© 2018 Deutscher Bundestag PE 6 - 3000 - 37/18 Das polnische COP24-Gesetz und EU-Recht Ausarbeitung Unterabteilung Europa Fachbereich Europa Die Arbeiten des Fachbereichs Europa geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten des Fachbereichs Europa geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegen, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab der Fachbereichsleitung anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Diese Ausarbeitung dient lediglich der bundestagsinternen Unterrichtung, von einer Weiterleitung an externe Stellen ist abzusehen. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 2 Das polnische COP24-Gesetz und EU-Recht Aktenzeichen: PE 6 - 3000 - 37/18 Abschluss der Arbeit: 28. Mai 2018 Fachbereich: PE 6: Fachbereich Europa Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 3 Inhaltsverzeichnis 1. Einleitung und Fragestellung 4 2. Verbot der Spontandemonstration nach dem COP24- Gesetz 5 2.1. Unionsrechtliche Vorgaben bzw. Anwendbarkeit von EU- Grundrechten 5 2.2. Zur Vereinbarkeit mit Art. 12 GRC 6 2.3. Ergebnis 6 3. Befugnisse nach dem COP24-Gesetz im Zusammenhang mit der Verarbeitung personenbezogener Daten 7 3.1. Datenschutzrelevante Befugnisse im COP24-Gesetz 7 3.2. Vereinbarkeit mit der Richtlinie Nr. 2016/680 über den Datenschutz im Strafrechtsbereich 8 3.2.1. Anwendungsbereich der Richtlinie 9 3.2.2. Vorgaben zur Unterscheidung verschiedener Kategorien betroffener Personen 11 3.2.3. Vorgaben zum Umfang der verarbeiteten Daten 12 3.2.4. Vorgaben zu den Rechten der betroffenen Personen 13 3.2.5. Zwischenergebnis 14 3.3. Vereinbarkeit mit Unionsgrundrechten 14 3.3.1. Schutzbereich von Art. 8 GRC und Eingriff in den Schutzbereich 15 3.3.2. Rechtfertigung 16 3.4. Ergebnis 18 Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 4 1. Einleitung und Fragestellung Aus Anlass der 24. UN-Klimakonferenz, die im Dezember 2018 im polnischen Katowice stattfinden soll (kurz: COP24-Konferenz),1 hat das polnische Abgeordnetenhaus (Sejm Rzeczypospolitej Polskiej) im Januar diesen Jahres das „Gesetz über besondere Lösungen im Zusammenhang mit der Organisation der nächsten Konferenz nach dem Rahmenübereinkommen der Vereinten Nationen über Klimaänderungen in der Republik Polen“ erlassen (im Folgenden: COP24-Gesetz).2 Unter anderem sieht dieses Gesetz in Art. 22 ein Verbot von Spontandemonstrationen für die Zeit der Konferenz vor. Ferner enthält es in den Art. 17 bis 21 besondere Befugnisse zur Beschaffung, Verwendung und Weitergabe u. a. von personenbezogenen Daten zur Sicherstellung von öffentlicher Sicherheit und Ordnung sowie der Verhütung von Straftaten.3 Der Fachbereich wird vor diesem Hintergrund um die Beantwortung der Frage ersucht, ob die genannten Regelungen des COP24-Gesetzes mit den für den jeweiligen Bereichen bestehenden Vorgaben des EU-Rechts, insbesondere den EU-Grundrechten, vereinbar sind. Hinsichtlich der Vereinbarkeit des Gesetzes mit den Vorgaben des Europarates wird auf die Ausarbeitung des Fachbereichs WD 2 verwiesen.4 Im Folgenden wird zwischen dem Verbot der Spontandemonstration einerseits (2.) und den Befugnissen im Zusammenhang mit der Datenverarbeitung anderseits (3.) unterschieden. Beide Bereiche sollen sodann getrennt im Lichte der jeweils einschlägigen EU-Vorgaben betrachtet werden . Einschränkend ist darauf hinzuweisen, dass neben dem COP24-Gesetz nur solche Vorschriften anderer polnischer Gesetze untersucht werden, auf die in dem erstgenannten Gesetz verwiesen wird. Ob und inwieweit noch weitere polnische Vorschriften bei der Anwendung des COP24-Gesetzes zu beachten sind, wurde nicht untersucht und ist auch nicht bekannt. 1 Siehe hierzu im Internet unter http://cop24.gov.pl/ (letztmaliger Abruf am 28.05.18). 2 Ustawa z dnia 10 stycznia 2018 r. o szczególnych rozwiązaniach związanych z organizacją w Rzeczypospolitej Polskiej sesji Konferencji Stron Ramowej konwencji Narodów Zjednoczonych w sprawie zmian klimatu, online abrufbar unter http://orka.sejm.gov.pl/proc8.nsf/ustawy/2120_u.htm (letztmaliger Abruf am 28.05.18). 3 Eine deutsche Übersetzung der einschlägigen Bestimmung ist der Ausarbeitung als Anlage beigefügt. Die Übersetzung wurde durch einen externen Dienstleister im Auftrag des Sprachendienstes der Verwaltung des Deutschen Bundestages angefertigt. 4 Siehe Sachstand von WD 2 vom 11. April 2018 „Vereinbarkeit des polnischen COP24-Gesetzes mit den Vorgaben des Europarates“ (WD 2 – 3000 – 020/18). Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 5 2. Verbot der Spontandemonstration nach dem COP24-Gesetz 2.1. Unionsrechtliche Vorgaben bzw. Anwendbarkeit von EU-Grundrechten Soweit es um Fragen des Versammlungsrechts geht, bestehen – soweit ersichtlich – keine verbindlichen Sekundärrechtsakte der EU, die hierzu Regelungen enthalten. Einschlägig könnte allenfalls das Grundrecht auf Versammlungs- und Vereinigungsfreiheit aus Art. 12 EU-Grundrechte -Charta (GRC) sein. Ob dieses auf Art. 22 COP24-Gesetz anwendbar ist, erscheint jedoch fraglich. Nach Art. 51 Abs. 1 GRC gelten die EU-Grundrechte in erster Linie für die Organe und Einrichtungen der Union, während die Mitgliedstaaten nur bei der „Durchführung des Rechts der Union“ an sie gebunden sind. Obgleich der Gerichtshof diese Formulierung in seiner Rechtsprechung weit versteht und eine Bindung bereits dann annimmt, wenn eine Vorschrift des nationalen Rechts „in den Geltungsbereich des Unionsrechts fällt“,5 sind die in der bisherigen Rechtsprechung bekannten Fallgruppen der mitgliedstaatlichen EU-Grundrechtsbindung im Hinblick auf das Verbot der Spontanversammlung nicht einschlägig. Die erste und älteste Fallgruppe bezieht sich auf die sog. agency situation, in welcher die Mitgliedstaaten das Unionsrecht, zumeist in Gestalt des Sekundärrechts, im Sinne einer legislativen Umsetzung oder eines administrativen Vollzugs „durchführen“ und in diesem Zusammenhang EU-Grundrechte zu beachten haben.6 Auch wenn die Grenzen und Konturen dieser Fallgruppe