Source: https://www.datenschutz.hessen.de/tb37k02.htm
Timestamp: 2016-07-23 19:11:43
Document Index: 116516205

Matched Legal Cases: ['Art. 99', 'Art. 99', 'Art. 96', 'Art. 96', 'Art. 97', 'Art. 98', 'Art. 34', 'Art. 12', 'Art. 10', 'Art. 23', 'Art. 18', 'Art. 18', 'Art. 16', 'Art. 16', 'Art. 16', 'Art. 16', 'Art. 8', 'Art. 8', 'Art. 23']

tb37k02 - Der Hessische Datenschutzbeauftragte
Datenschutz > Tätigkeitsberichte > 37. Tätigkeitsbericht des Hessischen Datenschutzbeauftragten Professor Dr. Michael Ronellenfitsch > tb37k02
2.1 Gemeinsame Kontrollinstanzen für das Schengener Informationssystem und für EUROPOL2.2 EURODAC – Koordinierung der Kontrolle2.3 Auswirkungen des Vertrags von Lissabon auf den Datenschutz
Zurück zum Inhaltsverzeichnis des 37. Tätigkeitsbericht
2.1 Gemeinsame Kontrollinstanzen für das Schengener Informationssystem und für EUROPOL
Im 36. Tätigkeitsbericht (Ziff. 3.1) hatte ich berichtet, dass die bereits zum 1. Mai 2004 der EU beigetretenen Staaten mit Ausnahme Zyperns seit Ende 2007 auch an dem erweiterten Schengener Informationssystem (SIS I Plus) teilnehmen. Rumänien und Bulgarien haben derzeit noch Beobachterstatus, da das Schengener Durchführungsübereinkommen (SDÜ) ihnen gegenüber noch nicht in Kraft gesetzt wurde. Seit November 2008 sind auch die Schweiz und Liechtenstein – als nicht zur EU gehörig – vollwertige Schengen-Staaten.
Die Erweiterung des Schengenraums um die neuen europäischen Länder hat zu einer Zunahme der Datensätze im SIS um ca. 23 % auf fast 23 Millionen geführt.
Die Gemeinsame Kontrollinstanz (GK) prüft in regelmäßigen Abständen, ob Datenspeicherungen von mittlerweile zu EU-Bürgern gewordenen Personen im SIS enthalten sind.
In den letzten Tätigkeitsberichten (36. Tätigkeitsbericht, Ziff. 3.1; 35. Tätigkeitsbericht, Ziff. 3.1.1) hatte ich berichtet, dass das SIS ausgebaut werden soll, da dessen Technik auch mit SIS I Plus angesichts des rasant angestiegenen Datenumfangs durch den erweiterten Teilnehmerkreis an seine Grenzen stößt. Die von mir beschriebenen neuen Rechtsgrundlagen für das SIS II sind zwar veröffentlicht, finden aber erst dann Anwendung, wenn das SIS II in Echtbetrieb – voraussichtlich Anfang 2009 – geht.
Die GK wurde in die Vorbereitung zur Implementierung von SIS II eingebunden. Sie hat sich zu verschiedenen Fragen der Migration von Daten aus SIS I Plus in SIS II geäußert. Vor allem ging es um datenschutzrechtliche Anforderungen, die an einen derartigen Testlauf gestellt werden, insbesondere die Sicherstellung der Anonymisierung der dort verwandten Daten.
Weitere Aufgabe der GK wird es in der nächsten Zeit sein, den reibungslosen Übergang ihrer Kontrolltätigkeiten auf die in den neuen Rechtsgrundlagen vorgesehenen Kontrollinstanzen zu gewährleisten. Demnächst wird die Kontrolle durch den Europäischen Datenschutzbeauftragten hinsichtlich des zentralen Teils des SIS und der damit zusammenhängenden Fragen vorgenommen werden. Hinzu kommen die nationalen Kontrollinstanzen in den einzelnen Schengen-Staaten, deren Zusammenarbeit durch die in den Rechtsakten vorgesehenen gemeinsamen Sitzungen formalisiert wird.
