ECLI:EU:C:2026:837•Schlussanträge der Generalanwältin L. Medina vom 8. Oktober 2026.###
Schlussanträge der Generalanwältin L. Medina vom 8. Oktober 2026.###
ECLI:EU:C:2026:837Eu Cjeu8 de out. de 2026
Texto completo
Vorläufige Fassung
SCHLUSSANTRÄGE DER GENERALANWÄLTIN
LAILA MEDINA
vom 8. Oktober 2026(1)
Rechtssache C‑222/25
X
gegen
Rahapesu Andmebüroo,
Beteiligte:
Andmekaitse Inspektsioon
(Vorabentscheidungsersuchen des Riigikohus [Oberstes Gericht, Estland])
„ Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 2 Abs. 2 Buchst. d – Richtlinie (EU) 2016/680 – Art. 1 Abs. 1 – Anwendungsbereich – Begriff ‚zuständige Behörde‘ – Richtlinie (EU) 2015/849 – Verhinderung der Nutzung des Finanzsystems zum Zweck der Geldwäsche und der Terrorismusfinanzierung – Zentrale Meldestellen – Verarbeitung im Zusammenhang mit dem Verdacht auf Geldwäsche ausgetauschter personenbezogener Daten – Recht der betroffenen Person auf Auskunft – Durch eine Gesetzgebungsmaßnahme vorgesehene Einschränkung – Mittelbarer Zugang über eine Aufsichtsbehörde “
I. Einleitung
1. Straftaten, Erträge aus Straftaten und illegale Finanzströme kennen keine Grenzen. Die Europäische Union hat in den letzten Jahrzehnten einen soliden Rahmen zur Verhinderung und Bekämpfung von Geldwäsche sowie zur Bekämpfung der Terrorismusfinanzierung entwickelt. Dieser Rahmen wird im Einklang mit den auf internationaler Ebene unternommenen Anstrengungen in diesem Bereich und insbesondere mit den Empfehlungen der Arbeitsgruppe „Finanzielle Maßnahmen gegen die Geldwäsche“ (Financial Action Task Force; im Folgenden: FATF)(2) sowie den Instrumenten anderer internationaler Gremien, die im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung tätig sind, ständig weiterentwickelt(3). Finanzermittlungen und der Austausch von Finanzinformationen bilden den Eckpfeiler dieser Bemühungen. Die im Bereich der Finanzermittlungen zuständigen nationalen Behörden, die zentralen Meldestellen, sind ein wesentlicher Bestandteil des internationalen und unionsrechtlichen Rahmens zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung(4).
2. Im Rahmen ihrer Hauptaufgabe, Finanzinformationen zu erheben, zu analysieren und weiterzugeben, verarbeiten die zentralen Meldestellen eine große Menge personenbezogener Daten. Trotz ihrer weitreichenden Befugnisse und der Menge der von ihnen verarbeiteten Daten ist die für sie geltende Datenschutzregelung bislang noch nicht vollständig geklärt. Die vorliegende Rechtssache gibt dem Gerichtshof erstmals die Gelegenheit, sich eingehend mit dem Status der zentralen Meldestellen, der für sie geltenden Datenschutzregelung und den Voraussetzungen für die Beschränkung des Rechts der betroffenen Personen auf Auskunft über die bei den zentralen Meldestellen gespeicherten personenbezogenen Daten zu befassen.
II. Sachverhalt, nationales Verfahren und Vorlagefragen
3. X reichte am 16. Dezember 2019 und am 27. Dezember 2019 beim Rahapesu Andmebüroo (Geldwäsche-Meldestelle, Estland; im Folgenden: RAB) zwei gesonderte Auskunftsersuchen ein, mit denen er um Klärung ersuchte, ob ihn betreffende Informationen an estnische oder ausländische Kreditinstitute oder an ausländische Behörden weitergeleitet oder ob entsprechende Anfragen durch diese gestellt worden waren.
4. Am 20. Dezember 2019 bzw. am 6. Januar 2020 wies das RAB diese beiden Auskunftsersuchen mit der Begründung zurück, dass es gemäß § 60 Abs. 1 Rahapesu ja terrorismi rahastamise tõkestamise seadus (Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung) vom 26. Oktober 2017 (RT I, 17.11.2017, 2; im Folgenden: RahaPTS)(5) und gemäß § 23 Abs. 1 Nr. 1 Avaliku teabe seadus (Gesetz über öffentliche Informationen) vom 15. November 2000 (RT I 2000, 92, 597; im Folgenden: AvTS)(6) keine Daten, die in Erfüllung seiner Aufgaben erhoben worden seien, oder Informationen über das Vorhandensein oder einen Austausch solcher Daten herausgeben könne. Auf das nachfolgende Ersuchen von X, den Grund für die Zugangsbeschränkung näher zu erläutern, wiederholte das RAB, dass es auf der Grundlage von § 60 Abs. 1 RahaPTS weder das Vorliegen der verlangten Informationen bestätigen noch Informationen offenlegen könne.
5. Das Tallinna Halduskohus (Verwaltungsgericht Tallinn, Estland) und nachfolgend das Tallina Ringkonnakohus (Berufungsgericht Tallinn, Estland) wiesen die von X gegen die Zurückweisung seiner Ersuchen erhobene Klage ab. Beide Urteile wurden durch das Riigikohus (Oberstes Gericht, Estland) aufgehoben, das das RAB mit Urteil vom 24. März 2022 verpflichtete, eine neue Entscheidung über die Ersuchen von X zu erlassen.
6. In diesem Urteil hat das Riigikohus (Oberstes Gericht) entschieden, dass Art. 41 der Richtlinie (EU) 2015/849(7) und – außerhalb von Strafverfahren – die Verordnung (EU) 2016/679(8) auf das Recht von X auf Auskunft über die ihn betreffenden Daten anwendbar seien.
7. Auch sehe § 60 Abs. 1 RahaPTS als solcher keine Beschränkung der Rechte der betroffenen Person vor, sondern verleihe dem Leiter der RAB die Befugnis, den Zugang zu Informationen zu beschränken, indem er sie zu Informationen für den internen Gebrauch erkläre. Im vorliegenden Fall wurde eine solche Entscheidung jedoch nicht getroffen.
8. X richtete zwischenzeitlich ein drittes Auskunftsersuchen an das RAB, um festzustellen, ob das RAB eine Ermittlungsakte über ihn eröffnet und ob es Anfragen an die Vereinigten Staaten von Amerika gestellt hatte; auch dieses wurde vom RAB zurückgewiesen.
9. X reichte eine Verwaltungsbeschwerde bei der Andmekaitse Inspektsioon (Datenschutzaufsichtsbehörde, Estland; im Folgenden: AKI) ein. Die AKI gab der Verwaltungsbeschwerde statt und verpflichtete das RAB, das Auskunftsersuchen erneut zu prüfen. Am 17. Februar 2022 wies das RAB das Auskunftsersuchen wieder zurück, woraufhin X eine erneute Verwaltungsbeschwerde bei der AKI einreichte.
10. Mit Entscheidung vom 18. April 2022 erließ die AKI eine einstweilige Anordnung, mit der sie das RAB verpflichtete, die verlangten Informationen herauszugeben, da die Rechte der betroffenen Person nicht nach § 60 Abs. 1 RahaPTS beschränkt werden könnten.
11. Der Leiter des RAB erließ am 22. April 2022 auf der Grundlage von § 60 Abs. 1 Satz 2 RahaPTS eine Entscheidung, mit der er den Zugang von X mit der Begründung beschränkte, das RAB sei zum Schutz des estnischen Finanzsystems verpflichtet, die Vertraulichkeit der in der RAB-Datenbank enthaltenen Informationen zu wahren.
12. Am 13. Mai 2022 erließ der Leiter des RAB eine Verfügung, mit der der Zugang zu den in der RAB-Datenbank erfassten Daten rückwirkend eingeschränkt und die in den §§ 8 bis 17 der Verordnung Nr. 56 des Finanzministers vom 16. Dezember 2020 über die Rahapesu Andmebüroo andmekogu põhimäärus (Satzung der RAB-Datenbank)(9) aufgeführten Daten zu Informationen für den ausschließlich behördeninternen Gebrauch erklärt wurden.
13. Am 19. Mai 2022 erließ der Leiter des RAB eine Entscheidung, mit der er die Ablehnung des Auskunftsersuchens von X unter Verweis auf § 23 Abs. 1 Nr. 1 AvTS sowie auf die in der Entscheidung vom 22. April 2022 und in der Verfügung des Leiters des RAB festgelegten Zugangsbeschränkungen bekräftigte.
14. X focht die Entscheidungen vom 22. April 2022 und vom 19. Mai 2022 sowie die Verfügung des Leiters des RAB vor dem Tallinna Halduskohus (Verwaltungsgericht Tallinn) an. Das Tallinna Halduskohus (Verwaltungsgericht Tallinn) gab der Klage mit Urteil vom 19. Dezember 2022 statt. Es stellte fest, dass § 60 Abs. 1 RahaPTS mit Art. 23 DSGVO unvereinbar sei. In § 60 Abs. 1 RahaPTS sei insoweit nicht festgelegt, bei welchen Tätigkeiten des RAB personenbezogene Daten verarbeitet würden, aus welchen Gründen die Kenntnisnahme von der Verarbeitung personenbezogener Daten verweigert werde und wie lange die Beschränkung dauere. Die AKI verpflichtete das RAB daher, erneut über die Auskunftsersuchen von X zu entscheiden.
15. Das RAB legte Berufung zum Tallinna Ringkonnakohus (Berufungsgericht, Tallinn) ein, die mit Urteil vom 10. April 2024 zurückgewiesen wurde. Das Tallinna Ringkonnakohus (Berufungsgericht, Tallinn) bestätigte die Begründung des angefochtenen Urteils und wies darauf hin, dass § 60 Abs. 1 RahaPTS nicht klar und präzise sei und es den betroffenen Personen nicht ermögliche, die Dauer der Beschränkung zu bestimmen. Die in Rede stehenden Entscheidungen und die fragliche Verfügung des Leiters des RAB sähen eine absolute und zeitlich unbegrenzte Einschränkung des Rechts auf Auskunft dar, die nicht verhältnismäßig sei.
16. Das RAB legte gegen das Urteil des Tallinna Ringkonnakohus (Berufungsgericht, Tallinn) Kassationsbeschwerde zum Riigikohus (Oberstes Gericht), dem vorlegenden Gericht, ein.
17. Erstens ersucht das vorlegende Gericht den Gerichtshof um Klärung, welche Datenschutzregelung auf die vom RAB verarbeiteten Daten anwendbar ist, und zwar einerseits unter Berücksichtigung von Art. 41 der Richtlinie 2015/849, wonach eine Datenverarbeitung, die nach dieser Richtlinie durchgeführt wird, der DSGVO unterliegt, und andererseits unter Berücksichtigung des 40. Erwägungsgrunds der Richtlinie (EU) 2018/843(10), in dem es heißt, dass diese unbeschadet des Schutzes personenbezogener Daten gilt, die von den zuständigen Behörden nach Maßgabe der Richtlinie (EU) 2016/680 verarbeitet werden(11).
18. Es führt aus, dass vor dem Hintergrund des Urteils des Gerichtshofs in der Rechtssache La Quadrature du Net u. a. (Personenbezogene Daten und Bekämpfung der Nachahmung) der Umstand, dass das RAB keine Ermittlungsbehörde sei und keine Strafverfahren durchführe, für die Abgrenzung des Anwendungsbereichs der DSGVO von demjenigen der Richtlinie 2016/680 nicht notwendigerweise maßgeblich sein müsse(12).
19. Zweitens möchte das vorlegende Gericht wissen, ob das RAB auf der Grundlage von Art. 23 Abs. 2 Buchst. h DSGVO oder Art. 15 Abs. 3 der Richtlinie 2016/680 davon absehen darf, die Rechtsgrundlage für eine Verweigerung der Auskunft anzugeben. Insoweit fehle in der DSGVO ein Mechanismus für die mittelbare Ausübung der Rechte der betroffenen Person über eine zuständige Aufsichtsbehörde, wie er in Art. 17 Abs. 1 der Richtlinie 2016/680 vorgesehen sei.
20. Drittens betont das vorlegende Gericht, dass eine Einschränkung der Rechte der betroffenen Person durch eine Gesetzgebungsmaßnahme zwar unabhängig davon erlaubt sei, ob im konkreten Fall die DSGVO oder die Richtlinie 2016/680 Anwendung finde, doch müsse die betreffende Gesetzgebungsmaßnahme dem Erfordernis der Klarheit und Präzision genügen sowie vorhersehbar sein.
21. § 60 Abs. 1 RahaPTS enthalte weder ausdrücklich die Voraussetzungen, unter denen der Leiter des RAB die Entscheidung, den Zugang zu Informationen zu beschränken, treffen könne, noch den sachlichen Umfang der Zugangsbeschränkung. Die Einschränkung der Rechte der betroffenen Person könne bis zum Ablauf der in § 26 der Satzung der RAB-Datenbank festgelegten Speicherfristen (in der Regel 15 Jahre) andauern. Danach habe die betroffene Person keine Möglichkeit mehr, Auskunft über die sie betreffenden Daten zu erhalten, da diese nach Ablauf dieser Frist gelöscht würden.
22. Überdies lasse sich der Zweck der Zugangsbeschränkung nach § 60 Abs. 1 Satz 2 RahaPTS nur durch Auslegung der Vorschrift in Verbindung mit anderen Vorschriften desselben Gesetzes und den Rechtsakten zur Verhinderung der Geldwäsche und der Terrorismusfinanzierung ermitteln.
23. Schließlich fragt das vorlegende Gericht, ob Art. 23 DSGVO und Art. 15 der Richtlinie 2016/680 einer nationalen Regelung entgegenstünden, die die Ausübung des Auskunftsrechts über die persönlichen Daten bis zur Vernichtung der Daten in vollem Umfang einschränke.
24. Unter diesen Umständen hat das Riigikohus (Oberstes Gericht) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:
1. Sind Art. 2 Abs. 2 Buchst. d DSGVO und Art. 2 Abs. 1 in Verbindung mit Art. 1 der Richtlinie 2016/680 dahin auszulegen, dass die mögliche Verarbeitung personenbezogener Daten durch eine zentrale Meldestelle eine Verarbeitung personenbezogener Daten durch die zuständige Behörde zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, darstellen kann, auch wenn es sich bei der zentralen Meldestelle nicht um eine Ermittlungsbehörde im Sinne der Strafprozessordnung handelt?
