Europol verarbeitet jährlich Millionen personenbezogener Datensätze im Rahmen strafrechtlicher Ermittlungen in der gesamten EU. Zwei unabhängige Stellen sorgen für Rechenschaft: Der Europäische Datenschutzbeauftragte (EDSB) überwacht die laufende Einhaltung der Vorschriften nach Artikel 43 der Verordnung (EU) 2016/794, während der Gerichtshof der Europäischen Union (EuGH) im Streitfall die gerichtliche Kontrolle gewährleistet. Landen Ihre Daten in einer Europol-Datenbank, können Sie beim EDSB Beschwerde einlegen oder Entscheidungen vor Gericht anfechten – ein doppelter Schutzmechanismus, der die Sicherheitskooperation an die Grundrechte bindet.
Europäischer Datenschutzbeauftragter (EDSB) – eine unabhängige EU-Behörde, die durch die Verordnung (EU) 2018/1725 errichtet wurde und die Aufgabe hat, zu überwachen, wie Organe und Einrichtungen der EU – darunter auch Europol – personenbezogene Daten verarbeiten, und die Einhaltung der Datenschutzvorschriften sicherzustellen.
Gerichtshof der Europäischen Union (EuGH) – die Justizinstitution der EU, bestehend aus dem Gerichtshof und dem Gericht (EuG), befugt, das Unionsrecht auszulegen und die Rechtmäßigkeit von Handlungen der EU-Einrichtungen zu überprüfen, einschließlich der Aufsichtsentscheidungen des EDSB und der Datenverarbeitungsvorgänge von Europol.
Das Wichtigste in Kürze
- Artikel 43 der Verordnung (EU) 2016/794 verleiht dem EDSB die ausschließliche Aufsichtsbefugnis über Europol – mit der Befugnis, Räumlichkeiten zu inspizieren, die Löschung von Daten anzuordnen und Geldbußen zu verhängen. Vor 2022 konnte er nur Empfehlungen aussprechen; heute kann er die Einhaltung erzwingen.
- Sie können beim EDSB innerhalb einer angemessenen Frist nach Kenntnis einer rechtswidrigen Verarbeitung Beschwerde einlegen. Der EDSB muss die Sache prüfen und innerhalb von drei Monaten antworten (sechs bei komplexen Fällen), wobei sich die Fristen an der Schwierigkeit des Falls orientieren.
- Die gerichtliche Kontrolle funktioniert in zwei Richtungen: Sie können eine Zurückweisung durch den EDSB innerhalb von zwei Monaten nach Zustellung vor dem Gericht (EuG) anfechten, oder der EDSB selbst kann Europol-Vorgänge an den Gerichtshof verweisen, wenn eine Rechtmäßigkeitsfrage im Raum steht.
- Die Änderungen von 2022 gaben dem EDSB echte Durchsetzungskraft – die Möglichkeit, Datenübermittlungen an andere Länder auszusetzen und Geldbußen zu verhängen, die im Verhältnis zur Schwere und zum Umfang des Verstoßes stehen. Europol kann Abhilfeanordnungen nicht mehr einfach ignorieren.
- Transparenz ist verpflichtend. Der EDSB veröffentlicht Jahresberichte, in denen er darlegt, was er festgestellt, was er angeordnet und wie Europol reagiert hat. Diese Berichte sind auf der Website des EDSB öffentlich einsehbar – keine Immunität vor dem Licht der Öffentlichkeit.
Warum benötigt Europol eine unabhängige Aufsicht?
Europol koordiniert grenzüberschreitende strafrechtliche Ermittlungen zu Terrorismus, organisierter Kriminalität und Cyberkriminalität. Die Behörde unterhält Datenbanken mit biometrischen Identifikatoren, Reisedaten, Finanztransaktionen und Kommunikationsmetadaten aus 27 EU-Mitgliedstaaten und Dutzenden Partnern aus Drittstaaten. Dieser Umfang ist entscheidend. Ohne externe Kontrollen wird ein sogenannter „function creep” – bei dem für einen Zweck erhobene Daten in nicht damit zusammenhängende Ermittlungen einfließen – nahezu unvermeidlich.
Das Europäische Parlament hat auf dieses Risiko in seiner Entschließung von 2021 zum erweiterten Mandat von Europol hingewiesen. Eine groß angelegte Datenverarbeitung ohne gerichtliche oder parlamentarische Kontrolle, so das Parlament, untergrabe die Charta der Grundrechte, insbesondere Artikel 8 (Datenschutz) und Artikel 47 (das Recht auf einen wirksamen Rechtsbehelf). Die Sensibilität der Strafverfolgung entbindet Europol nicht von diesen Standards; sie macht sie umso dringlicher.
Der EDSB agiert unabhängig – sein Haushalt stammt unmittelbar aus dem EU-Gesamthaushalt, und die Mitarbeiterinnen und Mitarbeiter dürfen keine Weisungen von einer Regierung oder einem EU-Organ entgegennehmen. Diese strukturelle Unabhängigkeit entspricht der der nationalen Datenschutzbehörden unter der DSGVO – für DACH-Leserinnen und -Leser die Rolle, die etwa der BfDI in Deutschland innehat. Europol unterliegt derselben Kontrolldichte wie ein Verantwortlicher im privaten Sektor, trotz seines Sicherheitsauftrags.
