P7_TA(2014)0219

Verarbeitung personenbezogener Daten zum Zwecke der Verhütung von Straftaten ***I

Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr (COM(2012)0010 — C7-0024/2012 — 2012/0010(COD))

(Ordentliches Gesetzgebungsverfahren: erste Lesung)

(2017/C 378/59)

Das Europäische Parlament,

in Kenntnis des Vorschlags der Kommission an das Europäische Parlament und den Rat (COM(2012)0010),

in Kenntnis der vom deutschen Bundesrat und vom schwedischen Reichstag im Rahmen des Protokolls Nr. 2 über die Anwendung der Grundsätze der Subsidiarität und der Verhältnismäßigkeit vorgelegten begründeten Stellungnahmen, in denen geltend gemacht wird, dass der Entwurf eines Gesetzgebungsakts nicht mit dem Subsidiaritätsprinzip vereinbar ist,

(1) ABl. C 192 vom 30.6.2012, S. 7.

P7_TC1-COD(2012)0010

Standpunkt des Europäischen Parlaments festgelegt in erster Lesung am 12. März 2014 im Hinblick auf den Erlass der Richtlinie 2014/…/EU des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr

DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION –

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16 Absatz 2,

auf Vorschlag der Europäischen Kommission,

nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente,

nach Stellungnahme des Europäischen Datenschutzbeauftragten, (1)

gemäß dem ordentlichen Gesetzgebungsverfahren (2),

in Erwägung nachstehender Gründe:

(1) Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union („Charta“) und Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union besagen, dass jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Artikel 8 Absatz 2 der Charta schreibt vor, dass personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. [Abänd. 1]

(2) Die Verarbeitung personenbezogener Daten steht im Dienste des Menschen; die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten daher gewährleisten, dass ungeachtet der Staatsangehörigkeit oder des Aufenthaltsorts der betreffenden Person deren Grundrechte und Grundfreiheiten und insbesondere deren Anspruch auf Schutz personenbezogener Daten gewahrt bleiben. Die Datenverarbeitung sollte zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts beitragen.

(3) Der rasche technologische Fortschritt und die Globalisierung stellen den Datenschutz vor neue Herausforderungen. Datenerhebung und Datenaustausch haben massive Ausmaße angenommen. Die Technik macht es möglich, dass die zuständigen Behörden in einem noch nie dagewesenen Umfang auf personenbezogene Daten zurückgreifen.

(4) Dies setzt voraus, dass der Datenverkehr , soweit erforderlich und verhältnismäßig, zwischen den zuständigen Behörden innerhalb der Union sowie die Datenübermittlung an Drittländer und internationale Organisationen erleichtert werden und dabei gleichzeitig ein hohes Maß an Datenschutz gewährleistet wird. Hierzu bedarf es solider und stärker aufeinander abgestimmter Datenschutzbestimmungen in der Union, die konsequent durchgesetzt werden. [Abänd. 2]

(5) Richtlinie 95/46/EG des Europäischen Parlaments und des Rates (3) gilt für jegliche Verarbeitung personenbezogener Daten in den Mitgliedstaaten sowohl im öffentlichen als auch im privaten Bereich. Ausgenommen ist jedoch die „Verarbeitung personenbezogener Daten, die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen“, beispielsweise im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit.

(6) Für den Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit gilt der Rahmenbeschluss 2008/977/JI des Rates (4). Der Anwendungsbereich dieses Rahmenbeschlusses beschränkt sich auf die Verarbeitung personenbezogener Daten, die zwischen Mitgliedstaaten weitergegeben oder bereitgestellt werden.

(7) Für den Zweck der wirksamen justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit ist es entscheidend, einen durchweg hohen Schutz der personenbezogenen Daten natürlicher Personen zu gewährleisten und den Austausch personenbezogener Daten zwischen den zuständigen Behörden der Mitgliedstaaten zu erleichtern. Im Hinblick darauf muss dafür gesorgt werden, dass die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung in allen Mitgliedstaaten gleichermaßen geschützt werden. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit kohärent und einheitlich angewandt werden. Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert nicht nur eine Stärkung der Rechte der betroffenen Personen und eine Verschärfung der Auflagen für diejenigen, die personenbezogene Daten verarbeiten, sondern auch gleiche Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten. [Abänd. 3]

(8) Artikel 16 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union sieht den Erlass von Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und über den freien Verkehr solcher ihrer Daten durch das Europäische Parlament und den Rat vor. [Abänd. 4]

(9) Auf dieser Grundlage sind in der Verordnung EU Nr. …/2014 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) allgemeine Bestimmungen für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr personenbezogener Daten in der Union niedergelegt.

(10) In der Erklärung Nr. 21 zum Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit im Anhang zur Schlussakte der Regierungskonferenz, die den Vertrag von Lissabon annahm, erkannte die Regierungskonferenz an, dass es sich aufgrund des spezifischen Charakters dieser Bereiche als erforderlich erweisen könnte, auf Artikel 16 des Vertrags über die Arbeitsweise der Europäischen Union gestützte Vorschriften über den Schutz personenbezogener Daten und den freien Datenverkehr zu erlassen.

(11) Daher sollte eine spezifische Richtlinie verabschiedet werden, die den Besonderheiten dieses Bereichs Rechnung trägt und Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung enthält. [Abänd. 5]

(12) Um zu gewährleisten, dass jeder in der Union auf der Grundlage unionsweit durchsetzbarer Rechte das gleiche Maß an Schutz genießt und Unterschiede, die den Austausch personenbezogener Daten zwischen den zuständigen Behörden behindern könnten, beseitigt werden, sollte die Richtlinie harmonisierte Vorschriften für den Schutz personenbezogener Daten und den freien Datenverkehr im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit festlegen.

(13) Diese Richtlinie erlaubt bei der Anwendung ihrer Bestimmungen die Berücksichtigung des Grundsatzes des Zugangs der Öffentlichkeit zu amtlichen Dokumenten.

(14) Der durch diese Richtlinie gewährte Schutz sollte für die Verarbeitung personenbezogener Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gelten.

(15) Der Schutz natürlicher Personen sollte technologieneutral sein und nicht von den verwendeten Verfahren abhängen, da andernfalls ein ernsthaftes Risiko einer Umgehung der Vorschriften bestünde. Er sollte für die automatisierte Verarbeitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung solcher Daten, wenn diese in einem Ablagesystem gespeichert sind oder gespeichert werden sollen. Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollten vom Anwendungsbereich der Richtlinie ausgenommen werden. Diese Richtlinie sollte nicht für die Verarbeitung von personenbezogenen Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, insbesondere im Bereich der nationalen Sicherheit, oder für Daten gelten, die von den Organen, gelten. Die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates (5) und spezielle für die Agenturen, Einrichtungen, Ämtern und Agenturen oder Ämter der Europäischen Union verarbeitet geltende Rechtsinstrumente sollten mit dieser Verordnung in Einklang gebracht und im Einklang mit dieser Verordnung angewendet werden. [Abänd. 6]

(16) Die Schutzprinzipien sollten für alle Informationen gelten, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Um festzustellen, ob eine natürliche Person bestimmbar ist, sind alle Mittel zu berücksichtigen, die von dem für die Verarbeitung Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen zur Identifizierung oder zum Herausgreifen der Person genutzt werden dürften. Die Grundsätze des Datenschutzes sollten nicht für Daten gelten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht mehr identifiziert werden kann. Diese Richtlinie sollte keine Anwendung finden auf anonyme Daten, d. h. Daten, die unmittelbar oder mittelbar, allein oder in Kombination mit zugehörigen Daten keiner natürlichen Person zugeordnet werden können. In Anbetracht der Bedeutung der Entwicklungen, die im Rahmen der Informationsgesellschaft stattfinden, und in Anbetracht der zur Erfassung, Übertragung, Modifikation, Aufzeichnung, Speicherung oder Kommunikation von Standortdaten von natürlichen Personen verwendeten Methoden, die zu unterschiedlichen Zwecken, etwa zur Überwachung oder zur Erstellung von Profilen, eingesetzt werden können, sollte diese Richtlinie Verfahren zur Verarbeitung solcher personenbezogener Daten abdecken. [Abänd. 7]

(16a) Jede Verarbeitung personenbezogener Daten muss nach Recht und Gesetz sowie nach Treu und Glauben und in transparenter Form gegenüber den betroffenen Personen erfolgen. Insbesondere sollten die besonderen Zwecke, zu denen die Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Erfassung der personenbezogenen Daten feststehen. Die erfassten personenbezogenen Daten sollten dem Zweck angemessen und sachlich relevant sowie auf das für die Zwecke der Verarbeitung der personenbezogenen Daten notwendige Minimum beschränkt sein. Zu diesem Zweck ist es insbesondere notwendig, die gesammelte Datenmenge sowie den Zeitraum der Datenspeicherung auf ein erforderliches Mindestmaß zu begrenzen. Personenbezogene Daten sollten nur verarbeitet werden, wenn der Zweck der Verarbeitung nicht durch andere Mittel erreicht werden kann. Es sollten alle vertretbaren Schritte unternommen werden, damit unzutreffende oder unvollständige personenbezogene Daten berichtigt oder gelöscht werden. Um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden, sollte der für die Verarbeitung Verantwortliche Fristen für deren Löschung oder regelmäßige Überprüfung vorsehen. [Abänd. 8]

(17) Zu den personenbezogenen Gesundheitsdaten sollten alle Daten gezählt werden, die sich auf den Gesundheitszustand einer betroffenen Person beziehen, außerdem Informationen über die Vormerkung der betreffenden Person zur Erbringung medizinischer Leistungen, Angaben über Zahlungen oder die Berechtigung zum Empfang medizinischer Dienstleistungen, Nummern, Symbole oder Kennzeichen, die einer bestimmten Person zugeteilt wurden, um diese für medizinische Zwecke eindeutig zu identifizieren, jede Art von Informationen über die betreffende Person, die im Rahmen der Erbringung von medizinischen Dienstleistungen erhoben wurden, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, darunter biologischer Proben, abgeleitet wurden, die Identifizierung einer Person als Erbringer einer Gesundheitsleistung für die betroffene Person sowie Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, gleich, ob sie von einem Arzt oder sonstigem medizinischen Personal, einem Krankenhaus, einem medizinischen Gerät oder einem In-Vitro-Diagnose-Test stammen.

