DE Amtsblatt der Europäischen Union C 321/38

Stellungnahme des Europäischen Datenschutzbeauftragten zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Gemeinsamen Konsularischen Instruktion an die diplomatischen Missionen und die konsularischen Vertretungen, die von Berufskonsularbeamten geleitet werden, zur Aufnahme biometrischer Identifikatoren einschließlich Bestimmungen über die Organisation der Entgegennahme und Bearbeitung von Visumanträgen (COM (2006) 269 endg.) — 2006/0088 (COD)

(2006/C 321/14)

DER EUROPÄISCHE DATENSCHUTZBEAUFTRAGTE —

gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft, insbesondere auf Artikel 286,

gestützt auf die Charta der Grundrechte der Europäischen Union, insbesondere auf Artikel 8,

gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr,

gestützt auf die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr, insbesondere auf Artikel 41,

gestützt auf das am 19. Juni 2006 eingegangene Ersuchen der Kommission um Stellungnahme nach Artikel 28 Absatz 2 der Verordnung (EG) Nr. 45/2001 —

HAT FOLGENDE STELLUNGNAHME ANGENOMMEN:

1. EINLEITUNG

Mit der vorgeschlagenen Verordnung werden zwei Hauptziele verfolgt, die beide mit der Anwendung des Visa-Informationssystems (VIS) zusammenhängen:

— Schaffung einer Rechtsgrundlage für die Mitgliedstaaten zur Einführung der Pflicht zur Erfassung biometrischer Identifikatoren von Personen, die einen Visumantrag stellen;

— Schaffung einer Rechtsgrundlage für die Organisation der konsularischen Dienste der Mitgliedstaaten, insbesondere durch die Organisation der möglichen Zusammenarbeit zwischen den Mitgliedstaaten bei der Bearbeitung von Visumanträgen.

Diese beiden Ziele werfen unter dem Gesichtspunkt des Datenschutzes verschiedene Fragen auf, die in unterschiedlichen Abschnitten behandelt werden, auch wenn sie Teil desselben Vorschlags sind.

Mit dem vorliegenden Vorschlag soll die Gemeinsame Konsularische Instruktion (GKI) geändert werden. Diese wurde von dem durch das Übereinkommen zur Durchführung des Schengener Übereinkommens vom 14. Juni 1985 eingesetzten Exekutivausschuss angenommen. Als Teil des Schengen-Besitzstands wurde sie durch ein dem Vertrag von Amsterdam beigefügtes Protokoll in das EU-Recht aufgenommen, und sie ist seitdem bereits mehrmals geändert worden. Obwohl eine Reihe von Änderungen weiterhin vertraulich sind, wurde die GKI im Jahr 2000 veröffentlicht. Inhaltlich ist die Instruktion vorwiegend ein Handbuch mit praktischen Vorschriften für die Erteilung von Visa für den kurzfristigen Aufenthalt. Sie enthält Bestimmungen über die Bearbeitung von Anträgen, das Entscheidungsverfahren, das Ausfüllen der Visummarke usw.

2. ERFASSUNG BIOMETRISCHER IDENTIFIKATOREN

2.1. Einleitende Bemerkung: Spezifizität biometrischer Daten

Nach dem von der Kommission am 28. Dezember 2004 vorgelegten Vorschlag über das VIS (1) sollen die Mitgliedstaaten zu Überprüfungs- und (oder) Identifizierungszwecken Fingerabdrücke und Lichtbilder als biometrische Identifikatoren in das VIS aufnehmen. Mit dem vorliegenden Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der GKI soll eine Rechtsgrundlage für die Erfassung biometrischer Identifikatoren geschaffen werden.