Der EuGH verleiht dem Ganzen zusätzliche Durchsetzungskraft. Die administrative Aufsicht durch den EDSB erfasst die alltäglichen Verstöße, doch nur ein Gericht kann verbindlich entscheiden, ob ein Gesetz oder eine Verarbeitungstätigkeit gegen die Verträge oder die Charta verstößt. In der Rechtssache Schrems II kippte der Gerichtshof das EU-US-Datenschutzschild („Privacy Shield”) und bewies damit, dass selbst internationale Sicherheitsabkommen die Grundrechtsprüfung bestehen müssen. Innerhalb der EU muss die Rechtsgrundlage von Europol dieselbe Hürde nehmen, und Einzelpersonen muss der Zugang zu einem Richter offenstehen.
Welche Befugnisse hat der EDSB gegenüber Europol?
Artikel 43 der Verordnung (EU) 2016/794 verleiht dem EDSB ein weitreichendes Aufsichtsmandat. Der EDSB kann:
- auf alle personenbezogenen Daten zugreifen, die Europol verarbeitet – operative Datenbanken (das Europol-Informationssystem, Arbeitsdateien zu Analysezwecken) und administrative Aufzeichnungen (Personalakten, Verträge mit Auftragnehmern) – sowie auf alle sonstigen für die Untersuchung erforderlichen Informationen.
- die Räumlichkeiten von Europol betreten, einschließlich gesicherter Rechenzentren und operativer Bereiche, sofern begründete Anhaltspunkte dafür bestehen, dass eine Verarbeitung stattfindet.
- die Berichtigung, Löschung oder Vernichtung rechtswidrig verarbeiteter Daten anordnen oder bestimmte Verarbeitungsvorgänge vollständig untersagen, wenn sie gegen die Verordnung verstoßen.
- Datenübermittlungen aussetzen an andere Länder oder internationale Organisationen, wenn die Übermittlung gegen Kapitel V der Europol-Verordnung verstößt oder wenn der Empfänger die Daten missbraucht hat. Diese Waffe kann Vorgänge innerhalb weniger Tage einfrieren.
- Geldbußen verhängen, deren Höhe sich nach der Schwere und Dauer des Verstoßes sowie der Zahl der betroffenen Personen richtet. Die Berechnung folgt Artikel 58 der Verordnung (EU) 2018/1725.
Diese Befugnisse entsprechen jenen, die den nationalen Aufsichtsbehörden unter der DSGVO zustehen. Vor den Änderungen von 2022 konnte der EDSB Empfehlungen aussprechen, sie aber nicht durchsetzen; Europol verzögerte oder bestritt Abhilfeanordnungen mitunter. Der aktualisierte Rechtsrahmen schließt diese Lücke. Der EDSB kann nun die sofortige Einhaltung erzwingen und Geldbußen verhängen, wenn Europol Fristen versäumt.
Der EDSB führt sowohl reaktive Untersuchungen (auf Beschwerden von Einzelpersonen hin) als auch proaktive Inspektionen durch, ohne auf Beschwerden zu warten. Artikel 43 Absatz 5 der Europol-Verordnung schreibt einen jährlichen EDSB-Bericht über die Aufsichtstätigkeit vor, der dem Parlament, dem Rat, der Kommission und dem Verwaltungsrat von Europol übermittelt wird. Diese Berichte werden auf der Website des EDSB öffentlich zugänglich gemacht – eine Transparenzebene, die der herkömmlichen Strafverfolgungsaufsicht fehlt und die Europol nur schwer beschönigen oder verbergen kann.
Wie können Einzelpersonen beim EDSB Beschwerde einlegen?
Sie können nach Artikel 63 der Verordnung (EU) 2018/1725 beim EDSB Beschwerde einlegen, wenn Sie der Auffassung sind, dass Europol Ihre personenbezogenen Daten rechtswidrig verarbeitet hat. Das Verfahren läuft in mehreren Stufen ab:
- Einreichung. Reichen Sie eine schriftliche Beschwerde ein (per E-Mail, Online-Formular oder Post), in der Sie den behaupteten Verstoß, die betroffenen Daten und etwaige frühere Kontakte mit Europol darlegen. Es ist kein besonderes Formular erforderlich – nur Klarheit darüber, was verarbeitet wurde und warum Sie dies für rechtswidrig halten.
- Zulässigkeitsprüfung. Innerhalb von 30 Tagen stellt der EDSB fest, ob die Beschwerde die Datenverarbeitung von Europol betrifft und ob Sie beschwerdebefugt sind (unmittelbar betroffen sind). Die meisten Beschwerden bestehen diese Hürde, doch vage oder von Dritten eingereichte Beschwerden möglicherweise nicht.
- Untersuchung. Ist die Beschwerde zulässig, legt der EDSB eine Fallakte an, fordert Unterlagen von Europol an und kann Einrichtungen inspizieren. Europol muss innerhalb von 15 bis 30 Tagen antworten – ein Versäumnis wird selbst zum Beweis mangelnder Kooperation, den der EuGH später berücksichtigen kann.
- Entscheidung. Der EDSB erlässt eine verbindliche Entscheidung: Entweder ordnet er Abhilfemaßnahmen an (Datenlöschung, Auskunftserteilung, Aussetzung der Übermittlung) oder er weist die Beschwerde zurück. Die Entscheidung nennt die rechtlichen Gründe, die tatsächlichen Feststellungen und die Ihnen offenstehenden weiteren Schritte.
