Die „European Business Ownership and Control Structures“ (europäische Strukturen für Unternehmensbesitz und -kontrolle – EBOCS) ist ein Projekt, das von der „European Business Registers Association“ (Verband europäischer Unternehmensregister) mit finanzieller Unterstützung aus dem Fonds für die innere Sicherheit (ISF) – Polizei durchgeführt wird (Jahresarbeitsprogramme 2016 und 2018). Über die EBOCS-Plattform wird ein vereinfachter und einheitlicher Zugang zu Daten aus Unternehmensregistern über Besitz- und Kontrollstrukturen von Unternehmen zur Erstellung von Finanzanalysen und für Untersuchungszwecke zur Verfügung gestellt. Zudem kann sich der Nutzer der Plattform die zusammengefassten Abfrageergebnisse in einer Grafik anzeigen lassen. Es sei darauf hingewiesen, dass die EU nicht über die Urheberrechte an diesem System verfügt.

Das Europäische Strafregisterinformationssystem (ECRIS) wurde im April 2012 in Betrieb genommen, um den Austausch von Strafregisterinformationen in der gesamten EU zu verbessern. Alle Mitgliedstaaten sind derzeit an ECRIS angeschlossen. ECRIS gewährleistet, dass Informationen über Verurteilungen zwischen den Mitgliedstaaten auf einheitliche, schnelle und kompatible Weise ausgetauscht werden, und bietet Richtern und Staatsanwälten leichten Zugang zu umfassenden Informationen über die Vorstrafen der betreffenden Personen.

Bislang gibt es in 15 Mitgliedstaaten zentrale Mechanismen, die Informationen über Bankkonten enthalten. Die Antworten der Mitgliedstaaten lassen eine leichte Präferenz zugunsten der technischen Lösung des zentralen Registers erkennen: Während 17 Mitgliedstaaten zentrale Register haben oder in Kürze haben werden, gaben neun Mitgliedstaaten an, zentrale Datenabrufsysteme zu nutzen oder in Zukunft nutzen zu wollen. Eine Präferenz gibt es auch zugunsten von Systemen, die zusätzlich zu den in Artikel 32a Absatz 5 der 5. Geldwäscherichtlinie vorgeschriebenen Mindestangaben zum Kontoprofil weitere Informationen enthalten (11 Anworten von 17).

Gemäß Artikel 32a der Geldwäscherichtlinie (EU) 2015/849/EU müssen die Mitgliedstaaten bis zum 10. September 2020 zentrale automatische Mechanismen wie zentrale Register oder zentrale elektronische Datenabrufsysteme einrichten, die die Ermittlung aller natürlichen oder juristischen Personen ermöglichen, die Zahlungskonten, Bankkonten und Schließfächer innehaben oder kontrollieren. Die Geldwäscherichtlinie legt eine Mindestauswahl an Informationen fest, die in diese zentralen Mechanismen aufzunehmen sind. Ferner sieht die Richtlinie vor, dass die zentralen Meldestellen sofort und ungefiltert auf diese Mechanismen zugreifen können, wobei auch die anderen zuständigen Behörden Zugang zu den Informationen erhalten müssen, damit sie ihren Pflichten im Rahmen der Geldwäscherichtlinie nachkommen können. Die Richtlinie (EU) 2019/1153 zur Erleichterung des Zugangs zu Finanz- und sonstigen Informationen verpflichtet die Mitgliedstaaten, die für die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten zuständigen nationalen Behörden zu benennen, die unmittelbar, sofort und ungefiltert Zugang zu der Mindestauswahl an Informationen aus solchen zentralen Mechanismen erhalten. Zu diesen zuständigen Behörden zählen mindestens die Vermögensabschöpfungsstellen.

In Bezug auf die Verwaltungsstruktur eines Systems zur Vernetzung von Datenbanken sollte die Zuständigkeit für Entscheidungen in strategischen und operativen Fragen so gestaltet sein, dass sie den Interessen der nationalen Komponenten gerecht wird.

Als Suchkriterien könnten die Arten von Angaben ins Auge gefasst werden, die zu den Mindestinformationen gemäß Artikel 32a Absatz 3 der Geldwäscherichtlinie gehören. Damit wäre der ursprüngliche Zweck der zentralen Mechanismen auch im Verbundsystem gewahrt. Zur Verifizierung von Treffern (insbesondere in Fällen, in denen eine Abfrage mehrere Antworten ergibt) wären zusätzliche Sicherungsmaßnahmen erforderlich.

