Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zu zwei Vorschlägen für Beschlüsse des Rates zur Ermächtigung der Mitgliedstaaten, im Interesse der Europäischen Union das Zweite Zusatzprotokoll zum Übereinkommen über Computerkriminalität über eine verstärkte Zusammenarbeit und die Weitergabe elektronischen Beweismaterials zu unterzeichnen und zu ratifizieren

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich.)

(2022/C 182/04)

Am 25. November 2021 nahm die Kommission, gestützt auf Artikel 16, Artikel 82 Absatz 1 und Artikel 218 Absätze 5 und 6 des Vertrags über die Arbeitsweise der Europäischen Union zwei Vorschläge für Beschlüsse des Rates an, die die Mitgliedstaaten ermächtigen, im Interesse der Europäischen Union das Zweite Zusatzprotokoll zum Übereinkommen über Computerkriminalität zu unterzeichnen bzw. zu ratifizieren. Der Anhang der Vorschläge enthält jeweils die Direktiven des Rates für Vorbehalte, Erklärungen und Mitteilungen bei der Unterzeichnung und Ratifizierung des Protokolls.

Die Untersuchung und Verfolgung von Straftaten ist ein legitimes politisches Ziel, und die internationale Zusammenarbeit einschließlich des Austauschs von Informationen ist heute wichtiger denn je. Der EDSB ist schon lange der Ansicht, dass die EU nachhaltige Abkommen über den Austausch personenbezogener Daten mit Drittländern zum Zwecke der Strafverfolgung braucht, die vollumfänglich mit den EU-Verträgen und der Charta der Grundrechte in Einklang stehen. Selbst bei Ermittlungen in Inlandsfällen sind Strafverfolgungsbehörden immer häufiger mit „grenzüberschreitenden Situationen“ konfrontiert, weil Informationen elektronisch in Drittländern gespeichert werden. Bestehende Kooperationsmodelle wie Rechtshilfeabkommen geraten an ihre Grenzen, zum einen, weil die Zahl der Ersuchen steigt, zum anderen wegen der Volatilität digitaler Informationen. Der EDSB versteht, dass die Behörden bei der Dateneinholung für ihre Ermittlungen unter hohem zeitlichen Druck stehen, und er unterstützt die Bemühungen um die Entwicklung neuer Modelle für die Zusammenarbeit, auch für die Zusammenarbeit mit Drittländern.

Das Protokoll zielt darauf ab, die traditionellen Wege der Zusammenarbeit zu verbessern, unter anderem durch Bestimmungen, die die direkte Zusammenarbeit zwischen Strafverfolgungsbehörden und Dienstleistern im grenzüberschreitenden Kontext verbessern sollen. Insbesondere würde das Protokoll die Zusammenarbeit im Bereich der Computerkriminalität und bei der Sammlung von Beweismitteln in elektronischer Form für strafrechtliche Ermittlungen oder Verfahren verstärken.

Der EDSB erkennt an, dass es nicht möglich ist, die Terminologie und Definitionen des Unionsrechts in einer multilateralen internationalen Übereinkunft vollständig zu replizieren, betont jedoch, dass der Schutz des Einzelnen eindeutig und wirksam garantiert sein muss, um dem Unionsrecht vollumfänglich zu genügen.

Die Datenschutzgrundsätze, die die Verarbeitung nach Treu und Glauben, Richtigkeit und Relevanz der Informationen, unabhängige Aufsicht und Individualrechte natürlicher Personen umfassen, sind für öffentlich-rechtliche Stellen genauso relevant wie für privatrechtliche Organisationen. Diese Grundsätze sind umso wichtiger, wenn man die Sensibilität der für strafrechtliche Ermittlungen erforderlichen Daten bedenkt.

Diese Stellungnahme will eine objektive Analyse vornehmen und den Organen der Union jetzt, da der Rat die Vorschläge der Kommission zur Unterzeichnung und Ratifizierung des Protokolls prüft, und noch bevor das Europäische Parlament aufgerufen ist, seine Zustimmung zum Abschluss dieses Protokolls zu erteilen, konstruktiven Rat erteilen.

