidienststellen auf eine Standard-Dienstanweisung zur Datenspeicherung, die sogenannte Retention Standard Operating Procedure (SOP) (85), die die Datenverwaltungsrichtlinie (Records Management Policy) (86) des Police Service of Scotland ergänzt. Die Standard Operating Procedure sieht spezielle Speicherregeln für von der schottischen Polizei verwahrte Daten vor.

(50) Neben der im gesamten Vereinigten Königreich geltenden übergeordneten Vorschrift, gespeicherte Daten regelmäßig zu überprüfen, sind in lokalen Vorschriften weitere Einzelheiten geregelt. Dazu einige Beispiele: In Bezug auf England und Wales regelt das Gesetz über polizeiliche und strafrechtliche Beweismittel (Police and Criminal Evidence Act) in der durch das Gesetz zum Schutz der Freiheiten (Protection of Freedom Act) von 2012 geänderten Fassung die Speicherung von Fingerabdrücken und DNA-Profilen und enthält eine besondere Regelung für nicht verurteilte Personen (87). Mit dem Protection of Freedom Act wurde zudem das Amt des Beauftragten für die Aufbewahrung und Verwendung von biometrischem Material (Commissioner for the Retention and Use of Biometric Material — im Folgenden „Biometrics Commissioner“) geschaffen (88). Im Custody Image Review von 2017 sind besondere Vorschriften für bei der Festnahme aufgenommene Fotos festgelegt (89). Für Schottland sind die Vorschriften über die Einholung und Aufbewahrung von Fingerabdrücken und biologischen Proben im Strafverfahrensgesetz (Criminal Procedure (Scotland) Act) von 1995 festgelegt (90). Wie in England und Wales ist die Aufbewahrung von biometrischen Daten in verschiedenen Fällen gesetzlich geregelt (91).

2.4.5. Datensicherheit

(51) Personenbezogene Daten müssen in einer Weise verarbeitet werden, die ihre Sicherheit gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Zu diesem Zweck müssen die Behörden geeignete technische oder organisatorische Maßnahmen treffen, um personenbezogene Daten vor möglichen Bedrohungen zu schützen. Diese Maßnahmen müssen unter Berücksichtigung des Stands der Technik und der damit verbundenen Kosten bewertet werden.

(52) Diese Grundsätze schlagen sich in Paragraf 40 DPA 2018 nieder, wonach — ähnlich wie in Artikel 4 Absatz 1 Buchstabe f der Richtlinie (EU) 2016/680 — die Verarbeitung personenbezogener Daten für einen der Strafverfolgungszwecke in einer Weise erfolgen muss, die eine angemessene Sicherheit der personenbezogenen Daten durch geeignete technische und organisatorische Maßnahmen gewährleistet. Dies umfasst den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung (92). Ferner ist in Paragraf 66 DPA 2018 festgelegt, dass jeder Verantwortliche und jeder Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen zu treffen hat, um ein Schutzniveau zu gewährleisten, das den mit der Verarbeitung personenbezogener Daten verbundenen Risiken angemessen ist. Den Erläuterungen zufolge muss der Verantwortliche die Risiken ermitteln und auf der Grundlage dieser Risikobewertung angemessene Sicherheitsvorkehrungen treffen, wie etwa eine Verschlüsselung oder spezielle Sicherheitsfreigaben für das mit der Datenverarbeitung befasste Personal (93). Bei der Bewertung sind unter anderem auch die Art der verarbeiteten Daten sowie alle sonstigen relevanten Faktoren oder Umstände zu berücksichtigen, die sich auf die Sicherheit der Verarbeitung auswirken könnten.

(53) Die Regelungen zur Einhaltung der Datensicherheitsgrundsätze sind den entsprechenden Bestimmungen der Artikel 29 bis 31 der Richtlinie (EU) 2016/680 sehr ähnlich. Insbesondere muss der Verantwortliche im Falle einer Verletzung des Schutzes personenbezogener Daten, für die der Verarbeiter verantwortlich ist, diese nach Paragraf 67 Absatz 1 DPA 2018 unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, dem Information Commissioner melden (94). Die Meldepflicht gilt nicht, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (95). Der Verantwortliche muss die im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, deren Auswirkungen und die ergriffenen Abhilfemaßnahmen so dokumentieren, dass der Information Commissioner die Einhaltung der Bestimmungen des DPA überprüfen kann (96). Wenn einem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, hat er diese dem Verantwortlichen unverzüglich zu melden (97).

(54) Nach Paragraf 68 Absatz 1 DPA 2018 muss der Verantwortliche die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten unterrichten, wenn die betreffende Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (98). Die Mitteilung muss dieselben Angaben enthalten wie die in Erwägungsgrund 53 beschriebene Meldung an den Information Commissioner. Diese Meldepflicht gilt nicht, wenn der Verantwortliche angemessene technische und organisatorische Maßnahmen ergriffen hat und diese Maßnahmen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt hat. Sie entfällt auch dann, wenn der Verantwortliche durch Folgemaßnahmen sichergestellt hat, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen aller Wahrscheinlichkeit nach nicht mehr besteht. Schließlich ist der Verantwortliche auch dann nicht zur Unterrichtung der betroffenen Person verpflichtet, wenn dies mit einem unverhältnismäßigen Aufwand verbunden wäre (99). In diesem Fall muss die betroffene Person auf eine andere vergleichbar wirksame Weise informiert werden, beispielsweise mittels öffentlicher Bekanntmachung (100). Hat der Verantwortliche die betroffene Person nicht von der Verletzung des Schutzes personenbezogener Daten unterrichtet, so kann der Information Commissioner — nach Erhalt der Meldung der Verletzung gemäß Paragraf 67 — unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, die betroffene Person von der Verletzung zu unterrichten (101).

2.4.6. Transparenz

(55) Betroffene Personen müssen über die Hauptmerkmale der Verarbeitung ihrer personenbezogenen Daten unterrichtet werden. Dieser Datenschutzgrundsatz schlägt sich in Paragraf 44 DPA 2018 nieder, der — ähnlich wie Artikel 13 der Richtlinie (EU) 2016/680 — besagt, dass der Verantwortliche eine allgemeine Pflicht hat, betroffenen Personen Informationen über die Verarbeitung ihrer personenbezogenen Daten zur Verfügung zu stellen (indem die Informationen der Öffentlichkeit allgemein zugänglich gemacht oder auf andere Weise zur Verfügung gestellt werden) (102). Betroffenen Personen sind insbesondere folgende Informationen zur Verfügung zu stellen: a) der Name und die Kontaktdaten des Verantwortlichen, b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten, c) die Zwecke, für die der Verantwortliche die personenbezogenen Daten verarbeitet, d) das Recht auf Auskunft über personenbezogene Daten, auf Berichtigung oder Löschung personenbezogener Daten oder auf Einschränkung der Verarbeitung der personenbezogenen Daten der betroffenen Person durch den Verantwortlichen, und e) das Bestehen eines Beschwerderechts beim Information Commissioner sowie dessen Kontaktdaten (103).

(56) Der Verantwortliche muss die betroffene Person außerdem in bestimmten Fällen (etwa wenn die verarbeiteten personenbezogenen Daten ohne Wissen der betroffenen Person erhoben wurden) und zur Ermöglichung der Ausübung ihrer Rechte nach dem DPA 2018 über Folgendes informieren: die Rechtsgrundlage der Verarbeitung, b) die Speicherfrist der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien, nach denen die Speicherfrist festgelegt wird, c) gegebenenfalls die Kategorien von Empfängern der personenbezogenen Daten (einschließlich Empfänger in Drittländern oder internationalen Organisationen), d) alle sonstigen Informationen, die notwendig sind, um die Ausübung der Rechte der betroffenen Person gemäß Teil 3 DPA 2018 zu ermöglichen (104).