(18) Jede Verarbeitung personenbezogener Daten sollte gegenüber den betroffenen Personen nach Treu und Glauben sowie nach Recht und Gesetz erfolgen. Vor allem sollten die jeweiligen Zwecke der Datenverarbeitung eindeutig festgelegt sein. [Abänd. 9]

(19) Zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten müssen die zuständigen Behörden personenbezogene Daten, die im Zusammenhang mit der Verhütung, Aufdeckung, Untersuchung oder Verfolgung einer bestimmten Straftat erhoben wurden, auch speichern und in einem anderen Kontext verarbeiten können, um sich ein Bild der kriminellen Erscheinungen und Trends machen, Erkenntnisse über Netzwerke der organisierten Kriminalität sammeln und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können. [Abänd. 10]

(20) Personenbezogene Daten sollten nur für Zwecke verarbeitet werden, die mit dem Zweck ihrer Erhebung vereinbar sind. Personenbezogene Daten sollten dem Zweck angemessen und sachlich relevant sowie im Verhältnis zu den Zwecken der Datenverarbeitung nicht exzessiv sein. Es sollten alle vertretbaren Schritte unternommen werden, damit unrichtige oder unvollständige personenbezogene Daten berichtigt oder gelöscht werden. [Abänd. 11]

(20a) Die bloße Tatsache, dass sich zwei Zwecke auf die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder die Strafvollstreckung beziehen, muss nicht unbedingt bedeuten, dass diese miteinander vereinbar sind. Allerdings gibt es Fälle, in denen die Weiterverarbeitung zu unvereinbaren Zwecken gegebenenfalls möglich sein sollte, wenn dies zur Erfüllung einer gesetzlichen Verpflichtung des für die Verarbeitung Verantwortlichen, zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person oder zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentliche Sicherheit erforderlich ist. Die Mitgliedstaaten sollten daher in der Lage sein, einzelstaatliche Rechtsvorschriften zu erlassen, in denen solche Ausnahmen im strikt notwendigen Umfang vorgesehen sind. Diese einzelstaatlichen Rechtsvorschriften sollten angemessene Garantien enthalten. [Abänd. 12]

(21) Der Grundsatz der sachlichen Richtigkeit der Daten sollte unter Berücksichtigung von Art und Zweck der jeweiligen Verarbeitung angewandt werden. Aussagen, die personenbezogene Daten enthalten, basieren gerade in Gerichtsverfahren auf der subjektiven Wahrnehmung von Personen und sind nicht immer nachprüfbar. Infolgedessen sollte sich der Grundsatz der sachlichen Richtigkeit nicht auf die Richtigkeit einer Aussage beziehen, sondern lediglich auf die Tatsache, dass eine bestimmte Aussage gemacht worden ist.

(22) Bei der Auslegung und Anwendung der allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sollte den Besonderheiten dieses Bereichs und dessen spezifischen Zielen Rechnung getragen werden. [Abänd. 13]

(23) Bei der Verarbeitung personenbezogener Daten im Rahmen der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit geht es naturgemäß um betroffene Personen verschiedener Kategorien. Daher sollte so weit wie möglich klar zwischen den personenbezogenen Daten der einzelnen Kategorien betroffener Personen unterschieden werden wie Verdächtigte, verurteilte Straftäter, Opfer und Dritte, beispielsweise Zeugen, Personen, die über einschlägige Informationen verfügen, oder Personen, die mit Verdächtigten oder verurteilten Straftätern in Kontakt oder in Verbindung stehen. Die Mitgliedstaaten sollten spezielle Regelungen über die Auswirkungen dieser Einteilung in Kategorien festlegen und dabei die unterschiedlichen Zwecke, zu denen Daten erhoben werden, berücksichtigen und spezifische Garantien im Hinblick auf Personen, die nicht verurteilte Straftäter sind oder gegen die kein Straftatverdacht vorliegt, vorsehen. [Abänd. 14]

(24) Die personenbezogenen Daten sollten so weit wie möglich nach ihrer Richtigkeit und Zuverlässigkeit unterschieden werden. Fakten sollten von persönlichen Einschätzungen unterschieden werden, um den Schutz des Betroffenen und gleichzeitig auch die Qualität und Zuverlässigkeit der von den zuständigen Behörden verarbeiteten Informationen zu gewährleisten.

(25) Die Verarbeitung personenbezogener Daten sollte nur dann als rechtmäßig gelten und zulässig sein , wenn sie zur Erfüllung einer gesetzlichen Verpflichtung des für die Verarbeitung Verantwortlichen, oder zur Wahrnehmung einer Aufgabe, die eine zuständige Behörde im öffentlichen Interesse aufgrund des Gesetzes oder zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person ausführt, oder zur Abwehr einer unmittelbaren und ernsthaften Gefahr von Unionsrecht oder mitgliedstaatlichem Recht erforderlich ist, das eindeutige und detaillierte Bestimmungen mindestens im Hinblick auf die Ziele, die personenbezogenen Daten und die besonderen Zwecke und Mittel enthalten sowie den für die öffentliche Sicherheit erforderlich ist Verarbeitung Verantwortlichen, die einzuhaltenden Verfahren, die Anwendung und Grenzen des Ermessensspielraums der zuständigen Behörden hinsichtlich der Verarbeitungstätigkeit bestimmen sollte . [Abänd. 15]

(25a) Personenbezogene Daten sollten nur für Zwecke verarbeitet werden, die mit dem Zweck ihrer Erhebung vereinbar sind. Die weitere Verarbeitung durch die zuständigen Behörden zu einem Zweck, der in den Geltungsbereich dieser Richtlinie fällt und der nicht mit dem ursprünglichen Zweck der Erhebung vereinbar ist, sollte nur in bestimmten Fällen, in denen die Verarbeitung für die Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der für die Verarbeitung Verantwortliche unterliegt und die auf Unionsrecht oder mitgliedstaatlichem Recht basiert, oder zur Wahrung wesentlicher Interessen der betroffenen Personen oder einer anderen Person oder zur Abwehr einer unmittelbaren oder ernsthaften Gefahr für die öffentliche Sicherheit genehmigt werden. Die Tatsache, dass Daten zu Strafverfolgungszwecken verarbeitet werden, bedeutet nicht zwangsläufig, dass diese Zwecke mit dem ursprünglichen Zweck ihrer Erhebung vereinbar sind. Das Konzept der Vereinbarkeit der Nutzung ist restriktiv auszulegen. [Abänd. 16]

(25b) Die Verarbeitung personenbezogener Daten unter Verstoß gegen einzelstaatliche Bestimmungen, die nach Maßgabe dieser Richtlinie erlassen wurden, sollte eingestellt werden. [Abänd. 17]

(26) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte besonders sensibel und anfällig für eine Verletzung von Grundrechten oder der Privatsphäre besonders sensibel sind, wie zum Beispiel genetische Daten, bedürfen eines besonderen Schutzes. Solche Daten sollten nur dann verarbeitet werden, wenn die Verarbeitung durch eine Rechtsvorschrift, die geeignete konkret erforderlich ist, um auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene Garantien für die rechtmäßigen Interessen zur Wahrung der Grundrechte und berechtigten der betroffenen Person enthält, ausdrücklich erlaubt ist, vorsieht , eine im öffentlichen Interesse liegende Aufgabe zu erfüllen, oder die Verarbeitung zur Wahrung lebenswichtiger wesentlicher Interessen der betroffenen Person oder die Verarbeitung einer anderen Person erforderlich ist oder sich auf Daten bezieht, die die betroffene Person offenkundig öffentlich gemacht hat , bezieht . Sensible personenbezogene Daten sollten nur verarbeitet werden, wenn sie andere bereits für Strafverfolgungszwecke verarbeitete personenbezogene Daten ergänzen. Jede Ausnahme des Verbots der Verarbeitung sensibler Daten sollte restriktiv ausgelegt werden und nicht zu wiederkehrender, umfassender und struktureller Verarbeitung personenbezogener Daten führen . [Abänd. 18]

(26a) Die Verarbeitung genetischer Daten sollte nur erlaubt sein, wenn im Verlauf einer strafrechtlichen Ermittlungen oder eines Gerichtsverfahrens eine genetische Verbindung auftritt. Genetische Daten sollten zum Zwecke solcher Ermittlungen und Verfahren nur so lange wie unbedingt nötig gespeichert werden, wobei die Mitgliedstaaten aber eine längere Speicherfrist gemäß den in dieser Richtlinie enthaltenden Bedingungen vorsehen können. [Abänd. 19]

(27) Eine natürliche Person sollte das Recht haben, keiner Maßnahme unterworfen zu werden, die allein auf automatischer teilweise oder vollständig auf Profiling im Wege der automatischen Datenverarbeitung basiert, wenn dadurch eine nachteilige Rechtsfolge für die betroffene . Die Verarbeitung , die gegenüber dieser Person entsteht rechtliche Wirkungen entfaltet oder sie in maßgeblicher Weise beeinträchtigt , sollte verboten sein , es sei denn, sie ist gesetzlich erlaubt und mit geeigneten Garantien für die rechtmäßigen Grundrechte und berechtigten Interessen der betroffenen Person einschließlich des Rechts auf Bereitstellung aussagekräftiger Angaben über die dem Profiling zugrunde liegende Methode verbunden. Eine solche Datenverarbeitung sollte unter keinen Umständen spezielle Datenkategorien enthalten oder erzeugen oder auf deren Grundlage diskriminieren. [Abänd. 20]

(28) Damit die betroffene Person ihre Rechte wahrnehmen kann, sollten die Informationen für sie leicht zugänglich und verständlich, also unter anderem klar und einfach abgefasst sein. Diese Informationen sollten auf die Bedürfnisse der betroffenen Person angepasst sein, insbesondere wenn die Informationen spezifisch an Kinder gerichtet sind. [Abänd. 21]

(29) Es gilt, die Modalitäten festzulegen, die es einer betroffenen Person ermöglichen, die ihr durch diese Richtlinie gewährten Rechte wahrzunehmen, etwa dafür, wie sie kostenfrei Auskunft über die Daten erlangen oder deren Berichtigung oder Löschung fordern kann. Der für die Verarbeitung Verantwortliche sollte verpflichtet werden, ohne unangemessene Verzögerung unverzüglich und innerhalb eines Monats nach Eingang des Antrags auf das Ansuchen Ersuchen der betroffenen Person zu antworten. Im Falle der automatischen Verarbeitung personenbezogener Daten sollte der für die Verarbeitung Verantwortliche dafür sorgen, dass die Maßnahme elektronisch beantragt werden kann. [Abänd. 22]

(30) Der Grundsatz von Treu und Glauben sowie Transparenz bei der Verarbeitung verlangt, dass die betroffene Person insbesondere über die Existenz des Verarbeitungsvorgangs und seine Zwecke, seine Rechtsgrundlage, die Speicherfrist, das Recht auf Auskunft sowie das Recht auf Berichtigung und Löschung der Daten und das Beschwerderecht informiert wird. Darüber hinaus sollte die betroffene Person über ein eventuell erfolgendes Profiling und dessen beabsichtigte Wirkungen informiert werden. Werden die Daten bei der betroffenen Person erhoben, sollte dieser darüber hinaus mitgeteilt werden, ob sie verpflichtet ist, die Daten bereitzustellen, und welche Folgen die Verweigerung der Daten hat. [Abänd. 23]

(31) Die Unterrichtung einer betroffenen Person darüber, dass sie betreffende personenbezogene Daten verarbeitet werden, sollte zum Zeitpunkt der Erhebung erfolgen oder, falls die Daten nicht bei der betroffenen Person erhoben werden, zum Zeitpunkt der Erfassung oder innerhalb einer angemessenen Frist nach der Erhebung unter Berücksichtigung der jeweiligen Umstände der Verarbeitung.

(32) Jede Person sollte ein Auskunftsrecht hinsichtlich der Daten, die bei ihr erhoben worden sind, haben und dieses Recht problemlos wahrnehmen können, um sich von der Rechtmäßigkeit ihrer Verarbeitung überzeugen zu können. Jede betroffene Person sollte daher ein Anrecht Recht darauf haben zu wissen und zu erfahren, zu welchen Zwecken die Daten verarbeitet werden, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden und wer die Empfänger der Daten sind, auch wenn es sich um Empfänger in Drittländern handelt , sowie auf verständliche Informationen über die Logik einer automatisierten Datenverarbeitung, gegebenenfalls die wesentlichen und angestrebten Auswirkungen und ein Beschwerderecht bei der Aufsichtsbehörde sowie deren Kontaktdaten . Die betroffenen Personen sollten eine Kopie ihrer personenbezogenen Daten, die einer Verarbeitung unterzogen werden, erhalten können. [Abänd. 24]

(33) Den Mitgliedstaaten sollte gestattet sein, Rechtsvorschriften zu erlassen, mit denen die Information der betroffenen Person oder die Auskunft über ihre personenbezogenen Daten in einem solchen Umfang und so lange zeitweilig oder dauerhaft zurückgestellt oder eingeschränkt wird, wie diese teilweise oder vollständige Einschränkung dieser Rechte in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist und sofern den Grundrechten sowie den berechtigten Interessen der betroffenen Person Rechnung getragen wurde, wenn dadurch gewährleistet wird, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen und Verfahren nicht behindert, die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder die Strafvollstreckung nicht gefährdet, die öffentliche und die nationale Sicherheit oder die betroffene Person oder die Rechte und Freiheiten anderer geschützt werden. Der für die Verarbeitung Verantwortliche sollte durch eine konkrete und individuelle Untersuchung in jedem Einzelfall entscheiden, ob eine teilweise oder vollständige Einschränkung des Rechts auf Informationszugang gilt. [Abänd. 25]

(34) Eine Verweigerung oder Einschränkung der Auskunft sollte der betroffenen Person unter Angabe der sachlichen oder rechtlichen Gründe hierfür schriftlich mitgeteilt werden.