Der EDSB begrüßt, dass die endgültige Fassung des Protokolls keine Bestimmung über den direkten Datenzugang für Strafverfolgungsbehörden enthält. Er begrüßt auch, dass das Protokoll einen eigenen Artikel über den Schutz personenbezogener Daten enthält. Des Weiteren nimmt der EDSB die zahlreichen Garantien, die in das Protokoll aufgenommen wurden, positiv zur Kenntnis.

Der EDSB versteht es so, dass bestätigt ist, dass das Rahmenabkommen zwischen der EU und den USA auf Übermittlungen aus der EU in die Vereinigten Staaten von Amerika, die im Rahmen der im Protokoll enthaltenen Vorschriften über die behördliche Zusammenarbeit erfolgen, Anwendung fände. Der EDSB bedauert dieses Ergebnis.

Für den Fall, dass ein Beschluss des Rates angenommen werden sollte, der die Mitgliedstaaten ermächtigt, das Protokoll im Interesse der Union zu unterzeichnen und zu ratifizieren, begrüßt der EDSB die Vorschläge der Kommission, dass die Mitgliedstaaten im Interesse der Union die Erklärung, Notifikation und Mitteilung gemäß Artikel 7 Absätze 2 Buchstabe b sowie Artikel 5 Buchstaben a und e des Protokolls abgeben. Die Vorschläge stellen sicher, dass Diensteanbieter in der Union nur dann um die Übermittlung personenbezogener Daten ersucht werden können, wenn das Ersuchen auf einer Anordnung beruht, die im ersuchenden Drittland, das Vertragspartei des Protokolls ist, durch eine Staatsanwältin beziehungsweise durch einen Staatsanwalt oder eine andere Justizbehörde oder unter staatsanwaltlicher Aufsicht oder unter Aufsicht einer anderen Justizbehörde oder anderweitig unter unabhängiger Aufsicht erlassen wurde.

Der EDSB hält es auch für positiv, dass den Mitgliedstaaten vorgeschlagen wird, die Erklärung gemäß Artikel 8 Absatz 4 des Protokolls (über die Zusammenarbeit zuständiger Behörden zur Erfüllung von Herausgabeanordnungen in Bezug auf Bestandsdaten und Verkehrsdaten) abzugeben, um sicherzustellen, dass für die Erfüllung auf Grundlage dieser Vorschrift ergangener Anordnungen zusätzliche begleitende Angaben verlangt werden.

Darüber hinaus gibt der EDSB für den Fall, dass das Protokoll von den Mitgliedstaaten im Interesse der Union unterzeichnet und ratifiziert werden sollte, folgende Empfehlungen für künftige Beschlüsse des Rates:

— Gewisse Daten, die unter die Kategorie „Bestandsdaten“ im Sinne des Übereinkommens über Computerkriminalität fallen, gelten nach Unionsrecht unter Umständen als Verkehrsdaten, deren Übermittlung einen schweren Eingriff in die Grundrechte des Betroffenen darstellt, weshalb der Zugang zu diesen Daten nur zur Bekämpfung von schwerer Kriminalität gerechtfertigt sein kann. Der EDSB empfiehlt den Mitgliedstaaten deshalb, sich – entgegen dem Vorschlag der Kommission – das Recht auf Nichtanwendung von Artikel 7 des Protokolls vorzubehalten, da Artikel 7 Absatz 9 Buchstabe b für bestimmte Arten von Zugangsnummern die direkte Weitergabe von Bestandsdaten von Diensteanbietern an zuständige Behörden eines anderen Landes vorsieht.

— Die Mitgliedstaaten sollten gemäß Artikel 7 Absatz 5 Buchstabe e des Protokolls eine Justiz- oder sonstige unabhängige Behörde bestimmen.

— Die vorgeschlagene Mitteilung, die die Mitgliedstaaten bei Unterzeichnung oder bei Hinterlegung der Ratifikations-, Annahme- oder Genehmigungsurkunde an die Behörden der Vereinigten Staaten bezüglich des Rahmenabkommens zwischen der EU und den USA übermitteln, sollte klarer formuliert werden.

— Die vorgeschlagene Erwägung in Bezug auf sonstige Vereinbarungen oder Verträge gemäß Artikel 14 Absatz 1 Buchstabe c des Protokolls, die die Datenschutzbestimmung des Protokolls (Artikel 14) ersetzen könnten, sollte abgeändert werden.