2.4.7. Rechte des Einzelnen

(57) Den betroffenen Personen muss eine Reihe von durchsetzbaren Rechten eingeräumt werden. Teil 3 Kapitel 3 des DPA 2018 gewährt natürlichen Personen das Recht auf Auskunft und Berichtigung oder Löschung personenbezogener Daten sowie auf Einschränkung der Verarbeitung (105). Diese Rechte sind mit den nach Kapitel 3 der Richtlinie (EU) 2016/680 gewährten Rechten vergleichbar.

(58) Das Auskunftsrecht ist in Paragraf 45 DPA 2018 geregelt. Erstens haben natürliche Personen das Recht, vom Verantwortlichen eine Bestätigung darüber zu erhalten, ob ihre personenbezogenen Daten verarbeitet werden oder nicht (106). Zweitens hat in dem Fall, dass personenbezogene Daten verarbeitet werden, die betroffene Person das Recht, Auskunft über die betreffenden Daten und zu folgenden Punkten zu erhalten: a) die Zwecke der Verarbeitung und deren Rechtsgrundlagen, b) die Datenkategorien, die verarbeitet werden, c) die Empfänger, gegenüber denen die personenbezogenen Daten offengelegt worden sind, d) die Dauer der Speicherung personenbezogener Daten; e) das Bestehen eines Rechts der betroffenen Person auf Berichtigung und Löschung personenbezogener Daten, f) das Bestehen eines Beschwerderechts sowie g) alle Informationen über die Herkunft der verarbeiteten personenbezogenen Daten (107).

(59) Nach Paragraf 46 DPA 2018 hat die betroffene Person das Recht, vom Verantwortlichen die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Der Verantwortliche muss die Daten unverzüglich berichtigen (bzw. vervollständigen, wenn die Daten wegen Unvollständigkeit unrichtig sind). Müssen die personenbezogenen Daten für Beweiszwecke weiter aufbewahrt werden, so hat der Verantwortliche ihre Verarbeitung einzuschränken (anstatt die personenbezogenen Daten zu berichtigen) (108).

(60) Paragraf 47 DPA 2018 gewährt natürlichen Personen ein Recht auf Löschung und auf Einschränkung der Verarbeitung. Der Verantwortliche muss (109) personenbezogene Daten unverzüglich löschen, wenn die Verarbeitung der personenbezogenen Daten gegen einen der Datenschutzgrundsätze, gegen die Rechtsgrundlagen der Verarbeitung oder gegen die im Zusammenhang mit der Archivierung und der Verarbeitung sensibler Daten bestehenden Garantien verstoßen würde. Außerdem muss der Verantwortliche die Daten löschen, wenn er rechtlich dazu verpflichtet ist. Müssen die personenbezogenen Daten zu Beweiszwecken weiter aufbewahrt werden, so muss der Verantwortliche ihre Verarbeitung einschränken (anstatt die personenbezogenen Daten zu löschen) (110). Der Verantwortliche muss die Verarbeitung personenbezogener Daten einschränken, wenn eine betroffene Person die Richtigkeit personenbezogener Daten bestreitet, deren Richtigkeit oder Unrichtigkeit jedoch nicht festgestellt werden kann (111).

(61) Beantragt eine betroffene Person die Berichtigung oder Löschung personenbezogener Daten oder die Einschränkung ihrer Verarbeitung, so hat der Verantwortliche der betroffenen Person schriftlich mitzuteilen, ob dem Antrag Folge geleistet wurde; wird der Antrag abgelehnt, muss der Verantwortliche die betroffene Person über die entsprechenden Gründe und über die Rechtsbehelfsmöglichkeiten informieren (das Recht der betroffenen Person, beim Information Commissioner die Prüfung der rechtmäßigen Anwendung der Einschränkung zu beantragen, das Recht auf Beschwerde beim Information Commissioner und das Recht, bei Gericht eine Verfügung zu beantragen) (112).

(62) Berichtigt der Verantwortliche von einer anderen Behörde erhaltene personenbezogene Daten, so hat er die andere Behörde hierüber zu unterrichten (113). Berichtigt oder löscht der Verantwortliche personenbezogene Daten, die er offengelegt hat, oder schränkt er die Verarbeitung solcher Daten ein, muss der Verantwortliche die Empfänger benachrichtigen, und die Empfänger müssen die personenbezogenen Daten ihrerseits berichtigen, löschen bzw. deren Verarbeitung einschränken (soweit sie weiterhin für die Daten verantwortlich sind) (114).

(63) Darüber hinaus hat die betroffene Person das Recht, unverzüglich vom Verantwortlichen über eine Verletzung des Schutzes personenbezogener Daten informiert zu werden, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (115).

(64) In Bezug auf alle genannten Rechte der betroffenen Person und analog zu den Bestimmungen des Artikels 12 der Richtlinie (EU) 2016/680 hat der Verantwortliche sicherzustellen, dass der betroffenen Person alle Informationen in präziser, verständlicher und leicht zugänglicher Form (116) und, soweit möglich, in derselben Form übermittelt werden, in der der Antrag gestellt wurde (117). Der Verantwortliche muss dem Antrag der betroffenen Person unverzüglich und in jedem Fall grundsätzlich spätestens binnen eines Monats nach Erhalt des Antrags nachkommen (118). Hat der Verantwortliche begründete Zweifel an der Identität einer natürlichen Person, so kann er zusätzliche Informationen anfordern und die Bearbeitung des Antrages zurückstellen, bis die Identität festgestellt ist. Der Verantwortliche kann eine angemessene Gebühr erheben oder sich weigern, den Antrag zu bearbeiten, wenn der Antrag offenkundig unbegründet ist (119). Das ICO hat Leitlinien herausgegeben, in denen dargelegt ist, wann ein Antrag offenkundig unbegründet oder exzessiv ist und wann eine Gebühr erhoben werden kann (120).

(65) Darüber hinaus kann der Secretary of State nach Paragraf 53 Absatz 4 DPA 2018 im Wege von Verordnungen einen Höchstbetrag für die Gebühr bestimmen.

2.4.7.1. Einschränkung der Rechte der betroffenen Person und Transparenzpflichten

(66) Eine zuständige Behörde kann unter bestimmten Umständen bestimmte Rechte der betroffenen Person einschränken: das Auskunftsrecht (121), das Recht auf Erhalt von Informationen (122), das Recht auf Benachrichtigung von einer Verletzung des Schutzes personenbezogener Daten (123) und das Recht auf Auskunft über die Gründe für die Ablehnung eines Antrags auf Berichtigung oder Löschung (124). Ähnlich der in Kapitel III der Richtlinie (EU) 2016/680 vorgesehenen Regelung darf eine zuständige Behörde die Einschränkung nur dann anwenden, wenn sie unter Berücksichtigung der Grundrechte und der berechtigten Interessen der betroffenen Person erforderlich und verhältnismäßig ist, um a) behördliche oder gerichtliche Untersuchungen, Ermittlungen und Verfahren nicht zu behindern, b) zur Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden, c) zum Schutz der öffentlichen Sicherheit, d) zum Schutz der nationalen Sicherheit, e) zum Schutz der Rechte und Freiheiten anderer.

(67) Das ICO hat Leitlinien zur Anwendung dieser Einschränkungen herausgegeben. Diesen Leitlinien zufolge müssen Verantwortliche im Rahmen einer Einzelfallprüfung die Rechte der betroffenen Person gegen den bei einer Offenlegung zu erwartenden Schaden abwägen. Sie müssen insbesondere in jedem Fall begründen, dass eine Einschränkung notwendig und verhältnismäßig ist, und dürfen die bereitzustellenden Informationen nur einschränken, wenn deren Offenlegung die vorstehend genannten Zwecke beeinträchtigen würde (125).