Ausschreibungen zur verdeckten Registrierung
Die GK hatte sich mit der Frage auseinanderzusetzen, ob – wie vom Rat gewünscht – das SIS zum Austausch von Informationen über sog. Unruhestifter (troublemakers) bei politischen Gipfeltreffen oder Massenveranstaltungen genutzt werden kann. Als Rechtsgrundlage für die Speicherung sollte nach den Plänen des Rates Art. 99 SDÜ hinzugezogen werden.
(1) Daten in Bezug auf Personen ... werden nach Maßgabe des nationalen Rechts des ausschreibenden Mitgliedstaats zur verdeckten Registrierung aufgenommen.
a)	konkrete Anhaltspunkte dafür vorliegen, dass der Betroffene in erheblichem Umfang außergewöhnlich schwere Straftaten plant oder begeht, oder
b)	die Gesamtbeurteilung des Betroffenen, insbesondere aufgrund der bisher von ihm begangenen Straftaten, erwarten lässt, dass er auch künftig außergewöhnlich schwere Straftaten begehen wird.
Voraussetzung ist also sowohl im Fall der Strafverfolgung als auch bei der Gefahrenabwehr, dass es um „außergewöhnlich schwere Straftaten“ geht. Diese Anforderung sah die GK bei den sog. Unruhestiftern nicht als gegeben an. Sie hatte vielmehr die Befürchtung, dass die Zulassung dieser Ausschreibungskategorie dazu führt, dass auch unverdächtige Personen im SIS ausgeschrieben werden könnten. Hinzu kommt, dass die GK grundlegende Zweifel an der Wahl der Ausschreibungskategorie hatte. Während die Ausschreibung zur verdeckten Registrierung nach Art. 99 SDÜ das Ziel verfolgt, beispielsweise die Reisewege einer Person zu registrieren und der verdeckte Charakter der Maßnahme gewahrt bleiben soll, kommt es bei dem Vorhaben des Rats gerade darauf an, bestimmte Personen von einer Veranstaltung fernzuhalten und evtl. festzunehmen.
Gemeinsame Überprüfung der Ausschreibungen von Dritt-Ausländern zur Einreiseverweigerung
Im Jahr 2004 hatte die GK eine europaweit koordinierte Prüfung von Ausschreibungen zur Einreiseverweigerung nach Art. 96 SDÜ initiiert. Über das Ergebnis der Kontrollen durch die jeweiligen Datenschutzbeauftragten in den Schengen-Staaten habe ich im 33. Tätigkeitsbericht (Ziff. 3.2) berichtet.
Im März d.J. beschloss die GK, einen follow-up-check der damaligen Feststellungen vorzunehmen, um zu prüfen, ob die seinerzeit festgestellten Defizite weiterhin bestehen. Die Ausschreibungen nach Art. 96 SDÜ machen immer noch ca. 90 % der personenbezogenen Ausschreibungen im SIS aus. Mängel bei dieser Ausschreibungskategorie wirken sich deshalb besonders auf die Fehlerquote des SIS insgesamt aus. Festzustellen waren zum einen Fehler, die die Voraussetzungen der Speicherung selbst betreffen. Zum anderen ging es vor allem um die Einhaltung der vorgesehenen Überprüfungs- und Löschungsfristen sowie Dokumentationspflichten. Deutschland hat die Überprüfung mittlerweile abgeschlossen (die Prüfung in Hessen wird unter Ziff. 4.4.1 dargestellt). Auch eine Vielzahl anderer Schengen-Länder haben ihre Prüfberichte erstellt und dem Sekretariat der GK übermittelt. Derzeit wird von diesem eine Synthese der Ergebnisse erstellt, um dann Verbesserungsvorschläge auszuarbeiten.