Dabei ist zu erwägen, wer zur Abfrage berechtigt sein sollte (private oder öffentliche Akteure) und welche Daten bei der Abfrage als bekannt vorausgesetzt werden können und welche nicht. Sollen zu den Suchkriterien beispielsweise Daten gehören, die demjenigen, der die Suche durchführt, wahrscheinlich nicht bekannt sind, kann eine effektive Abfrage erschwert oder unmöglich werden. Ferner wird darauf hingewiesen, dass es Fälle gibt, in denen einer zentralen Meldestelle oder Strafverfolgungsbehörde eines Mitgliedstaats das Geburtsdatum oder die nationale Identifikationsnummer eines Bürgers eines anderen Mitgliedstaats nicht bekannt ist. Kann jedoch über die Schnittstellen auf solche zusätzlichen Informationen in den zentralen Systemen zugegriffen werden, stellt sich die Frage, ob anhand dieser zusätzlichen Informationen auch Abfragen möglich sein sollen.

Artikel 32a Absatz 3 der Geldwäscherichtlinie legt fest, welche Informationen in allen zentralen Systemen erfasst sein müssen, wie etwa der Kontoinhaber, durch die IBAN identifizierte Bankkonten sowie Schließfächer in Kreditinstituten innerhalb des nationalen Hoheitsgebiets. Allerdings sieht Artikel 32a Absatz 4 der Richtlinie die Möglichkeit vor, dass die Mitgliedstaaten weitere Informationen in die Register mitaufnehmen, die von den zentralen Meldestellen und den zuständigen Behörden für die Erfüllung ihrer Pflichten im Rahmen dieser Richtlinie als wesentlich angesehen werden. Aus datenschutzrechtlicher Sicht erscheint es jedoch notwendig, den Umfang der Informationen, die über die Vernetzungsplattform zugänglich sind, auf die Mindestangaben in Artikel 32a Absatz 3 der Geldwäscherichtlinie zu beschränken. Der Zugang zu personenbezogenen Daten sollte im Einklang mit den Datenschutzvorschriften in einem angemessenen Verhältnis zu dem stehen, was zur Erreichung der in der Geldwäscherichtlinie festgelegten Ziele notwendig ist. Ähnlich geht die Richtlinie zur Nutzung von Finanz- und sonstigen Informationen vor. In Artikel 4 Absatz 2 dieser Richtlinie wird klargestellt, dass die zuständigen Behörden keinen Zugang zu den zusätzlichen Informationen haben, die die Mitgliedstaaten in die zentralen Mechanismen aufnehmen, und diese nicht abfragen können.

Falls die Vernetzung auf alle Behörden ausgeweitet wird, denen derzeit nach nationalen Rechtsvorschriften Zugang gewährt wird, sollten detaillierte Bestimmungen über die Zugangs- und Abfragebedingungen für die zuständigen nationalen Behörden festgelegt werden. In diesem Zusammenhang muss darauf hingewiesen werden, dass die Richtlinie über die Verwendung von Finanz- und anderen Informationen strenge Bedingungen für den Zugang und die Abfrage von – in den zentralen automatischen Mechanismen eingebundenen – Bankkonteninformationen durch die auf nationaler Ebene benannten zuständigen Behörden vorsieht. Zu diesen Bedingungen zählt beispielsweise, dass der Zugang zu den Registern und Datenabrufsystemen auf eigens von den zuständigen Behörden benannte und befugte Personen beschränkt ist. Eine weitere mögliche Maßnahme zur Reduzierung der Risiken, die durch die erweiterten Zugangsrechte der benannten nationalen Behörden entstehen, wäre die Beschränkung der verfügbaren Informationen im Verbundsystem auf die Mindestinformationen zu den Kontenprofilen gemäß Artikel 32a Absatz 3 der Geldwäscherichtlinie.