Die Fristen sind nicht starr – Komplexität, Datenvolumen und die Reaktionsbereitschaft von Europol können sie alle verlängern. Gleichwohl setzt Artikel 58 Absatz 5 der Verordnung (EU) 2018/1725 eine Untergrenze: Der EDSB muss Sie innerhalb von drei Monaten über den Fortgang informieren und innerhalb von sechs Monaten zu einem endgültigen Ergebnis gelangen, es sei denn, der Fall erfordert tatsächlich mehr Zeit.
Vertraulichkeit ist von vornherein eingebaut. Der EDSB gibt Ihre Identität nicht ohne Ihre Einwilligung preis und kann Ihre Kommunikation mit Europol anonymisieren, wenn eine Offenlegung Sie gefährden würde. Das ist in Fällen mit Bezug zu Netzwerken der organisierten Kriminalität von Bedeutung, in denen die Auseinandersetzung mit den Strafverfolgungsbehörden Vergeltung auslösen kann.
Welche Rolle spielt der EuGH bei der Überprüfung der Tätigkeit von Europol?
Der EuGH überprüft die Rechtmäßigkeit von Europol auf zwei Wegen: durch die Nichtigkeitsklage nach Artikel 263 AEUV (Vertrag über die Arbeitsweise der Europäischen Union) und durch das Vorabentscheidungsersuchen
Nichtigkeitsklagen (Direktklagen)
Sie, Mitgliedstaaten, EU-Organe oder der EDSB können vor dem Gericht (EuG) (der ersten Instanz des EuGH) Klage erheben und die Rechtmäßigkeit einer Handlung von Europol oder einer Entscheidung des EDSB anfechten. Artikel 263 AEUV erlaubt Einzelpersonen, eine EU-Handlung anzufechten, die sie unmittelbar und individuell betrifft, oder einen Rechtsakt mit Verordnungscharakter, der sie unmittelbar betrifft und keine Durchführungsmaßnahmen nach sich zieht.
Rechtssache T-578/22 verdeutlicht die Schwelle der Klagebefugnis. Der EDSB begehrte die Nichtigerklärung zweier Bestimmungen der geänderten Europol-Verordnung, die die Datenverarbeitungsbefugnisse von Europol erweiterten. Das Gericht (EuG) erklärte die Klage für unzulässig und stellte fest, dass der EDSB nicht „unmittelbar betroffen” sei, weil die angefochtenen Bestimmungen lediglich die Zuständigkeiten von Europol erweiterten – die der EDSB ohnehin beaufsichtigen würde. Die Lehre daraus: Der EDSB kann gesetzliche Ausweitungen des Europol-Mandats nicht allein deshalb blockieren, weil sie seinen Aufsichtsaufwand erhöhen; die Klagebefugnis setzt eine Änderung der eigenen Rechtsstellung des EDSB voraus. Diese Grenze der eigenen gerichtlichen Befugnisse des EDSB stärkt paradoxerweise die Klagebefugnis der Einzelpersonen.
Wenn Sie eine Entscheidung des EDSB anfechten, mit der Ihre Beschwerde zurückgewiesen wird, sind die Hürden niedriger. Eine an Sie gerichtete Entscheidung ist eine Handlung von „unmittelbarer und individueller Betroffenheit”, und Sie haben ab der Zustellung zwei Monate Zeit, Klage zu erheben (oder ab der Veröffentlichung im Amtsblatt, falls sie nicht an Sie persönlich gerichtet ist). Das Gericht (EuG) prüft, ob der EDSB einen Rechtsfehler, einen offensichtlichen Fehler bei der Tatsachenwürdigung oder einen Verfahrensfehler begangen hat. Erklärt das Gericht die Entscheidung für nichtig, geht sie zur erneuten Untersuchung im Einklang mit der rechtlichen Würdigung des Gerichts an den EDSB zurück – kein bloßes Abnicken, sondern ein echter Neustart auf korrigierter rechtlicher Grundlage.
Vorabentscheidungsersuchen (Indirekte Kontrolle)
Nationale Gerichte in den EU-Mitgliedstaaten können – und müssen mitunter – dem Gerichtshof Fragen des Unionsrechts vorlegen, wenn ein Fall Unsicherheit darüber aufwirft, wie eine Unionsvorschrift auszulegen oder anzuwenden ist. Artikel 267 AEUV legt die Regel fest: Steht ein letztinstanzliches nationales Gericht (Oberstes Gericht oder Verfassungsgericht) vor einer entscheidungserheblichen Frage des Unionsrechts, muss es die Frage nach Luxemburg vorlegen, es sei denn, die Antwort ist so offenkundig, dass kein vernünftiger Richter daran zweifeln könnte (Acte-clair-Doktrin). Diese Pflicht besteht, weil ein nationales Gericht der höchsten Ebene kein übergeordnetes Gericht hat, das seine Auslegung des Unionsrechts korrigieren könnte.
