Europäisches Strafregisterinformationssystem – Informationen zu Verurteilungen von Drittstaatsangehörigen (ECRIS-TCN)

WICHTIGE ECKPUNKTE

Die Verordnung gilt für die Verarbeitung von Informationen zu der Person eines Nicht-EU-Staatsangehörigen mit früheren Verurteilungen¹ in einem der Mitgliedstaaten zum Zweck der Feststellung, in welchem Mitgliedstaat solche Verurteilungen erfolgt sind. Sie findet gleichermaßen auf EU-Bürger Anwendung, die auch die Staatsangehörigkeit eines Nicht-EU-Landes haben. Informationen über die Verurteilung selbst können nur vom Urteilsmitgliedstaat eingeholt werden.

Die technische Architektur des ECRIS-TCN setzt sich zusammen aus:

• einem Zentralsystem, das durch die Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA) eingerichtet wird;
• dem gemeinsamen Speicher für Identitätsdaten;
• einer nationalen zentralen Zugangsstelle in jedem Mitgliedstaat;
• einer Schnittstellensoftware, mit der die Behörden Zugang zum Zentralsystem erhalten;
• einer Kommunikationsinfrastruktur zwischen dem Zentralsystem und den zentralen nationalen Zugangsstellen.

Im einem Durchführungsrechtsakt, dem Durchführungsbeschluss (EU) 2022/2470 der Kommission, werden die für die technische Entwicklung und Implementierung von ECRIS-TCN erforderlichen Maßnahmen festgelegt. Darin werden die für die Verarbeitung der alphanumerischen Daten und der Fingerabdruckdaten, die Datenqualität, die Dateneingabe, den Zugang zum ECRIS-TCN und dessen Abfrage, das Führen von Protokollen und den Zugang zu diesen, die Erstellung von Statistiken sowie die Leistungs- und Verfügbarkeitskriterien des ECRIS-TCN festgelegt.

Die nationalen Zentralbehörden² legen für jeden verurteilten Nicht-EU-Staatsangehörigen schnellstmöglich einen Datensatz im ECRIS-TCN an. Dieser umfasst:

• Nach- und Vorname, Geburtsdatum und -ort, Staatsangehörigkeit (oder Staatsangehörigkeiten), Geschlecht, gegebenenfalls frühere Namen und die nationale Referenznummer des Urteilsmitgliedstaats;
• falls vorhanden, Namen der Eltern, Einzelheiten zu den Identitätsdokumenten der Person und Pseudonyme oder Aliasnamen;
• Fingerabdruckdaten, die gemäß dem nationalen Recht abgenommen wurden und bestimmten technischen Spezifikationen entsprechen;
• Gesichtsbilder, sofern gemäß dem nationalen Recht des Urteilsmitgliedstaats zulässig;
• eine Kennzeichnung, mit der angegeben wird, dass der betreffende Drittstaatsangehörige in den vergangenen 25 Jahren wegen einer terroristischen Straftat oder in den vergangenen 15 Jahren wegen einer anderen im Anhang der Verordnung (EU) 2018/1240 aufgeführten Straftat verurteilt wurde, wenn diese Straftaten nach dem nationalen Recht mit einer Freiheitsstrafe oder freiheitsentziehenden Maßnahme im Höchstmaß von mindestens 3 Jahren bedroht sind, einschließlich der nationalen Referenznummer des Urteilsmitgliedstaats.

Die nationalen Zentralbehörden können das ECRIS-TCN zur Ermittlung der Mitgliedstaaten nutzen, in denen Strafregisterinformationen zu einem Nicht-EU-Staatsangehörigen vorliegen, um über das ECRIS Informationen zu früheren Verurteilungen erhalten zu können, wenn entsprechende Informationen zu dieser Person für die Zwecke eines gegen sie gerichteten Strafverfahrens oder für einen der folgenden Zwecke benötigt werden:

• Überprüfung der eigenen Strafregistereintragungen einer Person auf deren Antrag hin;
• Erhalt einer Sicherheitsüberprüfung;
• Einholung einer Genehmigung oder Lizenz;
• Überprüfung bei Personaleinstellung;
• Überprüfung auf ehrenamtliche Tätigkeiten, bei denen es zu direkten und regelmäßigen Kontakten mit Kindern oder schutzbedürftigen Personen kommt;
• Visa-, Einbürgerungs- und Migrationsverfahren sowie Asylverfahren;
• Überprüfungen im Zusammenhang mit öffentlichen Aufträgen und öffentlichen Auswahlverfahren.

Die EUStA, Eurojust und Europol:

• sind berechtigt, das ECRIS-TCN direkt abzufragen, um festzustellen, in welchen Mitgliedstaaten Strafregisterinformationen zu einem Nicht-EU-Staatsangehörigen vorliegen;
• sind nicht berechtigt, Daten in das ECRIS-TCN einzugeben oder darin enthaltene Daten zu berichtigen oder zu löschen;
• können bei einem Treffer³ über eigene Kanäle den betreffenden Mitgliedstaat um die Übermittlung der Strafregisterinformationen ersuchen;
• sind für ihre technischen Verbindungen zum ECRIS-TCN verantwortlich;
• stellen sicher, dass ihre Bediensteten angemessene Schulungen, insbesondere über Datensicherheit und Datenschutz sowie Grundrechte, erhalten.