Eine mögliche Lösung dieses Problems wäre, dass die Behörden, die gemäß der Geldwäscherichtlinie und der Richtlinie über die Erleichterung des Zugangs zu Finanz- und anderen Informationen direkten Zugang zu den zentralen Mechanismen haben, auch einen Zugang zur Vernetzungsplattform erhalten. Eine andere Möglichkeit wäre, die Zugangsrechte für das Verbundsystem den gleichen Behörden in allen Mitgliedstaaten zu gewähren, was durch eine auf EU-Ebene harmonisierte, geschlossene Liste der Arten von Behörden erreicht werden könnte, die im Einklang mit dem Zugangszweck festgelegt werden.

Die zentralen Mechanismen für Bankkonten sollen im Rahmen der Geldwäscherichtlinie den Kampf gegen Geldwäsche und Terrorismusfinanzierung unterstützen, wobei der Zugang bestimmten Behörden vorbehalten ist. Die Informationen aus den zentralen Mechanismen werden nun, gemäß der Richtlinie zur Erleichterung des Zugangs zu Finanz- und sonstigen Informationen, zusätzlich zur Bekämpfung schwerer Straftaten genutzt; im Rahmen dieser Richtlinie erhalten die benannten zuständigen Behörden ebenfalls Zugangsrechte. Welche Inlandsbehörden jedoch direkten Zugang zu den nationalen Registern erhalten, entscheiden die Mitgliedstaaten, die diese Register führen. Dies könnte zu einem uneinheitlichen Vorgehen führen, da bestimmte Arten von Behörden so in einem Mitgliedstaat Zugang erhalten könnten, in einem anderen jedoch nicht. Bei einem grenzüberschreitenden Austausch über das EU-weite Vernetzungssystem könnte dies zur Folge haben, dass eine Behörde Informationen aus dem Register eines anderen Mitgliedstaats anfordert, während diese Anfrage einer anderen Behörde verweigert wird.

Bei BRIS fungiert der BRIS-Lenkungsausschuss als internes Forum der Kommission für strategische Entscheidungen sowie für die Beaufsichtigung und Verwaltung von BRIS, während die Gruppe der Gesellschaftsrechtsexperten – Unternehmensregister (CLEG-BRIS) als Forum für die politische Zusammenarbeit zwischen den beteiligten Akteuren fungiert. Eine ähnliche Trennung von politischen und operativen Strukturen lässt sich in Bezug auf EUCARIS beobachten, bei dem die Generalversammlung, die aus hochrangigen Vertretern der Regierungsstellen besteht, die zu verfolgende Strategie festlegt, den Haushalt und die jährlichen Beiträge billigt und Vorkehrungen für die Systemverwaltung trifft.

3.4.Datenaufsicht

Es ist zwischen der Verantwortung für die Wartung des IT-Systems und der Verantwortung aus datenschutzrechtlicher Sicht zu unterscheiden. Nach der Datenschutz-Grundverordnung ist der Verantwortliche die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet und die Verantwortung für die Verarbeitung personenbezogener Daten trägt. Das Problem der Zuständigkeit ist komplex; bei der Bestimmung des Verantwortlichen spielen viele Faktoren eine Rolle, u. a. die Frage, wer die Daten speichert und wo.

Bei IRI dient die EU-Plattform lediglich der Vernetzung der dezentralen nationalen Datenbanken; alle Daten, die in der zentralen Plattform angezeigt werden, sind lediglich „vorübergehende Daten“ – sie werden also weder in der EU-Komponente gespeichert, noch werden Abfrage-Protokolle erstellt oder gespeichert. Anders gestaltet sich die Situation bei BRIS – hier wurde eine spezielle Funktion eingeführt, die die Kernprofildaten der Unternehmen in einer zentralen Komponente auf Kommissionsebene speichert, die regelmäßig von den nationalen Registern aktualisiert wird. Die erste Abfrage erfolgt in dieser zentralen Datenbank und ergibt eine Trefferliste mit den Namen der Einrichtungen. Der Anforderer erhält detaillierte Daten zu einer bestimmten Einrichtung, indem er den Namen dieser Einrichtung aus der Trefferliste auswählt; so wird eine direkte Verknüpfung zu den Informationen in der nationalen Datenbank hergestellt.

Hinsichtlich einer möglichen Vernetzung zentraler Mechanismen sollte die Entwicklung eines IT-Systems in Erwägung gezogen werden, bei dem die zentrale Routing-Komponente keine personenbezogenen Daten speichert und alle Entscheidungen über die Mittel und Zwecke der Datenverarbeitung auf nationaler Ebene getroffen werden. Ziel des Vernetzungsdienstes wäre lediglich, die Datenverarbeitung für die zentralen Mechanismen, die für ihre Datensätze selbst verantwortlich blieben, zu erleichtern.