2. Sind Art. 23 Abs. 2 Buchst. h DSGVO und Art. 15 Abs. 3 der Richtlinie 2016/680 dahin auszulegen, dass einer betroffenen Person in einem Verwaltungs- oder Gerichtsverfahren auch die Bekanntgabe des Rechtsakts verweigert werden darf, auf dessen Grundlage ihr die Auskunft über sie betreffende personenbezogene Daten verweigert wurde, um zu verhindern, dass die Tatsache der Verarbeitung sie betreffender personenbezogener Daten bestätigt oder widerlegt wird, wenn die betroffene Person keine Kenntnis davon hat, ob eine solche Verarbeitung stattgefunden hat oder nicht, und darf gegenüber der betroffenen Person in einem solchen Fall auch die Auskunft unterlassen werden, ob sie die Möglichkeit hat, die in Art. 17 Abs. 1 der Richtlinie 2016/680 vorgesehene Maßnahme in Anspruch zu nehmen?
3. Ist Art. 15 der Richtlinie 2016/680 bzw. Art. 23 DSGVO dahin auszulegen, dass damit eine nationale Regelung vereinbar ist, die dem Leiter einer zentralen Meldestelle die Befugnis verleiht, die Rechte der betroffenen Person einzuschränken, und bei der der Zweck, die Voraussetzungen sowie der zeitliche und räumliche Umfang der Einschränkung der Rechte der betroffenen Person in Verbindung mit anderen, darunter auch nachrangigen Rechtsvorschriften, zum Ausdruck gebracht werden?
4. Ist Art. 15 der Richtlinie 2016/680 bzw. Art. 23 DSGVO dahin auszulegen, dass damit eine nationale Regelung vereinbar ist, die die Ausübung des in Art. 14 der Richtlinie 2016/680 bzw. Art. 15 DSGVO vorgesehenen Rechts bis zur Vernichtung der Daten in vollem Umfang einschränkt, so dass es der betroffenen Person unmöglich ist, jemals Auskunft über diese Daten zu erhalten?
25. Der Kläger des Ausgangsverfahrens, die Republik Estland, das Königreich Spanien, die Republik Finnland und die Europäische Kommission haben schriftliche Erklärungen eingereicht. Die Republik Estland, das Königreich Spanien, die Französische Republik, die Republik Lettland, das Großherzogtum Luxemburg, das Königreich der Niederlande, die Republik Finnland und die Kommission haben an der mündlichen Verhandlung vom 3. Juni 2026 teilgenommen und die vom Gerichtshof zur mündlichen Beantwortung gestellten Fragen beantwortet.
III. Würdigung
A. Erste Frage (Datenschutzrahmen der Union für zentrale Meldestellen)
26. Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 2 Abs. 2 Buchst. d DSGVO und Art. 2 Abs. 1 der Richtlinie 2016/680 in Verbindung mit deren Art. 1 Abs. 1 dahin auszulegen sind, dass die Verarbeitung personenbezogener Daten durch eine zentrale Meldestelle wie das RAB als eine Verarbeitung durch eine zuständige Behörde zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, angesehen werden kann, auch wenn es sich bei der zuständigen zentralen Meldestelle nicht um eine Ermittlungsbehörde im Sinne der Strafprozessordnung handelt.
27. Mit dieser Frage soll der für eine zentrale Meldestelle bei der Wahrnehmung der ihr im Rahmen der Bekämpfung von Geldwäsche und Terrorismusfinanzierung übertragenen Aufgaben geltende Rechtsrahmen der Union für den Datenschutz bestimmt werden. Diese Prüfung ist angesichts der Unterschiede zwischen der DSGVO und der Richtlinie 2016/680 von besonderer Bedeutung. Für die Zwecke der vorliegenden Rechtssache ist auf den unterschiedlichen Umfang der Einschränkungen der Rechte der betroffenen Person(13), auf die Aufgabe der Aufsichtsbehörde nach Art. 17 der Richtlinie 2016/680 bei der mittelbaren Ausübung der Rechte der betroffenen Person sowie auf die Unterschiede in der für die Übermittlung von Daten an Drittländer oder Organisationen geltenden Regelungen hinzuweisen(14).
28. Die zentrale Frage zur Bestimmung des anwendbaren Datenschutzrahmens lautet, ob die Datenverarbeitung durch eine zentrale Meldestelle wie das RAB als Verarbeitung durch eine „zuständige Behörde“ im Sinne der Richtlinie 2016/680 anzusehen ist. Wäre das der Fall, fiele die Datenverarbeitung durch das RAB nach Art. 2 Abs. 1 und Art. 1 Abs. 1 der Richtlinie 2016/680 in deren sachlichen Anwendungsbereich. Zur Erörterung dieser Frage werde ich zunächst einen kurzen Überblick über die Kriterien für die Abgrenzung des Anwendungsbereichs der DSGVO von demjenigen der Richtlinie 2016/680 geben. Sodann werde ich den Status, die Aufträge und die Aufgaben der zentralen Meldestellen prüfen, bevor ich zu einer Schlussfolgerung darüber gelange, welcher datenschutzrechtliche Rahmen auf die zentralen Meldestellen bei der Ausübung ihrer Kernaufträge im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung anwendbar ist.
1. Abgrenzung des Anwendungsbereichs der DSGVO von demjenigen der Richtlinie 2016/680
29. Das Grundrecht auf Schutz personenbezogener Daten ist in Art. 8 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) und in Art. 16 Abs. 1 AEUV verankert. Der Datenschutzrahmen der Union stützt sich auf drei Säulen: die DSGVO, die Richtlinie 2016/680 und die Verordnung (EU) 2018/1725(15), die für die Unionsorgane gilt.
30. Wie ihr Name nahelegt, sieht die DSGVO eine allgemeine und horizontale Datenschutzregelung vor(16). Art. 2 Abs. 2 DSGVO nennt vier Ausnahmen vom Anwendungsbereich dieser Verordnung, wie er in ihrem Art. 2 Abs. 1 definiert ist, die eng auszulegen sind(17).
31. Insbesondere schließt Art. 2 Abs. 2 Buchst. d DSGVO die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, vom Anwendungsbereich dieser Verordnung aus.
32. Hintergrund dieser Ausnahme ist, dass – wie aus dem 19. Erwägungsgrund der DSGVO hervorgeht – die solchen Zwecken dienende Verarbeitung personenbezogener Daten durch die zuständigen Behörden in einem speziellen Rechtsakt der Union geregelt wird, nämlich in der Richtlinie 2016/680, die am selben Tag wie die DSGVO angenommen wurde(18).
33. Der Anwendungsbereich der Richtlinie 2016/680, wie er in deren Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 festgelegt ist, bestimmt sich nach der Person oder dem Akteur, die bzw. der die Verarbeitung durchführt, sowie nach den Zwecken der Verarbeitung(19). Bei der Person, die den Vorgang durchführt, muss es sich um eine „zuständige Behörde“ im Sinne von Art. 3 Nr. 7 der Richtlinie 2016/680 handeln. Die Zwecke des Verarbeitungsvorgangs umfassen die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten und die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.
34. Im zehnten Erwägungsgrund der Richtlinie 2016/680 heißt es, dass der Begriff „zuständige Behörde“ im Zusammenhang mit dem Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit zu verstehen ist, unter Berücksichtigung der spezifischen Regelungen, die sich insoweit aufgrund der Besonderheiten dieser Bereiche als erforderlich erweisen können(20).
35. Der Begriff „zuständige Behörde“ ist in Art. 3 Nr. 7 der Richtlinie 2016/680 definiert.
36. Art. 3 Nr. 7 der Richtlinie 2016/680 sieht zwei Kategorien von zuständigen Behörden vor. Unter Buchst. a dieser Bestimmung wird der Ausdruck „zuständige Behörde“ definiert als „eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zuständig ist“. Diese Definition schließt staatliche Stellen wie die Justizbehörden, die Polizei oder andere Strafverfolgungsbehörden ein(21).
37. Art. 3 Nr. 7 Buchst. b erweitert die Definition der zuständigen Behörde auf „eine andere Stelle oder Einrichtung, der durch das Recht der Mitgliedstaaten die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, übertragen wurde“.
38. Die Definition der zuständigen Behörde ist auf Art. 2 Abs. 2 Buchst. d DSGVO und die durch diese Bestimmung vorgesehene Ausnahme für die Strafverfolgung entsprechend anzuwenden(22). Aus dem Wortlaut dieser Bestimmung geht eindeutig hervor, dass die beiden Anforderungen an die Zwecke des Verarbeitungsvorgangs und an die Person, die die Verarbeitung durchführt, gleichzeitig erfüllt sein müssen, damit die einschlägige Ausnahme zur Anwendung kommt(23).
39. Der Umstand, dass die Datenverarbeitung zum Zweck der Strafverfolgung durchgeführt wird, reicht daher für sich genommen nicht aus, um die Anwendung der DSGVO auszuschließen(24). Umgekehrt genügt der Umstand, dass eine zuständige Behörde Daten verarbeitet, nicht, um diese Behörde in den Anwendungsbereich der Richtlinie 2016/680 fallen zu lassen, wenn diese Verarbeitung in keinem Zusammenhang mit dem Zweck der Strafverfolgung steht(25).
40. Die Rechtsprechung des Gerichtshofs bietet aufschlussreiche Beispiele für die Abgrenzung des Anwendungsbereichs der beiden Rechtsinstrumente. Der Gerichtshof hat festgestellt, dass die zuständige lettische Behörde(26) bei der Ausübung von Tätigkeiten, die in der Übermittlung personenbezogener Daten über Strafpunkte an die Öffentlichkeit zu Zwecken der Straßenverkehrssicherheit bestehen, nicht als „zuständige Behörde“ im Sinne von Art. 3 Abs. 7 der Richtlinie 2016/680 angesehen werden kann. Eine solche Tätigkeit fällt daher in den sachlichen Anwendungsbereich der DSGVO(27). Ferner hat der Gerichtshof entschieden, dass die Steuerverwaltung, wenn sie Daten bei einem Wirtschaftsteilnehmer zum Zweck der Steuererhebung und der Bekämpfung von Steuerbetrug erhebt, nicht als „zuständige Behörde“ im Sinne von Art. 3 Abs. 7 der Richtlinie 2016/680 angesehen werden kann(28).
41. Hingegen war der Gerichtshof der Auffassung, dass die Verarbeitung von PNR-Daten durch die PNR-Zentralstelle – eine für die Verhütung, Aufdeckung, Ermittlung und Verfolgung terroristischer Straftaten und schwerer Kriminalität zuständige, durch die Richtlinie 2016/681(29) geschaffene Behörde –, die zum Zweck der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität erfolgt, unter die Richtlinie 2016/680 fällt(30).
42. Der Gerichtshof hat ferner entschieden, dass die Richtlinie 2016/680 auf die Verarbeitung von Daten durch die Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (für die Verbreitung von Werken und den Schutz von Rechten im Internet zuständige französische Behörde, im Folgenden: Hadopi) Anwendung findet, wenn diese Behörde im Rahmen des sogenannten Verfahrens der „abgestuften Reaktion“ Maßnahmen trifft, soweit diese Maßnahmen einen unmittelbar mit dem Gerichtsverfahren verbundenen vorstrafrechtlichen Charakter haben(31).
43. Nach dieser Rechtsprechung hängt die Anwendbarkeit der Richtlinie 2016/680 im Hinblick auf die Verbrechensverhütung nicht davon ab, ob es sich bei der betreffenden Behörde nach dem nationalen Strafrecht um eine Ermittlungsbehörde handelt. Die Anwendbarkeit der Richtlinie 2016/680 hängt von den konkreten Aufträgen und Aufgaben der betreffenden Behörde in der Kette der Verbrechensverhütung nach dem Rechtsakt ab, der die Verarbeitung von Daten durch diese Behörde zum Zwecke der Verbrechensverhütung regelt.
44. Vor dem Hintergrund der vorstehenden allgemeinen Erwägungen werde ich nun den Status, die Aufträge und die Aufgaben der zentralen Meldestellen im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung in der Rechtslandschaft prüfen und sodann beurteilen, ob sie die Kriterien für die Anwendung der Richtlinie 2016/680 erfüllen.
2. Zum Status, zu den Aufträgen und zu den Aufgaben der zentralen Meldestellen für die Bekämpfung von Geldwäsche und Terrorismusfinanzierung nach dem Unionsrecht
45. Die Verpflichtung der Mitgliedstaaten zur Einrichtung zentraler Meldestellen ist in Art. 32 Abs. 1 der Richtlinie 2015/849 (auch bekannt als vierte Geldwäscherichtlinie) festgelegt.
46. Allerdings bestanden zentrale Meldestellen schon lange, bevor sie in dieser Richtlinie förmlich anerkannt wurden(32). Der im Rahmen der früheren „dritten Säule“ erlassene Beschluss 2000/642/JI des Rates(33) über die polizeiliche und justizielle Zusammenarbeit in Strafsachen(34) sah in seinem Art. 1 Abs. 1 die Verpflichtung der Mitgliedstaaten vor, sicherzustellen, dass „die zentralen Meldestellen, die zur Entgegennahme von Finanzinformationen zum Zwecke der Bekämpfung der Geldwäsche eingerichtet oder benannt werden, bei der Zusammenstellung, Analyse und Prüfung einschlägiger Informationen innerhalb der zentralen Meldestellen über alle Tatsachen, die ein Indiz für eine Geldwäsche sein könnten, entsprechend ihren nationalen Befugnissen zusammenarbeiten“. Nach Art. 3 dieses Beschlusses hatten die Mitgliedstaaten dafür zu sorgen, dass die Wahrnehmung der Aufgaben der zentralen Meldestellen nicht „durch deren internen Status beeinträchtigt“ wurde, „gleich, ob es sich um Verwaltungs‑, Strafverfolgungs- oder Justizbehörden handelt“.
47. Die Rechtsstellung der zentralen Meldestellen ist von Mitgliedstaat zu Mitgliedstaat unterschiedlich(35). Die Ausgestaltung der zentralen Meldestellen wurde nicht harmonisiert, da die Mitgliedstaaten „in vollem Umfang dafür zuständig sind, zentrale Meldestellen einzurichten, und festzulegen, wie diese organisiert sind“(36).