im Einzelnen umstritten sind,7 dürfte insoweit Einigkeit bestehen, als das gewisse unionsrechtliche Vorgaben bzw. Vorschriften für den betreffenden nationalen Sachbereich überhaupt bestehen müssen. Wie oben ausgeführt, gibt es zu Fragen des Versammlungsrechts keine verbindlichen Sekundärrechtsakte der EU oder primärrechtlichen Bestimmungen mit Ausnahme des Art. 12 GRC. Die Fallgruppe der sog. agency situation führt vorliegend somit nicht zur Anwendung des EU- Grundrechts aus Art. 12 GRC auf Art. 22 COP24-Gesetz. Gleiches gilt im Ergebnis für die Anwendung der Grundrechte als Schranken-Schranken der Grundfreiheiten.8 Nach dieser Fallgruppe sind EU-Grundrechte von Mitgliedstaaten immer dann zu beachten, wenn nationale Maßnahmen in Grundfreiheiten eingreifen.9 Da das Verbot der Spontanversammlung keine wirtschaftliche Zielrichtung aufweist und es sich bei Spontanversammlungen auch nicht um kommerzielle Veranstaltungen handelt, sind zwar die Grundfreiheiten vorliegend nicht anwendbar. In Betracht kommt jedoch das allgemeine Freizügigkeitsrecht 5 Vgl. EuGH, Urt. v. 26.02.2013, Rs. C-617/10 (Åkerberg Fransson), Rn. 19; siehe dazu auch Kingreen, in: Calliess/Ruffert, EUV/AEUV, 5. Aufl. 2016, Art. 51 GRC, Rn. 8 ff. 6 Siehe hierzu Kingreen, in: Calliess/Ruffert (Fn. 5), Art. 51 GRC, Rn. 8 ff.; Jarass, Charta der Grundrechte der EU, 3. Aufl. 2016, Art. 51 GRC, Rn. 21 ff. – jeweils beide mit zahlreichen Nachweisen aus der Rechtsprechung. 7 Vgl. etwa Haratsch/Koenig/Pechstein, Europarecht, 11. Aufl. 2018, Rn. 694 ff. 8 Siehe hierzu Kingreen, in: Calliess/Ruffert (Fn. 5), Art. 51 GRC, Rn. 16 ff.; Jarass (Fn. 6), Art. 51 GRC, Rn. 24 f. 9 Grundlegend EuGH, Urt. v. 18.06.1991, Rs. C-260/89 (ERT), Rn. 42 f. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 6 der Unionsbürger nach Art. 21 Abs. 1 AEUV, welches u. a. zur freien Bewegung und zum Aufenthalt in einem anderen als dem eigenen Mitgliedstaat berechtigt. Obgleich in der Rechtsprechung – soweit ersichtlich – bisher nicht ausdrücklich bestätigt, dürften mitgliedstaatliche Eingriffe in das allgemeine Freizügigkeitsrecht der Unionsbürger ebenfalls zu einer Bindung an EU-Grundrechte führen.10 Fraglich ist allerdings, ob das Verbot der Spontandemonstration im COP24-Gesetz einen Eingriff in Art. 21 Abs. 1 AEUV bzw. damit verbundene Gewährleistungen darstellt.11 Denn das Aufenthalts - und Bewegungsrecht an sich wird durch das Verbot nicht berührt. Einen über den reinen Aufenthalt und die freie Bewegung hinausgehenden Schutz gegenüber dem Aufenthaltsstaat bietet nur das über Art. 21 Abs. 1 AEUV anwendbare Diskriminierungsverbot aus Gründen der Staatsangehörigkeit aus Art. 18 Abs. 1 AEUV.12 Da die in Art. 22 COP24-Gesetz vorgesehenen Maßnahmen nicht nach der Staatsangehörigkeit der davon betroffenen Personen unterscheiden bzw. polnische Staatsangehörige in gleicher Weise betreffen (können) wie Unionsbürger aus anderen Mitgliedstaaten, liegt ein Verstoß gegen Art. 18 Abs. 1 AEUV in Verbindung mit dem allgemeinen Freizügigkeitsrecht gemäß Art. 21 Abs. 1 AEUV nicht vor. Somit dürfte auch über diese Fallgruppe keine Bindung Polens an das EU-Grundrecht aus Art. 12 GRC in Bezug auf Art. 22 COP24-Gesetz begründet werden. 2.2. Zur Vereinbarkeit mit Art. 12 GRC Wäre über die bisher in der Rechtsprechung anerkannten und eben dargestellten beiden Fallgruppen hinaus eine mitgliedstaatliche EU-Grundrechtsbindung anzunehmen, kann auf die eingangs erwähnte Ausarbeitung des Fachbereichs WD 2 verwiesen werden.13 Die dort untersuchte Gewährleistung zur Versammlungsfreiheit in Art. 11 EMRK prägt nämlich den materiellen Inhalt des unionsrechtlichen Pendants in Art. 12 GRC. Dies ergibt sich aus Art. 52 Abs. 3 GRC und den Erläuterungen zur Grundrechte-Charta in Bezug auf Art. 12 GRC,14 die nach Art. 51 Abs. 7 GRC zu beachten sind. Die in der genannten Ausarbeitung gewonnenen Ergebnisse zu Art. 11 EMRK wären entsprechend auf Art. 12 GRC übertragbar, soweit von einer EU-Grundrechtsbindung Polens im Hinblick auf Art. 22 COP24-Gesetz auszugehen wäre. 2.3. Ergebnis Unionsrechtliche Vorgaben zum Verbot der Spontanversammlung gemäß Art. 22 COP24-Gesetz könnten sich lediglich aus Art. 12 GRC ergeben, dem Unionsgrundrecht der Versammlungs- und 10 Vgl. Haratsch/Koenig/Pechstein (Fn. 7), Rn. 694. 11 Siehe zum Schutzgehalt des allgemeinen Freizügigkeitsrechts bzw. zu den mit dieser Gewährleistung verbundenen Schutzkonstellationen Haratsch/Koenig/Pechstein (Fn. 7), Rn. 789., Rn. 791 ff., Rn. 801 ff. 12 Vgl. etwa EuGH, Urt. v. 02.06.2016, Rs. C-233/14 (Kommission/Niederlande), Rn. 78 ff. Siehe dazu Haratsch/ Koenig/Pechstein (Fn. 7), Rn. 755 f. 13 Siehe oben Fn. 4. 14 Die Erläuterungen zur Charta der Grundrechte sind online abrufbar unter http://eur-lex.europa.eu/LexUri- Serv/LexUriServ.do?uri=OJ:C:2007:303:0017:0035:de:PDF (letztmaliger Abruf am 28.05.18). Vgl. zu Art. 12 GRC aus dem Schrifttum Jarass (Fn. 6), Art. 12 GRC, Rn. 1; Ruffert, in: Callies/Ruffert (Fn. 5), Art. 12 GRC, Rn. 2. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 7 Vereinigungsfreiheit. Allerdings liegt im Lichte der bisherigen Rechtsprechung zur Anwendung der EU-Grundrechte auf Mitgliedstaaten kein Fall einer „Durchführung von Unionsrecht“ nach Art. 51 Abs. 1 GRC vor, so dass eine EU-Grundrechtsbindung Polens im Hinblick auf Art. 22 COP24-Gesetz wohl zu verneinen ist. Würde man eine solche über die bisher anerkannten Konstellationen der Grundrechtsbindung hinaus annehmen, kann in materieller Hinsicht auf die Ausarbeitung von WD 2 verwiesen werden, da die EMRK-Gewährleistungen zur Versammlungsfreiheit auch den materiellen Inhalt des unionsrechtlichen Pendants in Art. 12 GRC prägen. 