DE Amtsblatt der Europäischen Union C 463/14

Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zum zweiten Paket „Intelligente Grenzen“ der EU

(Der vollständige Text dieser Stellungnahme ist in deutscher, englischer und französischer Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich)

(2016/C 463/11)

ZUSAMMENFASSUNG

Schon seit langem hat der EU-Gesetzgeber die Einrichtung eines Einreise-/Ausreisesystems (EES) zur Registrierung von Ein- und Ausreisen von Drittstaatsangehörigen im Hoheitsgebiet der Europäischen Union erwogen. Die Kommission verabschiedete drei Vorschläge als Teil des ersten Pakets „Intelligente Grenzen“ im Jahr 2013; die Mitgesetzgeber äußerten schwere Bedenken, und es konnte keine Einigung über das Paket erzielt werden. Daraufhin führte die Kommission aufgrund dieser Bedenken einen Konzeptnachweis durch und legte in diesem Jahr ein zweites Paket „Intelligente Grenzen“ vor, das nunmehr aus zwei überarbeiteten Vorschlägen besteht.

Der EDSB hat diese Vorschläge sorgfältig geprüft und als Hilfestellung für den Gesetzgeber Empfehlungen formuliert, mit denen sichergestellt werden soll, dass der Rechtsrahmen für die EES-Regelung vollkommen im Einklang mit dem Recht auf Privatsphäre und dem Datenschutzrecht in der EU, insbesondere mit den Artikeln 7 und 8 der EU-Charta der Grundrechte, steht.

Der EDSB räumt ein, dass Bedarf an kohärenten und wirksamen Informationssystemen für Grenzen und Sicherheit besteht. Diese Vorschläge werden zu einem kritischen Zeitpunkt vorgelegt, zu dem die EU in diesem Bereich vor ernstzunehmenden Herausforderungen steht. Der EDSB unterstreicht jedoch, dass die vorgeschlagene Verarbeitung personenbezogener Daten im Rahmen der EES-Regelung möglicherweise einen erheblichen Eingriff in die Privatsphäre darstellt und daher aus dem Blickwinkel sowohl von Artikel 7 als auch Artikel 8 der Charta zu prüfen ist. Notwendigkeit und Verhältnismäßigkeit der EES-Regelung sind sowohl insgesamt, unter Berücksichtigung der bereits in der EU bestehenden IT-Großsysteme, als auch spezifisch, für jeden Einzelfall dieser Drittstaatsangehörigen, zu bewerten, die ja rechtmäßige Besucher der EU sind. Der EDSB stellt fest, dass EES-Daten zu zwei verschiedenen Zwecken verarbeitet werden sollen, nämlich einerseits zu Zwecken des Grenzmanagements und der Erleichterung des Grenzübertritts und andererseits zu Strafverfolgungszwecken. Der EDSB empfiehlt nachdrücklich, schon im EES-Vorschlag von 2016 durchgängig zwischen diesen Zielsetzungen zu differenzieren, da sie unterschiedliche Auswirkungen auf das Recht auf Privatsphäre und auf Datenschutz haben.

Zwar begrüßt der EDSB, dass den früher geäußerten Bedenken bezüglich des Schutzes der Privatsphäre und des Datenschutzes Aufmerksamkeit geschenkt wird und die überarbeiteten Vorschläge besser geworden sind, doch hegt er schwere Bedenken bezüglich mehrerer Aspekte des EES-Vorschlags, die vom Gesetzgeber besser begründet oder sogar nochmals überdacht werden sollten; dazu gehören insbesondere folgende Elemente:

— die fünfjährige Speicherfrist für EES-Daten. Nach Ansicht des EDSB sollte die Notwendigkeit der Speicherung der Daten von Overstayern für fünf Jahre besser nachgewiesen werden und dürfte eine Speicherfrist von fünf Jahren für alle im EES gespeicherten personenbezogenen Daten unverhältnismäßig sein;