(68) Darüber hinaus haben die zuständigen Behörden eine Reihe weiterer Leitlinien mit detaillierten Informationen zu allen Aspekten der Datenschutzgesetzgebung erstellt, auch zur Anwendung von Einschränkungen der Rechte der betroffenen Personen (126). So wird beispielsweise im Datenschutzhandbuch (Data Protection Manual) des National Police Chief Council im Zusammenhang mit Paragraf 45 Absatz 4 erklärt: „Es wird ausdrücklich darauf hingewiesen, dass die Einschränkungen nur so weit wie nötig angewandt und nur so lange wie nötig angewandt werden dürfen. Folglich sind eine pauschale Anwendung der Einschränkung auf alle personenbezogenen Daten eines Antragstellers oder eine dauerhafte Anwendung der Einschränkung unzulässig. In Bezug auf den letztgenannten Punkt müssen im Rahmen eines Ermittlungsverfahrens ohne Wissen der betroffenen Person erhobene personenbezogene Daten einer/eines Verdächtigen oftmals vor der Offenlegung gegenüber dieser Person geschützt werden, um laufende Ermittlungen nicht zu beeinträchtigen; zu einem späten Zeitpunkt hingegen würde die Offenlegung keinen Schaden verursachen, wenn die personenbezogenen Daten der betroffenen Person während der Vernehmung offengelegt worden wären. Die Polizeikräfte müssen Verfahren vorsehen, die sicherstellen, dass diese Einschränkungen nur im notwendigen Umfang und nur für die notwendige Dauer angewandt werden“ (127). In diesen Leitlinien wird auch anhand von Beispielen erklärt, wann die einzelnen Einschränkungen wahrscheinlich zum Tragen kommen (128).

(69) Darüber hinaus kann ein Verantwortlicher im Hinblick auf die Möglichkeit, die vorstehend genannten Rechte zum Schutz der „nationalen Sicherheit“ einzuschränken, eine von einem Kabinettsminister oder dem Generalstaatsanwalt (bzw. dem Generalanwalt für Schottland ) unterzeichnete Bescheinigung beantragen, aus der hervorgeht, dass eine Einschränkung dieser Rechte eine notwendige und verhältnismäßige Maßnahme zum Schutz der nationalen Sicherheit darstellt (129). Die britische Regierung hat Leitlinien zu nationalen Sicherheitsbescheinigungen gemäß dem DPA 2018 herausgegeben, in denen ausdrücklich betont wird, dass jede Einschränkung der Rechte betroffener Personen aus Gründen des Schutzes der nationalen Sicherheit verhältnismäßig und notwendig sein muss (130) (nähere Informationen über nationale Sicherheitsbescheinigungen finden sich in den Erwägungsgründen 131 bis 134).

(70) Ferner muss die zuständige Behörde in dem Fall, dass eine Einschränkung der Rechte einer betroffenen Person zur Anwendung kommt, die betroffene Person unverzüglich über die Einschränkung ihrer Rechte, die Gründe hierfür und die Rechtsbehelfsmöglichkeiten in Kenntnis setzen, es sei denn, diese Auskunftserteilung würde den Grund für die Anwendung der Einschränkung beeinträchtigen (131). Als weitere Maßnahme zum Schutz vor dem Missbrauch der Einschränkungen muss der Verantwortliche die Gründe für die Einschränkung der Informationen aufzeichnen und dem Information Commissioner die Aufzeichnungen auf Verlangen vorlegen (132).

(71) Weigert sich der Verantwortliche, zusätzliche Transparenzinformationen bereitzustellen oder Auskünfte zu erteilen, oder lehnt er einen Antrag auf Berichtigung oder Löschung personenbezogener Daten oder auf Einschränkung der Verarbeitung ab, so kann die betroffene Person beim Information Commissioner beantragen, dass geprüft wird, ob der Verantwortliche die Einschränkung rechtmäßig angewandt hat (133). Die betroffene Person kann auch Beschwerde beim Information Commissioner einreichen oder bei Gericht beantragen, dass der Verantwortliche angewiesen wird, dem Antrag nachzukommen (134).

2.4.7.2. Automatisierte Entscheidungsfindung

(72) Die Paragrafen 49 und 50 des DPA 2018 befassen sich mit den Rechten im Zusammenhang mit der automatisierten Entscheidungsfindung bzw. den zugehörigen Schutzbestimmungen (135). Ähnlich wie Artikel 11 der Richtlinie (EU) 2016/680 darf der Verantwortliche bedeutende Entscheidungen nur dann ausschließlich auf der Grundlage einer automatisierten Verarbeitung personenbezogener Daten treffen, wenn dies nach dem Gesetz erforderlich oder zulässig ist (136). Eine Entscheidung ist bedeutend, wenn sie eine nachteilige Rechtsfolge für die betroffene Person haben oder sie erheblich beeinträchtigen würde (137).

(73) Für den Fall, dass der Verarbeiter gesetzlich verpflichtet oder befugt ist, eine bedeutende Entscheidung zu treffen, sind in Paragraf 50 DPA 2018 die Garantien genannt, die für eine als bedeutend eingestufte Entscheidung (eine „qualifying significant decision“) gelten. Der Verarbeiter muss der betroffenen Person so bald wie nach vernünftigem Ermessen möglich mitteilen, dass eine solche Entscheidung getroffen wurde. Die betroffene Person kann dann binnen eines Monats beantragen, dass der Verantwortliche die Entscheidung überprüft oder eine neue Entscheidung trifft, die nicht ausschließlich auf einer automatisierten Verarbeitung beruht. Der Verantwortliche muss den Antrag prüfen und die betroffene Person über das Ergebnis dieser Prüfung informieren. Gemäß DPA 2018 ist der Secretary of State befugt, mittels Verordnungen weitere Garantien vorzusehen (138). Bislang wurden noch keine derartigen Verordnungen verabschiedet.

2.4.8. Weiterübermittlungen

(74) Das Schutzniveau für personenbezogene Daten, die von einer Strafverfolgungsbehörde in einem Mitgliedstaat an eine Strafverfolgungsbehörde im Vereinigten Königreich übermittelt werden, darf nicht durch die Weiterübermittlung dieser Daten an Empfänger in einem Drittland beeinträchtigt werden. Solche Weiterübermittlungen („onward transfers“), die aus Sicht einer britischen Strafverfolgungsbehörde internationale Übermittlungen aus dem Vereinigten Königreich darstellen, sollten nur dann zulässig sein, wenn der spätere Empfänger außerhalb des Vereinigten Königreichs selbst Vorschriften unterliegt, die ein ähnliches Schutzniveau gewährleisten, wie es in der Rechtsordnung des Vereinigten Königreichs garantiert ist.

(75) Die Bestimmungen des Vereinigten Königreichs über internationale Datenübermittlungen finden sich in Kapitel 5 Teil 3 DPA 2018 (139) und folgen dem in Kapitel V der Richtlinie (EU) 2016/680 gewählten Ansatz. Insbesondere muss eine zuständige Behörde drei Bedingungen erfüllen, um personenbezogene Daten an ein Drittland übermitteln zu dürfen: a) Die Datenübermittlung muss für einen Zweck der Strafverfolgung erforderlich sein; b) die Übermittlung muss auf der Grundlage i) einer Angemessenheitsvorschrift im Hinblick auf das Drittland, ii) geeigneter Garantien (wenn keine Angemessenheitsvorschrift vorliegt), oder iii) besonderer Umstände (wenn weder eine Angemessenheitsvorschrift noch geeignete Garantien bestehen) erfolgen; c) Empfänger der Datenübermittlung muss sein: i) eine relevante Behörde (d. h. die einer zuständigen Behörde entsprechende Stelle) des Drittlands, ii) eine relevante internationale Organisation („relevant international organisation“), d. h. eine internationale Einrichtung, die einem der Strafverfolgungszwecke entsprechende Funktionen ausübt, oder iii) eine andere Person als eine zuständige Behörde, jedoch nur, wenn die Datenübermittlung für die Erfüllung eines der Strafverfolgungszwecke unbedingt erforderlich ist, keine Grundrechte und -freiheiten der betroffenen Person gegenüber dem öffentlichen Interesse an einer Übermittlung überwiegen, eine Übermittlung der personenbezogenen Daten an eine relevante Behörde im Drittland wirkungslos und ungeeignet wäre und der Empfänger unverzüglich über die Zwecke, zu denen die Daten verarbeitet werden können, unterrichtet wird (140).