Gemeinsame Überprüfung der Ausschreibungen zur vorläufigen in Gewahrsamnahme und zur Wohnsitz- und Aufenthaltsermittlung
Die GK unternimmt zur Zeit eine weitere gemeinsame Überprüfung von Ausschreibungen im SIS. Dabei geht es zum einen u.a. um Vermisste und andere Personen sowie Minderjährige.
Art. 97 SDÜ
Daten in Bezug auf Vermisste oder Personen, die im Interesse ihres eigenen Schutzes oder zur Gefahrenabwehr auf Ersuchen der zuständigen Behörde oder des zuständigen Gerichts der ausschreibenden Vertragspartei vorläufig in Gewahrsam genommen werden müssen, werden aufgenommen, damit die Polizeibehörden den Aufenthalt der ausschreibenden Vertragspartei mitteilen oder die Person in Gewahrsam nehmen können, um deren Weiterreise zu verhindern, soweit es das nationale Recht erlaubt. Dies gilt insbesondere für Minderjährige und Personen, die aufgrund einer Anordnung einer zuständigen Stelle zwangsweise untergebracht werden müssen. ...
Die andere Ausschreibungskategorie betrifft u.a. Zeugen im Strafverfahren.
Art. 98 Abs. 1 SDÜ
Daten in Bezug auf Zeugen sowie auf Personen, die im Rahmen eines Strafverfahrens wegen Taten vor Gericht erscheinen müssen, derentwegen sie verfolgt werden oder Personen, denen ein Strafurteil oder die Ladung zum Antritt einer Freiheitsentziehung zugestellt werden muss, werden auf Ersuchen der zuständigen Justizbehörden im Hinblick auf die Mitteilung des Wohnsitzes oder des Aufenthalts aufgenommen.
Beide Ausschreibungskategorien zusammen ergaben immerhin in Deutschland Speicherungen zu ca. 4.000 Personen.
Die GK hat einen Fragebogen ausgearbeitet, der in allen Mitgliedstaaten bearbeitet wird. Derzeit werden die Rechtsgrundlagen für die Ausschreibungen und die Praxis in den Schengen-Staaten zusammengetragen. In einem weiteren Schritt soll die Rechtmäßigkeit der Ausschreibungen mittels festgelegten Kriterien geprüft werden.
Gemeinsame Kontrollinstanz EUROPOL
Neue Rechtsgrundlage für EUROPOL
In den letzten Tätigkeitsberichten (36. Tätigkeitsbericht, Ziff. 3.2.1; 35. Tätigkeitsbericht, Ziff. 3.2.1) hatte ich berichtet, dass das völkerrechtliche EUROPOL-Abkommen durch einen Ratsbeschluss nach Art. 34 Abs. 2c EU-Vertrag ersetzt werden soll. Anders als damals angenommen, ist der Beschluss noch nicht verabschiedet. Allerdings ist eine politische Einigung auf die im 36. Tätigkeitsbericht (Ziff. 3.2.1) beschriebenen Inhalte erfolgt (Beschluss des Rates zur Errichtung zu Europäischen Polizeiamts vom 24. Juni 2008, 8706/08). Es ist weiterhin vorgesehen, dass der Ratsbeschluss Anfang 2010 in Kraft tritt.
Stellungnahme zu Analysedateien
Bevor EUROPOL personenbezogene Daten zu einem bestimmten Ermittlungskomplex in einer automatisierten Datei speichern darf, ist eine Errichtungsanordnung zu erstellen.
Art. 12 EUROPOL-Abkommen – Errichtungsanordnung
(1) EUROPOL hat für jede nach Art. 10 bei ihm zur Erfüllung seiner Aufgaben geführte automatisierte Datei mit personenbezogenen Daten in einer Errichtungsanordnung, die der Zustimmung des Verwaltungsrates bedarf, festzulegen:
Art der zu speichernden Daten ...