— die Speicherung des Gesichtsbilds von visumspflichtigen Reisenden, deren Gesichtsbild bereits im VIS gespeichert ist;

— die Notwendigkeit des Zugriffs von Gefahrenabwehr- und Strafverfolgungsbehörden auf EES-Daten, für die keine hinreichend überzeugenden Anhaltspunkte genannt werden;

— die Bedingung, der zufolge eine betroffene Person bei der Ausübung ihres Rechts auf Auskunft über ihre gespeicherten Daten und deren Berichtigung und/oder Löschung ihre Fingerabdrücke abnehmen lassen muss, woraus ein ernstzunehmendes Hindernis für die wirksame Ausübung dieser Rechte entstehen könnte.

In der Stellungnahme werden zudem weitere Empfehlungen für den Datenschutz und den Schutz der Privatsphäre formuliert, die im Gesetzgebungsverfahren aufgegriffen werden sollten und auch die Sicherheit des Systems betreffen.

I. EINLEITUNG UND HINTERGRUND

1. Zum ersten Mal kündigte die Kommission ihre Absicht, ein europäisches Einreise-/Ausreisesystem für die Kontrolle von Ein- und Ausreisen von Drittstaatsangehörigen im Hoheitsgebiet der Europäischen Union einzurichten, im Jahr 2008 an. (1) Seinerzeit gab der EDSB zunächst vorläufige Kommentare (2) zu dieser Absicht ab und ging dann in einer Stellungnahme vom Juli 2011 (3) auf konkrete Einzelfragen ein. Die Kommission führte ihre Überlegungen näher in einer Mitteilung (4) mit dem Titel „Intelligente Grenzen: Optionen und weiteres Vorgehen“ vom Oktober 2011 aus, zu der die Artikel 29-Datenschutzgruppe Kommentare abgab (5). Auch der EDSB äußerte sich, und zwar in einer Diskussionsrunde mit verschiedenen Interessenträgern (6).

2. Im Februar 2013 verabschiedete die Kommission drei Vorschläge als Teil des ersten Pakets „Intelligente Grenzen“, nämlich einen Vorschlag über ein Einreise-/Ausreisesystem (7) (nachstehend „EES-Vorschlag von 2013“), einen Vorschlag über ein Registrierungsprogramm für Reisende (8) (nachstehend „RTP-Vorschlag von 2013“) und einen Vorschlag zur Änderung des Schengener Grenzkodex (9) zur Einführung dieser Änderungen. Das Paket rief sofort Kritik von Seiten der beiden Mitgesetzgeber hervor, und zwar wegen technischer, operativer und die Kosten betreffender Bedenken, aber auch wegen erheblicher Datenschutzbedenken. Im gleichen Jahr formulierte der EDSB seine ersten konkreten Empfehlungen zu den drei Vorschlägen in Form einer Stellungnahme (10). Auch die Artikel 29-Datenschutzgruppe legte eine Stellungnahme (11) vor, zu der der EDSB ebenfalls einen Beitrag leistete, und in der die Notwendigkeit eines Einreise-/Ausreisesystem als solchem hinterfragt wurde.

3. Anfang 2014 kündigte die Kommission als Reaktion auf diese Bedenken die Durchführung eines Konzeptnachweises in zwei Stufen an: Zunächst sollten eine Technische Studie (12) und eine Studie zu den Kosten (13) durchgeführt werden, um die passendsten Optionen und Lösungen für die Einführung intelligenter Grenzen zu finden, auf die dann im Verlauf des Jahres 2015 ein Pilotprojekt (14) unter der Leitung der Europäischen Agentur für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (nachstehend „eu-LISA“) folgen sollte, bei dem die ermittelten Optionen getestet werden sollten. Parallel hierzu leitete die Kommission im Juli 2015 eine dreimonatige öffentliche Konsultation (15) ein, mit der Ansichten und Meinungen von Bürgern und Organisationen eingeholt werden sollten, und an der sich auch der EDSB beteiligte (16).