(34a) Jede Einschränkung der Rechte der betroffenen Person muss mit der Charta der Grundrechte der Europäischen Union und mit der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten, präzisiert durch die Rechtsprechung des Europäischen Gerichtshofs und des Europäischen Gerichtshofs für Menschenrechte, vereinbar sein, und insbesondere den Wesensgehalt dieser Rechte und Freiheiten achten. [Abänd. 26]

(35) Erlassen Mitgliedstaaten Rechtsvorschriften, mit denen das Auskunftsrecht vollständig oder teilweise eingeschränkt wird, sollte die betroffene Person die zuständige nationale Aufsichtsbehörde ersuchen können, die Rechtmäßigkeit der Verarbeitung zu überprüfen. Die betroffene Person sollte über dieses Recht unterrichtet werden. Nimmt die Aufsichtsbehörde im Namen der betroffenen Person das Auskunftsrecht wahr, sollte sie die betroffene Person mindestens darüber informieren, ob sie alle erforderlichen Überprüfungen vorgenommen und was die Prüfung der Rechtmäßigkeit der fraglichen Verarbeitung erbracht hat. Die Aufsichtsbehörde sollte die betroffene Person zudem über ihr Recht auf Rechtsbehelf in Kenntnis setzen. [Abänd. 27]

(36) Jede Person sollte das Recht auf Berichtigung sie betreffender unrichtiger personenbezogener Daten sowie das Recht auf Löschung besitzen, wenn die Verarbeitung ihrer Daten unter Verstoß gegen die Grundprinzipien Bestimmungen dieser Richtlinie erfolgt. Diese Verbesserung, Vervollständigung oder Löschung sollte den Empfängern, denen die Daten übermittelt wurden, und den Dritten, von denen die falschen Daten stammten, mitgeteilt werden. Der für die Verarbeitung Verantwortliche sollte auch von jeglicher Weiterverbreitung dieser Daten Abstand nehmen. Werden personenbezogene Daten im Zusammenhang mit strafrechtlichen Ermittlungen oder einem Strafverfahren verarbeitet, erfolgen Berichtigung, Information, Auskunft, Löschung oder Einschränkung der Verarbeitung nach Maßgabe des einzelstaatlichen Strafprozessrechts. [Abänd. 28]

(37) Es sollten umfassende Bestimmungen über die Verantwortung und die Haftung des für die Verarbeitung Verantwortlichen für jedwede durch diesen oder in dessen Namen erfolgende Verarbeitung personenbezogener Daten festgelegt werden. Vor allem sollte der für die Verarbeitung Verantwortliche dafür Sorge tragen und verpflichtet sein , nachweisen zu können, , dass die jede Verarbeitung nach den nach Maßgabe dieser Richtlinie erlassenen Vorschriften erfolgt ist. [Abänd. 29]

(38) Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten der betroffenen Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen getroffen werden, damit die Anforderungen dieser Richtlinie erfüllt werden. Um zu gewährleisten, dass die nach Maßgabe dieser Richtlinie erlassenen Vorschriften erfüllt werden, sollte der für die Verarbeitung Verantwortliche Strategien festlegen und geeignete Maßnahmen ergreifen, die den Grundsätzen des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen entsprechen.

(39) Zum Schutz der Rechte und Freiheiten der betroffenen Personen sowie zur Klärung der Verantwortung und der Haftung der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter bedarf es einer klaren Zuteilung der Verantwortlichkeiten durch diese Richtlinie, insbesondere für Fälle, in denen ein für die Verarbeitung Verantwortlicher die Verarbeitungszwecke, -bedingungen und -mittel gemeinsam mit anderen für die Verarbeitung Verantwortlichen festlegt oder ein Verarbeitungsvorgang im Auftrag eines für die Verarbeitung Verantwortlichen durchgeführt wird. Die betroffene Person sollte das Recht haben, ihre Rechte gemäß dieser Richtlinie in Bezug auf und gegen jeden der gemeinsam für die Verarbeitung Verantwortlichen wahrzunehmen. [Abänd. 30]

(40) Verarbeitungsvorgänge sollten zur Kontrolle der Einhaltung der Richtlinie von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter dokumentiert werden. Jeder für die Verarbeitung Verantwortliche und jeder Auftragsverarbeiter sollte verpflichtet sein, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Anforderung seine dokumentarischen Unterlagen vorzulegen, damit die betreffenden Verarbeitungsvorgänge anhand dieser Unterlagen kontrolliert werden können.

(40a) Jede Verarbeitung personenbezogener Daten sollte zum Zwecke der Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung und der Sicherstellung der Integrität und Sicherheit der Daten aufgezeichnet werden. Diese Aufzeichnung sollte der Aufsichtsbehörde zum Zwecke der Überwachung der Einhaltung der in dieser Richtlinie enthaltenen Vorschriften auf Anforderung vorgelegt werden. [Abänd. 31]

(40b) Eine Datenschutz-Folgenabschätzung, die sich insbesondere mit den Maßnahmen, Garantien und Verfahren befasst, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der Bestimmungen dieser Richtlinie nachgewiesen werden sollen, sollte durch den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter durchgeführt werden, wenn Verarbeitungsvorgänge aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen können. Datenschutz-Folgenabschätzungen sollten im Hinblick auf Systeme und Verfahren im Rahmen von Verarbeitungsvorgängen für personenbezogene Daten durchgeführt werden, nicht jedoch in Einzelfällen. [Abänd. 32]

(41) Um einen wirksamen Schutz der Rechte und Freiheiten der betroffenen Personen durch Präventivmaßnahmen zu gewährleisten, sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter in bestimmten Fällen vor der Verarbeitung die Aufsichtsbehörde zu Rate ziehen. Darüber hinaus sollte die Aufsichtsbehörde dann, wenn Verarbeitungsvorgänge aller Wahrscheinlichkeit nach hohe konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen, in der Lage sein, risikobehaftete Verarbeitungsvorgänge, die nicht mit dieser Richtlinie vereinbar sind, noch vor Beginn des jeweiligen Vorgangs zu unterbinden und geeignete Vorschläge zu unterbreiten, wie solche Mängel beseitigt werden könnten. Eine solche Konsultation kann auch bei der Ausarbeitung einer gesetzgeberischen Maßnahme des einzelstaatlichen Parlaments oder einer darauf basierenden Maßnahme erfolgen, die die Art der Verarbeitung und geeignete Garantien festlegt. [Abänd. 33]

(41a) Zur Aufrechterhaltung der Sicherheit und zur Vorbeugung gegen eine gegen diese Verordnung verstoßende Verarbeitung sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken ermitteln und Maßnahmen zu deren Eindämmung ergreifen. Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der dabei anfallenden Kosten ein Schutzniveau gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden personenbezogenen Daten angemessen ist. Bei der Festlegung technischer Standards und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung sollte die technologische Neutralität gefördert werden. [Abänd. 34]

(42) Eine Verletzung des Schutzes personenbezogener Daten kann Schäden, beispielsweise eine Rufschädigung der betroffenen Person, hervorrufen, wenn nicht rechtzeitig und angemessen reagiert wird , zu beträchtlichen wirtschaftlichen Verlusten und sozialen Schäden für die betroffene Person, beispielsweise Identitätsbetrug, führen . Deshalb sollte der für die Verarbeitung Verantwortliche nach Bekanntwerden einer derartigen Verletzung die zuständige nationale Behörde unverzüglich in Kenntnis setzen. Natürliche Personen, deren personenbezogene Daten oder Privatsphäre durch eine Datenschutzverletzung beeinträchtigt werden könnten, sollten ohne unangemessene Verzögerung unverzüglich benachrichtigt werden, so dass sie die notwendigen Vorkehrungen treffen können. Die Auswirkungen einer solchen Verletzung sollten als für den Schutz der personenbezogenen Daten oder der Privatsphäre einer natürlichen Person nachteilig erachtet werden, wenn sie in Verbindung mit der Verarbeitung personenbezogener Daten zum Beispiel in Identitätsdiebstahl oder Betrug, einer körperlichen Schädigung, erheblichen Demütigung oder einer Rufschädigung bestehen können. Die Benachrichtigung sollte Informationen über die vom Betreiber nach der Verletzung ergriffenen Maßnahmen sowie Empfehlungen für die betroffenen Nutzer oder Personen enthalten. Benachrichtigungen an die betroffenen Personen sollten so früh wie möglich und in enger Zusammenarbeit mit der Aufsichtsbehörde sowie unter Beachtung der von ihr erstellten Leitlinien ergehen. [Abänd. 35]

(43) Bei der detaillierten Regelung des Formats und der Verfahren für die Meldung einer Verletzung des Schutzes personenbezogener Daten sollten die Umstände der Verletzung hinreichend berücksichtigt werden, beispielsweise ob personenbezogene Daten durch geeignete technische Schutzvorkehrungen geschützt waren, die die Wahrscheinlichkeit eines Missbrauchs wirksam verringern. Überdies sollten solche Regeln und Verfahren den berechtigten Interessen der zuständigen Behörden in Fällen Rechnung tragen, in denen die Untersuchung der Umstände der Verletzung durch ein frühzeitiges Bekanntwerden in unnötiger Weise behindert würde.

(44) Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter sollte eine Person benennen, die ihn dabei unterstützt, die Einhaltung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften zu überwachen. Mehrere Dienststellen der zuständigen und nachzuweisen . Handeln mehrere zuständige Behörden unter der Aufsicht einer zentralen Behörde können gemeinsam , sollte zumindest diese zentrale Behörde einen Datenschutzbeauftragten bestellen. Der Datenschutzbeauftragte muss seinen Auftrag und seine Aufgaben unabhängig und wirksam wahrnehmen können , was vor allem durch die Festlegung von Vorschriften zur Vermeidung von Interessenkonflikten mit anderen Aufgaben des Datenschutzbeauftragten sichergestellt werden soll . [Abänd. 36]

(45) Die Mitgliedstaaten sollten dafür sorgen, dass Daten nur dann in ein Drittland übermittelt werden, wenn dies diese spezifische Übermittlung für die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder für die Strafvollstreckung notwendig ist und es sich bei dem für die Verarbeitung Verantwortlichen in dem Drittland oder in der internationalen Organisation um eine zuständige Behörde im Sinne dieser Richtlinie handelt. Daten dürfen übermittelt werden, wenn die Kommission durch Beschluss festgestellt hat, dass das betreffende Drittland oder die betreffende internationale Organisation einen angemessenen Schutz bietet, oder wenn geeignete Garantien bestehen oder wenn geeignete Garantien im Rahmen eines rechtsverbindlichen Instruments bestehen . Daten, die an die zuständigen Behörden in Drittländern übermittelt werden, sollten nicht zu anderen Zwecken als denjenigen, zu denen sie übermittelt wurden, weiterverarbeitet werden . [Abänd. 37]

(45a) Die Datenweitergabe durch die zuständigen Behörden oder internationalen Organisationen, denen personenbezogene Daten übermittelt wurden, sollte nur dann erlaubt sein, wenn die Weitergabe zu demselben spezifischen Zweck wie die ursprüngliche Übermittlung notwendig ist und es sich bei dem zweiten Empfänger ebenfalls um eine zuständige öffentliche Behörde handelt. Weitergaben sollten nicht für allgemeine Strafverfolgungszwecke erlaubt sein. Die zuständige Behörde, die die ursprüngliche Übermittlung durchgeführt hat, sollte der Weitergabe zugestimmt haben. [Abänd. 38]

(46) Die Kommission kann mit Wirkung für die gesamte Union beschließen, dass bestimmte Drittländer, bestimmte Gebiete oder Verarbeitungssektoren eines Drittlands oder eine internationale Organisation einen angemessenen Datenschutz bieten und somit in Bezug auf die Drittländer und internationalen Organisationen, die für fähig gehalten werden, einen solchen Schutz zu bieten, für Rechtssicherheit und eine einheitliche Rechtsanwendung in der gesamten Union sorgen. In derartigen Fällen dürfen personenbezogene Daten ohne weitere Genehmigung in diese Länder übermittelt werden.