Prüffristen und Speicherungsdauer
Die GK wird regelmäßig vor der Errichtung neuer Analysedateien informiert und nimmt dazu Stellung. Die deutsche Delegation ist in der Arbeitsgruppe, auf die die GK einen Teil der Arbeit delegiert hat, vertreten. Einzelheiten können aufgrund des vertraulichen Inhalts der Dokumente nicht mitgeteilt werden. Derzeit unterhält EUROPOL 18 Analysedateien.
Teilnahme von Experten aus Drittstaaten in Analysegruppen von EUROPOL
Aufgrund einer Änderung des EUROPOL-Übereinkommens durch das dänische Protokoll (s. dazu 36. Tätigkeitsbericht, Ziff. 3.2.1) dürfen Experten von Drittstaaten bzw. Nicht-EU-Stellen unter bestimmten Voraussetzungen an der Tätigkeit von Analysegruppen von EUROPOL teilnehmen.
Grundlage dafür ist eine Vereinbarung zwischen EUROPOL und dem Drittstaat bzw. der anderen Behörde, in der Einzelheiten der Tätigkeit der Mitarbeiter sowie der Datenverarbeitung geregelt werden. Der GK wurden eine Reihe derartiger Vereinbarungen, u.a. mit Australien, Kroatien, USA, Schweiz, Interpol und Eurojust, zur Stellungnahme übersandt. Dabei wurde festgestellt, dass einige der Vereinbarungen schon seit 2007 existieren und es versäumt wurde, die GK im Vorfeld zu informieren.
Prüfung der Datenschutzberichte von Russland und Israel
EUROPOL kann aufgrund eines Ratsbeschlusses vom 27. März 2000 (ABlEG 2000/C 106/1 vom 13. April 2000) Vereinbarungen mit Drittstaaten und nicht EU-Stellen über den Austausch operativer, strategischer oder technischer Informationen einschließlich personenbezogener Daten abschließen. Dies gilt für Staaten und Organisationen, die der Rat nach einem bestimmten Verfahren ausgewählt hat. Die Befugnis zum Abschluss von Vereinbarungen findet sich in Art. 23 des Entwurfs für einen Ratsbeschluss zu EUROPOL wieder. Voraussetzung für den Beginn derartiger Verhandlungen ist u.a. ein Bericht über das Datenschutzniveau in dem betreffenden Land. EUROPOL hat bisher derartige Datenschutzberichte zu Russland und Israel erstellt. Die Berichte wurden der GK in einer ihrer Sitzungen von Mitarbeitern von EUROPOL vorgestellt. Die GK hat zunächst zu entscheiden, ob der Stand des Datenschutzes in Russland und Israel die Aufnahme von Verhandlungen über eine Vereinbarung zur Übermittlung personenbezogener Daten durch EUROPOL erlaubt oder nicht. Es geht also noch nicht darum, zu entscheiden, ob bestimmte personenbezogene Daten übermittelt werden dürfen. Die GK hat noch grundsätzliche Fragen, insbesondere zur Qualität der Datenschutzgesetzgebung und der Existenz von Datenschutzkontrollinstanzen, die zunächst beantwortet werden müssen.
2.2 EURODAC – Koordinierung der Kontrolle
Der Europäische Datenschutzbeauftragte und die nationalen Kontrollinstanzen haben eine Koordinierungsgruppe gegründet, um die Kontrollen des Europäischen Fingerabdrucksystems EURODAC besser abzustimmen. Der Hessische Datenschutzbeauftragte ist als Vertreter der Landesdatenschutzbeauftragten Mitglied der deutschen Delegation.
In der Zentralen Datenbank von EURODAC in Luxemburg werden die Fingerabdrücke aller Asylbewerber gespeichert, die einen Antrag in einem der Mitgliedstaaten der EU gestellt haben. Ziel ist es zum einen, zu verhindern, dass Anträge auf Asyl nacheinander in verschiedenen europäischen Staaten gestellt werden. Vorgesehen ist weiterhin der Abgleich des zentralen Datenbestands mit Daten von an der Grenze aufgegriffenen oder sich illegal in dem Mitgliedstaat aufhaltenden Ausländern.
