Erläuternder Bericht

Datenschutz (Kapitel VII)

Das ganze Kapitel VII ist dem Datenschutz gewidmet. Es werden einerseits die für die Verarbeitung von Daten verantwortlichen Stellen genannt (Art. 40), andererseits jene, die für die Sicherheit der Datenverarbeitung zuständig sind (Art. 42). eu-LISA kommt hier eine besondere Bedeutung zu, da die Agentur für die Sicherheit der Zentralkomponenten und der Kommunikationsinfrastruktur zuständig ist und beispielsweise für die Wiederherstellung des Normalbetriebs im Störungsfall sorgen muss. Die Schengen-Staaten haben Massnahmen zur Überwachung der Einhaltung der EU-Interoperabilitätsverordnungen zu treffen (Art. 44). Artikel 45 verpflichtet die Schengen-Staaten dazu, Sanktionen für den Missbrauch von Daten, sowie die unrechtmässige Verarbeitung oder den Austausch von Daten vorzusehen. Die Ahndung soll wirksam, verhältnismässig und abschreckend sein. In Artikel 46 ist die Haftung im Schadensfall geregelt. Grundsätzlich hat jede Person, der durch rechtswidrige Datenverarbeitung oder andere gegen die Verordnung verstossende Handlungen ein Schaden entstanden ist, das Recht, Schadenersatz zu verlangen. Die verantwortliche Stelle wird von der Haftung befreit, wenn sie nachweislich nicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Führt eine Pflichtverletzung eines Schengen-Staates zu einem Schaden an den Zentralkomponenten, ist er ebenfalls haftbar, soweit von eu-LISA oder einem anderen Schengen-Staat angemessene Massnahmen zur Verhütung oder Verringerung des Schadens ergriffen wurden.

Das Recht auf Information bezüglich im sBMS, CIR oder MID gespeicherter Daten ist in Artikel 47 geregelt. Werden personenbezogene Daten erfasst, die im sBMS, CIR oder MID gespeichert werden, so hat die betroffen Person in einfacher und ihr verständlicher Sprache informiert zu werden. Artikel 48 regelt das Recht auf Auskunft, Berichtigung und Löschung von im MID gespeicherten Daten. Verlangt eine Person Auskunft darüber, ob sie betreffende personenbezogene Daten verarbeitet werden oder strebt sie deren Berichtigung, Löschung oder Einschränkung der Verarbeitung an, kann sie sich an die zuständige Behörde eines beliebigen Schengen-Staates wenden, der den Antrag prüft und beantwortet. Wird der Antrag auf Berichtigung oder Löschung personenbezogener Daten bei einem Staat gestellt, der nicht für die manuelle Verifizierung verschiedener Identitäten zuständig ist, nimmt dieser mit dem zuständigen Schengen-Staat oder der ETIAS-Zentralstelle, falls diese für die Verifizierung zuständig ist, Kontakt auf, damit sie die Daten prüft. Die Prüfung hat generell innert 45 Tagen nach Antragseingang zu erfolgen, Fristverlängerungen sind möglich. Die Person wird über das Resultat der Überprüfung und die allfällige Berichtigung oder Löschung schriftlich informiert. Ist der prüfende Staat der Meinung, dass die Daten nicht rechtswidrig bearbeitet oder gespeichert wurden, informiert er die betroffene Person entsprechend und gibt auch an, wie sie gegebenenfalls Klage erheben oder Beschwerde einlegen kann. Über den ganzen Prozess ist schriftlich Protokoll zu führen. Ein neues Webportal, soll es den betroffenen Personen erleichtern, ihre Recht auf Auskunft und Berichtung, Löschung oder Einschränkung der Verarbeitung personenbezogener Daten auszuüben und mit den zuständigen Behörden in Kontakt zu treten (Art. 49). Mittels Eingabe der einmaligen Kennnummer nach Artikel 34c wird die zuständige Behörde des zuständigen Schengen-Staates ermittelt. Auf dem Webportal sind auch eine E-Mail-Vorlage für eine erleichterte Kommunikation sowie Informationen über Rechte und Verfahren enthalten.