Der Europäische Datenschutzbeauftragte (EDSB) hat am 23. März 2005 eine Stellungnahme zum VIS-Vorschlag abgegeben (2). In dieser Stellungnahme hat er betont, wie wichtig es ist, in Anbetracht der besonderen Merkmale biometrischer Daten für deren Bearbeitung alle erforderlichen Schutzmaßnahmen vorzusehen (3):

„Die Nutzung biometrischer Daten in Informationssystemen ist keineswegs eine unbedeutende Entscheidung, besonders dann nicht, wenn das betreffende System eine solch hohe Zahl von Personen betrifft. (…) [Biometrische Daten] ändern unwiderruflich die Beziehung zwischen Körper und Identität, insofern sie die Merkmale des menschlichen Körpers ‚maschinenlesbar‘ machen und damit ihre weitere Nutzung ermöglichen. Auch wenn die biometrischen Daten nicht vom menschlichen Auge gelesen werden können, so können sie doch mit entsprechenden Hilfsmitteln gelesen und verwendet werden, und das für unbegrenzte Zeit, wo immer die betreffende Person sich auch aufhäl“t.

Nach Auffassung des EDSB ist es aufgrund des sensiblen Charakters biometrischer Daten erforderlich, die Verpflichtung zur Nutzung dieser Daten erst nach einer eingehenden Bewertung der damit verbundenen Risiken einzuführen und dabei Verfahren anzuwenden, die eine uneingeschränkte demokratische Kontrolle ermöglichen. Diese Erwägungen liegen der Prüfung des vorliegenden Vorschlags durch den EDSB zugrunde.

2.2. Kontext des Vorschlags

Der Kontext, in dem dieser Vorschlag gemacht wird, macht ihn sogar noch sensibler. Die vorgeschlagene Verordnung kann nicht getrennt von der Entwicklung anderer groß angelegter IT-Systeme und der allgemeinen Tendenz in Richtung einer größeren Interoperabilität zwischen Informationssystemen gesehen werden. Dies steht in der Mitteilung der Kommission vom 24. November 2005 über die Verbesserung der Effizienz der europäischen Datenbanken im Bereich Justiz und Inneres und die Steigerung ihrer Interoperabilität sowie der Synergien zwischen ihnen. (4)

Daher wird sich eine in einem bestimmten Kontext zu einem bestimmten Zweck getroffene Entscheidung aller Wahrscheinlichkeit nach auf die Entwicklung und die Nutzung anderer, für andere Zwecke eingerichteter Systeme auswirken. So könnten insbesondere biometrische Daten — und wohl auch Daten, die zum Zwecke der Anwendung der Visumpolitik erhoben werden — in verschiedenen Kontexten genutzt werden, sobald sie erst einmal zur Verfügung stehen. Dies könnte nicht nur den SIS-Rahmen, sondern aller Voraussicht nach auch Europol und FRONTEX betreffen.

2.3. Pflicht zur Abnahme von Fingerabdrücken

In der Begründung des vorliegenden Vorschlags steht Folgendes: „Da von nun an bei der Beantragung von Visa biometrische Identifikatoren erfasst werden sollen, muss eine Rechtsgrundlage dafür geschaffen und die GKI entsprechend geändert werden“.

Der EDSB hat Einwände gegen die Entscheidung des Gesetzgebers, Bestimmungen über die gegebenenfalls für bestimmte Personen oder Personengruppen geltende Befreiung von der Pflicht zur Abnahme von Fingerabdrücken in die GKI und nicht in die VIS-Verordnung selbst aufzunehmen. Denn zum einen haben diese Bestimmungen erhebliche Auswirkungen auf die Privatsphäre einer großen Anzahl von Personen, weshalb sie im Rahmen grundlegender Rechtsvorschriften und nicht in Weisungen mit einem weit gehenden technischen Charakter geregelt werden sollten. Zum anderen wäre es aus Gründen der Klarheit der rechtlichen Regelung wünschenswert, diesen Aspekt in demselben Text zu regeln, in dem auch die Einrichtung des Informationssystems selbst geregelt wird.