1. EINLEITUNG UND HINTERGRUND

1. Im Juni 2017 genehmigte der Ausschuss für das Übereinkommen über Computerkriminalität des Europarats das Mandat für die Ausarbeitung des Zweiten Zusatzprotokolls im Zeitraum September 2017 bis Dezember 2019 ( 1 )

2. Am 5. Februar 2019 nahm die Kommission eine Empfehlung ( 2 ) für einen Beschluss des Rates an, mit dem die Kommission ermächtigt wird, im Namen der Europäischen Union an den Verhandlungen über ein Zweites Zusatzprotokoll (im Folgenden „Protokoll“) ( 3 ) zum Übereinkommen des Europarats über Computerkriminalität über eine verstärkte internationale Zusammenarbeit und elektronisches Beweismaterial (im Folgenden „Übereinkommen über Computerkriminalität“) teilzunehmen (SEV Nr. 185) ( 4 )

3. Am 2. April 2019 nahm der Europäische Datenschutzbeauftragte (im Folgenden „EDSB“) eine Stellungnahme zu der Empfehlung ( 5 ) an. Mit Beschluss vom 6. Juni 2019 ermächtigte der Rat der Europäischen Union die Kommission, im Namen der Europäischen Union an den Verhandlungen über das Protokoll teilzunehmen ( 6 )

4. Der Ausschuss für das Übereinkommen über Computerkriminalität verlängerte das Mandat zweimal, zunächst bis Dezember 2020 und später bis Mai 2021. Das Protokoll wurde im Zeitraum September 2017 bis Mai 2021 vom Ausschuss für das Übereinkommen über Computerkriminalität erstellt. In diesem Zeitraum fanden neunzig Sitzungen des Redaktionsplenums des Ausschusses für das Übereinkommen über Computerkriminalität, des Redaktionsausschusses und der Untergruppen sowie sechs Konsultationen der Interessenträger statt.

5. Der Europäische Datenschutzausschuss leistete am 13. November 2019, 2. Februar 2021 und 4. Mai 2021 Beiträge zu den öffentlichen Konsultationen zum Entwurf des Protokolls ( 7 )

6. Das Europäische Parlament wies 2021 in seiner Entschließung zu der Cybersicherheitsstrategie der EU für die digitale Dekade darauf hin, dass die Arbeit am Protokoll abgeschlossen werden muss ( 8 )

7. Am 17. November 2021 wurde das Protokoll vom Ministerkomitee des Europarats angenommen. Es soll im Mai 2022 zur Unterzeichnung aufgelegt werden. Änderungen des Protokolls können deshalb nur von einer Vertragspartei des Protokolls vorgeschlagen und vom Ministerkomitee angenommen werden. Nach dem Protokoll treten Änderungen nur in Kraft, wenn sie von sämtlichen Vertragsparteien angenommen werden ( 9 )

8. Die Europäische Union kann nicht Vertragspartei des Protokolls werden, da sowohl das Protokoll als auch das Übereinkommen über Computerkriminalität nur Staaten offensteht ( 10 )

9. Am 25. November 2021 nahm die Kommission auf Grundlage von Artikel 16, Artikel 82 Absatz 1 und Artikel 218 Absätze 5 und 6 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) zwei Vorschläge für Beschlüsse des Rates an ( 11 )

10. Laut den Vorschlägen ( 12 ) gehören die Bestimmungen des Protokolls zu einem Bereich, der weitgehend Gegenstand gemeinsamer Vorschriften im Sinne von Artikel 3 Absatz 2 AEUV ist. Mit diesen Vorschlägen will die Kommission zwei Beschlüsse des Rates erwirken, mit denen die Mitgliedstaaten ermächtigt werden, das Protokoll im Interesse der Europäischen Union zu unterzeichnen bzw. zu ratifizieren. Beiden Vorschlägen ist jeweils ein Anhang (im Folgenden „Anhang“) beigefügt, der an die Mitgliedstaaten gerichtete Anweisungen enthält hinsichtlich der Vorbehalte, Erklärungen, Notifikationen oder Mitteilungen und sonstigen Erwägungen, die bei der Unterzeichnung und Ratifizierung des Protokolls im Interesse der Europäischen Union vorzulegen sind. Dem Vorschlag bezüglich der Ratifizierung ist auch der Text des Protokolls im Anhang beigefügt.