(47) In Übereinstimmung mit den Grundwerten der Union, insbesondere dem Schutz der Menschenrechte, sollte die Kommission bei der Bewertung eines Drittlands berücksichtigen, inwieweit dort die Rechtsstaatlichkeit geachtet wird, Zugang zur Justiz möglich ist und die internationalen Menschenrechtsbestimmungen eingehalten werden.

(48) Die Kommission sollte gleichfalls feststellen können, dass ein Drittland, ein Gebiet oder Verarbeitungssektor eines Drittlands oder eine internationale Organisation keinen angemessenen Datenschutz bietet. Folglich sollte in diesem Fall die Übermittlung personenbezogener Daten in dieses Drittland verboten werden, es sei denn, die Daten werden auf der Grundlage einer internationalen Übereinkunft, geeigneter Garantien oder einer Ausnahmeregelung übermittelt. Es sollten Verfahren für Konsultationen zwischen der Kommission und den betreffenden Drittländern oder internationalen Organisationen vorgesehen werden. Ungeachtet eines entsprechenden Kommissionsbeschlusses sollte jedoch die Möglichkeit bestehen, Daten auf der Grundlage geeigneter Garantien , die im Rahmen rechtsverbindlicher Instrumente bestehen, oder einer in dieser Richtlinie geregelten Ausnahme zu übermitteln. [Abänd. 39]

(49) Datenübermittlungen, die nicht auf der Grundlage eines Angemessenheitsbeschlusses erfolgen, sollten nur dann zulässig sein, wenn in einem rechtsverbindlichen Instrument geeignete Garantien festgelegt sind, die den Schutz personenbezogener Daten gewährleisten, oder wenn der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter alle Umstände beurteilt hat, die bei der Datenübermittlung oder bei der Kategorie von Datenübermittlungen eine Rolle spielen, und auf der Grundlage dieser Beurteilung zu der Auffassung gelangt ist, dass geeignete Garantien zum Schutz personenbezogener Daten bestehen. In Fällen, in denen es keine Gründe gibt, die eine Datenübermittlung zulassen würden, sollten Ausnahmen erlaubt sein, wenn dies notwendig ist zur Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen Person, wenn dies nach dem Recht des Mitgliedstaats, aus dem die personenbezogenen Daten übermittelt werden, notwendig ist oder wenn dies zur Abwehr einer unmittelbaren, ernsthaften Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlands oder in Einzelfällen zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zur Begründung, Geltendmachung oder Abwehr von Rechtsansprüchen unerlässlich ist [Abänd. 40].

(49a) In Fällen, in denen es keine Gründe gibt, die eine Datenübermittlung zulassen würden, sollten Ausnahmen erlaubt sein, wenn dies notwendig ist zur Wahrung wesentlicher Interessen der betroffenen oder einer anderen Person, wenn dies nach dem Recht des Mitgliedstaats, aus dem die personenbezogenen Daten übermittelt werden, zum Schutz berechtigter Interessen notwendig ist oder wenn dies zur Abwehr einer unmittelbaren, ernsthaften Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlands oder in Einzelfällen zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zur Begründung, Geltendmachung oder Abwehr von Rechtsansprüchen unerlässlich ist. Diese Ausnahmen sollten restriktiv ausgelegt werden und zudem die wiederkehrende, umfassende und strukturelle Übermittlung personenbezogener Daten sowie die pauschale Übermittlung von Daten ausschließen, die auf unbedingt notwendige Daten beschränkt sein sollte. Darüber hinaus sollte die Entscheidung über eine Datenübermittlung von entsprechend Bevollmächtigten getroffen werden, die Übermittlung muss dokumentiert werden, und die Dokumentation muss zum Zwecke der Überprüfung der Rechtmäßigkeit der Übermittlung der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden. [Abänd. 41]

(50) Wenn personenbezogene Daten in ein anderes Land übermittelt werden, kann dies dazu führen, dass die betroffene Person weniger Möglichkeiten hat, ihre Datenschutzrechte wahrzunehmen und sich gegen eine unrechtmäßige Nutzung oder Weitergabe ihrer Daten zu schützen. Ebenso kann es vorkommen, dass Aufsichtsbehörden Beschwerden nicht nachgehen oder Untersuchungen nicht durchführen können, die einen Bezug zu Tätigkeiten außerhalb der Grenzen ihres Mitgliedstaats haben. Ihre Bemühungen um grenzübergreifende Zusammenarbeit können auch durch unzureichende Präventiv- und Abhilfebefugnisse und durch nicht übereinstimmende rechtliche Regelungen behindert werden. Die Zusammenarbeit zwischen den Datenschutzbehörden muss daher gefördert werden, um ihnen den Informationsaustausch mit Aufsichtsbehörden in anderen Ländern zu erleichtern.

(51) Die Einrichtung von Aufsichtsbehörden in den Mitgliedstaaten, die ihre Aufgaben völlig unabhängig erfüllen, ist ein wesentlicher Bestandteil des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten. Die Aufsichtsbehörden sollten die Anwendung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften überwachen und zu ihrer einheitlichen Anwendung in der gesamten Union beitragen, um natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. Zu diesem Zweck bedarf es der Zusammenarbeit der Aufsichtsbehörden untereinander und mit der Kommission. [Abänd. 42]

(52) Die Mitgliedstaaten können einer bereits gemäß der Verordnung (EU) Nr. …./2012 in den Mitgliedstaaten errichteten Aufsichtsbehörde die Verantwortung für die Aufgaben übertragen, die von den nach Maßgabe dieser Richtlinie einzurichtenden nationalen Aufsichtsbehörden auszuführen sind.

(53) Die Mitgliedstaaten sollten mehr als eine Aufsichtsbehörde einrichten können, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht. Jede Aufsichtsbehörde sollte mit Finanzmitteln, Personal, Räumlichkeiten und einer Infrastruktur einschließlich technischer Mittel, Erfahrung und Kompetenz ausgestattet werden, die für die effektive Wahrnehmung ihrer Aufgaben, auch der Aufgaben im Zusammenhang mit der Amtshilfe und der Zusammenarbeit mit anderen Aufsichtsbehörden in der Union, notwendig und angemessen sind. [Abänd. 43]

(54) Die allgemeinen Anforderungen an die Mitglieder der Aufsichtsbehörde sollten gesetzlich von jedem Mitgliedstaat geregelt werden und insbesondere vorsehen, dass diese Mitglieder entweder vom Parlament oder von der Regierung des Mitgliedstaats auf der Grundlage einer Konsultation des Parlaments ernannt werden; ferner sollten sie Bestimmungen über die persönliche Eignung der Mitglieder und ihren Status enthalten. [Abänd. 44]

(55) Obgleich diese Richtlinie auch für die Tätigkeit der nationalen Gerichte gilt, sollte sich die Zuständigkeit der Aufsichtsbehörden nicht auf die von Gerichten im Rahmen ihrer gerichtlichen Tätigkeit vorgenommenen Datenverarbeitungen erstrecken, damit die Unabhängigkeit der Richter bei der Ausübung ihrer richterlichen Aufgaben gewahrt bleibt. Diese Ausnahme sollte allerdings begrenzt werden auf rein justizielle Tätigkeiten in Gerichtssachen und sich nicht auf andere Tätigkeiten beziehen, mit denen Richter nach nationalem Recht betraut werden können.

(56) Um die einheitliche Überwachung und Durchsetzung dieser Richtlinie in der gesamten Union sicherzustellen, sollten die Aufsichtsbehörden in jedem Mitgliedstaat dieselben Aufgaben und Befugnisse haben, unter anderem — insbesondere im Fall von Beschwerden natürlicher Personen — wirksame Untersuchungsbefugnisse , das Recht auf Zugang zu allen für die Erfüllung aller Aufsichtspflichten erforderlichen personenbezogenen Daten und Informationen, das Recht auf Zugang zu allen Räumlichkeiten des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters einschließlich des Materials für die Datenverarbeitung sowie rechtsverbindliche Interventions-, Beschluss- und Sanktionsbefugnisse sowie die Befugnis, Gerichtsverfahren anzustrengen. [Abänd. 45]

(57) Zu den Aufgaben der Aufsichtsbehörde sollte die Bearbeitung und Untersuchung von Beschwerden betroffener Personen gehören. Die Untersuchung aufgrund einer Beschwerde sollte vorbehaltlich einer gerichtlichen Nachprüfung so weit gehen, wie dies im Einzelfall angemessen ist. Die Aufsichtsbehörde sollte die betroffene Person innerhalb einer angemessenen Frist über den Stand und die Ergebnisse der Beschwerde unterrichten. Sollten weitere Untersuchungen oder die Abstimmung mit einer anderen Aufsichtsbehörde vonnöten sein, sollte die betroffene Person auch hierüber informiert werden.

(58) Die Aufsichtsbehörden sollten sich gegenseitig bei der Erfüllung ihrer Aufgaben unterstützen und einander Amtshilfe leisten, damit eine einheitliche Anwendung und Durchsetzung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften gewährleistet ist. Die Aufsichtsbehörden sollten zur Teilnahme an gemeinsamen Aktionen bereit sein. Die ersuchte Aufsichtsbehörde sollte verpflichtet sein, auf die Anfrage innerhalb einer vorgeschriebenen Frist zu antworten. [Abänd. 46]

(59) Der auf der Grundlage der Verordnung (EU) Nr. …/2012 …/2013 eingerichtete Europäische Datenschutzausschuss sollte zur einheitlichen Anwendung dieser Richtlinie in der Union beitragen, die Kommission Organe der Union beraten und, die Zusammenarbeit der Aufsichtsbehörden in der Union fördern und bei der Ausarbeitung von delegierten Rechtsakten und Durchführungsrechtsakten auf der Grundlage dieser Richtlinie der Kommission gegenüber seine Stellungnahme abgeben . [Abänd. 47]

(60) Jede betroffene Person, die sich in ihren Rechten verletzt sieht, die ihr aufgrund dieser Richtlinie zustehen, sollte das Recht auf Beschwerde bei einer Aufsichtsbehörde in einem Mitgliedstaat sowie das Recht auf einen gerichtlichen Rechtsbehelf haben, wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird oder wenn sie nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist.

