Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zu dem Vorschlag für eine Verordnung über den automatisierten Datenaustausch für die polizeiliche Zusammenarbeit („Prüm II“)

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich.)

(2022/C 225/04)

Am 8. Dezember 2021 nahm die Europäische Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über den automatisierten Datenaustausch für die polizeiliche Zusammenarbeit („Prüm II“) und zur Änderung der Beschlüsse 2008/615/JI und 2008/616/JI des Rates und der Verordnungen (EU) 2018/1726, 2019/817 und 2019/818 des Europäischen Parlaments und des Rates (die so genannten „Prüm-Beschlüsse“) an. Der Vorschlag ist Teil eines umfassenderen Legislativpakets, das als „EU-Kodex für die polizeiliche Zusammenarbeit“ bezeichnet wird und ferner einen Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über den Informationsaustausch zwischen Strafverfolgungsbehörden der Mitgliedstaaten (Gegenstand einer gesonderten Stellungnahme des EDSB) und einen Vorschlag für eine Empfehlung des Rates zur operativen polizeilichen Zusammenarbeit umfasst.

Ziel des Vorschlags ist es, die Zusammenarbeit bei der Strafverfolgung und insbesondere den Informationsaustausch zwischen den für die Verhütung, Aufdeckung und Untersuchung von Straftaten zuständigen Behörden zu verbessern, indem die Bedingungen und Verfahren für den automatisierten Abruf von DNA-Profilen, daktyloskopischen Daten (Fingerabdrücke), Gesichtsbildern, Kriminalakten und bestimmten Fahrzeugregisterdaten sowie der Austausch von Daten nach einer Übereinstimmung festgelegt werden.

Der EDSB ist sich zwar der Tatsache bewusst, dass die Strafverfolgungsbehörden die bestmöglichen rechtlichen und technischen Instrumente nutzen müssen, um Straftaten aufzudecken, zu ermitteln und zu verhindern, stellt jedoch fest, dass der vorgeschlagene neue Prüm-Rahmen wesentliche Elemente des Datenaustauschs nicht eindeutig regelt, wie etwa die Arten von Straftaten, die eine Abfrage rechtfertigen können, und dass nicht hinreichend klar ist, wie viele Personen vom automatisierten Datenaustausch betroffen sind, ob z. B. die Datenbanken, die abgefragt werden, nur Daten von Verdächtigen und/oder verurteilten Personen oder auch Daten anderer betroffener Personen wie Opfer oder Zeugen enthalten.

Der EDSB ist insbesondere der Auffassung, dass der automatisierte Abruf von DNA-Profilen und Gesichtsbildern nur im Zusammenhang mit individuellen Untersuchungen zu schweren Straftaten möglich sein sollte, und nicht, wie im Vorschlag vorgesehen, bei jeder Straftat. Darüber hinaus hält es der EDSB für notwendig, in den Vorschlag gemeinsame Anforderungen und Bedingungen für die Daten in den nationalen Datenbanken aufzunehmen, auf die bei einem automatisierten Abruf zugegriffen wird, wobei der Verpflichtung nach Artikel 6 der Richtlinie (EU) 2016/680 (Richtlinie zum Datenschutz bei der Strafverfolgung) Rechnung zu tragen ist, zwischen verschiedenen Kategorien von betroffenen Personen (d. h. verurteilten Straftätern, Verdächtigen, Opfern usw.) zu unterscheiden.

Bedenken hegt der EDSB auch bezüglich der Auswirkungen der vorgeschlagenen automatisierten Abfrage und des Austauschs von Kriminalakten auf die Grundrechte der betroffenen Personen. Seiner Auffassung nach ist die Notwendigkeit des vorgeschlagenen automatisierten Abrufs und Austauschs von Kriminalakten nicht ausreichend nachgewiesen. Sollte eine solche Maßnahme dennoch – selbst auf freiwilliger Basis – ergriffen werden, wären zusätzliche starke Garantien erforderlich, um den Grundsatz der Verhältnismäßigkeit zu wahren. Insbesondere angesichts der Herausforderungen im Zusammenhang mit der Datenqualität sollte in der künftigen Verordnung unter anderem ausdrücklich festgelegt werden, welche Arten und/oder welche Schwere von Straftaten eine automatisierte Abfrage in den nationalen Kriminalakten rechtfertigen können.