(76) Angemessenheitsvorschriften im Hinblick auf ein Drittland, ein Gebiet oder einen Sektor in einem Drittland, eine internationale Organisation oder eine Beschreibung (141) eines solchen Landes, Gebiets, Sektors oder einer internationalen Organisation werden vom Secretary of State erlassen. Was die zu erfüllenden Standards betrifft, so muss der Secretary of State beurteilen, ob ein solches Gebiet, ein solcher Sektor bzw. eine solche Organisation ein angemessenes Datenschutzniveau bietet. Nach Paragraf 74A Absatz 4 DPA 2018 muss der Secretary of State zu diesem Zweck eine Reihe von Elementen prüfen, die den in Artikel 36 der Richtlinie (EU) 2016/680 genannten Elementen entsprechen (142). Diesbezüglich stellt Teil 3 des DPA 2018 seit dem Ende des Übergangszeitraums eine aus Unionsrecht abgeleitete innerstaatliche Rechtsvorschrift („EU-derived domestic legislation“) dar, die, wie bereits erläutert, von den britischen Gerichten im Einklang mit der einschlägigen Rechtsprechung des Gerichtshofs aus der Zeit vor dem EU-Austritt des Vereinigten Königreichs sowie mit den allgemeinen Grundsätzen des Unionsrechts ausgelegt werden soll, so wie sie unmittelbar vor dem Ende des Übergangszeitraums galten. Dazu gehört das Kriterium der wesentlichen Gleichwertigkeit („essential equivalence“), das somit für die von den britischen Behörden vorgenommenen Angemessenheitsbewertungen gelten wird.

(77) Was das Verfahren betrifft, so unterliegen die Vorschriften den allgemeinen („general“) Verfahrensmodalitäten gemäß Paragraf 182 DPA 2018. Nach diesem Verfahren muss der Secretary of State bei einem Vorschlag zum Erlass künftiger Angemessenheitsvorschriften im Vereinigten Königreich den Information Commissioner konsultieren (143). Nach ihrer Verabschiedung durch den Secretary of State werden die Vorschriften dem Parlament vorgelegt und dort dem negativen Abstimmungsverfahren („negative resolution procedure“) unterzogen, bei dem beide Kammern des Parlaments die Vorschriften prüfen können und die Möglichkeit haben, innerhalb einer Frist von 40 Tagen einen Antrag auf deren Aufhebung zu stellen (144).

(78) Gemäß Paragraf 74B Absatz 1 DPA 2018 müssen die Angemessenheitsvorschriften mindestens alle vier Jahre überprüft werden; ferner muss der Secretary of State laufend die Entwicklungen in Drittländern und internationalen Organisationen beobachten, die sich auf Entscheidungen über den Erlass, die Änderung oder die Aufhebung von Angemessenheitsvorschriften auswirken könnten. Stellt der Secretary of State fest, dass ein bestimmtes Land oder eine bestimmte Organisation kein angemessenes Schutzniveau für personenbezogene Daten mehr gewährleistet, muss er, soweit erforderlich, die Vorschriften ändern oder aufheben und Konsultationen mit dem betreffenden Drittland oder der betreffenden internationalen Organisation aufnehmen, um dem Fehlen eines angemessenen Schutzniveaus abzuhelfen.

(79) Analog zu den Bestimmungen des Artikels 37 der Richtlinie (EU) 2016/680 wäre in Ermangelung einer Angemessenheitsvorschrift die Übermittlung personenbezogener Daten im Rahmen der Strafverfolgung möglich, wenn geeignete Garantien bestehen. Solche Garantien werden entweder a) durch ein rechtsverbindliches Instrument gewährleistet, das geeignete Garantien für den Schutz personenbezogener Daten umfasst, oder b) durch eine vom Verantwortlichen vorgenommene Beurteilung sichergestellt, in der dieser nach Prüfung aller Umstände der Übermittlung zu dem Schluss gelangt, dass geeignete Garantien zum Schutz der Daten bestehen (145). Bei Datenübermittlungen auf der Grundlage geeigneter Garantien sieht der DPA 2018 außerdem zusätzlich zur normalen Aufsichtsfunktion des ICO vor, dass die zuständigen Behörden dem ICO spezifische Informationen über die Datenübermittlungen bereitstellen müssen (146).

(80) Beruht eine Übermittlung nicht auf einem Angemessenheitsbeschluss oder geeigneten Garantien, darf sie nur unter bestimmten, festgelegten Umständen („special circumstances“) erfolgen (147). Besondere Umstände liegen vor, wenn die Übermittlung aus einem der folgenden Gründe erforderlich ist: a) zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person, b) zur Wahrung berechtigter Interessen der betroffenen Person, c) zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentliche Sicherheit eines Drittlandes, d) im Einzelfall für einen der Zwecke der Strafverfolgung, oder e) im Einzelfall für einen rechtlichen Zweck (z. B. im Zusammenhang mit einem Gerichtsverfahren oder zur Einholung rechtlicher Beratung) (148). Es sei darauf hingewiesen, dass die Buchstaben d und e nicht gelten, wenn die Rechte und Freiheiten der betroffenen Person das öffentliche Interesse an der Übermittlung überwiegen (149). Diese Umstände entsprechen den bestimmten Fällen und Bedingungen, die nach Artikel 38 der Richtlinie (EU) 2016/680 als „Ausnahmen“ gelten.

(81) Unter diesen Umständen müssen Datum und Uhrzeit der Übermittlung, die Begründung, der Name und alle anderen einschlägigen Informationen über den Empfänger sowie eine Beschreibung der übermittelten personenbezogenen Daten dokumentiert und dem Information Commissioner auf Anfrage zur Verfügung gestellt werden (150).

(82) Paragraf 78 DPA 2018 regelt das Szenario der späteren Übermittlung („subsequent transfer“), d. h. den Fall, dass personenbezogene Daten, die vom Vereinigten Königreich an ein Drittland übermittelt wurden, anschließend an ein weiteres Drittland oder an eine internationale Organisation weitergegeben werden. Gemäß Paragraf 78 Absatz 1 muss der übermittelnde Verantwortliche im Vereinigten Königreich die Datenübermittlung an die Bedingung knüpfen, dass die Daten nicht ohne die Genehmigung des übermittelnden Verantwortlichen an ein Drittland weiterübermittelt werden dürfen. Darüber hinaus gelten gemäß Paragraf 78 Absatz 3 und analog zu Artikel 35 Absatz 1 Buchstabe e der Richtlinie (EU) 2016/680 eine Reihe wesentlicher Anforderungen, wenn eine solche Genehmigung erforderlich ist. Konkret muss eine zuständige Behörde bei der Entscheidung über die Genehmigung einer Übermittlung sicherstellen, dass die Weiterübermittlung für einen Zweck der Strafverfolgung erforderlich ist, und dabei unter anderem folgende Faktoren prüfen: die Schwere der Umstände, die zu dem Genehmigungsantrag führen, b) den Zweck, zu dem die personenbezogenen Daten ursprünglich übermittelt wurden, und c) die in dem Drittland oder bei der internationalen Organisation, an die die personenbezogenen Daten weiterübermittelt werden sollen, geltenden Datenschutzstandards.

(83) Ferner gelten zusätzliche Garantien, wenn die Daten, die einer Weiterübermittlung aus dem Vereinigten Königreich unterliegen, ursprünglich aus der Europäischen Union übermittelt wurden.

