DE Amtsblatt der Europäischen Union C 55/4

Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zum Vorschlag für eine Verordnung über ECRIS-TCN

(Der vollständige Text dieser Stellungnahme ist in deutscher, englischer und französischer Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich.)

(2018/C 55/05)

Das derzeitige ECRIS-System, eingerichtet mit dem Rahmenbeschluss 2009/315/JI des Rates (1), unterstützt den Austausch von Informationen über strafrechtliche Verurteilungen hauptsächlich im Rahmen der justiziellen Zusammenarbeit. ECRIS kann jedoch im Einklang mit dem innerstaatlichen Recht des ersuchenden und des ersuchten Mitgliedstaats auch für andere Zwecke als Strafverfahren verwendet werden. Zwar kann das derzeitige ECRIS-System für Drittstaatsangehörige (TCN, third country nationals) eingesetzt werden, doch tut es das nicht auf effiziente Weise. Deshalb sind Verbesserungen angebracht.

Die Wirksamkeit des ECRIS für Drittstaatsangehörige wurde in der EU-Sicherheitsagenda hervorgehoben und ist eine der Gesetzgebungsprioritäten für 2017. Bereits 2016 verabschiedete die Kommission einen Vorschlag für eine Richtlinie zur Änderung des derzeitigen Rechtsakts und zur Einführung von Verbesserungen für Drittstaatsangehörige mithilfe eines dezentralen Systems durch Verwendung eines Indexfilters mit Fingerabdrücken, die als zerlegte Vorlagen („hashed templates“) gespeichert sind. Diese Lösung stieß auf technische Probleme. Der am 29. Juni 2017 angenommene Vorschlag für eine Verordnung über ECRIS-TCN sieht die Einrichtung einer zentralen EU-Datenbank vor, in der Identitätsinformationen über Drittstaatsangehörige einschließlich Fingerabdrücke und Gesichtsbilder gespeichert sind und bei der nach Treffern gesucht wird, um den Mitgliedstaat zu ermitteln, in dem Informationen über strafrechtliche Verurteilungen von Drittstaatsangehörigen vorliegen. Abgesehen davon wird der Vorschlag für ein zentrales ECRIS-TCN-System teilweise damit begründet, dass es einer künftigen Interoperabilität von IT-Großsystemen der EU im Raum der Freiheit, der Sicherheit und des Rechts dienlich sein könnte.

Der EDSB verfolgt das Dossier seit dem Beginn der Verhandlungen über die Einrichtung von ECRIS. Er hat bereits zwei Stellungnahmen abgegeben und eingeräumt, dass ein effizienter Austausch von Informationen für EU-Bürger wie Drittstaatsangehörige gleichermaßen wichtig ist. An diesem Standpunkt hat sich nichts geändert.

Die vorliegende Stellungnahme befasst sich vor allem mit besonderen Problemen, die der Vorschlag für eine Verordnung aufwirft. Bei Bedarf wird auf den Vorschlag für eine Richtlinie verwiesen, da die beiden Vorschläge einander ergänzen sollen. Der EDSB geht auf vier Hauptpunkte ein und formuliert darüber hinaus weitere Empfehlungen, auf die in der Stellungnahme näher eingegangen wird. Zusammenfassend empfiehlt der EDSB Folgendes: Da ECRIS ein System ist, das vor dem Vertrag von Lissabon beschlossen wurde, müssen diese neuen Vorschläge für eine Richtlinie bzw. eine Verordnung das System an die Standards anpassen, die in Artikel 16 AEUV und in der Charta der Grundrechte der EU verankert sind, darunter die Einhaltung der Vorgaben für rechtmäßige Einschränkungen von Grundrechten.

Die Notwendigkeit eines zentralen EU-Systems sollte in einer Folgenabschätzung geprüft werden, in der auch auf die Auswirkungen der Konzentration des Managements aller IT-Großsysteme der EU im Raum der Freiheit, der Sicherheit und des Rechts in einer einzigen Agentur eingegangen werden sollte. Vor diesem Hintergrund von Interoperabilität zu sprechen, wäre verfrüht, da dieses Konzept zunächst auf eine Rechtsgrundlage gestellt werden und seine Einhaltung der Grundsätze des Datenschutzes gewährleistet sein sollte.