3.5.Einrichtungs- und Wartungskosten

Die Einrichtung eines Systems, das die nationalen zentralen Mechanismen miteinander vernetzt, wird mit Kosten verbunden sein, die sowohl durch die Einrichtung als auch durch die Wartung des Systems entstehen, wobei die Kosten zwischen der EU und den Mitgliedstaaten aufgeteilt werden müssten. Betrachtet man die Kostenaufteilung in den Modellbeispielen, so wurden in der Regel die Kosten im Zusammenhang mit der EU-Komponente (Komponente, EU-Plattform) aus dem Gesamthaushaltsplan der EU finanziert, während die Mitgliedstaaten die Kosten für die Anpassung der nationalen Systeme und deren Interoperabilität mit dem System der EU trugen. Im Falle des BRIS kostete die Entwicklung der ersten Version, die im Juni 2017 in Betrieb genommen wurde, einschließlich der zentralen Europäischen Plattform rund 1,7 Mio. EUR. Beim IRI, das eine einfachere Architektur aufweist, beliefen sich die Kosten für die Entwicklung der ersten Version des zentralen Suchsystems (IRI 1.0) auf etwa 280 000 EUR, während die Anpassung der zentralen Suchanwendung bei IRI 2.0 etwa 170 000 EUR kosten wird. Beim ECRIS beliefen sich die Gesamtkosten für den Einsatz der „Referenzimplementierung“, also der Software für den Austausch von Strafregisterdaten zwischen den Mitgliedstaaten, auf 2 050 000 EUR. Die jährlichen Kosten für die Wartung des Systems beliefen sich auf 150 000 EUR. Für EUCARIS zahlt jedes teilnehmende Land eine allgemeine Wartungsgebühr in Höhe von 20 000 EUR.

Betrachtet man die vorstehenden Zahlen, so wird klar, dass die Kosten für die Einrichtung und Wartung eines EU-weiten Vernetzungssystems im Vergleich zu den Vorteilen, die ein solches Projekt für die EU mit sich bringt, relativ niedrig sind. Die Kosteneffizienz ließe sich durch die Verwendung bereits vorhandener Kapazitäten (wie z. B. Zugangspunkte von eDelivery, Bausteine der Fazilität „Connecting Europe“, Kernvokabulare der Generaldirektion Informatik der Europäischen Kommission usw.) verbessern.

4.Technische Spezifikationen der Systeme, einschließlich Datensicherheit

4.1.Verwendetes Netzwerk und Datensicherheit

Der Prüm-Dienst von EUCARIS und ECRIS nutzt die transeuropäischen Telematikdienste für Behörden (TESTA) – ein privates Netzwerk, das vollständig vom öffentlichen Internet getrennt ist. Die benannten nationalen Kontaktstellen haben Zugang zu diesem privaten Netzwerk. Der TESTA-Netzwerkdienst wird von der Kommission betrieben und bietet eine Leistungsgarantie und ein hohes Maß an Sicherheit. Was EUCARIS betrifft, so kann das System über das öffentliche Internet benutzt werden, was derzeit jedoch nicht getan wird. Es ist mit allen EU-Institutionen und nationalen Netzwerken verbunden und wird im Rahmen der Zusammenarbeit bei der Strafverfolgung, die sensible Informationen umfasst, bevorzugt. Die EU-Institutionen haben noch weitere sichere Netzwerke entwickelt, wie z. B. das Gemeinsame Kommunikationsnetz/die Gemeinsame Systemschnittstelle (CCN/CSI), die in den Bereichen Zollpolitik und Besteuerung eingesetzt werden.

BRIS, IRI, LRI und EBOCS nutzen das öffentliche Internet (mit einer geeigneten Verschlüsselungstechnik für Daten, die über das Internet ausgetauscht werden). Was den sicheren Informationsaustausch über das öffentliche Internet betrifft, so können Unternehmen und öffentliche Verwaltungen dank des eDelivery-Bausteins auf interoperable, sichere, zuverlässige und vertrauenswürdige Weise elektronische Daten und Dokumente in digitaler Form mit anderen Organisationen austauschen. Dies steht im Einklang mit der Definition der Dienste für die Zustellung elektronischer Einschreiben („ERDS“) in Artikel 3 Nummer 36 der eIDAS-Verordnung.

