[pinguin]

Gutachten des Gerichtshofs (Große Kammer) vom 26. Juli 2017.
Gutachten nach Artikel 218 Absatz 11 AEUV.

Gutachten nach Art. 218 Abs. 11 AEUV – Geplantes Abkommen zwischen Kanada und der Europäischen Union – Übermittlung von Fluggastdatensätzen aus der Union nach Kanada – Geeignete Rechtsgrundlagen – Art. 16 Abs. 2, Art. 82 Abs. 1 Unterabs. 2 Buchst. d und Art. 87 Abs. 2 Buchst. a AEUV – Vereinbarkeit mit Art. 7, Art. 8 und Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union.

Gutachten 1/15.
https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62015CV0001%2801%29&qid=1623421651593

C. Zur Vereinbarkeit des geplanten Abkommens mit den Vorschriften des AEU-Vertrags und der Charta

122

Die PNR-Daten enthalten also Informationen über bestimmte natürliche Personen, und zwar die Fluggäste, die aus der Union nach Kanada reisen. Die verschiedenen Verarbeitungen, die mit den PNR-Daten nach dem geplanten Abkommen vorgenommen werden können, nämlich ihre Übermittlung von der Union an Kanada, der Zugang zu den Daten zu ihrer Verwendung oder ihre Speicherung, berühren das Grundrecht auf Achtung des Privatlebens, das in Art. 7 der Charta garantiert ist. Denn dieses Recht erstreckt sich auf jede Information, die eine bestimmte oder bestimmbare natürliche Person betrifft (vgl. in diesem Sinne Urteile vom 9. November 2010, Volker und Markus Schecke und Eifert, C-92/09 und C-93/09, EU:C:2010:662, Rn. 52, vom 24. November 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 und C-469/10, EU:C:2011:777, Rn. 42, und vom 17. Oktober 2013, Schwarz, C-291/12, EU:C:2013:670, Rn. 26).

123

Die im geplanten Abkommen vorgesehenen Verarbeitungen der PNR-Daten fallen zudem unter Art. 8 der Charta, weil sie Verarbeitungen personenbezogener Daten im Sinne dieses Artikels darstellen und deshalb zwangsläufig die dort vorgesehenen Erfordernisse des Datenschutzes erfüllen müssen (vgl. in diesem Sinne Urteile vom 9. November 2010, Volker und Markus Schecke und Eifert, C-92/09 und C-93/09, EU:C:2010:662, Rn. 49, vom 5. Mai 2011, Deutsche Telekom, C?543/09, EU:C:2011:279, Rn. 52, und vom 8. April 2014, Digital Rights Ireland u. a., C-293/12 und C-594/12, EU:C:2014:238, Rn. 29).

Mit den Aussagen in den hier zitierten Rnn, 122 und 123 werden die Art. 7 und 8 GrCh derart miteinander verbunden, daß die Bestimmungen zu beiden Artikeln des europäischen Grundrechts zeitgleich einzuhalten sind.

In Belangen des Rundfunks tritt dann Art 11 GrCh als mißachtete Norm hinzu, wenn die EMA, bzw. der Staat, dem Rundfunk entweder personen-bezogene Daten der Bürger aktiv übersendet oder dem Rundfunk auf die beim EMA/Staat gespeicherten personen-bezogenen Daten passiv Zugriff gewährt, wenn der betroffenen Bürger dieser Datenübermittlung nicht zuvor aktiv zugestimmt hat.

124

Wie der Gerichtshof bereits entschieden hat, stellt die Weitergabe personenbezogener Daten an einen Dritten, etwa eine Behörde, unabhängig von der späteren Verwendung der übermittelten Informationen einen Eingriff in das in Art. 7 der Charta verankerte Grundrecht dar. Dasselbe gilt für die Speicherung personenbezogener Daten und den Zugang zu den Daten zu ihrer Verwendung durch die Behörden. Für die Feststellung eines solchen Eingriffs kommt es nicht darauf an, ob die übermittelten Informationen als sensibel anzusehen sind oder ob die Betroffenen durch den Vorgang irgendwelche Nachteile erlitten haben (vgl. in diesem Sinne Urteile vom 20. Mai 2003, Österreichischer Rundfunk u. a., C-465/00, C-138/01 und C-139/01, EU:C:2003:294, Rn. 74 und 75, vom 8. April 2014, Digital Rights Ireland u. a., C-293/12 und C-594/12, EU:C:2014:238, Rn. 33 bis 35, und vom 6. Oktober 2015, Schrems, C-362/14, EU:C:2015:650, Rn. 87).