4. Am 6. April 2016 legte die Kommission ein zweites Paket „Intelligente Grenzen“ vor. (17) Dieses Mal wird nur ein System vorgeschlagen, nämlich das Einreise-/Ausreisesystem (nachstehend „EES“). Die Kommission beschloss, ihren EES-Vorschlag von 2013 und den Vorschlag von 2013 zur Änderung des Schengener Grenzkodex zu überarbeiten, zog jedoch ihren RTP-Vorschlag von 2013 zurück. Das derzeitige Paket „Intelligente Grenzen“ setzt sich aus folgenden Bestandteilen zusammen: — einer Mitteilung „Solidere und intelligentere Informationssysteme für das Grenzmanagement und mehr Sicherheit“ (18); — einem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über ein Einreise-/Ausreisesystem (EES) zur Erfassung der Ein- und Ausreisedaten sowie der Einreiseverweigerungsdaten von Drittstaatsangehörigen an den Außengrenzen der Mitgliedstaaten der Europäischen Union und zur Festlegung der Bedingungen für den Zugang zum EES zu Gefahrenabwehr- und Strafverfolgungszwecken und zur Änderung der Verordnung (EG) Nr. 767/2008 und der Verordnung (EU) Nr. 1077/2011 (19) (nachstehend „EES-Vorschlag von 2016“), und — einem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EU) 2016/399 (20) in Bezug auf die Nutzung des Einreise-/Ausreisesystems (21) (nachstehend „Vorschlag von 2016 zur Änderung des Schengener Grenzkodex“).

5. Den beiden Vorschlägen beigefügt ist eine detaillierte Folgenabschätzung (22).

6. Neue Impulse für das Paket „Intelligente Grenzen“ haben sich aus der aktuellen Migrationskrise und den jüngsten Terroranschlägen in Europa ergeben. Der niederländische und der slowakische Ratsvorsitz kündigten intensive Arbeiten an dem Paket mit dem Ziel an, bis Ende 2016 hierzu eine politische Einigung zu erzielen (23).

7. Der EDSB begrüßt, dass er vor der Annahme der neuen Vorschläge von der Kommission informell konsultiert wurde. Ferner begrüßt er die gute Zusammenarbeit (24) zwischen der GD HOME und dem EDSB während der gesamten Überarbeitung des ersten Pakets „Intelligente Grenzen“.

IV. SCHLUSSFOLGERUNG

90. Der EDSB begrüßt die im EES-Vorschlag von 2016 zum Ausdruck kommenden Bemühungen der Kommission, auf die im Zusammenhang mit dem Paket „Intelligente Grenzen“ von 2013 geäußerten Datenschutzbedenken einzugehen. Einige der Empfehlungen und Anmerkungen des EDSB aus seiner früheren Stellungnahme zu dem Paket wurden berücksichtigt, beispielsweise mit der Einführung von Ausweichverfahren bei technischen Problemen oder Systemausfall.

91. Der EDSB begrüßt die Bemühungen der Kommission um eine Rechtfertigung der Notwendigkeit der Einrichtung der EES-Regelung, spricht aber wichtige Empfehlungen aus, die unmittelbar mit deren Verhältnismäßigkeit zu tun haben, damit das EES in vollem Umfang der in Artikel 52 Absatz 1 der Charta formulierten wesentlichen Bedingung Genüge tut, nämlich sowohl erforderlich als auch verhältnismäßig zu sein. Er weist darauf hin, dass Notwendigkeit und Verhältnismäßigkeit der EES-Regelung sowohl insgesamt, unter Berücksichtigung der bereits in der EU bestehenden IT-Großsysteme, als auch spezifisch, für jeden Einzelfall dieser Drittstaatsangehörigen, zu bewerten sind, die rechtmäßige Besucher der EU sind. Seiner Ansicht nach sollte eine Speicherfrist von fünf Jahren für alle im EES gespeicherten personenbezogenen Daten besser begründet werden. Er unterstreicht ferner, dass die folgenden Aspekte des EES-Vorschlags von 2016 besser begründet und durch überzeugende Nachweise unterstützt werden sollten: die Erfassung von Gesichtsbildern von visumpflichtigen Reisenden, die fünfjährige Speicherfrist für Overstayer und die Notwendigkeit des Zugriffs auf EES-Daten durch Gefahrenabwehr- und Strafverfolgungsbehörden. Falls dies nicht geschieht, sollten diese Aspekte vom EU-Gesetzgeber erneut geprüft werden.