Für die mögliche Vernetzung zentraler Systeme mit sensiblen Informationen könnte die Anwendung von TESTA erwogen werden. Aber auch Internet-Lösungen könnten infrage kommen. Fast alle nationalen zentralen Systeme nutzen das öffentliche Internet. Was Datensicherheit und -integrität betrifft, so wird die Tatsache, dass das System aus dezentralen Datenbanken bestehen wird, zu einer Reduzierung der möglichen Risiken beitragen. Dies ist darauf zurückzuführen, dass die Dezentralisierung und eine Aufteilung auf verschiedene Technologien per se einen besseren Schutz gegen Cyberangriffe gewährleisten, da sich dadurch eine allgemeine Beschädigung von Daten sehr viel schwieriger und die Wiederherstellung von Daten nach Zwischenfällen wesentlich leichter gestaltet.

4.2.Zentrale Routing-Komponente

In Bezug auf die Struktur von IT-Systemen gibt es zwei wesentliche Architektur-Typen: die völlig dezentralen Systeme und die Systeme, die über eine zentrale Plattform oder Routing-Komponente auf EU-Ebene verfügen, die als Verbindungsglied zwischen den dezentralen nationalen Datenbanken fungiert.

Bei „rein verteilten Systemen“ gibt es keine EU-Plattform oder ‑Komponente; in diesen Fällen kommunizieren alle Länder direkt miteinander und verfügen dabei über gemeinsam vereinbarte Standards, die einen direkten Peer-to-Peer-Austausch zwischen den angeschlossenen Stellen der Mitgliedstaaten ermöglichen. Abfragen werden daher einzeln an alle anderen nationalen Systeme versendet, und die erhaltenen Antworten werden über die Oberfläche des Web-Client des Anforderers gesammelt und angezeigt. Diese Technologie wird bei EUCARIS, ECRIS und e-CODEX genutzt (basierend auf einer gemeinsam entwickelten Anwendung).

In „verteilten Systemen mit einer zentralen Leitwegkomponente“ gibt es eine zentrale Plattform auf EU-Ebene: Dabei handelt es sich um einen einzelnen zentralen Webdienst, der auf EU-Ebene gewartet und betrieben wird und der mit allen nationalen Systemen vernetzt ist. Nutzer führen die Abfragen über diesen zentralen Webdienst durch, der die Informationen aus den nationalen Datenbanken sammelt. Diese Technologie wird bei BRIS, EBOCS und IRI angewandt.

Hinsichtlich der Konnektivität wäre eine Lösung mit einer zentralen Routing-Komponente einfacher in der Umsetzung. Wenn es nur eine einzige Plattform gäbe, müsste jeder Mitgliedstaat nur eine Verbindung zwischen dem nationalen System und dieser zentralen Plattform herstellen und warten. Fehlt jedoch eine solche „echte“ zentrale Plattform, muss jeder Mitgliedstaat Verbindungen zu allen anderen nationalen Systemen der Mitgliedstaaten herstellen, testen und warten (z. B. zählt der Prüm-Dienst von EUCARIS derzeit fast 756 Verbindungen). Diese Vielzahl an Anschlüssen stellt eine Herausforderung dar, die die Probleme in Bezug auf Steuerung, Kontrolle und Prüfung vergrößern kann; ein rein verteiltes System müsste dieser Herausforderung gerecht werden. Es gibt aber durchaus technologische Lösungen für die Bewältigung der großen Zahl möglicher Verbindungen. Gleichzeitig muss jedoch auch die Tatsache angemessen berücksichtigt werden, dass sich die zentrale Komponente in einem zentralen Routing-System zu einem Single Point of Failure (SPoF) im Gesamtsystem entwickeln kann.

4.3.Datenaustauschprotokoll

Das BRIS und e-CODEX verwenden die eDelivery-Lösung der CEF, während bei IRI 2.0 sowohl die Kommunikation mit CEF eDelivery als auch mit SOAP genutzt wird. Der Prüm-Dienst von EUCARIS und die EBOCS nutzen die SOAP-basierten Schnittstellen. LRI verwendet die REStful-Webdienste.