3. Befugnisse nach dem COP24-Gesetz im Zusammenhang mit der Verarbeitung personenbezogener Daten Im Zusammenhang mit den datenschutzrechtlichen Befugnissen des COP24-Gesetzes sind diese zunächst kurz darzustellen (3.1.). Hinsichtlich der unionsrechtlichen Vorgaben zu diesem Bereich ist sodann zuerst auf die Richtlinie Nr. 2016/680 über den Datenschutz im Strafrechtsbereich 15 einzugehen (3.2.). Soweit diese anwendbar ist und Vorgaben enthält, sind nationale Maßnahmen wie das COP24-Gesetz zuvörderst an diesem Rechtsakt zu messen. Raum für eine Prüfung am Maßstab der einschlägigen Unionsgrundrechte – vorbehaltlich ihrer Anwendbarkeit nach Art. 51 Abs. 1 GRC – besteht nur insoweit, als die Richtlinie keine speziellen Vorgaben enthält , ausdrücklich auf Grundrechte verweist oder den Mitgliedstaaten Umsetzungsspielraum einräumt (3.3.).16 3.1. Datenschutzrelevante Befugnisse im COP24-Gesetz Art. 17 Abs. 1 des COP24-Gesetzes ermächtigt die Polizei zur Informationsverarbeitung während der Konferenz und bis zum 31. Januar 2019 zur Sicherstellung von öffentlicher Sicherheit und Ordnung, zur Verhütung von Straftaten und Ordnungswidrigkeiten sowie zur Aufdeckung und Verfolgung der Täter. Diese Befugnis bezieht sich in personeller Hinsicht nicht nur auf Personen, die eine Gefahr für die öffentliche Sicherheit und Ordnung darstellen, sofern der begründete Verdacht besteht, dass sie sich im Hoheitsgebiet der Republik Polen aufhalten werden (Art. 17 Abs. 1 Nr. 1 COP24-Gesetz). Sie erfasst auch Personen, die als Teilnehmer der COP24-Konferenz registriert oder bei dieser Konferenz eingesetzt sind (Art. 17 Abs. 1 Nr. 4 COP24-Gesetz). Die Ermächtigung zur Informationsverarbeitung nach Art. 17 Abs. 1 COP24-Gesetz kann auch ohne Wissen und Einverständnis der Personen wahrgenommen werden, deren Daten hiervon betroffen sind (vgl. Art. 17 Abs. 1 letzter Halbsatz COP24-Gesetz). 15 Richtlinie 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung , Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, online abrufbar unter http://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016L0680&qid=1524561937361&from=DE (letztmaliger Abruf am 28.05.18). 16 Ergänzend sei darauf hingewiesen, dass auch die Vorgaben der Richtlinie mit den Anforderungen der EU- Grundrechte vereinbar sein müssen. Hierbei geht es allerdings um die nach Art. 51 Abs. 1 GRC bestehende primäre und umfassende Bindung des Unionsgesetzgebers an die EU-Grundrechte, die nicht Gegenstand dieser Ausarbeitung ist. Diese Bindung erfordert zudem eine grundrechtskonforme Auslegung der Richtlinie. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 8 Nach Art. 18 COP24-Gesetz dürfen die nach Art. 17 Abs. 1 COP24-Gesetz gewonnen Informationen unter den dort geregelten Voraussetzungen anderen inländischen, ausländischen und internationalen Behörden, Diensten und staatlichen Institutionen zur Verfügung gestellt werden. Hinsichtlich des Umfangs der unter Art. 17 Abs. 1 COP24-Gesetz fallenden Informationen verweist Art. 17 Abs. 2 COP24-Gesetz auf Art. 20 Abs. 2b des polnischen Polizeigesetzes, der wiederum unter seiner Nr. 1 die in Art. 27 Abs. 1 des polnischen Datenschutzgesetzes aufgeführten personenbezogenen Daten einbezieht.17 Danach dürfen u. a. die folgenden personenbezogenen Daten Gegenstand der Befugnis nach Art. 17 Abs. 1 COP24-Gesetz sein: solche, die die rassische oder ethnische Herkunft, politische Ansichten, religiöse oder philosophische Überzeugungen, die Konfessions-, Partei- oder Gewerkschaftszugehörigkeit offenbaren, sowie Daten über den Gesundheitszustand , den nicht kodierbaren Teil der DNA, das Suchtverhalten oder Sexualleben, Verurteilungen , Entscheidungen über Bestrafungen und Strafmandate sowie andere Entscheidungen, die in einem Gerichts- oder Verwaltungsverfahren ergangen sind (vgl. Art. 27 Abs. 1 des polnischen Datenschutzgesetzes).18 Nach dem unmittelbaren Verweis auf Art. 20 Abs. 2b des polnischen Polizeigesetzes sind ferner folgende Informationen Gegenstand der Ermächtigung nach Art. 17 Abs. 1 COP24-Gesetz: Fingerabdrücke, Fotos, Skizzen und Beschreibungen des Aussehens , charakteristische und besondere Merkmale, Pseudonyme und Informationen über Wohnoder Aufenthaltsort, Bildung, Beruf, Arbeitsstelle und -stellung, materielle Situation, Vermögenssituation , Dokumente und Gegenstände, deren sich Täter bedienen, Vorgehensweise, Umfeld und Kontakte von Tätern und Verhaltensweise von Tätern gegenüber Geschädigten (vgl. Art. 20b Abs. 2 Nr. 2 bis 5 poln. Polizeigesetz). Einschränkungen der Daten- und Informationsverarbeitung in zeitlicher Hinsicht ergeben sich aus Art. 19 COP24-Gesetz. Nach Art. 19 Abs. 1 COP24-Gesetz darf die Verarbeitung längstens bis zum 31. März 2019 erfolgen. Art. 19 Abs. 2 COP24-Gesetz sieht vor, dass die nach Art. 17 Abs. 1 COP24-Gesetz erlangten Informationen nach Ablauf der in dieser Bestimmung genannten Frist (31. Januar 2019) grundsätzlich entfernt werden, soweit es sich nicht um Daten nach Art. 20 Abs. 2b poln. Polizeigesetzt handelt, die zum Zwecke laufender Verfahren verarbeitet werden.19 3.2. Vereinbarkeit mit der Richtlinie Nr. 2016/680 über den Datenschutz im Strafrechtsbereich Die Umsetzungsfrist der Richtlinie Nr. 2016/680 über den Datenschutz im Strafrechtsbereich (im Folgenden: Richtlinie oder RL 2016/680) ist erst am 6. Mai 2018 abgelaufen, vgl. Art. 63 Abs. 1 17 Auch diese Vorschriften liegen in übersetzter Form vor, siehe Anlage (Fn. 3). 18 Erwähnenswert ist in diesem Zusammenhang, dass Art. 27 Abs. 1 des polnischen Datenschutzgesetzes negativ formuliert ist bzw. die Verarbeitung der in ihm genannten Daten gerade verbietet. Die beschriebene Verweiskette über das COP24-Gesetz und das polnische Polizeigesetz beziehen sich jedoch nur auf die dort aufgeführten Daten, was auf eine entsprechende Ausnahme hindeutet. 19 Aus welchem Grund sich die Fristen nach Art. 17 Abs. 1 (31.01.19) und Art. 19 Abs. 1 COP24-Gesetz (31.03.19) unterscheiden und welche rechtlichen Folgen das hat, ist nicht erkennbar. