Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zum Vorschlag zur Änderung der Europol-Verordnung

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.euwww.edps.europa.eu

(2021/C 143/05)

Am 9. Dezember 2020 legte die Europäische Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EU) 2016/794 in Bezug auf die Zusammenarbeit von Europol mit privaten Parteien, die Verarbeitung personenbezogener Daten durch Europol zur Unterstützung strafrechtlicher Ermittlungen und die Rolle von Europol in Forschung und Innovation vor. Der Legislativvorschlag zielt darauf ab, das Mandat von Europol zu stärken und in bestimmten Fällen zu erweitern, um den Veränderungen in der Sicherheitslandschaft und den sich wandelnden und zunehmend komplexen Bedrohungen Rechnung zu tragen.

Der EDSB ist sich der Tatsache bewusst, dass die Strafverfolgungsbehörden die bestmöglichen rechtlichen und technischen Instrumente zur Erfüllung ihrer Aufgaben einsetzen müssen, die darin bestehen, Straftaten und andere Bedrohungen der öffentlichen Sicherheit aufzudecken, zu untersuchen und zu verhindern. Darüber hinaus ist er überzeugt, dass es keinen inhärenten und unvereinbaren Konflikt zwischen Sicherheit und Grundrechten einschließlich des Rechts auf Datenschutz gibt. Daher zielt die vorliegende Stellungnahme darauf ab, eine faire und objektive Bewertung der Notwendigkeit und Verhältnismäßigkeit der vorgeschlagenen Maßnahmen vorzunehmen sowie eine Reihe spezifischer Empfehlungen zur Gewährleistung des richtigen Gleichgewichts zwischen den auf dem Spiel stehenden Werten und Interessen auszusprechen.

Strafrechtliche Ermittlungen und kriminalpolizeiliche Verfahren umfassen zunehmend die Erhebung und Verarbeitung großer und komplexer Datensätze durch Strafverfolgungsbehörden. Der EDSB begrüßt zwar die Garantien, die den vorgeschlagenen Ausnahmen in solchen Fällen beigefügt sind, ist jedoch besorgt, dass die für Europol geltenden Ausnahmen von den derzeitigen Datenschutzvorschriften in Wirklichkeit zur Regel werden könnten. Daher empfiehlt er, in der Europol-Verordnung die Situationen und Bedingungen, unter denen Europol auf die vorgeschlagenen Ausnahmeregelungen zurückgreifen kann, besser zu definieren. Darüber hinaus sollte die Verarbeitung personenbezogener Daten durch die Agentur selbst in diesen Fällen voll und ganz im Einklang mit den allgemeinen Grundsätzen und Pflichten gemäß Kapitel IX der Verordnung (EU) 2018/1725 stehen.

Was die erweiterten rechtlichen Möglichkeiten für Europol betrifft, mit privaten Parteien zusammenzuarbeiten, insbesondere im Falle von Datensätzen, die unter die Zuständigkeit mehrerer Gerichtsbarkeiten fallen oder nicht zuordenbar sind, begrüßt der EDSB, dass diese mit spezifischen Garantien, wie dem Verbot systematischer, massiver oder struktureller Datenübermittlungen, ausgeglichen werden. Gleichzeitig empfiehlt der EDSB, diese wichtige Einschränkung auf den gesamten Austausch zwischen Europol und privaten Parteien unabhängig von ihrem Standort – innerhalb oder außerhalb der EU – anzuwenden. Der EDSB ist ferner der Auffassung, dass die genaue rechtliche Rolle und die Zuständigkeiten von Europol, wenn Europol als Diensteanbieter für nationale Behörden und somit als Auftragsverarbeiter fungiert, in einem verbindlichen Rechtsakt genauer festgelegt werden sollten. Darüber hinaus hält er eine Bewertung der möglichen Sicherheitsrisiken für erforderlich, die durch die Öffnung der Kommunikationsinfrastruktur von Europol für private Parteien entstehen könnten.