Im Hinblick auf die Einbeziehung von Europol in den Prüm-Rahmen ist der EDSB der Auffassung, dass seine Anmerkungen und Empfehlungen in der Stellungnahme 4/2021 zu dem Vorschlag zur Änderung der Europol-Verordnung vor dem Hintergrund der Prüm-Zusammenarbeit nach wie vor uneingeschränkt gültig sind, insbesondere im Zusammenhang mit der sogenannten „Big Data Challenge“, d. h. der Verarbeitung großer und komplexer Datensätze durch die Agentur. Der EDSB möchte in den Zusammenhang auf zwei zentrale Botschaften in der Stellungnahme zu Europol verweisen: Mit stärkeren Befugnissen sollte immer eine stärkere Aufsicht einhergehen, und, was genauso wichtig ist: Ausnahmen in Form von Ausnahmeregelungen sollten nicht zur Regel werden dürfen.

Der Vorschlag sieht eine komplexe Architektur für den automatisierten Abruf und Austausch von Daten innerhalb des Prüm-Rahmens mit drei getrennten technischen Lösungen vor, die von drei verschiedenen Stellen entwickelt und gepflegt werden. Nach Ansicht des EDSB sollte der Vorschlag in Bezug auf die Zuständigkeit für die Verarbeitung personenbezogener Daten, insbesondere im Rahmen von EUCARIS, das nicht auf EU-Recht fußt und zwischenstaatlichen Charakter hat, deutlicher formuliert werden. Des Weiteren ist der EDSB der Auffassung, dass das vorgeschlagene horizontale Governance-Modell des Prüm-Rahmens angesichts des Umfangs und der Sensibilität der Verarbeitung personenbezogener Daten nicht geeignet ist und weiter gestärkt werden sollte, indem beispielsweise einer EU-Einrichtung, z. B. der Kommission, eine zentrale Koordinierungsfunktion übertragen wird.

Darüber hinaus ist der EDSB der Auffassung, dass im Interesse der Rechtssicherheit das Verhältnis zwischen den Datenschutzvorschriften des Vorschlags und dem bestehenden Rechtsrahmen für den Datenschutz in der EU, insbesondere der Richtlinie zum Datenschutz bei der Strafverfolgung und der Verordnung (EU) 1725/2018 (EU-DSVO), ausdrücklich geklärt werden sollte.

In der Stellungnahme werden auch zu einigen anderen spezifischen Fragen Analysen vorgetragen und Empfehlungen ausgesprochen, wie etwa zur Verknüpfung des Prüm-Rahmens mit dem Interoperabilitätsrahmen, zur Übermittlung von Daten an Drittländer und internationale Organisationen oder zur Überwachung der Verarbeitungsvorgänge für die Zwecke der Prümer Zusammenarbeit.

1. EINLEITUNG

1. Am 8. Dezember 2021 nahm die Europäische Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über den automatisierten Datenaustausch für die polizeiliche Zusammenarbeit („Prüm II“) und zur Änderung der Beschlüsse 2008/615/JI und 2008/616/JI des Rates und der Verordnungen (EU) 2018/1726, 2019/817 und 2019/818 des Europäischen Parlaments und des Rates (im folgenden „Vorschlag“) ( 1 ) an.

2. Der Vorschlag ist Teil eines umfassenderen Legislativpakets, das als „EU-Kodex für die polizeiliche Zusammenarbeit“ bezeichnet wird und Folgendes umfasst: — einen Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über den Informationsaustausch zwischen Strafverfolgungsbehörden der Mitgliedstaaten und zur Aufhebung des Rahmenbeschlusses 2006/960/JI des Rates (2) und — einen Vorschlag für eine Empfehlung des Rates zur operativen polizeilichen Zusammenarbeit (3).

3. Ziel des EU-Kodex für die polizeiliche Zusammenarbeit ist es, die Zusammenarbeit im Bereich der Strafverfolgung zwischen den Mitgliedstaaten und insbesondere den Informationsaustausch zwischen den zuständigen Behörden zu verbessern ( 4 ) . In diesem Zusammenhang werden in dem Vorschlag die Bedingungen und Verfahren für den automatisierten Abruf von DNA-Profilen, daktyloskopischen Daten (Fingerabdrücke), Gesichtsbildern, Kriminalakten und bestimmten Fahrzeugregisterdaten sowie für den Datenaustausch nach einer Übereinstimmung zwischen den für die Verhütung, Aufdeckung und Untersuchung von Straftaten zuständigen Behörden festgelegt.