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 9 S. 1 RL 2016/680.20 Ihre Vorgaben sind somit erst seit kurzem zwingend und umfassend zu beachten bzw. das mitgliedstaatliche Recht daran auszurichten.21 Rechtsprechung liegt zu diesem Rechtsakt folglich bisher nicht vor. Auch der Literaturbefund ist überschaubar.22 Da die Richtlinie zudem sowohl in ihrem Anwendungsbereich als auch in materieller Hinsicht über die Vorgängerregelung , die durch sie aufgehoben wurde, hinausgeht,23 kann bei der Beurteilung der dargestellten datenschutzrechtlichen Befugnisse nach dem COP2-Gesetz im Wesentlichen nur auf den Richtlinienwortlaut und die Erwägungsgründe dieses Rechtsaktes zurückgegriffen werden. Eventuelle Probleme hinsichtlich der Vereinbarkeit des COP24-Gesetzes mit den Richtlinienvorgaben können und sollen an dieser Stelle daher auch nicht abschließend erörtert werden. Im Folgenden ist zunächst zu prüfen, ob die Art. 17 f. COP24-Gesetz in den Anwendungsbereich der Richtlinie fallen (3.2.1.). Sodann ist zu prüfen, ob die dortig geregelten Befugnisse ausgesuchten Vorgaben der Richtlinie entsprechen: zur Differenzierung nach betroffenen Personengruppen (3.2.2.), zum Umfang der zu verarbeitenden Daten (3.2.3.) sowie zu den Informationsrechten der betroffenen Personen (3.2.4.). 3.2.1. Anwendungsbereich der Richtlinie Mit Blick auf die Maßnahmen des COP24-Gesetzes nach Art. 17 Abs. 1 und Art. 18 Abs. 1 und die damit verfolgten Zwecke im Bereich der öffentlichen Sicherheit, des Strafrechts und der Strafverfolgung ist der Anwendungsbereich der Richtlinie eröffnet. Denn diese gilt nach Art. 2 Abs. 1 u. 2 i.V.m. Art. 1 Abs. 1 RL 2016/680 für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder werden sollen, zum Zwecke der Strafverfolgung , Strafvollstreckung und dem Schutz vor und Abwehr von Gefahren für die öffentliche Sicherheit durch die zuständigen Behörden. Bei den Informationen, auf die sich die Maßnahmen nach Art. 17 Abs. 1 und Art. 18 Abs. 1 COP24-Gesetz beziehen, handelt es sich zumindest auch um personenbezogene Daten im Sinne des Art. 3 Nr. 1 RL 2016/680. Und die in Bezug auf diese Informationen vorgenommenen Tätigkeiten sind als Verarbeitung im Sinne des Art. 3 Nr. 2 RL 2016/680 anzusehen. 20 Eine Ausnahme gilt nach Art. 62 Abs. 2 RL 2016/680. Danach können die Mitgliedstaaten vorsehen, dass in Ausnahmefällen, in denen dies für die vor dem 6. Mai 2016 eingerichteten automatisierten Verarbeitungssysteme mit einem unverhältnismäßigen Aufwand verbunden ist, diese bis zum 6. Mai 2023 mit Artikel 25 Absatz 1 in Einklang gebracht werden müssen. 21 Die EU-Datenbank EUR-Lex enthielt bis zum 28.05.18 keine Einträge zu polnischem Umsetzungsmaßnahmen, zu deren Meldung die Mitgliedstaaten gegenüber der Kommission nach Art. 63 Abs. 1 S. 2 RL 2016/680 verpflichtet sind, vgl. http://eur-lex.europa.eu/legal-content /DE/NIM/?uri=CELEX:32016L0680&qid=1527153116664 (letztmaliger Abruf am 28.05.18). 22 Siehe etwa Schwichtenberg, Die „kleine Schwester“ der DSGVO: Die Richtlinie zur Datenverarbeitung bei Polizei und Justiz, DuD 2016, S. 605 ff.; Weinhold/Johannes, Europäischer Datenschutz in Strafverfolgung und Gefahrenabwehr sowie deren Konsequenzen für deutsche Gesetzgebung und Praxis, DVBl. 2016, S. 1501 ff.; Piltz, Die neuen Protokollierungspflichten nach der Richtlinie 2016/680/EU für öffentliche Stellen, NVwZ 2018, S. 696 ff. 23 Vgl. Erwägungsgründe Nr. 6 bis 11 der Richtlinie (Fn. 15). Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 10 Soweit Art. 17 und Art. 18 COP24-Gesetz auch eine Datenverarbeitung im Bereich der allgemeinen , nicht strafrechtsbezogenen Gefahrenabwehr ermöglichen24, dürfte diese Tätigkeit nicht in seinen Anwendungsbereich der Richtlinie fallen.25 Die Grenzen dürften jedoch zum Teil fließend sein, wie sich aus Erwägungsgrund Nr. 12 der Richtlinie ergibt. Danach bezieht dieser Rechtsakt auch solche polizeilichen Tätigkeitsbereiche in den Anwendungsbereich mit ein, „in denen nicht von vornherein bekannt ist, ob es sich um Straftaten handelt oder nicht. Solche Tätigkeiten können ferner die Ausübung hoheitlicher Gewalt durch Ergreifung von Zwangsmitteln umfassen, wie polizeiliche Tätigkeiten bei Demonstrationen, großen Sportveranstaltungen und Ausschreitungen .“ Doch auch dabei muss ein Strafrechtsbezug bestehen, wie aus der weiteren Formulierungen in Erwägungsgrund Nr. 12 der Richtlinie deutlich wird: „[Die Tätigkeiten] umfassen auch die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe, die der Polizei oder anderen Strafverfolgungsbehörden übertragen wurde, soweit dies zum Zweck des Schutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen für durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer Straftat führen können, erforderlich ist. Die Mitgliedstaaten können die zuständigen Behörden mit anderen Aufgaben betrauen, die nicht zwangsläufig für die Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, ausgeführt werden, so dass die Verarbeitung von personenbezogenen Daten für diese anderen Zwecke insoweit in den Anwendungsbereich der Verordnung (EU) 2016/679 fällt, als sie in den Anwendungsbereich des Unionsrechts fällt.“26 Bei der in Bezug genommenen Verordnung (EU) 2016/679 handelt es sich um die Datenschutz- Grundverordnung.27 Diese schließt ihre Anwendbarkeit in Art. 2 Abs. 2 Buchst. a für Datenverarbeitungen aus, die nicht in den Anwendungsbereich des Unionsrechts fallen. Mit Blick auf die strafrechtsbezogenen Regelungsbereiche in den Kapiteln 4 und 5 des Raums der Freiheit, der Sicherheit und des Rechts (Art. 82 bis 86 bzw. Art. 87 bis 89 AEUV) dürfte das allgemeine, nicht 24 Die Formulierung in Art. 17 Abs. 1 COP24-Gesetz lautet „Zur Sicherstellung von öffentlicher Sicherung und Ordnung, aber auch zur Verhütung von Straftaten und Ordnungswidrigkeiten […].“ 25 Vgl. Weinhold/Johannes (Fn. 22), DVBl. 2016, S. 1501 (1503). Weniger klar hingegen Schwichtenberg (Fn. 22), DuD 2016, S. 605, der „die Datenverarbeitung zu präventiven als auch zur repressiven Zwecken“ erfasst ansieht und entsprechend von einer Betroffenheit der für das allgemeine Polizeirecht zuständigen Bundesländer ausgeht . 26 Hervorhebung durch Verfasser. 27 Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl.EU 2016 Nr. L 119/1, online abrufbar unter http://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679&qid=1527224076379&from=DE (letztmaliger Abruf am 28.05.18). Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 11 strafrechtsbezogene Gefahrenabwehrrecht der Mitgliedstaaten jedenfalls solange nicht in den Anwendungsbereich des Unionsrechts fallen, als hierauf gestützte Maßnahmen nicht zu Eingriffen in die Grundfreiheiten oder das allgemeine Freizügigkeitsrecht führen.28 Letztlich kann diese, im Einzelnen schwierige (Abgrenzungs-)Frage hier dahinstehen, da Art. 17 und 18 COP24-Gesetz vorliegend jedenfalls auch die Datenverarbeitung im Bereich des Strafrechts betreffen und insoweit in ihrem abstrakten Regelungsgehalt am Maßstab der Richtlinie gemessen werden können. 3.2.2. Vorgaben zur Unterscheidung verschiedener Kategorien betroffener Personen Art. 6 RL 2016/680 schreibt vor, dass „gegebenenfalls und so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien betroffener Personen klar [unterschieden wird]“. In Art. 6 Buchst. a bis d RL 2016/680 werden sodann vier beispielhafte Kategorien genannt : der Straftat bzw. ihrer künftigen Begehung verdächtigte Personen (Buchst. a), verurteilte Straftäter (Buchst. b), tatsächliche und möglich Opfer von Straftaten (Buchst. c) sowie andere Parteien im Zusammenhang mit einer Straftat (Buchst. d). Art. 17 Abs. 1 COP24-Gesetz unterscheidet in Nr. 1 und Nr. 4 zwar zwei Personenkategorien: Personen , die eine Gefahr für die öffentliche Sicherheit und Ordnung darstellen (Nr. 1), und Personen , die lediglich als Teilnehmer der COP24-Konferenz registriert sind oder bei dieser Konferenz eingesetzt werden (Nr. 4). Diese Differenzierung bleibt aber nicht nur hinter der beispielhaften Unterscheidung des Art. 6 RL 2016/680 zurück. Fraglich ist ferner, ob bloße Konferenzteilnehmer und dort eingesetzte Personen in dieser Pauschalität noch als „andere Parteien im Zusammenhang mit einer Straftat“ nach Art. 6 Buchst. d RL 2016/680 betrachtet werden können. Hiervon unabhängig enthält Art. 17 Abs. 1 COP24-Gesetz jedenfalls keine Unterscheidung im Hinblick auf die Informationen bzw. Daten, die in Bezug auf diese beiden Personenkategorien verarbeitet werden . Die betreffende polizeiliche Befugnis zur Verarbeitung nach Art. 17 Abs. 1 COP24-Gesetz sowie zur Weitergabe nach Art. 18 Abs. 1 COP24-Gesetz gilt für beide Personenkategorien in gleicher Weise. Es kann daher bezweifelt werden, ob dies den Vorgaben des Art. 6 RL 2016/680 entspricht. Hierbei ist jedoch zu beachten, dass die Unterscheidung dem Wortlaut nach nur „gegebenenfalls und soweit wie möglich“ erfolgen soll. Darüber hinaus legt Art. 6 RL 2106/680 nicht fest, zu welchen Konsequenzen eine solche Unterscheidung nach Personenkategorien führen soll.29 Daraus folgt, dass den Mitgliedstaaten bei der Umsetzung bzw. Einhaltung dieser Bestimmung ein weiter Umsetzungsspielraum eingeräumt ist. Keinerlei Unterscheidung hinsichtlich der Ausübung der Datenverarbeitungsbefugnisse dürfte jedoch zu einer Missachtung der Vorgaben aus Art. 6 RL 2016/680 führen. 28 Vgl. zur EU-Grundrechtsbindung im Zusammenhang mit Eingriffen in Grundfreiheiten und das allgemeine Freizügigkeitsrecht nach Art. 21 AEUV, oben unter 2.1., S. 4 f. 29 Vgl. Schwichtenberg (Fn. 22), DuD 2016, S. 605 (607); Weinhold/Johannes (Fn. 22), DVBl. 2016, S. 1501 (1504), gehen hingegen davon aus, dass bei der Verarbeitung zwischen den Kategorien unterschieden werden muss und auf „organisatorischer und technischer Ebene […] zum Schutz der verschiedenen Kategorien betroffener Personen Schutzvorkehrungen zu treffen [sind].“ Eine Begründung für diese Auffassung wird jedoch nicht gegeben. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 12 3.2.3. Vorgaben zum Umfang der verarbeiteten Daten Zum Umfang der verarbeiteten Daten enthält die Richtlinie mehrere Bestimmungen. So schreibt etwa Art. 4 Abs. 1 Buchst. c RL 2016/680 in allgemeiner Hinsicht vor, dass personenbezogene Daten dem Verarbeitungszweck entsprechen und maßgeblich sein müssen sowie in Bezug auf die Zwecke, für die sie verarbeiten werden, nicht übermäßig sein dürfen. Für bestimmte Kategorien personenbezogener Daten gelten nach Art. 10 RL 2016/680 darüber hinausgehende Anforderungen : So ist die Verarbeitung personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung „nur dann erlaubt, wenn sie unbedingt erforderlich ist und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt“ sowie noch weitere – alternativ zu erfüllende – Voraussetzungen erfüllt werden (vgl. insoweit Art. 10 Buchst. a bis c RL 2016/68030). Ob Art. 17 Abs. 1 COP24-Gesetz diesen Anforderungen genügt, ist äußerst fraglich. Wie oben dargestellt , ermächtigt diese Vorschrift über die Verweiskette zu Art. 27 des polnischen Datenschutzgesetzes auch zur Verarbeitung von personenbezogenen Daten im Sinne des Art. 10 RL 2016/680.31 Dies gilt nicht nur in Bezug auf Personen, die eine Gefahr für die öffentliche Sicherheit und Ordnung darstellen (Art. 17 Abs. 1 Nr. 1 COP24-Gesetz), sondern auch hinsichtlich einfacher Konferenzteilnehmer und sonstiger dort eingesetzter Personen (Art. 17 Abs. 1 Nr. 4 COP24-Gesetz). Es ist bereits zweifelhaft, ob die Verarbeitung von Daten, die der Aufzählung in Art. 10 RL 2016/680 entsprechen, insbesondere im letztgenannten Fall den Vorgaben von Art. 4 Abs. 1 Buchst. c RL 2016/680 genügt. Denn es ist nicht ersichtlich, dass Daten der Konferenzteilnehmer zu ihrer rassischen oder ethnischen Herkunft oder in Bezug auf ihr Sexualleben dem Verarbeitungszweck der Sicherstellung der öffentlichen Sicherheit sowie der Verfolgung von Straftaten während der COP24-Konferenz entsprechen und hierfür maßgeblich sind. Noch größer sind die Zweifel im Hinblick auf die Anforderungen aus Art. 10 RL 2016/680. Weder ist erkennbar, dass die Verarbeitung derart sensibler Daten „unbedingt erforderlich“ im Sinne dieser Vorschrift ist, noch, dass dies „vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt“. Letztere ergeben sich jedenfalls nicht aus dem COP24-Gesetz und den darin in Bezug genommenen Vorschriften anderer polnischer Gesetze. Ob und inwieweit solche Garantien ggf. aufgrund sonstiger Vorschriften des polnischen Rechts zu beachten sind, ist allerdings nicht bekannt. 