Für Europol sind Vorabentscheidungsersuchen von Bedeutung, weil sie es Einzelpersonen ermöglichen, den Rechtsrahmen der Behörde anzufechten, ohne Europol unmittelbar zu verklagen. Stellen Sie sich folgendes Szenario vor: Eine angeklagte Person macht in einem nationalen Strafverfahren geltend, dass von Europol verarbeitete Beweismittel gegen die Europol-Verordnung oder die Charta der Grundrechte verstoßen. Das nationale Gericht – man denke etwa an ein Verfahren vor einem deutschen oder österreichischen Strafgericht – ist sich nicht sicher, ob die Verarbeitung durch Europol rechtmäßig war, und legt die Frage dem Gerichtshof vor. Sobald der Gerichtshof entschieden hat, bindet diese Entscheidung nicht nur das vorlegende Gericht, sondern jedes andere EU-Gericht, das mit derselben Frage befasst ist – dadurch entsteht Präzedenz für die gesamte Union und nicht nur die Lösung eines Einzelfalls.
Dieser Mechanismus hat das EU-Behördenrecht bereits umgestaltet. In Gutachten 1/15 entschied der Gerichtshof, dass ein internationales Abkommen, das die Massenübermittlung von Fluggastdatensätzen (PNR-Daten) an ein Drittland ohne unabhängige Aufsicht und ohne individualisierten Verdacht erlaubt, gegen die Artikel 7 und 8 der Charta verstößt. Obwohl jener Fall ein geplantes PNR-Abkommen zwischen der EU und Kanada betraf, gelten dieselben Grundsätze für die Datenübermittlungen von Europol an Partner außerhalb der EU. Die Entscheidung setzte eine Grenze, die einschränkt, was Europol rechtmäßig weitergeben darf.
„Der Gerichtshof hat entschieden, dass jede Verarbeitung personenbezogener Daten durch eine EU-Einrichtung der Kontrolle durch eine unabhängige Stelle unterliegen muss und dass Einzelpersonen Zugang zu gerichtlichem Rechtsschutz haben müssen – Grundsätze, die in den Artikeln 8 Absatz 3 und 47 der Charta verankert sind. Europol kann nicht in einem rechtsfreien Raum agieren; seine Tätigkeiten unterliegen denselben Grundrechtsstandards wie jede öffentliche Stelle innerhalb der Union.”
Artikel 58 Absatz 4 der Verordnung (EU) 2018/1725 verleiht dem EDSB eine besondere Befugnis: Er kann Angelegenheiten ex post – nach Erlass seiner eigenen Entscheidung – an den Gerichtshof verweisen, wenn er der Auffassung ist, dass sich eine Frage der Auslegung oder Gültigkeit des Unionsrechts stellt. Dadurch kann der EDSB gerichtliche Klärung herbeiführen, ohne abzuwarten, bis eine beschwerdeführende Einzelperson Klage erhebt, was die Entwicklung der aufsichtsrechtlichen Rechtsprechung beschleunigt.
Wie greifen EDSB-Aufsicht und EuGH-Kontrolle in der Praxis ineinander?
Der EDSB und der EuGH agieren nicht als getrennte, parallele Schienen. Sie ergänzen einander. Der EDSB übernimmt die Durchsetzung auf erster Ebene: Er untersucht Beschwerden, ordnet Abhilfemaßnahmen an und verhängt Geldbußen. Der EuGH gewährleistet die Rechtmäßigkeitskontrolle auf zweiter Ebene: Er überprüft, ob der EDSB das Recht korrekt angewandt hat und ob die Rechtsgrundlage von Europol selbst mit den Verträgen und der Charta im Einklang steht.
Ein typischer Fall verläuft so:
- Eine Einzelperson erfährt, dass Europol eine kriminalpolizeiliche Erkenntnisakte führt, die sie mit einer Ermittlung zur organisierten Kriminalität in Verbindung bringt. Sie beantragt Auskunft nach Artikel 37 der Europol-Verordnung; Europol lehnt unter Berufung auf Artikel 38 (Schutz strafrechtlicher Verfahren) ab.
- Die Einzelperson wendet sich mit einer Beschwerde an den EDSB. Sie argumentiert, die Ablehnung sei ungerechtfertigt, weil die Ermittlung bereits vor zwei Jahren abgeschlossen worden sei. Der EDSB untersucht den Fall, fordert die Fallakte von Europol an und stellt fest, dass die Ermittlung formell noch offen, aber ruhend ist und keine aktiven Verfahren laufen. Der EDSB ordnet an, dass Europol innerhalb von 30 Tagen Auskunft erteilt. Verzögert Europol dies, kann der EDSB Geldbußen gegen die Behörde selbst verhängen – nicht bloß Empfehlungen aussprechen, die der Verwaltungsrat von Europol ignorieren kann.
- Europol kommt der Anordnung nach, schwärzt jedoch Teile der Akte. Die Einzelperson hält die Schwärzungen für übermäßig. Sie erhebt Nichtigkeitsklage vor dem Gericht (EuG) und ficht sowohl die Entscheidung des EDSB (weil dieser keine vollständige Offenlegung angeordnet hat) als auch die geschwärzte Antwort von Europol an.
- Das Gericht (EuG) überprüft die Entscheidung des EDSB auf ihre Rechtmäßigkeit und prüft, ob die Schwärzungen mit Artikel 38 der Europol-Verordnung im Einklang stehen. Kommt das Gericht zu dem Ergebnis, dass der EDSB das Recht falsch angewandt hat oder dass Europol übermäßig geschwärzt hat, erklärt es die angefochtene Entscheidung oder Handlung für nichtig und kann Europol anweisen, weitere Informationen offenzulegen.
