Vorschlag für RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr /* KOM/2012/010 endgültig - 2012/0010 (COD) */





BEGRÜNDUNG 1. KONTEXT Der in der Mitteilung KOM(2012) 9 endg. skizzierte Vorschlag der Kommission für einen neuen Rechtsrahmen zum Schutz personenbezogener Daten in der EU wird im Folgenden näher erläutert. Die vorgeschlagene neue Datenschutzregelung besteht aus zwei Teilen: – einem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) und – einem Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr. Diese Begründung betrifft den letztgenannten Legislativvorschlag. Kernstück der EU-Vorschriften zum Schutz personenbezogener Daten ist die Richtlinie 95/46/EG[1] aus dem Jahr 1995, die auf zweierlei abzielt: Schutz des Grundrechts auf Datenschutz und Garantie des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten. Sie wurde durch einige Instrumente mit spezifischen Datenschutzbestimmungen im Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen[2] (frühere dritte Säule), darunter den Rahmenbeschluss 2008/977/JI[3] ergänzt. Der Europäische Rat hat die Kommission ersucht, die Funktionsweise der verschiedenen Rechtsinstrumente zum Datenschutz zu bewerten und erforderlichenfalls weitere Initiativen legislativer und nicht-legislativer Art vorzulegen.[4] In seiner Entschließung zum Stockholmer Programm begrüßte das Europäische Parlament[5] den Vorschlag, eine umfassende Regelung für den Schutz personenbezogener Daten innerhalb der Europäischen Union zu schaffen, und forderte unter anderem eine Überarbeitung des Rahmenbeschlusses 2008/977/JI. In ihrem Aktionsplan zur Umsetzung des Stockholmer Programms[6] betonte die Kommission die Notwendigkeit, in allen Bereichen der EU-Politik für eine konsequente Anwendung des Grundrechts auf Datenschutz zu sorgen. In dem Aktionsplan wurde Folgendes hervorgehoben: „In einer globalen Gesellschaft, die durch raschen technologischen Wandel mit grenzenlosem Informationsaustausch geprägt ist, kommt der Sicherung der Privatsphäre größte Bedeutung zu. Die Union muss deshalb für eine konsequente Anwendung des Grundrechts auf Datenschutz sorgen. Wir müssen die Position der EU bezüglich des Schutzes personenbezogener Daten bei allen EU-Maßnahmen, einschließlich jener in den Bereichen Strafverfolgung und Kriminalprävention, sowie in unseren internationalen Beziehungen stärken.“ Wie die Kommission in ihrer Mitteilung über ein Gesamtkonzept für den Datenschutz in der Europäischen Union[7] feststellte, braucht die EU ein umfassenderes, kohärenteres Konzept für das Grundrecht auf Schutz personenbezogener Daten. Der Anwendungsbereich des Rahmenbeschlusses 2008/977/JI ist begrenzt, da er sich auf die grenzübergreifende Datenverarbeitung beschränkt und die Verarbeitung durch Polizei- und Justizbehörden auf innerstaatlicher Ebene nicht einschließt. Daraus können sich für die Polizei und andere zuständige Behörden bei der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit Probleme ergeben. Sie können nicht in jedem Fall ohne Weiteres zwischen rein innerstaatlicher und grenzübergreifender Verarbeitung unterscheiden oder vorhersehen, ob es zu bestimmten personenbezogenen Daten in einer späteren Phase vielleicht einen grenzübergreifenden Austausch geben wird (siehe Abschnitt 2). Hinzu kommt, dass der Rahmenbeschluss aufgrund seines Charakters und seines Inhalts den Rechtsvorschriften der Mitgliedstaaten zu seiner Umsetzung sehr großen Spielraum einräumt. Außerdem sieht er keinerlei Mechanismus oder beratende Gruppe vor, die – ähnlich wie die Artikel-29-Arbeitsgruppe – die gemeinsame Auslegung seiner Bestimmungen unterstützen würden, und legt auch keine Durchführungsbefugnisse für die Kommission fest, um ein gemeinsames Herangehen bei seiner Anwendung zu gewährleisten. In Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) ist der Grundsatz verankert, dass jede Person das Recht auf Schutz ihrer personenbezogenen Daten hat. Seit dem Vertrag von Lissabon verfügt die Union mit Artikel 16 Absatz 2 AEUV überdies über eine besondere Rechtsgrundlage für den Erlass von Datenschutzvorschriften, die auch für die polizeiliche und justizielle Zusammenarbeit in Strafsachen gilt. Der Schutz personenbezogener Daten ist in Artikel 8 der EU-Grundrechtecharta als Grundrecht ausgestaltet. Gemäß Artikel 16 AEUV hat der Gesetzgeber Vorschriften über den Schutz natürlicher Personen bei der grenzübergreifenden sowie der innerstaatlichen Verarbeitung personenbezogener Daten auch für den Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen zu erlassen. So wird der Schutz der Grundrechte und ‑freiheiten natürlicher Personen und insbesondere deren Recht auf Schutz ihrer personenbezogenen Daten ermöglicht und gleichzeitig der Austausch personenbezogener Daten zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sichergestellt. Dies erleichtert auch die Zusammenarbeit bei der Verbrechensbekämpfung in Europa. Aufgrund der Besonderheit der polizeilichen und justiziellen Zusammenarbeit in Strafsachen wurde in der Erklärung 21[8] anerkannt, dass spezifische Vorschriften für den Schutz personenbezogener Daten und den freien Verkehr derartiger Daten bei der polizeilichen und justiziellen Zusammenarbeit in Strafsachen gemäß Artikel 16 AEUV erforderlich sein können. 2. ERGEBNISSE DER ANHÖRUNGEN INTERESSIERTER KREISE UND DER FOLGENABSCHÄTZUNGEN Diese Initiative zur Überarbeitung der geltenden Datenschutzbestimmungen ist das Ergebnis einer umfassenden Konsultation aller wichtigen Beteiligten, die in zwei Phasen erfolgte: – 9. Juli bis 31. Dezember 2009 – Konsultation zum Rechtsrahmen für das Grundrecht auf Schutz personenbezogener Daten: Die Kommission erhielt 168 Antworten: 127 von Einzelpersonen, Vereinigungen, Wirtschafts- und Fachverbänden sowie 12 von öffentlicher Seite. Die nicht vertraulichen Beiträge können auf der Website der Kommission eingesehen werden[9]. – 4. November 2010 bis 15. Januar 2011 – Konsultation zum Gesamtkonzept der Kommission für den Datenschutz in der Europäischen Union. Die Kommission erhielt 305 Antworten: 54 von Bürgern, 31 von staatlicher Seite und 220 von privaten Organisationen, insbesondere von Unternehmensverbänden und Nichtregierungsorganisationen. Die nicht vertraulichen Beiträge können auf der Website der Kommission eingesehen werden[10]. Neben diesen weitgehend auf die Überarbeitung der Richtlinie 95/46/EG ausgerichteten Anhörungen wurden mit Vertretern von Strafverfolgungsbehörden gezielte Konsultationen durchgeführt. So fand am 29. Juni 2010 mit den Behörden der Mitgliedstaaten ein Workshop über die Anwendung der Datenschutzbestimmungen auf öffentliche Stellen statt, bei dem es auch um die polizeiliche und justizielle Zusammenarbeit in Strafsachen ging. Die Kommission organisierte ferner am 2. Februar 2011 einen Workshop mit den Behörden der Mitgliedstaaten, um die Umsetzung des Rahmenbeschlusses 2008/977/JI und in einem allgemeineren Rahmen Datenschutzthemen im Bereich der polizeilichen Zusammenarbeit und der justiziellen Zusammenarbeit in Strafsachen zu erörtern. Die EU-Bürger konnten sich bei einer Eurobarometer-Umfrage äußern, die von November bis Dezember 2010 durchgeführt wurde.[11] Darüber hinaus wurde auch eine Reihe von Studien in Auftrag gegeben.[12] Die Artikel-29-Datenschutzgruppe[13] gab mehrere Stellungnahmen mit sachdienlichen Beiträgen für die Kommission ab[14]. Zu den Fragen, die die Kommission in ihrer Mitteilung vom November 2010 aufgeworfen hatte, nahm auch der Europäische Datenschutzbeauftragte umfassend Stellung[15]. Das Europäische Parlament nahm mit seiner Entschließung vom 6. Juli 2011 einen Bericht an, der das Kommissionskonzept für die Reform der Datenschutzregelung unterstützte[16]. Der Rat der Europäischen Union nahm am 24. Februar 2011 Schlussfolgerungen an, in denen er das Reformvorhaben der Kommission generell befürwortete und der Vorgehensweise der Kommission in vielen Punkten zustimmte. Auch der Europäische Wirtschafts- und Sozialausschuss unterstützte eine angemessene Überarbeitung der Richtlinie 95/46/EG ebenso wie die allgemeine Ausrichtung der Kommissionsvorschläge im Hinblick auf eine kohärentere Anwendung der EU-Datenschutzregelung in allen Mitgliedstaaten.[17] Entsprechend ihrer Strategie für eine bessere Rechtsetzung hat die Kommission eine Folgenabschätzung der möglichen Optionen vorgenommen[18]. Grundlage der Folgenabschätzung waren drei Zielsetzungen: Stärkung der Binnenmarktdimension beim Datenschutz, wirksamere Ausübung der Datenschutzrechte durch den Einzelnen und Schaffung einer umfassenden, kohärenten Regelung für alle Zuständigkeitsbereiche der Union einschließlich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen. Zu dieser letztgenannten Zielsetzung wurden zwei Optionen bewertet: eine erste Option, bei der der Geltungsbereich der Datenschutzvorschriften auf diesem Gebiet grundlegend erweitert und auf die Lücken des Rahmenbeschlusses sowie andere durch ihn aufgeworfenen Fragen eingegangen wird, und eine weitreichendere zweite Option mit sehr strikten, präskriptiven Bestimmungen, die auch die sofortige Änderung aller anderen Instrumente der ehemaligen dritten Säule nach sich zöge. Eine dritte, „minimalistische” Option, die sich weitgehend auf Mitteilungen zu Auslegungsfragen und unterstützende Maßnahmen wie Finanzierungsprogramme und technische Hilfsmittel konzentriert, wurde für die Bewältigung der Fragen nicht für geeignet erachtet, die sich beim Datenschutz auf diesem Gebiet stellen. Bei jeder Option wurde entsprechend der üblichen Vorgehensweise der Kommission mithilfe einer Lenkungsgruppe mit Vertretern aus den beteiligten Generaldirektionen der Kommission geprüft, inwieweit mit der Option die Zielvorgaben erreicht werden, wie sich die Option wirtschaftlich auswirkt (auch auf den Haushalt der EU-Organe), welche sozialen Auswirkungen mit ihr verbunden und welche Auswirkungen auf die Grundrechte zu erwarten sind. Auswirkungen auf die Umwelt wurden nicht festgestellt. Nach Betrachtung der einzelnen Optionen in ihrer Gesamtwirkung wurde die hier favorisierte Option ausgearbeitet und in den vorliegenden Vorschlag aufgenommen. Der Folgenabschätzung zufolge wird dessen Umsetzung den Datenschutz in diesem Bereich insbesondere durch die Einbeziehung der innerstaatlichen Datenverarbeitung weiter stärken und damit im Bereich der polizeilichen und justiziellen Zusammenarbeit auch zu mehr Rechtssicherheit für die zuständigen Behörden führen. Der Ausschuss für Folgenabschätzung (IAB) nahm am 9. September 2011 zum Entwurf der Folgenabschätzung Stellung. Die Folgenabschätzung wurde daraufhin wie folgt abgeändert: – Präzisiert wurde, inwieweit die Ziele der derzeitigen Datenschutzregelung erreicht oder nicht erreicht worden sind. Die Reformziele wurden klarer formuliert. – Die Dokumentation im Abschnitt „Problemstellung“ wurde ergänzt und es wurden zusätzliche Erläuterungen eingefügt. Die Kommission erstellte ferner einen Bericht über die Umsetzung des Rahmenbeschlusses 2008/977/JI gemäß Artikel 29 Absatz 2 des Rahmenbeschlusses. Dieser Bericht liegt als Teil des Datenschutz-Reformpakets zur Annahme vor.[19] Die Ergebnisse des Berichts, der sich auf Beiträge der Mitgliedstaaten stützt, wurden auch bei der Ausarbeitung der Folgenabschätzung berücksichtigt. 