30 Diese weiteren – alternativ zu erfüllenden – Voraussetzungen liegen vor, wenn die Verarbeitung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist (Buchst. a), der Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen natürlichen Person dient (Buchst. b) oder wenn sie sich auf Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat (Buchst. c). 31 Siehe oben unter 3.1., S. 7 f. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 13 3.2.4. Vorgaben zu den Rechten der betroffenen Personen Die Richtlinie enthält ein ganzes Kapitel mit mehreren Artikeln zu den Rechten der von einer Datenverarbeitung betroffenen Personen (Kap. III, Art. 12 bis 18 RL 2016/680). So müssen die Mitgliedstaaten nach Art. 12 der RL 2016/680 vorsehen, dass angemessene Maßnahmen getroffen werden, um der betroffenen Person zumindest alle Informationen nach Artikel 13 Buchst. a bis e RL 2016/680 zu übermitteln. Zu diesen Informationen gehören unter anderem der Name und die Kontaktdaten des für die Verarbeitung Verantwortlichen, die Zwecke, für die die personenbezogenen Daten verarbeitet werden, das Bestehen eines Beschwerderechts und das Bestehen eines Rechts auf Auskunft (vgl. Art. 14 RL 2016/680) und Berichtigung oder Löschung und Einschränkung der Verarbeitung personenbezogener Daten (vgl. Art. 16 RL 2016/680). Darüber hinaus müssen betroffene Personen in besonderen Fällen über zusätzliche Umstände, wie z.B. die Rechtsgrundlage der Verarbeitung oder die Dauer, für die die personenbezogenen Daten gespeichert werden, informiert werden (vgl. Art. 13 Abs. 2 RL 2016/680). Art. 17 und auch Art. 18 COP24-Gesetz enthalten keine Regelungen zu derartigen Rechten betroffener Personen. Ob und inwieweit sich solche aus anderen Vorschriften des polnischen Rechts ergeben und von den Polizeibehörden zu beachten sind, ist nicht bekannt. Ungeachtet dessen sieht Art. 17 Abs. 1 COP24-Gesetz vor, dass die Verarbeitung von Informationen und Daten nach dieser Vorschrift – und damit ebenfalls deren Weitergabe nach Art. 18 Abs. 1 COP24-Gesetz – auch ohne Wissen und Einverständnis der Personen, die hiervon betroffen sind, erfolgen kann. Art. 13 Abs. 3 RL 2016/680 sieht zwar die Möglichkeit vor, dass die Unterrichtung der betroffenen Person auf gesetzlicher Grundlage „soweit und so lange aufgeschoben, eingeschränkt oder unterlassen werden kann, wie diese Maßnahme in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und sofern den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird“. Anschließend werden zusätzlich verschiedene Gründe aufgeführt, aus denen Einschränkungen vorgenommen werden können, u. a. zur Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden (Buchst. a) oder zur Gewährleistung, dass die Verhütung, Aufdeckung , Ermittlung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden (Buchst. b).32 Ob Art. 17 oder Art. 18 COP24-Gesetz diesen Anforderungen genügen, ist vor allem im Hinblick auf die Personengruppe einfacher Konferenzteilnehmer und sonstiger dort eingesetzter Personen sehr fraglich. Denn von diesen Personen geht im Lichte der Unterscheidung von Art. 17 Abs. 1 Nr. 1 und Nr. 4 COP24-Gesetz per definitionem keine Gefahr für die öffentliche Sicherheit aus bzw. droht keine Begehung von Straftaten, so dass etwaige verdeckte Ermittlungen etc., die einer 32 Zwar gilt diese Einschränkung dem Wortlaut nach nur für Art. 13 Abs. 2 RL 2016/680, nicht hingegen für Art. 13 Abs. 1 RL 2016/680. Hierbei könnte es sich jedoch um ein Redaktionsversehen handeln. So war in Art. 17 des Rahmenbeschlusses 2008/977/JI des Rates v. 27.11.2008, den die Richtlinie ersetzt, und auch in Art. 11 Abs. 4 des Vorschlags der Kommission für diese Richtlinie [vgl. KOM(2012) 10 endg.] vorgesehen, dass unter bestimmten Voraussetzungen und zu Gunsten festgelegter Interessen von allen Informationspflichten Ausnahmen gemacht werden können. Ein solches Verständnis des Art. 13 Abs. 3 RL 2016/680 legt auch Erwägungsgrund Nr. 44 nahe, der hinsichtlich der Einschränkung ebenfalls allgemein formuliert ist. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 14 vorhergehenden Information des Betroffenen in sachlicher Hinsicht entgegenstehen und daher Anlass für eine Einschränkung nach Art. 13 Abs. 3 RL 2016/680 bieten, nicht im Raum stehen. Die genannten Fällen nach Art. 13 Abs. 3 Buchst. a oder b RL 2016/680 sind somit nicht einschlägig . 3.2.5. Zwischenergebnis Zusammenfassend lässt sich festhalten, dass teils erhebliche Zweifel bestehen, ob Art. 17 und Art. 18 COP24-Gesetz unter einigen ausgesuchten Gesichtspunkten mit der Richtlinie vereinbar sind. Das betrifft die Richtlinienvorgaben zur Differenzierung nach betroffenen Personengruppen gemäß Art. 6 RL 2016/680, zum Umfang der zu verarbeitenden Daten gemäß Art. 4 Abs. 1 Buchst. c und Art. 10 RL 2016/680 sowie zu den Informationsrechten der betroffenen Personen gemäß Art. 13 RL 2016/2018. Vor diesem Hintergrund ist insgesamt fraglich, ob im Fall der genannten Bestimmungen des COP24-Gesetzes von einer rechtmäßigen Datenverarbeitung im Sinne von Art. 8 RL 2016/680 ausgegangen werden kann. Denn diese Bestimmung verpflichtet die MS allgemein dazu, u. a. vorzusehen , „dass die Verarbeitung nur dann rechtmäßig ist, wenn und soweit sie für die Erfüllung einer Aufgabe erforderlich ist, die von der zuständigen Behörde zum Zwecke der Verhütung, Ermittlung , Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit wahrgenommen wird […].