In dieser Mitteilung wird der erste Bericht der Kommission über die Bewertung und Überprüfung der Richtlinie (EU) 2016/680 (im Folgenden „Richtlinie zum Datenschutz bei der Strafverfolgung“ oder „Richtlinie“) gemäß Artikel 62 Absatz 1 jener Richtlinie dargelegt.

Im Rahmen des Berichts werden insbesondere die Anwendung und Wirkungsweise der Vorschriften der Richtlinie zum Datenschutz bei der Strafverfolgung über die Übermittlung personenbezogener Daten an Drittländer und internationale Organisationen geprüft, wie dies in jener Richtlinie verlangt wird, jedoch verfolgt der Bericht auch einen breiteren Ansatz. Er verortet die Richtlinie im Rahmen des EU-Rechts über den Schutz personenbezogener Daten und des EU-Rechts zur Regelung der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (im Folgenden „Strafverfolgung“) . Der Bericht bietet einen Überblick über die Umsetzung der Richtlinie zum Datenschutz bei der Strafverfolgung in das nationale Recht der Mitgliedstaaten, stellt die ersten Erkenntnisse über die Anwendung und Wirkungsweise der Richtlinie dar und zeigt das weitere Vorgehen auf.

1.1Ein wichtiges Element eines einheitlichen Datenschutzrahmens der Europäischen Union

Die Richtlinie zum Datenschutz bei der Strafverfolgung ist einer der drei Pfeiler des EU-Rahmens zur Gewährleistung des Grundrechts auf Schutz personenbezogener Daten. Die anderen beiden sind die Datenschutz-Grundverordnung (im Folgenden „DSGVO“) und die EU-Datenschutzverordnung für die Organe, Einrichtungen und sonstigen Stellen der Union (im Folgenden „EU-DSVO“) . Das Grundrecht auf Datenschutz ist in Artikel 8 der Charta der Grundrechte der Europäischen Union (im Folgenden „Charta“) und in Artikel 16 des Vertrags über die Arbeitsweise der Europäischen Union (im Folgenden „AEUV“) verankert.

Die Richtlinie zum Datenschutz bei der Strafverfolgung trat am 6. Mai 2016 in Kraft und musste von den Mitgliedstaaten bis zum 6. Mai 2018 umgesetzt werden .

Die Richtlinie zum Datenschutz bei der Strafverfolgung ist der erste Rechtsakt der EU, der auf einem umfassenden Ansatz für den Schutz personenbezogener Daten bei deren Verarbeitung durch die zuständigen Behörden (d. h. Justizbehörden, die Polizei und andere Strafverfolgungsbehörden gemäß Artikel 3 Nummer 7 der Richtlinie) zum Zwecke der Strafverfolgung beruht. Die Richtlinie stellt im Vergleich zum Rahmenbeschluss 2008/977/JI des Rates, der durch sie aufgehoben und ersetzt wurde, einen wichtigen Fortschritt mit Blick auf die Sicherstellung der einheitlichen Anwendung der Datenschutzvorschriften in der gesamten EU dar. Erstens bietet die Richtlinie ein vollständiges Regelwerk für sowohl die grenzüberschreitende als auch die innerstaatliche Verarbeitung personenbezogener Daten zum Zwecke der Strafverfolgung, während der Rahmenbeschluss des Rates lediglich die grenzüberschreitende Verarbeitung behandelte. Zweitens bietet die Richtlinie ein umfassendes und horizontales Regelwerk, wohingegen es beim vorherigen Ansatz so war, dass jeder sektorspezifische Rechtsakt der EU, der die Verarbeitung personenbezogener Daten im Kontext der Strafverfolgung vorsah, seinen eigenen Datenschutzvorschriften unterlag.

