Eine in München ansässige Geschäftsführerin erfuhr im Februar 2026 im Rahmen einer routinemäßigen Compliance-Prüfung vor einer geplanten Geschäftsreise in die Vereinigten Staaten, dass sie auf einer nationalen Beobachtungsliste geführt wurde. Grenzbeamte teilten ihr mit, dass ihre biometrischen Daten in abgeglichenen Europol-Datenbanken auftauchten – dabei war sie nie angeklagt, vernommen oder auch nur über ein strafrechtliches Ermittlungsverfahren informiert worden. Ihr blieben vierzehn Tage, um über die zuständige Datenschutzaufsichtsbehörde ein förmliches Auskunftsersuchen zu stellen, bevor das US-Konsulat ihren Antrag erneut prüfen würde.

Europol führt keine zentrale Datenbank über die Allgemeinbevölkerung. Die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung verarbeitet operative personenbezogene Daten nur, soweit dies unbedingt erforderlich und verhältnismäßig ist, um schwere grenzüberschreitende Kriminalität zu verhüten oder zu bekämpfen – auf Grundlage des durch die Verordnung (EU) 2016/794 (die Europol-Verordnung), geändert durch die Verordnung (EU) 2022/991, geschaffenen Rechtsrahmens. Ihre Daten erscheinen in den Europol-Systemen nur, wenn Sie unter eine der in Anhang II dieser Verordnung aufgeführten Kategorien fallen – Verdächtige, verurteilte Person, Opfer, Zeuge, Kontaktperson, Informant oder gefährdeter Minderjähriger – und eine nationale Strafverfolgungsbehörde diese übermittelt hat.

Operative personenbezogene Daten – alle personenbezogenen Daten, die Europol zur Erfüllung seiner Ziele verarbeitet, einschließlich Identifikationsangaben, biometrischer Daten, Reisedokumente, Kommunikationsdaten, finanzieller Angaben und, in begrenzten Fällen, sensibler Daten wie rassische oder ethnische Herkunft, genetische Daten, Gesundheitsinformationen oder Angaben zum Sexualleben oder zur sexuellen Orientierung (Artikel 18 und 30 der Europol-Verordnung).

Das Wichtigste in Kürze

• Europol speichert Daten nur zu Personen, die unter die Kategorien des Anhangs II fallen – Verdächtige, Opfer, Zeugen, verurteilte Personen, Informanten, Kontaktpersonen, gefährdete Minderjährige. Nicht zur Allgemeinbevölkerung.
• Die Daten stammen von den 29 nationalen Zentralstellen der EU-Mitgliedstaaten, Europol-Verbindungsbeamten, Drittstaaten und internationalen Organisationen im Rahmen von Kooperationsabkommen. Europol erhebt sie nicht selbst.
• Sie haben ein Auskunftsrecht nach Artikel 80 der Verordnung (EU) 2018/1725 (die EUDSVO). Europol muss innerhalb von drei Monaten nach Eingang Ihres von einer nationalen Aufsichtsbehörde weitergeleiteten Ersuchens antworten.
• Die Auskunft kann nach Artikel 81 EUDSVO teilweise oder vollständig beschränkt werden. Gründe sind unter anderem der Schutz laufender Ermittlungen, der Schutz von Opfern und Zeugen oder die nationale Sicherheit.
• Sensible personenbezogene Daten unterliegen den Beschränkungen des Artikels 10 EUDSVO: Nur begrenzt befugtes Personal darf darauf zugreifen, und sie dürfen nicht die alleinige Grundlage für Sie betreffende Entscheidungen bilden.

Führt Europol eine zentrale Datenbank über die Allgemeinbevölkerung?

Europol legt keine Datenbank über die Allgemeinbevölkerung an. Artikel 18 der Europol-Verordnung beschränkt operative personenbezogene Daten auf Informationen, die für die Kernziele der Agentur verarbeitet werden: die Verhütung und Bekämpfung von Terrorismus, organisierter Kriminalität und anderen schweren Formen grenzüberschreitender Kriminalität, die zwei oder mehr Mitgliedstaaten betreffen. Daten existieren nur, wenn Sie in aktiven oder abgeschlossenen strafrechtlichen Ermittlungen, in nachrichtendienstlichen Bewertungen oder in grenzüberschreitenden Bedrohungsanalysen der mitgliedstaatlichen Behörden auftauchen.

Die Agentur fungiert als Unterstützungsknotenpunkt. Die nationalen Strafverfolgungsbehörden behalten die Verantwortung und Kontrolle über die von ihnen übermittelten Daten; Europol verarbeitet sie im Rahmen seines Mandats, unter der Aufsicht des Europäischen Datenschutzbeauftragten. Wenn gegen Sie nie ermittelt wurde, Sie nie als Zeuge in einem grenzüberschreitenden Fall benannt oder als Kontaktperson eines Verdächtigen markiert wurden, hält Europol mit an Sicherheit grenzender Wahrscheinlichkeit keine Aufzeichnung über Sie.