“ Diese Erforderlichkeit ist vor allem im Hinblick auf Konferenzteilnehmer und sonstige dort eingesetzte Personen im Sinne des Art. 17 Abs. 1 Nr. 4 COP24-Gesetz nicht erkennbar. Hieran vermögen auch die zeitlichen Einschränkungen nichts zu ändern, die sich im Hinblick auf die Verarbeitung nach Art. 17 Abs. 1 COP24-Gesetz aus den in dieser Bestimmung und in Art. 19 Abs. 2 COP24-Gesetz genannten Frist ergeben. Wie einleitend ausgeführt, ist eine abschließende Entscheidung gleichwohl nicht möglich. Dies folgt nicht nur aus der Neuheit des Rechtsaktes, fehlender Rechtsprechung hierzu sowie dem teilweise großen Spielraum, der den Mitgliedstaaten bei der Umsetzung der zum Teil eher allgemein gehaltenen Vorgaben zukommen dürfte. Unklar bleibt und nicht untersucht wurde ferner, inwieweit neben dem COP24-Gesetz und den Vorschriften, die in den betreffenden Artikeln dieses Gesetzes ausdrücklich in Bezug genommen werden, noch andere Vorschriften des polnischen Rechts zu beachten sind, aus denen sich Einschränkungen der in Art. 17 und 18 COP24-Gesetz geregelten Polizeibefugnisse ergeben. 3.3. Vereinbarkeit mit Unionsgrundrechten Insbesondere in Fällen, in denen die Richtlinie ausdrücklich auf die Vereinbarkeit mit EU- Grundrechten verweist33 und bei Einräumung eines Umsetzungsspielraums dürften auch die einschlägigen Unionsgrundrechte aus Art. 7 GRC auf Achtung des Privatlebens und aus Art. 8 GRC auf Schutz der personenbezogenen Daten als Prüfungsmaßstäbe für Art. 17 und Art. 18 COP24- 33 Vgl. etwa allgemein Art. 1 Abs. 2 Buchst. a RL 2016/680 sowie Art. 13 Abs. 3 RL 2016/680 hinsichtlich der Einschränkung der Informationsrechte. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 15 Gesetz in Betracht kommen.34 Darüber hinaus sind die genannten Grundrechte insbesondere auch für die Anwendung der (umgesetzten) Richtlinienvorgaben im Einzelfall maßgeblich bzw. bei der konkret-individuellen Anwendung des COP24-Gesetzes zu beachten. Das speziell auf die Datenverarbeitung bezogene Grundrecht aus Art. 8 GRC greift bei jeder Verarbeitung personenbezogener Daten und stellt hierfür spezielle Erfordernisse des Datenschutzes auf.35 Das Unionsgrundrecht aus Art. 7 GRC auf Achtung des Privatlebens ist durch eine Datenverarbeitung immer dann betroffen, wenn die verarbeiteten Daten personenbezogener Natur sind und hieraus Rückschlüsse auf das Privatleben gezogen werden können.36 Soweit dies der Fall ist, besteht zwischen den beiden Grundrechten Idealkonkurrenz, sodass sie parallel zur Anwendung gelangen.37 Vorliegend werden mit Blick auf die bereits bestehenden Zweifel hinsichtlich der Vereinbarkeit der Art. 17 und Art. 18 COP24-Gesetz mit der Richtlinie zum einen nur die allgemeinen Anforderungen dargestellt, die sich aus Art. 8 GRC ergeben. In Bezug auf Art. 7 GRC kann auf die bereits erwähnte Ausarbeitung des Fachbereichs WD 238 verwiesen werden, da die dortigen Erörterungen zu Art. 8 EMRK auf Art. 7 GRC übertragbar sind.39 Zum anderen soll wegen der ausdrücklichen Bezugnahme auf Grundrechte im Zusammenhang mit der Einschränkung der Informationsrechte nach Art. 13 Abs. 3 RL 2016/680 nur dieser Aspekt gesondert betrachtet. Zunächst sind jedoch Schutzbereich und Eingriff kurz darzustellen. 3.3.1. Schutzbereich von Art. 8 GRC und Eingriff in den Schutzbereich Der Schutzbereich des Art. 8 GRC umfasst alle personenbezogenen Daten. Dies sind alle Informationen über eine bestimmte oder bestimmbare natürliche Person.40 Bei dem in Art. 17 Abs. 2 COP24-Gesetz definierten Umfang an Daten, die von den Befugnissen des COP24-Gesetzes erfasst 34 Siehe zur EU-Grundrechtsbindung der Mitgliedstaaten im Hinblick auf die Richtlinie über Datenschutz im Strafrechtsbereich auch Weinhold/Johannes (Fn. 22), DVBl. 2016, S. 1501 (1503 ff.). Die dortige Bezugnahme auf die einschränkende Rechtsprechung des BVerfG im Hinblick auf die Anwendung der Unionsgrundrechte im Zusammenhang mit Umsetzungsspielräumen ist für den vorliegenden Fall ohne Bedeutung. Ob und inwieweit auch nach polnischem Verfassungsrecht in derartigen Fällen von einem Vorrang nationaler Grundrechte auszugehen ist, wurde nicht untersucht und ist auch nicht bekannt. 35 Vgl. EuGH, Urteil v. 8.04.2014, verb. Rs. C-293/12 und C-594/12 (Digital Rights Ireland), Rn. 29. 36 Vgl. EuGH, Urteil v. 8.04.2014, verb. Rs. C-293/12 und C-594/12 (Digital Rights Ireland), Rn. 27, 29. 37 EuGH, Urteil v. 8.04.2014, verb. Rs. C-293/12 und C-594/12 (Digital Rights Ireland), Rn. 29. 38 Siehe Fn. 4. 39 Vgl. oben unter 2.2., S. 6: Die Ausführungen im Zusammenhang mit den Art. 11 EMRK und Art. 12 GRC gelten hier entsprechend. Siehe die Erläuterungen zu Art. 7 GRC (o. Fn. 14). 40 EuGH, Urteil v. 09.11.2010, Rs. C-92/09 (Schecke), Rn. 52. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 16 werden,41 handelt es sich um personenbezogenen Daten, sodass der Schutzbereich des Art. 8 GRC eröffnet ist. Jede Verarbeitung von Daten stellt einen Eingriff in diesen Schutzbereich dar,42 wobei zur Konkretisierung des Begriffes der Verarbeitung bisher auf die alte Datenschutzrichtlinie 95/4643 zurückgegriffen wurde,44 sodass darunter jede Erhebung, Speicherung, Verwendung, Sperrung und Löschung personenbezogener Daten fällt45 sowie auch deren Weitergabe.46 Mit der Ermächtigung der Polizei, personenbezogene Daten einzuholen, zu erhalten, zu sammeln, zu überprüfen, zu verarbeiten und zu nutzen und diese Daten anderen Behörden, Diensten und Institutionen zur Verfügung zu stellen, greifen Art. 17 Abs. 1 und Art. 18 Abs. 1 des COP 24-Gesetzes in den Schutzbereich von Art. 8 GRC ein. 3.3.2. Rechtfertigung Nach Art. 52 Abs. 1 GRC können Eingriffe unter bestimmten Voraussetzungen gerechtfertigt sein. Sie bedürfen jedoch einer gesetzlichen Grundlage. Diese muss „klare und präzise Regeln für die Tragweite und die Anwendung der fraglichen Maßnahmen vorsehen“.47 Insbesondere muss der Zweck der Verarbeitung festgelegt werden, vgl. Art. 8 Abs. 2 S. 1 GRC. Ein tauglicher Zweck, zu dessen Gunsten das Recht auf Schutz der personenbezogenen Daten eingeschränkt werden kann, muss eine von der Union anerkannte dem Gemeinwohl dienende Zielsetzung oder der Schutz der Rechte und Freiheiten anderer sein, vgl. Art. 52 Abs. 1 S. 2 GRC. Darüber hinaus müssen die Einschränkungen verhältnismäßig sein, vgl. Art. 52 Abs. 1 S. 2 GRC,48 also zur Erreichung des Zwecks zunächst geeignet sein und nicht über das dazu Erforderliche 41 Siehe oben unter 3.1., S. 7 f. 42 EuGH, Urteil v. 9.11.2010, Rs. 92/09 (Schecke), Rn. 60; EuGH, Urteil v. 8.04.2014, verb. Rs. C-293/12 und C- 594/12 (Digital Rights Ireland), Rn. 36. 