(61) Einrichtungen, Organisationen oder Verbände, die sich den Schutz der Rechte und Interessen der betroffenen Personen im Bereich des Datenschutzes zum Ziel gesetzt haben im öffentlichen Interesse handeln und die nach dem Recht eines Mitgliedstaats gegründet sind, sollten das Recht haben, im Namen der betroffenen Person Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen, wenn sie von dieser Person hierzu bevollmächtigt wurden, oder unabhängig von der Beschwerde einer betroffenen Person eine eigene Beschwerde zu erheben, wenn ihrer Ansicht nach der Schutz personenbezogener Daten verletzt wurde. [Abänd. 48]

(62) Jede natürliche oder juristische Person sollte das Recht auf einen gerichtlichen Rechtsbehelf gegen sie betreffende Entscheidungen einer Aufsichtsbehörde haben. Für Verfahren gegen eine Aufsichtsbehörde sollten die Gerichte des Mitgliedstaats zuständig sein, in dem die Aufsichtsbehörde ihren Sitz hat.

(63) Die Mitgliedstaaten sollten sicherstellen, dass effiziente Klagemöglichkeiten vorhanden sind, mit denen rasch Maßnahmen zur Abstellung oder Verhinderung eines Verstoßes gegen diese Richtlinie erwirkt werden können.

(64) Schäden, auch immaterielle Schäden, die einer Person aufgrund einer rechtswidrigen Verarbeitung entstehen, sollten von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter ersetzt werden, der von seiner Haftung befreit werden kann, wenn er nachweist, dass der Schaden ihm nicht angelastet werden kann, insbesondere weil ein Fehlverhalten der betroffenen Person oder ein Fall höherer Gewalt vorliegt. [Abänd. 49]

(65) Gegen jede natürliche oder juristische — privatem oder öffentlichem Recht unterliegende — Person, die gegen diese Richtlinie verstößt, sollten Sanktionen verhängt werden. Die Mitgliedstaaten sollten dafür sorgen, dass die Sanktionen wirksam, verhältnismäßig und abschreckend sind, und alle Maßnahmen zur Anwendung der Sanktionen treffen.

(65a) Die Übermittlung personenbezogener Daten an andere Behörden oder Privatpersonen in der Union ist untersagt, es sei denn, die Übermittlung entspricht den gesetzlichen Bestimmungen, der Empfänger ist in einem Mitgliedstaat ansässig, keine berechtigten konkreten Interessen der betroffenen Person stehen der Übermittlung entgegen, und die Übermittlung ist aus Sicht des für die Verarbeitung Verantwortlichen, der die Daten übermittelt, für die Erfüllung einer ihm rechtmäßig zugewiesenen Aufgabe, zur Abwehr einer unmittelbaren, ernsthaften Gefahr für die öffentliche Sicherheit oder zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte Einzelner notwendig. Der für die Verarbeitung Verantwortliche sollte den Empfänger auf den Zweck der Verarbeitung und die Aufsichtsbehörde auf die Übermittlung hinweisen. Der Empfänger sollte darüber hinaus auf Verarbeitungsbeschränkungen hingewiesen werden und sicherstellen, dass diese Beschränkungen eingehalten werden. [Abänd. 50]

(66) Um die Zielvorgaben dieser Richtlinie zu erfüllen, d. h. die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihr Recht auf Schutz ihrer personenbezogenen Daten zu schützen und den ungehinderten Austausch personenbezogener Daten im Verkehr zwischen den zuständigen Behörden innerhalb der Union zu gewährleisten, sollte der Kommission die Befugnis übertragen werden, Rechtsakte nach Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union zu erlassen. Insbesondere sollten für die Meldung einer weitere konkrete Festlegung der Kriterien und Bedingungen für Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung erforderlich ist, für die Kriterien und Bedingungen der Verletzung des Schutzes von personenbezogenen Daten an die Aufsichtsbehörde und in Bezug auf die Angemessenheit des Datenschutzniveaus eines Drittlandes, eines Gebiets oder eines Verarbeitungssektors dieses Drittlands oder einer internationalen Organisation delegierte Rechtsakte erlassen werden. Es ist besonders wichtig, dass die Kommission im Rahmen ihrer Vorarbeiten auch auf Sachverständigenebene geeignete Konsultationen , insbesondere mit dem Europäischen Datenschutzausschuss, durchführt. Die Kommission sollte bei der Vorbereitung und Ausarbeitung delegierter Rechtsakte dafür sorgen sollte die Kommission gewährleisten , dass das Europäische die einschlägigen Dokumente dem Europäischen Parlament und der Rat die entsprechenden Dokumente gleichzeitig dem Rat zeitgleich , rechtzeitig und in geeigneter Form erhalten Weise übermittelt werden . [Abänd. 51]

(67) Der Kommission sollten Durchführungsbefugnisse übertragen werden, um bezüglich der Dokumentation der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter, der Sicherheit der Verarbeitung, insbesondere in Bezug auf Verschlüsselungsstandards, und der Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde sowie der Angemessenheit des Datenschutzniveaus in einem Drittland oder in einem Gebiet oder Verarbeitungssektor dieses Drittlands oder in einer internationalen Organisation einheitliche Bedingungen für die Umsetzung dieser Richtlinie zu gewährleisten. Diese Befugnisse sollten nach Maßgabe der Verordnung im Einklang mit der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren, Rates (6) ausgeübt werden. [Abänd. 52]

(68) Maßnahmen, die die Dokumentation der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter betreffen sowie die Sicherheit der Verarbeitung, und die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und die Angemessenheit des Datenschutzniveaus in einem Drittland oder in einem Gebiet oder Verarbeitungssektor dieses Drittlands oder in einer internationalen Organisation betreffen, sollten im Wege des Prüfverfahrens festgelegt werden, da es sich um Rechtsakte von allgemeiner Tragweite handelt. [Abänd. 53]

(69) Die Kommission sollte in hinreichend begründeten Fällen äußerster Dringlichkeit, die ein Drittland oder ein Gebiet oder einen Verarbeitungssektor in diesem Drittland oder eine internationale Organisation betreffen, die kein angemessenes Schutzniveau gewährleisten, sofort geltende Durchführungsrechtsakte erlassen. [Abänd. 54]

(70) Da die Ziele dieser Richtlinie, nämlich die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihr Recht auf Schutz ihrer personenbezogenen Daten und den ungehinderten Austausch personenbezogener Daten im Verkehr zwischen den zuständigen Behörden innerhalb der Union zu gewährleisten, auf Ebene der Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern wegen des Umfangs oder der Wirkungen der Maßnahme auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem Subsidiaritätsprinzip gemäß Artikel 5 des Vertrags über die Europäische Union tätig werden. Entsprechend dem in demselben Artikel genannten Verhältnismäßigkeitsprinzip geht diese Richtlinie nicht über das für die Erreichung dieser Ziele erforderliche Maß hinaus. Die Mitgliedstaaten können höhere Standards als die in dieser Richtlinie festgelegten vorsehen. [Abänd. 55]

(71) Der Rahmenbeschluss 2008/977/JI sollte durch diese Richtlinie aufgehoben werden.

(72) Die besonderen Bestimmungen für die Verarbeitung personenbezogener Daten durch eine zuständige Behörde zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung, die in vor Erlass dieser Richtlinie erlassenen Rechtsakten der Union enthalten sind, die die Verarbeitung personenbezogener Daten im Verkehr der Mitgliedstaaten untereinander oder den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Europäischen Verträgen errichteten Informationssystemen regeln, sollten bestehen bleiben. Die Da Artikel 8 der Grundrechtecharta und Artikel 16 AEUV vorschreiben, dass das Grundrecht auf Schutz personenbezogener Daten in der Union einheitlich und homogen angewendet werden sollte, sollte die Kommission innerhalb von zwei Jahren nach Inkrafttreten dieser Richtlinie sollte das Verhältnis zwischen dieser Richtlinie und den vor ihrem Erlass angenommenen Rechtsakten, die die Verarbeitung personenbezogener Daten im Verkehr der Mitgliedstaaten untereinander oder den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Europäischen Verträgen errichteten Informationssystemen regeln, daraufhin prüfen, inwieweit die besonderen Bestimmungen und sollte zudem zweckmäßige Vorschläge hinsichtlich der Festlegung einheitlicher und homogener Regeln für die Verarbeitung personenbezogener Daten durch zuständige Behörden oder des Zugangs der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den europäischen Verträgen errichteten Informationssystemen sowie der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder zur Vollstreckung strafrechtlicher Sanktionen innerhalb des Geltungsbereichs dieser Rechtsakte an diese Richtlinie angepasst werden müssen erarbeiten . [Abänd. 56]

(73) Damit personenbezogene Daten in der Union umfassend und in gleicher Weise geschützt werden, sollten die von der Union oder den Mitgliedstaaten vor Inkrafttreten dieser Richtlinie geschlossenen Übereinkünfte im Sinne dieser Richtlinie geändert werden. [Abänd. 57]

(74) Diese Richtlinie lässt die Vorschriften zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie der Kinderpornografie nach Maßgabe der Richtlinie 2011/93/EU des Europäischen Parlaments und des Rates (7) unberührt.

(75) Nach Protokoll 21 Artikel 6a des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts sind die Bestimmungen dieser Richtlinie für das Vereinigte Königreich und Irland nicht bindend, wenn das Vereinigte Königreich und Irland nicht durch Unionsvorschriften gebunden sind, die Formen der justiziellen Zusammenarbeit in Strafsachen oder der polizeilichen Zusammenarbeit regeln, in deren Rahmen die auf der Grundlage des Artikels 16 des Vertrags über die Arbeitsweise der Europäischen Union festgelegten Vorschriften eingehalten werden müssen.

(76) Nach den Artikeln 2 und 2a des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position Dänemarks gilt diese Richtlinie nicht für Dänemark und ist Dänemark gegenüber nicht anwendbar. Da diese Richtlinie auf dem Schengen-Besitzstand auf der Grundlage des Dritten Teils Titel V des Vertrags über die Arbeitsweise der Europäischen Union aufbaut, beschließt Dänemark gemäß Artikel 4 dieses Protokolls innerhalb von sechs Monaten nach Erlass dieser Richtlinie, ob es die Richtlinie in innerstaatliches Recht umsetzt. [Abänd. 58]

(77) Für Island und Norwegen stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung der Letztgenannten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (8) dar.

(78) Für die Schweiz stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (9) dar.

(79) Für Lichtenstein stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (10) dar.

(80) Diese Richtlinie steht im Einklang mit den Grundrechten und Grundsätzen, die mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens, dem Recht auf Schutz personenbezogener Daten sowie dem Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren. Die Einschränkungen dieser Rechte stehen im Einklang mit Artikel 52 Absatz 1 der Charta, da sie erforderlich sind, um den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und der Freiheiten anderer zu entsprechen.

(81) Gemäß der Gemeinsamen Politischen Erklärung der Mitgliedstaaten und der Kommission zu erläuternden Dokumenten vom 28. September 2011 (11) haben sich die Mitgliedstaaten verpflichtet, in begründeten Fällen zusätzlich zur Mitteilung ihrer Umsetzungsmaßnahmen ein oder mehrere Dokumente zu übermitteln, in denen der Zusammenhang zwischen den Bestandteilen einer Richtlinie und den entsprechenden Teilen einzelstaatlicher Umsetzungsinstrumente erläutert wird. In Bezug auf diese Richtlinie hält der Gesetzgeber die Übermittlung derartiger Dokumente für gerechtfertigt.