(84) Erstens besagt Paragraf 73 Absatz 1 Buchstabe b DPA 2018 — analog zu Artikel 35 Absatz 1 Buchstabe c der Richtlinie (EU) 2016/680 —, dass im Falle einer ursprünglichen Übermittlung oder in anderer Weise erfolgten Bereitstellung personenbezogener Daten an den Verantwortlichen oder eine andere zuständige Behörde durch einen Mitgliedstaat der betreffende Mitgliedstaat oder eine andere Person mit Sitz im betreffenden Mitgliedstaat, bei der es sich um eine zuständige Behörde für die Zwecke der Richtlinie (EU) 2016/680 handelt, die Datenübermittlung gemäß dem Recht des Mitgliedstaats genehmigt haben muss.

(85) Ähnlich wie in Artikel 35 Absatz 2 der Richtlinie (EU) 2016/680 wird eine solche Genehmigung jedoch nicht verlangt, wenn a) die Datenübermittlung erforderlich ist, um eine unmittelbare und ernsthafte Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlandes oder für die wesentlichen Interessen eines Mitgliedstaats abzuwehren, und b) die Genehmigung nicht rechtzeitig eingeholt werden kann. In diesem Fall ist die Behörde, die im Mitgliedstaat über die Erteilung der Genehmigung hätte entscheiden müssen, unverzüglich zu unterrichten (151).

(86) Zweitens gilt derselbe Ansatz im Fall von Daten, die ursprünglich aus der Europäischen Union an das Vereinigte Königreich übermittelt wurden, und anschließend vom Vereinigten Königreich an ein Drittland weiterübermittelt werden, das diese dann an ein weiteres Drittland weitergibt. In diesem Fall kann gemäß Paragraf 78 Absatz 4 die zuständige britische Behörde die letztgenannte Übermittlung nicht genehmigen, in Übereinstimmung mit Paragraf 78 Absatz 1, es sei denn, der „Mitgliedstaat [der die betreffenden Daten ursprünglich übermittelt hat] oder eine andere Person mit Sitz im betreffenden Mitgliedstaat, bei der es sich um eine zuständige Behörde für die Zwecke der Strafverfolgungsrichtlinie handelt, hat die Datenübermittlung gemäß dem Recht des Mitgliedstaats genehmigt“. Diese Garantien sind wichtig, da sie die Behörden der Mitgliedstaaten in die Lage versetzen, die Kontinuität des Schutzes in Übereinstimmung mit dem Datenschutzrecht der EU, über die „Übermittlungskette“ hinweg, zu gewährleisten.

(87) Dieser neue Rahmen für internationale Übermittlungen ist am Ende des Übergangszeitraums in Kraft getreten (152). Allerdings sehen die Nummern 10 bis 12 des (durch die DPPEC Regulations eingeführten) Anhangs 21 vor, dass bestimmte Übermittlungen personenbezogener Daten ab dem Ende des Übergangszeitraums so behandelt werden, als ob sie auf Angemessenheitsvorschriften beruhten. Zu diesen Übermittlungen zählen Übermittlungen an einen Mitgliedstaat, einen EFTA-Staat und an Drittländer, die am Ende des Übergangszeitraums Gegenstand eines Angemessenheitsbeschlusses der EU waren, und Gibraltar. Folglich können Übermittlungen an diese Länder weiterhin wie vor dem Austritt des Vereinigten Königreichs aus der Union durchgeführt werden. Nach dem Ende des Übergangszeitraums muss der Secretary of State innerhalb von vier Jahren, d. h. bis Ende Dezember 2024, eine Überprüfung dieser Angemessenheitsfeststellungen vornehmen. Laut den Erläuterungen der britischen Behörden muss der Secretary of State zwar bis Ende Dezember 2024 eine solche Überprüfung durchführen, allerdings umfassen die Übergangsbestimmungen keine „Sunset“-Klausel und die entsprechenden Übergangsbestimmungen treten nicht automatisch außer Kraft, wenn die Überprüfung nicht bis Ende Dezember 2024 abgeschlossen ist.

2.4.9. Rechenschaftspflicht

(88) Nach dem Grundsatz der Rechenschaftspflicht müssen Daten verarbeitende Behörden geeignete technische und organisatorische Maßnahmen treffen, um ihren Datenschutzverpflichtungen wirksam nachzukommen und dies, insbesondere gegenüber der zuständigen Aufsichtsbehörde, nachweisen zu können.

(89) Dieser Grundsatz schlägt sich in Paragraf 56 DPA 2018 nieder, mit dem eine allgemeine Rechenschaftspflicht für den Verantwortlichen eingeführt wird, d. h. die Pflicht, geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen, dass die Verarbeitung personenbezogener Daten die Anforderungen von Teil 3 des DPA 2018 erfüllt, und dies nachweisen zu können. Die umgesetzten Maßnahmen müssen überprüft und gegebenenfalls aktualisiert werden und, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, geeignete Datenschutzvorkehrungen umfassen.

(90) Analog zu Kapitel IV der Richtlinie (EU) 2016/680 sehen die Paragrafen 55 bis 71 DPA 2018 verschiedene Mechanismen vor, um die Rechenschaftspflicht zu gewährleisten und es den Verantwortlichen und Auftragsverarbeitern zu ermöglichen, die Einhaltung der Vorschriften nachzuweisen. Die Verantwortlichen sind insbesondere verpflichtet, Datenschutzmaßnahmen durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen umzusetzen, also sicherzustellen, dass die Datenschutzgrundsätze wirksam umgesetzt werden; ferner müssen sie ein Verzeichnis aller Kategorien von Tätigkeiten führen, für die der Verantwortliche zuständig ist (einschließlich der Identität des Verantwortlichen, der Kontaktdaten des Datenschutzbeauftragten, der Zwecke der Verarbeitung, der Kategorien von Empfängern von Offenlegungen und einer Beschreibung der Kategorien von betroffenen Personen sowie von personenbezogenen Daten), und müssen dieses Verzeichnis auf Anfrage für den Information Commissioner bereithalten. Verantwortlicher und Auftragsverarbeiter müssen außerdem bestimmte Verarbeitungsvorgänge protokollieren und dem Information Commissioner die Protokolle zur Verfügung stellen (153). Die Verantwortlichen sind zudem ausdrücklich verpflichtet, mit dem Information Commissioner bei der Erfüllung seiner Aufgaben zusammenzuarbeiten.

(91) Der DPA 2018 sieht zusätzliche Anforderungen für eine Verarbeitung vor, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dazu zählen die Pflicht zur Durchführung von Datenschutz-Folgenabschätzungen und zur Konsultation des Information Commissioner vor der Verarbeitung, wenn aus der Folgenabschätzung hervorgeht, dass die Verarbeitung (sofern keine Maßnahmen zur Eindämmung des Risikos getroffen werden) ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte.

(92) Darüber hinaus müssen die Verantwortlichen einen Datenschutzbeauftragten ernennen, es sei denn, es handelt sich bei dem Verantwortlichen um ein Gericht oder eine andere Justizbehörde, das bzw. die im Rahmen ihrer justiziellen Tätigkeit handelt (154). Der Verantwortliche muss dafür sorgen, dass der Datenschutzbeauftragte in alle mit dem Schutz personenbezogener Daten zusammenhängende Fragen eingebunden wird, über die erforderlichen Ressourcen verfügt und Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen hat, und dass er seine Aufgaben unabhängig ausüben kann. Die Aufgaben des Datenschutzbeauftragten sind in Paragraf 71 DPA 2018 festgelegt und umfassen die Aufklärung und Beratung, die Überwachung der Einhaltung der Vorschriften sowie die Zusammenarbeit dem Information Commissioner, für den der Datenschutzbeauftragten als Anlaufstelle dient. Der Datenschutzbeauftragte muss bei der Ausübung seiner Aufgaben den mit Verarbeitungsvorgängen verbundenen Risiken Rechnung tragen und dabei Art, Umfang, Umstände und Zwecke der Verarbeitung berücksichtigen.