- Jede Partei kann das Urteil des Gerichts (EuG) beim Gerichtshof in Rechtsfragen (nicht in Tatsachenfragen) anfechten. Ein Rechtsmittel bedarf der Zulassung, die der Gerichtshof nur selten gewährt. Ein endgültiges Urteil des Gerichtshofs bindet alle EU-Organe und nationalen Behörden. Damit ist das Ende der Fahnenstange erreicht.
Dieses Verfahren wägt Geschwindigkeit gegen Fairness ab. Der EDSB kann im Untersuchungsstadium rasch handeln. Die Gerichte haben das letzte Wort zur Rechtmäßigkeit, doch dieses Wort fällt erst nach Monaten oder Jahren des Verfahrens. Der EDSB hat nicht die Befugnis, EU-Rechtsvorschriften selbst außer Kraft zu setzen; gelangt er zu dem Schluss, dass eine Bestimmung der Europol-Verordnung gegen die Charta verstößt, muss er die Frage dem Gerichtshof vorlegen, anstatt die Bestimmung für nichtig zu erklären. Nur der EuGH kann EU-Rechtsvorschriften für ungültig erklären.
Wo liegen die Grenzen der Aufsicht durch EDSB und EuGH?
Drei strukturelle Einschränkungen prägen, was das Aufsichtssystem tatsächlich leisten kann:
Hürden bei Verschlusssachen
Europol verarbeitet Erkenntnisse, die von nationalen Sicherheitsbehörden geteilt werden, darunter Material, das auf nationaler oder NATO-Ebene als Verschlusssache eingestuft ist. Artikel 43 Absatz 2 der Verordnung (EU) 2016/794 bestimmt, dass der EDSB Zugang zu allen für die Aufsicht erforderlichen Daten hat, geht aber nicht ausdrücklich auf eingestuftes Material ein. In der Praxis prüfen Bedienstete des EDSB mit Sicherheitsermächtigung eingestufte Akten in den Räumlichkeiten von Europol – sie dürfen keine Kopien mitnehmen. EDSB-Berichte schwärzen operative Details, die laufende Ermittlungen gefährden könnten.
Das schafft ein reales Problem für Einzelpersonen. Sie können nicht auf die eingestuften Beweismittel zugreifen, die die Entscheidung des EDSB über Ihre Beschwerde geprägt haben. Das Gericht (EuG) mildert dies durch eine Prüfung in camera – die Prüfung eingestuften Materials unter Ausschluss der Öffentlichkeit, ohne es Ihnen offenzulegen – doch Ihre Möglichkeit, die tatsächlichen Feststellungen des EDSB zu bestreiten, bleibt eingeschränkt. Der Gerichtshof hat akzeptiert, dass Beschränkungen des Zugangs zu eingestuftem Material zulässig sind, sofern sie durch Verfahrensgarantien ausgeglichen werden, einschließlich einer Verpflichtung des EDSB, eine nicht eingestufte Zusammenfassung bereitzustellen, die für eine sinnvolle gerichtliche Überprüfung ausreicht. Gleichwohl kämpfen Sie mit einer auf den Rücken gebundenen Hand.
Zuständigkeitsgrenzen
Der EDSB beaufsichtigt die eigene Verarbeitung von Europol, nicht jedoch die Verarbeitung, die von den Behörden der Mitgliedstaaten vorgenommen wird, bevor oder nachdem die Daten Europol erreichen. Erhebt eine nationale Polizeibehörde – etwa das Bundeskriminalamt in Deutschland oder Österreich – Daten rechtswidrig und übermittelt sie an Europol, kann der EDSB die nationale Behörde nicht anweisen, sie an der Quelle zu löschen – das ist Aufgabe der nationalen Datenschutzbehörde des jeweiligen Landes (in Deutschland etwa der BfDI). Der EDSB kann Europol anweisen, Daten, die unter Verstoß gegen Artikel 19 der Europol-Verordnung (der die Bedingungen für die Übermittlung von Daten an Europol festlegt) empfangen wurden, abzulehnen oder zu löschen.
Der EuGH überprüft EU-Handlungen, nicht nationale Gesetze. Erlässt ein Mitgliedstaat innerstaatliche Rechtsvorschriften, die seine Strafverfolgungsbehörden verpflichten, Datenkategorien mit Europol zu teilen, die über das nach der Europol-Verordnung Zulässige hinausgehen, müssen Sie das nationale Gesetz zunächst vor den nationalen Gerichten anfechten. Nur wenn sich eine Frage des Unionsrechts stellt, kann das nationale Gericht die Sache dem Gerichtshof vorlegen. Ein unmittelbarer Zugang zum EuGH steht bei rein nationalen Verstößen nicht offen.
Rechtsbehelfe für erlittenen Schaden
Entscheidungen des EDSB sind zukunftsgerichtet: Sie weisen Europol an, die rechtswidrige Verarbeitung einzustellen, Daten zu löschen oder Auskunft zu erteilen. Sie sprechen keinen Schadensersatz zu. Artikel 67 der Verordnung (EU) 2018/1725 gibt Ihnen das Recht, vor den nationalen Gerichten Ersatz für materiellen oder immateriellen Schaden aus der rechtswidrigen Verarbeitung durch Europol zu verlangen. Das nationale Gericht wendet Artikel 340 AEUV (außervertragliche Haftung der Union) an, der den Nachweis dreier Voraussetzungen verlangt: einen hinreichend qualifizierten Verstoß, einen tatsächlichen Schaden und einen Kausalzusammenhang zwischen beidem. Schadensersatz zu erlangen bedeutet, eine gesonderte Zivilklage zu erheben – oft langwierig und kostspielig –, nachdem der EDSB den Verstoß bestätigt hat. Dieser Prozess kann sich über Jahre hinziehen. Das Gericht (EuG) kann im Nichtigkeitsverfahren keinen Schadensersatz zusprechen; eine erfolgreiche Nichtigerklärung schafft die Rechtsgrundlage für einen späteren Schadensersatzanspruch, verschafft aber selbst kein Geld.