(82) Diese Richtlinie sollte die Mitgliedstaaten nicht daran hindern, die Bestimmungen über die Ausübung der Rechte der betroffenen Person auf Unterrichtung, Auskunft, Berichtigung, Löschung und Beschränkung ihrer im Rahmen eines Strafverfahrens verarbeiteten personenbezogenen Daten sowie mögliche Beschränkungen dieser Rechte in ihr einzelstaatliches Strafprozessrecht umzusetzen –

HABEN FOLGENDE RICHTLINIE ERLASSEN:

KAPITEL I

ALLGEMEINE BESTIMMUNGEN

Artikel 1

Gegenstand und Ziele

(1) Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder und der Strafvollstreckung sowie Bedingungen im Hinblick auf den freien Verkehr personenbezogener Daten .

(2) Gemäß dieser Richtlinie stellen die Mitgliedstaaten Folgendes sicher:

a) Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere Gewährleistung ihres Rechts auf Schutz ihrer personenbezogener Daten und ihrer Privatsphäre, und

b) Sicherstellung, dass der Austausch personenbezogener Daten zwischen den zuständigen Behörden in der Union nicht aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten eingeschränkt oder verboten wird.

(2a) Diese Richtlinie hindert die Mitgliedstaaten nicht daran, Garantien festzulegen, die strenger sind als die Garantien dieser Richtlinie. [Abänd. 59]

Artikel 2

Anwendungsbereich

(1) Diese Richtlinie gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken.

(2) Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.

(3) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten

a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, etwa im Bereich der nationalen Sicherheit,.

b) durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union. [Abänd. 60]

Artikel 3

Begriffsbestimmungen

Im Sinne dieser Richtlinie bezeichnet der Ausdruck

(1) „betroffene Person“ eine bestimmte natürliche Person oder eine natürliche Person, die direkt oder indirekt mit Mitteln bestimmt werden kann, die der für die Verarbeitung Verantwortliche oder jede sonstige natürliche oder juristische Person nach allgemeinem Ermessen aller Voraussicht nach einsetzen würde, etwa durch Zuordnung zu einer Kennnummer, zu Standortdaten, zu Online-Kennungen oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;

(2) „personenbezogene Daten“ alle Informationen über eine bestimmte oder bestimmbare natürliche Person („betroffene Person“); als bestimmbar wird eine Person angesehen , die sich auf eine betroffene direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer eindeutigen Kennung oder zu einem oder mehreren spezifischen Elementen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen oder geschlechtlichen Identität dieser Person beziehen sind ;

(2a) „pseudonymisierte Daten“ personenbezogene Daten, die ohne Heranziehung zusätzlicher Informationen keiner spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die die Nichtzuordnung gewährleisten;

(3) „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Weitergabe durch Übermittlung, die Verbreitung oder jede andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, das Löschen oder Vernichten der Daten sowie die Beschränkung des Zugriffs auf Daten;

(3a) „Profiling“ jede Form automatisierter Verarbeitung personenbezogener Daten, die zu dem Zweck vorgenommen wird, bestimmte personenbezogene Aspekte, die einen Bezug zu einer natürlichen Person haben, zu bewerten oder insbesondere die Leistungen der betreffenden Person bei der Arbeit, ihre wirtschaftliche Situation, ihren Aufenthaltsort, ihre Gesundheit, ihre persönlichen Vorlieben, ihre Zuverlässigkeit oder ihr Verhalten zu analysieren oder vorauszusagen;

(4) „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;

(5) „Datei“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder aufgeschlüsselt nach funktionalen oder geografischen Gesichtspunkten geführt wird;

(6) „für die Verarbeitung Verantwortlicher“ die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten durch einzelstaatliches mitgliedstaatliches oder Unionsrecht vorgegeben, kann das einzelstaatliche oder das Unionsrecht den können der für die Verarbeitung Verantwortlichen Verantwortliche beziehungsweise die spezifischen Modalitäten für seine Benennung bestimmen nach mitgliedstaatlichem oder Unionsrecht bestimmt werden ;

(7) „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet;

(8) „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, an die personenbezogene Daten weitergegeben werden;

(9) „Verletzung des Schutzes personenbezogener Daten“eine Verletzung der Sicherheit, die zur die Vernichtung, zum Verlust, zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten die unbefugte Weitergabe von beziehungsweise zum unbefugten der unbefugte Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

(10) „genetische Daten“ Daten jedweder Art zu den ererbten oder während der vorgeburtlichen Entwicklung erworbenen Merkmalen eines Menschen;

(11) „biometrische Daten“ personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen eines Menschen, die dessen eindeutige Identifizierung ermöglichen, wie Gesichtsbilder oder daktyloskopische Daten;

(12) „Gesundheitsdaten“Informationen personenbezogene Daten , die sich auf den körperlichen oder geistigen Gesundheitszustand einer Person oder auf die Erbringung von Gesundheitsleistungen für die betreffende Person beziehen;

(13) „Kind“ jede Person bis zur Vollendung des achtzehnten Lebensjahres;

(14) „zuständige Behörde“ jede Behörde, die für die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder die Strafvollstreckung zuständig ist;

(15) „Aufsichtsbehörde“ eine von einem Mitgliedstaat nach Maßgabe von Artikel 39 eingerichtete staatliche Stelle. [Abänd. 61]

KAPITEL II

GRUNDSÄTZE

Artikel 4

Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten

Die Mitgliedstaaten tragen dafür Sorge, dass personenbezogene Daten

a) auf rechtmäßige Weise, nach dem Grundsatz von Treu und Glauben und auf rechtmäßige in einer für die betroffene Person nachvollziehbaren und überprüfbaren Weise verarbeitet werden;

b) für genau festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen;

c) im Hinblick auf die Zwecke der Datenverarbeitung angemessen, sachlich relevant und nicht exzessiv sowie auf das für die Zwecke der Datenverarbeitung notwendige Mindestmaß beschränkt sind , wobei sie nur verarbeitet werden dürfen, wenn und solange die Zwecke der Verarbeitung nicht durch die Verarbeitung von anderen als personenbezogenen Daten erreicht werden können ;

d) sachlich richtig und, wenn nötig, auf dem neuesten Stand sind; , wobei alle angemessenen Maßnahmen müssen getroffen werden müssen , damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unzutreffend sind, unverzüglich gelöscht oder berichtigt werden;

e) nicht länger, als es für die Realisierung der Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht;

f) unter der Verantwortung und Haftung des für die Verarbeitung Verantwortlichen verarbeitet werden, der die Einhaltung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften gewährleistet und nachweisen kann ;

fa) in einer Weise verarbeitet werden, die es den betroffenen Personen erlaubt, ihre Rechte gemäß den Artikeln 10 bis 17 wahrzunehmen;

fb) in einer Weise verarbeitet werden, die vor unbefugter oder unrechtmäßiger Verarbeitung und vor zufälligem Verlust, zufälliger Zerstörung oder Schädigung durch geeignete technische und organisatorische Maßnahmen schützt;

fc) ausschließlich von entsprechend bevollmächtigten Mitarbeitern der zuständigen Behörden bei der Wahrnehmung ihrer Aufgaben verarbeitet werden. [Abänd. 62]

Artikel 4a

Zugang zu Daten, die ursprünglich zu anderen Zwecken als den in Artikel 1 Absatz 1 genannten verarbeitet wurden

(1) Die Mitgliedstaaten tragen dafür Sorge, dass zuständige Behörden nur dann Zugang zu Daten, die ursprünglich zu anderen Zwecken als den in Artikel 1 Absatz 1 genannten verarbeitet wurden, haben, wenn sie gemäß Unionsrecht oder dem Recht der Mitgliedstaaten über eine ausdrückliche Befugnis verfügen, die die Voraussetzungen gemäß Artikel 7 Absatz 1a erfüllen muss, und tragen zudem dafür Sorge, dass:

a) der Zugang ausschließlich von entsprechend bevollmächtigten Mitarbeitern der zuständigen Behörden bei der Wahrnehmung ihrer Aufgaben genehmigt wird, wenn in einem spezifischen Fall hinreichende Gründe für die Annahme vorliegen, dass die Verarbeitung der personenbezogenen Daten maßgeblich zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder zur Strafvollstreckung beiträgt;

b) Zugangsanfragen schriftlich erfolgen und auf die rechtliche Grundlage der Anfrage Bezug nehmen müssen;

c) die schriftliche Anfrage dokumentiert werden muss; und

d) geeignete Garantien eingeführt werden, um dafür zu sorgen, dass Grundrechte und -freiheiten in Bezug auf die Verarbeitung personenbezogener Daten geschützt werden. Die Garantien gelten unbeschadet und in Ergänzung zu den spezifischen Zugangsbedingungen zu personenbezogenen Daten wie etwa einer richterlichen Genehmigung gemäß dem Recht der Mitgliedstaaten.

(2) der Zugang zu personenbezogenen Daten, die von nicht-öffentlichen Stellen oder anderen öffentlichen Behörden verwaltet werden, wird nur für die Ermittlung und Verfolgung von Straftaten gemäß den vom Unionsrecht oder dem Recht der Mitgliedstaaten festgelegten Anforderungen der Notwendigkeit und der Verhältnismäßigkeit gewährt, wobei Artikel 7a uneingeschränkt einzuhalten ist; [Abänd. 63]

Artikel 4b

Fristen für die Speicherung und Überprüfung

(1) Die Mitgliedstaaten tragen dafür Sorge, dass personenbezogene Daten, die nach Maßgabe dieser Richtlinie verarbeitet wurden, von den zuständigen Behörden gelöscht werden, wenn sie nicht länger für den Zweck, den die ursprüngliche Verarbeitung erfüllen sollte, erforderlich sind.

(2) Die Mitgliedstaaten tragen dafür Sorge, dass die zuständigen Behörden Mechanismen einführen, durch die sichergestellt wird, dass gemäß Artikel 4 Fristen für die Löschung sowie die regelmäßige Überprüfung der Notwendigkeit der Speicherung von personenbezogenen Daten einschließlich Speicherfristen für die unterschiedlichen Kategorien personenbezogener Daten gesetzt werden. Es werden Verfahrensregeln aufgestellt um sicherzustellen, dass diese Fristen und Zeiträume der regelmäßigen Überprüfung eingehalten werden. [Abänd. 64]

Artikel 5

Unterscheidung verschiedener Verschiedene Kategorien von betroffenen Personen

(1) Die Mitgliedstaaten tragen dafür Sorge, dass die zuständigen Behörden für die in Artikel 1 Absatz 1 genannten Zwecke personenbezogene Daten folgender unterschiedlicher Kategorien von betroffenen Personen verarbeiten können und der für die Verarbeitung Verantwortliche so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien von betroffenen Personen diesen klar unterscheidet, darunter:

a) Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden;

b) verurteilte Straftäter Personen, die eine Straftat begangen haben ;

c) Opfer einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten; und

d) Dritte bei einer Straftat, wie Personen, die bei Ermittlungen in Verbindung mit der betreffenden Straftat oder beim anschließenden Strafverfahren als Zeugen in Betracht kommen, Personen, die Hinweise zur Straftat geben können, oder Personen, die mit den unter Buchstaben a und b genannten Personen in Kontakt oder in Verbindung stehen sowie

e) Personen, die keiner dieser Kategorien zugerechnet werden können.

(2) Personenbezogene Daten anderer betroffener Personen als der unter Absatz 1 genannten Personen dürfen nur verarbeitet werden:

a) sofern dies im Rahmen der Untersuchung oder Verfolgung einer bestimmten Straftat notwendig ist, um die Relevanz der Daten für eine der in Absatz 1 angegebenen Kategorien zu bewerten; oder

b) wenn eine solche Verarbeitung für gezielte Präventivzwecke oder für die Zwecke einer kriminalistischen Analyse unabdingbar ist, sofern und solange dieser Zweck rechtmäßig, klar definiert und spezifisch ist und die Verarbeitung streng darauf beschränkt ist, die Relevanz der Daten für eine der in Absatz 1 angegebenen Kategorien zu bewerten. Dies wird regelmäßig — mindestens alle sechs Monate — überprüft. Jede weitere Verwendung ist untersagt.