92. In Anbetracht der vielfältigen Eingriffe in die Grundrechte von Drittstaatsangehörigen auf Privatsphäre und Datenschutz vertritt der EDSB die Ansicht, dass das EES ein Instrument des Grenzmanagements bleiben sollte, das ausschließlich zu diesem Zweck konzipiert wurde. Daher sollte die Unterscheidung zwischen den erklärten Zielen des EES, also den primären Zielen des Grenzmanagements und der Erleichterung des Grenzübertritts und dem sekundären Ziel der Gefahrenabwehr und Strafverfolgung, im EES-Vorschlag von 2016 klar eingeführt und dort durchgängig aufrechterhalten werden, insbesondere mit Blick auf die Artikel 1 und 5.

93. Des Weiteren hegt der EDSB Bedenken bezüglich der für alle betroffenen Personen geltenden Bedingung, zur Einreichung eines Antrags auf Auskunft über ihre personenbezogenen Daten und deren Berichtigung und Löschung auf jeden Fall ihre Fingerabdrücke abnehmen zu lassen. Dies könnte ein hohes Hindernis für die tatsächliche Ausübung des Auskunftsrechts darstellen, das für die betroffene Person eine wichtige Garantie darstellt und in Artikel 8 Absatz 2 der EU-Charta erwähnt wird.