Nicht EU-Länder und internationale Organisationen können ausschließlich für die Zwecke eines Strafverfahrens Eurojust um Informationen darüber ersuchen, welcher Mitgliedstaat Strafregisterinformationen zu einem betroffenen Nicht-EU-Staatsangehörigen haben. Gibt es einen Treffer und der betreffende Mitgliedstaat erteilt seine Zustimmung, so teilt Eurojust dem Nicht-EU-Land oder der internationalen Organisation mit, um welchen Mitgliedstaat es sich handelt, damit das Ersuchen um die entsprechenden Auszüge aus dem Strafregister an diesen Mitgliedstaat gerichtet werden kann.

Die Daten:

• werden so lange im Zentralsystem gespeichert, wie die entsprechenden Daten in den nationalen Strafregistern gespeichert sind;
• werden von den nationalen Behörden nach Ablauf der Speicherfrist gelöscht;
• dürfen von den Mitgliedstaaten, die sie in das Zentralsystem oder den gemeinsamen Speicher für Identitätsdaten eingespeist haben, geändert oder gelöscht werden;
• dürfen nur für die Ermittlung, in welchen Mitgliedstaaten Strafregisterinformationen zu Nicht-EU-Staatsangehörigen vorliegen, verarbeitet werden.

eu-LISA ist verantwortlich für:

• die Entwicklung des ECRIS-TCN, das Betriebsmanagement und die Wartung der ECRIS-Referenzimplementierung⁴;
• die Überwachung der Kommunikationsinfrastruktur, einschließlich Sicherheit;
• Verfahren für die Durchführung von Kontrollen zur Qualität der im ECRIS-TCN gespeicherten Daten sowie für die Kontrolle der Funktionsweise und die technische Wartung;
• eine regelmäßige Berichterstattung an das Europäische Parlament, den Rat der Europäischen Union und die Europäische Kommission;
• die Bereitstellung von notwendigen technischen Schulungen;
• die Anwendung angemessener Regeln zur Gewährleistung der beruflichen Schweigepflicht oder Geheimhaltungspflicht;
• das Ergreifen erforderlicher Maßnahmen, um die Sicherheit des ECRIS-TCN zu gewährleisten;
• die Aufzeichnung aller Datenverarbeitungsvorgänge im ECRIS-TCN;
• die Übermittlung monatlicher Statistiken, die die Erfassung, die Speicherung und den über das ECRIS-TCN und die ECRIS-Referenzimplementierung erfolgten Austausch von Strafregisterinformationen betreffen, an die Kommission.

Die Mitgliedstaaten sind verantwortlich für:

• eine sichere Verbindung zwischen ihren nationalen Strafregister- und Fingerabdruckdatenbanken und der zentralen nationalen Zugangsstelle;
• die Verwaltung der ermächtigten Bediensteten der Zentralbehörden und deren Schulung;
• die rechtmäßige Verarbeitung der im ECRIS-TCN erfassten Daten und insbesondere dafür, dass:
  • nur dazu ordnungsgemäß ermächtigte Bedienstete Zugang zu den Daten haben,
  • die Daten rechtmäßig und unter uneingeschränkter Achtung der Menschenwürde und der Grundrechte des Nicht-EU-Staatsangehörigen erhoben und in das ECRIS-TCN eingespeist werden,
  • die Daten richtig und aktuell sind, wenn sie in das ECRIS-TCN eingespeist werden;
• die Gewährleistung, dass jede Zentralbehörde die erforderlichen Maßnahmen zur Einhaltung der Bestimmungen dieser Verordnung trifft;
• die nationalen Aufsichtsbehörden, die die Rechtmäßigkeit der Verarbeitung personenbezogener Daten kontrollieren.

Eine Einzelperson oder ein Mitgliedstaat, der bzw. dem durch gegen die Verordnung verstoßende Handlungen ein Schaden entsteht, hat das Recht, Schadenersatz zu verlangen von:

• dem für den Schaden verantwortlichen Mitgliedstaat;
• eu-LISA, wenn die Agentur ihren Verpflichtungen nicht nachgekommen ist.

Nicht-EU-Staatsangehörige können sich an die Zentralbehörde eines Mitgliedstaats wenden, um Auskunft über personenbezogene Daten, die Berichtigung und Löschung sowie die Einschränkung der Verarbeitung personenbezogener Daten zu verlangen.

Jeder Missbrauch der in das ECRIS-TCN eingegebenen Daten wird mit Sanktionen oder Disziplinarmaßnahmen geahndet.

Der Europäische Datenschutzbeauftragte überwacht die Verarbeitung personenbezogener Daten durch eu-LISA und führt mindestens alle 3 Jahre eine Prüfung für das Parlament, den Rat und die Kommission durch.