a) An erster Stelle sei darauf hingewiesen, dass die Schaffung einer Rechtsgrundlage für die Pflicht zur Abnahme von Fingerabdrücken und zur Erfassung biometrischer Identifikatoren weitaus mehr als nur eine Formalität ist; sie wirkt sich in erheblichem Maße auf die Privatsphäre der betroffenen Personen aus. So ist insbesondere die Festlegung des Mindest- und/oder des Höchstalters für die Abnahme von Fingerabdrücken eine politische und nicht nur eine technische Entscheidung. Daher empfiehlt der EDSB, diese Frage und insbesondere die nicht rein technischen Aspekte im Basistext (Vorschlag für die VIS-Verordnung) und nicht in einem Handbuch mit Weisungen zu den vorwiegend technischen und praktischen Aspekten des Visumerteilungsverfahrens zu regeln. (5) In diesem Zusammenhang sollte auch auf die in der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK) und der einschlägigen Rechtsprechung enthaltenen Anforderungen hingewiesen werden. Gemäß Artikel 8 Absatz 2 EMRK ist der Eingriff einer öffentlichen Behörde in die Ausübung des Rechts auf Achtung des Privatlebens nur statthaft, insoweit dieser Eingriff „gesetzlich vorgesehen ist“ und eine Maßnahme darstellt, die in einer „demokratischen Gesellschaft“ zum Schutz wichtiger Interessen „notwendig ist“. In der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte haben diese Voraussetzungen dazu geführt, dass zusätzliche Anforderungen in Bezug auf die Qualität der Rechtsgrundlage für entsprechende Eingriffe (der Eingriff muss in zugänglichen Rechtsvorschriften vorgesehen sein und er muss vorhersehbar sein), die Verhältnismäßigkeit etwaiger Maßnahmen und die Notwendigkeit, angemessene Garantien gegen Missbrauch vorzusehen, gestellt werden müssen. Abgesehen von der Tatsache, dass der nachstehend beschriebene fragmentarische Ansatz für die Rechtsetzung nicht zu einer klaren und zugänglichen Regelung führt, ist es fragwürdig, ob die GKI selbst überhaupt als solche eingestuft werden kann. So könnten Fragen im Zusammenhang mit dem Verfahren für (mögliche) künftige Änderungen dieses Textes aufkommen. Es sollte auf jeden Fall sichergestellt werden, dass ein Beschluss dieser Tragweite nicht ohne Rückgriff auf ein Verfahren geändert werden kann, das eine angemessene Transparenz und demokratische Konsultation gewährleistet.

b) Die zweite Frage betrifft die Klarheit der rechtlichen Regelung. In der Begründung des Vorschlags wird nicht klargestellt, aus welchen Gründen für die Erfassung biometrischer Identifikatoren und für deren Verarbeitung eine unterschiedliche Rechtsgrundlage vorgesehen werden muss. In der Begründung steht, dass in dem Vorschlag die Erfassung biometrischer Daten behandelt wird, während im VIS-Vorschlag nur der Austausch und die Übermittlung von Daten berücksichtigt sind (6). Aus datenschutzrechtlicher Sicht umfasst die Verarbeitung personenbezogener Daten jedoch auch deren Erfassung. Es dürfte der Klarheit der Regelung abträglich sein, wenn die im Rahmen eines Prozessablaufs erfolgenden Vorgänge in unterschiedlichen Gesetzestexten geregelt werden. Dies stellt sowohl für die (von diesem Vorschlag betroffenen) Personen als auch für die demokratische Kontrolle des Systems ein Problem dar. Es wird nämlich immer schwieriger, sich in diesem Bereich, in dem unterschiedliche Rechtsakte im Wesentlichen dieselbe Datenverarbeitung regeln, einen Gesamtüberblick zu verschaffen.

2.4. Befreiung von der Pflicht zur Abnahme von Fingerabdrücken

Besonders verdeutlicht wird diese Problematik durch die Frage, welche Kategorien von Personen von der Pflicht zur Abnahme von Fingerabdrücken befreit werden sollen, und insbesondere den Fall von Kleinkindern.

Die Zulässigkeit der Abnahme von Fingerabdrücken von Kleinkindern sollte unter Berücksichtigung des Zwecks des VIS selbst geprüft werden. Mit anderen Worten: Die Einführung der Pflicht zur Erfassung biometrischer Identifikatoren von bestimmten Personenkategorien bzw. die Befreiung dieser Kategorien von dieser Pflicht muss — wie im VIS-Vorschlag festgestellt — eine angemessene Maßnahme im Rahmen der Visumpolitik und der damit zusammenhängenden Ziele darstellen. Diese Verhältnismäßigkeit sollte in einem demokratischen Verfahren bewertet werden.