(3) Die Mitgliedstaaten sorgen dafür, dass zusätzliche Beschränkungen und Garantien gemäß mitgliedstaatlichem Recht auf die Weiterverarbeitung personenbezogener Daten in Bezug auf die in Absatz 1 Buchstabe c und d genannten betroffenen Personen Anwendung finden. [Abänd. 65]

Artikel 6

Unterscheidung der personenbezogenen Daten nach Richtigkeit und Zuverlässigkeit

(1) Die Mitgliedstaaten tragen dafür Sorge, dass die zu verarbeitenden Datenkategorien so weit wie möglich nach ihrer sachlichen Richtigkeit und Zuverlässigkeit unterschieden werden der zu verarbeitenden personenbezogenen Daten gewährleistet ist .

(2) Die Mitgliedstaaten tragen dafür Sorge, dass bei personenbezogenen Daten so weit wie möglich entsprechend ihrer Richtigkeit und Zuverlässigkeit zwischen solchen unterschieden werden wird , die auf Fakten beruhen, und solchen, die auf persönlichen Einschätzungen beruhen.

(2a) Die Mitgliedstaaten tragen dafür Sorge, dass personenbezogene Daten, die unrichtig, unvollständig oder nicht mehr aktuell sind, nicht übermittelt oder bereitgestellt werden. Zu diesem Zweck prüfen die zuständigen Behörden die Qualität der personenbezogenen Daten vor deren Übermittlung oder Bereitstellung. Bei jeder Übermittlung von Daten werden nach Möglichkeit Informationen beigefügt, die es dem Empfängermitgliedstaat gestatten, die Richtigkeit, Vollständigkeit, Aktualität und die Zuverlässigkeit der Daten zu beurteilen. Personenbezogene Daten werden nicht ohne ein entsprechendes Ersuchen einer zuständigen Behörde übermittelt, insbesondere wenn es sich um Daten handelt, die ursprünglich von nicht-öffentlichen Stellen verwaltet wurden.

(2b) Wird festgestellt, dass unrichtige Daten übermittelt worden sind oder Daten unrechtmäßig übermittelt worden sind, so ist dies dem Empfänger unverzüglich mitzuteilen. Dieser ist verpflichtet, die Daten unverzüglich gemäß Absatz 1 und Artikel 15 zu berichtigen oder gemäß Artikel 16 zu löschen. [Abänd. 66]

Artikel 7

Rechtmäßigkeit der Verarbeitung

(1) Die Mitgliedstaaten legen fest, dass die Verarbeitung personenbezogener Daten nur dann rechtmäßig ist, wenn und soweit die Verarbeitung sich auf das Recht der Union oder der Mitgliedstaaten zu den in Artikel 1 Absatz 1 genannten Zwecken stützt und zu folgenden Zwecken notwendig ist:

a) zur Wahrnehmung einer gesetzlichen Aufgabe, die eine zuständige Behörde zu den in Artikel 1 Absatz 1 genannten Zwecken oder ausführt,

b) zur Erfüllung einer gesetzlichen Verpflichtung, der der für die Verarbeitung Verantwortliche unterliegt,

c) zur Wahrung lebenswichtiger grundlegender Interessen der betroffenen Person oder einer anderen Person oder

d) zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentlichen Sicherheit.

(1a) Das Recht der Mitgliedstaaten, das die Verarbeitung personenbezogener Daten innerhalb des Geltungsbereichs dieser Richtlinie regelt, muss ausdrückliche und detaillierte Bestimmungen mit mindestens folgenden Angaben enthalten:

a) den Verarbeitungszielen;

b) den zu verarbeitenden personenbezogenen Daten;

c) den konkreten Zwecken und Mitteln der Verarbeitung;

d) der Ernennung des für die Verarbeitung Verantwortlichen, oder der spezifischen Kriterien für die Ernennung des für die Verarbeitung Verantwortlichen;

e) den Kategorien entsprechend bevollmächtigter Mitarbeiter der zuständigen Behörden für die Verarbeitung der personenbezogenen Daten;

f) dem bei der Verarbeitung einzuhaltende Verfahren;

g) den möglichen Verwendungszwecken der personenbezogenen Daten;

h) den Grenzen des Ermessensspielraums der zuständigen Behörden hinsichtlich der Verarbeitungstätigkeit. [Abänd. 67]

Artikel 7a

Weiterverarbeitung zu unvereinbaren Zwecken

(1) Die Mitgliedstaaten sorgen dafür, dass personenbezogene Daten nur dann für einen anderen als die in Artikel 1 Absatz 1 genannten Zwecke, der unvereinbar ist mit den Zwecken, zu denen die Daten ursprünglich erhoben worden sind, weiter verarbeitet werden, wenn und soweit:

a) der Zweck in einer demokratischen Gesellschaft unbedingt erforderlich und verhältnismäßig ist und im Unionsrecht oder im mitgliedstaatlichen Recht für einen rechtmäßigen, klar definierten und spezifischen Zweck vorgesehen ist,

b) die Verarbeitung streng auf die notwendige Zeit für den spezifischen Datenverarbeitungsvorgang begrenzt wird,

c) eine weitere Verwendung für andere Zwecke untersagt ist.

Vor einer Verarbeitung konsultiert der Mitgliedstaat die zuständige nationale Aufsichtsbehörde und führt eine Datenschutz-Folgenabschätzung durch.

(2) Neben den Anforderungen gemäß Artikel 7 Absatz 1a muss mitgliedstaatliches Recht in Bezug auf die Genehmigung einer Weiterverarbeitung im Sinne von Absatz 1 ausdrückliche und detaillierte Bestimmungen mit mindestens folgenden Angaben enthalten:

a) die spezifischen Zwecke und Mittel der konkreten Verarbeitung;

b) dass der Zugang ausschließlich von entsprechend bevollmächtigten Mitarbeitern der zuständigen Behörden bei der Wahrnehmung ihrer Aufgaben genehmigt wird, wenn in einem spezifischen Fall hinreichende Gründe für die Annahme vorliegen, dass die Verarbeitung der personenbezogenen Daten maßgeblich zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder zur Strafvollstreckung beiträgt; und

c) dass geeignete Garantien eingeführt werden, um dafür zu sorgen, dass Grundrechte und -freiheiten in Bezug auf die Verarbeitung personenbezogener Daten geschützt werden.

Die Mitgliedstaaten können vorsehen, dass der Zugang zu personenbezogenen Daten an zusätzliche Bedingungen, beispielsweise eine richterliche Genehmigung, in Übereinstimmung mit ihrem innerstaatlichen Recht geknüpft ist.

(3) Die Mitgliedstaaten können eine Weiterverarbeitung personenbezogener Daten für historische, statistische oder wissenschaftliche Zwecke genehmigen, vorausgesetzt, sie legen angemessene Garantien fest, beispielsweise die Anonymisierung der Daten. [Abänd. 68]

Artikel 8

Verarbeitung besonderer Kategorien von personenbezogenen Daten

(1) Die Mitgliedstaaten untersagen die Verarbeitung personenbezogener Daten, aus denen die Rasse und ethnische Herkunft, politische Meinungen, Religion oder philosophische Überzeugungen, die Gewerkschaftszugehörigkeit sexuelle Orientierung oder geschlechtliche Identität, die Zugehörigkeit zu und Aktivitäten in Gewerkschaften hervorgehen, sowie von genetischen Daten oder die Gesundheit oder das Sexualleben betreffenden Daten.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) Die Verarbeitung ist durch eine Vorschrift gestattet unbedingt notwendig und verhältnismäßig für die Erfüllung einer Aufgabe , die geeignete Garantien im öffentlichen Interesse von den zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken, auf der Grundlage von Unionsrecht oder mitgliedstaatlichem Recht ausgeführt wird, das spezifische und angemessene Maßnahmen vorsieht , um die Wahrung der berechtigten Interessen der betroffenen Personen zu garantieren, einschließlich einer spezifischen Genehmigung einer Justizbehörde, wenn dies im innerstaatlichen Recht vorgesehen ist ; oder ;

b) die Verarbeitung ist zur Wahrung lebenswichtiger wesentlicher Interessen der betroffenen Person oder einer anderen Person erforderlich oder

c) die Verarbeitung bezieht sich auf Daten, die die betroffene Person offenkundig öffentlich gemacht hat , sofern diese im Einzelfall für den betreffenden Zweck relevant und unbedingt notwendig sind . [Abänd. 69]

Artikel 8a

Verarbeitung genetischer Daten zum Zwecke einer strafrechtlichen Ermittlung oder eines Gerichtsverfahrens

(1) Die Mitgliedstaaten sehen vor, dass genetische Daten nur zur Feststellung einer genetischen Verbindung im Rahmen der Beweiserhebung zur Verhinderung einer Gefahr für die öffentliche Sicherheit oder zur Verhinderung der Verübung einer konkreten Straftat verarbeitet werden dürfen. Genetische Daten dürfen nicht zur Feststellung anderer Merkmale, die unter Umständen eine genetische Verbindung aufweisen, verarbeitet werden.

(2) Die Mitgliedstaaten sehen vor, dass genetische Daten oder aus der Analyse dieser Daten gewonnene Informationen nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die die Daten verarbeitet werden, erforderlich ist und wenn die betroffene Person schwere Straftaten gegen das Leben, die Unversehrtheit oder Sicherheit von Personen begangen hat, wobei die Daten und Informationen strikten Speicherfristen, die im mitgliedstaatlichen Recht festzulegen sind, unterliegen.

(3) Die Mitgliedstaaten stellen sicher, dass genetische Daten oder aus der Analyse dieser Daten gewonnene Informationen nur für längere Zeiträume gespeichert werden, wenn die genetischen Daten keiner Einzelperson zugeordnet werden können, insbesondere wenn die Daten an einem Tatort sichergestellt wurden. [Abänd. 70]

Artikel 9

Auf Profiling und automatischer Datenverarbeitung basierende Maßnahmen

(1) Die Mitgliedstaaten legen fest, dass Maßnahmen, die eine nachteilige Rechtsfolge für die betroffene Person haben oder sie erheblich beeinträchtigen und die ausschließlich vollständig oder teilweise aufgrund einer automatisierten Verarbeitung von personenbezogenen Daten zum Zwecke der Bewertung einzelner Aspekte ihrer Person ergehen, verboten sind, es sei denn, dies ist durch ein Gesetz erlaubt, das Garantien zur Wahrung der berechtigten Interessen der betroffenen Person festlegt.

(2) Die automatisierte Verarbeitung personenbezogener Daten zum Zwecke der Auswertung bestimmter persönlicher Aspekte der betroffenen Person darf sich nicht ausschließlich auf die in Artikel 8 genannten besonderen Kategorien personenbezogener Daten stützen.

(2a) Die automatisierte Verarbeitung personenbezogener Daten zum Zwecke des Herausgreifens einer betroffenen Person ohne anfänglichen Verdacht, dass die betroffene Person eine Straftat begangen hat oder begehen wird, ist nur dann rechtmäßig, sofern dies für die Untersuchung einer schweren Straftat oder die Verhütung einer eindeutigen, unmittelbaren und durch faktische Hinweise belegten Gefahr für die öffentliche Sicherheit, die Existenz des Staates oder das Leben von Personen unbedingt notwendig ist.