2.5. Aufsicht und Durchsetzung

2.5.1. Unabhängige Aufsicht

(93) Um sicherzustellen, dass auch in der Praxis ein angemessenes Datenschutzniveau gewährleistet ist, muss eine unabhängige Aufsichtsbehörde mit der Befugnis zur Überwachung und Durchsetzung der Einhaltung der Datenschutzvorschriften eingerichtet werden. Diese Behörde hat bei der Erfüllung ihrer Aufgaben und der Ausübung ihrer Befugnisse vollkommen unabhängig und unparteiisch zu handeln.

(94) Im Vereinigten Königreich ist der Information Commissioner für die Überwachung und Durchsetzung der Einhaltung der UK GDPR und des DPA 2018 zuständig (155). Der Information Commissioner überwacht außerdem die Verarbeitung personenbezogener Daten durch zuständige Behörden, die in den Anwendungsbereich von Teil 3 des DPA 2018 fallen (156). Der Information Commissioner ist eine „Corporation Sole“: d. h. ein eigenständiges Rechtssubjekt, das aus einer einzigen Person besteht. Der Information Commissioner wird bei seiner Arbeit von einem Büro unterstützt. Am 31. März 2020 waren im Büro des Information Commissioner 768 Festangestellte tätig (157). Der Information Commissioner wird vom britischen Ministerium für Digitales, Kultur, Medien und Sport gefördert (158).

(95) Die Unabhängigkeit des Information Commissioner ist in Artikel 52 UK GDPR ausdrücklich festgelegt, der die in Artikel 52 Absatz 1 bis 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (159) genannten Bestimmungen widerspiegelt. Bei der Erfüllung seiner Aufgaben und der Ausübung seiner Befugnisse gemäß der UK GDPR muss der Information Commissioner völlig unabhängig handeln; er darf weder direkter noch indirekter Beeinflussung von außen unterliegen und weder um Weisung ersuchen noch Weisungen entgegennehmen. Zudem muss er von allen mit den Aufgaben seines Amtes nicht zu vereinbarenden Handlungen absehen und darf während seiner Amtszeit keine andere mit seinem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit ausüben.

(96) Die Bedingungen für die Ernennung und Abberufung des Information Commissioner sind in Anhang 12 des DPA 2018 festgelegt. Der Information Commissioner wird von der Königin auf Empfehlung der Regierung im Wege eines fairen und offenen Auswahlverfahrens ernannt. Der Kandidat muss über geeignete Qualifikationen, Fähigkeiten und Kompetenzen verfügen. Gemäß dem Kodex der Regierung über die Besetzung öffentlicher Ämter (Governance Code on Public Appointments) (160) erstellt ein beratendes Bewertungsgremium eine Liste mit infrage kommenden Kandidaten. Bevor der Secretary of State im Ministerium für Digitales, Kultur, Medien und Sport seine Entscheidung trifft, muss der zuständige Sonderausschuss des Parlaments im Vorfeld der Ernennung eine Prüfung durchführen. Die entsprechende Stellungnahme des Ausschusses wird veröffentlicht (161).

(97) Die Amtszeit des Information Commissioner dauert bis zu sieben Jahre. Der Information Commissioner kann von Ihrer Majestät nach einer Meinungsäußerung („Address“) beider Kammern des Parlaments seines Amtes enthoben werden (162). Ein Antrag auf Entlassung des Information Commissioner kann nur dann einer der beiden Kammern des Parlaments vorgelegt werden, wenn ein Minister der betreffenden Kammer einen Bericht vorgelegt hat, in dem er erklärt, dass sich der Information Commissioner seiner Überzeugung nach eines schweren Fehlverhaltens schuldig gemacht hat und/oder nicht mehr die Voraussetzungen für die Ausübung seiner Funktionen erfüllt (163).

(98) Der Information Commissioner bezieht seine finanziellen Mittel aus drei Quellen: i) von den Verantwortlichen entrichtete Datenschutzgebühren, die durch Verordnungen des Secretary of State (164) festgelegt werden und 85 % bis 90 % des Jahreshaushalts des ICO (165) ausmachen, ii) Zuschüsse, die die Regierung dem Information Commissioner gewähren kann und hauptsächlich der Finanzierung der Betriebskosten des Information Commissioner für nicht datenschutzbezogene Aufgaben dienen (166), iii) für Dienstleistungen erhobene Gebühren (167). Derzeit werden keine derartigen Gebühren erhoben.

(99) Die allgemeinen Aufgaben des Information Commissioner im Zusammenhang mit der Verarbeitung personenbezogener Daten, die in den Anwendungsbereich von Teil 3 des DPA 2018 fallen, sind in Anhang 13 des DPA 2018 festgelegt. Zu seinen Aufgaben zählen die Überwachung und Durchsetzung der Bestimmungen von Teil 3 des DPA 2018, die Sensibilisierung der Öffentlichkeit, die Beratung des Parlaments, der Regierung und anderer Einrichtungen zu rechtlichen und administrativen Maßnahmen, die Förderung des Bewusstseins der Verantwortlichen und Auftragsverarbeiter für ihre Pflichten, die Aufklärung betroffener Personen über die Ausübung der Rechte betroffener Personen und die Durchführung von Untersuchungen. Damit die Unabhängigkeit der Justiz gewahrt bleibt, ist der Information Commissioner nicht befugt, seine Aufgaben im Zusammenhang mit der Verarbeitung personenbezogener Daten durch eine Person, die im Rahmen einer justiziellen Tätigkeit handelt, oder ein Gericht, das im Rahmen seiner justiziellen Tätigkeit handelt, auszuüben. Die Aufsicht über die Justiz wird jedoch, wie unten dargelegt, durch spezialisierte Stellen gewährleistet.

2.5.1.1 Durchsetzung, einschließlich Sanktionen

(100) Der Information Commissioner besitzt allgemeine Ermittlungs-, Berichtigungs-, Genehmigungs- und Beratungsbefugnisse im Hinblick auf die Verarbeitung personenbezogener Daten, die Gegenstand von Teil 3 des DPA 2018 sind. Der Information Commissioner ist befugt, den Verantwortlichen oder den Auftragsverarbeiter auf einen mutmaßlichen Verstoß gegen Teil 3 in Kenntnis zu setzen, einen Verantwortlichen oder Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen Teil 3 verstoßen, und einen Verantwortlichen oder Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen Teil 3 verstoßen hat. Darüber hinaus kann der Information Commissioner zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Anfrage Stellungnahmen an das Parlament, die Regierung oder sonstige Einrichtungen und Stellen des Vereinigten Königreichs sowie an die Öffentlichkeit richten (168).

(101) Außerdem hat der Information Commissioner die Befugnis, — im Wege eines Informationsbescheides („information notice“) den Verantwortlichen und den Auftragsverarbeiter (und unter bestimmten Umständen jede andere Person) anzuweisen, erforderliche Informationen bereitzustellen (169); — Untersuchungen und Überprüfungen durchzuführen, indem er einen Bewertungsbescheid erlässt, mit dem der Verantwortliche oder der Auftragsverarbeiter aufgefordert werden kann, dem Information Commissioner zu gestatten, bestimmte Räumlichkeiten zu betreten, Dokumente oder Ausrüstung in Augenschein zu nehmen oder zu prüfen, oder Personen zu befragen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten („assessment notice“) (170); — anderweitig Zugriff auf Dokumente von Verantwortlichen und Auftragsverarbeitern zu erhalten und Zugang zu deren Räumlichkeiten gemäß Paragraf 154 DPA 2018 zu erhalten („powers of entry and inspection“); — Abhilfebefugnisse auszuüben, unter anderem durch Warnungen und Verwarnungen, oder im Wege eines Durchsetzungsbescheides Anweisungen zu erteilen, um Verantwortliche bzw. Auftragsverarbeiter aufzufordern, bestimmte Maßnahmen zu ergreifen oder zu unterlassen („enforcement notice“); (171) und — im Wege eines Bußgeldbescheides Geldbußen zu verhängen („penalty notice“) (172).