Sie sollte — im Einklang mit dem VIS-Vorschlag — auch unter Berücksichtigung der Nutzung dieser Fingerabdrücke bewertet werden. Biometrische Daten werden entweder zu Überprüfungs- oder zu Identifizierungszwecken genutzt: Ein biometrischer Identifikator könnte aus technischer Sicht für den einen, nicht jedoch für den anderen Zweck für geeignet erachtet werden. Die Verarbeitung der Fingerabdrücke von Kindern unter 14 Jahren wird in der Regel nur für die Zwecke der Überprüfung für zuverlässig gehalten. Dieser Aspekt sollte bei der Analyse dieses Vorschlags berücksichtigt werden, aber auch hier gilt, dass die notwendigen Elemente (über die im Übrigen noch keine Entscheidung getroffen wurde) im VIS-Vorschlag enthalten sind.

Abschließend empfiehlt der EDSB nachdrücklich, dass die Befreiungen von der Erfassung biometrischer Identifikatoren aus Gründen der Klarheit und der Kohärenz in der VIS-Verordnung genau geregelt werden. Die Regelung der Erfassung biometrischer Identifikatoren und insbesondere von Fingerabdrücken in diesem Fall sollte als Ergänzung des grundlegenden Rechtsakts betrachtet und daher im Hauptdokument selbst behandelt werden.

2.5. Alter der Visumantragsteller

Nach dem Vorschlag werden nur Kinder unter sechs Jahren von der Abgabe von Fingerabdrücken befreit. Dies wirft zahlreiche Fragen auf (unabhängig davon, ob dieser Aspekt im Vorschlag über das VIS oder über die GKI geregelt wird).

Nach Auffassung des EDSB ist zunächst festzuhalten, dass eine allgemeine Abnahme von Fingerabdrücken von Kindern nicht als reine Formalität betrachtet werden kann und dass darüber in den zuständigen Organen eine ernsthafte demokratische Debatte geführt werden sollte. Eine solche Entscheidung sollte nicht nur auf die technische Durchführbarkeit, sondern zumindest auch auf die damit für die Anwendung des VIS verbundenen Vorteile gestützt sein. Zurzeit scheint über diese Frage — außer in einigen wenigen Mitgliedstaaten — jedoch keine öffentliche Debatte geführt zu werden, was sehr bedauerlich ist.

Es sei ferner darauf hingewiesen, dass mit der Einrichtung des VIS grundsätzlich das Ziel verfolgt wird, die Visumerteilungsverfahren für Bona-fide-Reisende (die Mehrheit der Reisenden) zu erleichtern. Daher sollten auch Aspekte der praktischen Handhabung und der Ergonomie berücksichtigt werden (7). Die Nutzung biometrischer Identifikatoren in Visumerteilungsverfahren oder bei Grenzkontrollen sollte nicht dazu führen, dass die Visumerteilungsverfahren im Falle von Kindern nur äußerst schwierig einzuhalten sind.

Schließlich sei darauf hingewiesen, dass alle biometrischen Identifizierungssysteme technische Mängel aufweisen. In der Fachliteratur lassen sich zurzeit noch keine schlüssigen Beweise dafür finden, dass die Fingerabdrücke von Kindern unter 14 Jahren eine zuverlässige Identifizierung ermöglichen. Bisher wurden nur mit dem Eurodac- und dem US-Visit-System Erfahrungen in Bezug auf eine größere Population gemacht. Interessanterweise werden Fingerabdrücke in beiden Systemen nur bei Kindern ab dem 14. Lebensjahr abgenommen. Die Abnahme der Fingerabdrücke von Kindern unter 14 Jahren sollte sich auf Studien stützen, die nachweisen, dass solche Fingerabdrücke im Rahmen einer groß angelegten Datenbank wie dem VIS präzise und nützlich sind.