Besondere Aufmerksamkeit widmet der EDSB ferner der geplanten Nutzung personenbezogener Daten durch Europol zu Forschungs- und Innovationszwecken. Gleichzeitig ist er sich sehr wohl bewusst, dass die Alternative – Europol und die nationalen Strafverfolgungsbehörden setzen auf Instrumente und Produkte, die von externen Anbietern entwickelt wurden, die häufig außerhalb der EU ansässig sind – eindeutig ein deutlich höheres Risiko in Bezug auf die Grundrechte birgt. Dessen ungeachtet ist der EDSB der Auffassung, dass der neue Verarbeitungszweck zu weit gefasst ist, und empfiehlt, den Umfang der Forschungs- und Innovationstätigkeiten in einem verbindlichen Dokument zu präzisieren.

Der EDSB begrüßt und unterstützt uneingeschränkt die vorgeschlagene weitere Stärkung des Datenschutzrahmens von Europol und insbesondere die direkte Anwendung der horizontalen Bestimmungen in Kapitel IX der Verordnung (EU) 2018/1725 auf die Verarbeitung operativer Daten durch die Agentur. Dies ist auch ein wichtiger Schritt hin zu einer umfassenden Angleichung des Datenschutzrahmens für alle Organe, Einrichtungen und sonstigen Stellen der EU, zu der der EDSB wiederholt aufgerufen hat.

Ein stärkeres Mandat von Europol sollte stets mit einer verstärkten Aufsicht einhergehen. Daher fordert der EDSB eine vollständige Harmonisierung seiner Aufsichtsbefugnisse gegenüber Europol mit den allgemeinen Befugnissen des EDSB gemäß der Verordnung (EU) 2018/1725, die für die anderen Organe, Einrichtungen und sonstigen Stellen der EU, einschließlich des Europäischen Parlaments, des Rates und der Kommission, gelten. Eine solche Angleichung stünde im Einklang mit dem Willen des EU-Gesetzgebers und würde auch dazu beitragen, eine unterschiedliche Behandlung der Unionseinrichtungen zu vermeiden und sie in eine mehr oder weniger privilegierte Position zu versetzen.

1. EINLEITUNG UND HINTERGRUND

Die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol) wurde durch die Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates („Europol-Verordnung“) errichtet, um die Tätigkeit der zuständigen Behörden der Mitgliedstaaten und ihre Zusammenarbeit bei der Verhütung und Bekämpfung von schwerer grenzüberschreitender Kriminalität, Terrorismus und anderen kriminellen Aktivitäten, die die gemeinsamen Interessen der Union beeinträchtigen, zu unterstützen und zu verstärken. Die Europol-Verordnung ersetzte den vorherigen Basisrechtsakt – den Beschluss 2009/371/JI des Rates (1) – und übertrug dem EDSB die Aufgabe, ab dem 1. Mai 2017 die Rechtmäßigkeit der Verarbeitung personenbezogener Daten durch Europol zu überwachen.

Am 9. Dezember 2020 verabschiedete die Europäische Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EU) 2016/794 in Bezug auf die Zusammenarbeit von Europol mit privaten Parteien, die Verarbeitung personenbezogener Daten durch Europol zur Unterstützung strafrechtlicher Ermittlungen und die Rolle von Europol in Forschung und Innovation. (2)

Der Vorschlag wurde in das Arbeitsprogramm der Kommission für 2020 als eine Gesetzgebungsinitiative aufgenommen, um „das Mandat von Europol auszubauen, um die operative polizeiliche Zusammenarbeit zu verstärken“. Er ist ferner eine der Schlüsselmaßnahmen der EU-Strategie für die Sicherheitsunion, die im Juli 2020 vorgestellt wurde. (3) Darüber hinaus ist der Legislativvorschlag Teil eines von der Kommission am 9. Dezember 2020 angekündigten Maßnahmenpakets, das die Reaktion der Union auf die Bedrohung durch den Terrorismus stärken soll. (4)

