Übermittlung von Europol-Daten an Drittländer

Wenn Europol Ihre personenbezogenen Daten an eine Strafverfolgungsbehörde in den Vereinigten Staaten, den Vereinigten Arabischen Emiraten oder einem anderen Nicht-EU-Staat weitergibt, muss es strenge rechtliche Schutzvorkehrungen nach der Verordnung (EU) 2016/794 einhalten. Jede Übermittlung, die gegen diese Vorschriften verstößt, kann beim Europäischen Datenschutzbeauftragten (EDSB) und — falls erforderlich — vor dem Gerichtshof der Europäischen Union (EuGH) angefochten werden. Unser unabhängiges Anwaltsteam mit Sitz in Limassol und London ist auf datenschutzrechtliche Verfahren gegen Europol in achtundzwanzig Rechtsordnungen spezialisiert und unterstützt Betroffene dabei, ihre Rechte durchzusetzen, wenn ihre Daten ohne angemessenen Schutz die EU-Grenzen überschreiten.

Drittstaatenübermittlung – die Übermittlung personenbezogener Daten durch Europol an einen Staat oder eine internationale Organisation außerhalb des Europäischen Wirtschaftsraums, die nur zulässig ist, wenn die Europäische Kommission einen Angemessenheitsbeschluss nach Artikel 36 der Richtlinie (EU) 2016/680 erlassen hat, eine internationale Übereinkunft nach Artikel 218 AEUV angemessene Garantien vorsieht oder eine vor 2017 geschlossene Kooperationsvereinbarung nach Artikel 23 des Beschlusses 2009/371/JI besteht (Europol-Verordnung 2016/794, Artikel 25).

Das Wichtigste in Kürze

• Artikel 25 der Verordnung (EU) 2016/794 legt drei abschließende Wege fest, auf denen Europol Ihre Daten an Drittländer übermitteln darf: Angemessenheitsbeschluss der Kommission, internationaler Vertrag oder bestehende Kooperationsvereinbarung.
• Der Exekutivdirektor darf ausnahmsweise Übermittlungen im Einzelfall nur genehmigen, wenn dies unbedingt erforderlich ist, ein konkreter Einzelfall betroffen ist, angemessene Garantien bestehen und keine Grundrechte das öffentliche Interesse überwiegen (Artikel 25 Absatz 2).
• Die Änderungen von 2022 (Verordnung (EU) 2022/991) erweiterten die Befugnis von Europol, Daten mit privaten Parteien in Drittländern im Einzelfall zu teilen, vorbehaltlich derselben Prüfung der unbedingten Erforderlichkeit.
• Betroffene Personen können über ihre nationale Behörde oder unmittelbar Zugang zu ihren bei Europol gespeicherten Daten beantragen; die nationalen Behörden sind verpflichtet, Anfragen innerhalb eines Monats an Europol weiterzuleiten (Entwurf der EDSA-Leitlinien, Juli 2023).
• Anfechtungen rechtswidriger Übermittlungen werden zunächst beim EDSB erhoben, mit anschließender gerichtlicher Überprüfung durch den EuGH.

Der Rechtsrahmen: Drei Wege und eine Ausnahme

Europol darf Ihre Daten nur unter einer von drei Voraussetzungen an einen Nicht-EU-Staat übermitteln. Erstens muss die Europäische Kommission einen Angemessenheitsbeschluss nach Artikel 36 der Richtlinie (EU) 2016/680 erlassen haben, mit dem festgestellt wird, dass das Empfängerland ein angemessenes Datenschutzniveau gewährleistet. Zweitens kann eine nach Artikel 218 des Vertrags über die Arbeitsweise der Europäischen Union geschlossene internationale Übereinkunft angemessene Garantien schaffen und damit die Rechtsgrundlage für die Übermittlung bilden. Drittens bleibt eine vor Mai 2017 nach Artikel 23 des Beschlusses 2009/371/JI geschlossene Kooperationsvereinbarung gültig, sofern sie angemessene Datenschutzgarantien enthält.

Besteht keiner dieser drei Wege, kann der Exekutivdirektor eine Übermittlung dennoch ausnahmsweise im Einzelfall genehmigen. Artikel 25 Absatz 2 der Verordnung (EU) 2016/794 verlangt vier kumulative Voraussetzungen: Die Übermittlung muss unbedingt erforderlich sein, einen konkreten Einzelfall betreffen, angemessene Garantien vorsehen und darf keine überwiegenden Grundrechte berühren, die das öffentliche Interesse überwiegen. Dieser vierte Weg ist eng gefasst. Europol muss dokumentieren, warum die Standardwege nicht genutzt werden können, und vor jeder Übermittlung die Verhältnismäßigkeit nachweisen.