Aber Vorsicht: Unschuld garantiert keine Abwesenheit. Datenflüsse sind unübersichtlich. Verwechslungen, fehlerhafter Namensabgleich, unvollständige Löschung nach einem Freispruch – solche Verwaltungsfehler können Personen ohne ihr Wissen und ohne Rechtfertigung in Europol-Systeme bringen. Gewissheit erhalten Sie nur durch eigenes Handeln: die Ausübung Ihres Auskunftsrechts.

Welche Kategorien personenbezogener Daten darf Europol verarbeiten?

Artikel 18 Absatz 2 der Europol-Verordnung definiert die Kategorien operativer personenbezogener Daten. Dazu zählen der vollständige Name, Geburtsname und Aliasnamen; Geburtsdatum und Geburtsort; Staatsangehörigkeit; Geschlecht; biometrische Daten einschließlich Fingerabdrücken, Gesichtsbildern und DNA-Profilen; Reise- und Ausweisdokumente; Kontaktangaben wie Telefonnummern, E-Mail-Adressen und bekannte Wohnanschriften; finanzielle Angaben einschließlich Bankkontonummern, Zahlungstransaktionen und Beteiligungsverhältnissen an Unternehmen; strafrechtliche Verurteilungen, Straftaten und Verdachtsmomente; Vorgehensweise (Modus Operandi) und bei Straftaten eingesetzte technische Methoden; sowie Informationen über Mittäter, Familienangehörige, berufliche Beziehungen und Kontaktpersonen.

„Europol darf operative personenbezogene Daten nur verarbeiten, soweit dies unter bestimmten rechtlichen Voraussetzungen zur Verhütung oder Bekämpfung von Kriminalität unbedingt erforderlich und verhältnismäßig ist – eine pauschale Speicherung der Daten von EU-Bürgerinnen und -Bürgern gibt es nicht.“

In Ausnahmefällen gestatten Artikel 30 Absatz 2 der Europol-Verordnung sowie die Artikel 10 und 76 der EUDSVO die Verarbeitung sensibler personenbezogener Daten: rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsinformationen sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Der Zugriff auf sensible Daten ist auf begrenztes, vom Exekutivdirektor ausdrücklich befugtes Europol-Personal beschränkt; sie dürfen nicht die alleinige Grundlage für Sie betreffende Entscheidungen bilden.

Woher erhält Europol Ihre personenbezogenen Daten?

Europol erhebt keine Daten direkt und betreibt keine eigenständige Überwachung. Alle operativen Daten stammen aus externen Quellen, die nach Kapitel IV der Europol-Verordnung befugt sind. Die Hauptquelle: die 29 nationalen Zentralstellen, die jeder EU-Mitgliedstaat nach Artikel 7 eingerichtet hat. Diese Zentralstellen fungieren als Kontaktstellen zwischen den nationalen Strafverfolgungsbehörden und Europol und übermitteln Ermittlungsakten, nachrichtendienstliche Berichte, Haftbefehle und Strafregisterauszüge.

Zu den sekundären Quellen zählen von Mitgliedstaaten entsandte Europol-Verbindungsbeamte, Drittstaaten mit Kooperationsabkommen (unter anderem das Vereinigte Königreich, die Vereinigten Staaten, Albanien, Australien, Kanada, Kolumbien, Dänemark, Georgien, Island, Liechtenstein, Moldau, Monaco, Montenegro, Nordmazedonien, Norwegen, Serbien, die Schweiz und die Ukraine) sowie internationale Organisationen wie Interpol, Eurojust, die Europäische Agentur für die Grenz- und Küstenwache und die Europäische Staatsanwaltschaft. Private Stellen – Banken, Zahlungsdienstleister, Fluggesellschaften – können Daten auf konkrete, nach nationalem Recht durch eine mitgliedstaatliche Behörde ergangene Ersuchen bereitstellen, die diese dann an Europol weiterleitet, sofern der Fall eine grenzüberschreitende Dimension aufweist.

Artikel 25 gestattet Europol die Verarbeitung öffentlich zugänglicher Daten: Informationen, die von Gerichten, Medien, Handelsregistern und Social-Media-Plattformen veröffentlicht werden. Dies ist nur zulässig, wenn die Verarbeitung für eine konkrete operative Analyse erforderlich und im Verhältnis zum verfolgten Ziel verhältnismäßig ist. Daten aus offenen Quellen müssen protokolliert werden, und ihre Speicherung unterliegt denselben Fristen und Löschungsregeln wie die von den Zentralstellen erhaltenen Daten.

Wer kann auf die bei Europol gespeicherten Daten zugreifen?

Der Zugriff auf operative personenbezogene Daten folgt strengen rollenbasierten Berechtigungen. Artikel 10 der EUDSVO gestattet nur befugtem Europol-Personal mit einem berechtigten operativen Bedürfnis, die Datenbanken abzufragen; Zugriffsprotokolle werden geführt und vom Europäischen Datenschutzbeauftragten regelmäßig geprüft. Die nationalen Zentralstellen der Mitgliedstaaten können auf die von ihnen selbst beigesteuerten Daten zugreifen und, sofern operativ gerechtfertigt, auf Daten anderer Mitgliedstaaten oder Drittstaaten – vorbehaltlich vorheriger Zustimmung und der Einwilligung des Herkunftsstaats.