48. Gleichwohl regelt die Richtlinie 2015/849 ein wesentliches Erfordernis, das unabhängig von dem durch jeden Mitgliedstaat gewählten Status der zentralen Meldestelle gilt. Die zentrale Meldestelle muss nach Art. 32 Abs. 3 der Richtlinie 2015/849 „unabhängig [arbeiten] und … eigenständig [sein]“, wobei davon ausgegangen wird, dass eine zentrale Meldestelle „über die Befugnis und die Fähigkeit verfüg[en sollte], ihre Aufgaben ungehindert wahrzunehmen, und in der Lage [sein sollte], unabhängige Entscheidungen zu treffen, ob bestimmte Informationen analysiert, angefordert und weitergegeben werden“.
49. Darüber hinaus sollte die Verschiedenheit der zentralen Meldestellen hinsichtlich ihres rechtlichen Status ihre Zusammenarbeit(37) und die Wirksamkeit des Informationsaustauschs zwischen den Strafvollstreckungs- und Strafverfolgungsbehörden und den zentralen Meldestellen nicht beeinträchtigen(38).
50. Der Kernauftrag einer zentralen Meldestelle(39) besteht nach Art. 32 Abs. 1 der Richtlinie 2015/849 darin, „Geldwäsche und Terrorismusfinanzierung zu verhüten, aufzudecken und wirksam zu bekämpfen“. Zu diesem Zweck stellt die zentrale Meldestelle nach Art. 32 Abs. 3 der Richtlinie 2015/849 die nationale zentrale Stelle dar, die dafür zuständig ist, Meldungen über verdächtige Transaktionen und sonstige Informationen, die im Hinblick auf Geldwäsche, damit zusammenhängende Vortaten oder Terrorismusfinanzierung von Belang sind, entgegenzunehmen(40) und zu analysieren. Es obliegt ihr außerdem, bei begründetem Verdacht auf Geldwäsche, damit zusammenhängende Vortaten oder Terrorismusfinanzierung die Ergebnisse ihrer Analysen und alle zusätzlichen relevanten Informationen an die zuständigen Behörden weiterzugeben.
51. Aus Art. 32 Abs. 4 der Richtlinie 2015/849 folgt, dass die zentralen Meldestellen bei der Wahrnehmung ihrer Aufträge und Aufgaben über umfassende Rechte auf Zugang zu Strafverfolgungsinformationen, „die sie zur ordnungsgemäßen Erfüllung ihrer Aufgaben benötigen“, verfügen(41).
52. Überdies sind die zentralen Meldestellen nach Art. 32 Abs. 7 der Richtlinie 2015/849 befugt, „im Falle des Verdachts, dass eine Transaktion mit Geldwäsche oder Terrorismusfinanzierung zusammenhängt, … Sofortmaßnahmen zu ergreifen, um die Zustimmung zu einer laufenden Transaktion zu versagen oder auszusetzen, damit sie die Transaktion analysieren, dem Verdacht nachgehen und die Ergebnisse der Analyse an die zuständigen Behörden weitergeben [können]“.
53. Die Aufträge, Aufgaben und Befugnisse der zentralen Meldestellen verdeutlichen ihre Bedeutung für die Aufdeckung und Verhütung von Verbrechen im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Die zentralen Meldestellen sind mit dem Auftrag betraut, Geldwäsche und Terrorismusfinanzierung sowohl zu verhüten als auch zu bekämpfen – wobei es sich um einen Auftrag im Bereich der Strafverfolgung handelt –, und sie arbeiten eng mit den zuständigen Vollstreckungsbehörden zusammen(42).
54. Die zentralen Meldestellen haben einen Status sui generis. Obwohl sie innerhalb des „weiteren Polizeibereichs“ tätig sind(43), müssen sie nicht notwendigerweise in den Polizeiapparat integriert sein. Ohne ihre Bedeutung für die Gewährleistung des reibungslosen Funktionierens des Finanzmarkts der Union (die den Rückgriff auf Art. 114 AEUV für den Erlass der Richtlinie 2015/849 rechtfertigt) in Abrede zu stellen, sei darauf hingewiesen, dass insbesondere die Rolle der zentralen Meldestellen beim Austausch von Finanzinformationen mit den Strafverfolgungsbehörden und Europol in einem auf Art. 87 Abs. 2 AEUV gestützten Instrument der polizeilichen Zusammenarbeit festgelegt ist, nämlich in der Richtlinie 2019/1153 (die den Beschluss 2000/642 ersetzt hat, ein früheres Instrument der „dritten Säule“).
55. Der Kernauftrag, die Kernaufgaben und die Kernbefugnisse der zentralen Meldestellen verdeutlichen, dass es sich bei der anwendbaren Regelung der Union für die Datenverarbeitung durch eine zentrale Meldestelle um eine Regelung handeln muss, die für die Zwecke der Strafverfolgung geeignet ist. Ich werde unten hierauf weiter eingehen.
3. Der auf die zentralen Meldestellen anwendbare Datenschutzrahmen
56. Alle Regierungen, die zu der Frage der auf zentrale Meldestellen anwendbaren Datenschutzregelung der Union in ihren schriftlichen Erklärungen oder in der mündlichen Verhandlung Stellung genommen haben(44), waren der Auffassung, dass die zentralen Meldestellen bei der Ausführung ihres Kernauftrags eine „zuständige Behörde“ im Sinne der Richtlinie 2016/680 seien. Sie vertreten insoweit im Wesentlichen einen funktionalen Ansatz für die Auslegung dieser Richtlinie, der sich auf die durch die zentralen Meldestellen ausgeführten Aufträge und Aufgaben konzentriert.
57. Zutreffend ist, dass die Verarbeitung personenbezogener Daten durch die zentralen Meldestellen bei der Wahrnehmung ihrer Kernaufträge und ‑aufgaben in den Anwendungsbereich der Richtlinie 2016/680 fällt.
58. Wie ich bereits dargelegt habe, betrifft der Kernauftrag der zentralen Meldestellen die Aufdeckung und Verhütung von Verbrechen im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Nach Art. 83 Abs. 1 AEUV zählen Terrorismus und Geldwäsche zu den Bereichen besonders schwerer Kriminalität, die eine grenzüberschreitende Dimension haben und für die der Unionsgesetzgeber Mindestvorschriften zur Festlegung von Straftaten und Strafen in Bereichen besonders schwerer Kriminalität festlegen kann(45). Bei der Wahrnehmung dieses Auftrags beteiligen sich die zentralen Meldestellen an der Verhütung und Aufdeckung der betreffenden Straftaten.
59. Wie bereits ausgeführt, verfügen die zentralen Meldestellen im Rahmen ihrer Aufträge über enge Verbindungen zu den Strafverfolgungsbehörden und zu Europol. Sie geben die Ergebnisse ihrer Analysen an die Strafverfolgungsbehörden weiter, gehen auf Auskunftsersuchen dieser Behörden ein, und haben zudem selbst Zugang zu den von ihnen benötigten Strafverfolgungsinformationen.
60. Die zentralen Meldestellen sind zwischen einerseits den Einrichtungen des privaten Sektors, die Meldepflichten im Hinblick auf die Bekämpfung von Geldwäsche unterliegen, nämlich den Verpflichteten, und andererseits den Strafverfolgungsbehörden positioniert. Jedoch ist ihre Rolle nicht darauf beschränkt, lediglich Informationen zu erhalten und weiterzuleiten. Der Mehrwert der zentralen Meldestellen liegt in ihrer Analyse von Informationen(46), was in der Kette der Verhütung von Straftaten von entscheidender Bedeutung ist. Angesichts ihrer Rolle in dieser Analyse und der Austausch- und Kommunikationskanäle, die ihnen zur Verfügung stehen, sind die zentralen Meldestellen, wie in der juristischen Literatur zutreffend beschrieben, die „Knotenpunkte der Finanzermittlung“(47) in der Europäischen Union und haben als solche eine zentrale Bedeutung im Gefüge der Bekämpfung von Geldwäsche und Terrorismusfinanzierung.
61. Sie befinden sich innerhalb des Systems zur Bekämpfung der Geldwäsche und Terrorismusfinanzierung an der Schnittstelle(48) zwischen der Verhütung einerseits und der Ermittlung und Strafverfolgung durch Strafverfolgungsbehörden andererseits. Der Kernauftrag der zentralen Meldestellen befindet sich, wie die lettische Regierung in der mündlichen Verhandlung vorgetragen hat, im ersten Abschnitt des Strafverfahrens. In demselben Sinn hat auch die luxemburgische Regierung zutreffend festgestellt, dass die zentralen Meldestellen eine „vorstrafrechtliche“ Aufgabe haben, die Teil eines „funktionellen Kontinuums“ ist, das zur Strafverfolgung führt.
62. In Anbetracht ihrer Rolle bei der Aufdeckung und Verhütung von Verbrechen zogen einige Regierungen, die an dem schriftlichen Verfahren und an der mündlichen Verhandlung teilnahmen, den Vergleich zu den Feststellungen des Gerichtshofs im Urteil La Quadrature du Net u. a. (Personenbezogene Daten und Bekämpfung der Nachahmung)(49) in Bezug auf die französische Behörde Hadopi. In dieser Rechtssache war der Gerichtshof – wie oben dargelegt(50) – der Ansicht, dass Hadopi, eine Verwaltungsstelle, die befugt ist, Maßnahmen zu treffen, die „vorstrafrechtlichen“ Charakter haben, als eine an der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung in Form grob fahrlässig begangener Übertretungen oder des Delikts der Nachahmung beteiligte „zuständige Behörde“ im Sinne von Art. 3 der Richtlinie 2016/680 einzustufen ist und daher in ihren in Art. 1 festgelegten Anwendungsbereich fällt(51). Das war der Fall, obwohl der Gerichtshof feststellte, dass Hadopi nach dem anwendbaren nationalen Recht „nicht über eigene Entscheidungsbefugnisse verfügt[e]“(52).
63. Wenn die Datenverarbeitung durch eine Verwaltungsstelle wie Hadopi in den Anwendungsbereich der Richtlinie 2016/680 fällt, sollte dies erst recht für eine zentrale Meldestelle gelten, eine Behörde, die unabhängig von ihrem Status nach nationalem Recht befugt ist, autonome Entscheidungen über die Analyse, Anforderung und Weitergabe von Finanzdaten zu treffen, und die über durch das Unionsrecht verliehene, weitreichende Befugnisse verfügt, die für die Aufdeckung und Verhütung von Verbrechen im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung erforderlich sind.
64. Die meisten Regierungen betonten – meines Erachtens zu Recht – die Ähnlichkeit der Aufträge der zentralen Meldestellen und der Aufträge der PNR-Zentralstellen(53), die der Gerichtshof im Urteil Ligue des droits humains(54) als „zuständige Behörden“ eingestuft hat, die in den Anwendungsbereich der Richtlinie 2016/680 fallen. Die Einstufung der PNR-Zentralstellen beruhte auf ihrer aus den Art. 4 und 7 der PNR-Richtlinie folgenden Zuständigkeit für die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von terroristischen Straftaten und schwerer Kriminalität. Diese PNR-Zentralstellen erheben Daten bei Fluggesellschaften, verarbeiten diese und übermitteln die Daten oder die Ergebnisse der Verarbeitung an die zuständigen Behörden. Sie sind zudem verantwortlich für den Austausch von PNR-Daten und der Ergebnisse dieser Verarbeitung mit den PNR-Zentralstellen anderer Mitgliedstaaten und mit Europol. Die PNR-Zentralstellen sind eindeutig der strafrechtlichen Sphäre zuzuordnen und in die Kette der Verbrechensverhütung und ‑aufdeckung eingegliedert.
65. Die Aufgabe der zentralen Meldestellen in der Kette der Verbrechensverhütung ähnelt der Aufgabe der PNR-Zentralstellen, da sie ebenfalls Informationen erhalten, analysieren und an die Strafverfolgungsbehörden weitergeben.
66. Die Rechtsprechung des Gerichtshofs lässt daher den Schluss zu, dass die Datenverarbeitung durch die zentralen Meldestellen zum Zweck der Verhütung von Verbrechen im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung in den Anwendungsbereich der Richtlinie 2016/680 fällt.
67. Die zentralen Meldestellen erfüllen ferner die Anforderungen an eine „zuständige Behörde“ im Sinne von Art. 3 Nr. 7 Buchst. a der Richtlinie 2016/680. Wie vorstehend dargelegt(55), umfasst diese Definition nicht nur die „traditionellen“ Justiz- oder Strafverfolgungsbehörden, sondern erstreckt sich auf „jede Behörde“ (Hervorhebung nur hier), die im Bereich der Strafverfolgung zuständig ist.
68. Die Einstufung einer zentralen Meldestelle als „zuständige Behörde“ nach Art. 3 Nr. 7 der Richtlinie 2016/680 sollte nicht von dem gewählten organisatorischen Modell (Strafverfolgung, gerichtlich, administrativ oder hybrid) abhängen, sondern von dem Auftrag und den Aufgaben, mit denen die zentrale Meldestelle betraut ist, sowie von den Befugnissen, die sie ausübt. Auch die Tatsache, dass eine zentrale Meldestelle wie das RAB keine Ermittlungsbehörde im Sinne der nationalen Strafprozessordnung ist, ist nicht ausschlaggebend(56).
69. Selbst wenn man – wie die luxemburgische Regierung – der Auffassung wäre, dass eine zentrale Meldestelle nicht unter Art. 3 Nr. 7 Buchst. a der Richtlinie 2016/680 fällt, sollte man davon ausgehen, dass sie jedenfalls unter Buchst. b dieser Bestimmung fällt, die für „eine andere Stelle oder Einrichtung“ gilt, die Aufträge im Bereich der Strafverfolgung wahrnimmt. Soweit eine private Einrichtung nach Art. 3 Nr. 7 Buchst. b der Richtlinie 2016/680 als „zuständige Behörde“ eingestuft werden kann, wenn sie durch das Recht eines Mitgliedstaats damit betraut ist, Strafverfolgungsbefugnisse auszuüben, sollte dies erst recht bei einer zentralen Meldestelle der Fall sein, die eine Behörde mit erheblichen Befugnissen im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung ist.