11. Damit die Vereinbarung, falls der Rat die Mitgliedstaaten zu deren Unterzeichnung im Interesse der Union zu ermächtigen beschließt, abgeschlossen werden kann, sollte der Rat einen Beschluss annehmen, der die Mitgliedstaaten ermächtigt, die Vereinbarung im Interesse der Union zu ratifizieren, nachdem die Zustimmung des Europäischen Parlaments eingeholt wurde. Das Protokoll tritt am ersten Tag des Monats in Kraft, der auf einen Zeitabschnitt von drei Monaten nach dem Tag folgt, an dem fünf Vertragsparteien des Übereinkommens nach Artikel 16 Absätze 1 und 2 ihre Zustimmung ausgedrückt haben, durch dieses Protokoll gebunden zu sein ( 13 )

12. Der EDSB ist nach der Annahme der beiden Vorschläge von der Europäischen Kommission gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 ( 14 ) konsultiert worden. Auf diese Stellungnahme wird in den Erwägungsgründen 12 und 13 der Vorschläge bezüglich der Ratifizierung bzw. Unterzeichnung des Protokolls Bezug genommen. Der EDSB wünscht hervorzuheben, dass die vorliegende Stellungnahme unbeschadet etwaiger zusätzlicher Anmerkungen ergeht, die der EDSB auf der Grundlage weiterer, künftig verfügbarer Informationen abgeben kann.

7. SCHLUSSFOLGERUNGEN

129. Angesichts der starken Zunahme der Computerkriminalität und der zunehmenden Bedeutung elektronischen Beweismaterials für strafrechtliche Ermittlungen und im Hinblick auf die Komplexität der Einholung solchen Beweismaterials, wenn sich dieses nicht im Zuständigkeitsbereich des Mitgliedstaats befindet, hat der EDSB Verständnis dafür, dass es für die Strafverfolgungsbehörden zur Sicherstellung der wirksamen Kriminalitätsbekämpfung notwendig ist, elektronisches Beweismaterial schnell und wirksam einholen zu können.

130. Der EDSB spricht sich deshalb für ein internationales Vorgehen aus, das geeignete Garantien bezüglich der in diesem Zusammenhang bestehenden Problempunkte vorsieht.

131. Das Protokoll zielt darauf ab, sowohl die traditionellen Wege der Zusammenarbeit zu verbessern als auch die direkte Zusammenarbeit zwischen Strafverfolgungsbehörden und Dienstleistern im grenzüberschreitenden Kontext zu ermöglichen. Seine Bestimmungen sehen keinen direkten Zugang der Strafverfolgungsbehörden zu Daten vor, was der EDSB begrüßt.

132. Der EDSB erkennt an, dass es nicht möglich ist, die Terminologie und Definitionen des Unionsrechts in einer mehrseitigen internationalen Übereinkunft vollständig zu replizieren, betont jedoch, dass angemessene Datenschutzgarantien für natürliche Personen sichergestellt sein müssen, um dem Unionsrecht in vollem Umfang zu genügen.

133. Der EDSB hat sich davon überzeugt, dass das Protokoll einen eigenen Artikel über den Schutz personenbezogener Daten enthält. Des Weiteren nimmt er die zahlreichen Garantien, die in das Protokoll aufgenommen wurden, positiv zur Kenntnis.

134. Der EDSB versteht die Lage so, dass feststeht, dass auf Übermittlungen aus der EU in die Vereinigten Staaten von Amerika, die im Rahmen der im Protokoll enthaltenen Vorschriften über die behördliche Zusammenarbeit erfolgen, das Rahmenabkommen Anwendung fände. Der EDSB bedauert dies.