Drittstaatliche Behörden und internationale Organisationen mit Kooperationsabkommen können Europol-Daten nach Kapitel VI der Europol-Verordnung erhalten, sofern die empfangende Rechtsordnung angemessene Datenschutzgarantien bietet und die Übermittlung für die Aufgaben von Europol erforderlich ist. Weiterübermittlungen – die Weitergabe von Europol erhaltener Daten an einen nicht vom ursprünglichen Abkommen erfassten Dritten – sind ohne ausdrückliche vorherige Genehmigung untersagt.

Sie haben keinen direkten Abfragezugriff auf die Europol-Datenbanken. Der einzige Weg, herauszufinden, was Europol über Sie speichert, ist ein förmliches Auskunftsersuchen nach Artikel 80 EUDSVO.

Welche Risiken ergeben sich aus den bei Europol gespeicherten Daten?

Fehlerhafte oder veraltete Daten in den Europol-Systemen haben reale Folgen. Grenzkontrollbehörden in Mitgliedstaaten und in Drittstaaten mit Zugriff auf Europol-Ausschreibungen können Sie zu einer zweiten Kontrolle heranziehen, Ihnen die Einreise verweigern oder Sie bis zur Überprüfung festhalten. Eine falsche Einstufung – als Verdächtiger statt als Zeuge geführt oder trotz Freispruchs als verurteilt markiert – kann dem Ruf schaden, zum Scheitern von Background-Checks bei Arbeitgebern führen, Visumverweigerungen auslösen und den Zugang zu Finanzdienstleistungen einschränken.

Sensible Daten bergen erhöhte Risiken. Verarbeitet Europol Daten zu Gesundheit, sexueller Orientierung, religiöser Überzeugung oder ethnischer Herkunft fehlerhaft und gibt sie an einen Drittstaat ohne gleichwertiges Schutzniveau weiter, drohen Ihnen Diskriminierung, Verfolgung oder rechtswidrige Überwachung in Ihrem Heimatstaat. Artikel 10 EUDSVO untersagt es, sensible Daten als alleinige Grundlage für Sie betreffende Entscheidungen zu verwenden, doch Verwaltungsfehler und unzureichende Zugriffskontrollen können zu Missbrauch führen.

Speicherfristen verschärfen diese Gefahren. Artikel 31 der Europol-Verordnung erlaubt eine Speicherung von bis zu drei Jahren ab dem Datum der letzten Aktualisierung; der Exekutivdirektor kann diese um weitere Dreijahresintervalle verlängern, sofern die operative Notwendigkeit fortbesteht. In der Praxis können Daten im Zusammenhang mit laufenden Ermittlungen oder ungeklärten Bedrohungsbewertungen ein Jahrzehnt oder länger in den Europol-Systemen verbleiben – lange nachdem der zugrunde liegende Fall abgeschlossen wurde oder Sie entlastet worden sind. In dieser Zeit kann allein das Vorhandensein Ihrer Daten Reisen, berufliche Chancen und internationale Transaktionen beeinträchtigen.

Wie können Sie herausfinden, welche Daten Europol über Sie speichert?

Artikel 80 der EUDSVO gewährt Ihnen das Auskunftsrecht: das Recht, von Europol eine Bestätigung darüber zu erhalten, ob Sie betreffende personenbezogene Daten verarbeitet werden, und, falls ja, Zugang zu diesen Daten sowie Informationen über ihre Herkunft, die Verarbeitungszwecke, die Kategorien der Empfänger und die vorgesehene Speicherdauer. Dieses Recht ist kostenlos, und für Ihr Ersuchen ist keine bestimmte Form vorgeschrieben.

Sie können ein Auskunftsersuchen nicht unmittelbar bei Europol stellen. Nach Artikel 80 Absatz 2 müssen alle Ersuchen über die nationale Aufsichtsbehörde des Mitgliedstaats geleitet werden, in dem Sie Ihren Wohnsitz haben oder dessen Staatsangehörigkeit Sie besitzen. In der Praxis bedeutet dies, Ihr Ersuchen bei der Datenschutzaufsichtsbehörde Ihres Landes einzureichen – in Deutschland beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI). Die Aufsichtsbehörde leitet das Ersuchen an Europol weiter; Europol hat dann drei Monate ab dem Eingangsdatum Zeit, um zu antworten. Ist das Ersuchen besonders komplex oder hat Europol eine große Zahl an Ersuchen erhalten, kann die Agentur die Frist um weitere drei Monate verlängern, muss Sie jedoch innerhalb der ursprünglichen Dreimonatsfrist über die Verlängerung und deren Gründe unterrichten. Die praktische Konsequenz: Reichen Sie im Januar ein, warten Sie bis mindestens April – länger, wenn Europol eine Verlängerung geltend macht. Planen Sie zeitkritische Entscheidungen (Visumanträge, Background-Checks bei Arbeitgebern) entsprechend.