Es wäre auf jeden Fall ratsam, Fingerabdrücke von Kleinkindern nur für einen „Eins-zu-eins-Vergleich“ und nicht für einen „Eins-zu-Vielen-Vergleich“ zu nutzen. Dies sollte ausdrücklich festgelegt werden.

Schließlich gelten die meisten der oben formulierten Bemerkungen nicht nur für Kinder, sondern auch für ältere Personen. Die Genauigkeit und die Nutzbarkeit von Fingerabdrücken nehmen mit zunehmendem Alter (8) ab; ferner spielen auch hier die praktische Handhabung und die Ergonomie eine Rolle.

2.6. Lichtbilder

Dasselbe gilt für Lichtbilder, für die weder in diesem Vorschlag noch im VIS-Vorschlag eine Altersgrenze festgelegt ist. Es ist jedoch fragwürdig, ob Lichtbilder von Kindern, deren Gesichtszüge noch nicht die von Erwachsenen sind, für Identifizierungs- oder gar Überprüfungszwecke wirklich nützlich sind.

Die (künftig computergestützte oder „menschliche“) Gesichtserkennung bei Kindern auf der Grundlage von Lichtbildern, die bereits ein paar Jahre alt sind, wird aller Voraussicht nach sehr problematisch sein. Trotz erheblicher Fortschritte im Bereich der Gesichtserkennung ist es eher unwahrscheinlich, dass eine Software in absehbarer Zeit in der Lage sein wird, wachstumsbedingte Änderungen im Gesicht eines Kindes zu erkennen. Daher sollte in der VIS-Verordnung klargestellt werden, dass Lichtbilder bei der Überprüfung oder Identifizierung von Personen nur als unterstützende Elemente herangezogen werden können, solange die Technologie der Gesichtserkennung noch nicht zuverlässig genug ist, wobei dies in Bezug auf Kinder wahrscheinlich längerfristig noch der Fall sein wird.

Ganz allgemein empfiehlt der EDSB, dass für beide biometrische Identifikatoren ernsthaft geprüft wird, ob die Vorteile (Bekämpfung der illegalen Einwanderung und des Kinderschmuggels) die oben genannten Nachteile aufwiegen.

2.7. Andere Ausnahmen

Nach dem Vorschlag wären Antragsteller, „bei denen eine Abnahme von Fingerabdrücken physisch unmöglich ist“, von der Pflicht zur Abgabe von Fingerabdrücken befreit.

Der EDSB hat bereits in seinem Gutachten zum VIS-Vorschlag betont, dass dieser Fall auf eine beträchtliche Anzahl von Personen zutrifft: Schätzungen zufolge wäre bei bis zu 5 % der Bevölkerung eine Erfassung der Fingerabdrücke unmöglich. Bei einer Datenbank mit jährlich 20 Mio. Einträgen bedeutet dies, dass sich jedes Jahr bis zu 1. Mio Problemfälle bei der Erfassung ergeben würden. Dieser Aspekt sollte bei der Analyse des Vorschlags durchaus berücksichtigt werden. Zudem hat der EBDS mit Nachdruck auf die Notwendigkeit wirksamer Ausweichverfahren verwiesen:

„[Es sollten] Ausweichverfahren (fallback procedures) als wesentliche Schutzmaßnahmen für die Einführung biometrischer Daten zur Verfügung stehen, da letztere weder für alle zugänglich noch absolut genau sind. Solche Verfahren sollten eingeführt und in Anspruch genommen werden, um die Würde der Personen, die den Erfassungs-Prozess nicht erfolgreich absolvieren konnten, zu wahren und zu vermeiden, dass sie unter den Mängeln des Systems zu leiden haben.“

Der Verordnungsvorschlag sieht für diese Fälle vor, dass der Vermerk „unzutreffend“ in das VIS eingegeben wird. Diese Lösung wird durchaus begrüßt. Allerdings ließe sich befürchten, dass durch die Unmöglichkeit, die Fingerabdrücke zu erfassen, die Chancen gemindert werden, ein Visum zu erhalten. Es kann nicht akzeptiert werden, wenn in einem sehr hohen Prozentsatz der Fälle ein nicht erfolgreich abgeschlossener Erfassungsprozess zur Ablehnung des Visumantrags führen würde.