3. RECHTLICHE ASPEKTE 3.1. Rechtsgrundlage Dieser Vorschlag stützt sich auf Artikel 16 Absatz 2 AEUV, einer durch den Lissabonner Vertrag eingeführten neuen, spezifischen Rechtsgrundlage für Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union und durch die Mitgliedstaaten, sowie bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts und der Vorschriften über den freien Datenverkehr fallen. Der Vorschlag zielt darauf ab, ein hohes, einheitliches Datenschutzniveau in diesem Bereich zu garantieren und damit das gegenseitige Vertrauen zwischen den Polizei- und Justizbehörden verschiedener Mitgliedstaaten zu stärken und den freien Datenverkehr und die Zusammenarbeit zwischen Polizei- und Justizbehörden zu erleichtern. 3.2. Subsidiarität und Verhältnismäßigkeit Nach dem Subsidiaritätsprinzip (Artikel 5 Absatz 3 EUV) wird die Union nur tätig, sofern und soweit die Ziele der in Betracht gezogenen Maßnahmen von den Mitgliedstaaten allein nicht ausreichend verwirklicht werden können, sondern vielmehr wegen ihres Umfangs oder ihrer Wirkungen auf Unionsebene besser zu verwirklichen sind. Im Hinblick auf die beschriebene Problematik zeigt die Subsidiaritätsanalyse, dass aus folgenden Gründen im Bereich der polizeilichen und justiziellen Zusammenarbeit Maßnahmen auf EU-Ebene notwendig sind: – Das Recht auf Schutz personenbezogener Daten, das in Artikel 8 der Grundrechtecharta und in Artikel 16 Absatz 1 AEUV verankert ist, verlangt ein unionsweit einheitliches Datenschutzniveau. Auf innerstaatlicher Ebene muss dasselbe Schutzniveau für den Austausch und die Verarbeitung von Daten gelten. – Der Bedarf der Strafverfolgungsbehörden in den Mitgliedstaaten an immer schnellerer Datenverarbeitung und immer schnellerem Datenaustausch zur Verhütung und Bekämpfung von Kriminalität und Terrorismus, die nicht an Landesgrenzen haltmachen, nimmt ständig zu. Hier werden einheitliche, klare Datenschutzvorschriften auf EU-Ebene zu verstärkter Zusammenarbeit dieser Behörden beitragen. – Die praktischen Schwierigkeiten bei der Durchsetzung der Datenschutzvorschriften und die notwendige Zusammenarbeit zwischen den Mitgliedstaaten und ihren Behörden erfordern eine Organisation auf EU-Ebene, um die einheitliche Anwendung des Unionsrechts zu gewährleisten. In bestimmten Situationen ist die EU die bestgeeignete Ebene, um sicherzustellen, dass alle Betroffenen bei der Übermittlung personenbezogener Daten in Drittländer wirksam und in gleichem Maße geschützt sind. – Die Mitgliedstaaten können die derzeitigen Probleme – vor allem die durch die Uneinheitlichkeit der nationalen Vorschriften bedingten Probleme – nicht allein bewältigen. Es besteht daher ein besonderer Bedarf an einer harmonisierten, kohärenten Regelung, die einen reibungslosen Transfer personenbezogener Daten innerhalb der EU ermöglicht und gleichzeitig EU-weit allen Betroffenen einen wirksamen Datenschutz garantiert. – Wegen Art und Umfang der Probleme, die nicht auf einen oder mehrere Mitgliedstaaten beschränkt sind, dürften die vorgeschlagenen Legislativmaßnahmen der EU wirksamer sein als vergleichbare Maßnahmen auf Ebene der Mitgliedstaaten. Nach dem Verhältnismäßigkeitsprinzip muss jedes Handeln zielgerichtet sein und darf nicht über das hinausgehen, was für die Erreichung der angestrebten Ziele notwendig ist. An diesem Grundsatz hat sich die Ausarbeitung dieses Vorschlags von der Feststellung und Analyse der möglichen Optionen bis hin zu seiner Formulierung orientiert. Eine Richtlinie ist deshalb am besten geeignet, die EU-weite Harmonisierung auf diesem Gebiet zu gewährleisten und gleichzeitig den Mitgliedstaaten bei der Umsetzung der Grundsätze, der Durchführung der Vorschriften und der Anwendung der Ausnahmebestimmungen auf nationaler Ebene den notwendigen Spielraum zu geben. Angesichts der komplexen nationalen Vorschriften, die derzeit für den Schutz von personenbezogenen Daten gelten, die im Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen verarbeitet werden, und des Ziels der umfassenden Harmonisierung dieser Vorschriften durch diese Richtlinie wird die Kommission die Mitgliedstaaten ersuchen müssen, erläuternde Dokumente zum Verhältnis zwischen den Komponenten der Richtlinie und den entsprechenden Teilen der nationalen Umsetzungsinstrumente bereitzustellen, um ihrer Kontrollaufgabe im Hinblick auf die Umsetzung der Richtlinie gerecht werden zu können. 3.3. Zusammenfassung der Grundrechtsaspekte Das Recht auf Schutz personenbezogener Daten ist in Artikel 8 der Charta der Grundrechte der EU, Artikel 16 AEUV und Artikel 8 der EMRK verankert. Wie der Gerichtshof der EU betont hat,[20] kann das Recht auf Schutz der personenbezogenen Daten jedoch keine uneingeschränkte Geltung beanspruchen, sondern muss im Hinblick auf seine gesellschaftliche Funktion gesehen werden.[21] Datenschutz und Achtung des Privat- und Familienlebens, das durch Artikel 7 der Charta geschützt ist, hängen eng zusammen. Dies geht aus Artikel 1 Absatz 1 der Richtlinie 95/46/EG hervor, wonach die Mitgliedstaaten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten gewährleisten. Andere möglicherweise betroffene, in der Charta verankerte Grundrechte sind das Verbot einer Diskriminierung unter anderem wegen der Rasse, der ethnischen Herkunft, der genetischen Merkmale, der Religion oder der Weltanschauung, der politischen oder sonstigen Anschauung, einer Behinderung oder der sexuellen Ausrichtung (Artikel 21), die Rechte des Kindes (Artikel 24) und das Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren (Artikel 47). 3.4. Erläuterung des Vorschlags im Einzelnen 3.4.1. KAPITEL I – ALLGEMEINE BESTIMMUNGEN In Artikel 1 wird der Gegenstand der Richtlinie definiert, d. h. die Bestimmungen für die Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten festlegt; ferner wird das zweifache Ziel der Richtlinie dargelegt, die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihr Recht auf den Schutz personenbezogener Daten zu schützen und gleichzeitig ein hohes Maß an öffentlicher Sicherheit zu gewährleisten sowie den Austausch personenbezogener Daten zwischen zuständigen Behörden in der Europäischen Union zu gewährleisten. Artikel 2 bestimmt den Anwendungsbereich der Richtlinie. Der Anwendungsbereich der Richtlinie ist nicht auf grenzübergreifende Datenverarbeitung beschränkt, sondern umfasst alle Verarbeitungen, die von „zuständigen Behörden“ (gemäß der Definition in Artikel 3 Nummer 14) für die Zwecke dieser Richtlinie durchgeführt werden. Die Richtlinie gilt weder für eine Verarbeitung im Rahmen von Tätigkeiten, die nicht in den Bereich des Unionsrechts fallen, noch für eine Verarbeitung durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union, die in der Verordnung (EG) Nr. 45/2001 und anderen spezifischen Rechtsvorschriften geregelt ist. Artikel 3 enthält die Begriffsbestimmungen. Einige Begriffsbestimmungen wurden von der Richtlinie 95/46/EG und dem Rahmenbeschluss 2008/977/JI übernommen, andere wurden abgeändert, ergänzt oder neu eingeführt. Die neuen Begriffsbestimmungen sind: „Verletzung des Schutzes personenbezogener Daten“, „genetische Daten“, „zuständige Behörden“ (gemäß Artikel 87 AEUV und Artikel 2 Buchstabe h des Rahmenbeschlusses 2008/977/JI) und „Kind“ (im Sinne der UN-Kinderrechtskonvention)[22]. 3.4.2. KAPITEL II – GRUNDSÄTZE Artikel 4 enthält die für die Verarbeitung personenbezogener Daten geltenden Grundsätze entsprechend Artikel 6 der Richtlinie 95/46/EG sowie Artikel 3 des Rahmenbeschlusses 2008/977/JI, die dem Anwendungsbereich dieser Richtlinie angepasst sind. Nach Artikel 5 muss soweit wie möglich zwischen personenbezogenen Daten verschiedener Kategorien betroffener Personen unterschieden werden. Dabei handelt es sich um eine neue, weder in der Richtlinie 95/46/EG noch im Rahmenbeschluss 2008/977/JI enthaltene Bestimmung, die die Kommission aber ursprünglich für den Rahmenbeschluss vorgeschlagen hatte[23] und die sich an die Empfehlung des Europarats Nr. R (87)15 anlehnt. Entsprechende Vorschriften gelten bereits für Europol[24] und Eurojust[25]. Artikel 6 zur Unterscheidung nach Richtigkeit und Zuverlässigkeit entspricht dem Grundsatz 3.2 der Empfehlung des Europarats Nr. R (87)15. Ähnliche Bestimmungen, die ebenfalls im Kommissionsvorschlag für den Rahmenbeschluss standen, gelten für Europol[26]. Artikel 7 enthält die Kriterien für eine rechtmäßige Verarbeitung, die für die Wahrnehmung einer Aufgabe durch eine zuständige Behörde aufgrund innerstaatlicher Rechtsvorschriften erforderlich ist, um einer gesetzlichen Verpflichtung des für die Verarbeitung Verantwortlichen nachzukommen, lebenswichtige Interessen der betroffenen oder einer anderen Person zu schützen oder eine unmittelbare, schwerwiegende Gefährdung der öffentlichen Sicherheit eines Mitgliedstaats abzuwehren. Die übrigen Kriterien für eine rechtmäßige Verarbeitung gemäß Artikel 7 der Richtlinie 95/46/EG sind für die Verarbeitung im Bereich Polizei und Strafjustiz nicht zweckdienlich. Artikel 8 enthält in Anlehnung an Artikel 8 der Richtlinie 95/46/EG ein allgemeines Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten sowie die Ausnahmen von diesem Verbot, in die nach der Rechtsprechung des EGMR[27] die genetischen Daten einbezogen werden. Im Einklang mit Artikel 7 des Rahmenbeschlusses 2008/977/JI enthält Artikel 9 ein Verbot von ausschließlich automatisierter Verarbeitung personenbezogener Daten, wenn diese nicht aufgrund eines Gesetzes zulässig ist, das angemessene Garantien vorsieht. 3.4.3. KAPITEL III – RECHTE DER BETROFFENEN PERSON Artikel 10 verpflichtet die Mitgliedstaaten zur Transparenz durch Bereitstellung leicht zugänglicher und verständlicher Informationen in Anlehnung an den Grundsatz 10 der Madrider Entschließung zu Internationalen Standards zum Schutz der Privatsphäre[28] sowie dazu, die für die Verarbeitung Verantwortlichen zu verpflichten, Verfahren vorzusehen und Vorkehrungen zu treffen, damit die betroffenen Personen ihre Rechte besser wahrnehmen können. Hierzu gehört auch das Erfordernis, dass die Inanspruchnahme der Rechte in der Regel kostenlos sein sollte. Artikel 11 enthält die Verpflichtung der Mitgliedstaaten, die Information der betroffenen Person sicherzustellen. Grundlage hierfür bilden die Artikel 10 und 11 der Richtlinie 95/46/EG, allerdings ohne zu unterscheiden, ob die Daten bei der betroffenen Person selbst erhoben wurden oder nicht, und unter Erweiterung der Informationspflichten. In Anlehnung an Artikel 13 der Richtlinie 95/46/EG und Artikel 17 des Rahmenbeschlusses 2008/977/JI enthält der Artikel auch Ausnahmen von der Informationspflicht, soweit diese Ausnahmen verhältnismäßig und in einer demokratischen Gesellschaft notwendig sind, um den zuständigen Behörden die Wahrnehmung ihrer Aufgaben zu ermöglichen. Artikel 12 schreibt den Mitgliedstaaten vor sicherzustellen, dass die betroffene Person Auskunft über ihre personenbezogenen Daten erhält. Er basiert auf Artikel 12 Buchstabe a der Richtlinie 95/46/EG, enthält jedoch einige neue Elemente, zu denen die betroffenen Personen Auskunft erhalten müssen (Speicherfrist, Recht auf Berichtigung, auf Löschung oder Einschränkung der Verarbeitung sowie zum Beschwerderecht). Artikel 13 sieht vor, dass die Mitgliedstaaten Rechtsvorschriften erlassen können, die das Auskunftsrecht beschränken, wenn dies aufgrund der besonderen Art der Datenverarbeitung im polizeilichen Bereich und im Bereich der Strafjustiz geboten scheint, sowie