Die über Strafverfahren hinausgehenden anderen Zwecke, für die ECRIS und ECRIS-TNC eingesetzt werden sollen, sollten im Einklang mit dem Datenschutzgrundsatz der Zweckbindung klar definiert werden. Dies gilt auch für den Zugriff durch Organe und Einrichtungen der Union, der auch mit Blick auf die Gleichbehandlung von EU-Bürgern und Drittstaatsangehörigen betrachtet werden sollte. Jeder Zugriff durch Organe und Einrichtungen der Union muss nachweislich notwendig, verhältnismäßig, im Einklang mit dem Zweck von ECRIS und streng begrenzt auf die relevanten Aufgaben innerhalb des Mandats dieser Organe und Einrichtungen sein.

Bei der hier zu prüfenden Verarbeitung von ihrem Wesen nach sehr sensiblen personenbezogenen Daten sollte der Grundsatz der Notwendigkeit unbedingt gewahrt werden: Ein „Treffer“ sollte nur ausgelöst werden, wenn es dem ersuchten Mitgliedstaat nach seinem innerstaatlichen Recht gestattet ist, Informationen über strafrechtliche Verurteilungen zu anderen Zwecken als Strafverfahren bereitzustellen. Die Verarbeitung von Fingerabdrücken sollte im Umfang begrenzt werden und nur dann erfolgen, wenn die Identität eines bestimmten Drittstaatsangehörigen nicht auf anderem Wege festgestellt werden kann. Im Hinblick auf Gesichtsbilder empfiehlt der EDSB, eine evidenzgestützte Beurteilung der Notwendigkeit der Erfassung solcher Daten und ihrer Verwendung für Überprüfungs-, aber auch Identifizierungszwecke vorzunehmen bzw., falls bereits durchgeführt, vorzulegen.

Im Verordnungsentwurf wird eu-LISA fälschlicherweise als Datenverarbeiter bezeichnet. Der EDSB empfiehlt, eu-LISA und die Zentralbehörden der Mitgliedstaaten als gemeinsam für die Verarbeitung Verantwortliche zu benennen. Ferner empfiehlt er, im ECRIS-TCN-Vorschlag klar zum Ausdruck zu bringen, dass eu-LISA für alle Verstöße gegen diesen Verordnungsvorschlag oder gegen die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates (2) haftet.

1. EINLEITUNG UND HINTERGRUND

1. Am 29. Juni 2017 veröffentlichte die Europäische Kommission einen Vorschlag für eine Verordnung zur Einrichtung eines zentralisierten Systems für die Ermittlung der Mitgliedstaaten, in denen Informationen zu Verurteilungen von Drittstaatsangehörigen und Staatenlosen (TCN) vorliegen, sowie zur Ergänzung und Unterstützung des Europäischen Strafregisterinformationssystems (ECRIS) und zur Änderung der Verordnung (EU) Nr. 1077/2011 (nachstehend: „Vorschlag für eine Verordnung“) (3). Dem Vorschlag ist ein „Analytical Supporting Document“ (4) beigefügt. Am gleichen Tag verabschiedete die Europäische Kommission den ersten Statistikbericht über den Austausch von Strafregisterinformationen zwischen den Mitgliedstaaten mittels des Europäischen Strafregisterinformationssystems (ECRIS), wie in Artikel 7 des Beschlusses 2009/316/JI des Rates vorgesehen (5).