126

Diese Vorgänge stellen, weil es sich bei ihnen um Verarbeitungen personenbezogener Daten handelt, auch einen Eingriff in das durch Art. 8 der Charta garantierte Grundrecht auf Schutz personenbezogener Daten dar (vgl. in diesem Sinne Urteile vom 17. Oktober 2013, Schwarz, C-291/12, EU:C:2013:670, Rn. 25, und vom 8. April 2014, Digital Rights Ireland u. a., C-293/12 und C-594/12, EU:C:2014:238, Rn. 36).

133

Nach Art. 7 der Charta hat jede Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation. Darüber hinaus gewährt Art. 8 Abs. 1 der Charta jeder Person ausdrücklich das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

137

Insoweit ist auch darauf hinzuweisen, dass nach Art. 8 Abs. 2 der Charta personenbezogene Daten nur „für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage“ verarbeitet werden dürfen.

138

Überdies muss nach Art. 52 Abs. 1 der Charta jede Einschränkung der Ausübung der in der Charta anerkannten Rechte und Freiheiten gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten (Satz 1); unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen (Satz 2).

139

Hinzuzufügen ist, dass das Erfordernis, dass jede Einschränkung der Ausübung der Grundrechte gesetzlich vorgesehen sein muss, bedeutet, dass die gesetzliche Grundlage für den Eingriff in die Grundrechte den Umfang der Einschränkung der Ausübung des betreffenden Rechts selbst festlegen muss (vgl. in diesem Sinne Urteil vom 17. Dezember 2015, WebMindLicenses, C-419/14, EU:C:2015:832, Rn. 81).

Die einschränkende Norm muß die Tragweite der Einschränkung selbst definieren; die rundfunkrechtlichen Regelwerke incl. ihrer Zustimmungsgesetze sind hier insofern unionsrechtswidrig, soweit sie diesebezüglich lediglich pauschale Aussagen treffen.

140

Zum Grundsatz der Verhältnismäßigkeit ist festzustellen, dass der Schutz des Grundrechts auf Achtung des Privatlebens auf Unionsebene nach ständiger Rechtsprechung des Gerichtshofs verlangt, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das absolut Notwendige beschränken (Urteil vom 16. Dezember 2008, Satakunnan Markkinapörssi und Satamedia, C-73/07, EU:C:2008:727, Rn. 56, vom 8. April 2014, Digital Rights Ireland u. a., C-293/12 und C-594/12, EU:C:2014:238, Rn. 51 und 52, vom 6. Oktober 2015, Schrems, C-362/14, EU:C:2015:650, Rn. 92, und vom 21. Dezember 2016, Tele2 Sverige und Watson u. a., C-203/15 und C-698/15, EU:C:2016:970, Rn. 96 und 103).

141

Um diesem Erfordernis zu genügen, muss die betreffende Regelung, die den Eingriff enthält, klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindesterfordernisse aufstellen, so dass die Personen, deren Daten übermittelt wurden, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer personenbezogenen Daten vor Missbrauchsrisiken ermöglichen. Sie muss insbesondere angeben, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsieht, getroffen werden darf, damit gewährleistet ist, dass der Eingriff auf das absolut Notwendige beschränkt wird. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden. Dies gilt insbesondere, wenn es um den Schutz der besonderen Kategorie sensibler personenbezogener Daten geht (vgl. in diesem Sinne Urteile vom 8. April 2014, Digital Rights Ireland u. a., C-293/12 und C-594/12, EU:C:2014:238, Rn. 54 und 55, sowie vom 21. Dezember 2016, Tele2 Sverige und Watson u. a., C-203/15 und C-698/15, EU:C:2016:970, Rn. 109 und 117; vgl. in diesem Sinne EGMR, 4. Dezember 2008, S. und Marper/Vereinigtes Königreich, CE:ECHR:2008:1204JUD003056204, § 103).