135. Für den Fall, dass ein Beschluss des Rates angenommen werden sollte, der die Mitgliedstaaten ermächtigt, das Protokoll im Interesse der Union zu unterzeichnen und zu ratifizieren, begrüßt der EDSB die Vorschläge der Kommission, dass die Mitgliedstaaten im Interesse der Union die Erklärung, Notifikation und Mitteilung gemäß Artikel 7 Absätze 2 Buchstabe b sowie Artikel 5 Buchstaben a und e des Protokolls abgeben. Diese Vorschläge stellen sicher, dass Diensteanbieter in der Union nur um die Übermittlung personenbezogener Daten ersucht werden können, wenn das Ersuchen auf einer Anordnung beruht, die im ersuchenden Drittland, das Vertragspartei des Protokolls ist, durch eine Staatsanwältin beziehungsweise durch einen Staatsanwalt oder eine andere Justizbehörde oder unter staatsanwaltlicher Aufsicht oder unter Aufsicht einer anderen Justizbehörde oder anderweitig unter unabhängiger Aufsicht erlassen wurde.

136. Er begrüßt es auch, dass den Mitgliedstaaten vorgeschlagen wird, die Erklärung gemäß Artikel 8 Absatz 4 des Protokolls (über die Zusammenarbeit zuständiger Behörden zur Erfüllung von Herausgabeanordnungen in Bezug auf Bestandsdaten und Verkehrsdaten) abzugeben, um sicherzustellen, dass für die Erfüllung einer Anordnung nach dieser Vorschrift zusätzliche begleitende Angaben erforderlich sind.

137. Darüber hinaus gibt der EDSB für den Fall, dass das Protokoll von den Mitgliedstaaten im Interesse der Union unterzeichnet und ratifiziert werden sollte, folgende Empfehlungen für künftige Beschlüsse des Rates: — Gewisse Daten, die unter die Kategorie „Bestandsdaten“ im Sinne des Übereinkommens über Computerkriminalität fallen, gelten nach Unionsrecht unter Umständen als Verkehrsdaten, bei denen ein schwerer Eingriff in die Grundrechte des Betroffenen gegeben sein kann, weshalb der Zugang zu diesen Daten nur zur Bekämpfung von schwerer Kriminalität gerechtfertigt sein kann. Der EDSB empfiehlt den Mitgliedstaaten deshalb, sich – entgegen den Vorschlägen der Kommission – das Recht auf Nichtanwendung von Artikel 7 des Protokolls vorzubehalten, der in Artikel 7 Absatz 9 Buchstabe b für bestimmte Arten von Zugangsnummern die direkte Weitergabe von Bestandsdaten von Diensteanbietern an zuständige Behörden eines anderen Landes vorsieht. — Die Mitgliedstaaten sollten gemäß Artikel 7 Absatz 5 Buchstabe e des Protokolls eine Justiz- oder sonstigen unabhängige Behörde benennen. — Die vorgeschlagene Mitteilung, die die Mitgliedstaaten bei Unterzeichnung oder bei Hinterlegung der Ratifikations-, Annahme- oder Genehmigungsurkunde an die Behörden der Vereinigten Staaten bezüglich des Rahmenabkommens zwischen der EU und den USA übermitteln, sollte klarer formuliert werden. — Die vorgeschlagene Erwägung in Bezug auf sonstige Vereinbarungen oder Verträge gemäß Artikel 14 Absatz 1 Buchstabe c des Protokolls, die die Datenschutzbestimmung des Protokolls (Artikel 14) ersetzen könnten, sollte abgeändert werden.

138. Abschließend hebt der EDSB hervor, dass es einer Staatsanwaltschaft eines Mitgliedstaats und somit auch der EUStA nur dann möglich sein sollte, eine Anordnung zu erlassen oder Daten auf Anordnung einer anderen Vertragspartei gemäß Artikel 8 zu übermitteln, wenn sichergestellt ist, dass die betreffende Anordnung der Überprüfung durch eine Justizbehörde oder eine unabhängige Stelle im Sinne der Rechtsprechung des EuGH unterliegt.

139. Der EDSB steht der Kommission, dem Rat und dem Europäischen Parlament in den weiteren Phasen dieses Verfahrens weiterhin beratend zur Verfügung. Diese Stellungnahme lässt etwaige zusätzliche Anmerkungen, die der EDSB auf der Grundlage weiterer, in Zukunft verfügbarer Informationen abgeben könnte, unberührt.