über die Unterrichtung der betroffenen Person über die Beschränkung des Auskunftsrechts; diese Bestimmung entspricht Artikel 17 Absätze 2 und 3 des Rahmenbeschlusses 2008/977/JI. Artikel 14 regelt, dass in Fällen, in denen das direkte Auskunftsrecht eingeschränkt ist, die betroffene Person über die Möglichkeit unterrichtet werden muss, über die Aufsichtsbehörde mittelbare Auskunft zu erhalten, die das Recht an ihrer Stelle ausüben kann und die betroffene Person über das Ergebnis ihrer Nachforschungen informieren muss. Artikel 15 zum Recht auf Berichtigung geht auf Artikel 12 Buchstabe b der Richtlinie 95/46/EG zurück und auf Artikel 18 Absatz 1 des Rahmenbeschlusses 2008/977/JI, soweit es um die Pflichten im Fall der Verweigerung dieses Rechts geht. Artikel 16 zum Recht auf Löschung ist an Artikel 12 Buchstabe b der Richtlinie 95/46/EG angelehnt sowie an Artikel 18 Absatz 1 des Rahmenbeschlusses 2008/977/JI, soweit es um die Pflichten im Fall der Verweigerung dieses Rechts geht. Darüber hinaus wird ein Recht auf Markierung der Datenverarbeitung in bestimmten Fällen eingeführt. Damit wird der in Artikel 12 Buchstabe b der Richtlinie 95/46/EG und in Artikel 18 Absatz 1 des Rahmenbeschlusses 2008/977/JI verwendete mehrdeutige Ausdruck „Sperrung“ ersetzt. Artikel 17 betrifft die Berichtigung und Löschung sowie die Einschränkung der Verarbeitung in Gerichtsverfahren und liefert eine Klarstellung zu Artikel 4 Absatz 4 des Rahmenbeschlusses 2008/977/JI. 3.4.4. KAPITEL IV - FÜR DIE VERARBEITUNG VERANTWORTLICHER UND AUFTRAGSVERARBEITER 3.4.4.1. ABSCHNITT 1 – ALLGEMEINE PFLICHTEN Artikel 18 enthält eine Beschreibung der dem für die Verarbeitung Verantwortlichen obliegenden Verpflichtung, dieser Richtlinie nachzukommen, unter anderem durch die Einführung entsprechender Maßnahmen und Verfahren. Artikel 19 verlangt von den Mitgliedstaaten, dafür zu sorgen, dass der für die Verarbeitung Verantwortliche den Pflichten nachkommt, die ihm aus dem Grundsatz des Datenschutzes durch Technik und dem Gebot datenschutzfreundlicher Voreinstellungen erwachsen. Artikel 20 präzisiert den Status von gemeinsam für die Verarbeitung Verantwortlichen in Bezug auf ihr Verhältnis untereinander. Artikel 21, der zum Teil auf Artikel 17 Absatz 2 der Richtlinie 95/46/EG basiert, präzisiert die Stellung und Pflichten eines Auftragsverarbeiters und enthält unter anderem die Neuregelung, wonach ein Auftragsverarbeiter, der über die Anweisungen des für die Verarbeitung Verantwortlichen hinaus Daten verarbeitet, als Mitverantwortlicher für die Verarbeitung gilt. Artikel 22, der die Verarbeitung unter der Aufsicht des für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters regelt, entspricht Artikel 16 der Richtlinie 95/46/EG. Artikel 23 führt für den für die Verarbeitung Verantwortlichen und den Auftragsverarbeiter die Pflicht ein, alle unter ihrer Verantwortung stehenden Verarbeitungssysteme und -verfahren zu dokumentieren. Artikel 24 regelt die Aufzeichnungspflichten im Einklang mit Artikel 10 Absatz 1 des Rahmenbeschlusses 2008/977 mit weiteren Klarstellungen. Artikel 25 regelt die Pflicht des für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters zur Zusammenarbeit mit der Aufsichtsbehörde. Artikel 26 betrifft Fälle, in denen vor der Verarbeitung der Daten die Aufsichtsbehörde zu Rate zu ziehen ist. Diese Bestimmung fußt auf Artikel 23 des Rahmenbeschlusses 2008/977/JI. 3.4.4.2. ABSCHNITT 2 – DATENSICHERHEIT Artikel 27 zur Sicherheit der Verarbeitung basiert auf Artikel 17 Absatz 1 der Richtlinie 95/46/EG und Artikel 22 des Rahmenbeschlusses 2008/977/JI; die entsprechenden Pflichten werden jetzt ungeachtet des Vertragsverhältnisses zwischen dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter auf Letztere ausgedehnt. Die Artikel 28 und 29 führen in Anlehnung an Artikel 4 Absatz 3 der Richtlinie 2002/58/EG über den Datenschutz in der elektronischen Kommunikation eine Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten ein, wobei unterschieden wird zwischen der Meldepflicht gegenüber der Aufsichtsbehörde (Artikel 28) und der unter bestimmten Umständen bestehenden Pflicht zur Benachrichtigung der betroffenen Person (Artikel 29). Artikel 29 sieht unter Bezugnahme auf Artikel 11 Absatz 4 auch Ausnahmen vor. 3.4.4.3. ABSCHNITT 3 – DATENSCHUTZBEAUFTRAGTER Artikel 30 schreibt zwingend vor, dass der für die Verarbeitung Verantwortliche einen Datenschutzbeauftragten benennen muss, dem die in Artikel 32 genannten Aufgaben obliegen. Handeln mehrere zuständige Behörden unter der Aufsicht einer zentralen Behörde, die als Verarbeitungsverantwortlicher fungiert, muss zumindest diese Behörde einen Datenschutzbeauftragten benennen. Artikel 18 Absatz 2 der Richtlinie 95/46/EG bot den Mitgliedstaaten die Möglichkeit, als Ersatz für die allgemeine Meldepflicht die Bestellung eines Datenschutzbeauftragten vorzusehen. Artikel 31 regelt die Stellung des Datenschutzbeauftragten. Artikel 32 regelt die Aufgaben des Datenschutzbeauftragten. 3.4.5. KAPITEL V – ÜBERMITTLUNG PERSONENBEZOGENER DATEN IN DRITTLÄNDER ODER AN INTERNATIONALE ORGANISATIONEN Artikel 33 regelt, welche allgemeinen Grundsätze für die Übermittlung oder Weitergabe personenbezogener Daten an Drittländer oder internationale Organisationen im Bereich der polizeilichen oder justiziellen Zusammenarbeit in Strafsachen gelten. Es wird klargestellt, dass Daten nur dann in ein Drittland übermittelt werden dürfen, wenn dies für die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder für die Strafvollstreckung notwendig ist. Nach Artikel 34 dürfen Daten an ein Drittland übermittelt werden, zu dem die Kommission nach der Verordnung…/../201X einen Angemessenheitsbeschluss erlassen hat, oder wenn es speziell um den Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen geht oder ansonsten, wenn geeignete Garantien bestehen. Solange keine Angemessenheitsbeschlüsse vorliegen, stellt die Richtlinie sicher, dass auf der Grundlage geeigneter Garantien und Ausnahmen weiterhin Daten übermittelt werden können. Ansonsten erläutert der Artikel die Kriterien, die für die Beurteilung eines angemessenen Schutzniveaus maßgeblich sind; ausdrücklich werden dabei die Rechtsstaatlichkeit, der gerichtliche Rechtsschutz und eine unabhängige Aufsicht genannt. Der Artikel gibt der Kommission die Möglichkeit, das Schutzniveau in einem Gebiet oder einem Verarbeitungssektor eines Drittlands zu beurteilen. Nach diesem Artikel soll ein nach Artikel 38 der Datenschutz-Grundverordnung erlassener Angemessenheitsbeschluss im Rahmen dieser Richtlinie anwendbar sein. Die Kommission kann einen Angemessenheitsbeschluss jedoch auch ausschließlich für die Zwecke dieser Richtlinie erlassen. Artikel 35 bestimmt, dass bei Fehlen eines Angemessenheitsbeschlusses der Kommission vor einer Datenübermittlung in ein Drittland angemessene Datenschutzgarantien vorhanden sein müssen. Diese Garantien können in einem rechtsverbindlichen Instrument, zum Beispiel in einem internationalen Abkommen, festgelegt sein. Wahlweise kann der für die Verarbeitung Verantwortliche nach Prüfung der für die Datenübermittlung relevanten Umstände zu dem Schluss kommen, dass solche Garantien gegeben sind. In Artikel 36, der Artikel 26 der Richtlinie 95/46/EG sowie Artikel 13 des Rahmenbeschlusses 2008/977/JI entlehnt ist, ist geregelt, wann Datenübermittlungen vorgenommen werden dürfen. Artikel 37 verpflichtet die Mitgliedstaaten vorzusehen, dass der für die Verarbeitung Verantwortliche den Empfänger über jede Beschränkung der Verarbeitung unterrichtet und alle zweckdienlichen Maßnahmen ergreift, um zu gewährleisten, dass diese Beschränkungen von den Empfängern der personenbezogenen Daten in dem Drittland oder der internationalen Organisation beachtet werden. In Artikel 38 ist konkret vorgesehen, dass die Kommission und die Aufsichtsbehörden von Drittländern, insbesondere der Länder, deren Schutzniveau als angemessen angesehen wird, Verfahren für die internationale Zusammenarbeit zum Schutz personenbezogener Daten unter Berücksichtigung der OECD-Empfehlung vom 12. Juni 2007 über die grenzüberschreitende Zusammenarbeit bei der Anwendung von Datenschutzgesetzen entwickeln. 3.4.6. KAPITEL VI – NATIONALE AUFSICHTSBEHÖRDEN 3.4.6.1. ABSCHNITT 1 – UNABHÄNGIGKEIT Artikel 39 verpflichtet die Mitgliedstaaten in Anlehnung an Artikel 28 Absatz 1 der Richtlinie 95/46/EG und an Artikel 25 des Rahmenbeschlusses 2008/977/JI, Aufsichtsbehörden einzurichten, zu deren Aufgaben auch die Zusammenarbeit untereinander sowie mit der Kommission zählt, um so zur einheitlichen Anwendung dieser Richtlinie in der Union beizutragen. Dabei kann es sich um dieselbe Aufsichtsbehörde wie die aufgrund der Datenschutz-Grundverordnung errichtete Behörde handeln. Artikel 40 präzisiert die Kriterien für die Unabhängigkeit der Aufsichtsbehörden im Einklang mit der Rechtsprechung des Gerichtshofs der Europäischen Union[29] und in Anlehnung an Artikel 44 der Verordnung (EG) Nr. 45/2001[30]. Artikel 41 regelt in Anlehnung an die einschlägige Rechtsprechung[31] und Artikel 42 Absätze 2 bis 6 der Verordnung (EG) Nr. 45/2001 die allgemeinen Anforderungen an die Mitglieder der Aufsichtsbehörde. Artikel 42 bestimmt, welche Aspekte in Bezug auf die Aufsichtsbehörden und deren Mitglieder im innerstaatlichen Recht der Mitgliedstaaten zu regeln sind. Artikel 43 zur Verschwiegenheitspflicht der Mitglieder und Bediensteten der Aufsichtsbehörde basiert auf Artikel 28 Absatz 7 der Richtlinie 95/46/EG und Artikel 25 Absatz 4 des Rahmenbeschlusses 2008/977/JI. 3.4.6.2. ABSCHNITT 2 – AUFGABEN UND BEFUGNISSE In Artikel 44 sind in Anlehnung an Artikel 28 Absatz 6 der Richtlinie 95/46/EG und Artikel 25 Absatz 1 des Rahmenbeschlusses 2008/977/JI die Zuständigkeiten der Aufsichtsbehörden festgeschrieben. Gerichte unterliegen dem materiellen Datenschutzrecht, sind aber von der Überwachung durch die Aufsichtsbehörde ausgenommen, wenn sie in ihrer Eigenschaft als Rechtsprechungsorgan tätig sind. Artikel 45 verpflichtet die Mitgliedstaaten, die Pflichten der Aufsichtsbehörde festzulegen, darunter die Prüfung von Beschwerden sowie die Aufklärung der Öffentlichkeit über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten. Eine besondere Aufgabe der Aufsichtsbehörden im Rahmen dieser Richtlinie besteht darin, das Auskunftsrecht namens der betroffenen Personen für den Fall auszuüben, dass diesen die Auskunft verweigert oder ihr Auskunftsrecht eingeschränkt wird, und die Rechtmäßigkeit der Datenverarbeitung zu prüfen. Artikel 46, der sich auf Artikel 28 Absatz 3 der Richtlinie 95/46/EG und Artikel 25 Absätze 2 und 3 des Rahmenbeschlusses 2008/977/JI stützt, betrifft die Befugnisse der Aufsichtsbehörde. Artikel 47 verpflichtet die Aufsichtsbehörden nach dem Vorbild des Artikels 28 Absatz 5 der Richtlinie 95/46/EG zur jährlichen Berichterstattung über ihre Tätigkeit. 3.4.7. KAPITEL VII – ZUSAMMENARBEIT Artikel 48 verpflichtet die Aufsichtsbehörden, einander Amtshilfe zu leisten, während Artikel 28 Absatz 6 Absatz 2 der Richtlinie 95/46/EG lediglich die Verpflichtung zur Zusammenarbeit ohne weitere Präzisierung enthält. Gemäß Artikel 49 nimmt der durch die Datenschutz-Grundverordnung eingerichtete Europäische Datenschutzausschuss seine Aufgaben auch in Bezug auf Verarbeitungsvorgänge wahr, die in den Anwendungsbereich dieser Richtlinie fallen. Als zusätzliche Unterstützung wird die Kommission über eine Expertengruppe zu den Strafverfolgungsaspekten des Datenschutzes den Rat von Vertretern der in den Mitgliedstaaten für die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten und die Strafvollstreckung zuständigen Behörden sowie von Vertretern von Europol und Eurojust einholen. 