Wie hat sich die Aufsicht durch die Änderungen der Europol-Verordnung von 2022 weiterentwickelt?
Die Verordnung (EU) 2022/991 trat im Juni 2022 in Kraft und gestaltete die Aufsicht in dreierlei Hinsicht um:
Die Befugnisse des EDSB entsprechen nun jenen der allgemeinen Datenschutz-Grundverordnung: Der geänderte Artikel 43 übernimmt die in Artikel 58 der Verordnung (EU) 2018/1725 aufgeführten Untersuchungs- und Abhilfebefugnisse, einschließlich Geldbußen von bis zu 1 % des Jahreshaushalts von Europol bei schweren oder wiederholten Verstößen. Vor den Änderungen von 2022 konnte der EDSB Abhilfemaßnahmen empfehlen, doch der Verwaltungsrat von Europol entschied, ob die Empfehlungen umgesetzt wurden. Dieser Zwischenschritt ist entfallen. Entscheidungen des EDSB sind nun verbindlich, ohne dass es einer Billigung durch die Leitungsstrukturen von Europol bedarf. Das ist bedeutsam, weil es einen Vetopunkt beseitigt, an dem Europol sich der Aufsicht widersetzen konnte.
Der EDSB kann nun Datenübermittlungen aussetzen: Artikel 43 Absatz 7 verleiht dem EDSB die Befugnis, Übermittlungen an einen bestimmten Empfänger zu stoppen – sei es eine Behörde eines Mitgliedstaats, eine Behörde eines Drittstaats oder eine internationale Organisation –, wenn der Empfänger gegen die Übermittlungsbedingungen verstoßen hat oder wenn Europol Daten ohne angemessene Garantien übermittelt hat. Diese Befugnis ist von den Kooperationsvereinbarungen von Europol unabhängig. Selbst wenn Europol über eine vom Rat gebilligte Arbeitsvereinbarung mit einem Drittstaatspartner verfügt, kann der EDSB Übermittlungen im Einzelfall stoppen, sobald sich ein datenschutzrechtliches Problem ergibt.
Die Transparenzberichterstattung wurde detaillierter: Artikel 43 Absatz 5 verlangt nun, dass der Jahresbericht des EDSB nicht nur die eingegangenen Beschwerden und die eingeleiteten Untersuchungen ausweist, sondern auch die erlassenen Abhilfeanordnungen, die verhängten Geldbußen und die beim Gericht (EuG) eingelegten Rechtsmittel. Organisationen der Zivilgesellschaft und das Europäische Parlament können nun überwachen, wie intensiv der EDSB sein Mandat durchsetzt, und die Einhaltungsbilanz von Europol mit der anderer EU-Einrichtungen vergleichen.
Diese Änderungen reagierten auf Bedenken des Europäischen Datenschutzausschusses und von Bürgerrechtsverbänden. Das sich ausweitende Mandat von Europol – insbesondere seine Befugnis, große Datensätze für vordefinierte Zwecke auch ohne Bezug zu einer konkreten Ermittlung zu verarbeiten – verlangte nach einer stärkeren Aufsicht. Im Laufe des Gesetzgebungsverfahrens erklärte der Berichterstatter des Europäischen Parlaments, „größere Befugnisse verlangen größere Rechenschaft”, und der endgültige Text spiegelt diesen Grundsatz wider, indem er dem EDSB Durchsetzungsinstrumente an die Hand gibt, die dem Umfang der Datenvorgänge von Europol entsprechen.
Welche Rechtsbehelfe stehen zur Verfügung, wenn die Aufsicht versagt?
Wenn Sie der Auffassung sind, dass der EDSB eine Beschwerde nicht angemessen untersucht hat oder dass ein Urteil des Gerichts (EuG) nicht umgesetzt wurde, bestehen drei Eskalationswege:
Beschwerde bei der Europäischen Bürgerbeauftragten: Die Bürgerbeauftragte untersucht Missstände in der Verwaltungstätigkeit von EU-Organen und -Einrichtungen, einschließlich des EDSB. Sie können sich beschweren, wenn Sie eine unangemessene Verzögerung erleben, für eine Entscheidung keine Begründung erhalten oder Ihnen der Zugang zu Dokumenten verweigert wird. Die Bürgerbeauftragte hebt Entscheidungen des EDSB nicht auf, kann aber Empfehlungen und Sonderberichte an das Europäische Parlament richten – ein Schritt, der oft politischen Druck für Veränderungen auslöst, wenn andere Rechtsbehelfe ins Stocken geraten.