70. Daraus folgt, dass eine zentrale Meldestelle als „zuständige Behörde“ im Sinne von Art. 3 Nr. 7 der Richtlinie 2016/680 einzustufen ist, wenn sie ihre Kernaufträge im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung ausführt.
71. Das gilt unbeschadet der Anwendung der DSGVO, wenn die zentralen Meldestellen im Rahmen anderer ihnen durch das Recht eines Mitgliedstaats übertragener Aufträge Daten verarbeiten, die keine der in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Tätigkeiten betreffen. Aus Art. 9 Abs. 2 der Richtlinie 2016/680 folgt, dass für solche anderen Zwecke die DSGVO gelten soll. Die estnische Regierung hat vorgebracht, das RAB habe außerhalb des Finanzsektors eine Aufsichtsbefugnis und kontrolliere die Vollstreckung bestimmter finanzieller Sanktionen. Wenn eine zentrale Meldestelle daher Daten für Zwecke verarbeitet, die nicht ihren Kernauftrag im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung betreffen, fällt diese Verarbeitung in den Anwendungsbereich der DSGVO(57).
72. Gleichwohl ist die Kommission der Auffassung, dass die zentralen Meldestellen keine „zuständigen Behörden“ im Sinne der Richtlinie 2016/680 seien, sodass die Datenverarbeitung durch diese Behörden unter die DSGVO falle.
73. Sie ist insoweit der Ansicht, dass sich die Tätigkeit der zentralen Meldestellen auf die „administrative Vorbearbeitung“ der von ihnen erlangten Informationen beschränke. Nur die zuständigen Behörden, an die sie Informationen weitergäben, könnten Rückschlüsse auf den strafrechtlichen Charakter der betreffenden Tätigkeiten ziehen.
74. In Anbetracht der Aufträge, Aufgaben und Befugnisse der zentralen Meldestellen, die bereits ausführlich dargelegt worden sind, ist dieser Ansatz meines Erachtens nur schwer mit der zentralen Bedeutung der zentralen Meldestellen in der Kette der Verbrechensverhütung vereinbar. Die zentralen Meldestellen sind, wie ihr Name nahelegt, echte Knotenpunkte der Ermittlung und in der Lage, im Rahmen der Analyse der Informationen autonome Entscheidungen zu treffen. Die Befugnisse der zentralen Meldestellen, auf Strafverfolgungsinformationen zuzugreifen, die sie zur Erfüllung ihrer Aufgaben (nach Art. 32 Abs. 4 der Richtlinie 2015/849) benötigen, Informationen untereinander, mit den Strafverfolgungsbehörden und mit Europol auszutauschen sowie die Befugnis, die Zustimmung zu einer Transaktion zu versagen oder auszusetzen, deuten stark darauf hin, dass ihre Rolle nicht lediglich auf die administrative Vorbearbeitung beschränkt ist.
75. Die Tatsache, dass sich die zentralen Meldestellen in der Mitte der Kette zur Aufdeckung und Verhütung von Verbrechen befinden und dass sie Informationen an die zuständigen Behörden weitergeben, steht ihrer Einstufung als „zuständige Behörden“ nicht entgegen. Diese Einstufung hängt nämlich nicht von der genauen Platzierung der Behörde innerhalb der Strafverfolgungsstruktur ab, sondern von ihrem Auftrag und von ihren Aufgaben(58).
76. Das stärkste Argument der Kommission betrifft den Wortlaut von Art. 41 Abs. 1 der Richtlinie 2015/849, wonach für die Verarbeitung personenbezogener Daten nach dieser Richtlinie die DSGVO gilt. Die Kommission weist darauf hin, dass diese Bestimmung weit gefasst sei und alle Verarbeitungsvorgänge nach der Richtlinie 2015/849 erfasse, einschließlich der Verarbeitung durch die zentralen Meldestellen.
77. Indes ist Art. 41 Abs. 1 der Richtlinie 2015/849 – wie fast alle Regierungen, die schriftliche Erklärungen abgegeben haben und in der mündlichen Verhandlung anwesend waren, geltend gemacht haben(59) – unbeschadet der Anwendung der Richtlinie 2016/680 zu verstehen.
78. Der Unionsgesetzgeber hat ein umfassendes Regelwerk zum Datenschutz geschaffen, das in allen Bereichen des Unionsrechts einheitlich anzuwenden ist. Die DSGVO und die Richtlinie 2016/680 gelten beide in ihrem jeweiligen Anwendungsbereich. Mit anderen Worten ändert Art. 41 Abs. 1 der Richtlinie 2015/849 – wie die spanische Regierung in der mündlichen Verhandlung ausgeführt hat – nicht die Voraussetzungen für die Eröffnung der Anwendungsbereiche der DSGVO und der Richtlinie 2016/680.
79. Das wird durch den 42. Erwägungsgrund der Richtlinie 2015/849 bestätigt, wonach diese Richtlinie unbeschadet des Schutzes personenbezogener Daten, die im Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen verarbeitet werden, und den Rahmenbeschluss 2008/977/JI des Rates(60), Vorgänger der Richtlinie 2016/680, nicht berührt. Es ist darauf hinzuweisen, dass der Rahmenbeschluss, der durch die Richtlinie 2016/680 aufgehoben wurde, im Bereich der justiziellen und polizeilichen Zusammenarbeit einen begrenzten Anwendungsbereich hatte, da er nur die grenzüberschreitende Verarbeitung betraf.
80. Wie die französische Regierung in der mündlichen Verhandlung geltend gemacht hat, geht auch aus dem 22. Erwägungsgrund der Richtlinie 2016/680 hervor, dass der Unionsgesetzgeber nicht versucht hat, die Abgrenzungsregel zwischen der DSGVO und der Richtlinie 2016/680 im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung zu ändern. Dieser Erwägungsgrund nimmt auf eine Reihe von Behörden Bezug, gegenüber denen personenbezogene Daten aufgrund einer rechtlichen Verpflichtung für die Ausübung ihres offiziellen Auftrags offengelegt werden, und erklärt, dass die Verarbeitung personenbezogener Daten durch diese Behörden den für die Zwecke der Verarbeitung geltenden Datenschutzvorschriften entsprechen sollte.
81. Schließlich wird das Erfordernis, die Kohärenz zwischen der Richtlinie 2015/849 und dem bestehenden Unionsrechtsrahmen für den Datenschutz sicherzustellen, durch die Richtlinie 2024/1640 (die sechste Geldwäscherichtlinie) bestätigt, mit der die Richtlinie 2015/849 aufgehoben wird. In der Richtlinie 2024/1640 ist keine ausdrückliche Bestimmung über die anwendbare Datenschutzregelung mehr enthalten. Auch wenn es im 122. Erwägungsgrund heißt, dass für die Verarbeitung personenbezogener Daten für die Zwecke dieser Richtlinie die DSGVO gilt, wird darin zugleich auf die Anwendung der Richtlinie 2016/680 Bezug genommen.
82. Die Kommission äußerte die Befürchtung, dass eine Einordnung der zentralen Meldestellen als zuständige Behörden deren Unabhängigkeit gegenüber den zuständigen Behörden, an die sie die Informationen weitergäben, gefährden könne.
83. Es fällt mir schwer, die Bedenken der Kommission zu teilen. Die zentralen Meldestellen sind für die Zwecke der Bestimmung der anwendbaren unionsrechtlichen Datenschutzregelung als zuständige Behörden anzusehen. Diese Feststellung betrifft nicht ihre operative Unabhängigkeit und Autonomie, die unabhängig von ihrem Organisationsstatus gewährleistet sein muss, auch wenn die zentrale Meldestelle innerhalb einer bestehenden anderen Behördenstruktur angesiedelt ist(61).
84. Ein letztes Argument für die Anwendung der Richtlinie 2016/680 auf die zentralen Meldestellen bei der Wahrnehmung ihrer Aufträge und Aufgaben im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung ist die Notwendigkeit, die Möglichkeit einer mittelbaren Ausübung des Recht der betroffenen Personen auf Auskunft über die Aufsichtsbehörde nach Art. 17 dieser Richtlinie zu wahren. Wie ich in meiner Würdigung der vierten Vorlagefrage weiter ausführen werde, stellt die mittelbare Kontrolle über die Aufsichtsbehörde eine wichtige Schutzmaßnahme dar, mit der die Möglichkeit der vollständigen Einschränkung des Rechts auf Auskunft nach Art. 15 Abs. 1 der Richtlinie 2016/680 ausgeglichen wird.
85. Nach alledem sind Art. 2 Abs. 2 Buchst. d DSGVO und Art. 2 Abs. 1 der Richtlinie 2016/680 in Verbindung mit deren Art. 1 Abs. 1 dahin auszulegen, dass die Verarbeitung personenbezogener Daten durch eine zentrale Meldestelle – wie das RAB – bei der Wahrnehmung ihres Auftrags der Verhütung, Aufdeckung und Bekämpfung von Geldwäsche und Terrorismusfinanzierung sowie im Hinblick auf ihre Aufgaben und Befugnisse in diesem Bereich eine Verarbeitung durch eine zuständige Behörde im Sinne von Art. 3 Nr. 7 der Richtlinie 2016/680 darstellt, auch wenn es sich bei der betreffenden zentralen Meldestelle nicht um eine Ermittlungsbehörde im Sinne der nationalen Strafprozessordnung handelt. Die Verarbeitung dieser Daten fällt daher in den Anwendungsbereich der Richtlinie 2016/680.
86. In Anbetracht der Antwort auf die erste Frage, die ich dem Gerichtshof vorschlage, werde ich die übrigen Fragen zu den Einschränkungen des Rechts der betroffenen Person auf Auskunft auf der Grundlage der entsprechenden Bestimmungen der Richtlinie 2016/680 beantworten, ohne die DSGVO zu berücksichtigen.
B. Vierte Frage
87. Mit seiner vierten Frage, die als Zweites zu prüfen ist, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 der Richtlinie 2016/680 dahin auszulegen ist, dass er einer nationalen Vorschrift entgegensteht, die die Ausübung des Rechts der betroffenen Person auf Zugang zu den durch eine zentrale Meldestelle gespeicherten, sie betreffenden personenbezogenen Daten bis zur Vernichtung dieser Daten in vollem Umfang einschränkt, sodass es der betroffenen Person unmöglich ist, jemals Auskunft über diese Daten zu erhalten.
88. Art. 15 Abs. 1 der Richtlinie 2016/680 ermächtigt den nationalen Gesetzgeber, unter Berücksichtigung der Art der Zwecke, für die die unter diese Richtlinie fallende Datenverarbeitung erfolgt (und auf die insbesondere in ihrem zehnten Erwägungsgrund hingewiesen wird), Rechtsvorschriften zu erlassen, die das Recht der betroffenen Person auf Auskunft unter bestimmten Bedingungen beschränken. Das Recht auf Auskunft kann „teilweise oder vollständig“ eingeschränkt sein, „soweit und so lange wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der … natürlichen Person Rechnung getragen wird“, um eine Reihe von dem Gemeinwohl dienenden Zielsetzungen zu gewährleisten, die in den Buchst. a bis e dieser Bestimmung erschöpfend aufgeführt sind. Zu diesen Zielsetzungen gehören die Notwendigkeit der „Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden“, und der „Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten … nicht beeinträchtigt werden“.
89. Die Mitgliedstaaten sind nach Art. 15 Abs. 2 der Richtlinie 2016/680 befugt, Gesetzgebungsmaßnahmen zur Festlegung der Verarbeitungskategorien zu erlassen, für die diese Zwecke vollständig oder teilweise zur Anwendung kommen.
90. Art. 41 Abs. 4 der Richtlinie 2015/849 sieht eine besondere Verpflichtung der Mitgliedstaaten vor, das Recht der betroffenen Personen „[i]n Anwendung des Verbots der Informationsweitergabe gemäß Artikel 39 Absatz 1“ einzuschränken. Nach dieser Bestimmung haben die Mitgliedstaaten in Anwendung dieses Verbots Rechtsvorschriften zu erlassen, mit denen das Recht der betroffenen Person auf Auskunft unter den in dieser Bestimmung festgelegten Voraussetzungen „vollständig oder teilweise“ eingeschränkt wird. Diese Bedingungen stimmen im Wesentlichen mit denjenigen überein, die in Art. 15 Abs. 1 der Richtlinie 2016/680 festgelegt sind. Sie beziehen sich auf die Erforderlichkeit und die Verhältnismäßigkeit der teilweisen oder vollständigen Einschränkung sowie auf das Erfordernis, die in Art. 41 Abs. 4 der Richtlinie 2015/849 genannten Zielsetzungen sicherzustellen(62).
91. Das Offenlegungsverbot, auf das der Einleitungssatz von Art. 41 Abs. 4 der Richtlinie 2015/849 Bezug nimmt, betrifft die Verpflichteten, denen es untersagt ist, offenzulegen (oder, in der Sprache der FATF‑Empfehlung 21, „eine Vorwarnung auszusprechen“), dass eine Übermittlung von Informationen über eine verdächtige Transaktion an eine zentrale Meldestelle nach Art. 33 dieser Richtlinie gerade erfolgt, erfolgen wird oder erfolgt ist(63).
92. Die Bezugnahme auf das Offenlegungsverbot scheint darauf hinzuweisen, dass Art. 41 Abs. 4 der Richtlinie 2015/849 speziell die Einschränkungen des Rechts der betroffenen Personen auf Auskunft über die von den Verpflichteten gespeicherten Informationen sowie die Tatsache regelt, dass eine Übermittlung dieser Informationen an eine zentrale Meldestelle (oder an eine Selbstverwaltungseinrichtung) gerade erfolgt, erfolgen wird oder erfolgt ist. Was hingegen das Recht auf Zugang zu den durch eine zentrale Meldestelle gespeicherten Daten betrifft, so ist daran zu erinnern, dass diese Behörden Informationen nicht nur von Verpflichteten erhalten, sondern auch aus anderen Quellen (in- und ausländischen zuständigen Behörden, zentralen Meldestellen anderer Mitgliedstaaten sowie Europol), mit denen sie Informationen austauschen. Die zentralen Meldestellen erstellen auch Finanzdaten(64). Nach dem Erlass der Richtlinie 2016/680 und unter Berücksichtigung des weit gefassten Wortlauts der Auskunftsersuchen der betroffenen Person im Ausgangsverfahren erscheint es angemessener, die Einschränkungen des Rechts auf Auskunft vor dem Hintergrund von Art. 15 dieser Richtlinie zu untersuchen. Diese Bestimmung hat einen weit gefassten Anwendungsbereich und kann auf alle durch die zentralen Meldestellen gespeicherten Daten und Informationen angewandt werden(65).