3.4.8. KAPITEL VIII – RECHTSBEHELFE, HAFTUNG UND SANKTIONEN Artikel 50 legt in Anlehnung an Artikel 28 Absatz 4 der Richtlinie 95/46/EG das Recht des Betroffenen auf Beschwerde bei einer Aufsichtsbehörde in Bezug auf jeden den Beschwerdeführer betreffenden Verstoß gegen die Richtlinie fest. Darüber hinaus wird präzisiert, welche Einrichtungen, Organisationen oder Verbände im Namen der betroffenen Person Beschwerde führen können. Im Falle einer Verletzung des Schutzes personenbezogener Daten können sie auch unabhängig von einer Beschwerde der betroffenen Person tätig werden. Artikel 51 schreibt das Recht auf gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde fest. Er stützt sich auf die allgemeine Bestimmung des Artikels 28 Absatz 3 der Richtlinie 95/46/EG und bestimmt insbesondere, dass die betroffene Person vor Gericht gehen kann, um eine Aufsichtsbehörde zu zwingen, im Fall einer Beschwerde tätig zu werden. Artikel 52, der sich auf Artikel 22 der Richtlinie 95/46/EG und Artikel 20 des Rahmenbeschlusses 2008/977/JI stützt, betrifft das Recht auf gerichtlichen Rechtsbehelf gegen einen für die Verarbeitung Verantwortlichen oder einen Auftragsverarbeiter. Artikel 53 legt gemeinsame Vorschriften für Gerichtsverfahren fest, darunter das Recht von Einrichtungen, Organisationen oder Verbänden, betroffene Personen vor Gericht zu vertreten, sowie das Klagerecht der Aufsichtsbehörden. Die Verpflichtung der Mitgliedstaaten, für zügige Gerichtsverfahren zu sorgen, erfolgt in Anlehnung an Artikel 18 Absatz 1 der Richtlinie über den elektronischen Geschäftsverkehr[32]. Nach Artikel 54 sind die Mitgliedstaaten verpflichtet, das Recht auf Schadenersatz vorzusehen. Dieses auf Artikel 23 der Richtlinie 95/46/EG und Artikel 19 Absatz 1 des Rahmenbeschlusses 2008/977/JI basierende Recht wird auf Schäden erweitert, die der Auftragsverarbeiter verursacht hat. Näher geregelt wird auch die Haftung im Fall mehrerer Mitverantwortlicher. Artikel 55 verpflichtet die Mitgliedstaaten, Vorschriften einzuführen, um Verstöße gegen die Richtlinie zu ahnden und dafür zu sorgen, dass diese Vorschriften angewandt werden. 3.4.9. KAPITEL X – DELEGIERTE RECHTSAKTE UND DURCHFÜHRUNGSRECHTSAKTE Artikel 56 enthält die Standardbestimmung für die Übertragung der Befugnis zum Erlass delegierter Rechtsakte gemäß Artikel 290 AEUV. Der Gesetzgeber kann der Kommission demnach die Befugnis übertragen, Rechtsakte ohne Gesetzescharakter mit allgemeiner Geltung zur Ergänzung oder Änderung bestimmter nicht wesentlicher Vorschriften eines Gesetzgebungsakts zu erlassen („quasi-legislative Rechtsakte“). Artikel 57 regelt das Ausschussverfahren für die Übertragung von Durchführungsbefugnissen auf die Kommission in Fällen, in denen es nach Artikel 291 AEUV einheitlicher Bedingungen für die Durchführung der verbindlichen Rechtsakte der Union bedarf. Es gilt das Prüfverfahren. 3.4.10. KAPITEL XI – SCHLUSSBESTIMMUNGEN Mit Artikel 58 wird der Rahmenbeschluss 2008/977/JI aufgehoben. Gemäß Artikel 59 sollen die besonderen Bestimmungen für die Verarbeitung personenbezogener Daten durch eine zuständige Behörde zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung, die in vor Erlass dieser Richtlinie erlassenen Rechtsakten der Union enthalten sind, die die Verarbeitung personenbezogener Daten oder den Zugang zu den Informationssystemen im Anwendungsbereich der Richtlinie regeln, bestehen bleiben. Artikel 60 stellt das Verhältnis dieser Richtlinie zu bestehenden internationalen Übereinkünfte der Mitgliedstaaten im Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen klar. Nach Artikel 61 ist die Kommission verpflichtet, die Umsetzung der Richtlinie zu bewerten und darüber Bericht zu erstatten, um zu beurteilen, inwieweit eine Anpassung der zuvor erlassenen, in Artikel 59 genannten besonderen Bestimmungen an diese Richtlinie erforderlich ist. Artikel 62 enthält die Verpflichtung der Mitgliedstaaten, die Richtlinie in innerstaatliches Recht umzusetzen und der Kommission die nach Maßgabe der Richtlinie erlassenen Bestimmungen zu übermitteln. Artikel 63 legt den Zeitpunkt des Inkrafttretens der Richtlinie fest. Artikel 64 gibt an, an wen sich diese Richtlinie richtet. 4. AUSWIRKUNGEN AUF DEN HAUSHALT Der Finanzbogen zu dem Vorschlag für eine Datenschutz-Grundverordnung gibt Aufschluss über die budgetären Auswirkungen der Verordnung und dieser Richtlinie. 2012/0010 (COD) Vorschlag für RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION – gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16 Absatz 2, auf Vorschlag der Europäischen Kommission, nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente, nach Anhörung des Europäischen Datenschutzbeauftragten,[33] gemäß dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1) Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union und Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union besagen, dass jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. (2) Die Verarbeitung personenbezogener Daten steht im Dienste des Menschen; die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten daher gewährleisten, dass ungeachtet der Staatsangehörigkeit oder des Aufenthaltsorts der betreffenden Person deren Grundrechte und Grundfreiheiten und insbesondere deren Anspruch auf Schutz personenbezogener Daten gewahrt bleiben. Die Datenverarbeitung sollte zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts beitragen. (3) Der rasche technologische Fortschritt und die Globalisierung stellen den Datenschutz vor neue Herausforderungen. Datenerhebung und Datenaustausch haben massive Ausmaße angenommen. Die Technik macht es möglich, dass die zuständigen Behörden in einem noch nie dagewesenen Umfang auf personenbezogene Daten zurückgreifen. (4) Dies setzt voraus, dass der Datenverkehr zwischen den zuständigen Behörden innerhalb der Union sowie die Datenübermittlung an Drittländer und internationale Organisationen erleichtert werden und dabei gleichzeitig ein hohes Maß an Datenschutz gewährleistet wird. Hierzu bedarf es solider und stärker aufeinander abgestimmter Datenschutzbestimmungen in der Union, die konsequent durchgesetzt werden. (5) Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr[34] gilt für jegliche Verarbeitung personenbezogener Daten in den Mitgliedstaaten sowohl im öffentlichen als auch im privaten Bereich. Ausgenommen ist jedoch die „Verarbeitung personenbezogener Daten, die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen“, beispielsweise im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit. (6) Für den Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit gilt der Rahmenbeschluss 2008/977/JI des Rates vom 27. November 2008 über den Schutz personenbezogener Daten, die im Rahmen der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit verarbeitet werden[35]. Der Anwendungsbereich dieses Rahmenbeschlusses beschränkt sich auf die Verarbeitung personenbezogener Daten, die zwischen Mitgliedstaaten weitergegeben oder bereitgestellt werden. (7) Für den Zweck der wirksamen justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit ist es entscheidend, einen durchweg hohen Schutz der personenbezogenen Daten natürlicher Personen zu gewährleisten und den Austausch personenbezogener Daten zwischen den zuständigen Behörden der Mitgliedstaaten zu erleichtern. Im Hinblick darauf muss dafür gesorgt werden, dass die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung in allen Mitgliedstaaten gleichermaßen geschützt werden. Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert nicht nur eine Stärkung der Rechte der betroffenen Personen und eine Verschärfung der Auflagen für diejenigen, die personenbezogene Daten verarbeiten, sondern auch gleiche Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten. (8) Artikel 16 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union sieht den Erlass von Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und über den freien Verkehr solcher Daten durch das Europäische Parlament und den Rat vor. (9) Auf dieser Grundlage sind in der Verordnung EU …../2012 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) allgemeine Bestimmungen für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr personenbezogener Daten in der Union niedergelegt. (10) In der Erklärung Nr. 21 zum Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit im Anhang zur Schlussakte der Regierungskonferenz, die den Vertrag von Lissabon annahm, erkannte die Regierungskonferenz an, dass es sich aufgrund des spezifischen Charakters dieser Bereiche als erforderlich erweisen könnte, auf Artikel 16 des Vertrags über die Arbeitsweise der Europäischen Union gestützte Vorschriften über den Schutz personenbezogener Daten und den freien Datenverkehr zu erlassen. (11) Daher sollte eine Richtlinie verabschiedet werden, die den Besonderheiten dieses Bereichs Rechnung trägt und Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung enthält. (12) Um zu gewährleisten, dass jeder in der Union auf der Grundlage unionsweit durchsetzbarer Rechte das gleiche Maß an Schutz genießt und Unterschiede, die den Austausch personenbezogener Daten zwischen den zuständigen Behörden behindern könnten, beseitigt werden, sollte die Richtlinie harmonisierte Vorschriften für den Schutz personenbezogener Daten und den freien Datenverkehr im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit festlegen. (13) Diese Richtlinie erlaubt bei der Anwendung ihrer Bestimmungen die Berücksichtigung des Grundsatzes des Zugangs der Öffentlichkeit zu amtlichen Dokumenten. (14) Der durch diese Richtlinie gewährte Schutz sollte für die Verarbeitung personenbezogener Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gelten. (15) Der Schutz natürlicher Personen sollte technologieneutral sein und nicht von den verwendeten Verfahren abhängen, da andernfalls ein ernsthaftes Risiko einer Umgehung der Vorschriften bestünde. Er sollte für die automatisierte Verarbeitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung solcher Daten, wenn diese in einem Ablagesystem gespeichert sind oder gespeichert werden sollen. Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollten vom Anwendungsbereich der Richtlinie ausgenommen werden. Diese Richtlinie sollte nicht für die Verarbeitung von personenbezogenen Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, insbesondere im Bereich der nationalen Sicherheit, oder für Daten gelten, die von den Organen, Einrichtungen, Ämtern und Agenturen der Europäischen Union verarbeitet werden. (16) Die Schutzprinzipien sollten für alle Informationen gelten, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Um festzustellen, ob eine natürliche Person bestimmbar ist, sind alle Mittel zu berücksichtigen, die von dem für die Verarbeitung Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen zur Identifizierung der Person genutzt werden dürften. Die Grundsätze des Datenschutzes sollten nicht für Daten gelten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht mehr identifiziert werden kann. (17) Zu den personenbezogenen Gesundheitsdaten sollten alle Daten gezählt werden, die sich auf den Gesundheitszustand einer betroffenen Person beziehen, außerdem Informationen über die Vormerkung der betreffenden Person zur Erbringung medizinischer Leistungen, Angaben über Zahlungen oder die Berechtigung zum Empfang medizinischer Dienstleistungen, Nummern, Symbole oder Kennzeichen, die einer bestimmten Person zugeteilt wurden, um diese für medizinische Zwecke eindeutig zu identifizieren, jede Art von Informationen über die betreffende Person, die im Rahmen der Erbringung von medizinischen Dienstleistungen erhoben wurden, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, darunter biologischer Proben, abgeleitet wurden, die Identifizierung einer Person als Erbringer einer Gesundheitsleistung für die betroffene Person sowie Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, gleich, ob sie von einem Arzt oder sonstigem medizinischen Personal, einem Krankenhaus, einem medizinischen Gerät oder einem In-Vitro-Diagnose-Test stammen. (18) Jede Verarbeitung personenbezogener Daten sollte gegenüber den betroffenen Personen nach Treu und Glauben sowie nach Recht und Gesetz erfolgen. Vor allem sollten die jeweiligen Zwecke der Datenverarbeitung eindeutig festgelegt sein. (19) Zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten müssen die zuständigen Behörden personenbezogene Daten, die im Zusammenhang mit der Verhütung, Aufdeckung, Untersuchung oder Verfolgung einer bestimmten Straftat erhoben wurden, auch speichern und in einem anderen Kontext verarbeiten können, um sich ein Bild der kriminellen Erscheinungen und Trends machen, Erkenntnisse über Netzwerke der organisierten Kriminalität sammeln und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können. (20) Personenbezogene Daten sollten nur für Zwecke verarbeitet werden, die mit dem Zweck ihrer Erhebung vereinbar sind. Personenbezogene Daten sollten dem Zweck angemessen und sachlich relevant sowie im Verhältnis zu den Zwecken der Datenverarbeitung nicht exzessiv sein. Es sollten alle vertretbaren Schritte unternommen werden, damit unrichtige oder unvollständige personenbezogene Daten berichtigt oder gelöscht werden. (21) Der Grundsatz der sachlichen Richtigkeit der Daten sollte unter Berücksichtigung von Art und Zweck der jeweiligen Verarbeitung angewandt werden. Aussagen, die personenbezogene Daten enthalten, basieren gerade in Gerichtsverfahren auf der subjektiven Wahrnehmung von Personen und sind nicht immer nachprüfbar. Infolgedessen sollte sich der Grundsatz der sachlichen Richtigkeit nicht auf die Richtigkeit einer Aussage beziehen, sondern lediglich auf die Tatsache, dass eine bestimmte Aussage gemacht worden ist. (22) Bei der Auslegung und Anwendung der allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sollte den Besonderheiten dieses Bereichs und dessen spezifischen Zielen Rechnung getragen werden. (23) Bei der Verarbeitung personenbezogener Daten im Rahmen der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit geht es naturgemäß um betroffene Personen verschiedener Kategorien. Daher sollte so weit wie möglich klar zwischen den personenbezogenen Daten der einzelnen Kategorien betroffener Personen unterschieden werden wie Verdächtigte, verurteilte Straftäter, Opfer und Dritte, beispielsweise Zeugen, Personen, die über einschlägige Informationen verfügen, oder Personen, die mit Verdächtigten oder verurteilten Straftätern in Kontakt oder in Verbindung stehen. (24) Die personenbezogenen Daten sollten so weit wie möglich nach ihrer Richtigkeit und Zuverlässigkeit unterschieden werden. Fakten sollten von persönlichen Einschätzungen unterschieden werden, um den Schutz des Betroffenen und gleichzeitig auch die Qualität und Zuverlässigkeit der von den zuständigen Behörden verarbeiteten Informationen zu gewährleisten. (25) Die Verarbeitung personenbezogener Daten sollte nur dann als rechtmäßig gelten, wenn sie zur Erfüllung einer gesetzlichen Verpflichtung des für die Verarbeitung Verantwortlichen, zur Wahrnehmung einer Aufgabe, die eine zuständige Behörde im öffentlichen Interesse aufgrund des Gesetzes oder zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person ausführt, oder zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentliche Sicherheit erforderlich ist. (26) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte oder der Privatsphäre besonders sensibel sind, wie zum Beispiel genetische Daten, bedürfen eines besonderen Schutzes. Solche Daten sollten nur dann verarbeitet werden, wenn die Verarbeitung durch eine Rechtsvorschrift, die geeignete Garantien für die rechtmäßigen Interessen der betroffenen Person enthält, ausdrücklich erlaubt ist, die Verarbeitung zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person erforderlich ist oder sich auf Daten bezieht, die die betroffene Person offenkundig öffentlich gemacht hat. (27) Eine natürliche Person sollte das Recht haben, keiner Maßnahme unterworfen zu werden, die allein auf automatischer Datenverarbeitung basiert, wenn dadurch eine nachteilige Rechtsfolge für die betroffene Person entsteht, es sei denn, sie ist gesetzlich erlaubt und mit geeigneten Garantien für die rechtmäßigen Interessen der betroffenen Person verbunden. (28) Damit die betroffene Person ihre Rechte wahrnehmen kann, sollten die Informationen für sie leicht zugänglich und verständlich, also unter anderem klar und einfach abgefasst sein. (29) Es gilt, die Modalitäten festzulegen, die es einer betroffenen Person ermöglichen, die ihr durch diese Richtlinie gewährten Rechte wahrzunehmen, etwa dafür, wie sie kostenfrei Auskunft über die Daten erlangen oder deren Berichtigung oder Löschung fordern kann. Der für die Verarbeitung Verantwortliche sollte verpflichtet werden, ohne unangemessene Verzögerung auf das Ansuchen der betroffenen Person zu antworten. (30) Der Grundsatz von Treu und Glauben bei der Verarbeitung verlangt, dass die betroffene Person insbesondere über die Existenz des Verarbeitungsvorgangs und seine Zwecke, die Speicherfrist, das Recht auf Auskunft sowie das Recht auf Berichtigung und Löschung der Daten und das Beschwerderecht informiert wird. Werden die Daten bei der betroffenen Person erhoben, sollte dieser darüber hinaus mitgeteilt werden, ob sie verpflichtet ist, die Daten bereitzustellen, und welche Folgen die Verweigerung der Daten hat. (31) Die Unterrichtung einer betroffenen Person darüber, dass sie betreffende personenbezogene Daten verarbeitet werden, sollte zum Zeitpunkt der Erhebung erfolgen oder, falls die Daten nicht bei der betroffenen Person erhoben werden, zum Zeitpunkt der Erfassung oder innerhalb einer angemessenen Frist nach der Erhebung unter Berücksichtigung der jeweiligen Umstände der Verarbeitung. (32) Jede Person sollte ein Auskunftsrecht hinsichtlich der Daten, die bei ihr erhoben worden sind, haben und dieses Recht problemlos wahrnehmen können, um sich von der Rechtmäßigkeit ihrer Verarbeitung überzeugen zu können. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, zu welchen Zwecken die Daten verarbeitet werden, wie lange sie gespeichert werden und wer die Empfänger der Daten sind, auch wenn es sich um Empfänger in Drittländern handelt. Die betroffenen Personen sollten eine Kopie ihrer personenbezogenen Daten, die einer Verarbeitung unterzogen werden, erhalten können. (33) Den Mitgliedstaaten sollte gestattet sein, Rechtsvorschriften zu erlassen, mit denen die Information der betroffenen Person oder die Auskunft über ihre personenbezogenen Daten in einem solchen Umfang und so lange zeitweilig oder dauerhaft zurückgestellt oder eingeschränkt wird, wie diese teilweise oder vollständige Einschränkung dieser Rechte in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist und sofern den berechtigten Interessen der betroffenen Person Rechnung getragen wurde, wenn dadurch gewährleistet wird, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen und Verfahren nicht behindert, die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder die Strafvollstreckung nicht gefährdet, die öffentliche und die nationale Sicherheit oder die betroffene Person oder die Rechte und Freiheiten anderer geschützt werden. (34) Eine Verweigerung oder Einschränkung der Auskunft sollte der betroffenen Person unter Angabe der sachlichen oder rechtlichen Gründe hierfür schriftlich mitgeteilt werden. (35) Erlassen Mitgliedstaaten Rechtsvorschriften, mit denen das Auskunftsrecht vollständig oder teilweise eingeschränkt wird, sollte die betroffene Person die zuständige nationale Aufsichtsbehörde ersuchen können, die Rechtmäßigkeit der Verarbeitung zu überprüfen. Die betroffene Person sollte über dieses Recht unterrichtet werden. Nimmt die Aufsichtsbehörde im Namen der betroffenen Person das Auskunftsrecht wahr, sollte sie die betroffene Person mindestens darüber informieren, ob sie alle erforderlichen Überprüfungen vorgenommen und was die Prüfung der Rechtmäßigkeit der fraglichen Verarbeitung erbracht hat. (36) Jede Person sollte das Recht auf Berichtigung sie betreffender unrichtiger personenbezogener Daten sowie das Recht auf Löschung besitzen, wenn die Verarbeitung ihrer Daten unter Verstoß gegen die Grundprinzipien dieser Richtlinie erfolgt. Werden personenbezogene Daten im Zusammenhang mit strafrechtlichen Ermittlungen oder einem Strafverfahren verarbeitet, erfolgen Berichtigung, Information, Auskunft, Löschung oder Einschränkung der Verarbeitung nach Maßgabe des einzelstaatlichen Strafprozessrechts. (37) Es sollten umfassende Bestimmungen über die Verantwortung und die Haftung des für die Verarbeitung Verantwortlichen für jedwede durch diesen oder in dessen Namen erfolgende Verarbeitung personenbezogener Daten festgelegt werden. Vor allem sollte der für die Verarbeitung Verantwortliche dafür Sorge tragen, dass die Verarbeitung nach den nach Maßgabe dieser Richtlinie erlassenen Vorschriften erfolgt ist. (38) Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten der betroffenen Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen getroffen werden, damit die Anforderungen dieser Richtlinie erfüllt werden. Um zu gewährleisten, dass die nach Maßgabe dieser Richtlinie erlassenen Vorschriften erfüllt werden, sollte der für die Verarbeitung Verantwortliche Strategien festlegen und geeignete Maßnahmen ergreifen, die den Grundsätzen des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen entsprechen. (39) Zum Schutz der Rechte und Freiheiten der betroffenen Personen sowie zur Klärung der Verantwortung und der Haftung der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter bedarf es einer klaren Zuteilung der Verantwortlichkeiten durch diese Richtlinie, insbesondere für Fälle, in denen ein für die Verarbeitung Verantwortlicher die Verarbeitungszwecke, -bedingungen und ‑mittel gemeinsam mit anderen für die Verarbeitung Verantwortlichen festlegt oder ein Verarbeitungsvorgang im Auftrag eines für die Verarbeitung Verantwortlichen durchgeführt wird. (40) Verarbeitungsvorgänge sollten zur Kontrolle der Einhaltung der Richtlinie von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter dokumentiert werden. Jeder für die Verarbeitung Verantwortliche und jeder Auftragsverarbeiter sollte verpflichtet sein, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Anforderung seine dokumentarischen Unterlagen vorzulegen, damit die