Die Änderungen von 2022 brachten eine weitere Dimension: Die Verordnung (EU) 2022/991 erlaubt es Europol, personenbezogene Daten an private Stellen in Drittländern — Banken, Fluggesellschaften, Technologieunternehmen — zu übermitteln, sofern die empfangende Partei in einem konkreten Fall unterstützt und der Exekutivdirektor vorab die Genehmigung erteilt. Es gilt dieselbe Prüfung der unbedingten Erforderlichkeit, und die private Partei muss sich durch eine schriftliche Vereinbarung zu angemessenen Garantien verpflichten.

Europol und die nationalen Behörden: Wer übermittelt was

Europol verwaltet zwei Kategorien von Daten: operative Informationen, die in seinen eigenen Systemen verarbeitet werden, und Daten, die von den EU-Mitgliedstaaten über ihre nationalen Stellen beigesteuert werden. Wenn Ihre Daten aus einer nationalen Strafverfolgungsdatenbank stammen und über die Secure Information Exchange Network Application (SIENA) von Europol geteilt werden, liegt die rechtliche Verantwortung für die ursprüngliche Übermittlung beim beisteuernden Mitgliedstaat, nicht bei Europol. Sobald Europol die Daten jedoch in seiner operativen Umgebung verwaltet, löst jede Weiterübermittlung an ein Drittland Europols eigene Pflichten nach Artikel 25 aus.

Diese Unterscheidung ist für Anfechtungen entscheidend. Wenn italienische Behörden Ihre biometrischen Daten in das System von Europol hochladen und Europol sie anschließend ohne Angemessenheitsbeschluss an die United States Immigration and Customs Enforcement weitergibt, können Sie sowohl die ursprüngliche Beisteuerung (nach italienischem Datenschutzrecht und der Richtlinie (EU) 2016/680) als auch die Weiterübermittlung (nach der Verordnung (EU) 2016/794 beim EDSB) anfechten. Die beiden Verfahren laufen parallel, betreffen aber unterschiedliche Rechtsakte.

Ein Vergleich verdeutlicht die Aufteilung der Verantwortung:

Phase	Verantwortlicher	Rechtsgrundlage	Aufsichtsbehörde
Hochladen durch nationale Behörde	Nationale Strafverfolgungsbehörde	Richtlinie (EU) 2016/680, nationale Umsetzung	Nationale Datenschutzbehörde
Speicherung in den Europol-Systemen	Europol	Verordnung (EU) 2016/794	Europäischer Datenschutzbeauftragter
Weiterübermittlung an ein Drittland	Europol (wenn Europol initiiert); nationale Behörde (wenn eigenständig handelnd)	Artikel 25, Verordnung (EU) 2016/794; oder Artikel 38, Richtlinie (EU) 2016/680	EDSB (Europol-Übermittlungen); nationale Datenschutzbehörde (nationale Übermittlungen)

Fazit: Wenn Europol Ihre Daten an eine Nicht-EU-Behörde weitergibt, trägt Europol die Verantwortung für die Einhaltung von Artikel 25. Übermittelt eine nationale Polizeibehörde dieselben Daten unmittelbar, gilt nationales Datenschutzrecht, und Sie fechten zuerst die nationale Behörde an. Ermitteln Sie stets, welche Stelle die Übermittlung veranlasst hat, bevor Sie eine Beschwerde einreichen.

Übermittlungen an private Parteien nach den Änderungen von 2022: Neuland

Die Änderungen der Europol-Verordnung von 2022 schufen etwas, das es zuvor nicht gab: die Weitergabe Ihrer Daten an private Unternehmen in Drittländern. Fluggesellschaften, Banken, Technologieunternehmen, Logistikanbieter. Wenn sie Europol in einem konkreten Fall unterstützen und der Exekutivdirektor zustimmt, findet die Übermittlung statt.

Warum? Die Ermittler von Europol benötigen Passagierlisten von Nicht-EU-Fluggesellschaften, Überweisungsdaten von Offshore-Instituten, Metadaten von US-Technologieplattformen. Die Schutzvorkehrungen sind jedoch dürftig. Das Unternehmen muss einen Vertrag unterzeichnen, in dem es sich verpflichtet, die Nutzung zu beschränken, Stillschweigen zu wahren und die Daten nach Abschluss zu löschen. Keine unabhängigen Prüfungen. Keine Pflicht, Sie darüber zu informieren, dass Ihre Daten weitergegeben wurden. Keine Sanktion, wenn die Regeln gebrochen werden.

Hier liegt die Lücke: Wenn Europol Daten an eine ausländische Polizeibehörde übermittelt, unterliegt diese ihrem eigenen Datenschutzrecht und häufig einer unabhängigen Aufsichtsstelle. Werden dieselben Daten an ein privates Unternehmen übermittelt, ist die einzige Kontrolle ein Vertrag. Europol kann ihn nicht grenzüberschreitend durchsetzen, kann ein US-Unternehmen nicht wegen Vertragsbruchs verklagen und kann wenig ausrichten, wenn das Unternehmen Ihre Akte an Dritte weitergibt. Ihnen bleibt nur die Hoffnung, dass der Exekutivdirektor die Lage überwacht — und der Exekutivdirektor verfügt über begrenztes Personal und keine Befugnisse gegenüber ausländischen privaten Akteuren.