93. Aus Art. 15 Abs. 1 der Richtlinie 2016/680 folgt, dass die Einschränkung des Rechts auf Auskunft, die die Mitgliedstaaten vorsehen dürfen, „vollständig“ sein kann. Diese vollständige (oder teilweise) Einschränkung muss jedoch den Grundsatz der Verhältnismäßigkeit wahren. Nach dieser Bestimmung kann die Gesetzgebungsmaßnahme, die das Recht der betroffenen Person auf Auskunft teilweise oder vollständig einschränkt, erlassen werden, „soweit und so lange wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird“. Jede Einschränkung muss daher in ihrer Tragweite und zeitlich auf das Erforderliche und Verhältnismäßige beschränkt sein(66).
94. Insoweit ist darauf hinzuweisen, dass das Recht auf Zugang zu den die eigene Person betreffenden personenbezogenen Daten in Art. 8 Abs. 2 der Charta verankert ist. Dieses Recht gilt nicht absolut, sondern es muss im Zusammenhang mit seiner gesellschaftlichen Funktion gesehen werden.
95. Nach Art. 52 Abs. 1 der Charta sind nämlich Einschränkungen der Ausübung dieser Rechte zulässig, sofern sie gesetzlich vorgesehen sind und den Wesensgehalt dieser Rechte achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit müssen sie erforderlich sein und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen(67).
96. Im Rahmen der Richtlinie 2015/849 ist die vollumfängliche Vertraulichkeit der Informationen eine wesentliche Voraussetzung für die Wirksamkeit des durch diese Richtlinie eingeführten Systems zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung(68). Überdies folgt aus dem 46. Erwägungsgrund dieser Richtlinie, dass der Zugang der betroffenen Person zu Informationen im Zusammenhang mit Verdachtsmeldungen die Wirksamkeit der Bekämpfung von Geldwäsche und Terrorismusfinanzierung erheblich beeinträchtigen würde. Die Informationen sind vertraulich und müssen dies entlang der gesamten Kette der Hauptakteure dieses Systems auch bleiben: der Verpflichteten, für die ein Offenlegungsverbot gilt, der zentralen Meldestellen, die vertrauliche Informationen sammeln und analysieren, und der Strafverfolgungsbehörden.
97. Alle Regierungen, die schriftliche Erklärungen abgegeben haben, haben in der mündlichen Verhandlung geltend gemacht, dass das Erfordernis der Vertraulichkeit ein inhärentes Merkmal des Systems zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung und für die Zusammenarbeit der zentralen Meldestellen wesentlich sei. Diese Regierungen haben die Sensibilität der von den zentralen Meldestellen gespeicherten Informationen hervorgehoben, wobei bereits die bloße Kenntnis darüber, dass Daten verarbeitet würden, die laufenden Analysen und Ermittlungen gefährden und die Verdächtigen in die Lage versetzen könne, die Herkunft der Gelder zu verschleiern.
98. Eine vollständige Einschränkung des Rechts auf Zugang zu den durch die zentralen Meldestellen gespeicherten Daten erscheint im Rahmen des Kernauftrags der zentralen Meldestellen daher erforderlich und geeignet, um die Ziele der Bekämpfung von Geldwäsche und Terrorismusfinanzierung zu erreichen.
99. Gleichwohl ist daran zu erinnern, dass die Verhältnismäßigkeit der Maßnahmen, aus denen sich ein Eingriff in die in Art. 8 der Charta garantierten Grundrechte ergibt, nach ständiger Rechtsprechung verlangt, dass nicht nur die Anforderungen an die Geeignetheit und Erforderlichkeit erfüllt sein müssen, sondern auch, dass diese Maßnahmen nicht außer Verhältnis zu der verfolgten Zielsetzung stehen(69). Insbesondere sind die Ausnahmen vom Schutz personenbezogener Daten und die Einschränkungen dieses Schutzes auf das absolut Erforderliche zu beschränken(70).
100. Konkret muss nach der Rechtsprechung des Gerichtshofs jede Regelung, die einen Eingriff in das Recht auf Schutz personenbezogener Daten bewirkt, nach dem Grundsatz der Verhältnismäßigkeit klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindestanforderungen aufstellen, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung ermöglichen(71). Die Regelung muss nach nationalem Recht bindend sein und insbesondere Angaben dazu enthalten, unter welchen Umständen und Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsieht, getroffen werden darf, damit gewährleistet ist, dass sich der Eingriff auf das absolut Notwendige beschränkt, um einen im öffentlichen Interesse liegenden Zweck nicht zu gefährden(72).
101. Nach dieser Rechtsprechung stellt eine absolute und voraussetzungslose Einschränkung des Rechts auf Zugang zu den von den zentralen Meldestellen gespeicherten Informationen, die keinerlei Umstände, Voraussetzungen oder Schutzmaßnahmen berücksichtigt, einen ungerechtfertigten Eingriff in das Recht auf Datenschutz dar, der nicht mit Art. 15 Abs. 1 der Richtlinie 2016/680 vereinbar ist. Ohne gesetzlich festgelegte Voraussetzungen oder Kriterien ist es weder der Aufsichtsbehörde noch dem zuständigen Gericht, das die gerichtliche Überprüfung der Entscheidung des Verantwortlichen durchführt, möglich, die Rechtmäßigkeit der auferlegten Einschränkung zu prüfen.
102. Auch ist darauf hinzuweisen, dass der Verantwortliche nach Art. 15 Abs. 4 der Richtlinie 2016/680 die sachlichen oder rechtlichen Gründe für die Entscheidung über die Verweigerung des Rechts auf Auskunft dokumentieren und diese Angaben der Aufsichtsbehörde zur Verfügung stellen muss. Die Pflicht des Verantwortlichen zur Dokumentation der Verweigerung des Rechts auf Auskunft gewährleistet die Rechenschaftspflicht des Verantwortlichen gegenüber der Aufsichtsbehörde und ermöglicht eine wirksame gerichtliche Überprüfung(73). Mit anderen Worten gibt die Möglichkeit des Verantwortlichen, den Zugang der betroffenen Person zu verweigern, dem Verantwortlichen (im vorliegenden Fall die zentrale Meldestelle) keine carte blanche.
103. Die Voraussetzungen der Erforderlichkeit und der Verhältnismäßigkeit, die sich aus Art. 52 Abs. 1 der Charta ergeben, müssen auch erfüllt sein, wenn die Mitgliedstaaten nach Art. 15 Abs. 2 der Richtlinie 2016/680 Verarbeitungskategorien festlegen, für die Einschränkungen nach Art. 15 Abs. 1 dieser Richtlinie gelten.
104. Im Hinblick auf die nationale Regelung im Ausgangsverfahren hat das vorlegende Gericht ausgeführt, dass diese eine absolute Einschränkung des Rechts auf Zugang für alle Einzelpersonen unter allen Umständen und bis zur Löschung der Daten vorsieht. Die Verfügung des Leiters des RAB, mit der der Zugang zu allen Daten in der RAB-Datenbank eingeschränkt wird, legt offenbar keinerlei konkrete Regelungen über die Tragweite und die Anwendung der Zugangsbeschränkung fest; auch stellt sie keine Mindestanforderungen auf, um den Missbrauchsrisiken vorzubeugen und um zu gewährleisten, dass die zentrale Meldestelle alle relevanten Einschränkungen nur insoweit anwendet, als sie unbedingt erforderlich sind. Wie die Kommission in ihren schriftlichen Erklärungen im Wesentlichen ausgeführt hat, müssen die Erforderlichkeit und die Verhältnismäßigkeit der Einschränkung des Rechts auf der Grundlage allgemeiner Kriterien gewährleistet werden, anhand derer jedes einzelne Auskunftsersuchen beurteilt werden kann.
105. Die estnische Regierung hat in der mündlichen Verhandlung vorgetragen, dass der nationale Rechtsrahmen keine absolute oder grundsätzliche Einschränkung vorsehe. Der Leiter des RAB verfüge bei der Beurteilung und Entscheidung über jeden Antrag auf Auskunft über ein Ermessen. Diese Befugnis werde beispielsweise ausgeübt, wenn eine Person bereits wisse, dass eine Untersuchung laufe, oder wenn das RAB entscheide, die Vermögenswerte dieser Person einzufrieren.
106. Es ist Sache des vorlegenden Gerichts, das für die Auslegung seines nationalen Rechts zuständig ist, zu prüfen, ob der nationale Rechtsrahmen Elemente enthält, die gewährleisten, dass die Einschränkung des Rechts auf Auskunft nur insoweit Anwendung findet, als sie unbedingt erforderlich ist, um den im öffentlichen Interesse liegenden Zweck, für den die Zugangsbeschränkung vorgesehen ist, nicht zu gefährden, und dass sie nicht willkürlich ist.
107. Allerdings wären, wie die Kommission in der mündlichen Verhandlung zutreffend ausgeführt hat, selbst wenn man davon ausginge, dass der Leiter des RAB über ein Ermessen verfügt, die Elemente und Kriterien, die den Rahmen dieses Ermessens festlegen, in der jeweiligen nationalen Maßnahme anzugeben. Diese Elemente lassen sich der Darstellung der einschlägigen nationalen Regelung jedoch nicht entnehmen.
108. Daher kann das nationale Recht zwar eine vollständige Einschränkung des Zugangs zu den durch die zentralen Meldestellen gespeicherten Daten festlegen, doch muss es klare und präzise Regeln für die Tragweite und die Voraussetzungen der betreffenden Maßnahme vorsehen und Mindestanforderungen aufstellen, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung durch die zentralen Meldestellen oder eine andere zuständige Behörde im System der Bekämpfung von Geldwäsche und Terrorismusfinanzierung ermöglichen(74).
109. Darüber hinaus muss jede vollständige Einschränkung des Zugangs der betroffenen Person durch den in Art. 17 der Richtlinie 2016/680 vorgesehenen Mechanismus ausgeglichen werden. Diese Bestimmung sieht die mittelbare Ausübung der Rechte der betroffenen Person über die Aufsichtsbehörde vor. Diese mittelbare Ausübung findet u. a. in dem in Art. 15 Abs. 3 der Richtlinie 2016/680 genannten Fall Anwendung, für den dem Verantwortlichen die Möglichkeit eingeräumt wird, die betroffene Person nicht über die Verweigerung oder Einschränkung des Zugangs sowie über die Gründe für die Verweigerung oder Einschränkung von Informationen zu unterrichten, wenn die Erteilung dieser Informationen einem der in Art. 15 Abs. 1 dieser Richtlinie genannten Zwecke des öffentlichen Interesses zuwiderliefe. Übt die Aufsichtsbehörde das Recht auf Zugang im Namen der betroffenen Person aus, muss sie die betroffene Person nach Art. 17 Abs. 3 zumindest darüber unterrichten, dass alle erforderlichen Prüfungen oder eine Überprüfung durch diese Behörde erfolgt sind.
110. Die Rechtsprechung des Gerichtshofs betont die Bedeutung der mittelbaren Ausübung der Rechte der betroffenen Person zur Sicherstellung eines angemessenen Gleichgewichts zwischen dem öffentlichen Interesse, das die Einschränkung des Rechts auf Zugang rechtfertigt, und den Grundrechten der betroffenen Person auf Datenschutz sowie auf einen wirksamen gerichtlichen Schutz nach Art. 47 der Charta. Im Urteil Ligue des droits humains (Prüfung der Datenverarbeitung durch die Aufsichtsbehörde) hat der Gerichtshof entschieden, dass, wie sich aus dem 48. Erwägungsgrund der Richtlinie 2016/680 ergibt, die mittelbare Ausübung der Rechte der betroffenen Person über die zuständige Aufsichtsbehörde zum Schutz dieser Rechte erforderlich ist, wenn sich die unmittelbare Ausübung gegenüber dem Verantwortlichen als schwierig oder sogar unmöglich erweist(75).
111. Im Hinblick auf die konkrete Rolle der Aufsichtsbehörde bei der Ausübung der mittelbaren Kontrolle dieser Rechte hat der Gerichtshof entschieden, dass diese Behörde in einen vertraulichen Dialog mit dem Verantwortlichen eintreten und am Ende des Dialogs entscheiden muss, welche Informationen die betroffene Person für die Ausübung ihres Rechts auf einen wirksamen gerichtlichen Rechtsbehelf benötigt(76).
112. Auch folgt aus der Rechtsprechung des Gerichtshofs, dass es im Rahmen der gerichtlichen Kontrolle der ordnungsgemäßen Anwendung von Art. 17 der Richtlinie 2016/680 den Mitgliedstaaten obliegt, Regeln vorzusehen, die es dem zuständigen Gericht ermöglichen, von allen Gründen und den entsprechenden Beweisen Kenntnis zu nehmen, auf die die Aufsichtsbehörde in diesem Rahmen die Prüfung der Rechtmäßigkeit der in Rede stehenden Datenverarbeitung und die daraus gezogenen Schlüsse gestützt hat(77). Die Angaben über die Gründe für die Entscheidung, die der Verantwortliche der Aufsichtsbehörde zur Verfügung gestellt hat, müssen auch dem Gericht zur Verfügung gestellt werden, das mit einem Rechtsbehelf gegen die Aufsichtsbehörde befasst ist(78).
113. Die estnische Regierung hat in der mündlichen Verhandlung ausgeführt, dass die nationale Aufsichtsbehörde die Befugnis habe, die Rechtmäßigkeit der Datenverarbeitung durch das RAB zu überprüfen. Es ist Sache des nationalen Gerichts, zu prüfen, ob das nationale Recht die ordnungsgemäße Anwendung von Art. 17 der Richtlinie 2016/680 sicherstellt.
114. In Anbetracht der vorstehenden Erwägungen ist Art. 15 der Richtlinie 2016/680 dahin auszulegen, dass er einer nationalen Vorschrift, die die Ausübung des Rechts der betroffenen Person auf Auskunft über die durch eine zentrale Meldestelle gespeicherten, sie betreffenden personenbezogenen Daten bis zur Vernichtung dieser Daten in vollem Umfang einschränkt, sodass es der betroffenen Person unmöglich ist, jemals Auskunft über diese Daten zu erhalten, entgegensteht, sofern die nationale Regelung offenbar keine klaren und präzisen Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsieht und Mindestanforderungen aufstellt, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung durch die betreffende zentrale Meldestelle ermöglichen.