Gleiche Aussage, wie zu Rn. 139.
    
Ab Rn 168 wird in diesem Gutachten dann auf "automatisierte Datenübertragungen" Bezug genommen

172

Der Umfang des Eingriffs der automatisierten Analysen der PNR-Daten in die in den Art. 7 und 8 der Charta niedergelegten Rechte hängt aber im Wesentlichen von den im Voraus festgelegten Modellen und Kriterien sowie den Datenbanken ab, auf denen die automatisierte Verarbeitung der Daten beruht. In Anbetracht der Erwägungen in den Rn. 169 und 170 müssten die im Voraus festgelegten Modelle und Kriterien deshalb spezifisch und zuverlässig sein, so dass sie, wie der Generalanwalt in Nr. 256 seiner Schlussanträge ausgeführt hat, die Identifizierung von Personen ermöglichen, gegen die ein begründeter Verdacht der Beteiligung an terroristischen Straftaten oder grenzübergreifender schwerer Kriminalität bestehen könnte, und dürften nicht diskriminierend sein. Ferner müssten die Datenbanken, mit denen die PNR-Daten abgeglichen werden, zuverlässig und aktuell sein und von Kanada in Zusammenhang mit der Bekämpfung des Terrorismus und grenzübergreifender schwerer Kriminalität betrieben werden.

Sind die Bestimmungen in der Norm den unionsrechtlichen Anforderungen nicht entsprechend gestaltet, ist auch eine darauf aufbauende Automatisierung unionsrechtswidrig.

191

In Bezug auf die Speicherung personenbezogener Daten ist festzustellen, dass die fragliche Regelung u. a. stets objektiven Kriterien genügen muss, die einen Zusammenhang zwischen den zu speichernden personenbezogenen Daten und dem verfolgten Ziel herstellen (vgl. in diesem Sinne Urteile vom 6. Oktober 2015, Schrems, C-362/14, EU:C:2015:650, Rn. 93, und vom 21. Dezember 2016, Tele2 Sverige und Watson u. a., C-203/15 und C-698/15, EU:C:2016:970, Rn. 110).

218

Nach Art. 8 Abs. 2 Satz 2 der Charta hat jede Person, deren personenbezogene Daten erhoben wurden, das Recht, Auskunft über diese Daten zu erhalten und die Berichtigung der Daten zu erwirken.

219

Zu Art. 7 der Charta hat der Gerichtshof zudem bereits entschieden, dass das darin niedergelegte Grundrecht auf Achtung des Privatlebens voraussetzt, dass sich die betroffene Person vergewissern kann, dass ihre personenbezogenen Daten fehlerfrei verarbeitet werden und die Verarbeitung zulässig ist. Sie muss, um die nötigen Nachprüfungen durchführen zu können, ein Auskunftsrecht hinsichtlich der sie betreffenden Daten haben, die Gegenstand einer Verarbeitung sind (vgl. in diesem Sinne Urteil vom 7. Mai 2009, Rijkeboer, C-553/07, EU:C:2009:293, Rn. 49).

228

Nach Art. 8 Abs. 3 der Charta wird die Einhaltung der Anforderungen seiner Abs. 1 und 2 von einer unabhängigen Stelle überwacht.

229

Nach ständiger Rechtsprechung des Gerichtshofs soll die Gewährleistung der Unabhängigkeit einer solchen Kontrollstelle, deren Errichtung auch in Art. 16 Abs. 2 AEUV vorgesehen ist, die wirksame und zuverlässige Kontrolle der Einhaltung der Regeln zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten sicherstellen und ist im Licht dieses Zwecks auszulegen. Die Errichtung einer unabhängigen Kontrollstelle stellt daher ein wesentliches Element zur Wahrung des Schutzes der Personen bei der Verarbeitung personenbezogener Daten dar (Urteile vom 9. März 2010, Kommission/Deutschland, C-518/07, EU:C:2010:125, Rn. 25, vom 8. April 2014, Kommission/Ungarn, C-288/12, EU:C:2014:237, Rn. 48, und vom 6. Oktober 2015, Schrems, C-362/14, EU:C:2015:650, Rn. 41).