Die DSGVO, die EU-DSVO und die Richtlinie zum Datenschutz bei der Strafverfolgung beruhen auf ähnlichen Konzepten und Grundsätzen, was die einheitliche Auslegung und Anwendung der EU-Datenschutzvorschriften zur Folge hat. Sie teilen gemeinsame Definitionen und enthalten ähnliche Pflichten für Verantwortliche und Auftragsverarbeiter. In der Richtlinie zum Datenschutz bei der Strafverfolgung wird jedoch auch speziell auf Risiken im Zusammenhang mit der Verarbeitung personenbezogener Daten im Kontext der Strafverfolgung eingegangen. Die entsprechenden Bestimmungen umfassen Verpflichtungen i) zur Unterscheidung verschiedener Kategorien betroffener Personen, ii) zur Unterscheidung zwischen faktenbasierten personenbezogenen Daten und auf persönlichen Einschätzungen beruhenden Daten sowie iii) zur Protokollierung der Verwendung personenbezogener Daten und zur Einhaltung spezifischer Sicherheitsanforderungen.

Aufgrund des spezifischen Charakters der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit wurde es als erforderlich erachtet, spezifische Vorschriften über den Schutz personenbezogener Daten und den freien Verkehr personenbezogener Daten in diesen Bereichen zu erlassen. Die Sensibilität des Bereichs der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit sowie die Komplexität der nationalen Rechtsrahmen zur Regelung der Strafverfolgung führten dazu, dass eine Richtlinie als am besten geeignet angesehen wurde, um in diesem Bereich ein hohes Maß an Datenschutz zu erreichen. Eine Richtlinie gibt den Mitgliedstaaten bei der Umsetzung der Grundsätze, der Durchführung der Vorschriften und der Anwendung der Ausnahmebestimmungen auf nationaler Ebene zudem den notwendigen Spielraum.

Die Kommission veröffentlichte ihren ersten Bericht über die Umsetzung der DSGVO am 24. Juni 2020. Darin gelangte sie zu dem Schluss, dass die DSGVO ihre Ziele nach allgemeiner Auffassung erreicht hat, insbesondere dadurch, dass den Bürgerinnen und Bürgern damit ein starkes Bündel durchsetzbarer Rechte verliehen wird und ein neues System der EU für Verwaltung und Durchsetzung geschaffen wurde. Im Bericht wurden zu ergreifende Maßnahmen dargelegt, um die Anwendung der DSGVO durch alle Interessenträger zu erleichtern und eine Datenschutzkultur in der EU zu fördern und weiterzuentwickeln, zusammen mit einer konsequenten Durchsetzung.

Der vorliegende Bericht knüpft an die Überprüfung der von der EU erlassenen Rechtsakte über die Datenverarbeitung durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung an. Der Zweck dieser Überprüfung bestand darin, festzustellen, inwieweit eine Anpassung der betreffenden Rechtsakte an die Richtlinie zum Datenschutz bei der Strafverfolgung notwendig ist. Mit ihrer Mitteilung vom 24. Juni 2020 „Weiteres Vorgehen hinsichtlich der Angleichung des früheren Besitzstands des dritten Pfeilers an die Datenschutzvorschriften“ ist die Kommission dieser Verpflichtung nachgekommen. In der Mitteilung wurden zehn Rechtsakte genannt, die an die Richtlinie zum Datenschutz bei der Strafverfolgung angepasst werden sollten, und es wurde ein Zeitplan für diese Arbeit aufgestellt.

Schließlich wurde der vorliegende Bericht parallel zum Bericht der Kommission über die Anwendung der EU-DSVO erstellt. Ein wichtiges Element des letzteren Berichts ist die Überprüfung der Vorschriften in Kapitel IX der EU-DSVO über die Verarbeitung operativer personenbezogener Daten durch Einrichtungen und sonstige Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich der polizeilichen Zusammenarbeit und der justiziellen Zusammenarbeit in Strafsachen (im Folgenden „JI-Agenturen“) fallen. Die betreffenden Vorschriften beruhen größtenteils auf der Richtlinie zum Datenschutz bei der Strafverfolgung. Artikel 98 der EU-DSVO sieht vor, dass die Kommission Rechtsakte überprüft, die die Verarbeitung operativer personenbezogener Daten durch JI-Agenturen regeln, und geeignete Gesetzgebungsvorschläge insbesondere im Hinblick auf die Anwendung der Bestimmungen des Kapitels IX auf Europol und die Europäische Staatsanwaltschaft vorlegen sowie notwendige Änderungen dieses Kapitels vorschlagen kann.