2. Der Vorschlag für eine Verordnung dient der Verbesserung des Austauschs von Informationen über Drittstaatsangehörige und EU-Bürger, die auch noch die Staatsangehörigkeit eines Drittlandes haben. Dem derzeitigen ECRIS liegt der Grundsatz zugrunde, dass Informationen über strafrechtliche Verurteilungen von EU-Staatsbürgern von dem Mitgliedstaat der Staatsangehörigkeit der betreffenden Person erhalten werden können, der alle Verurteilungen speichert, unabhängig davon, wo in der EU sie ergangen sind. Bei Drittstaatsangehörigen speichert jeder Mitgliedstaat nur die Verurteilungen, die in ihm ergangen sind, was zur Folge hat, dass ein Informationsersuchen an alle Mitgliedstaaten gesandt werden muss. Nach Meinung der Kommission verursacht die Beantwortung von „generellen Auskunftsersuchen“ Verwaltungsaufwand und hohe Kosten, sollte ECRIS systematisch für den Abruf von Informationen über Drittstaatsangehörige genutzt werden. Die Mitgliedstaaten zögern bei der Nutzung des Systems — laut dem Statistikbericht betreffen 10 % der Ersuchen Drittstaatsangehörige (6) —, und daher stehen Angaben zu Vorstrafen von Drittstaatsangehörigen nicht wie geplant zur Verfügung (7). Eine bessere Wirksamkeit von ECRIS im Hinblick auf Drittstaatsangehörige erhält Schub durch die Europäische Sicherheitsagenda (8) und ist eine der Gesetzgebungsprioritäten für 2017 (9).

3. Der Vorschlag für eine Verordnung ergänzt den Vorschlag der Kommission vom 19. Januar 2016 für eine Richtlinie zur Änderung des Rahmenbeschlusses 2009/315/JI des Rates im Hinblick auf den Austausch von Informationen über Drittstaatsangehörige und das Europäische Strafregisterinformationssystem (ECRIS) und zur Ersetzung des Beschlusses 2009/316/JI des Rates (nachstehend „Vorschlag für eine Richtlinie“).

4. Beiden Vorschlägen gemeinsam ist die Einrichtung eines Systems für die Ermittlung der Mitgliedstaaten, in denen Informationen über strafrechtliche Verurteilungen von Drittstaatsangehörigen und EU-Bürgern vorliegen, die auch die Staatsangehörigkeit eines Drittlandes haben. Der Richtlinienvorschlag plant ein dezentral organisiertes System, d. h., es wird keine einheitliche EU-Datenbank geben; vielmehr wird jeder Mitgliedstaat eine eigene Indexfilter-Datei unterhalten. In die Datei sollten kodierte Informationen über Drittstaatsangehörige aus den Strafregistern der Mitgliedstaaten eingegeben und an alle Mitgliedstaaten verteilt werden. Die Mitgliedstaaten sollten dann ihre eigenen Daten mit dem Feld abgleichen und nach dem System Treffer/kein Treffer feststellen, in welchen Mitgliedstaaten Informationen über eine strafrechtliche Verurteilung eines Drittstaatsangehörigen vorliegen. Bereits der Vorschlag für eine Richtlinie hatte die Verarbeitung von Fingerabdrücken vorgesehen, doch war hier die Verwendung von Fingerabdrücken nur eine der möglichen Optionen in der Folgenabschätzung von 2016; im Vorschlag für eine Verordnung ist sie verbindlich vorgeschrieben. Die Kommission führt dazu aus, dass die Terroranschläge mehr Unterstützung für die systematische Verwendung von Fingerabdrücken zu Identifizierungszwecken bewirkt hatten (10). Nach der Annahme des Richtlinienvorschlags ergab eine Machbarkeitsstudie, dass es derzeit keine ausgereifte Technologie für den „Eins-zu-viele“-Abgleich von Fingerabdrücken mithilfe sogenannter „hashed templates“ gibt.