(102) In den Leitlinien des ICO zu regulatorischen Maßnahmen (Regulatory Action Policy) ist festgelegt, unter welchen Umständen der Information Commissioner einen Informations-, Bewertungs-, Durchsetzungs- oder Bußgeldbescheid erteilt (173). In einem Durchsetzungsbescheid darf der Information Commissioner Auflagen erteilen, die er zur Behebung des Verstoßes für angemessen hält. Ein Bußgeldbescheid verpflichtet eine Person, einen im Bescheid genannten Betrag an den Information Commissioner zu zahlen. Ein Bußgeldbescheid kann erteilt werden, wenn bestimmte Bestimmungen des DPA 2018 (174) nicht eingehalten wurden, oder er kann einem Verantwortlichen oder Auftragsverarbeiter erteilt werden, der einem Informations-, Bewertungs- oder Durchsetzungsbescheid nicht nachgekommen ist.

(103) Konkret muss der Information Commissioner bei der Entscheidung, ob und in welcher Höhe einem Verantwortlichen oder Auftragsverarbeiter ein Bußgeldbescheid erteilt wird, die in Paragraf 155 Absatz 3 DPA 2018 aufgeführten Punkte berücksichtigen, darunter die Art und Schwere des Verstoßes, die Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, alle vom Verantwortlichen oder Auftragsverarbeiter gegebenenfalls zur Minderung des den betroffenen Personen entstandenen Schadens getroffenen Maßnahmen, den Grad der Verantwortung des Verantwortlichen oder Auftragsverarbeiters (unter Berücksichtigung der von ihnen getroffenen technischen und organisatorischen Maßnahmen) sowie etwaige einschlägige frühere Verstöße des Verantwortlichen bzw. Auftragsverarbeiters; ferner ist zu berücksichtigen, welche Kategorien personenbezogener Daten von dem Verstoß betroffen sind, und zu prüfen, ob das Bußgeld wirksam, verhältnismäßig und abschreckend wäre.

(104) Der Höchstbetrag der Geldbuße, die durch einen Bußgeldbescheid verhängt werden kann, beträgt a) 17 500 000 GBP bei Verstößen gegen die Datenschutzgrundsätze (Paragrafen 35, 36, 37, Paragraf 38 Absatz 1, Paragraf 39 Absatz 1 und Paragraf 40 DPA 2018), die Transparenzpflichten und die Rechte des Einzelnen (Paragrafen 44, 45, 46, 47, 48, 49, 52 und 53 DPA 2018), sowie gegen die für internationale Datenübermittlungen geltenden Grundsätze (Paragrafen 73, 75, 76, 77 oder 78 DPA 2018), und b) 8 700 000 GBP in allen anderen Fällen (175). Wird einem Informationsbescheid, Bewertungsbescheid oder Durchsetzungsbescheid nicht nachgekommen, kann eine Geldbuße von bis zu 17 500 000 GBP verhängt werden.

(105) Laut seinen letzten Jahresberichten (für die Zeiträume 2018–2019 (176) und 2019–2020 (177)) hat der Information Commissioner im Zusammenhang mit der Verarbeitung personenbezogener Daten durch Strafverfolgungsbehörden eine Reihe von Untersuchungen durchgeführt. So hat er beispielsweise eine Untersuchung zum Einsatz von Gesichtserkennungstechnologie durch Strafverfolgungsbehörden an öffentlichen Orten durchgeführt und im Oktober 2019 eine entsprechende Stellungnahme veröffentlicht. Im Fokus der Untersuchung stand insbesondere der Einsatz von Technologien zur Gesichtserkennung in Echtzeit durch die Polizei von South Wales und den Metropolitan Police Service (MPS). Im Rahmen einer Untersuchung der „Gangs-Matrix“ (178) des Metropolitan Police Service stellte der Information Commissioner außerdem eine Reihe von schwerwiegenden Verstößen gegen das Datenschutzrecht fest, die geeignet waren, das Vertrauen der Öffentlichkeit in die Matrix und in die Verwendung der Daten zu untergraben.

(106) Im November 2018 erließ der Information Commissioner einen Durchsetzungsbescheid, woraufhin der Metropolitan Police Service die erforderlichen Schritte unternahm, um die Sicherheit und Rechenschaftspflicht zu verbessern und eine verhältnismäßige Nutzung der Daten zu gewährleisten.

(107) In einem weiteren Fall verhängte der Information Commissioner im Mai 2018 als Durchsetzungsmaßnahme eine Geldbuße in Höhe von 325 000 GBP gegen den Crown Prosecution Service wegen des Verlusts unverschlüsselter DVDs, auf denen Vernehmungsprotokolle gespeichert waren. Darüber hinaus führte der Information Commissioner Untersuchungen zu allgemeineren Fragen durch und befasste sich beispielsweise im ersten Halbjahr 2020 mit der Verwendung von Mobilfunkdaten für polizeiliche Zwecke und der Verarbeitung der Daten von Opfern durch die Polizei.

(108) Zusätzlich zu diesen Durchsetzungsbefugnissen des Information Commissioner gelten bestimmte Verstöße gegen die Datenschutzvorschriften als Straftat und können daher strafrechtlich geahndet werden (Paragraf 196 DPA 2018). Beispiele hierfür sind die Erlangung oder Offenlegung personenbezogener Daten ohne Zustimmung des Verantwortlichen und die Veranlassung der Offenlegung personenbezogener Daten gegenüber einer anderen Person ohne Zustimmung des Verantwortlichen (179), die Re-Identifizierung von anonymisiert vorliegenden personenbezogen Daten ohne die Zustimmung des für die Anonymisierung der personenbezogenen Daten zuständigen Verantwortlichen (180), die vorsätzliche Behinderung des Information Commissioner bei der Ausübung seiner Befugnisse in Bezug auf die Einsichtnahme in personenbezogene Daten gemäß internationalen Verpflichtungen (181), die Abgabe falscher Erklärungen bei der Erwiderung auf einen Informationsbescheid oder die Vernichtung von Informationen im Zusammenhang mit Informations- und Bewertungsbescheiden (182).

(109) Der Information Commissioner ist ferner gemäß Paragraf 139 DPA 2018 verpflichtet, jeder Kammer des Parlaments einen Gesamtbericht über die Wahrnehmung seiner Aufgaben im Rahmen des Datenschutzgesetzes vorzulegen (183).

2.5.2. Aufsicht über die Justiz

(110) Die Aufsicht über die Verarbeitung personenbezogener Daten durch die Gerichte und die Justiz erfolgt über zwei Wege. Wenn ein Inhaber eines richterlichen Amtes oder ein Gericht nicht im Rahmen seiner justiziellen Tätigkeit handelt, wird die Aufsichtsfunktion durch den Information Commissioner wahrgenommen. Wenn der Verantwortliche im Rahmen einer justiziellen Tätigkeit handelt, kann das ICO seine Aufsichtsfunktionen (184) nicht wahrnehmen und die Aufsicht erfolgt durch spezielle Stellen. Dies entspricht dem in Artikel 32 der Richtlinie (EU) 2016/680 gewählten Ansatz.