C. Zweite Frage
115. Nach ständiger Rechtsprechung ist es im Rahmen des durch Art. 267 AEUV geschaffenen Verfahrens der Zusammenarbeit zwischen den nationalen Gerichten und dem Gerichtshof dessen Aufgabe, dem nationalen Gericht eine für die Entscheidung des bei ihm anhängigen Rechtsstreits sachdienliche Antwort zu geben. Hierzu hat er die ihm vorgelegten Fragen gegebenenfalls umzuformulieren(79).
116. In der vorliegenden Rechtssache möchte das vorlegende Gericht mit dem ersten Teil der zweiten Frage wissen, ob Art. 15 Abs. 3 der Richtlinie 2016/680 es einer zentralen Meldestelle gestattet, der betroffenen Person auch die Bekanntgabe des Rechtsakts zu verweigern, auf dessen Grundlage der betroffenen Person eine Auskunft über sie betreffende personenbezogene Daten verweigert wurde, um zu vermeiden, dass bestätigt oder widerlegt wird, dass sie betreffende personenbezogene Daten verarbeitet wurden.
117. Die Kommission hat in ihren schriftlichen Erklärungen die Zulässigkeit der zweiten Frage in Abrede gestellt. In der Verweigerung der Auskunft durch das RAB im Ausgangsverfahren sei die Rechtsgrundlage der Verweigerung, nämlich § 60 Abs. 1 RahaPTS und § 23 Abs. 1 Satz 1 AvTS, ausdrücklich benannt worden.
118. Die estnische Regierung hat in der mündlichen Verhandlung geltend gemacht, die Frage sei zulässig, während die niederländische Regierung der Auffassung war, die Annahme, dass die Offenlegung eines Verweigerungsgrundes zur Offenlegung der Tatsache führen könne, dass personenbezogene Daten verarbeitet worden seien, sei unzutreffend. Die Verweigerung des Auskunftsrechts erlaube jedenfalls die Verweigerung von Angaben darüber, ob Daten verarbeitet würden oder nicht.
119. In Anbetracht der Erläuterungen im Vorlagebeschluss, der in allgemeiner Weise auf die „Rechtsgrundlage“ der Einschränkung, aber auch auf die „tatsächlichen und rechtlichen Gründe“ für betroffene Personen beschwerende Entscheidungen Bezug nimmt, kann der erste Teil der zweiten Frage dahingehend verstanden werden, dass gefragt wird, ob eine zentrale Meldestelle die Bekanntgabe der Gründe für die Verweigerung ablehnen kann.
120. In Anwendung der in Nr. 115 der vorliegenden Schlussanträge angeführten Rechtsprechung sollte daher davon ausgegangen werden, dass das vorlegende Gericht mit seiner zweiten Frage im Wesentlichen wissen möchte, ob Art. 15 Abs. 3 der Richtlinie 2016/680 dahin auszulegen ist, dass er es einer zentralen Meldestelle gestattet, die Angabe der Gründe für die Verweigerung oder die Einschränkung abzulehnen, um zu vermeiden, dass bestätigt oder widerlegt wird, dass personenbezogene Daten der betroffenen Person verarbeitet wurden, und ob den betroffenen Personen in einem solchen Sachverhalt Informationen darüber verweigert werden dürfen, ob ihnen die Möglichkeit offensteht, ihre Auskunftsrechte gemäß Art. 17 Abs. 1 der Richtlinie 2016/680 über die Aufsichtsbehörde auszuüben.
121. Nach Art. 15 Abs. 3 der Richtlinie 2016/680 muss der Verantwortliche, wenn eine Einschränkung des Rechts der betroffenen Person auf Auskunft gilt(80), die betroffene Person unverzüglich schriftlich über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür unterrichten. Dies gilt jedoch nicht, wenn die Erteilung dieser Informationen einem im öffentlichen Interesse liegenden Zweck (gemäß Art. 15 Abs. 1 dieser Richtlinie) zuwiderliefe(81).
122. Aus dieser Bestimmung ergibt sich, dass es einer zentralen Meldestelle vorbehaltlich der in dieser Bestimmung genannten Voraussetzungen gestattet ist, eine Antwort der Art „weder bestätigen noch widerlegen“ zu erteilen und dabei keine Informationen zu der Frage zu erteilen, ob überhaupt eine Verarbeitung stattgefunden hat.
123. Jedoch folgt aus Art. 15 Abs. 3 der Richtlinie 2016/680, dass der Verantwortliche in einem solchen Fall verpflichtet ist, die betroffene Person über die Möglichkeit zu unterrichten, bei der Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen. Überdies ist der Verantwortliche nach Art. 17 Abs. 2 der Richtlinie 2016/680 verpflichtet, die betroffene Person über die Möglichkeit zu unterrichten, ihr Recht auf Befassung der Aufsichtsbehörde gemäß Art. 17 Abs. 1 auszuüben. Insoweit ist keine Ausnahme vorgesehen.
124. Dies ist auf die überragende Bedeutung des mittelbaren Auskunftsrechts über die Aufsichtsbehörde zurückzuführen. Wie bereits vorstehend im Rahmen der Würdigung der vierten Frage dargelegt(82), schafft das Vorhandensein dieses Rechts einen Ausgleich für die Verweigerung jeglicher Information über die Datenverarbeitung durch den Verantwortlichen. Ist die unmittelbare Ausübung des Rechts auf Auskunft schwierig oder unmöglich, ist die betroffene Person stets über die Möglichkeit der mittelbaren Ausübung der sie betreffenden Rechte in Kenntnis zu setzen. Darüber hinaus ist eine zentrale Meldestelle nicht von der Verpflichtung befreit, die Gründe, auf die die Auskunftsverweigerung gestützt wird, zu dokumentieren und diese Information den Aufsichtsbehörden nach Art. 15 Abs. 4 der Richtlinie 2016/680 zur Verfügung zu stellen(83).
125. In Anbetracht der vorstehenden Ausführungen ist Art. 15 Abs. 3 der Richtlinie 2016/680 dahin auszulegen, dass er es einer zentralen Meldestelle gestattet, die Angabe von Gründen für die Verweigerung oder die Einschränkung abzulehnen, um zu vermeiden, dass bestätigt oder widerlegt wird, dass personenbezogene Daten der betroffenen Person verarbeitet wurden. In einem solchen Fall müssen die betroffenen Personen jedoch stets über die Möglichkeit unterrichtet werden, ihr Auskunftsrecht gemäß Art. 17 Abs. 1 der Richtlinie 2016/680 über die Aufsichtsbehörde auszuüben.
D. Dritte Frage
126. Mit seiner dritten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 1 der Richtlinie 2016/680 dahin auszulegen ist, dass er einer nationalen Regelung entgegensteht, die dem Leiter einer zentralen Meldestelle die Befugnis verleiht, die Rechte der betroffenen Personen einzuschränken, wenn es zum Verständnis des Zwecks, der Voraussetzungen sowie des Umfangs dieser Einschränkung erforderlich ist, diese Bestimmung in Verbindung mit anderen, darunter auch nachrangigen, Rechtsvorschriften zu lesen.
127. Aus Art. 15 Abs. 1 der Richtlinie 2016/680 folgt, dass jede Einschränkung des Auskunftsrechts der betroffenen Personen den Erlass einer Gesetzgebungsmaßnahme durch die Mitgliedstaaten erfordert.
128. Aus dem 33. Erwägungsgrund dieser Richtlinie geht hervor, dass der Verweis auf eine Gesetzgebungsmaßnahme nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt erfordert. Allerdings muss die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme klar und präzise sein, und ihre Anwendung muss für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar sein. In diesem Erwägungsgrund heißt es ferner, dass im Recht der Mitgliedstaaten, das die Verarbeitung personenbezogener Daten regelt, zumindest die Ziele, die zu verarbeitenden personenbezogenen Daten, die Zwecke der Verarbeitung sowie Verfahren zur Wahrung von Integrität und Vertraulichkeit der personenbezogenen Daten und Verfahren für ihre Vernichtung angegeben werden sollten, um hinreichende Garantien gegen die Gefahr des Missbrauchs und der Willkür zu bieten.
129. Der Gerichtshof hat aus Art. 8 Abs. 2 der Charta, der seinerseits nur das Erfordernis nach Art. 52 der Charta widerspiegelt und konkretisiert, abgeleitet, dass jede Einschränkung der Ausübung der in der Charta anerkannten Grundrechte u. a. gesetzlich vorgesehen sein muss, was bedeutet, dass jede Rechtsgrundlage, die einen Eingriff in das Recht auf Schutz personenbezogener Daten erlaubt, den Umfang der Beschränkung der Ausübung dieses Rechts, zu der sie führen kann, selbst festlegen muss(84).
130. Darüber hinaus hat der Gerichtshof in Bezug auf das in Art. 52 der Charta aufgestellte Erfordernis entschieden, dass jeder Eingriff in das Recht auf Schutz personenbezogener Daten unter Wahrung des Grundsatzes der Verhältnismäßigkeit erfolgen muss, was voraussetzt, dass jede Regelung, die einen solchen Eingriff bewirkt, klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsieht und Mindestanforderungen aufstellt, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung ermöglichen(85).
131. Aus der Rechtsprechung des Gerichtshofs, das auf die gefestigte Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte verweist, geht hervor, dass die Wendung „gesetzlich vorgesehen“ in Art. 8 Abs. 2 der Charta im materiellen und nicht im formellen Sinn zu verstehen ist(86). Zudem folgt aus der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte, dass der Begriff „gesetzlich“ in der Wendung „gesetzlich vorgesehen“ in Art. 8 Abs. 2 EMRK nicht nur Gesetzgebungsakte meint, sondern auch nachrangige Rechtsvorschriften(87). Er verweist auf den geltenden Text in seiner Auslegung durch die zuständigen Gerichte(88).
132. Daher ist das in Art. 15 Abs. 1 der Richtlinie 2016/680 aufgestellte Erfordernis, wonach jede Einschränkung auf Gesetzgebungsmaßnahmen beruhen muss, weit zu verstehen, sodass es nicht nur dann erfüllt ist, wenn es eine einzige Gesetzgebungsmaßnahme gibt, die sämtliche Aspekte der Einschränkung des Zugangs zu einer bestimmten Kategorie von Daten regelt, wie beispielsweise die durch das RAB gespeicherten Daten. Der Begriff „Gesetzgebungsmaßnahmen“ kann einen Regelungskomplex einschließlich nachrangiger Rechtsvorschriften in ihrer Auslegung durch die zuständigen Gerichte erfassen.
133. Dies gilt jedoch nur unter der Voraussetzung, dass die betreffenden Gesetzgebungsmaßnahmen ein klares und präzises Verständnis der Tragweite der in ihnen vorgesehenen Einschränkung erlauben und dass die Anwendung dieser Maßnahmen für die Rechtsunterworfenen vorhersehbar ist. Die Anwendung einer nach der Richtlinie 2016/680 erlassenen Maßnahme ist für die Rechtsunterworfenen vorhersehbar, wenn diese in der Lage sind, die Umstände und Voraussetzungen zu erkennen, unter denen der Umfang der Rechte, die ihnen diese Richtlinie verleiht, eingeschränkt werden kann(89).
134. Im Ausgangsverfahren sehen mehrere Gesetzgebungsmaßnahmen Bestimmungen vor, die für die Ausübung des Rechts auf Auskunft von Bedeutung sind. § 60 Abs. 1 RahaPTS ermächtigt den Leiter des RAB, den Zugang zu den in der RAB-Datenbank gespeicherten Daten zu beschränken und diese Daten zu Informationen für den internen Gebrauch zu erklären. Die Verfügung des RAB vom 13. Mai 2022 sieht eine Einschränkung des Zugangs zu den Daten der RAB-Datenbank vor und erklärt sie zu Daten für den internen Gebrauch. § 23 Abs. 1 Satz 1 AvTS gestattet die Einschränkung des Zugangs zu Daten, wenn der Antragsteller keinen Anspruch auf Zugang zu diesen Daten hat.
135. Diese Bestimmungen scheinen sehr allgemein formuliert zu sein, ohne es den betroffenen Personen zu ermöglichen, die Voraussetzungen und Umstände, unter denen eine Einschränkung zulässig ist, sowie die Garantien zu erkennen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken und vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung dieser Daten ermöglichen(90).
136. Zutreffend ist, dass die interne Regelung des RAB bestimmte, für die Verarbeitung von Daten relevante Informationen enthält, nämlich die Benennung des für die Verarbeitung der Daten Verantwortlichen (das RAB), die Art der in die Datenbank eingegebenen Daten(91), die Geheimhaltungsstufe der Daten(92) und den Zeitraum, für den die eine Person betreffenden Daten in der Datenbank gespeichert werden(93).
137. Diese Elemente betreffen jedoch allgemeiner die Verarbeitung der Daten durch das RAB, ohne einen konkreten Bezug auf die Voraussetzungen und Umstände der Einschränkung des Rechts auf Auskunft und auf den Schutz vor Missbrauchsrisiken zu haben.
138. Die estnische Regierung hat in der mündlichen Verhandlung ausgeführt, dass der Leiter des RAB bei der Entscheidung, ob er Auskunft über die in der RAB-Datenbank gespeicherten Daten gewähre, über ein Ermessen verfüge und dass es Fälle gebe, in denen Auskunft erteilt werden könne. Indes scheint der einschlägige Rechtsrahmen – wie vorstehend bereits betont(94) – weder einen Rahmen für dieses Ermessen zu schaffen noch klare und präzise Voraussetzungen für die Einschränkung des Rechts auf Auskunft vorzusehen. Dies bestätigt die Schlussfolgerung, dass die einschlägigen nationalen Gesetzgebungsmaßnahmen den Vorgaben einer klaren und präzisen Regelung, deren Anwendung für die betroffene Person, die ihr Recht auf Auskunft ausüben möchte, vorhersehbar ist, zu genügen scheinen, was zu beurteilen jedoch Sache des vorlegenden Gerichts ist.