Ziel des Vorschlags ist es, das Mandat von Europol im Rahmen des Auftrags und der Aufgaben der Agentur gemäß Artikel 88 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) zu stärken und gegebenenfalls zu erweitern. Die drei Hauptbereiche, mit denen sich der Vorschlag befasst, werden im Titel des Verordnungsentwurfs ausdrücklich erwähnt, nämlich Zusammenarbeit mit privaten Parteien, operative Unterstützung strafrechtlicher Ermittlungen sowie Forschung und Innovation. Es gibt jedoch eine Reihe weiterer Änderungen in Bezug auf andere wichtige Aspekte der Arbeit von Europol, wie das Datenschutzrecht, die Übermittlung von Daten an Drittländer, die Eingabe von Ausschreibungen in das Schengener Informationssystem usw. Das letztgenannte Thema ist Gegenstand eines gesonderten Gesetzgebungsvorschlags (5), zu dem der EDSB ebenfalls konsultiert wurde und zu dem er sich in einer gesonderten Stellungnahme geäußert hat.

Der Begründung zufolge ist der Legislativvorschlag eine Reaktion auf die Veränderungen in der Sicherheitslandschaft und die sich wandelnden und immer komplexeren Bedrohungen, einschließlich der Ausnutzung des digitalen Wandels, der neuen Technologien und der COVID-19-Krise durch kriminelle Gruppen. In diesem Zusammenhang verweist die Kommission auf mehrere politische Erklärungen des Rates und des Europäischen Parlaments aus jüngerer Zeit, in denen insbesondere auf die Notwendigkeit einer weiteren Stärkung des Mandats und der Kapazitäten von Europol eingegangen wird. (6)

Der EDSB wurde von der Kommission während der Ausarbeitung des Legislativvorschlags mehrfach informell konsultiert, zuletzt am 25. November 2020, und übermittelte seine informellen Anmerkungen. Er begrüßt, dass seine Ansichten in einem frühen Stadium des Verfahrens eingeholt wurden, und fordert die Kommission auf, dieses bewährte Verfahren fortzusetzen. Des Weiteren organisierte der EDSB am 9. Oktober 2020 ein Experten-Webinar zum Thema „Die Europol-Reform: die Datenschutzperspektive“ mit besonderem Schwerpunkt auf der Angleichung der Datenschutzbestimmungen in der Europol-Verordnung an die allgemeinen Vorschriften für die Verarbeitung operativer personenbezogener Daten.

Der EDSB wurde von der Kommission am 7. Januar 2021 förmlich zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EU) 2016/794 konsultiert und hat gemäß Artikel 42 Absatz 3 der Verordnung (EU) 2018/1725 die vorliegende Stellungnahme angenommen.

2. SCHLUSSFOLGERUNGEN

49.

Vor diesem Hintergrund spricht der EDSB folgende Empfehlungen aus:

Zur Zusammenarbeit mit privaten Parteien

—	Das Verbot systematischer, massiver oder struktureller Übermittlungen (Artikel 26 Absatz 6 letzter Unterabsatz) sollte für jeden Austausch mit privaten Parteien, auch innerhalb der EU, gelten;

—	die Pflichten von Europol als Auftragsverarbeiter/Diensteanbieter, insbesondere die obligatorischen Elemente nach Artikel 87 Absatz 3 der Verordnung (EU) 2018/1725, sollten in einem verbindlichen Rechtsakt nach dem Unionsrecht oder dem Recht der Mitgliedstaaten festgelegt werden.

—	Europol sollte eine Prüfung der möglichen Sicherheitsrisiken vornehmen, die sich aus der Öffnung seiner Infrastruktur für die Nutzung durch private Parteien ergeben, und erforderlichenfalls geeignete präventive und mildernde Maßnahmen ergreifen.