Daher sollte in der VIS-Verordnung durch Aufnahme einer entsprechenden Bestimmung festgehalten werden, dass die physische Unmöglichkeit der Erfassung der Fingerabdrücke nicht automatisch zu einer negativen Beurteilung des Visumantrags Visums führt. Zudem sollte dieser Aspekt bei der in der VIS-Verordnung vorgesehenen Berichterstattung mit besonderer Aufmerksamkeit angegangen werden: Eine hohe Anzahl verweigerter Visa in Verbindung mit einer physisch unmöglichen Erfassung der Fingerabdrücke sollte überwacht werden.

3. OUTSOURCING VON VISUMANTRÄGEN

Zur Verringerung des Aufwands der einzelnen Mitgliedstaaten (u. a. der Kosten für Beschaffung und Wartung der Ausrüstung) ermöglicht der Vorschlag mehrere Kooperationsmechanismen:

— „Kolokation“: Bedienstete der Auslandsvertretungen eines oder mehrerer Mitgliedstaaten bearbeiten die in der Auslandsvertretung eines anderen Mitgliedstaats an sie gerichteten Anträge (einschließlich der biometrischen Identifikatoren), wobei sie die Ausrüstung dieses Mitgliedstaats mit benutzen.

— „Gemeinsame Visumsantragstellen“: Bedienstete der Auslandsvertretungen werden von zwei oder mehr Mitgliedstaaten in einem Gebäude untergebracht, um die an sie gerichteten Visumanträge (einschließlich der biometrischen Identifikatoren) entgegenzunehmen.

— Schließlich wird im Vorschlag erwogen, ggf. externe Dienstleister mit der Entgegennahme der Visumanträge und der Erfassung der biometrischen Identifikatoren zu beauftragen (diese Option scheint eine Notlösung für Mitgliedstaaten darzustellen, die nicht auf eine der beiden erstgenannten Möglichkeiten zurückgreifen können; die Sachlage ist allerdings nicht völlig klar).

Der Vorschlag enthält weitreichende Bestimmungen, mit denen gewährleistet werden sollte, dass nur zuverlässige externe Dienstleister ausgewählt werden können, die in der Lage sein müssen, mit allen erforderlichen Maßnahmen den Schutz der „Daten gegen die zufällige oder unrechtmäßige Zerstörung, den zufälligen Verlust, die unberechtigte Änderung, die unberechtigte Weitergabe oder den unberechtigten Zugang sicherzustellen“ (Nummer 1.B.2 des Vorschlags).

Diese Bestimmung wurde mit großer Sorgfalt und mit Rücksicht auf den Datenschutz formuliert, was der EDSB begrüßt. Allerdings ist die Übertragung der Bearbeitung von Visumanträgen an einen externen Dienstleister in einem Drittstaat nicht ohne Konsequenzen für den Schutz von (gelegentlich sehr sensiblen) Daten, die zur Erteilung der Visa erhoben werden.

Diesbezüglich betont der EDSB insbesondere Folgendes:

— Je nach Rechtsordnung und Praxis des betreffenden Drittstaats könnte die Durchführung von Zuverlässigkeitsüberprüfungen von Bediensteten schwierig oder gar unmöglich sein;

— gleichwohl werden Sanktionen gegenüber Bediensteten eines externen Dienstleisters, die gegen datenschutzrechtliche Vorschriften verstoßen haben, nicht zwangsläufig möglich sein (auch wenn Vertragsstrafen gegen das betreffende Unternehmen verhängt werden können);

— das betreffende private Unternehmen könnte durch politische Unruhen oder Veränderungen beeinträchtig werden und außerstande sein, seinen Verpflichtungen betreffend die Sicherheit der Datenverarbeitung nachzukommen;

— eine wirksame Aufsicht könnte sich als schwierig erweisen, obgleich diese bei externen Partnern sogar noch notwendiger ist.