Schriftliche Antworten müssen in verständlicher und leicht zugänglicher Form erteilt werden. Wenn Europol Daten über Sie speichert, legt die Agentur die Kategorien der Daten, ihre Quellen (Mitgliedstaat, Drittstaat, internationale Organisation, öffentliche Quellen), die Rechtsgrundlage für die Verarbeitung, die Zwecke (operative Analyse, Informationsaustausch, Ermittlungsunterstützung) sowie die geplante Speicherdauer offen. Sie werden zudem über Ihre Rechte auf Berichtigung nach Artikel 82 EUDSVO, Löschung nach Artikel 83 oder Einschränkung der Verarbeitung nach Artikel 84 sowie über Ihr Recht unterrichtet, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen.

Welche Beschränkungen kann Europol Ihrem Auskunftsrecht auferlegen?

Artikel 81 der EUDSVO gestattet Europol, Ihr Auskunftsrecht ganz oder teilweise zu beschränken, wenn die Offenlegung die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten; die Rechte und Freiheiten anderer Personen, einschließlich Opfern, Zeugen und Informanten; oder die Sicherheit von Mitgliedstaaten oder Drittstaaten beeinträchtigen würde. Diese Beschränkungen müssen verhältnismäßig sein, im Einzelfall angewandt und Ihnen schriftlich mit einer Erläuterung der rechtlichen Gründe und des Verfahrens zur Beschwerdeeinlegung beim Europäischen Datenschutzbeauftragten mitgeteilt werden.

Wird die Auskunft verweigert oder beschränkt, muss Europol den EDSB innerhalb von sieben Tagen unterrichten. Der EDSB kann die Entscheidung überprüfen und, wenn er zu dem Schluss kommt, dass die Beschränkung rechtswidrig oder unverhältnismäßig war, Europol anordnen, vollständige oder teilweise Auskunft zu gewähren. Alternativ können Sie beim Gerichtshof der Europäischen Union nach Artikel 263 AEUV eine Klage auf Nichtigerklärung der Ablehnung durch Europol erheben. Doch Vorsicht: Sie müssen die Klage innerhalb von zwei Monaten und zehn Tagen ab dem Datum erheben, an dem Ihnen die Entscheidung mitgeteilt wurde – versäumen Sie diese Frist, verlieren Sie das Recht, sie gerichtlich anzufechten.

Schritt für Schritt: Wie Sie ein Auskunftsersuchen an Europol stellen

1. Ermitteln Sie Ihre nationale Aufsichtsbehörde. Finden Sie die Datenschutzaufsichtsbehörde des EU-Mitgliedstaats, in dem Sie Ihren Wohnsitz haben oder dessen Staatsangehörigkeit Sie besitzen. Eine vollständige Liste veröffentlicht der Europäische Datenschutzausschuss unter edpb.europa.eu.
2. Verfassen Sie Ihr Ersuchen schriftlich. Erklären Sie eindeutig, dass Sie Ihr Auskunftsrecht nach Artikel 80 der Verordnung (EU) 2018/1725 ausüben, und verlangen Sie die Bestätigung, ob Europol Sie betreffende personenbezogene Daten speichert. Geben Sie Ihren vollständigen Namen, Ihr Geburtsdatum und Ihren Geburtsort, Ihre Staatsangehörigkeit, Ihre aktuelle Anschrift sowie etwaige frühere Anschriften oder Aliasnamen an. Zu vermeidender Fehler: Vage oder unvollständige Identifizierungsangaben können dazu führen, dass die Aufsichtsbehörde oder Europol das Ersuchen ablehnt oder verzögert bearbeitet.
3. Fügen Sie einen Identitätsnachweis bei. Legen Sie eine deutliche Kopie Ihres Reisepasses, Personalausweises oder eines gleichwertigen behördlichen Lichtbildausweises bei. Die meisten Aufsichtsbehörden verlangen zudem einen Wohnsitznachweis (Versorgerrechnung, Kontoauszug). Prüfen Sie vor der Einreichung die konkreten Anforderungen Ihrer Aufsichtsbehörde – manche sind strenger als andere.
4. Reichen Sie das Ersuchen bei Ihrer nationalen Aufsichtsbehörde ein. Folgen Sie dem von Ihrer Aufsichtsbehörde vorgegebenen Einreichungsverfahren – die meisten akzeptieren E-Mail, Post und gesicherte Online-Portale. Bewahren Sie eine datierte Kopie Ihres Ersuchens und einen Einreichungsnachweis auf. Diese Dokumentation schützt Sie, falls Sie später die fristgerechte Einreichung nachweisen oder die Handhabung durch die Aufsichtsbehörde anfechten müssen.
5. Warten Sie auf die Weiterleitung an Europol. Ihre Aufsichtsbehörde leitet das Ersuchen an Europol weiter; dieser interne Schritt dauert in der Regel zwei bis vier Wochen. Er wird nicht auf die Dreimonatsfrist von Europol angerechnet, verlängert aber Ihren Gesamtzeitrahmen.
6. Erhalten Sie die Antwort von Europol. Europol muss innerhalb von drei Monaten nach Eingang des weitergeleiteten Ersuchens antworten. Werden Ihre Daten gespeichert, stellt die Agentur eine schriftliche Zusammenfassung der Kategorien, Quellen, Zwecke und der Speicherdauer bereit. Ist die Auskunft beschränkt, muss Europol die Rechtsgrundlage erläutern.