4. Der Vorschlag sowie der EU-Kodex für die polizeiliche Zusammenarbeit ganz allgemein sind vor dem Hintergrund der politischen Ziele mehrerer strategischer Dokumente der EU im Bereich Justiz und Inneres, insbesondere der EU-Strategie für eine Sicherheitsunion ( 5 ) , der EU-Strategie zur Bekämpfung der organisierten Kriminalität 2021-2025 ( 6 ) und der Strategie für den Schengen-Raum von 2021 ( 7 ) zu sehen. Darüber hinaus sollten die Vorschläge zur Festlegung des Kodex für die polizeiliche Zusammenarbeit vor dem Hintergrund der laufenden Reform von Europol und der wachsenden Rolle der Agentur als Drehscheibe für kriminalpolizeiliche Informationen der Union betrachtet werden, die immer größere Datenmengen erhebt und verarbeitet ( 8 )

5. Die Kommission hat den EDSB am 5. Januar 2022 gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 zu dem Vorschlag für die Prüm II-Verordnung konsultiert. Die Anmerkungen und Empfehlungen in dieser Stellungnahme beschränken sich auf diejenigen Bestimmungen des Vorschlags, die die für den Datenschutz größte Relevanz haben.

4. SCHLUSSFOLGERUNGEN

73. Der vorgeschlagene neue Prüm-Rahmen enthält keine klaren Angaben zu wesentlichen Elemente des Datenaustauschs, wie etwa den Arten von Straftaten (alle Straftaten oder nur schwere Straftaten), die eine Abfrage (Abruf), vor allem von DNA-Profilen, rechtfertigen können. Des Weiteren ist der Kreis der vom automatisierten Datenaustausch betroffenen Personen aus dem Vorschlag nicht klar ersichtlich; enthalten also die Datenbanken, die abgefragt werden, Daten nur von Verdächtigen und/oder verurteilten Personen oder auch Daten anderer betroffener Personen wie Opfer oder Zeugen?

74. Um die Notwendigkeit und Verhältnismäßigkeit des Eingriffs in das Grundrecht auf Schutz personenbezogener Daten im Lichte von Artikel 52 Absatz 1 der Charta gewährleisten zu können, ist es von wesentlicher Bedeutung, den persönlichen und materiellen Anwendungsbereich der Maßnahmen zu ermitteln, d. h. die Kategorien betroffener Personen, die unmittelbar betroffen sein werden, und die objektiven Bedingungen, die eine automatisierte Abfrage der jeweiligen Datenbank anderer Mitgliedstaaten oder von Europol rechtfertigen können.

75. Der EDSB ist insbesondere der Auffassung, dass der automatisierte Abruf von DNA-Profilen und Gesichtsbildern nur im Zusammenhang mit individuellen Untersuchungen zu schweren Straftaten und nicht zu allen Straftaten, wie im Vorschlag vorgesehen, möglich sein sollte. Darüber hinaus sollte der Vorschlag im Einklang mit der Verpflichtung nach Artikel 6 der Richtlinie zum Datenschutz bei der Strafverfolgung, zwischen verschiedenen Kategorien betroffener Personen zu unterscheiden, eine Begrenzung der Kategorien betroffener Personen vorsehen, deren in den nationalen Datenbanken gespeicherten DNA-Profile und Gesichtsbilder für einen automatisierten Abruf zugänglich gemacht werden sollten, wobei insbesondere die inhärente Zweckbindung bei Daten aus anderen Kategorien als „verurteilte Straftäter“ oder „Verdächtige“ zu berücksichtigen ist.

76. Nach Auffassung des EDSB ist die Notwendigkeit des vorgeschlagenen automatisierten Abrufs und Austauschs von Kriminalakten nicht hinreichend nachgewiesen. Sollte eine solche Maßnahme dennoch – selbst auf freiwilliger Basis – ergriffen werden, wären zusätzliche starke Garantien erforderlich, um den Grundsatz der Verhältnismäßigkeit zu wahren. Insbesondere angesichts der Herausforderungen im Zusammenhang mit der Datenqualität, denen nicht allein mit technischen Maßnahmen wie Pseudonymisierung begegnet werden kann, sollte in der künftigen Verordnung zumindest festgelegt werden, welche Arten und/oder welche Schwere von Straftaten eine automatisierte Abfrage in den nationalen Kriminalakten rechtfertigen könnte(n).