betreffenden Verarbeitungsvorgänge anhand dieser Unterlagen kontrolliert werden können. (41) Um einen wirksamen Schutz der Rechte und Freiheiten der betroffenen Personen durch Präventivmaßnahmen zu gewährleisten, sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter in bestimmten Fällen vor der Verarbeitung die Aufsichtsbehörde zu Rate ziehen. (42) Eine Verletzung des Schutzes personenbezogener Daten kann Schäden, beispielsweise eine Rufschädigung der betroffenen Person, hervorrufen, wenn nicht rechtzeitig und angemessen reagiert wird. Deshalb sollte der für die Verarbeitung Verantwortliche nach Bekanntwerden einer derartigen Verletzung die zuständige nationale Behörde unverzüglich in Kenntnis setzen. Natürliche Personen, deren personenbezogene Daten oder Privatsphäre durch eine Datenschutzverletzung beeinträchtigt werden könnten, sollten ohne unangemessene Verzögerung benachrichtigt werden, so dass sie die notwendigen Vorkehrungen treffen können. Die Auswirkungen einer solchen Verletzung sollten als für den Schutz der personenbezogenen Daten oder der Privatsphäre einer natürlichen Person nachteilig erachtet werden, wenn sie in Verbindung mit der Verarbeitung personenbezogener Daten zum Beispiel in Identitätsdiebstahl oder Betrug, einer körperlichen Schädigung, erheblichen Demütigung oder einer Rufschädigung bestehen können. (43) Bei der detaillierten Regelung des Formats und der Verfahren für die Meldung einer Verletzung des Schutzes personenbezogener Daten sollten die Umstände der Verletzung hinreichend berücksichtigt werden, beispielsweise ob personenbezogene Daten durch geeignete technische Schutzvorkehrungen geschützt waren, die die Wahrscheinlichkeit eines Missbrauchs wirksam verringern. Überdies sollten solche Regeln und Verfahren den berechtigten Interessen der zuständigen Behörden in Fällen Rechnung tragen, in denen die Untersuchung der Umstände der Verletzung durch ein frühzeitiges Bekanntwerden in unnötiger Weise behindert würde. (44) Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter sollte eine Person benennen, die ihn dabei unterstützt, die Einhaltung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften zu überwachen. Mehrere Dienststellen der zuständigen Behörde können gemeinsam einen Datenschutzbeauftragten bestellen. Der Datenschutzbeauftragte muss seinen Auftrag und seine Aufgaben unabhängig und wirksam wahrnehmen können. (45) Die Mitgliedstaaten sollten dafür sorgen, dass Daten nur dann in ein Drittland übermittelt werden, wenn dies für die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder für die Strafvollstreckung notwendig ist und es sich bei dem für die Verarbeitung Verantwortlichen in dem Drittland oder in der internationalen Organisation um eine zuständige Behörde im Sinne dieser Richtlinie handelt. Daten dürfen übermittelt werden, wenn die Kommission durch Beschluss festgestellt hat, dass das betreffende Drittland oder die betreffende internationale Organisation einen angemessenen Schutz bietet, oder wenn geeignete Garantien bestehen. (46) Die Kommission kann mit Wirkung für die gesamte Union beschließen, dass bestimmte Drittländer, bestimmte Gebiete oder Verarbeitungssektoren eines Drittlands oder eine internationale Organisation einen angemessenen Datenschutz bieten und somit in Bezug auf die Drittländer und internationalen Organisationen, die für fähig gehalten werden, einen solchen Schutz zu bieten, für Rechtssicherheit und eine einheitliche Rechtsanwendung in der gesamten Union sorgen. In derartigen Fällen dürfen personenbezogene Daten ohne weitere Genehmigung in diese Länder übermittelt werden. (47) In Übereinstimmung mit den Grundwerten der Union, insbesondere dem Schutz der Menschenrechte, sollte die Kommission bei der Bewertung eines Drittlands berücksichtigen, inwieweit dort die Rechtsstaatlichkeit geachtet wird, Zugang zur Justiz möglich ist und die internationalen Menschenrechtsbestimmungen eingehalten werden. (48) Die Kommission sollte gleichfalls feststellen können, dass ein Drittland, ein Gebiet oder Verarbeitungssektor eines Drittlands oder eine internationale Organisation keinen angemessenen Datenschutz bietet. Folglich sollte in diesem Fall die Übermittlung personenbezogener Daten in dieses Drittland verboten werden, es sei denn, die Daten werden auf der Grundlage einer internationalen Übereinkunft, geeigneter Garantien oder einer Ausnahmeregelung übermittelt. Es sollten Verfahren für Konsultationen zwischen der Kommission und den betreffenden Drittländern oder internationalen Organisationen vorgesehen werden. Ungeachtet eines entsprechenden Kommissionsbeschlusses sollte jedoch die Möglichkeit bestehen, Daten auf der Grundlage geeigneter Garantien oder einer in dieser Richtlinie geregelten Ausnahme zu übermitteln. (49) Datenübermittlungen, die nicht auf der Grundlage eines Angemessenheitsbeschlusses erfolgen, sollten nur dann zulässig sein, wenn in einem rechtsverbindlichen Instrument geeignete Garantien festgelegt sind, die den Schutz personenbezogener Daten gewährleisten, oder wenn der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter alle Umstände beurteilt hat, die bei der Datenübermittlung oder bei der Kategorie von Datenübermittlungen eine Rolle spielen, und auf der Grundlage dieser Beurteilung zu der Auffassung gelangt ist, dass geeignete Garantien zum Schutz personenbezogener Daten bestehen. In Fällen, in denen es keine Gründe gibt, die eine Datenübermittlung zulassen würden, sollten Ausnahmen erlaubt sein, wenn dies notwendig ist zur Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen Person, wenn dies nach dem Recht des Mitgliedstaats, aus dem die personenbezogenen Daten übermittelt werden, notwendig ist oder wenn dies zur Abwehr einer unmittelbaren, ernsthaften Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlands oder in Einzelfällen zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zur Begründung, Geltendmachung oder Abwehr von Rechtsansprüchen unerlässlich ist. (50) Wenn personenbezogene Daten in ein anderes Land übermittelt werden, kann dies dazu führen, dass die betroffene Person weniger Möglichkeiten hat, ihre Datenschutzrechte wahrzunehmen und sich gegen eine unrechtmäßige Nutzung oder Weitergabe ihrer Daten zu schützen. Ebenso kann es vorkommen, dass Aufsichtsbehörden Beschwerden nicht nachgehen oder Untersuchungen nicht durchführen können, die einen Bezug zu Tätigkeiten außerhalb der Grenzen ihres Mitgliedstaats haben. Ihre Bemühungen um grenzübergreifende Zusammenarbeit können auch durch unzureichende Präventiv- und Abhilfebefugnisse und durch nicht übereinstimmende rechtliche Regelungen behindert werden. Die Zusammenarbeit zwischen den Datenschutzbehörden muss daher gefördert werden, um ihnen den Informationsaustausch mit Aufsichtsbehörden in anderen Ländern zu erleichtern. (51) Die Einrichtung von Aufsichtsbehörden in den Mitgliedstaaten, die ihre Aufgaben völlig unabhängig erfüllen, ist ein wesentlicher Bestandteil des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten. Die Aufsichtsbehörden sollten die Anwendung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften überwachen und zu ihrer einheitlichen Anwendung in der gesamten Union beitragen, um natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. Zu diesem Zweck bedarf es der Zusammenarbeit der Aufsichtsbehörden untereinander und mit der Kommission. (52) Die Mitgliedstaaten können einer bereits gemäß der Verordnung (EU) Nr. …./2012 in den Mitgliedstaaten errichteten Aufsichtsbehörde die Verantwortung für die Aufgaben übertragen, die von den nach Maßgabe dieser Richtlinie einzurichtenden nationalen Aufsichtsbehörden auszuführen sind. (53) Die Mitgliedstaaten sollten mehr als eine Aufsichtsbehörde einrichten können, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht. Jede Aufsichtsbehörde sollte mit Finanzmitteln, Personal, Räumlichkeiten und einer Infrastruktur ausgestattet werden, die für die effektive Wahrnehmung ihrer Aufgaben, auch der Aufgaben im Zusammenhang mit der Amtshilfe und der Zusammenarbeit mit anderen Aufsichtsbehörden in der Union, notwendig und angemessen sind. (54) Die allgemeinen Anforderungen an die Mitglieder der Aufsichtsbehörde sollten gesetzlich von jedem Mitgliedstaat geregelt werden und insbesondere vorsehen, dass diese Mitglieder entweder vom Parlament oder von der Regierung des Mitgliedstaats ernannt werden; ferner sollten sie Bestimmungen über die persönliche Eignung der Mitglieder und ihren Status enthalten. (55) Obgleich diese Richtlinie auch für die Tätigkeit der nationalen Gerichte gilt, sollte sich die Zuständigkeit der Aufsichtsbehörden nicht auf die von Gerichten im Rahmen ihrer gerichtlichen Tätigkeit vorgenommenen Datenverarbeitungen erstrecken, damit die Unabhängigkeit der Richter bei der Ausübung ihrer richterlichen Aufgaben gewahrt bleibt. Diese Ausnahme sollte allerdings begrenzt werden auf rein justizielle Tätigkeiten in Gerichtssachen und sich nicht auf andere Tätigkeiten beziehen, mit denen Richter nach nationalem Recht betraut werden können. (56) Um die einheitliche Überwachung und Durchsetzung dieser Richtlinie in der gesamten Union sicherzustellen, sollten die Aufsichtsbehörden in jedem Mitgliedstaat dieselben Aufgaben und Befugnisse haben, unter anderem – insbesondere im Fall von Beschwerden natürlicher Personen – Untersuchungsbefugnisse sowie rechtsverbindliche Interventions-, Beschluss- und Sanktionsbefugnisse sowie die Befugnis, Gerichtsverfahren anzustrengen. (57) Zu den Aufgaben der Aufsichtsbehörde sollte die Bearbeitung und Untersuchung von Beschwerden betroffener Personen gehören. Die Untersuchung aufgrund einer Beschwerde sollte vorbehaltlich einer gerichtlichen Nachprüfung so weit gehen, wie dies im Einzelfall angemessen ist. Die Aufsichtsbehörde sollte die betroffene Person innerhalb einer angemessenen Frist über den Stand und die Ergebnisse der Beschwerde unterrichten. Sollten weitere Untersuchungen oder die Abstimmung mit einer anderen Aufsichtsbehörde vonnöten sein, sollte die betroffene Person auch hierüber informiert werden. (58) Die Aufsichtsbehörden sollten sich gegenseitig bei der Erfüllung ihrer Aufgaben unterstützen und einander Amtshilfe leisten, damit eine einheitliche Anwendung und Durchsetzung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften gewährleistet ist. (59) Der auf der Grundlage der Verordnung (EU) Nr. …/2012 eingerichtete Europäische Datenschutzausschuss sollte zur einheitlichen Anwendung dieser Richtlinie in der Union beitragen, die Kommission beraten und die Zusammenarbeit der Aufsichtsbehörden in der Union fördern. (60) Jede betroffene Person, die sich in ihren Rechten verletzt sieht, die ihr aufgrund dieser Richtlinie zustehen, sollte das Recht auf Beschwerde bei einer Aufsichtsbehörde in einem Mitgliedstaat sowie das Recht auf einen gerichtlichen Rechtsbehelf haben, wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird oder wenn sie nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist. (61) Einrichtungen, Organisationen oder Verbände, die sich den Schutz der Rechte und Interessen der betroffenen Personen im Bereich des Datenschutzes zum Ziel gesetzt haben und die nach dem Recht eines Mitgliedstaats gegründet sind, sollten das Recht haben, im Namen der betroffenen Person Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen, wenn sie von dieser Person