Fazit: Der gesamte Prozess von der Einreichung bis zur Antwort dauert in der Regel vier bis fünf Monate. Wird die Auskunft beschränkt und fechten Sie die Entscheidung beim EDSB an, kann sich die Klärung auf neun Monate oder länger erstrecken.

Welche weiteren Datenschutzrechte haben Sie gegenüber Europol?

Artikel 82: Recht auf Berichtigung. Stellen Sie fest, dass Europol unrichtige oder unvollständige Daten über Sie speichert, können Sie eine Korrektur verlangen. Europol muss das Ersuchen prüfen und, sofern berechtigt, die Daten ändern und alle Empfänger benachrichtigen, denen sie offengelegt wurden. Stammen die Daten von der nationalen Zentralstelle eines Mitgliedstaats, weist Europol diese an, den Quelldatensatz zu berichtigen. Die praktische Folge: Unrichtige Daten können monatelang im Umlauf bleiben, während die Benachrichtigungen an andere Behörden weitergereicht werden.

Artikel 83: Recht auf Löschung. Sie können die Löschung verlangen, wenn die Daten für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind; die Verarbeitung rechtswidrig ist; Sie Ihre Einwilligung widerrufen (sofern die Einwilligung die Rechtsgrundlage war); oder die Speicherung die in Artikel 31 der Europol-Verordnung festgelegte Höchstdauer überschreitet. Europol ist nicht zur Löschung verpflichtet, wenn die Speicherung zur Erfüllung einer rechtlichen Verpflichtung, zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Gleichwohl können Sie selbst dann, wenn die Löschung abgelehnt wird, eine Einschränkung nach Artikel 84 verlangen.

Artikel 84: Recht auf Einschränkung der Verarbeitung. Bestreiten Sie die Richtigkeit der Daten, oder ist die Verarbeitung rechtswidrig, Sie lehnen aber die Löschung ab und verlangen stattdessen die Einschränkung, muss Europol die Nutzung der Daten auf die reine Speicherung beschränken (keine weitere Verbreitung oder Analyse), bis der Streit geklärt ist. Eingeschränkte Daten müssen in den Europol-Systemen deutlich gekennzeichnet werden, um eine versehentliche Weiterübermittlung zu verhindern.

Alle drei Rechte werden über denselben Kanal ausgeübt wie das Auskunftsrecht: ein schriftliches Ersuchen an Ihre nationale Datenschutzaufsichtsbehörde, die es an Europol weiterleitet. Antwortfristen und Beschränkungsgründe entsprechen denen für Auskunftsersuchen.

Wie funktioniert die Aufsicht über die Datenverarbeitung von Europol?

Europol unterliegt einer doppelten Aufsicht. Der Europäische Datenschutzbeauftragte, eingerichtet nach Artikel 52 der Verordnung (EU) 2018/1725, überwacht die Einhaltung des Datenschutzrechts durch Europol, führt Kontrollen durch, untersucht Beschwerden und kann verbindliche Anordnungen erlassen, die Europol zur Berichtigung, Löschung oder Einschränkung der Verarbeitung rechtswidrig gespeicherter Daten verpflichten. Jahresberichte über die Datenverarbeitungstätigkeiten von Europol werden unter edps.europa.eu veröffentlicht.

Innerhalb von Europol berät ein nach Artikel 43 der Europol-Verordnung bestellter Datenschutzbeauftragter den Exekutivdirektor in Fragen der Rechtskonformität, überwacht die internen Verarbeitungsvorgänge und dient als Anlaufstelle für den EDSB und für Personen, die ihre Rechte ausüben. Der jährliche Tätigkeitsbericht des Datenschutzbeauftragten geht an den Verwaltungsrat und an das Europäische Parlament.

Der Gerichtshof der Europäischen Union ist zuständig für die Überprüfung der Rechtmäßigkeit der Handlungen und Entscheidungen von Europol, einschließlich der Ablehnung von Auskunft, Berichtigung oder Löschung. In der Rechtssache Europol/EDSB (Rechtssache T-354/22, entschieden am 3. Juni 2024) wurde festgestellt, dass die Verpflichtung von Europol, Daten nach einem endgültigen Freispruch oder dem Ablauf gesetzlicher Verjährungsfristen zu löschen, unmittelbar und nicht in das Ermessen gestellt ist – eine Entscheidung, die die Position betroffener Personen stärkt, die eine überlange Speicherung anfechten.