5. In Reaktion auf die bestehenden technischen Schwierigkeiten sieht der Verordnungsvorschlag stattdessen ein zentrales System vor, das alphanumerische Daten, Fingerabdrücke und Gesichtsbilder von Drittstaatsangehörigen enthält. Alphanumerische Daten und Fingerabdrücke können für die Identifizierung von Drittstaatsangehörigen eingesetzt werden, Gesichtsbilder anfänglich für Überprüfungszwecke, und später, wenn die Technologie ausgereift ist, auch zur Identifizierung. Die „Zentralbehörde“ des Urteilsmitgliedstaats gibt die Daten in das lokale ECRIS-TCN-System ein, das sie wiederum an das zentrale System der EU weiterleitet. Bei einem Treffer kann der ersuchende Mitgliedstaat den/die Mitgliedstaat(en) ermitteln, in dem/denen Informationen über strafrechtliche Verurteilungen von Drittstaatsangehörigen vorliegen, und kann dann diese Informationen mithilfe des bestehenden ECRIS abfragen, wie es durch den Richtlinienvorschlag verbessert wurde. Wo Fingerabdrücke auch zur Identifizierung verwendet werden, könnten auch die entsprechenden alphanumerischen Daten bereitgestellt werden. Die EU-Datenbank ist bei eu-LISA angesiedelt, weshalb der Verordnungsvorschlag eine Änderung der eu-LISA-Verordnung (EU) Nr. 1077/2011 vorsieht.

6. Darüber hinaus wird die Lösung mit einem zentralen System in den größeren Zusammenhang der anvisierten Interoperabilität aller Informationssysteme für Sicherheit, Grenzmanagement und Migrationssteuerung gestellt. Bei den Gründen, die für ein zentrales System sprechen, wird auch die Interoperabilität und werden weniger die bestehenden technischen Probleme unterstrichen (11). ECRIS ist ferner Bestandteil des Fahrplans des Rates zur Verbesserung des Informationsaustauschs und des Informationsmanagements und der Erzielung von Interoperabilität (12). Interoperabilität mit ECRIS ist auch im ETIAS-Vorschlag vorgesehen (13).

7. Nachdem die beiden Vorschläge aneinander angepasst worden sind, sollen sie einander ergänzen. Während sich der Verordnungsvorschlag mit den Fragen im Zusammenhang mit dem zentralen System befassen soll, soll der Vorschlag für eine Richtlinie allgemeine Fragen der Funktionsweise von ECRIS für Drittstaatsangehörige und EU-Bürger gleichermaßen regeln (14). Der LIBE-Ausschuss des Europäischen Parlaments verabschiedete 2016 einen Bericht über den Vorschlag für eine Richtlinie (15), während der Entwurf eines Berichts über den Vorschlag für eine Verordnung am 30. Oktober 2017 angenommen wurde (16). Der Rat setzte die Verhandlungen über den Richtlinienvorschlag aus, nachdem Mitgliedstaaten die Kommission im Rat am 9. Juni 2016 um einen Vorschlag für die Einrichtung eines zentralen Systems ersucht hatten (17), und prüft derzeit beide Vorschläge parallel (18).

8. ECRIS-TCN ist eine wichtige Initiative im Bereich der Informationssysteme im Raum der Freiheit, der Sicherheit und des Rechts. Der EDSB verfolgt das Dossier seit dem Beginn der Verhandlungen über die Einrichtung von ECRIS. Die erste Stellungnahme zu ECRIS wurde 2006 veröffentlicht (19), damals errichtet durch den Rahmenbeschluss 2009/315/JI des Rates, und 2016 befasste sich der EDSB in seiner Stellungnahme 3/2016 mit dem Vorschlag für eine Richtlinie (20).

9. In beiden Stellungnahmen anerkennt der EDSB die Bedeutung eines effizienten Austauschs von Strafregisterauszügen verurteilter Personen sowie die Notwendigkeit eines Systems, das bei Drittstaatsangehörigen gut funktioniert, insbesondere vor dem Hintergrund der Annahme der EU-Sicherheitsagenda (21). An diesem Standpunkt hat sich nichts geändert.