(2b) Ein Profiling, das beabsichtigt oder unbeabsichtigt zur Folge hat, dass Menschen aufgrund von Rasse, ethnischer Herkunft, politischer Überzeugung, Religion oder Weltanschauung, Mitgliedschaft in einer Gewerkschaft, Geschlecht oder sexueller Orientierung diskriminiert werden, oder das beabsichtigt oder unbeabsichtigt zu Maßnahmen führt, die eine solche Wirkung haben, ist in allen Fällen untersagt.[Abänd. 71]

Artikel 9a

Allgemeine Grundsätze für die Rechte der betroffenen Person

(1) Die Mitgliedstaaten sorgen dafür, dass die Grundlage des Datenschutzes klare und eindeutige Rechte der betroffenen Person bilden, die von dem für die Verarbeitung Verantwortlichen zu achten sind. Mit dieser Richtlinie sollen diese Rechte gestärkt, geklärt, gewährleistet und erforderlichenfalls kodifiziert werden.

(2) Die Mitgliedstaaten sorgen dafür, dass zu diesen Rechten unter anderem die Bereitstellung klarer und leicht verständlicher Informationen über die Verarbeitung ihrer personenbezogenen Daten, das Recht auf Zugang zu ihren personenbezogenen Daten, auf Berichtigung und Löschung ihrer personenbezogenen Daten, das Recht auf Erhalt von Daten, das Recht auf Beschwerde bei der zuständigen Aufsichtsbehörde und Klageerhebung sowie das Recht auf Ersatz von Schäden, die aus rechtswidriger Verarbeitung entstehen, gehören. Die Ausübung dieser Rechte darf grundsätzlich mit keinen Kosten verbunden sein. Der für die Verarbeitung Verantwortliche hat die Anträge der betroffenen Personen innerhalb einer angemessenen Frist zu bearbeiten. [Abänd. 72]

KAPITEL III

RECHTE DER BETROFFENEN PERSON

Artikel 10

Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle vertretbaren Schritte unternimmt, um in Bezug auf die Verarbeitung personenbezogener Daten und die der betroffenen Person zustehenden Rechte prägnante, nachvollziehbare , klare und für jedermann leicht zugängliche Strategien zu verfolgen verfolgt .

(2) Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche der betroffenen Person alle Informationen und Mitteilungen zur Verarbeitung personenbezogener Daten in verständlicher Form unter Verwendung einer klaren, einfachen Sprache , insbesondere dann, wenn sich die Informationen an ein Kind richten, zur Verfügung stellt.

(3) Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle zumutbaren Schritte unternimmt, um Verfahren für die Bereitstellung der Informationen gemäß Artikel 11 und für die Ausübung der den betroffenen Personen gemäß den Artikeln 12 bis 17 zustehenden Rechte einzuführen einführt . Im Falle der automatischen Verarbeitung personenbezogener Daten sorgt der für die Verarbeitung Verantwortliche dafür, dass die Anträge elektronisch gestellt werden können .

(4) Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche die betroffene Person ohne unangemessene unangemessene Verzögerung und spätestens innerhalb eines Monats nach Antragseingang von den Maßnahmen in Kenntnis setzt, die im Zusammenhang mit etwaigen Anträgen getroffen wurden. Die Unterrichtung hat schriftlich zu erfolgen. Erfolgt die Antragstellung in elektronischer Form, so hat die Unterrichtung in elektronischer Form zu erfolgen.

(5) Die Mitgliedstaaten legen fest, dass die Unterrichtung und jegliche im Zusammenhang mit einem Antrag nach den Absätzen 3 und 4 getroffene Maßnahme des für die Verarbeitung Verantwortlichen kostenfrei ist. Bei missbräuchlichen offenkundig unverhältnismäßigen Anträgen, und besonders im Fall ihrer Häufung oder ihres zu großen Umfangs oder Volumens, kann der für die Verarbeitung Verantwortliche angemessenes ein Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Durchführung der beantragten Maßnahme verlangen oder die beantragte Maßnahme unterlassen berücksichtigt werden . In diesem Fall trägt der für die Verarbeitung Verantwortliche die Beweislast offenkundig unverhältnismäßigen für den missbräuchlichen Charakter des Antrags.

(5a) . Die Mitgliedstaaten können festlegen, ob die betroffene Person diese Rechte direkt gegenüber dem für die Verarbeitung Verantwortlichen oder über die zuständige einzelstaatliche Aufsichtsbehörde geltend machen kann. Wurde die Aufsichtsbehörde auf Antrag der betroffenen Person tätig, unterrichtet sie die betroffene Person über die durchgeführten Überprüfungen. [Abänd. 73]

Artikel 11

Information der betroffenen Person

(1) Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle geeigneten Maßnahmen ergreift, um einer Person, von der personenbezogene Daten erhoben werden, zumindest Folgendes mitzuteilen mitteilt :

a) den Namen sowie die Kontaktdaten des für die Verarbeitung Verantwortlichen und des Datenschutzbeauftragten,

b) die Rechtsgrundlage und die Zwecke der Verarbeitung, für die die personenbezogenen Daten bestimmt sind,

c) die Speicherfrist,

d) das Bestehen eines Rechts auf Auskunft, Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten und auf Einschränkung der Verarbeitung dieser Daten durch den für die Verarbeitung Verantwortlichen,

e) das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde gemäß Artikel 39 sowie deren Kontaktdaten,

f) die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten, auch der Empfänger in Drittländern oder in internationalen Organisationen , und die Angabe , wer nach dem Recht des betreffenden Drittlandes oder den Regeln der betreffenden internationalen Organisation befugt ist, auf die Daten zuzugreifen, das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission, oder im Falle der in Artikel 35 oder 36 genannten Übermittlungen die Mittel, um eine Kopie der angemessenen Garantien, die für die Übermittlung verwendet wurden, zu erhalten ,

fa) falls der für die Verarbeitung Verantwortliche Daten gemäß Artikel 9 Absatz 1 verarbeitet, Informationen über die Verarbeitung für die in Artikel 9 Absatz 1 beschriebene Maßnahme sowie die beabsichtigte Wirkung dieser Verarbeitung auf die betroffene Person, Angaben über die dem Profiling zugrunde liegende Methode und das Recht auf persönliche Prüfung,

fb) Informationen in Bezug auf zum Schutz personenbezogener Daten vorgenommene Sicherheitsmaßnahmen, [Abänd. 74]

g) sonstige Informationen, soweit diese die unter Berücksichtigung der spezifischen Umstände, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.

(2) Werden die personenbezogenen Daten bei der betroffenen Person erhoben, teilt der für die Verarbeitung Verantwortliche dieser Person neben den in Absatz 1 genannten Informationen außerdem mit, ob die Bereitstellung der Daten obligatorisch oder freiwillig ist und welche mögliche Folgen die Zurückhaltung der Daten hätte.

(3) Der für die Verarbeitung Verantwortliche erteilt die Auskünfte gemäß Absatz 1

a) zum Zeitpunkt der Erhebung der personenbezogenen Daten bei der betroffenen Person oder

b) im Fall, die Daten werden nicht bei der betroffenen Person erhoben, zum Zeitpunkt der Erfassung oder innerhalb einer angemessenen Frist nach der Erhebung unter Berücksichtigung der jeweiligen Umstände der Verarbeitung.

(4) Die Mitgliedstaaten dürfen Rechtsvorschriften erlassen, die die Unterrichtung der betroffenen Person im Einzelfall zu folgenden Zwecken in einem solchen Umfang und so lange hinauszögern oder , einschränken oder unterbinden, wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist und sofern den Grundrechten und den berechtigten Interessen der betroffenen Person Rechnung getragen wurde:

a) zur Gewährleistung, dass behördliche oder gerichtliche Ermittlungen, Untersuchungen oder Verfahren nicht behindert werden;

b) zur Gewährleistung, dass die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten nicht beeinträchtigt oder dass strafrechtliche Sanktionen vollstreckt werden;

c) zum Schutz der öffentlichen Sicherheit;

d) zum Schutz der nationalen Sicherheit;

e) zum Schutz der Rechte und Freiheiten anderer.

(5) Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche in jedem Einzelfall im Rahmen einer konkreten und individuellen Untersuchung feststellt, ob eine teilweise oder vollständige Einschränkung des Rechts auf Informationszugang aus einem der Gründe gemäß Absatz 4 gilt. Die Mitgliedstaaten können zudem die Datenverarbeitungskategorien festlegen, für die die Ausnahmeregelung nach Absatz 4 Buchstaben a, b, c und d vollständig oder teilweise zur Anwendung kommt. [Abänd. 74]

Artikel 12

Auskunftsrecht der betroffenen Person

(1) Die Mitgliedstaaten legen fest, dass die betroffene Person das Recht hat, von dem für die Verarbeitung Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden oder nicht. Werden personenbezogene Daten verarbeitet, teilt der für die Verarbeitung Verantwortliche Folgendes mit , soweit diese Angaben nicht bereits übermittelt worden sind :

-a) diejenigen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten und, falls zutreffend, verständliche Informationen über die einer automatisierten Verarbeitung zugrunde liegende Methode;

-aa) die Tragweite der Verarbeitung und die mit ihr angestrebten Auswirkungen, zumindest im Fall der Maßnahmen gemäß Artikel 9;

a) die Verarbeitungszwecke sowie die Rechtsgrundlage für die Verarbeitung ,

b) die Kategorien personenbezogener Daten, die verarbeitet werden,

c) die Empfänger oder Arten von Empfängern, an die die personenbezogenen Daten weitergegeben wurden, speziell bei Empfängern in Drittländern,

d) die Speicherfrist,

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten und auf Einschränkung der Verarbeitung dieser Daten durch den für die Verarbeitung Verantwortlichen,

f) das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten,

g) diejenigen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten.. Stellt die betroffene Person den Antrag in elektronischer Form, ist sie auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt. [Abänd. 75]

(2) Die Mitgliedstaaten legen fest, dass die betroffene Person das Recht hat, von dem für die Verarbeitung Verantwortlichen eine Kopie der verarbeiteten personenbezogenen Daten zu verlangen.

Artikel 13

Einschränkung des Auskunftsrechts

(1) Die Mitgliedstaaten können Rechtsvorschriften erlassen, die zu nachstehenden Zwecken das Recht der betroffenen Person auf Auskunft , abhängig vom konkreten Fall, teilweise oder vollständig einschränken, soweit und solange diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft unbedingt notwendig und verhältnismäßig ist und den Grundrechten sowie den berechtigten Interessen der betroffenen Person Rechnung getragen wurde:

a) zur Gewährleistung, dass behördliche oder gerichtliche Ermittlungen, Untersuchungen oder Verfahren nicht behindert werden;

b) zur Gewährleistung, dass die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden;

c) zum Schutz der öffentlichen Sicherheit;

d) zum Schutz der nationalen Sicherheit;

e) zum Schutz der Rechte und Freiheiten anderer.

(2) Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche in jedem Einzelfall im Rahmen einer konkreten und individuellen Untersuchung prüft, ob eine teilweise oder vollständige Einschränkung des Rechts auf Informationszugang aus einem der Gründe gemäß Absatz 1 gilt. Die Mitgliedstaaten können zudem gesetzlich Datenverarbeitungskategorien festlegen, für die die Ausnahmeregelung nach Absatz 1 Buchstaben a bis d vollständig oder teilweise zur Anwendung kommt.

(3) Für die in den Absätzen 1 und 2 genannten Fälle legen die Mitgliedstaaten fest, dass der für die Verarbeitung Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung der Auskunft und die Gründe hierfür beziehungsweise die Einschränkung der Auskunft sowie über die Möglichkeit unterrichtet, bei der Aufsichtsbehörde Beschwerde einzulegen ode