Datenschutzpaket Europol für Unternehmen

Ein offizielles „Datenschutzpaket Europol für Unternehmen” existiert nicht. Europol – die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung – verarbeitet personenbezogene Daten ausschließlich zu Strafverfolgungszwecken und in Ausübung hoheitlicher Befugnisse. Sie verkauft oder erbringt keine Datenschutzdienstleistungen für private Unternehmen. Dennoch kann es vorkommen, dass die Geschäftsführer und leitenden Angestellten Ihres Unternehmens infolge grenzüberschreitender Ermittlungen, Untersuchungen zu Finanzkriminalität oder des Nachrichtenaustauschs mit nationalen Behörden ihre personenbezogenen Daten in den operativen Datenbanken von Europol entdecken. In einem solchen Fall benötigen Sie rechtliche Unterstützung, um die Rechte der betroffenen Person wahrzunehmen, die Rechtmäßigkeit der Daten zu überprüfen und erforderlichenfalls eine Berichtigung oder Löschung durchzusetzen. Unser unabhängiges Anwaltsteam in Limassol und London berät Mandanten aus dem Finanzsektor, Unternehmensverantwortliche und Compliance-Abteilungen zum Datenschutzrahmen von Europol nach der Verordnung (EU) 2016/794, der Verordnung (EU) 2018/1725 sowie zu den Aufsichtsbefugnissen des Europäischen Datenschutzbeauftragten.

Datenschutz bei Europol – das Regelwerk dazu, wie Europol personenbezogene Daten zu Strafverfolgungszwecken erhebt, speichert und weitergibt; es umfasst operative Daten nach der Verordnung (EU) 2016/794 und Verwaltungsdaten nach der Verordnung (EU) 2018/1725, unterliegt der unabhängigen Aufsicht des Europäischen Datenschutzbeauftragten und gewährt durchsetzbare Rechte der betroffenen Person auf Auskunft, Berichtigung und Löschung, die über die Behörden der Mitgliedstaaten oder unmittelbar bei der Datenschutzfunktion von Europol wahrgenommen werden.

Auskunftsrecht – der gesetzliche Anspruch nach Artikel 36 Absatz 3 der Europol-Verordnung, der jeder natürlichen Person gestattet, eine Bestätigung darüber zu verlangen, ob Europol sie betreffende personenbezogene Daten speichert; das Ersuchen wird über eine Aufsichtsbehörde eines Mitgliedstaats (Weiterleitung innerhalb eines Monats) oder unmittelbar an die Datenschutzfunktion von Europol gerichtet, und die Antwort wird innerhalb von drei Monaten nach Eingang erteilt.

Kernpunkte

• Europol verarbeitet personenbezogene Daten ausschließlich für Strafverfolgungsmaßnahmen; ein kommerzielles „Paket” für Unternehmen gibt es nicht, doch Unternehmensverantwortliche können ihre Daten in den Akten von Europol wiederfinden.
• Artikel 36 Absatz 3 der Verordnung (EU) 2016/794 gewährt Einzelpersonen das Recht, innerhalb eines Monats über eine Behörde eines Mitgliedstaats oder unmittelbar bei der Datenschutzfunktion von Europol Auskunft zu verlangen.
• Europol muss personenbezogene Daten spätestens drei Jahre nach ihrer Erfassung überprüfen und löschen und darf sie nur so lange speichern, wie dies für den angegebenen Zweck unbedingt erforderlich ist.
• Beschwerden über eine unrechtmäßige Verarbeitung können nach Artikel 47 der geänderten Europol-Verordnung kostenfrei beim Europäischen Datenschutzbeauftragten eingereicht werden, wobei eine gerichtliche Überprüfung vor dem Gerichtshof der Europäischen Union möglich ist.
• Unsere Büros in Limassol und London haben Mandanten aus dem Finanzsektor in achtundzwanzig Rechtsordnungen zu Verfahren der Datenüberprüfung und Abhilfe bei Europol beraten, seit die Gesetzesänderungen von 2022 in Kraft getreten sind.

Was ist Europol, und warum gibt es kein „Datenschutzpaket für Unternehmen”?

Europol ist die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung. Die Verordnung (EU) 2016/794, gestärkt durch die Verordnung (EU) 2022/991, beschränkt ihre Tätigkeit auf operative und administrative Aufgaben, die in Ausübung hoheitlicher Befugnisse zur Verhütung, Aufdeckung und Untersuchung schwerer Kriminalität und des Terrorismus wahrgenommen werden. Europol verkauft keine Dienstleistungen, bietet keine kommerziellen Datenschutzprodukte an und schließt keine Verträge mit privaten Unternehmen ab.