10. Die vorliegende Stellungnahme baut auf der Stellungnahme 3/2016 auf und befasst sich vor allem mit besonderen Problemen, die der Vorschlag für eine Verordnung aufwirft. Bei Bedarf verweist die Stellungnahme auch auf den Vorschlag für eine Richtlinie. In Abschnitt 2 geht der EDSB auf seine Hauptbedenken ein und formuliert Empfehlungen, mit denen sich diese ausräumen ließen. Weitere Überlegungen und Empfehlungen für weitere Verbesserungen sind in Abschnitt 3 zu finden.

3. SCHLUSSFOLGERUNG

66. Nach sorgfältiger Analyse des Vorschlags für das ECRIS-TCN spricht der EDSB die folgenden Empfehlungen aus:

67. Der EDSB empfiehlt, bei der Einrichtung einer neuen zentralen Datenbank der EU und der Änderung des derzeitigen Rechtsakts über ECRIS den Vorgaben der Charta der Grundrechte der EU für eine rechtmäßige Einschränkung von Grundrechten Genüge zu tun und im Zusammenhang mit dem Vorschlag für eine Verordnung ein ausreichendes Schutzniveau zu bieten.

68. Der EDSB erinnert insbesondere daran, dass objektive Beweise für die Notwendigkeit der Einrichtung eines zentralen Systems auf EU-Ebene vorgelegt werden müssen. Vor diesem Hintergrund sollten zunächst die Auswirkungen von Interoperabilität auf die Grundrechte geprüft und ihre Zwecke ebenso wie die Zwecke von ECRIS genau definiert werden. Zu diesem Aspekt sollte dem Verordnungsvorschlag eine angemessene Abschätzung der Folgen für die Grundrechte auf Privatsphäre und Datenschutz sowie für die Konzentration aller Systeme bei einer einzigen Agentur beigefügt werden.

69. Die Einrichtung einer neuen zentralen Datenbank der EU und die Änderung des bestehenden Rechtsakts über ECRIS sollte den Vorgaben für eine rechtmäßige Einschränkung von Grundrechten im Einklang mit der ständigen Rechtsprechung entsprechen. Hierzu sollten die über Strafverfahren hinausgehenden anderen Zwecke, für die ECRIS und ECRIS-TNC eingesetzt werden sollen, auf ihre Notwendigkeit und Verhältnismäßigkeit geprüft und im Einklang mit dem Datenschutzgrundsatz der Zweckbindung klar definiert werden. Darüber hinaus sollte der Zugang zu ECRIS-TNC für Einrichtungen der Union dem Zweck des derzeitigen ECRIS entsprechen und das Recht von EU-Bürgern und Drittstaatsangehörigen auf Gleichbehandlung wahren sowie auf die Aufgaben innerhalb ihres Mandats beschränkt sein, für die ein Zugriff unbedingt erforderlich ist. Jede beabsichtigte Ausweitung bestehender Zwecke sollte im Wege eines Artikels umgesetzt werden (ein Erwägungsgrund reicht nicht aus).

70. Da bei ECRIS-TCN ihrem Wesen nach sehr sensible personenbezogene Daten verarbeitet werden, empfiehlt der EDSB gemäß dem Grundsatz der Notwendigkeit angemessene Bedingungen für die Verarbeitung personenbezogener Daten aufzunehmen: Ein „Treffer“ sollte nur ausgelöst werden, wenn es dem ersuchten Mitgliedstaat nach seinem nationalen Recht gestattet ist, Informationen über strafrechtliche Verurteilungen zu anderen Zwecken als Strafverfahren bereitzustellen. Die Verarbeitung von Fingerabdrücken sollte im Umfang begrenzt werden und nur dann erfolgen, wenn die Identität eines bestimmten Drittstaatsangehörigen nicht auf anderem Wege festgestellt werden kann. Im Hinblick auf Gesichtsbilder empfiehlt der EDSB, eine evidenzgestützte Beurteilung der Notwendigkeit der Erfassung solcher Daten und ihrer Verwendung für Überprüfungs- und/oder Identifizierungszwecke vorzunehmen bzw. vorzulegen.