Nach der EURODAC-Verordnung (EG Nr. 2725/2000 vom 11. Dezember 2000, ABlEG L 316/1) als Instrument der ersten Säule der EU ist der Europäische Datenschutzbeauftragte für die Kontrolle der Zentralen Datenbank in Luxemburg zuständig. Die Kontrolle bei den Stellen, die in den einzelnen Mitgliedstaaten die EURODAC-Verordnung umsetzen (in Deutschland: u.a. BKA, Bundesamt für Migration und Flüchtlinge, Polizeidienststellen), obliegt den nationalen Kontrollstellen. Um die Kontrolle besser aufeinander abzustimmen und beispielsweise die Kontrollschwerpunkte in allen Mitgliedstaaten zu vereinheitlichen, wurden die bisher schon stattfindenden Arbeitstreffen zwischen dem Europäischen Datenschutzbeauftragten und den nationalen Kontrollinstanzen in einer Koordinierungsgruppe formalisiert. Im Berichtszeitraum hat die Koordinierungsgruppe zweimal getagt. Es wurden insbesondere die bisherigen Kontrollergebnisse in den einzelnen Mitgliedstaaten vorgestellt sowie gemeinsame Kriterien für zukünftige Kontrollen entwickelt.
Man einigte sich auf drei Schwerpunkte:
Zum einen soll geprüft werden, inwieweit die Mitgliedstaaten der in Art. 18 EURODAC-Verordnung enthaltenen Unterrichtungspflicht nachkommen.
Art. 18 EURODAC-Verordnung
die Identität des für die Verarbeitung Verantwortlichen und ggf. seines Vertreters,
die Zwecke der Verarbeitung der Daten im Rahmen von Eurodac,
die Verpflichtung zur Fingerabdrucknahme bei Personen im Sinne des Artikels 4 oder Artikels 8,
die Auskunfts- und Berichtigungsrechte bezüglich sie betreffender Daten.
Ein weiteres Thema soll die Speicherung von Daten Minderjähriger sein. Hier geht es vor allem darum nachzuprüfen, ob – anders als in der EURODAC-Verordnung vorgesehen – auch schon Daten von unter 14-Jährigen gespeichert werden. Zum anderen sollen die unterschiedlichen von den Mitgliedstaaten angewandten Methoden zur Feststellung des Alters des minderjährigen Asylbewerbers untersucht werden.
Das dritte Thema umfasst Probleme, die sich bei der Anwendung von Dubli-Net ergeben. Dies ist das Netz, über das die Daten zur Bestimmung der zuständigen Asylbehörde zwischen den Mitgliedstaaten ausgetauscht werden.
Der Europäische Datenschutzbeauftragte hat berichtet, dass bei der Kontrolle der Zentralen Datenbank in Luxemburg bisher keine datenschutzrechtlichen Verstöße festgestellt wurden.
2.3 Auswirkungen des Vertrags von Lissabon auf den Datenschutz
Vor gut einem Jahr unterzeichneten die Staats- und Regierungschefs der 27 Mitgliedsländer der EU den Vertrag von Lissabon (ABlEG 2007/C 306/01), der eine grundlegende Umgestaltung der Gemeinschaftsverträge vorsieht. Auch wenn das Inkrafttreten noch nicht absehbar ist, wird es in irgendeiner Form zu Reformen kommen. Für den Datenschutz sieht der Vertrag von Lissabon eine Reihe wichtiger Änderungen vor.
Art. 16 des Vertrags über die Arbeitsweise der EU (AEUV), der den Vertrag über die EG (EGV) abändert, enthält eine Aufgabenzuweisung und einen Auftrag für die europäischen Gesetzgebungsorgane zum Erlass von Datenschutzvorschriften. Neu dabei ist, dass dies nicht nur für die Verarbeitung von personenbezogenen Daten durch europäische Organe und Einrichtungen gilt, sondern auch für die Datenverarbeitung durch die Mitgliedstaaten.