Daher sollte jeder Vertrag mit externen Dienstleistern die zur Einhaltung der Datenschutzbestimmungen erforderlichen Garantien vorsehen, darunter externe Audits, regelmäßige Stichprobenkontrollen, Berichterstattung, Haftung des Vertragspartners bei Verstößen gegen Datenschutzbestimungen, einschließlich der Verpflichtung zur Entschädigung der infolge einer Handlung des Dienstleisters geschädigten Personen.

Zusätzlich zu diesen Bedenken ist ein womöglich noch wichtigerer Punkt zu beachten, nämlich dass es den Mitgliedstaaten nicht möglich sein wird, die extern durchgeführte Datenverarbeitung (oder die Datenverarbeitung in außerhalb der Räumlichkeiten der Mission gelegenen „gemeinsamen Visumsantragstellen“) vor etwaigen Interventionen (z. B. Durchsuchung oder Beschlagnahme) der Behörden des Empfangsstaats zu schützen (9).

Denn die externen Dienstleister würden — trotz anders lautender vertraglicher Regelungen — der Rechtsordnung des Drittstaates unterliegen, in dem sie ihren Sitz haben. Jüngste Berichte über den Zugriff von Behörden eines Drittstaates auf von einem EU-Unternehmen verarbeitete Finanzdaten zeigen, dass ein solches Risiko nicht nur in der Theorie besteht. Darüber hinaus könnte dies eine ernsthafte Gefahr für Personen in einigen Drittstaaten darstellen, deren Behörden nur zu gerne in Erfahrung bringen würden, welche ihrer Staatsangehörigen ein Visum beantragt haben (zur politischen Überwachung von Regimegegnern und Dissidenten). Die meist ortsansässigen Bediensteten der privaten Unternehmen wären wohl nicht in der Lage, sich dem Druck der Regierung oder der Strafverfolgungsbehörden des betreffenden Landes zu widersetzen, wenn diese derartige Auskünfte verlangen.

Dies ist somit ein entscheidendes Manko dieser Regelung im Vergleich zur Datenverarbeitung in den Räumlichkeiten eines Konsulats oder einer diplomatischen Vertretung. Dann nämlich stehen die Daten unter dem Schutz des Wiener Übereinkommens vom 18. April 1961 über diplomatische Beziehungen. Nach Artikel 21 dieses Übereinkommens gilt:

„Die Räumlichkeiten der Mission sind unverletzlich. Vertreter des Empfangsstaats dürfen sie nur mit Zustimmung des Missionschefs betreten. […] Die Räumlichkeiten der Mission, ihre Einrichtung und die sonstigen darin befindlichen Gegenstände sowie die Beförderungsmittel der Mission genießen Immunität von jeder Durchsuchung, Beschlagnahme, Pfändung oder Vollstreckung.“.

Zudem würden nach Artikel 4 Absatz 1 Buchstabe b der Richtlinie 95/46/EG einzelstaatliche Vorschriften zur Umsetzung der Richtlinie ausdrücklich auf diese Verarbeitung personenbezogener Daten Anwendung finden, wodurch der Schutz noch verstärkt werden würde.

Daher scheint es offensichtlich, dass die einzige effiziente Vorgehensweise für den Schutz von Daten des Antragstellers und des jeweiligen Verpflichtenden (EU-Bürger oder -Unternehmen) darin besteht, sie unter den Schutz des Wiener Übereinkommens zu stellen. Hieraus folgt, dass die Daten in Räumlichkeiten verarbeitet werden sollten, die unter diplomatischem Schutz stehen. Dies würde die Mitgliedstaaten nicht an einem Outsourcing der Bearbeitung der Visumanträge hindern, soweit der externe Dienstleister diese Tätigkeit in den Räumlichkeiten der diplomatischen Mission durchführen kann. Gleiches würde auch für die „gemeinsamen Visumsantragstellen“ gelten.