94. Weitere Empfehlungen des EDSB in dieser Stellungnahme betreffen die folgenden Aspekte und Artikel: — Artikel 14 sollte dahingehend näher ausgeführt werden, dass in Fällen, in denen Gesichtsbilder von Drittstaatsangehörigen vor Ort aufgenommen werden, bei diesen Bildern eine Mindestqualität erreicht wird, und in Artikel 33 sollte festgelegt werden, dass die Kommission detaillierte Informationen dazu bereitstellt, wie die erforderliche Qualität bei den vor Ort aufgenommenen Gesichtsbildern zu erreichen ist. — Artikel 15 Absatz 3 sollte so geändert werden, dass klar hervorgeht, welche Informationen von den Grenzbehörden erhoben, gespeichert und verwendet werden dürfen, wenn sie nähere Angaben zu den Gründen der vorübergehenden Unmöglichkeit der Abnahme von Fingerabdrücken erfragen. — Artikel 39 sollte die klare Notwendigkeit einer Koordinierung zwischen eu-LISA und Mitgliedstaaten im Hinblick auf die Sicherheit des EES unterstreichen. — Für den Fall eines Anschlusses nationaler Erleichterungsprogramme von Mitgliedstaaten an das EES sollten die Verantwortlichkeiten für die Sicherheit klar festgelegt werden. Im neuen Artikel 8e des Schengener Grenzkodex sollte festgelegt werden, dass Sicherheit nach einer ordnungsgemäßen Risikobewertung der Informationssicherheit gewährleistet werden muss, und es sollten die erforderlichen Sicherheitsvorkehrungen beschrieben werden. — Der Vorschlag sollte eindeutig besagen, dass eu-LISA für die Sicherheit des Web-Dienstes, die Sicherheit der darin enthaltenen personenbezogenen Daten und das Verfahren verantwortlich ist, mit dem die personenbezogenen Daten aus dem Zentralsystem in den Web-Dienst eingespeist werden. — Artikel 44 Absatz 1 sollte dahingehend geändert werden, dass er die den betroffenen Personen bereitgestellten Informationen enthält, also Angaben zur Speicherfrist für ihre Daten, den Hinweis auf das Recht von Overstayern auf Löschung ihrer personenbezogenen Daten, falls sie nachweisen können, dass sie die zulässige Aufenthaltsdauer wegen unvorhersehbarer, ernster Ereignisse überziehen mussten, und eine Erläuterung bezüglich der Tatsache, dass die EES-Daten zu Zwecken des Grenzmanagements und der Erleichterung des Grenzübertritts abgerufen werden. — In Artikel 46 Absatz 1 sollte eine streng harmonisierte Frist festgelegt werden, die höchstens einige Monate für die Beantwortung von Ersuchen vorsieht. — Artikel 9 Absatz 2 sollte dahingehend geändert werden, dass er eine klare Beschreibung der Schutzvorkehrungen enthält, mit denen gewährleistet ist, dass Kindern, älteren Menschen und Menschen mit Behinderungen die angemessene Aufmerksamkeit geschenkt wird. — Artikel 57 sollte geändert werden und von eu-LISA verlangen, Funktionalitäten zu entwickeln, die den Mitgliedstaaten, der Kommission, eu-LISA und Frontex die Möglichkeit gäben, die notwendigen Statistiken direkt aus dem EES-Zentralsystem zu extrahieren, ohne dass ein weiteres Register erforderlich wird. — Der Vorschlag sollte den EDSB mit sachdienlichen Informationen und den Ressourcen dafür ausstatten, dass er seine neuen Aufgaben als Kontrolleur des künftigen EES wirksam und effizient wahrnehmen kann. — Artikel 28 Absatz 2 sollte der Prüfstelle eine klare Frist für die Durchführung der nachträglichen Überprüfung der Bedingungen für den Zugriff auf EES-Daten für Zwecke der Gefahrenabwehr und Strafverfolgung im Notfall setzen. — Artikel 28 Absatz 3 sollte dahingehend geändert werden, dass vorgeschrieben wird, dass benannte Behörden und Prüfstellen nicht Teile der gleichen Organisation sein dürfen.

95. Der EDSB unterstreicht nachdrücklich, dass alle diese Fragen aus einer Gesamtperspektive zu betrachten sind. Er ermutigt den Gesetzgeber, mit der Bestandsaufnahme bei den im Bereich Grenzen und Migration bestehenden Datenbanken fortzufahren, dabei die Systeme besser zu koordinieren, Überschneidungen zwischen ihnen zu vermeiden und in vollem Umfang die Datenschutznormen einzuhalten, auch in seinen Beziehungen mit Drittländern.

Brüssel, den 21. September 2016 Giovanni BUTTARELLI Europäischer Datenschutzbeauftragter

(1) Mitteilung der Kommission vom 13. Februar 2008„Vorbereitung der nächsten Schritte für die Grenzverwaltung in der Europäischen Union“, KOM(2008) 69 endgültig.

(2) Vorläufige Kommentare des EDSB vom 3. März 2008 zu drei Mitteilungen zum Thema Grenzverwaltung.

(3) Stellungnahme des EDSB vom 7. Juli 2011 zu der Mitteilung zur Migration.

(4) Mitteilung der Kommission vom 25. Oktober 2011„Intelligente Grenzen: Optionen und weiteres Vorgehen“, KOM(2011) 680 endgültig.

(5) Die Artikel 29-Datenschutzgruppe äußerte sich zu der Mitteilung der Kommission über Intelligente Grenzen in einem Schreiben an Kommissionsmitglied Malmström vom 12. Juni 2012.