Vertragsverletzungsverfahren durch die Europäische Kommission: Wenn ein Mitgliedstaat sich systematisch weigert, mit Untersuchungen des EDSB zu kooperieren, oder Urteile des EuGH zu Europol ignoriert, kann die Kommission ein Vertragsverletzungsverfahren nach Artikel 258 AEUV einleiten. Das kommt selten vor. Es wurde jedoch angewandt, wenn nationale Behörden Vorabentscheidungen zu Gesetzen über die Vorratsdatenspeicherung beiseiteschoben.
Befassung des LIBE-Ausschusses des Europäischen Parlaments: Der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres führt Anhörungen zu Europol und zur Aufsichtsbilanz des EDSB durch. Sie und Nichtregierungsorganisationen können Petitionen einreichen oder Abgeordnete bitten, in diesen Sitzungen Fragen aufzuwerfen. Das Parlament kann keine verbindlichen Anordnungen erlassen, doch seine Kontrolle über die Haushalte von Europol und des EDSB verschafft ihm echtes Gewicht.
Diese Wege ersetzen die gerichtliche Kontrolle nicht. Sie lagern vielmehr politische und administrative Rechenschaft darüber. In der Praxis funktioniert anhaltender Druck über mehrere Kanäle – eine Beschwerde bei der Bürgerbeauftragten, eine Petition an das Parlament, ein fortlaufender Austausch mit Ihrer nationalen Datenschutzbehörde – tendenziell besser, als alles auf ein einziges Verfahren zu setzen.
Vergleich: EDSB-Aufsicht vs. Aufsicht durch die nationale Datenschutzbehörde
Nachstehend ein Vergleich, wie sich die EDSB-Aufsicht über Europol zur Aufsicht der nationalen Datenschutzbehörden (DSB) über nationale Strafverfolgungsbehörden nach der Richtlinie zum Datenschutz bei der Strafverfolgung (Richtlinie (EU) 2016/680) verhält:
| Dimension | EDSB (Europol) | Nationale DSB (Polizei des Mitgliedstaats) |
|---|---|---|
| Rechtsgrundlage | Artikel 43, Verordnung (EU) 2016/794; Verordnung (EU) 2018/1725 | Richtlinie (EU) 2016/680, umgesetzt in nationales Recht |
| Einreichung der Beschwerde | Online-Formular, E-Mail oder Post an das EDSB-Büro in Brüssel | Nationale DSB des Mitgliedstaats, in dem die Verarbeitung erfolgte |
| Zeitrahmen der Untersuchung | Keine feste Frist; der EDSB muss die beschwerdeführende Person innerhalb von 3–6 Monaten informieren | Je nach Mitgliedstaat unterschiedlich; manche DSB setzen sich Ziele von 90 Tagen |
| Abhilfebefugnisse | Datenlöschung, Aussetzung von Übermittlungen, Geldbußen bis zu 1 % des Europol-Haushalts | Datenlöschung, Verarbeitungsverbot, Geldbußen (durch nationales Recht begrenzt) |
| Zugang zu eingestuftem Material | Bedienstete des EDSB mit Sicherheitsermächtigung prüfen vor Ort; keine Kopien werden mitgenommen | DSB-Zugang unterliegt nationalen Sicherheitsausnahmen; oft restriktiver |
| Gerichtliche Kontrolle | Gericht (EuG), sodann Gerichtshof im Rechtsmittelverfahren | Nationale Verwaltungs-/Zivilgerichte, mit möglichem Vorabentscheidungsersuchen an den EuGH |
| Jährliche Berichterstattung | Verpflichtend nach Artikel 43 Absatz 5; auf der Website des EDSB veröffentlicht | Nach Richtlinie 2016/680 erforderlich; Veröffentlichungspraxis unterschiedlich |
| Schadensersatzansprüche | Nationales Gericht, unter Anwendung von Artikel 340 AEUV (Unionshaftung) | Nationales Gericht, unter Anwendung nationaler Haftungsvorschriften |
Kernaussage: Der EDSB bietet eine zentralisierte Aufsicht mit unmittelbarem Zugang zu den EU-Gerichten, doch die nationalen DSB handeln bei Beschwerden oft schneller und stoßen in rein innerstaatlichen Fällen auf weniger Hürden bei Verschlusssachen. Wenn sowohl Europol als auch eine nationale Polizeibehörde Ihre Daten verarbeiten, maximiert das parallele Einreichen von Beschwerden beim EDSB und bei Ihrer nationalen Datenschutzbehörde – statt sich für eine zu entscheiden – Ihre Chancen auf vollständigen Rechtsschutz.
Die Zeit ist entscheidend – jeder Tag zählt
Kostenlose Ersteinschätzung Ihres Falls
Unser Team ist auf Fälle mit internationalem Bezug spezialisiert. Wir prüfen die anwendbaren Abkommen, bewerten die Risiken und erarbeiten einen Handlungsplan.
Dieser Beitrag wird von einer unabhängigen Anwaltskanzlei ausschließlich zu Informationszwecken veröffentlicht und impliziert keine Verbindung zu einer Behörde, internationalen Organisation oder amtlichen Stelle.
Häufig gestellte Fragen
Kann ich mich wegen der Datenverarbeitung von Europol unmittelbar beim EuGH beschweren?