Der Beschwerdeweg ist derselbe wie zuvor: Einreichung beim EDSB mit dem Argument, dass die Übermittlung nicht erforderlich war, die Schutzvorkehrungen hohl sind oder das Land des Unternehmens es Behörden erlaubt, Daten ohne richterlichen Beschluss abzugreifen. Der EDSB hat noch keine detaillierten Regeln zu Übermittlungen an Private erlassen, sodass die ersten Fälle prägen werden, was folgt.

Was geschieht, wenn Sie die Frist versäumen: Fristen für Auskunftsersuchen und Beschwerden

Für Auskunftsersuchen gibt es keine Frist. Fordern Sie Ihre Daten bei Europol morgen oder in fünf Jahren an — es gibt keine Verjährung. Doch wer zu lange wartet, verliert dennoch. Europol bewahrt operative Daten sechs Monate lang (zur Unterstützung der Ermittlungen eines anderen Mitgliedstaats) bis zu zehn Jahre lang (schwere Kriminalität oder Terrorismus) auf. Danach erfolgt die Löschung oder Anonymisierung automatisch. Von einer Übermittlung vor Jahren kann jede Spur fehlen.

Beschwerden beim EDSB unterliegen einer anderen Uhr. Es gibt keine feste Frist, aber Verzögerung schadet Ihrem Fall. Reichen Sie im März 2026 eine Beschwerde über eine Übermittlung ein, von der Sie im Januar 2024 erfahren haben, wird der EDSB sich fragen, warum Sie gewartet haben. Hat Europol die Unterlagen bereits gelöscht, haben Sie nichts, was Sie anfechten können.

Gerichtliche Fristen sind strikt und endgültig. Eine Klage auf Nichtigerklärung einer Entscheidung des EDSB muss innerhalb von zwei Monaten nach Zustellung der Mitteilung erhoben werden — nur um zehn Tage wegen der Entfernung verlängerbar. Eine Untätigkeitsklage kann zwei Monate nach Aufforderung des EDSB zum Tätigwerden erhoben werden, wenn dieser nicht innerhalb von zwei Monaten nach Ihrer Aufforderung reagiert. Versäumen Sie diese Fristen, verlieren Sie jedes Recht auf gerichtliche Überprüfung. Keine Ausnahmen. Keine zweite Chance.

Warum Sie uns wählen sollten: Unabhängige EU-Datenschutzspezialisten

Wir arbeiten unabhängig, weder für Europol noch für eine Strafverfolgungsbehörde noch für eine Regierung. Unsere Mandanten sind Einzelpersonen in der gesamten EU und darüber hinaus, die mit Datenschutzverletzungen, Überwachungsverfahren und Auslieferungsfällen im Zusammenhang mit dem Datenaustausch von Europol konfrontiert sind. Wir haben unseren Sitz in Limassol und London und verfügen über datenschutzrechtliche Beratung in achtundzwanzig Rechtsordnungen, sodass Ihr Auskunftsersuchen die richtige Stelle erreicht und Ihre Beschwerde jede Verfahrensanforderung erfüllt.

Wir verwenden keine Musterschreiben. Jedes Auskunftsersuchen zielt auf die konkreten Datenkategorien ab, die Europol wahrscheinlich vorhält. Jede EDSB-Beschwerde nennt die anwendbare Rechtsgrundlage. Jeder gerichtliche Antrag stützt sich auf die neueste Rechtsprechung des EuGH. Wenn Europol sich auf eine internationale Übereinkunft beruft, beschaffen wir den Vertragstext, ermitteln Lücken in den Schutzvorkehrungen und erstellen ein detailliertes Rechtsgutachten, das die Nichteinhaltung belegt. Artikel 25 Absatz 2? Wir zerlegen die Erforderlichkeitsprüfung, fordern die schriftliche Genehmigung des Exekutivdirektors an und fechten jedes Versäumnis an, alternative Maßnahmen zu prüfen.

Unsere Erfolgsbilanz spricht für sich: EDSB-Beschwerden, die zu Löschungsanordnungen führten. Urteile des Gerichts (EuG), mit denen Entscheidungen von Europol für nichtig erklärt wurden. Ausgehandelte Vergleiche, in denen Europol zusagte, die Behörden des Drittlands zu benachrichtigen und die Rückgabe der Daten zu verlangen. Wir garantieren keine Ergebnisse — datenschutzrechtliche Verfahren sind stark vom Sachverhalt geprägt, und der EDSB sowie die Gerichte behalten einen weiten Ermessensspielraum — aber wir bieten transparente Analysen, realistische Zeitpläne und unermüdliches Engagement in jeder Phase.

Dieser Beitrag wird von einer unabhängigen Anwaltskanzlei ausschließlich zu Informationszwecken veröffentlicht und impliziert keine Verbindung zu einer Behörde, internationalen Organisation oder amtlichen Stelle.