(6) Runder Tisch des EDSB zum Paket „Intelligente Grenzen“ und den Auswirkungen auf den Datenschutz, Brüssel, 10. April 2013, siehe die Zusammenfassung unter: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/PressNews/Events/2013/13-04-10_Summary_smart_borders_final_EN.pdf

(7) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates für ein Einreise-/Ausreisesystem (EES) zur Erfassung der Ein- und Ausreisedaten von Drittstaatsangehörigen an den Außengrenzen der Mitgliedstaaten der Europäischen Union, COM(2013) 95 final.

(8) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über ein Registrierungsprogramm für Reisende, COM(2013) 97 final.

(9) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EG) Nr. 562/2006 in Bezug auf die Nutzung des Einreise-/Ausreisesystems (EES) und des Programms für registrierte Reisende (RTP), COM(2013) 96 final.

(10) Stellungnahme des EDSB vom 18. Juli 2013 zu den Vorschlägen für eine Verordnung über ein Einreise-/Ausreisesystem (EES) und für eine Verordnung über ein Registrierungsprogramm für Reisende (RTP).

(11) Artikel 29-Datenschutzgruppe, Stellungnahme 05/2013 vom 6. Juni 2013 zu intelligenten Grenzen.

(12) Technische Studie zu „Intelligente Grenzen“ — Abschlussbericht, Oktober 2014, abrufbar unter: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/docs/smart_borders_technical_study_en.pdf

(13) Technische Studie zu „Intelligente Grenzen“ — Kostenanalyse, Oktober 2014, abrufbar unter: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/docs/smart_borders_costs_study_en.pdf

(14) eu-LISA, Abschlussbericht über das Pilotprojekt „Intelligente Grenzen“, Dezember 2015, abrufbar unter: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/index_en.htm

(15) Öffentliche Konsultation der Kommission zu „Intelligente Grenzen“, abrufbar unter: http://ec.europa.eu/dgs/home-affairs/what-is-new/public-consultation/2015/consulting_0030_en.htm

(16) Formelle Kommentare des EDSB vom 3. November 2015 zur öffentlichen Konsultation der Europäischen Kommission zum Thema „Intelligente Grenzen“.

(17) Siehe die Pressemitteilung, abrufbar unter: http://europa.eu/rapid/press-release_IP-16-1247_de.htm

(18) Mitteilung der Kommission vom 6. April 2016„Solidere und intelligentere Informationssysteme für das Grenzmanagement und mehr Sicherheit“, COM(2016) 205 final.

(19) COM(2016) 194 final.

(20) Verordnung (EU) 2016/399 des Europäischen Parlaments und des Rates vom 9. März 2016 über einen Gemeinschaftskodex für das Überschreiten der Grenzen durch Personen (Schengener Grenzkodex) (kodifizierter Text) (ABl. L 77 vom 23.3.2016, S. 1).

(21) COM(2016) 196 final.

(22) Arbeitsunterlage der Kommissionsdienststellen vom 6. April 2016„Folgenabschätzung der Einrichtung eines Einreise-/Ausreisesystems der EU zum EES-Vorschlag von 2016 und zum Vorschlag von 2016 zur Änderung des Schengener Grenzkodex“, SWD(2016) 115 final (nachstehend „Folgenabschätzung“).

(23) http://data.consilium.europa.eu/doc/document/ST-8485-2016-INIT/en/pdf

(24) 2015 fanden zwei Workshops von GD HOME und EDSB zu Aspekten intelligenter Grenzen statt: ein Workshop am 20. März, in dem es ganz konkret um die Vorbereitung der Vorschläge für „Intelligente Grenzen“ ging, und ein interaktiver Workshop am 21. September 2015 über Erwägungen zum Datenschutz und zum Schutz der Privatsphäre bei Maßnahmen im Bereich Migration und Inneres, in dessen Verlauf auch die Vorschläge zu „Intelligente Grenzen“ von 2013 gestreift wurden; siehe das Protokoll des Workshops vom 20. März 2015 in Anhang 16 der Folgenabschätzung.