Gleichwohl entdecken Führungskräfte, Compliance-Beauftragte und wirtschaftlich Berechtigte regelmäßig ihre personenbezogenen Daten in den Informationssystemen von Europol. Diese Einträge stammen typischerweise von nationalen Strafverfolgungsbehörden, die Nachrichtenberichte übermitteln, von Verdachtsmeldungen (Suspicious Transaction Reports), die von zentralen Meldestellen für Geldwäscheverdachtsanzeigen weitergeleitet werden, oder aus länderübergreifenden Operationen gegen Geldwäsche, Steuerbetrug oder Netzwerke der organisierten Kriminalität. Das Fehlen eines förmlichen „Pakets” nimmt Ihnen nicht Ihre gesetzlichen Rechte. Sie behalten weitreichende Schutzrechte als betroffene Person nach dem EU-Recht – durchsetzbar über administrative Ersuchen, Aufsichtsbeschwerden und, sofern erforderlich, die gerichtliche Überprüfung vor dem Gerichtshof der Europäischen Union.

Datenschutzrahmen von Europol: zwei parallele Regelwerke

Europol arbeitet unter zwei getrennten, aber sich überschneidenden Datenschutzinstrumenten. Operative Daten – im Rahmen kriminalpolizeilicher Erkenntnistätigkeit verarbeitete Informationen – fallen unter die Verordnung (EU) 2016/794 in der 2022 geänderten Fassung. Verwaltungsdaten – Personalakten, Beschaffungsunterlagen, interne Kommunikation – unterliegen der Verordnung (EU) 2018/1725, die für alle Organe, Einrichtungen und sonstigen Stellen der EU gilt. Beide legen Verhältnismäßigkeit, Erforderlichkeit, Zweckbindung und Datenminimierung fest. Beide gewähren betroffenen Personen das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung. Der entscheidende Unterschied ist folgender: Ersuchen zu operativen Daten laufen über die Aufsichtsbehörden der Mitgliedstaaten oder die eigens dafür bestimmte Datenschutzfunktion von Europol, während Ersuchen zu Verwaltungsdaten dem üblichen institutionellen Weg nach der Verordnung (EU) 2018/1725 folgen.

Fazit: Für Unternehmensmandanten ist fast immer der Weg über operative Daten maßgeblich. Erkenntnisse zur Geldwäschebekämpfung, Berichte über Finanzkriminalität und grenzüberschreitende Ermittlungen erzeugen sämtlich operative Datensätze. Ersuchen zu Verwaltungsdaten kommen nur dann in Betracht, wenn die Daten das interne Funktionieren von Europol betreffen – etwa, wenn ein Berater an einem Beschaffungsprojekt mitgewirkt hat und Zugang zu Vertragsunterlagen benötigt.

Compliance-Dienstleistungen für Finanzinstitute und Zahlungsdienstleister

Banken, E-Geld-Institute und Zahlungsdienstleister, die nach der Fünften und Sechsten Geldwäscherichtlinie zugelassen sind, müssen Erkenntnisse mit den nationalen zentralen Meldestellen austauschen, die Verdachtsmeldungen (Suspicious Transaction Reports) und Risikobewertungen an Europol übermitteln. Diese Meldekette begründet eine Datenschutzpflicht für das ursprünglich meldende Institut: Verlangt ein Kunde oder wirtschaftlich Berechtigter Auskunft, müssen Sie offenlegen, dass personenbezogene Daten an die zentrale Meldestelle gegangen sind, die Rechtsgrundlage angeben und das Auskunftsersuchen an Europol erleichtern.

Wir beraten Compliance-Abteilungen dabei, die Meldepflichten zur Geldwäschebekämpfung mit den Rechten der betroffenen Personen in Einklang zu bringen. Zu unserer Arbeit gehören das Entwerfen von Musterantworten auf Auskunftsersuchen von Kunden, die Erstellung von Kommunikationsprotokollen mit den zentralen Meldestellen, die Durchführung jährlicher Prüfungen der Europol-Datenflüsse sowie die Vertretung Ihres Instituts in Beschwerden geschädigter Kunden beim EDSB. Wenn ein Kunde geltend macht, die Verdachtsmeldung der Bank habe unrichtige oder diskriminierende Angaben enthalten, koordinieren wir parallele Berichtigungsersuchen sowohl an die nationale zentrale Meldestelle als auch an Europol, gestützt auf forensische Transaktionsanalysen und Sachverständigengutachten zur Methodik der Risikobewertung.

Zahlungsinstitute und E-Geld-Emittenten mit Zulassungen in mehreren Mitgliedstaaten profitieren von zentralisierten Datenschutz-Compliance-Paketen, die alle EU-Niederlassungen abdecken. Vierteljährliche Schulungen für Compliance-Beauftragte, ein eigener Helpdesk für dringende EDSB-Anfragen und vorab genehmigte Musterschreiben für Auskunfts- und Berichtigungsersuchen an Europol sind im Paket enthalten. Sie erhalten eine einheitliche Rechtsberatung über alle Rechtsordnungen hinweg, ein geringeres aufsichtsrechtliches Risiko und eine schnellere Beilegung von Kundenstreitigkeiten im Zusammenhang mit Europol-Daten.

Dieser Beitrag wird von einer unabhängigen Anwaltskanzlei ausschließlich zu Informationszwecken veröffentlicht und impliziert keine Verbindung zu einer Behörde, internationalen Organisation oder amtlichen Stelle.