43 Richtlinie Nr. 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl.EU 1995 Nr. L 281/31, letzte konsolidierte Fassung online abrufbar unter http://eur-lex.europa.eu/legal-content /DE/TXT/PDF/?uri=CELEX:01995L0046-20031120&from=EN (letztmaliger Abruf am 28.05.18). 44 Siehe für die Erläuterungen oben Fn. 14. 45 Vgl. Art. 2 lit. b) Richtlinie 95/64 (Fn. 43). 46 EuGH, Urteil v. 20.05.2003, Rs. C-465/00 (Österreichischer Rundfunk), Rn. 74; EuGH, Urteil v. 5.05.2011, Rs. C-543/09 (Deutsche Telekom), Rn. 53. 47 EuGH, Urteil v. 8.04.2014, verb. Rs. C-293/12 und C-594/12 (Digital Rights Ireland), Rn. 54; EuGH, Urteil v. 6.10.2015, Rs. C-362/14 (Schrems), Rn. 91. 48 Siehe auch EuGH, Urteil v. 9.11.2010, Rs. C-92/09 (Schecke), Rn. 72. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 17 hinausgehen.49 Einschränkungen von Art. 8 GRC sind „auf das absolut Notwendige“ zu beschränken .50 Auch sind die durch die Datenverarbeitung verursachten Belastungen für den Grundrechtsträger und die verfolgten Ziele ausgewogen zu gewichten.51 Zwar dienen Art. 17 und Art. 18 COP24-Gesetz mit dem Schutz der öffentlichen Sicherheit und der Verhütung von Straftaten dem Gemeinwohl dienenden Zwecksetzungen und damit zur Rechtfertigung tauglichen Zwecken. Entscheidend ist in derartigen Fällen regelmäßig jedoch die Verhältnismäßigkeit. Deren Einhaltung dürfte vor allem – wie sich auch bereits im Lichte der Richtlinie ergibt52 – in Bezug auf die Datenverarbeitung von einfachen Konferenzteilnehmern und dort eingesetzten Personen nicht gegeben sein. Ob die Verhältnismäßigkeit im Hinblick auf die Personengruppe nach Art. 17 Abs. 1 Nr. 4 COP24-Gesetz, die eine Gefahr für die öffentliche Sicherheit und Ordnung darstellen, gewahrt ist, lässt sich hingegen nicht so ohne weiteres beantworten . In die Abwägung einzustellen wären hier zugunsten des polnischen Gesetzgebers jedenfalls die in Art. 19 COP24-Gesetz geregelten zeitlichen Begrenzungen der Befugnisse nach Art. 17 Abs. 1 COP24-Gesetz. Wie oben ausgeführt, knüpft die Richtlinie in Art. 13 Abs. 3 RL 2016/680 Einschränkungen der Informationsrechte u. a. an die Voraussetzung, dass den Grundrechten – und damit auch Art. 8 GRC – Rechnung getragen wird. Art. 8 Abs. 2 S. 2 GRC sieht einen grundrechtlichen Anspruch auf Auskunft über erhobene Daten und deren Berichtigung vor. Ein Ausschluss dieses Anspruches ist nach Literaturansicht nur bei zwingenden und sehr gewichtigen Gemeinwohlgründen denkbar.53 Im Zusammenhang mit der Sicherstellung der öffentlichen Sicherheit und der Verhütung oder Aufklärung von Straftaten werden derartige Gründe allenfalls dann vorliegen, wenn hinreichende Verdachtsmomente bestehen. Bei den von der Datenverarbeitung nach Art. 17 Abs. 1 Nr. 4 COP24-Gesetz betroffenen Konferenzteilnehmern und sonstigen dort eingesetzten Personen ist das per definitionem nicht der Fall. Die danach gleichwohl bestehende, pauschale Ermächtigung, Personen im Sinne des Art. 17 Abs. 1 Nr. 4 COP24-Gesetz ohne weiteren Grund nicht über die Datenverarbeitung zu unterrichten, dürfte daher unverhältnismäßig sein und einen nicht gerechtfertigten Eingriff in Art. 8 GRC darstellen. Ob die Verhältnismäßigkeit einer Einschränkung der Informationsrechte bei der Personengruppe nach Art. 17 Abs. 1 Nr. 4 COP24-Gesetz gewahrt ist, lässt sich hingegen nicht ohne weiteres beantworten, da in der Vorschrift nicht weiter definiert ist, wann eine solche Gefahr anzunehmen ist. Allerdings könnte bereits die Pauschalität der Ermächtigungsgrundlage bereits einen Verstoß gegen Art. 8 GRC darstellen. 49 EuGH, Urteil v. 9.11.2010, Rs. C-92/09 (Schecke), Rn. 74. 50 EuGH, Urteil v. 9.11.2010, Rs. C-92/09 (Schecke), Rn. 77; EuGH, Urteil v. 8.04.2014, verb. Rs. C-293/12 und 594/12 (Digital Rights Ireland), Rn. 52; EuGH, Urteil v. 6.10.2015, Rs. C-362/14 (Schrems), Rn. 92; EuGH, Urteil v. 21.12.2016, verb. Rs. C-203/15 und C-698/15 (Tele2 Sverige AB), Rn. 96; EuGH, Urteil v. 27.9.2017, Rs. C-73/16 (Puškár), Rn. 112. 51 EuGH, Urteil v. 09.11.2010, Rs. C-92/09 (Schecke), Rn. 77, 80. 52 Siehe oben unter 3.2.5., S. 13. 53 Jarass (Fn. 6), Art. 8 GRC, Rn. 26. Unterabteilung Europa Fachbereich Europa Ausarbeitung PE 6 - 3000 - 37/18 Seite 18 3.4. Ergebnis Es bestehen teils erhebliche Zweifel, ob die datenschutzrechtlichen Befugnisse in Art. 17 und Art. 18 COP24-Gesetz mit einzelnen Vorgaben der Richtlinie über Datenschutz im Strafrechtsbereich vereinbar sind sowie den ggf. sekundär und ergänzend anwendbaren Grundrechten entsprechen , vor allem aus Art. 8 GRC. Das betrifft in jedem Fall das auf Grundlage dieser Bestimmungen des COP24-Gesetzes mögliche Tätigwerden der polnischen Polizeibehörden gegenüber einfachen Teilnehmern der Konferenz und sonstigen dort eingesetzten Personen (vgl. Art. 17 Abs. 1 Nr. 4 COP24-Gesetz). Eine andere Beurteilung könnte im Hinblick auf Personen angezeigt sein, die nach Art. 17 Abs. 1 Nr. 1 COP24-Gesetz eine Gefahr für die öffentliche Sicherheit und Ordnung darstellen. Eine abschließende Entscheidung ist jedoch in beiden Fällen nicht möglich. Dies folgt nicht nur aus der Neuheit der auf Art. 17 und Art. 18 COP24-Gesetz primär anwendbaren Richtlinie, fehlender Rechtsprechung zu diesem Rechtsakt sowie dem teilweise großen Spielraum, der den Mitgliedstaaten bei der Umsetzung der zum Teil eher allgemein gehaltenen Richtlinienvorgaben zukommen dürfte. Unklar und nicht untersucht wurde ferner, inwieweit neben dem COP24-Gesetz und den Vorschriften, die in den betreffenden Artikeln dieses Gesetzes ausdrücklich in Bezug genommen werden, noch andere Vorschriften des polnischen Rechts zu beachten sind, aus denen sich möglicherweise Einschränkungen der in Art. 17 und 18 COP24-Gesetz geregelten Polizeibefugnisse ergeben. – Fachbereich Europa –