Zum Schluß noch die Zusammenfassung

Folglich äußert sich der Gerichtshof (Große Kammer) gutachtlich wie folgt:

1.
Der Beschluss des Rates über den Abschluss des Abkommens zwischen Kanada und der Europäischen Union über die Übermittlung und Verarbeitung von Fluggastdatensätzen im Namen der Union ist auf Art. 16 Abs. 2 gemeinsam mit Art. 87 Abs. 2 Buchst. a AEUV zu stützen.

2.
Das Abkommen zwischen Kanada und der Europäischen Union über die Übermittlung und Verarbeitung von Fluggastdatensätzen ist nicht mit Art. 7, Art. 8, Art. 21 und Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union vereinbar, soweit es die Übermittlung sensibler Daten aus der Europäischen Union nach Kanada und die Verwendung und Speicherung solcher Daten nicht ausschließt.

3.
Das Abkommen zwischen Kanada und der Europäischen Union über die Übermittlung und Verarbeitung von Fluggastdatensätzen muss, um mit Art. 7, Art. 8 und Art. 52 Abs. 1 der Charta der Grundrechte vereinbar zu sein,

a)
die aus der Europäischen Union nach Kanada zu übermittelnden Fluggastdatensätze klar und präzise definieren,

b)
vorsehen, dass die im Rahmen der automatisierten Verarbeitung von Fluggastdatensätzen verwendeten Modelle und Kriterien spezifisch und zuverlässig sowie nicht diskriminierend sind und dass nur Datenbanken verwendet werden, die von Kanada im Zusammenhang mit der Bekämpfung des Terrorismus und grenzübergreifender schwerer Kriminalität betrieben werden,

c)
außer im Rahmen der Überprüfungen der im Voraus festgelegten Modelle und Kriterien, auf denen die automatisierte Verarbeitung der Fluggastdatensätze beruht, die Verwendung von Fluggastdatensätzen durch die zuständige kanadische Behörde während des Aufenthalts der Fluggäste in Kanada und nach ihrer Ausreise aus diesem Land sowie jede Weitergabe der Daten an andere Behörden materiell- und verfahrensrechtlichen Voraussetzungen unterwerfen, die sich auf objektive Kriterien stützen, sowie diese Verwendung und Weitergabe – außer in hinreichend begründeten Eilfällen – einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle unterwerfen, wobei die Entscheidung, mit der die Verwendung genehmigt wird, im Anschluss an einen mit Gründen versehenen Antrag ergeht, der von den zuständigen Behörden insbesondere im Rahmen von Verfahren zur Verhütung, Aufdeckung oder Verfolgung von Straftaten gestellt wird,

d)
die Speicherung von Fluggastdatensätzen nach der Ausreise der Fluggäste auf die Daten von Fluggästen beschränken, für die objektive Anhaltspunkte dafür vorliegen, dass von ihnen eine Gefahr im Zusammenhang mit der Bekämpfung des Terrorismus und grenzübergreifender schwerer Kriminalität ausgehen könnte,

e)
die Weitergabe von Fluggastdatensätzen durch die zuständige kanadische Behörde an Behörden eines Drittlands davon abhängig machen, dass es ein Abkommen zwischen der Europäischen Union und dem betreffenden Drittland, das dem Abkommen zwischen Kanada und der Europäischen Union über die Übermittlung und Verarbeitung von Fluggastdatensätzen äquivalent ist, oder einen Beschluss der Kommission gemäß Art. 25 Abs. 6 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr gibt, der sich auf die Behörden erstreckt, an die Fluggastdatensätze weitergegeben werden sollen,

f)
ein Recht auf individuelle Information der Fluggäste im Fall der Verwendung der sie betreffenden Fluggastdatensätze während ihres Aufenthalts in Kanada und nach ihrer Ausreise aus diesem Land und im Fall der Weitergabe dieser Daten durch die zuständige kanadische Behörde an eine andere Behörde oder an Einzelpersonen vorsehen und

g)
gewährleisten, dass die Kontrolle der Einhaltung der Regeln des Abkommens zwischen Kanada und der Europäischen Union über die Übermittlung und Verarbeitung von Fluggastdatensätzen für den Schutz der Fluggäste bei der Verarbeitung der sie betreffenden Fluggastdatensätze durch eine unabhängige Kontrollstelle sichergestellt wird.