139. In Anbetracht der vorstehenden Ausführungen ist Art. 15 Abs. 1 der Richtlinie 2016/680 dahin auszulegen, dass er einer nationalen Regelung, die dem Leiter einer zentralen Meldestelle aufgrund einer allgemeinen Bestimmung die Befugnis verleiht, die Rechte der betroffenen Personen einzuschränken, nicht allein deshalb entgegensteht, weil es zum Verständnis des Zwecks, der Voraussetzungen sowie des Umfangs dieser Einschränkung erforderlich ist, diese Bestimmung in Verbindung mit anderen, darunter auch nachrangigen, Rechtsvorschriften zu lesen. Allerdings steht diese Bestimmung einer solchen nationalen Regelung entgegen, soweit diese keine klaren und präzisen Regeln für die Tragweite und die Voraussetzungen der Anwendung der betreffenden Maßnahme vorsieht, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung ermöglichen.
IV. Ergebnis
140. Nach alledem schlage ich dem Gerichtshof vor, die vom Riigikohus (Oberstes Gericht, Estland) zur Vorabentscheidung vorgelegten Fragen wie folgt zu beantworten:
1. Art. 2 Abs. 2 Buchst. d der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO) und Art. 2 Abs. 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates in Verbindung mit Art. 1 Abs. 1 dieser Richtlinie
sind dahin auszulegen, dass die Verarbeitung personenbezogener Daten durch eine zentrale Meldestelle – wie das RAB – bei der Wahrnehmung ihres Auftrags der Verhütung, Aufdeckung und Bekämpfung von Geldwäsche und Terrorismusfinanzierung sowie im Hinblick auf ihre Aufgaben und Befugnisse in diesem Bereich eine Verarbeitung durch eine zuständige Behörde im Sinne von Art. 3 Nr. 7 der Richtlinie 2016/680 darstellt, auch wenn es sich bei der betreffenden zentralen Meldestelle nicht um eine Ermittlungsbehörde im Sinne der nationalen Strafprozessordnung handelt. Die Verarbeitung dieser Daten fällt daher in den Anwendungsbereich der Richtlinie 2016/680.
2. Art. 15 der Richtlinie 2016/680
ist dahin auszulegen, dass er einer nationalen Vorschrift, in der eine vollumfängliche Einschränkung der Ausübung des Rechts der betroffenen Person auf Auskunft über die durch eine zentrale Meldestelle gespeicherten, sie betreffenden personenbezogenen Daten bis zur Vernichtung dieser Daten niedergelegt ist, sodass es der betroffenen Person unmöglich ist, jemals Auskunft über diese Daten zu erhalten, entgegensteht, sofern die nationale Regelung offenbar keine klaren und präzisen Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsieht und Mindestanforderungen aufstellt, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung durch die betreffende zentrale Meldestelle ermöglichen.
3. Art. 15 Abs. 3 der Richtlinie 2016/680
ist dahin auszulegen, dass er es einer zentralen Meldestelle gestattet, die Angabe von Gründen für die Verweigerung oder die Einschränkung abzulehnen, um zu vermeiden, dass bestätigt oder widerlegt wird, dass personenbezogene Daten der betroffenen Person verarbeitet wurden. In einem solchen Fall müssen die betroffenen Personen jedoch stets über die Möglichkeit unterrichtet werden, ihr Auskunftsrecht gemäß Art. 17 Abs. 1 der Richtlinie 2016/680 über die Aufsichtsbehörde auszuüben.
4. Art. 15 Abs. 1 der Richtlinie 2016/680
ist dahin auszulegen, dass er einer nationalen Regelung, die dem Leiter einer zentralen Meldestelle aufgrund einer allgemeinen Bestimmung die Befugnis verleiht, die Rechte der betroffenen Personen einzuschränken, nicht allein deshalb entgegensteht, weil es zum Verständnis des Zwecks, der Voraussetzungen sowie des Umfangs dieser Einschränkung erforderlich ist, diese Bestimmung in Verbindung mit anderen, darunter auch nachrangigen, Rechtsvorschriften zu lesen. Allerdings steht diese Bestimmung einer solchen nationalen Regelung entgegen, soweit diese keine klaren und präzisen Regeln für die Tragweite und die Voraussetzungen der Anwendung der betreffenden Maßnahme vorsieht, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung ermöglichen.
1 Originalsprache: Englisch.
2 Die FATF ist ein zwischenstaatliches Gremium, das Standards festlegt sowie Strategien zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung ausarbeitet und fördert.
3 Vgl. vierter Erwägungsgrund der Verordnung (EU) 2024/1624 des Europäischen Parlaments und des Rates vom 31. Mai 2024 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche oder der Terrorismusfinanzierung (ABl. L, 2024/1624); Mitsilegas, V. und Vavoula, N., „The Evolving EU anti-money laundering regime: Challenges for fundamental rights and the rule of law“, Maastricht Journal of European and Comparative Law, Bd. 23, Heft 2, 2016, S. 261 bis 293.
4 Vgl. Präambel der Charta der zentralen Meldestellen, die im Juli 2013 von den Leitern der zentralen Meldestellen der Egmont-Gruppe angenommen wurde.
5 Diese Bestimmung sieht vor: „Nur ein Beamter oder ein Mitarbeiter der zentralen Meldestelle hat Zugang zu den in der Datenbank der zentralen Meldestelle enthaltenen Informationen und das Recht, diese zu verarbeiten. Auf der Grundlage dieses Gesetzes kann der Leiter der zentralen Meldestelle den Zugang zu Informationen beschränken, indem er die Informationen zu Informationen für den internen Gebrauch erklärt“.
6 Diese Bestimmung sieht vor: „Ein Informationsinhaber lehnt ein Auskunftsersuchen ab, wenn 1) für die verlangte Information Zugangsbeschränkungen gelten und der Antragsteller keinen Anspruch auf Zugang zu den verlangten Informationen hat“.
7 Richtlinie des Europäischen Parlaments und des Rates vom 20. Mai 2015 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche und der Terrorismusfinanzierung, zur Änderung der Verordnung (EU) Nr. 648/2012 des Europäischen Parlaments und des Rates und zur Aufhebung der Richtlinie 2005/60/EG des Europäischen Parlaments und des Rates und der Richtlinie 2006/70/EG der Kommission (ABl. 2015, L 141, S. 73).
8 Verordnung des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1; im Folgenden: DSGVO).
9 RT I, 18.12.2020, 38.
10 Richtlinie des Europäischen Parlaments und des Rates vom 30. Mai 2018 zur Änderung der Richtlinie 2015/849 und zur Änderung der Richtlinien 2009/138/EG und 2013/36/EU (ABl. 2018, L 156, S. 43).
11 Richtlinie des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, L 119, S. 89).
12 Urteil vom 30. April 2024 (C‑470/21, EU:C:2024:370, Rn. 158).
13 Die DSGVO verfügt in Art. 23 über eine horizontale Klausel, während nach der Richtlinie 2016/680 jedes Recht individuell eingeschränkt werden kann. Insbesondere hinsichtlich des Rechts der betroffenen Person auf Auskunft gestattet Art. 15 der Richtlinie 2016/680 es den Mitgliedstaaten ausdrücklich, Gesetzgebungsmaßnahmen, die dieses Recht „teilweise oder vollständig“ einschränken, sowie Gesetzgebungsmaßnahmen zur Festlegung der „Verarbeitungskategorien“ zu erlassen, für die die verschiedenen Kategorien der Gründe für die Einschränkung „vollständig oder teilweise“ zur Anwendung kommen. Im Schrifttum wird zu Recht darauf hingewiesen, dass Rechte der betroffenen Person ‑ einschließlich des Rechts auf Auskunft ‑ zwar auch nach der DSGVO eingeschränkt werden können, der Spielraum für Einschränkungen nach der Richtlinie 2016/680 jedoch größer ist, wodurch es wahrscheinlicher ist, dass eine Person, die bei einer Strafverfolgungsbehörde um Auskunft über Daten ersucht, eine Antwort der Art „weder bestätigen noch widerlegen“ erhält, vgl. Mouzakiti, F., „Cooperation between financial intelligence units in the European Union: Stuck in the middle between the General Data Protection Regulation and the Police Data Protection Directive“, 2020, Bd. 11, Heft 3, New Journal of European Criminal Law, S. 351 bis 374, auf S. 366.
14 Die Angemessenheitsbeschlüsse der Kommission nach Art. 45 DSGVO, mit denen festgestellt wird, ob ein Drittland ein angemessenes Schutzniveau bietet, gelten nicht für Datenaustausche nach der Richtlinie 2016/680, für die es einen gesonderten Angemessenheitsbeschluss gemäß deren Art. 36 geben muss. In Ermangelung eines solchen Beschlusses können Datenübertragungen gemäß Art. 37 der Richtlinie 2016/680 vorbehaltlich geeigneter Garantien stattfinden.
15 Verordnung des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39).
16 Vgl. zehnter Erwägungsgrund der DSGVO.
17 Vgl. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 40).
18 Vgl. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 42 und die dort angeführte Rechtsprechung).
19 Vgl. Vogiatzoglou, P., „Scope“, in Kosta, E. und Boehm, F. (Hrsg.), The EU Law Enforcement Directive (LED), Oxford University Press, Oxford, 2024, S. 67 bis 77, auf S. 74.
20 Vgl. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 43 und die dort angeführte Rechtsprechung).
21 Vgl. 11. Erwägungsgrund der Richtlinie 2016/680.
22 Vgl. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 42 und die dort angeführte Rechtsprechung).
23 Vgl. in diesem Sinne Urteil vom 21. Juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, Rn. 67). Vgl. Brewczyńska, M., „A critical reflection on the material scope of the application of the Law Enforcement Directive and its boundaries with the General Data Protection Regulation“ in Kosta, E. u. a. (Hrsg.) Research handbook on EU data protection law, Edward Elgar, Cheltenham, 2022, S. 91 bis 114, auf S. 104.
24 Aus Art. 23 Abs. 1 Buchst. d und h DSGVO ergibt sich, dass Verarbeitungen personenbezogener Daten, die von Privatpersonen zu den in ihrem Art. 2 Abs. 2 Buchst. d genannten Strafverfolgungszwecken vorgenommen werden, in ihren Anwendungsbereich fallen, vgl. Urteil vom 21. Juni 2022, Ligue des droits humains, (C‑817/19, EU:C:2022:491, Rn. 68 und die dort angeführte Rechtsprechung).
25 Wie aus den Erwägungsgründen 11 und 12 der Richtlinie 2016/680 hervorgeht, gilt die DSGVO für die Verarbeitung personenbezogener Daten, die von einer „zuständigen Behörde“ im Sinne von Art. 3 Nr. 7 dieser Richtlinie, aber zu anderen Zwecken als der Strafverfolgung vorgenommen wird. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 43 und die dort angeführte Rechtsprechung).
26 Die Ceļu satiksmes drošības direkcija (Direktion für Straßenverkehrssicherheit, Lettland).
27 Vgl. Urteil vom 22. Juni 2021, Latvijas Republikas Saeima (Strafpunkte) (C‑439/19, EU:C:2021:504, Rn. 72).
28 Vgl. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 44).
29 Richtlinie des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (ABl. 2016, L 119, S. 132, im Folgenden: PNR-Richtlinie).
30 Vgl. Urteil vom 21. Juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, Rn. 80).
31 Vgl. Urteil vom 30. April 2024, La Quadrature du Net u. a. (Personenbezogene Daten und Bekämpfung der Nachahmung) (C‑470/21, EU:C:2024:370, Rn. 158 und 159).
32 Für einen Überblick über die Geschichte der zentralen Meldestellen im Umfeld der Geldwäsche vgl. Wissenschaftlicher Dienst des Europäischen Parlaments und Scherrer, A., Kampf gegen Steuerstraftaten – Zusammenarbeit zwischen den zentralen Meldestellen (FIUs), Ex-post-Folgenabschätzung, März 2017, S. 8 (im Folgenden: EP Studie 2017); Mitsilegas, V., „New forms of transnational policing: The emergence of financial intelligence units in the European Union and the challenges for human rights: Part 1“, Journal of Money Laundering Control, Bd. 3, Heft 2, 1999, S. 147. Die Zusammenarbeit der auf Finanzermittlungen spezialisierten Stellen nahm 1995 mit dem ersten Treffen der „Egmont-Gruppe“ Gestalt an. Im Jahr 2003 verabschiedete die FATF eine überarbeitete Sammlung von 40 Empfehlungen, die formell eine Empfehlung zur Einrichtung und Arbeitsweise der zentralen Meldestellen enthielten. Die FATF‑Empfehlungen aus dem Jahr 2012, aktualisiert im Juni 2026, enthalten eine Empfehlung zu den zentralen Meldestellen (Empfehlung Nr. 29).
33 Beschluss des Rates vom 17. Oktober 2000 über Vereinbarungen für eine Zusammenarbeit zwischen den zentralen Meldestellen der Mitgliedstaaten beim Austausch von Informationen (ABl. 2000, L 271, S. 4).
34 Früherer Art. 34 Abs. 2 Buchst. c EUV.
35 Vgl. International Monetary Fund, Financial Intelligence Units, An Overview, 2004 (verfügbar unter: https://www.elibrary.imf.org/display/book/9781589063624/9781589063624.xml), S. 9. Die EP-Studie 2017, Fn. 32, a. a. O., S. 13-14, verweist, auf den S. 13 und 14, auf einen von der Plattform für zentrale Meldestellen in der Union vorbereiteten Bericht aus dem Jahr 2016, in dem auf drei Modelle zentraler Meldestellen Bezug genommen wird: das administrative, das strafverfolgungsrechtliche (oder gerichtliche) und das hybride Modell. Der Bericht ist zu dem Ergebnis gelangt, dass die Modelle der zentralen Meldestellen wie folgt verteilt sind: Zwölf zentrale Meldestellen in der Union sind verwaltungsrechtlicher Natur und beispielsweise im Finanzministerium, Justizministerium oder Innenministerien angesiedelt oder in die Zentralbank oder eine Aufsichtsbehörde eingegliedert; angeführt werden Belgien, Bulgarien, Kroatien, die Tschechische Republik, Frankreich, Italien, Lettland, Malta, Polen, Rumänien, Slowenien und Spanien. Elf zentrale Meldestellen sind in einem strafverfolgungsrechtlichen Modell organisiert (Polizei und/oder Justiz); angeführt werden Österreich, Estland, Finnland, Deutschland, Irland, Litauen, Portugal, die Slowakei, Schweden, Luxemburg und das Vereinigte Königreich. Fünf zentrale Meldestellen haben sich aufgrund der Kombination polizeilicher und administrativer Elemente als „hybrid“ beschrieben; genannt werden Dänemark, Griechenland, Zypern, Ungarn und die Niederlande. Zu den Gründen für die Wahl der Modelle der zentralen Meldestellen vgl. Masciandaro, D. und Volpicella, A., „Designing Financial Supervision: The puzzling case of the FIUs against money laundering“, Journal of Financial Regulation, Bd. 2, Heft 1, 2016, S. 79 bis 113.