(111) Insbesondere im zweiten Szenario — für die Gerichte von England und Wales sowie die First-tier und Upper Tribunals von England und Wales — wird diese Aufsichtsfunktion durch ein richterliches Datenschutzgremium (Judicial Data Protection Panel) (185) wahrgenommen. Darüber hinaus haben der Lordoberrichter (Lord Chief Justice) und der Leitende Präsident der Tribunale (Senior President of Tribunals) eine Datenschutzerklärung (186) herausgegeben, in der dargelegt ist, wie die Gerichte in England und Wales personenbezogene Daten für eine richterliche Funktion verarbeiten. Die Justizbehörden in Nordirland (187) und Schottland (188) haben ähnliche Erklärungen herausgegeben.

(112) In Nordirland hat der Lord Chief Justice of Northern Ireland zudem einen Richter des High Court zum Richter für Datenaufsicht (Data Supervisory Judge — DSJ) (189) ernannt. Darüber hinaus erhielt die nordirische Justiz Leitlinien dazu, was im Falle eines Datenverlustes oder eines potenziellen Datenverlustes zu tun ist und wie mit den daraus resultierenden Problemen umzugehen ist (190).

(113) In Schottland hat der Lord President einen Data Supervisory Judge ernannt, der sämtliche Beschwerden aus Gründen des Datenschutzes untersucht. Dies ist in den Vorschriften für gerichtliche Beschwerden geregelt, die denen für England und Wales entsprechen (191).

(114) Schließlich wird einer der Richter des Supreme Court ernannt, um die Aufsicht über den Datenschutz zu führen.

2.5.3. Rechtsbehelfe

(115) Um einen angemessenen Schutz und insbesondere die Durchsetzung der Rechte des Einzelnen zu gewährleisten, sollten der betroffenen Person wirksame behördliche und gerichtliche Rechtsbehelfe, einschließlich Schadensersatz, zur Verfügung stehen.

(116) Erstens hat eine betroffene Person das Recht auf Beschwerde beim Information Commissioner, wenn sie der Ansicht ist, dass im Zusammenhang mit sie betreffenden personenbezogenen Daten ein Verstoß gegen Teil 3 des DPA 2018 (192) vorliegt. Wie in den Erwägungsgründen 100 und 109 beschrieben, hat der Information Commissioner die Befugnis, die Einhaltung des DPA 2018 durch den Verantwortlichen und den Auftragsverarbeiter zu bewerten, sie im Falle der Nichteinhaltung aufzufordern, notwendige Maßnahmen zu ergreifen bzw. zu unterlassen, und Geldbußen zu verhängen.

(117) Zweitens besteht gemäß dem DPA 2018 das Recht auf einen Rechtsbehelf gegen den Information Commissioner. Versäumt es der Information Commissioner, eine von der betroffenen Person eingereichte Beschwerde angemessen weiterzuverfolgen („progress“) (193), so hat der Beschwerdeführer Zugang zu einem gerichtlichen Rechtsbehelf; er kann bei einem First-tier Tribunal (194) beantragen, den Information Commissioner anzuweisen, geeignete Schritte zur Beantwortung der Beschwerde zu unternehmen oder den Beschwerdeführer über den Stand der Bearbeitung der Beschwerde zu informieren (195). Darüber hinaus kann jede Person, die vom Commissioner einen der genannten Bescheide (Informations-, Bewertungs-, Durchsetzungs- oder Bußgeldbescheid) erhält, beim First-tier Tribunal Widerspruch dagegen einlegen. Ist das Gericht der Ansicht, dass der Beschluss des Commissioner rechtswidrig ist oder dieser seinen Ermessensspielraum anders hätte nutzen sollen, muss es der Berufung stattgeben oder einen anderen Bescheid oder Beschluss ersetzen, den der Information Commissioner hätte erlassen können (196).

(118) Drittens können natürliche Personen gemäß Paragraf 167 DPA 2018 unmittelbar vor den Gerichten Rechtsbehelfe gegen Verantwortliche und Auftragsverarbeiter einlegen. Wenn ein Gericht aufgrund einer Beschwerde einer betroffenen Person zu der Überzeugung gelangt, dass eine Verletzung der Rechte der betroffenen Person gemäß den Datenschutzvorschriften vorliegt, kann es anordnen, dass der Verantwortliche oder ein Auftragsverarbeiter, der im Namen dieses Verantwortlichen handelt, die in der Anordnung genannten Maßnahmen zu ergreifen oder zu unterlassen hat. Darüber hinaus hat gemäß Paragraf 169 DPA 2018 jede Person, die wegen Verstoßes gegen eine Anforderung der Datenschutzvorschriften (einschließlich Teil 3 des DPA 2018), mit Ausnahme der UK GDPR, einen Schaden erlitten hat, Anspruch auf Ersatz dieses Schadens durch den Verantwortlichen oder Auftragsverarbeiter, es sei denn, der Verantwortliche bzw. der Auftragsverarbeiter weist nach, dass er in keiner Weise für den Vorfall verantwortlich ist, der den Schaden verursacht hat. Als Schaden gilt sowohl ein finanzieller als auch ein nichtfinanzieller Schaden, wie z. B. seelisches Leid.

(119) Viertens kann jede Person, die der Ansicht ist, dass ihre Rechte, einschließlich der Rechte auf Privatsphäre und Datenschutz, von Behörden verletzt wurden, vor den Gerichten des Vereinigten Königreichs auf der Grundlage des Human Rights Act 1998 einen Rechtsbehelf einlegen. Bei den Verantwortlichen im Sinne von Teil 3 des DPA 2018, d. h. den zuständigen Behörden, handelt es sich immer um staatliche Stellen im Sinne des Human Rights Act 1998. Ist eine Person der Ansicht, dass eine Behörde in einer Weise gehandelt hat (oder zu handeln beabsichtigt), die mit einem Konventionsrecht unvereinbar und folglich gemäß Paragraf 6 Absatz 1 des Human Rights Act 1998 rechtswidrig ist, kann sie die Behörde vor dem zuständigen Gericht verklagen oder sich in einem Gerichtsverfahren auf die betreffenden Rechte berufen, wenn sie Opfer der rechtswidrigen Handlung ist (oder wäre) (197).

(120) Befindet das Gericht eine Handlung einer Behörde für rechtswidrig, so kann es im Rahmen seiner Befugnisse den Rechtsbehelf oder die Abhilfe gewähren oder die Anordnung treffen, die es für gerecht und angemessen hält (198). Des Weiteren kann das Gericht eine Bestimmung des Primärrechts für unvereinbar mit einem durch die EMRK verbürgten Recht erklären.

(121) Schließlich kann eine natürliche Person, wenn alle nationalen Rechtsmittel ausgeschöpft wurden, vor dem Europäischen Gerichtshof für Menschenrechte aufgrund der Verletzung ihrer nach der Europäischen Menschenrechtskonvention garantierten Rechte einen Rechtsbehelf einlegen.

2.6. Weitergabe

(122) Nach britischem Recht ist die Weitergabe von Daten durch eine Strafverfolgungsbehörde an andere britische Behörden zu anderen Zwecken als denen, für die sie ursprünglich erhoben wurden (die sogenannte Weitergabe — „onward sharing“) unter bestimmten Voraussetzungen gestattet.

(123) Ähnlich zu den Bestimmungen des Artikels 4 Absatz 2 der Richtlinie (EU) 2016/680 dürfen nach Paragraf 36 Absatz 3 DPA 2018 personenbezogene Daten, die von einer zuständigen Behörde für einen Strafverfolgungszweck erhoben wurden, für jeden anderen Strafverfolgungszweck weiterverarbeitet werden (sei es durch den ursprünglichen Verantwortlichen oder durch einen anderen Verantwortlichen), sofern der Verantwortliche gesetzlich befugt ist, Daten für diesen anderen Zweck zu verarbeiten, und sofern die Verarbeitung für diesen Zweck erforderlich und verhältnismäßig ist (199). In diesem Fall gelten für die Verarbeitung durch die empfangende Behörde alle in Teil 3 des DPA 2018 vorgesehenen und vorstehend analysierten Garantien.

(124) Die britische Rec