Zur Verarbeitung großer und komplexer Datensätze, auch zur Unterstützung spezifischer strafrechtlicher Ermittlungen

—	Die Europol-Verordnung sollte ausreichende Garantien bieten, um sicherzustellen, dass die Ausnahmeregelungen nach Artikel 18 Absatz 5a und Artikel 18a in der Wirklichkeit nicht zur Regel werden;

—

die Europol-Verordnung sollte genauer festlegen, in welchen Fällen Europol von der Ausnahmeregelung nach Artikel 18 Absatz 5a Gebrauch machen könnte bzw. wann die Agentur eine Verlängerung der Höchstdauer von einem Jahr beantragen kann. Darüber hinaus sollte die Wechselwirkung zwischen Artikel 18 Absätze 5a und 6 geklärt werden;

—

in Artikel 18a sollten weitere Bedingungen und Schwellenwerte für die Verarbeitung von Daten außerhalb der in Anhang II aufgeführten Kategorien betroffener Personen durch Europol zur Unterstützung spezifischer strafrechtlicher Ermittlungen festgelegt werden, wie Umfang, Komplexität, Art oder Bedeutung der Ermittlungen;

—	die Verarbeitung personenbezogener Daten im Rahmen der Ausnahmeregelungen nach Artikel 18 Absatz 5a und Artikel 18a sollte in jedem Fall im Einklang mit den allgemeinen Grundsätzen und Pflichten gemäß Kapitel IX der Verordnung (EU) 2018/1725 stehen.

Zur Nutzung von Daten für Forschung und Innovation

—	Der Umfang der Forschungs- und Innovationstätigkeiten sollte in der Europol-Verordnung besser definiert und in einem verbindlichen Dokument weiter präzisiert werden, das später aktualisiert werden könnte.

Zur Stärkung der Zusammenarbeit von Europol mit Drittstaaten

—	Die Bedeutung von „Kategorien von Übermittlungen“ in Artikel 25 Absatz 5 sowie der Unterschied zu „Reihen von Übermittlungen“ in Absatz 6 desselben Artikels sollten in der Europol-Verordnung näher definiert und präzisiert werden.

Zu dem für Europol geltenden Datenschutzrahmen

—	Die Aufsichtsbefugnisse des EDSB gegenüber Europol sollten vollständig an die allgemeinen Befugnisse des EDSB nach Artikel 58 der Verordnung (EU) 2018/1725 angeglichen werden;

—	der vorgeschlagene neue Zweck in Artikel 37a sollte gestrichen werden, womit die Einschränkung der Verarbeitung personenbezogener Daten durch Europol direkt über Artikel 82 der Verordnung (EU) 2018/1725 zu regeln wäre.

Zu anderen Elementen des Vorschlags

—	Die Bedingungen für die Übermittlung von Daten an andere Einrichtungen der Union in Artikel 24 der Europol-Verordnung sollten an die allgemeinen Vorschriften in Artikel 71 Absatz 2 der Verordnung (EU) 2018/1725 angepasst werden, insbesondere an das Erfordernis der Verhältnismäßigkeit;

—	der Begriff „gemeinsame operative Analyse“ sowie die für die Verarbeitung personenbezogener Daten im Rahmen dieser Analyse geltenden Rechtsvorschriften sollten in der Europol-Verordnung klar definiert werden.

Brüssel, 8. März 2021.

Wojciech Rafał WIEWIÓROWSKI

(1) Beschluss 2009/371/JI des Rates vom 6. April 2009 zur Errichtung des Europäischen Polizeiamts (Europol) (ABl. L 121 vom 15.5.2009, S. 37).

(2) COM(2020) 796 final.

(3) COM(2020) 605 final (24. Juli 2020).

(4) https://ec.europa.eu/commission/presscorner/detail/en/ip_20_2326

(5) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EU) 2018/1862 über die Einrichtung, den Betrieb und die Nutzung des Schengener Informationssystems (SIS) im Bereich der polizeilichen Zusammenarbeit und der justiziellen Zusammenarbeit in Strafsachen in Bezug auf die Eingabe von Ausschreibungen durch Europol, COM(2020) 791 final.

(6) Siehe insbesondere die Entschließung des Europäischen Parlaments vom 10. Juli 2020 zu einer umfassenden Politik der Union zur Verhinderung von Geldwäsche und Terrorismusfinanzierung (2020/2686 (RSP)), die Schlussfolgerungen des Rates zur Zusammenarbeit von Europol mit privaten Parteien vom 2. Dezember 2019 oder die Erklärung der Innenminister der EU („Zehn Punkte zur Zukunft von Europol“) vom 21. Oktober 2020.