71. Des Weiteren sollten eu-LISA und die Zentralbehörden der Mitgliedstaaten als gemeinsam für die Verarbeitung Verantwortliche benannt werden, da sie gemeinsam für die Festlegung der Ziele und Mittel der geplanten Verarbeitungstätigkeiten verantwortlich sind. Die Bezeichnung von eu-LISA als Verarbeiter würde den Status quo nicht angemessen wiedergeben und wäre der Gewährleistung eines hohen Datenschutzniveaus oder den berechtigten Interessen der Mitgliedstaaten nicht zuträglich. Ferner sollte im ECRIS-TCN-Vorschlag klar zum Ausdruck gebracht werden, dass eu-LISA für alle Verstöße gegen diesen Verordnungsvorschlag oder gegen die Verordnung (EG) Nr. 45/2001 haftet.

72. Neben den wichtigsten Bedenken, die vorstehend genannt wurden, betreffen die Empfehlungen des EDSB in der vorliegenden Stellungnahme Verbesserungen an den vorgeschlagenen Bestimmungen in Bezug auf: — Verweise auf die Anwendbarkeit der Richtlinie (EU) 2016/680 und der Verordnung (EG) Nr. 45/2001, — die Rechte der betroffenen Person, — Statistiken, Zentralregister und Überwachung, — Datensicherheit, — die Rolle des EDSB, — nationale Aufsichtsbehörden.

73. Der EDSB ist gerne bereit, auch weiterhin im Hinblick auf den Verordnungs- und den Richtlinienvorschlag, aber auch auf etwaige Delegierte Rechtsakte oder Durchführungsrechtsakte, die möglicherweise im Anschluss an die vorgeschlagenen Instrumente angenommen werden, sowie auf die Verarbeitung personenbezogener Daten beratend tätig zu sein.

Brüssel, den 12. Dezember 2017 Giovanni BUTTARELLI Europäischer Datenschutzbeauftragter

(1) ABl. L 93 vom 7.4.2009, S. 23.

(2) ABl. L 8 vom 12.1.2001, S. 1.

(3) COM(2017) 344 final.

(4) SWD(2017) 248 final.

(5) COM(2017) 341 final. Dem Bericht ist eine Arbeitsunterlage der Kommissionsdienststellen beigefügt, SWD(2017) 242 final.

(6) COM(2017) 341 final, S. 15.

(7) Begründung des Vorschlags, COM(2017) 344 final, S. 2.

(8) COM (2015) 185 final.

(9) Gemeinsame Erklärung über die Gesetzgebungsprioritäten der EU für 2017, https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_de.pdf

(10) Begründung des Vorschlags, COM(2017) 344 final, S. 3; beigefügtes „Analytical Supporting Document“, SWD(2017) 248 final, S. 3.

(11) Begründung des Vorschlags, COM(2017) 344 final, S. 3.

(12) Fahrplan zur Verbesserung des Informationsaustauschs und des Informationsmanagements einschließlich von Interoperabilitätslösungen im Bereich Justiz und Inneres, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/de/pdf; Rat, erster Bericht vom 8. November 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; Rat, zweiter Bericht vom 11. Mai 2017, http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf.

(13) COM(2016) 731 final.

(14) Begründung des Vorschlags, COM(2017) 344 final, S. 4.

(15) A8-0219/2016.

(16) PE 612.310v01-00.

(17) Ergebnis der Tagung des Rates (JI), 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf.

(18) Siehe die Tagesordnung des AStV am 29. November 2017, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf.

(19) Stellungnahme des EDSB zu dem Vorschlag für einen Rahmenbeschluss des Rates über die Durchführung und den Inhalt des Austauschs von Informationen aus den Strafregistern zwischen den Mitgliedstaaten (KOM(2005) 690 endg.) (ABl. C 313 vom 20.12.2006, S. 26) https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_de.pdf.

(20) EDSB, Stellungnahme 3/2016 zu ECRIS, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_de.pdf.

(21) EDPS, Stellungnahme 3/2016 zu ECRIS, S. 12 mit Verweis 38 auf EDSB, Stellungnahme von 2006.