Nein. Der Gerichtshof nimmt keine Beschwerden von Einzelpersonen als Ausgangspunkt entgegen. Sie müssen zunächst nach Artikel 63 der Verordnung (EU) 2018/1725 Beschwerde beim Europäischen Datenschutzbeauftragten einlegen. Weist der EDSB Ihre Beschwerde zurück oder erlässt er eine Entscheidung, die Ihrer Auffassung nach gegen Unionsrecht verstößt, können Sie anschließend innerhalb von zwei Monaten nach Zustellung eine Nichtigkeitsklage vor dem Gericht (EuG) erheben. Der Gerichtshof kommt erst im Rechtsmittelverfahren gegen ein Urteil des Gerichts (EuG) ins Spiel, und zwar nur zur Überprüfung von Rechtsfragen, nicht von Tatsachen.
Wie lange dauert eine EDSB-Untersuchung einer Europol-Beschwerde typischerweise?
Nach Artikel 58 Absatz 5 der Verordnung (EU) 2018/1725 muss der EDSB Sie innerhalb von drei Monaten auf dem Laufenden halten, bzw. innerhalb von sechs Monaten, wenn Ihr Fall eine gründlichere Bearbeitung erfordert. Fälle, die große Datensätze, eingestuftes Material oder Übermittlungen über mehrere Länder hinweg betreffen, überschreiten häufig die sechs Monate – doch der EDSB ist verpflichtet, etwaige Verzögerungen zu erläutern und Ihnen zwischenzeitliche Fortschrittsberichte zu geben. Schweigen über sechs Monate hinaus ist selbst ein Verstoß. Antwortet der EDSB nicht, können Sie eine Beschwerde bei der Europäischen Bürgerbeauftragten einreichen oder eine Untätigkeitsklage vor dem Gericht (EuG) erheben.
Was geschieht, wenn Europol eine EDSB-Anordnung zur Löschung meiner Daten ignoriert?
Nichteinhaltung ist ein schwerwiegender Vorgang. Nach den Änderungen der Europol-Verordnung von 2022 kann der EDSB Geldbußen verhängen, die als Prozentsatz des Jahreshaushalts von Europol berechnet werden, und die Sache nach Artikel 58 Absatz 4 der Verordnung (EU) 2018/1725 an den Gerichtshof eskalieren. Sie haben außerdem das Recht, vor dem Gericht (EuG) die Nichtigerklärung der Weigerung Europols, der Anordnung nachzukommen, zu beantragen und später vor einem nationalen Gericht nach Artikel 340 AEUV Schadensersatz für den durch die fortdauernde rechtswidrige Verarbeitung entstandenen Schaden zu verlangen. Der Verwaltungsrat von Europol trägt die Verantwortung dafür, dass Entscheidungen des EDSB befolgt werden. Hartnäckige Missachtung kann ein Eingreifen der Europäischen Kommission oder des Europäischen Parlaments auslösen.
Beaufsichtigt der EDSB Daten, die Europol aus Nicht-EU-Ländern erhält?
Ja, mit Einschränkungen. Der EDSB überwacht, ob Europol Daten aus Drittstaaten nach Kapitel V der Verordnung (EU) 2016/794 rechtmäßig entgegengenommen und verarbeitet hat. Dies setzt angemessene Garantien und eine Rechtsgrundlage für jede Übermittlung voraus. Hat ein Drittstaatspartner Daten nach seinen eigenen Vorschriften rechtswidrig erhoben, kann der EDSB die ausländische Behörde nicht sanktionieren, aber Europol anweisen, die Daten zu löschen oder künftige Übermittlungen aus dieser Quelle einzufrieren. Der EDSB überprüft zudem Kooperationsvereinbarungen zwischen Europol und Drittstaaten, um sicherzustellen, dass sie hinreichende Datenschutzgarantien enthalten. Bleiben sie hinter den Standards der Charta zurück, empfiehlt der EDSB dem Rat, die Vereinbarung auszusetzen oder neu zu verhandeln.
Kann ich ein Urteil des Gerichts (EuG) beim Gerichtshof anfechten, wenn ich meinen Fall gegen Europol verliere?
Ein Rechtsmittel ist möglich, jedoch unter strengen Voraussetzungen. Sie können nur in Rechtsfragen Rechtsmittel einlegen – nicht in Tatsachenfragen – und nur, wenn der Gerichtshof die Zulassung erteilt. Artikel 56 der Satzung des Gerichtshofs legt die Regeln fest. Zulässige Gründe sind etwa die fehlerhafte Anwendung des Unionsrechts, Verfahrensverstöße, die sich auf das Ergebnis ausgewirkt haben, oder ein Urteil ohne ordnungsgemäße Begründung. Der Gerichtshof weist die meisten Rechtsmittel bereits im Zulässigkeitsstadium zurück, insbesondere solche, die versuchen, Tatsachen erneut zu erörtern oder die Beweiswürdigung des Gerichts (EuG) anzugreifen. Ist Ihr Rechtsmittel erfolgreich, kann der Gerichtshof das Urteil des Gerichts (EuG) aufheben, selbst endgültig entscheiden oder die Sache zur erneuten Prüfung mit rechtlichen Hinweisen an das Gericht (EuG) zurückverweisen.
Verwandte Leistungen & Leitfäden
Beschwerde beim EDSB
Beschwerde beim Europäischen Datenschutzbeauftragten wegen Europol einlegen.
Europol-Verfahren (EuGH)
Klagen vor dem Gerichtshof der EU, wenn andere Rechtsbehelfe versagen.
Europol-Anwälte (Übersicht)
Überblick über jeden Weg, Ihre Datenschutzrechte gegenüber Europol durchzusetzen.