Dieser Beitrag wird von einer unabhängigen Anwaltskanzlei ausschließlich zu Informationszwecken veröffentlicht und impliziert keine Verbindung zu einer Behörde, internationalen Organisation oder amtlichen Stelle.

Häufig gestellte Fragen

Europol verarbeitet jährlich Millionen personenbezogener Datensätze im Rahmen strafrechtlicher Ermittlungen in der gesamten EU. Zwei unabhängige Stellen sorgen für Rechenschaft: Der Europäische Datenschutzbeauftragte (EDSB) überwacht die laufende Einhaltung der Vorschriften nach Artikel 43 der Verordnung (EU) 2016/794, während der Gerichtshof der Europäischen Union (EuGH) im Streitfall die gerichtliche Kontrolle gewährleistet. Landen Ihre Daten in einer Europol-Datenbank, können Sie beim EDSB Beschwerde einlegen oder Entscheidungen vor Gericht anfechten – ein doppelter Schutzmechanismus, der die Sicherheitskooperation an die Grundrechte bindet.

Europäischer Datenschutzbeauftragter (EDSB) – eine unabhängige EU-Behörde, die durch die Verordnung (EU) 2018/1725 errichtet wurde und die Aufgabe hat, zu überwachen, wie Organe und Einrichtungen der EU – darunter auch Europol – personenbezogene Daten verarbeiten, und die Einhaltung der Datenschutzvorschriften sicherzustellen.

Gerichtshof der Europäischen Union (EuGH) – die Justizinstitution der EU, bestehend aus dem Gerichtshof und dem Gericht (EuG), befugt, das Unionsrecht auszulegen und die Rechtmäßigkeit von Handlungen der EU-Einrichtungen zu überprüfen, einschließlich der Aufsichtsentscheidungen des EDSB und der Datenverarbeitungsvorgänge von Europol.

Das Wichtigste in Kürze

• Artikel 43 der Verordnung (EU) 2016/794 verleiht dem EDSB die ausschließliche Aufsichtsbefugnis über Europol – mit der Befugnis, Räumlichkeiten zu inspizieren, die Löschung von Daten anzuordnen und Geldbußen zu verhängen. Vor 2022 konnte er nur Empfehlungen aussprechen; heute kann er die Einhaltung erzwingen.
• Sie können beim EDSB innerhalb einer angemessenen Frist nach Kenntnis einer rechtswidrigen Verarbeitung Beschwerde einlegen. Der EDSB muss die Sache prüfen und innerhalb von drei Monaten antworten (sechs bei komplexen Fällen), wobei sich die Fristen an der Schwierigkeit des Falls orientieren.
• Die gerichtliche Kontrolle funktioniert in zwei Richtungen: Sie können eine Zurückweisung durch den EDSB innerhalb von zwei Monaten nach Zustellung vor dem Gericht (EuG) anfechten, oder der EDSB selbst kann Europol-Vorgänge an den Gerichtshof verweisen, wenn eine Rechtmäßigkeitsfrage im Raum steht.
• Die Änderungen von 2022 gaben dem EDSB echte Durchsetzungskraft – die Möglichkeit, Datenübermittlungen an andere Länder auszusetzen und Geldbußen zu verhängen, die im Verhältnis zur Schwere und zum Umfang des Verstoßes stehen. Europol kann Abhilfeanordnungen nicht mehr einfach ignorieren.
• Transparenz ist verpflichtend. Der EDSB veröffentlicht Jahresberichte, in denen er darlegt, was er festgestellt, was er angeordnet und wie Europol reagiert hat. Diese Berichte sind auf der Website des EDSB öffentlich einsehbar – keine Immunität vor dem Licht der Öffentlichkeit.

Warum benötigt Europol eine unabhängige Aufsicht?

Europol koordiniert grenzüberschreitende strafrechtliche Ermittlungen zu Terrorismus, organisierter Kriminalität und Cyberkriminalität. Die Behörde unterhält Datenbanken mit biometrischen Identifikatoren, Reisedaten, Finanztransaktionen und Kommunikationsmetadaten aus 27 EU-Mitgliedstaaten und Dutzenden Partnern aus Drittstaaten. Dieser Umfang ist entscheidend. Ohne externe Kontrollen wird ein sogenannter „function creep” – bei dem für einen Zweck erhobene Daten in nicht damit zusammenhängende Ermittlungen einfließen – nahezu unvermeidlich.

Das Europäische Parlament hat auf dieses Risiko in seiner Entschließung von 2021 zum erweiterten Mandat von Europol hingewiesen. Eine groß angelegte Datenverarbeitung ohne gerichtliche oder parlamentarische Kontrolle, so das Parlament, untergrabe die Charta der Grundrechte, insbesondere Artikel 8 (Datenschutz) und Artikel 47 (das Recht auf einen wirksamen Rechtsbehelf). Die Sensibilität der Strafverfolgung entbindet Europol nicht von diesen Standards; sie macht sie umso dringlicher.