Brüssel, den 20. Januar 2022 Wojciech Rafał WIEWIÓROWSKI

(1) https://rm.coe.int/t-cy-terms-of-reference-protocol/1680a03690

(2) Empfehlung für einen Beschluss des Rates zur Genehmigung der Teilnahme an Verhandlungen über ein Zweites Zusatzprotokoll zum Übereinkommen des Europarats über Computerkriminalität (SEV Nr. 185), COM(2019) 71 final.

(3) https://rm.coe.int/1680a49dab (vom Ministerkomitee genehmigte vorläufige Fassung).

(4) https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=0900001680081561

(5) Stellungnahme 3/2019 des EDSB vom 2. April 2019 zu der Teilnahme an den Verhandlungen mit Blick auf ein Zweites Zusatzprotokoll zum Budapester Übereinkommen über Computerkriminalität.

(6) Beschluss des Rates vom 6. Juni 2019 zur Genehmigung der Teilnahme der Europäischen Kommission an Verhandlungen über ein Zweites Zusatzprotokoll zum Übereinkommen des Europarats über Computerkriminalität (SEV Nr. 185).

(7) „EDPB contribution to the consultation on a draft second additional protocol to the Council of Europe Convention on Cybercrime (Budapest Convention) of 13. November 2019“; „Stellungnahme 02/2021 zum neuen Entwurf von Bestimmungen des Zweiten Zusatzprotokolls zum Übereinkommen des Europarats über Computerkriminalität (Budapester Übereinkommen), angenommen am 2. Februar 2021“; „EDPB contribution to the 6th round of consultations on the draft Second Additional Protocol to the Council of Europe Budapest Convention on Cybercrime“ vom 4. Mai 2021.

(8) Entschließung des Europäischen Parlaments vom 10. Juni 2021 zu der Cybersicherheitsstrategie der EU für die digitale Dekade.

(9) Artikel 21 des Protokolls.

(10) Erwägungsgrund 10 der Vorschläge für einen Beschluss des Rates zur Ermächtigung der Mitgliedstaaten, im Interesse der Europäischen Union das Zweite Zusatzprotokoll zum Übereinkommen über Computerkriminalität über eine verstärkte Zusammenarbeit und die Weitergabe elektronischen Beweismaterials zu unterzeichnen bzw. zu ratifizieren.

(11) Vorschlag für einen Beschluss des Rates zur Ermächtigung der Mitgliedstaaten, im Interesse der Europäischen Union das Zweite Zusatzprotokoll zum Übereinkommen über Computerkriminalität über eine verstärkte Zusammenarbeit und die Weitergabe elektronischen Beweismaterials zu unterzeichnen (COM(2021)718 final).

Vorschlag für einen Beschluss des Rates zur Ermächtigung der Mitgliedstaaten, im Interesse der Europäischen Union das Zweite Zusatzprotokoll zum Übereinkommen über Computerkriminalität über eine verstärkte Zusammenarbeit und die Weitergabe elektronischen Beweismaterials zu ratifizieren (COM(2021)719 final).

Aus den Erwägungsgründen 14 und 15 des Vorschlags bezüglich der Unterzeichnung und den Erwägungsgründen 13 und 14 des Vorschlags bezüglich der Ratifizierung geht hervor, dass Irland die Option hat, sich an der Annahme und Anwendung des Beschlusses zu beteiligen, und dass sich Dänemark nicht an der Annahme dieses Beschlusses beteiligt, der daher weder für Dänemark bindend noch Dänemark gegenüber anwendbar ist.

(12) Erwägungsgrund 3 des Vorschlags.

(13) Artikel 16 Absatz 1: „… [die Vertragsparteien] können ihre Zustimmung, gebunden zu sein, ausdrücken,

a. indem sie es ohne Vorbehalt der Ratifikation, Annahme oder Genehmigung unterzeichnen oder

b. indem sie es vorbehaltlich der Ratifikation, Annahme oder Genehmigung unterzeichnen und später ratifizieren, annehmen oder genehmigen“.

2. Die Ratifikations-, Annahme- oder Genehmigungsurkunden werden bei der Generalsekretärin beziehungsweise dem Generalsekretär des Europarats hinterlegt.

(14) ABl. L 295 vom 21.11.2018, S. 39.