77. Im Hinblick auf die Einbeziehung von Europol in den Prüm-Rahmen ist der EDSB der Auffassung, dass seine Anmerkungen und Empfehlungen in der Stellungnahme 4/2021 zu dem Vorschlag zur Änderung der Europol-Verordnung vor dem Hintergrund der Prüm-Zusammenarbeit nach wie vor uneingeschränkt gültig sind, insbesondere diejenigen im Zusammenhang mit der Verarbeitung großer Datensätze durch die Agentur. Darüber hinaus empfiehlt der EDSB, den persönlichen Geltungsbereich, d. h. die Kategorien betroffener Personen, die Gegenstand von Abfragen gemäß Artikel 49 und Artikel 50 sind, zu präzisieren und die Aufbewahrungsfristen für Protokolle anzupassen, um die Kohärenz mit der Europol-Verordnung zu gewährleisten.

78. Der Vorschlag sieht eine komplexe Architektur für den automatisierten Abruf und Austausch von Daten innerhalb des Prüm-Rahmens mit drei getrennten technischen Lösungen vor, die von drei verschiedenen Stellen entwickelt und gepflegt werden. Zudem beruht eine von ihnen – EUCARIS – nicht auf einem Rechtsakt der EU, sondern hat einen zwischenstaatlichen Charakter. Der EDSB ist daher der Auffassung, dass in dem Vorschlag die Zuständigkeit für die Verarbeitung personenbezogener Daten in EUCARIS ausdrücklich geregelt werden sollte. Darüber hinaus ist der EDSB der Ansicht, dass das derzeitige horizontale Governance-Modell des Prüm-Rahmens angesichts des Umfangs und der Sensibilität der Verarbeitung personenbezogener Daten nicht geeignet ist und weiter gestärkt werden sollte, z. B. indem einer EU-Einrichtung wie der Kommission eine zentrale Koordinierungsfunktion übertragen wird.

79. Ein weiteres wichtiges Element des Vorschlags, das eine sorgfältige Analyse seiner Auswirkungen auf die Grundrechte erfordert, ist die Angleichung des Prümer Rahmens an den Interoperabilitätsrahmen der EU-Informationssysteme im Bereich Justiz und Inneres. Der EDSB fordert den Mitgesetzgeber auf, zu prüfen, ob diesbezüglich zusätzliche Vorschriften erforderlich sind, z. B. in einem Durchführungsrechtsakt oder einem delegierten Rechtsakt, mit denen auf spezifische Herausforderungen wie die Qualität und die Leistungsfähigkeit der Abgleichsalgorithmen für Gesichtsbilder eingegangen werden sollte.

80. Angesichts der Tatsache, dass die Rechtsgrundlage des Vorschlags unter anderem Artikel 16 AEUV umfasst, empfiehlt der EDSB, im Interesse der Klarheit und Rechtssicherheit in dem Vorschlag klarzustellen, dass die Datenschutzbestimmungen in Kapitel 6 die Anwendung der Richtlinie zum Datenschutz bei der Strafverfolgung und der EU-DSVO in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Zusammenarbeit bei der Strafverfolgung im Rahmen des Prüm-Rahmens unberührt lassen.

81. Des Weiteren ist der EDSB der Auffassung, dass das Erfordernis regelmäßiger Prüfungen von Verarbeitungen personenbezogener Daten für die Zwecke der Verordnung Prüm II ausgeweitet werden und sich auch auf Verarbeitungen personenbezogener Daten auf nationaler Ebene erstrecken sollte. In diesem Zusammenhang empfiehlt der EDSB, in Artikel 60 Absatz 2 des Vorschlags ganz allgemein von den Befugnissen des EDSB gemäß Artikel 58 EU-DSVO und nicht nur von einigen dieser Befugnisse zu sprechen.

Brüssel, 2. März 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2021) 784 final.

(2) COM(2021) 782 final.

(3) COM(2021) 780 final.

(4) https://ec.europa.eu/home-affairs/news/boosting-police-cooperation-across-borders-enhanced-security-2021-12-08_en

(5) Mitteilung der Kommission: EU-Strategie für eine Sicherheitsunion, COM(2020) 605 final.

(6) Mitteilung der Kommission über eine EU-Strategie zur Bekämpfung der organisierten Kriminalität 2021–2025, COM(2021) 170 final.

(7) Mitteilung der Kommission „Strategie für einen reibungslos funktionierenden und resilienten Schengen-Raum“, COM(2021) 277 final.

(8) Weitere Informationen sind der Stellungnahme 4/2021 des EDSB zu entnehmen, https://edps.europa.eu/system/files/2021-03/21-03-08_opinion_europol_reform_en.pdf