hierzu bevollmächtigt wurden, oder unabhängig von der Beschwerde einer betroffenen Person eine eigene Beschwerde zu erheben, wenn ihrer Ansicht nach der Schutz personenbezogener Daten verletzt wurde. (62) Jede natürliche oder juristische Person sollte das Recht auf einen gerichtlichen Rechtsbehelf gegen sie betreffende Entscheidungen einer Aufsichtsbehörde haben. Für Verfahren gegen eine Aufsichtsbehörde sollten die Gerichte des Mitgliedstaats zuständig sein, in dem die Aufsichtsbehörde ihren Sitz hat. (63) Die Mitgliedstaaten sollten sicherstellen, dass effiziente Klagemöglichkeiten vorhanden sind, mit denen rasch Maßnahmen zur Abstellung oder Verhinderung eines Verstoßes gegen diese Richtlinie erwirkt werden können. (64) Schäden, die einer Person aufgrund einer rechtswidrigen Verarbeitung entstehen, sollten von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter ersetzt werden, der von seiner Haftung befreit werden kann, wenn er nachweist, dass der Schaden ihm nicht angelastet werden kann, insbesondere weil ein Fehlverhalten der betroffenen Person oder ein Fall höherer Gewalt vorliegt. (65) Gegen jede natürliche oder juristische – privatem oder öffentlichem Recht unterliegende – Person, die gegen diese Richtlinie verstößt, sollten Sanktionen verhängt werden. Die Mitgliedstaaten sollten dafür sorgen, dass die Sanktionen wirksam, verhältnismäßig und abschreckend sind, und alle Maßnahmen zur Anwendung der Sanktionen treffen. (66) Um die Zielvorgaben dieser Richtlinie zu erfüllen, d. h. die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihr Recht auf Schutz ihrer personenbezogenen Daten zu schützen und den ungehinderten Austausch personenbezogener Daten im Verkehr zwischen den zuständigen Behörden innerhalb der Union zu gewährleisten, sollte der Kommission die Befugnis übertragen werden, Rechtsakte nach Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union zu erlassen. Insbesondere sollten für die Meldung einer Verletzung des Schutzes von personenbezogenen Daten an die Aufsichtsbehörde delegierte Rechtsakte erlassen werden. Es ist besonders wichtig, dass die Kommission im Rahmen ihrer Vorarbeiten auch auf Sachverständigenebene geeignete Konsultationen durchführt. Die Kommission sollte bei der Vorbereitung und Ausarbeitung delegierter Rechtsakte dafür sorgen, dass das Europäische Parlament und der Rat die entsprechenden Dokumente gleichzeitig, rechtzeitig und in geeigneter Form erhalten. (67) Der Kommission sollten Durchführungsbefugnisse übertragen werden, um bezüglich der Dokumentation der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter, der Sicherheit der Verarbeitung, insbesondere in Bezug auf Verschlüsselungsstandards, der Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde sowie der Angemessenheit des Datenschutzniveaus in einem Drittland oder in einem Gebiet oder Verarbeitungssektor dieses Drittlands oder in einer internationalen Organisation einheitliche Bedingungen für die Umsetzung dieser Richtlinie zu gewährleisten. Diese Befugnisse sollten nach Maßgabe der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren,[36] ausgeübt werden. (68) Maßnahmen, die die Dokumentation der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter betreffen sowie die Sicherheit der Verarbeitung, die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und die Angemessenheit des Datenschutzniveaus in einem Drittland oder in einem Gebiet oder Verarbeitungssektor dieses Drittlands oder in einer internationalen Organisation sollten im Wege des Prüfverfahrens festgelegt werden, da es sich um Rechtsakte von allgemeiner Tragweite handelt. (69) Die Kommission sollte in hinreichend begründeten Fällen äußerster Dringlichkeit, die ein Drittland oder ein Gebiet oder einen Verarbeitungssektor in diesem Drittland oder eine internationale Organisation betreffen, die kein angemessenes Schutzniveau gewährleisten, sofort geltende Durchführungsrechtsakte erlassen. (70) Da die Ziele dieser Richtlinie, nämlich die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihr Recht auf Schutz ihrer personenbezogenen Daten und den ungehinderten Austausch personenbezogener Daten im Verkehr zwischen den zuständigen Behörden innerhalb der Union zu gewährleisten, auf Ebene der Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern wegen des Umfangs oder der Wirkungen der Maßnahme auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem Subsidiaritätsprinzip gemäß Artikel 5 des Vertrags über die Europäische Union tätig werden. Entsprechend dem in demselben Artikel genannten Verhältnismäßigkeitsprinzip geht diese Richtlinie nicht über das für die Erreichung dieser Ziele erforderliche Maß hinaus. (71) Der Rahmenbeschluss 2008/977/JI sollte durch diese Richtlinie aufgehoben werden. (72) Die besonderen Bestimmungen für die Verarbeitung personenbezogener Daten durch eine zuständige Behörde zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung, die in vor Erlass dieser Richtlinie erlassenen Rechtsakten der Union enthalten sind, die die Verarbeitung personenbezogener Daten im Verkehr der Mitgliedstaaten untereinander oder den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Europäischen Verträgen errichteten Informationssystemen regeln, sollten bestehen bleiben. Die Kommission sollte das Verhältnis zwischen dieser Richtlinie und den vor ihrem Erlass angenommenen Rechtsakten, die die Verarbeitung personenbezogener Daten im Verkehr der Mitgliedstaaten untereinander oder den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Europäischen Verträgen errichteten Informationssystemen regeln, daraufhin prüfen, inwieweit die besonderen Bestimmungen dieser Rechtsakte an diese Richtlinie angepasst werden müssen. (73) Damit personenbezogene Daten in der Union umfassend und in gleicher Weise geschützt werden, sollten die von den Mitgliedstaaten vor Inkrafttreten dieser Richtlinie geschlossenen Übereinkünfte im Sinne dieser Richtlinie geändert werden. (74) Diese Richtlinie lässt die Vorschriften zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie der Kinderpornografie nach Maßgabe der Richtlinie 2011/92/EU des Europäischen Parlaments und des Rates vom 13. Dezember 2011[37] unberührt. (75) Nach Artikel 6a des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts sind die Bestimmungen dieser Richtlinie für das Vereinigte Königreich und Irland nicht bindend, wenn das Vereinigte Königreich und Irland nicht durch Unionsvorschriften gebunden sind, die Formen der justiziellen Zusammenarbeit in Strafsachen oder der polizeilichen Zusammenarbeit regeln, in deren Rahmen die auf der Grundlage des Artikels 16 des Vertrags über die Arbeitsweise der Europäischen Union festgelegten Vorschriften eingehalten werden müssen. (76) Nach den Artikeln 2 und 2a des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position Dänemarks gilt diese Richtlinie nicht für Dänemark und ist Dänemark gegenüber nicht anwendbar. Da diese Richtlinie auf dem Schengen-Besitzstand auf der Grundlage des Dritten Teils Titel V des Vertrags über die Arbeitsweise der Europäischen Union aufbaut, beschließt Dänemark gemäß Artikel 4 dieses Protokolls innerhalb von sechs Monaten nach Erlass dieser Richtlinie, ob es die Richtlinie in innerstaatliches Recht umsetzt. (77) Für Island und Norwegen stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung der beiden letztgenannten Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands[38] dar. (78) Für die Schweiz stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands[39] dar. (79) Für Lichtenstein stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands[40] dar. (80) Diese Richtlinie steht im Einklang mit den Grundrechten und Grundsätzen, die mit der Charta der Grundrechte der Europäischen Union anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens, dem Recht auf Schutz personenbezogener Daten sowie dem Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren. Die Einschränkungen dieser Rechte stehen im Einklang mit Artikel 52 Absatz 1 der Charta, da sie erforderlich sind, um den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und der Freiheiten anderer zu entsprechen. (81) Gemäß der Gemeinsamen Politischen Erklärung der Mitgliedstaaten und der Kommission zu erläuternden Dokumenten vom 28. September 2011 haben sich die Mitgliedstaaten verpflichtet, in begründeten Fällen zusätzlich zur Mitteilung ihrer Umsetzungsmaßnahmen ein oder mehrere Dokumente zu übermitteln, in denen der Zusammenhang zwischen den Bestandteilen einer Richtlinie und den entsprechenden Teilen einzelstaatlicher Umsetzungsinstrumente erläutert wird. In Bezug auf diese Richtlinie hält der Gesetzgeber die Übermittlung derartiger Dokumente für gerechtfertigt. (82) Diese Richtlinie sollte die Mitgliedstaaten nicht daran hindern, die Bestimmungen über die Ausübung der Rechte der betroffenen Person auf Unterrichtung, Auskunft, Berichtigung, Löschung und Beschränkung ihrer im Rahmen eines Strafverfahrens verarbeiteten personenbezogenen Daten sowie mögliche Beschränkungen dieser Rechte in ihr einzelstaatliches Strafprozessrecht umzusetzen – HABEN FOLGENDE RICHTLINIE ERLASSEN: KAPITEL I ALLGEMEINE BESTIMMUNGEN Artikel 1 Gegenstand und Ziele 1. Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung. 2. Gemäß dieser Richtlinie stellen die Mitgliedstaaten Folgendes sicher: a) Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere Gewährleistung ihres Rechts auf Schutz personenbezogener Daten und b) Sicherstellung, dass der Austausch personenbezogener Daten zwischen den zuständigen Behörden in der Union nicht aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten eingeschränkt oder verboten wird. Artikel 2 Anwendungsbereich 1. Diese Richtlinie gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken. 2. Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen. 3. Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, etwa im Bereich der nationalen Sicherheit, b) durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union. Artikel 3 Begriffsbestimmungen Im Sinne dieser Richtlinie bezeichnet der Ausdruck (1) „betroffene Person“ eine bestimmte natürliche Person oder eine natürliche Person, die direkt oder indirekt mit Mitteln bestimmt werden kann, die der für die Verarbeitung Verantwortliche oder jede sonstige natürliche oder juristische Person nach allgemeinem Ermessen aller Voraussicht nach einsetzen würde, etwa durch Zuordnung zu einer Kennnummer, zu Standortdaten, zu Online-Kennungen oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind; (2) „personenbezogene Daten“ alle Informationen, die sich auf eine betroffene Person beziehen; (3) „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Weitergabe durch Übermittlung, die Verbreitung oder jede andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, das Löschen oder Vernichten der Daten sowie die Beschränkung des Zugriffs auf Daten; (4) „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken; (5) „Datei“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder aufgeschlüsselt nach funktionalen oder geografischen Gesichtspunkten geführt wird; (6) „für die Verarbeitung Verantwortlicher“ die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten durch einzelstaatliches oder Unionsrecht vorgegeben, kann das einzelstaatliche oder das Unionsrecht den für die Verarbeitung Verantwortlichen beziehungsweise die Modalitäten für seine Benennung bestimmen; (7) „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet; (8) „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, an die personenbezogene Daten weitergegeben werden; (9) „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Weitergabe von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden; (10) „genetische Daten“ Daten jedweder Art zu den ererbten oder während der vorgeburtlichen Entwicklung erworbenen Merkmalen eines Menschen; (11) „biometrische Daten“ Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen eines Menschen, die dessen eindeutige Identifizierung ermöglichen, wie Gesichtsbilder oder daktyloskopische Daten; (12) „Gesundheitsdaten“ Informationen, die sich auf den körperlichen oder geistigen Gesundheitszustand einer Person oder auf die Erbringung von Gesundheitsleistungen für die betreffende Person beziehen; (13) „Kind“ jede Person bis zur Vollendung des achtzehnten Lebensjahres; (14) „zuständige Behörde“ jede Behörde, die für die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder die Strafvollstreckung zuständig ist; (15) „Aufsichtsbehörde“ eine von einem Mitgliedstaat nach Maßgabe von Artikel 39 eingerichtete staatliche Stelle. KAPITEL II GRUNDSÄTZE Artikel 4 Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten Die Mitgliedstaaten tragen dafür Sorge, dass personenbezogene Daten a) nach Treu und Glauben und auf rechtmäßige Weise verarbeitet werden; b) für genau festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen; c) im Hinblick auf die Zwecke der Datenverarbeitung angemessen, sachlich relevant und nicht exzessiv sind; d) sachlich richtig und, wenn nötig, auf dem neuesten Stand sind; alle angemessenen Maßnahmen müssen getroffen werden, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unzutreffend sind, unverzüglich gelöscht oder berichtigt werden; e) nicht länger, als es für die Realisierung der Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht; f) unter der Verantwortung und Haftung des für die Verarbeitung Verantwortlichen verarbeitet werden, der die Einhaltung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften gewährleistet; Artikel 5 Unterscheidung verschiedener Kategorien von betroffenen Personen 1. Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien von betroffenen Personen klar unterscheidet, darunter: a) Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden; b) verurteilte Straftäter; c) Opfer einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten; d) Dritte bei einer Straftat, wie Personen, die bei Ermittlungen in Verbindung mit der betreffenden Straftat oder beim anschließenden Strafverfahren als Zeugen in Betracht kommen, Personen, die Hinweise zur Straftat geben können, oder Personen, die mit den unter Buchstaben a und b genannten Personen in Kontakt oder in Verbindung stehen sowie e) Personen, die keiner dieser Kategorien zugerechnet werden können. Artikel 6 Unterscheidung der personenbezogenen Daten nach Richtigkeit und Zuverlässigkeit 1. Die Mitgliedstaaten tragen dafür Sorge, dass die zu verarbeitenden Datenkategorien so weit wie möglich nach ihrer sachlichen Richtigkeit und Zuverlässigkeit unterschieden werden. 2. Die Mitgliedstaaten tragen dafür Sorge, dass bei personenbezogenen Daten so weit wie möglich zwischen solchen unterschieden werden, die auf Fakten beruhen, und solchen, die auf persönlichen Einschätzungen beruhen. Artikel 7 Rechtmäßigkeit der Verarbeitung Die Mitgliedstaaten legen fest, dass die Verarbeitung personenbezogener Daten nur dann rechtmäßig ist, wenn und soweit die Verarbeitung zu folgenden Zwecken notwendig ist: (a) zur Wahrnehmung einer gesetzlichen Aufgabe, die eine zuständige Behörde zu den in Artikel 1 Absatz 1 genannten Zwecken ausführt, (b) zur Erfüllung einer gesetzlichen Verpflichtung, der der für die Verarbeitung Verantwortliche unterliegt, (c) zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person oder (d) zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentlichen Sicherheit. Artikel 8 Verarbeitung besonderer Kategorien von personenbezogenen Daten 1. Die Mitgliedstaaten untersagen die Verarbeitung personenbezogener Daten, aus denen die Rasse und ethnische Herkunft, politische Meinungen, Religion oder Überzeugungen, die Gewerkschaftszugehörigkeit hervorgehen, sowie von genetischen Daten oder die Gesundheit oder das Sexualleben betreffenden Daten. 2. Absatz 1 gilt nicht in folgenden Fällen: a) Die Verarbeitung ist durch eine Vorschrift gestattet, die geeignete Garantien vorsieht; b) die Verarbeitung ist zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person erforderlich oder c) die Verarbeitung bezieht sich auf Daten, die die betroffene Person offenkundig öffentlich gemacht hat. Artikel 9 Auf Profiling und automatischer Datenverarbeitung basierende Maßnahmen 1. Die Mitgliedstaaten legen fest, dass Maßnahmen, die eine nachteilige Rechtsfolge für die betroffene Person haben oder sie erheblich beeinträchtigen und die ausschließlich aufgrund einer automatisierten Verarbeitung von personenbezogenen Daten zum Zwecke der Bewertung einzelner Aspekte ihrer Person ergehen, verboten sind, es sei denn, dies ist durch ein Gesetz erlaubt, das Garantien zur Wahrung der berechtigten Interessen der betroffenen Person festlegt. 2. Die automatisierte Verarbeitung personenbezogener Daten zum Zwecke der Auswertung bestimmter persönlicher Aspekte der betroffenen Person darf sich nicht ausschließlich auf die in Artikel 8 genannten besonderen Kategorien personenbezogener Daten stützen. KAPITEL III RECHTE DER BETROFFENEN PERSON Artikel 10 Modalitäten für die Ausübung der Rechte der betroffenen Person 1. Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle vertretbaren Schritte unternimmt, um in Bezug auf die Verarbeitung personenbezogener Daten und die der betroffenen Person zustehenden Rechte nachvollziehbare und für jedermann leicht zugängliche Strategien zu verfolgen. 2. Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche der betroffenen Person alle Informationen und Mitteilungen zur Verarbeitung personenbezogener Daten in verständlicher Form unter Verwendung einer klaren, einfachen Sprache zur Verfügung stellt. 3. Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle zumutbaren Schritte unternimmt, um Verfahren für die Bereitstellung der Informationen gemäß Artikel 11 und für die Ausübung der den betroffenen Personen gemäß den Artikeln 12 bis 17 zustehenden Rechte einzuführen. 4. Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche die betroffene Person ohne unangemessene Verzögerung von den Maßnahmen in Kenntnis setzt, die im Zusammenhang mit etwaigen Anträgen getroffen wurden. 5. Die Mitgliedstaaten legen fest, dass die Unterrichtung und jegliche im Zusammenhang mit einem Antrag nach den Absätzen 3 und 4 getroffene Maßnahme des für die Verarbeitung Verantwortlichen kostenfrei ist. Bei missbräuchlichen Anträgen, besonders im Fall ihrer Häufung oder ihres zu großen Umfangs oder Volumens, kann der für die Verarbeitung Verantwortliche ein Entgelt für die Unterrichtung oder die Durchführung der beantragten Maßnahme verlangen oder die beantragte Maßnahme unterlassen. In diesem Fall trägt der für die Verarbeitung Verantwortliche die Beweislast für den missbräuchlichen Charakter des Antrags. Artikel 11 Information der betroffenen Person 1. Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle geeigneten Maßnahmen ergreift, um einer Person, von der personenbezogene Daten erhoben werden, zumindest Folgendes mitzuteilen: a) den Namen sowie die Kontaktdaten des für die Verarbeitung Verantwortlichen und des Datenschutzbeauftragten, b) die Zwecke der Verarbeitung, für die die personenbezogenen Daten bestimmt sind, c) die Speicherfrist, d) das Bestehen eines Rechts auf Auskunft, Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten und auf Einschränkung der Verarbeitung dieser Daten durch den für die Verarbeitung Verantwortlichen, e) das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde gemäß Artikel 39 sowie deren Kontaktdaten, f) die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten, auch der Empfänger in Drittländern oder in internationalen Organisationen, g) sonstige Informationen, soweit diese die unter Berücksichtigung der spezifischen Umstände, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten. 2. Werden die personenbezogenen Daten bei der betroffenen Person erhoben, teilt der für die Verarbeitung Verantwortliche dieser Person neben den in Absatz 1 genannten Informationen außerdem mit, ob die Bereitstellung der Daten obligatorisch oder freiwillig ist und welche mögliche Folgen die Zurückhaltung der Daten hätte. 3. Der für die Verarbeitung Verantwortliche erteilt die Auskünfte gemäß Absatz 1 a) zum Zeitpunkt der Erhebung der personenbezogenen Daten bei der betroffenen Person oder b) im Fall, die Daten werden nicht bei der betroffenen Person erhoben, zum Zeitpunkt der Erfassung oder innerhalb einer angemessenen Frist nach der Erhebung unter Berücksichtigung der jeweiligen Umstände der Verarbeitung. 4. Die Mitgliedstaaten dürfen Rechtsvorschriften erlassen, die die Unterrichtung der betroffenen Person zu folgenden Zwecken in einem solchen Umfang und so lange hinauszögern, einschränken oder unterbinden, wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist und sofern den berechtigten Interessen der betroffenen Person Rechnung getragen wurde: (a) zur Gewährleistung, dass behördliche oder gerichtliche Ermittlungen, Untersuchungen oder Verfahren nicht behindert werden; (b) zur Gewährleistung, dass die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten nicht beeinträchtigt oder dass strafrechtliche Sanktionen vollstreckt werden; (c) zum Schutz der öffentlichen Sicherheit; (d) zum Schutz der nationalen Sicherheit; (e) zum Schutz der Rechte und Freiheiten anderer. 5. Die Mitgliedstaaten können die Datenverarbeitungskategorien festlegen, für die die Ausnahmeregelung nach Absatz 4 vollständig oder teilweise zur Anwendung kommt. Artikel 12 Auskunftsrecht der betroffenen Person 1. Die Mitgliedstaaten legen fest, dass die betroffene Person das Recht hat, von dem für die Verarbeitung Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden oder nicht. Werden personenbezogene Daten verarbeitet, teilt der für die Verarbeitung Verantwortliche Folgendes mit: a) die Verarbeitungszwecke, b) die Kategorien personenbezogener Daten, die verarbeitet werden, c) die Empfänger oder Arten von Empfängern, an die die personenbezogenen Daten weitergegeben wurden, speziell bei Empfängern in Drittländern, d) die Speicherfrist, e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten und auf Einschränkung der Verarbeitung dieser Daten durch den für die Verarbeitung Verantwortlichen, f) das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten, g) diejenigen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten. 2. Die Mitgliedstaaten legen fest, dass die betroffene Person das Recht hat, von dem für die Verarbeitung Verantwortlichen eine Kopie der verarbeiteten personenbezogenen Daten zu verlangen. Artikel 13 Einschränkung des Auskunftsrechts 1. Die Mitgliedstaaten können Rechtsvorschriften erlassen, die zu nachstehenden Zwecken das Recht der betroffenen Person auf Auskunft teilweise oder vollständig einschränken, soweit diese teilweise oder vollständige Einschränkung in einer demokratischen Ge