Daher würde der EDSB nachdrücklich davon abraten, von der Möglichkeit eines Outsourcing an externe Dienstleister, wie sie auf Seite 15 des Vorschlags unter der neuen Nummer 1.B.1. Buchstabe b dargelegt ist, Gebrauch zu machen. In diesem Kontext wären folgende Möglichkeiten akzeptabel:

— Outsourcing der Visumbearbeitung an ein privates Unternehmen, sofern dieses seine Arbeit in unter diplomatischem Schutz stehenden Räumlichkeiten verrichtet;

— Beschränkung des Outsourcing auf die Bereitstellung von Informationen durch ein Call-Center, wie unter Nummer 1.B.1 Buchstabe a vorgeschlagen wird.

4. FAZIT

Der EDSB begrüßt es, dass der Vorschlag zur Änderung der Gemeinsamen Konsularischen Instruktion im Mitentscheidungsverfahren anzunehmen ist, da somit die demokratische Kontrolle in einem Bereich verstärkt wird, in dem diese durchaus in hohem Maße erforderlich ist.

Zum Inhalt spricht der EDSB folgende Empfehlungen aus:

— die Ausnahmen von der obligatorischen Erfassung der Fingerabdrücke sollten in der VIS-Verordnung und nicht in der Gemeinsamen Konsularischen Instruktion geregelt werden, um die Verständlichkeit und Kohärenz dieser Regelung sicherzustellen;

— die Altersgrenzen in Bezug auf die Erfassung der Fingerabdrücke und die Lichtbilder sollten sorgfältig geprüft werden, unter Berücksichtigung der Durchführbarkeit sowie anderer Aspekte wie der Ethik, der praktischen Handhabung und der Genauigkeit;

— Lichtbilder sollten nicht als „Alleinlösung“ für die Identifizierung betrachtet werden, sondern lediglich als unterstützendes Element;

— das Outsourcing der Visumbearbeitung an private Unternehmen sollte nur dann zulässig sein, wenn diese Tätigkeit in unter diplomatischem Schutz stehenden Räumlichkeiten durchgeführt wird und auf Vertragsbestimmungen beruht, die die Aufsicht über den betreffenden Dienstleister sowie dessen Haftung wirksam sicherstellen.

Geschehen zu Brüssel am 27. Oktober 2006 Peter HUSTINX Europäischer Datenschutzbeauftragter

(1) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über das Visa-Informationssystem (VIS) und den Datenaustausch zwischen Mitgliedstaaten über Visa für einen kurzfristigen Aufenthalt (COM(2004) 835 endg.), von der Kommission am 28. Dezember 2004 vorgelegt.

(2) Stellungnahme vom 23. März 2005 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über das Visa-Informationssystem (VIS) und den Datenaustausch zwischen Mitgliedstaaten über Visa für den kurzfristigen Aufenthalt, ABl. C 181 vom 23.7.2005, S. 13.

(3) „Die biometrischen Daten weisen eine nahezu absolute Einmaligkeit auf, d.h. jede Person besitzt einzigartige biometrische Daten. Sie ändern sich im Laufe des Lebens fast nie, so dass diese Merkmale konstanter Natur sind. Jeder verfügt über dieselben physischen ‚Faktoren‘, was den biometrischen Daten Universalität verleiht.“, ebd.

(4) KOM(2005) 597 endg.

(5) Die Tatsache, dass es unterschiedliche Rechtsgrundlagen gibt (Artikel 62 Nummer 2 Buchstabe b Ziffer ii für die GKI und Artikel 66 für den VIS-Vorschlag), hindert den Gesetzgeber nicht daran, diese Frage in demselben Text zu behandeln.

(6) Begründung, Seite 5.

(7) Wie in einer Studie der niederländischen Regierung betont wurde (J.E. DEN HARTOGH et al. „How do you measure a child? A study into the use of biometrics in children“, 2005, TNO.

(8) Siehe z.B. A. HICKLIN und R.KHANNA, „The Role of Data Quality in Biometric Systems“, MTS, 9. Februar 2006

(9) Dieses Problem stellte sich bereits bei der Bearbeitung von Anträgen in Reisebüros; allerdings ist dieser Aspekt im vorliegenden Fall noch heikler, da biometrische Daten im Spiel sind und da Antragsteller im Prinzip nicht verpflichtet sind, sich an ein Reisebüro zu wenden.