1.2Ein wesentlicher Beitrag zur Sicherstellung einer starken Sicherheitspolitik in der Europäischen Union

Die Kommission hat stets betont, dass eine effektive und wirklich sichere EU auf einer uneingeschränkten Wahrung der Grundrechte aufbauen muss, die in der Charta und im sekundären EU-Recht verankert sind. Die Richtlinie zum Datenschutz bei der Strafverfolgung leistet einen wichtigen Beitrag zur Sicherheitspolitik der EU, indem sie sicherstellt, dass die personenbezogenen Daten von Opfern, Zeugen und Tatverdächtigen ordnungsgemäß geschützt werden. Ferner trägt die Richtlinie durch die Harmonisierung der Vorschriften über den Schutz personenbezogener Daten, die von zuständigen Behörden in EU- und Schengen-Ländern verarbeitet werden, zu einem stärkeren Vertrauen und zur Sicherheit der Daten bei, die zum Zwecke der Strafverfolgung zwischen Behörden ausgetauscht werden, und erleichtert so die grenzüberschreitende Zusammenarbeit bei der Bekämpfung von Kriminalität und Terrorismus. Die Richtlinie spielt auch eine wichtige Rolle dabei, eine Kultur der Einhaltung des Datenschutzes unter den zuständigen Behörden zu fördern.

In der Strategie für eine Sicherheitsunion wird ferner betont, dass neue Technologien wie künstliche Intelligenz als wirksame Instrumente zur Verbrechensbekämpfung genutzt werden könnten. Um dieses Potenzial auszuschöpfen, gilt es, dabei höchste Standards für die Achtung der Grundrechte zu gewährleisten. Die Datenschutzgesetzgebung, einschließlich der Richtlinie zum Datenschutz bei der Strafverfolgung, bildet die Grundlage, auf der die sektorspezifische Gesetzgebung aufbauen kann. Das vorgeschlagene KI-Gesetz würde beispielsweise den Rahmen für die Verwendung personenbezogener Daten zur biometrischen Fernidentifizierung in öffentlichen Räumen zum Zwecke der Strafverfolgung weiter abstecken.

Schließlich weist Kriminalität (insbesondere Cyberkriminalität und sonstige durch den Cyberraum ermöglichte Kriminalität) in einer vernetzten Welt zunehmend einen grenzübergreifenden Charakter auf. Selbst bei der Untersuchung innerstaatlicher Fälle stoßen die zuständigen Behörden immer öfter auf grenzüberschreitende Situationen, da Informationen elektronisch in einem Drittland gespeichert sind. Dadurch wächst die Notwendigkeit der internationalen Zusammenarbeit bei strafrechtlichen Ermittlungen, sowohl aufseiten der Behörden der Mitgliedstaaten als auch aufseiten der EU-Einrichtungen wie Europol und Eurojust. Bei einer solchen Zusammenarbeit, insbesondere bei der Erhebung und dem Austausch elektronischer Beweismittel, werden häufig personenbezogene Daten übermittelt. Starke Datenschutzgarantien sind daher von wesentlicher Bedeutung. Diese Garantien helfen auch dabei, Vertrauen zwischen den Strafverfolgungsbehörden aufzubauen, um so für einen schnelleren und effektiveren Informationsaustausch zu sorgen und die Rechtssicherheit zu stärken, wenn Informationen anschließend bei Strafverfahren verwendet werden. In diesem Zusammenhang bietet die Richtlinie zum Datenschutz bei der Strafverfolgung ein aktualisiertes Instrumentarium zur Erleichterung solcher Übermittlungen personenbezogener Daten aus der EU an ein Drittland oder eine internationale Organisation (z. B. Interpol), wobei gleichzeitig weiterhin ein hohes Schutzniveau für die personenbezogenen Daten sichergestellt wird. Die Kommission und die Mitgliedstaaten haben seit dem Inkrafttreten der Richtlinie die gesamte Palette ihrer Instrumente genutzt, was somit bestätigt, dass sie breit und flexibel genug ist, um eine wirksame internationale polizeiliche und justizielle Zusammenarbeit zu ermöglichen.