36 Vgl. 14. Erwägungsgrund der Richtlinie (EU) 2019/1153 des Europäischen Parlaments und des Rates vom 20. Juni 2019 zur Festlegung von Vorschriften zur Erleichterung der Nutzung von Finanz- und sonstigen Informationen für die Verhütung, Aufdeckung, Untersuchung oder Verfolgung bestimmter Straftaten und zur Aufhebung des Beschlusses 2000/642/JI des Rates (ABl. 2019, L 186, S. 122).
37 Vgl. Art. 52 der Richtlinie 2015/849, wonach die zentralen Meldestellen „unabhängig von ihrem Organisationsstatus“ miteinander im größtmöglichen Umfang zusammenarbeiten sollten.
38 Vgl. 14. Erwägungsgrund der Richtlinie 2019/1153. Diese Richtlinie, die auf der Grundlage von Art. 87 Abs. 2 AEUV über die polizeiliche Zusammenarbeit erlassen wurde (und mit der der Beschluss 2000/642 aufgehoben wurde), zielte darauf ab, den Austausch von Finanzinformationen mit den benannten zuständigen Behörden zu stärken sowie die Rechtssicherheit und die operative Wirksamkeit zu erhöhen. In ihrem Art. 1 Abs. 2 Buchst. a wird klargestellt, dass diese Richtlinie die Richtlinie 2015/849 und die damit zusammenhängenden Bestimmungen des nationalen Rechts unberührt lässt, „einschließlich des organisatorischen Status, der den zentralen Meldestellen nach nationalem Recht übertragen wird, sowie deren operative Unabhängigkeit und Autonomie“.
39 Die zentralen Meldestellen können – je nach Mitgliedstaat – mit weiteren Aufträgen und Aufgaben betraut werden, sofern diese ihren Kernauftrag nicht beeinträchtigen. Die estnische Regierung hat vorgetragen, dass das RAB auch eine Aufsichtsfunktion ausübe. Das Ausgangsverfahren betrifft jedoch nur das Recht auf Auskunft im Hinblick auf die von der zentralen Meldestelle in Ausübung ihres Kernauftrags und ihrer Kernaufgabe erhobenen Daten.
40 Sie erhalten von Verpflichteten, für die die Richtlinie 2015/849 gilt, nach deren Art. 2 Abs. 1 Informationen. Nach Art. 33 dieser Richtlinie müssen die Verpflichteten die zentrale Meldestelle mittels einer Meldung über verdächtige Transaktionen informieren.
41 Zu diesem Zweck müssen die Mitgliedstaaten nach Art. 8 der Richtlinie 2019/1153 sicherstellen, dass ihre benannten zuständigen Behörden verpflichtet sind, Ersuchen der nationalen zentralen Meldestelle um Strafverfolgungsinformationen im Einzelfall zeitnah zu beantworten, wenn diese Informationen für die Verhütung, Aufdeckung und Bekämpfung von Geldwäsche, damit zusammenhängenden Vortaten und Terrorismusfinanzierung erforderlich sind.
42 Gleichwohl müssen die zentralen Meldestellen, auch wenn sie in die Polizei oder in die Judikative eingegliedert sind, weiterhin unabhängig arbeiten und eigenständig sein. Vgl. Art. 19 Abs. 4 der Richtlinie (EU) 2024/1640 des Europäischen Parlaments und des Rates vom 31. Mai 2024 über die von den Mitgliedstaaten einzurichtenden Mechanismen zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung, zur Änderung der Richtlinie (EU) 2019/1937 und zur Änderung und Aufhebung der Richtlinie (EU) 2015/849 mit Wirkung vom 10. Juli 2027 (ABl. L, 2024/1640) (die sechste Geldwäscherichtlinie).
43 Mouzakiti, F., Fn. 13, a. a. O., S. 373, der zentrale Meldestellen als „new policing institutions“ beschreibt.
44 Das Königreich der Niederlande hat in seinen mündlichen Ausführungen zu der Frage des auf die zentralen Meldestellen anwendbaren Datenschutzrechtsrahmens keine Stellung bezogen.
45 Auf dieser Grundlage regelt die Richtlinie (EU) 2018/1673 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 über die strafrechtliche Bekämpfung der Geldwäsche (ABl. 2018, L 284, S. 22) die Voraussetzungen für die Strafbarkeit von Geldwäsche.
46 Das wird auch vom Expertenausschuss des Europarates zur Bewertung nationaler Maßnahmen gegen Geldwäsche und Terrorismusfinanzierung (Moneyval) in der Vorstellung der Aufgaben der zentralen Meldestellen hervorgehoben (verfügbar unter: https://www.coe.int/en/web/moneyval/implementation/fiu.) Nach Angaben der Organisation Transparency International „fügen“ die zentralen Meldestellen bei ihrer Analyse von Informationen „Teile zusammen, die eine einzelne Bank oder Behörde allein nicht erkennen kann“ (freie Übersetzung). Vgl. https://www.transparency.org/en/news/financial-intelligence-units-powerful-tools-against-corruption.
47 Mouzakiti, F., Fn. 13, a. a. O., S. 353.
48 Vgl. Französischer Senat, Rapport fait au nom de la commission d’enquête aux fins d’évaluer les outils de la lutte contre la délinquance financière, la criminalité organisée et le contournement des sanctions internationales, en France et en Europe, et de proposer des mesures face aux nouveaux défis, Bd. I, 18. Juni 2005, S. 197, in dem darauf hingewiesen wird, dass die französische zentrale Meldestelle (Tracfin) auf der Grenze zwischen Verhütung und Verfolgung angesiedelt sei („à la frontière entre les volets préventif et répressif“).
49 Vgl. Urteil vom 30. April 2024 (C‑470/21, EU:C:2024:370).
50 Nr. 42 der vorliegenden Schlussanträge.
51 Vgl. Urteil vom 30. April 2024, La Quadrature du Net u. a. (Personenbezogene Daten und Bekämpfung der Nachahmung) (C‑470/21, EU:C:2024:370, Rn. 158).
52 Ebd.
53 Siehe Nr. 41 der vorliegenden Schlussanträge.
54 Vgl. Urteil vom 21. Juni 2022 (C‑817/19, EU:C:2022:491, Rn. 79 und 80).
55 Siehe Nr. 36 der vorliegenden Schlussanträge.
56 Siehe Nr. 43 der vorliegenden Schlussanträge.
57 Der Vollständigkeit halber sei darauf hingewiesen, dass aus dem 14. Erwägungsgrund der Richtlinie 2016/680 hervorgeht, dass diese Richtlinie nicht für die Verarbeitung von Daten gilt, die im Rahmen einer nicht unter das Unionsrecht fallenden Tätigkeit erfolgt, insbesondere die nationale Sicherheit betreffende Tätigkeiten.
58 Dies wird durch das Urteil vom 21. Juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491) gestützt, in dem der Gerichtshof entschieden hat, dass die PNR-Zentralstellen als „zuständige Behörden“ im Sinne der Richtlinie 2016/680 einzustufen sind. Diese Einstufung wird nicht dadurch ausgeschlossen, dass die PNR-Zentralstellen PNR-Daten oder das Ergebnis einer Verarbeitung an die zuständigen Behörden übertragen.
59 Mit Ausnahme der niederländischen Regierung, die zu dieser Frage nicht Stellung genommen hat.
60 Rahmenbeschluss des Rates vom 27. November 2008 über den Schutz personenbezogener Daten, die im Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen verarbeitet werden (ABl. 2008, L 350, S. 60).
61 Vgl. Art. 19 Abs. 4 Unterabs. 2 der Richtlinie 2024/1640.
62 Nämlich dem Verpflichteten oder der zuständigen nationalen Behörde die ordnungsgemäße Wahrnehmung seiner bzw. ihrer Aufgaben zu ermöglichen sowie zu gewährleisten, dass behördliche oder gerichtliche Ermittlungen, Analysen, Untersuchungen oder Verfahren für die Zwecke dieser Richtlinie nicht behindert werden, sowie zu gewährleisten, dass die Verhinderung, Ermittlung und Aufdeckung von Geldwäsche und Terrorismusfinanzierung nicht gefährdet wird. Das Vorhandensein einer solchen besonderen sektorspezifischen Einschränkung des Auskunftsrechts der betroffenen Person in Bezug auf das Offenlegungsverbot lässt sich möglicherweise dadurch erklären, dass die Richtlinie 2015/849 vor dem Erlass des Datenschutzinstruments der Union für die Strafverfolgung, nämlich der Richtlinie 2016/680, erlassen wurde. In der Richtlinie 2024/1640, durch die – wie vorstehend (in Nr. 81 der vorliegenden Schlussanträge) dargelegt – die Richtlinie 2015/849 aufgehoben wird, ist diese Bestimmung über die Einschränkung des Rechts auf Auskunft nicht mehr enthalten.
63 Oder an eine in Art. 34 der Richtlinie 2015/849 genannte Selbstverwaltungseinrichtung der betreffenden Berufsgruppe.
64 Siehe Nr. 60 der vorliegenden Schlussanträge.
65 Für den Fall, dass der Gerichtshof der Auffassung sein sollte, dass der Anwendungsbereich von Art. 41 Abs. 4 der Richtlinie 2015/849 weiter gefasst und die Bestimmung auf alle durch die zentralen Meldestellen gespeicherten Daten anwendbar ist, bleibt meine Analyse in Bezug auf die vierte Frage insofern relevant, da diese Bestimmung im Wesentlichen die in Art. 15 Abs. 1 der Richtlinie 2016/680 vorgesehenen wesentlichen Voraussetzungen für die Beschränkung des Auskunftsrechts widerspiegelt.
66 Vgl. Dimitrova, D., „Limitations to the right of access“ in Kosta, E. und Boehm, F. (Hrsg.), Fn. 19, a. a. O., S. 288.
67 Vgl. Urteil vom 6. Oktober 2020, Privacy International (C‑623/17, EU:C:2020:790, Rn. 64).
68 Vgl. Art. 38 Abs. 2, Art. 42 und Art. 61 Abs. 3 Unterabs. 3 der Richtlinie 2015/849.
69 Vgl. Urteil vom 22. November 2022, Luxembourg Business Registers (C‑37/20 und C‑601/20, EU:C:2022:912, Rn. 63).
70 Vgl. Urteil vom 22. November 2022, Luxembourg Business Registers (C‑37/20 und C‑601/20, EU:C:2022:912, Rn. 64).
71 Vgl. Urteil vom 18. Juni 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, Rn. 72 und die dort angeführte Rechtsprechung).
72 Vgl. Urteil vom 6. Oktober 2020, Privacy International (C‑623/17, EU:C:2020:790, Rn. 68 und die dort angeführte Rechtsprechung).
73 Vgl. Dimitrova, D., Fn. 66, a. a. O., S. 292, die darauf hinweist, dass mit der Dokumentationspflicht sichergestellt werden soll, dass diese Einschränkung nicht willkürlich auferlegt wird.
74 Diese Garantien sollten unbeschadet des Schutzes gelten, den das nationale Strafrecht für den Fall vorsieht, dass die betreffende Person förmlich wegen einer Straftat verfolgt wird.
75 Urteil vom 16. November 2023 (C‑333/22, EU:C:2023:874, Rn. 44).
76 Ebd,. Rn. 66.
77 Ebd., Rn. 69 und die dort angeführte Rechtsprechung.
78 Ebd., Rn. 70.
79 Urteil vom 16. Juli 2026, AEDT und État du Grand-Duché de Luxembourg (C‑158/25, EU:C:2026:591, Rn. 21).
80 Siehe Nrn. 88 ff. der vorliegenden Schlussanträge.
81 Vgl. Urteil vom 16. November 2023, Ligue des droits humains (Prüfung der Datenverarbeitung durch die Aufsichtsbehörde) (C‑333/22, EU:C:2023:874, Rn. 42).
82 Siehe Nr. 109 der vorliegenden Schlussanträge.
83 Siehe Nr. 102 der vorliegenden Schlussanträge.
84 Urteil vom 18. Juni 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, Rn. 71 und die dort angeführte Rechtsprechung).
85 Ebd., Rn. 72 und die dort angeführte Rechtsprechung.
86 Ebd., Rn. 74 und die dort angeführte Rechtsprechung.
87 EGMR, 23. Januar 2025, H. W./Frankreich (CE:ECHR:2025:0123JUD001380521, § 65 und die dort angeführte Rechtsprechung).
88 Vgl. in diesem Sinne Urteil vom 18. Juni 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, Rn. 75 mit Verweis auf EGMR, 23. Januar 2025, H. W./Frankreich, CE:ECHR:2025:0123JUD001380521, § 65 und die dort angeführte Rechtsprechung).
89 Vgl. in diesem Sinne Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 56).
90 Siehe Nrn.100 ff. der vorliegenden Schlussanträge.
91 §§ 8 bis 17 der Satzung der RAB-Datenbank.
92 Die Geheimhaltungsstufe der verarbeiteten Daten wird in § 5 Abs. 2 der Satzung der RAB-Datenbank als „hoch“ bezeichnet.
93 § 26 Abs. 1 der Satzung der RAB-Datenbank sieht vor, dass die in der Datenbank enthaltenen Daten und in die Datenbank eingegebenen Dokumente zu einer Person nach Schließung der Meldung bzw. der Akte 15 Jahre lang in der Datenbank gespeichert werden. Die Daten zu einer Person, die Verbindungen der Person zu anderen Daten und die mit der Person im Zusammenhang stehenden Dokumente werden aus der Datenbank gelöscht, um die Integrität der Daten zu Personen, Meldungen und Akten zu gewährleisten.
94 Siehe Nr. 107 der vorliegenden Schlussanträge.
Continue sua pesquisa no ChatGPT ou Claude
Conecte o Omnilex para pesquisar o corpus jurídico pelo seu assistente de IA.