Art. 16 Abs. 2 AEUV
Eine weitere Neuerung ist, dass diese Regelung als allgemein geltende Bestimmung im Vertrag von Lissabon u.a. auch für die polizeiliche und justizielle Zusammenarbeit gilt. Durch den Wegfall der Säulenkonstruktion wird der ehemals der 3. Säule zufallende Bereich der polizeilichen und justiziellen Zusammenarbeit vergemeinschaftet und fällt damit grundsätzlich in den Anwendungsbereich von Art. 16 AEUV.
Dies kann zum einen Auswirkungen auf den Anwendungsbereich der Datenschutzrichtlinie (Richtlinie der EG 1995/46 vom 24. Oktober 1995) haben. Dort wird die Anwendung der Richtlinie u.a. für Tätigkeiten, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, ausgeschlossen. Da die polizeiliche und justizielle Zusammenarbeit aber im Vertrag von Lissabon gerade vergemeinschaftet wird, ist jedenfalls eine Anwendung der Richtlinie auch auf diesen Bereich zu prüfen.
Es stellt sich weiterhin die Frage, ob der Ende November verabschiedete Rahmenbeschluss für den Datenschutz in der 3. Säule der EU (Vorschlag für einen Rahmenbeschluss des Rates über den Schutz personenbezogener Daten, die Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen verarbeitet werden vom 12. Dezember 2007, 16069/07) den Anforderungen von Art. 16 Abs. 2 AEUV genügt. Nach wie vor umfasst der Anwendungsbereich dieses Rahmenbeschlusses nicht die Datenverarbeitung in den Mitgliedstaaten, obwohl dies immer wieder von den Datenschutzbeauftragten der Mitgliedstaaten (s. Entschließung Ziff. 10.15) und erst kürzlich vom Europäischen Parlament (Bericht des Ausschusses für Bürgerliche Freiheiten, Justiz und Inneres vom 23. Juli 2008) angemahnt wurde.
Eine weitere wichtige Änderung durch den Vertrag von Lissabon bringt das erstmalig auf europäischer Ebene rechtsverbindlich ausgestaltete Grundrecht auf Datenschutz. Es findet sich in Art. 8 der Charta der Grundrechte der EU.
Art. 8 Charta der Grundrechte der EU
(2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betreffenden Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.
In der Schlussakte des Vertrags von Lissabon wird in einer Erklärung auf die Charta der Grundrechte der EU verwiesen und die dort postulierten Grundrechte werden als rechtsverbindlich anerkannt. Für die Bürgerinnen und Bürger in Europa, die sich bei Maßnahmen durch europäische Organe oder Einrichtungen auf ein explizites Grundrecht auf Datenschutz berufen können, ist dies sicher von Vorteil. Die Entwicklung wird zeigen, ob und welche Auswirkungen die Ausformung des Europäischen Grundrechts auf die Rechtsprechung zum Datenschutz in Deutschland hat. Diese ist gehalten, darauf zu achten, dass das Europäische Grundrecht das hier maßgebliche Grundrecht auf informationelle Selbstbestimmung ergänzt, aber nicht verdrängt. Der hohe deutsche Datenschutzstandard wird vom Integrationsvorbehalt des Art. 23 Abs. 1 GG erfasst und kann durch EU-Recht nicht abgesenkt werden.
Die aufgeworfenen Fragen waren Gegenstand einer Tagung, die der Hessische Datenschutzbeauftragte gemeinsam mit der Goethe-Universität Frankfurt zum Thema: „Datenschutz in Deutschland nach dem Vertrag von Lissabon“ am 9. Dezember 2008 durchgeführt hat. Die Beiträge werden in einer Broschüre veröffentlicht und sind demnächst erhältlich.