1.3Wichtige Aspekte hinsichtlich der Erstellung des Berichts

Bei der Vorbereitung des vorliegenden Berichts hat die Kommission aus einer Vielzahl von Quellen und im Wege gezielter Konsultationen Informationen und Rückmeldungen gesammelt. Im Zusammenhang mit Artikel 62 der Richtlinie zum Datenschutz bei der Strafverfolgung berücksichtigte die Kommission die Beiträge und Standpunkte des Europäischen Parlaments, des Rates, des Europäischen Datenschutzausschusses (im Folgenden „EDSA“) und der nationalen Datenschutzaufsichtsbehörden. Zusätzliche Rückmeldungen wurden durch einen Fragebogen an Organisationen der Zivilgesellschaft (die von der Agentur der Europäischen Union für Grundrechte kontaktiert wurden) und durch Antworten im Rahmen einer öffentlichen Sondierung gesammelt. Die Kommission berücksichtigte ferner Ausführungen der Expertengruppe mit Vertretern der Mitgliedstaaten für die DSGVO und die Richtlinie zum Datenschutz bei der Strafverfolgung sowie Ausführungen des deutschen Ratsvorsitzes. Zudem trug sie der Analyse der nationalen Umsetzungsmaßnahmen und einer geringen Zahl von Beschwerden, die sie diesbezüglich erhalten hatte, Rechnung.

Die Richtlinie zum Datenschutz bei der Strafverfolgung gilt für alle Mitgliedstaaten und alle Schengen-Länder (da sie eine Weiterentwicklung des Schengen-Besitzstands darstellt ), jedoch werden im vorliegenden Bericht nur die EU-Mitgliedstaaten behandelt.

Drei Faktoren hatten Auswirkungen auf die Erstellung dieses Berichts. Erstens konnten zwei Drittel der Mitgliedstaaten die Frist zur Umsetzung der Richtlinie zum Datenschutz bei der Strafverfolgung in nationales Recht bis Mai 2018 nicht einhalten. Dennoch setzten die meisten Mitgliedstaaten die Richtlinie bis 2019 um, nachdem die Kommission Vertragsverletzungsverfahren eingeleitet hatte. Die Erfahrung zur Anwendung der Richtlinie ist daher eher begrenzt, was auch vom EDSA und dem Rat betont wird. Zweitens erwies es sich im Vergleich zur DSGVO schwieriger, Statistiken zur Anwendung der Richtlinie zusammenzustellen. Einige Datenschutzaufsichtsbehörden erheben bei ihren Aufsichtstätigkeiten keine gesonderten statistischen Daten zur Richtlinie und zur DSGVO. Dies ist beispielsweise in Bezug auf Meldungen von Datenschutzverletzungen sowie Beschwerden im Rahmen der Richtlinie der Fall, was es teilweise schwierig macht, einen genauen Überblick über diese Aspekte der Richtlinie zu erhalten .

Drittens ist es wichtig, zu beachten, dass sich die Rechtsprechung in Bezug auf die Anwendung der Richtlinie zum Datenschutz bei der Strafverfolgung gerade erst entwickelt. Beim Gerichtshof der Europäischen Union (im Folgenden „EuGH“) sind derzeit mehrere Rechtssachen hinsichtlich der Auslegung wichtiger Bestimmungen der Richtlinie, darunter das Auskunftsrecht und das Recht auf einen wirksamen gerichtlichen Rechtsbehelf betroffener Personen, anhängig. Die entsprechenden Urteile werden für mehr Klarheit sorgen und zu einem stärker harmonisierten Ansatz unter den Mitgliedstaaten beitragen.