Nach Auffassung der EU-Kommission soll die DSRL-JI „sicherstellen, dass Strafverfolgungs- und Justizbehörden effektiver und schneller zusammenarbeiten können. Sie soll Vertrauen aufbauen und Rechtssicherheit garantieren“107. Voraussetzung für einen effektiven Datenschutz sei, dass die Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten harmonisiert werden.108 Indem die DSRL-JI den Besonderheiten des Strafverfolgungs- und Gefahrenabwehrrechts spezifisch Rechnung tragen soll,109 ist sie grundsätzlich lex specialis im Verhältnis zur DSGVO (Art. 2 Abs. 2 lit. d DSGVO).110
c) Anwendungsbereich
52
Nach Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 DSRL-JI gilt diese für die Verarbeitung personenbezogener Daten „zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“.
53
Die unionsrechtlich autonome Auslegung der Tatbestandsmerkmale wirft dabei viele Fragen auf:111
aa) Behördenbegriff
54
„Zuständige Behörde“ nach Art. 3 Ziff. 7 DSRL-JI112 ist aufgabenbezogen und nicht in einem institutionellen Sinne zu bestimmen.113 Auch Behörden, die nicht Polizeibehörden im Sinne der Landespolizeigesetze sind, können demnach Behörden im Sinne der DSRL-JI darstellen.114 Nach Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 DSRL-JI kommt es darauf an, dass von der Stelle eine Verarbeitung personenbezogener Daten vorgenommen wird „zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“.
55
Nach dem Willen des Richtliniengebers (vgl. ErwGr 11 und Art. 9 Abs. 2 DSRL-JI) gilt, wenn Behörden mit der Wahrnehmung von Aufgaben betraut sind, die sich nicht mit den für die in Art. 1 Abs. 1 DSRL-JI genannten Zwecke wahrgenommenen Aufgaben decken, ist nicht die DSRL-JI, sondern die DSGVO anwendbar.
bb) Ganz oder teilweise automatisierte Datenverarbeitung
56
Die DSRL-JI „gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“ (Art. 2 Abs. 2 DSRL-JI). Lediglich „Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind“, unterfallen nicht den Bestimmungen der DSRL-JI, vgl. ErwGr 18 DSRL-JI. Dagegen unterfallen strukturierte Behördenakten samt der dort enthaltenen personenbezogenen Daten – unabhängig, ob sie elektronisch oder in Papierform geführt werden – vollumfänglich den Regelungen der Richtlinie. Um Umgehungen zu vermeiden, ist die Richtlinie nach dem Willen des EU-Gesetzgebers insoweit technologieneutral.115 Nur rein „manuelle Maßnahmen“, z. B. eine Personenkontrolle, werden als solche nicht von der DSRL-JI erfasst. Werden hierbei allerdings die erlangten Daten mit einer Datei abgeglichen oder gespeichert, ist der Anwendungsbereich der DSRL-JI wieder eröffnet.116 Auf die gängigen Vorgangs- und Fallbearbeitungssysteme findet die DSRL-JI somit Anwendung. Dies gilt auch für den Einsatz ganz oder teilweise automatisierter Ermittlungstechniken, wie die Durchführung einer Telekommunikationsüberwachung, einer Online-Durchsuchung, einer Videoüberwachung, den Betrieb von automatisierten Kfz-Kennzeichenerfassungssystemen, den Einsatz eines IMSI-Catchers oder die Durchführung von Big Data-Analysen.117
cc) Verfahren, die der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten dienen
57
Weil die DSRL-JI auch auf Verfahren Anwendung findet, die der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten dienen, sind auch diejenigen Verfahren umfasst, die etwa auf die Verhängung einer Maßregel der Besserung und Sicherung gerichtet sind, und Ordnungswidrigkeitenverfahren.118 Eine Behörde, die z. B. Bußgeldbescheide erlässt und ein Ordnungswidrigkeitenverfahren durchführt, ist mithin Behörde im Sinne von Art. 3 Nr. 7 lit. a DSRL-JI.119
58
Ebenfalls von der DSRL-JI erfasst werden – neben der ausdrücklich erwähnten Strafvollstreckung (§§ 449 ff. StPO) – der Strafvollzug gem. Strafvollzugsgesetzen der Länder, soweit datenschutzrechtlich relevante Maßnahmen während der Freiheitsentziehung getroffen werden.120
dd) Nicht straftatenbezogene Gefahrenabwehr
59
Uneinigkeit besteht noch bei der Frage, wann nicht straftatbezogene Gefahrenabwehrmaßnahmen unter die DSRL-JI fallen. Einig ist man sich, dass der Wortlaut insofern ernst zu nehmen ist, als dass auch gewisse Ausschnitte des präventiven Bereiches unter die Richtlinie zu fassen sind.121
60
Teilweise wird die Geltung der DSRL-JI verneint, wenn die Polizei ohne Bezug zu Straftaten, in Fällen der Selbstgefährdung, zum Schutz privater Rechte122 oder im Rahmen einer Vermisstenanzeige tätig wird. Denn es handele sich hierbei um Maßnahmen, bei denen aus ex-ante-Sicht gar kein Bezug zu einer Straftat oder Ordnungswidrigkeit bestehe.123 Teilweise wird als maßgebliches Abgrenzungskriterium darauf abgestellt, ob die Behörde die Gefahr mittels Zwangsanwendung beseitigt.124 In den ErwGr 12 der DSRL-JI werden Beispiele für sog. doppel-funktionale Maßnahmen genannt, die erfasst sein sollen:
„Die Tätigkeiten der Polizei oder anderer Strafverfolgungsbehörden sind hauptsächlich auf die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten ausgerichtet, dazu zählen auch polizeiliche Tätigkeiten in Fällen, in denen nicht von vornherein bekannt ist, ob es sich um Straftaten handelt oder nicht. Solche Tätigkeiten können ferner die Ausübung hoheitlicher Gewalt durch Ergreifung von Zwangsmitteln umfassen, wie polizeiliche Tätigkeiten bei Demonstrationen, großen Sportveranstaltungen und Ausschreitungen. Sie umfassen auch die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe, die der Polizei oder anderen Strafverfolgungsbehörden übertragen wurde, soweit dies zum Zweck des Schutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen für durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer Straftat führen können, erforderlich ist. (…)“
61
Hier wird ein weit gefasster Präventionsbereich zugrunde gelegt. Unter Bezugnahme auf diese Beispiele in den Erwägungsgründen wird geschlussfolgert, dass jedenfalls bei doppel-funktionalen Maßnahmen, die ihren Schwerpunkt in der Gefahrenabwehr haben, die DSRL-JI anwendbar ist.125 Wegen der Unklarheit der Abgrenzung empfahl der Europäische Datenschutzbeauftragte 2015 eine enge Auslegung des Begriffs „Abwehr von Gefahren für die öffentliche Sicherheit“.126
62
Sonstiges datenschutzrelevantes Verwaltungshandeln der Polizei (beispielsweise im Rahmen der Personalaktenführung) unterliegt nicht der DSRL-JI, sondern der DSGVO.127 Auch wenn allgemeine Gefahrenabwehrbehörden, die nicht Polizeivollzugsbehörden sind, zur Gefahrenabwehr