Der EDSB agiert unabhängig – sein Haushalt stammt unmittelbar aus dem EU-Gesamthaushalt, und die Mitarbeiterinnen und Mitarbeiter dürfen keine Weisungen von einer Regierung oder einem EU-Organ entgegennehmen. Diese strukturelle Unabhängigkeit entspricht der der nationalen Datenschutzbehörden unter der DSGVO – für DACH-Leserinnen und -Leser die Rolle, die etwa der BfDI in Deutschland innehat. Europol unterliegt derselben Kontrolldichte wie ein Verantwortlicher im privaten Sektor, trotz seines Sicherheitsauftrags.

Der EuGH verleiht dem Ganzen zusätzliche Durchsetzungskraft. Die administrative Aufsicht durch den EDSB erfasst die alltäglichen Verstöße, doch nur ein Gericht kann verbindlich entscheiden, ob ein Gesetz oder eine Verarbeitungstätigkeit gegen die Verträge oder die Charta verstößt. In der Rechtssache Schrems II kippte der Gerichtshof das EU-US-Datenschutzschild („Privacy Shield”) und bewies damit, dass selbst internationale Sicherheitsabkommen die Grundrechtsprüfung bestehen müssen. Innerhalb der EU muss die Rechtsgrundlage von Europol dieselbe Hürde nehmen, und Einzelpersonen muss der Zugang zu einem Richter offenstehen.

Welche Befugnisse hat der EDSB gegenüber Europol?

Artikel 43 der Verordnung (EU) 2016/794 verleiht dem EDSB ein weitreichendes Aufsichtsmandat. Der EDSB kann:

• auf alle personenbezogenen Daten zugreifen, die Europol verarbeitet – operative Datenbanken (das Europol-Informationssystem, Arbeitsdateien zu Analysezwecken) und administrative Aufzeichnungen (Personalakten, Verträge mit Auftragnehmern) – sowie auf alle sonstigen für die Untersuchung erforderlichen Informationen.
• die Räumlichkeiten von Europol betreten, einschließlich gesicherter Rechenzentren und operativer Bereiche, sofern begründete Anhaltspunkte dafür bestehen, dass eine Verarbeitung stattfindet.
• die Berichtigung, Löschung oder Vernichtung rechtswidrig verarbeiteter Daten anordnen oder bestimmte Verarbeitungsvorgänge vollständig untersagen, wenn sie gegen die Verordnung verstoßen.
• Datenübermittlungen aussetzen an andere Länder oder internationale Organisationen, wenn die Übermittlung gegen Kapitel V der Europol-Verordnung verstößt oder wenn der Empfänger die Daten missbraucht hat. Diese Waffe kann Vorgänge innerhalb weniger Tage einfrieren.
• Geldbußen verhängen, deren Höhe sich nach der Schwere und Dauer des Verstoßes sowie der Zahl der betroffenen Personen richtet. Die Berechnung folgt Artikel 58 der Verordnung (EU) 2018/1725.

Diese Befugnisse entsprechen jenen, die den nationalen Aufsichtsbehörden unter der DSGVO zustehen. Vor den Änderungen von 2022 konnte der EDSB Empfehlungen aussprechen, sie aber nicht durchsetzen; Europol verzögerte oder bestritt Abhilfeanordnungen mitunter. Der aktualisierte Rechtsrahmen schließt diese Lücke. Der EDSB kann nun die sofortige Einhaltung erzwingen und Geldbußen verhängen, wenn Europol Fristen versäumt.

Der EDSB führt sowohl reaktive Untersuchungen (auf Beschwerden von Einzelpersonen hin) als auch proaktive Inspektionen durch, ohne auf Beschwerden zu warten. Artikel 43 Absatz 5 der Europol-Verordnung schreibt einen jährlichen EDSB-Bericht über die Aufsichtstätigkeit vor, der dem Parlament, dem Rat, der Kommission und dem Verwaltungsrat von Europol übermittelt wird. Diese Berichte werden auf der Website des EDSB öffentlich zugänglich gemacht – eine Transparenzebene, die der herkömmlichen Strafverfolgungsaufsicht fehlt und die Europol nur schwer beschönigen oder verbergen kann.

Wie können Einzelpersonen beim EDSB Beschwerde einlegen?

Sie können nach Artikel 63 der Verordnung (EU) 2018/1725 beim EDSB Beschwerde einlegen, wenn Sie der Auffassung sind, dass Europol Ihre personenbezogenen Daten rechtswidrig verarbeitet hat. Das Verfahren läuft in mehreren Stufen ab:

1. Einreichung. Reichen Sie eine schriftliche Beschwerde ein (per E-Mail, Online-Formular oder Post), in der Sie den behaupteten Verstoß, die betroffenen Daten und etwaige frühere Kontakte mit Europol darlegen. Es ist kein besonderes Formular erforderlich – nur Klarheit darüber, was verarbeitet wurde und warum Sie dies für rechtswidrig halten.
2. Zulässigkeitsprüfung. Innerhalb von 30 Tagen stellt der EDSB fest, ob die Beschwerde die Datenverarbeitung von Europol betrifft und ob Sie beschwerdebefugt sind (unmittelbar betroffen sind). Die meisten Beschwerden bestehen diese Hürde, doch vage oder von Dritten eingereichte Beschwerden möglicherweise nicht.
3. Untersuchung. Ist die Beschwerde zulässig, legt der EDSB eine Fallakte an, fordert Unterlagen von Europol an und kann Einrichtungen inspizieren. Europol muss innerhalb von 15 bis 30 Tagen antworten – ein Versäumnis wird selbst zum Beweis mangelnder Kooperation, den der EuGH später berücksichtigen kann.
4. Entscheidung. Der EDSB erlässt eine verbindliche Entscheidung: Entweder ordnet er Abhilfemaßnahmen an (Datenlöschung, Auskunftserteilung, Aussetzung der Übermittlung) oder er weist die Beschwerde zurück. Die Entscheidung nennt die rechtlichen Gründe, die tatsächlichen Feststellungen und die Ihnen offenstehenden weiteren Schritte.

Die Fristen sind nicht starr – Komplexität, Datenvolumen und die Reaktionsbereitschaft von Europol können sie alle verlängern. Gleichwohl setzt Artikel 58 Absatz 5 der Verordnung (EU) 2018/1725 eine Untergrenze: Der EDSB muss Sie innerhalb von drei Monaten über den Fortgang informieren und innerhalb von sechs Monaten zu einem endgültigen Ergebnis gelangen, es sei denn, der Fall erfordert tatsächlich mehr Zeit.

Vertraulichkeit ist von vornherein eingebaut. Der EDSB gibt Ihre Identität nicht ohne Ihre Einwilligung preis und kann Ihre Kommunikation mit Europol anonymisieren, wenn eine Offenlegung Sie gefährden würde. Das ist in Fällen mit Bezug zu Netzwerken der organisierten Kriminalität von Bedeutung, in denen die Auseinandersetzung mit den Strafverfolgungsbehörden Vergeltung auslösen kann.

Welche Rolle spielt der EuGH bei der Überprüfung der Tätigkeit von Europol?

Der EuGH überprüft die Rechtmäßigkeit von Europol auf zwei Wegen: durch die Nichtigkeitsklage nach Artikel 263 AEUV (Vertrag über die Arbeitsweise der Europäischen Union) und durch das Vorabentscheidungsersuchen

Nichtigkeitsklagen (Direktklagen)

Sie, Mitgliedstaaten, EU-Organe oder der EDSB können vor dem Gericht (EuG) (der ersten Instanz des EuGH) Klage erheben und die Rechtmäßigkeit einer Handlung von Europol oder einer Entscheidung des EDSB anfechten. Artikel 263 AEUV erlaubt Einzelpersonen, eine EU-Handlung anzufechten, die sie unmittelbar und individuell betrifft, oder einen Rechtsakt mit Verordnungscharakter, der sie unmittelbar betrifft und keine Durchführungsmaßnahmen nach sich zieht.

Rechtssache T-578/22 verdeutlicht die Schwelle der Klagebefugnis. Der EDSB begehrte die Nichtigerklärung zweier Bestimmungen der geänderten Europol-Verordnung, die die Datenverarbeitungsbefugnisse von Europol erweiterten. Das Gericht (EuG) erklärte die Klage für unzulässig und stellte fest, dass der EDSB nicht „unmittelbar betroffen” sei, weil die angefochtenen Bestimmungen lediglich die Zuständigkeiten von Europol erweiterten – die der EDSB ohnehin beaufsichtigen würde. Die Lehre daraus: Der EDSB kann gesetzliche Ausweitungen des Europol-Mandats nicht allein deshalb blockieren, weil sie seinen Aufsichtsaufwand erhöhen; die Klagebefugnis setzt eine Änderung der eigenen Rechtsstellung des EDSB voraus. Diese Grenze der eigenen gerichtlichen Befugnisse des EDSB stärkt paradoxerweise die Klagebefugnis der Einzelpersonen.

Wenn Sie eine Entscheidung des EDSB anfechten, mit der Ihre Beschwerde zurückgewiesen wird, sind die Hürden niedriger. Eine an Sie gerichtete Entscheidung ist eine Handlung von „unmittelbarer und individueller Betroffenheit”, und Sie haben ab der Zustellung zwei Monate Zeit, Klage zu erheben (oder ab der Veröffentlichung im Amtsblatt, falls sie nicht an Sie persönlich gerichtet ist). Das Gericht (EuG) prüft, ob der EDSB einen Rechtsfehler, einen offensichtlichen Fehler bei der Tatsachenwürdigung oder einen Verfahrensfehler begangen hat. Erklärt das Gericht die Entscheidung für nichtig, geht sie zur erneuten Untersuchung im Einklang mit der rechtlichen Würdigung des Gerichts an den EDSB zurück – kein bloßes Abnicken, sondern ein echter Neustart auf korrigierter rechtlicher Grundlage.