Aufsichtsbehörden dürfen durch Gerichtsverfahren überprüft werden
Weil er an Demonstrationen teilgenommen hatte, war einem Belgier eine beruflich benötigte Sicherheitsbescheinigung von der zuständigen Sicherheitsbehörde verweigert worden. Auch die zuständige Datenschutzbehörde nahm lediglich Einsicht in die Akten und erteilte dem Mann die Auskunft, dass eine Prüfung vorgenommen worden sei. Laut belgischem Recht ist diese Entscheidung nicht anfechtbar, was jedoch geltendem EU-Recht nach der Richtlinie für Justiz und Inneres widerspricht. Der Europäische Gerichtshof entschied vor dem Hintergrund dieses Falls am 16. November 2023, dass Betroffenen das Recht zusteht, gegen die Verweigerung einer Auskunft seitens Sicherheitsbehörden gerichtlich vorzugehen.
Datenschutzbehörde darf prüfen
Bürger:innen haben grundsätzlich das Recht, Auskunft über alle Daten zu erhalten, die über sie gespeichert werden. Auch Betroffene von Überwachungsmaßnahmen müssen darüber informiert werden, dass sie überwacht worden sind. So sieht es geltendes EU-Recht nach der Richtlinie für Justiz und Inneres (JI-Richtlinie) vor. Sie haben das Recht, sich Auskunft über die gespeicherten Daten erteilen und gegebenenfalls Berichtigungen oder Löschung vornehmen zu lassen. Wenn die Polizei oder eine andere Sicherheitsbehörde personenbezogene Daten sammelt, zum Beispiel in einem laufenden Ermittlungsverfahren, kann es allerdings passieren, dass die Auskunft verweigert wird, um das Verfahren nicht zu gefährden. In dem Fall haben Betroffene die Möglichkeit, sich an die zuständige Datenschutzaufsichtsbehörde zu wenden, um im Rahmen eines sogenannten Ersatzauskunftsverfahrens die Entscheidung der Sicherheitsbehörde überprüfen zu lassen.
Die Sicherheitsbehörden müssen stets dokumentieren, warum sie eine Auskunft verweigern. Und diese Dokumentation dürfen Datenschutzaufsichtsbehörden uneingeschränkt einsehen. Das heißt zwar nicht, dass sie die Informationen an eine betroffene Person ohne Wenn und Aber weitergeben dürfen, aber Datenschutzbehörden sind ermächtigt zu prüfen, ob die Verweigerung der Auskunft rechtmäßig ist. Nach der Prüfung muss die Datenschutzbehörde im vertraulichen Dialog mit der Sicherheitsbehörde klären, welche Informationen an die Person weitergeleitet werden dürfen. Manchmal wird daher auch der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Auskünfte gegenüber der betroffenen Person einschränken müssen, um selbst nicht Verfahren von Polizei und Staatsanwaltschaft zu gefährden.
In seinem Urteil unterscheidet der EuGH zwischen einer Minimalauskunft, in der nur mitgeteilt wird, dass alles geprüft wurde, und einer weiterreichenden Auskunft. Im Hamburgischen Gesetz über die Datenverarbeitung der Polizei (PolDVG) wird bisher die Minimallösung als Maximallösung dargestellt, was bedeutet, dass eine umfassendere Auskunft nicht vorgesehen ist. Nach dem neuen Urteil ist aber klar: Der HmbBfDI muss die Möglichkeit bekommen, über diese Mindestangaben hinaus Auskunft zu erteilen. Dazu ist eine Gesetzesänderung notwendig.
Entscheidungen von Aufsichtsbehörden anfechtbar
Nach dem nun ergangenen EuGH-Urteil können sich Betroffene sowohl gegen die Entscheidung der Sicherheitsbehörde als auch gegen die der Aufsichtsbehörde wehren und beim zuständigen Gericht klagen. Wenn Betroffene begründete Zweifel an der rechtmäßigen Auskunftsverweigerung einer Sicherheitsbehörde haben, sollten sie die Fristen für die Klage gegen die falsch oder unvollständig erteilte Auskunft im Auge behalten. Da die Fristzeit durch eine Anfrage bei der zuständigen Datenschutzbehörde nicht pausiert, sollte man sich dann parallel kompetent anwaltlich beraten lassen und bereits gerichtlich gegen die Entscheidung der Sicherheitsbehörde vorgehen. Die Frist beträgt entweder einen Monat oder ein Jahr – je nachdem, ob die Sicherheitsbehörde ordnungsgemäß über die Frist belehrt.
Eine ausführliche Einordnung des Urteils durch den HmbBfDI finden Sie hier.
Das EuGH-Urteil vom 16. November 2023, Rs. C-333/22 in voller Länge.
