Erläuternder Bericht

Die Agentur wendet bei der Verarbeitung personenbezogener Daten die Verordnung (EU) 2018/1725²⁷ an. Sie kann gestützt auf diese Verordnung personenbezogene Daten an einen Drittstaat oder eine internationale Organisation übermitteln, sofern eine solche Übermittlung für die Wahrnehmung der Aufgaben der Agentur erforderlich ist. Die Agentur stellt sicher, dass bei einer solchen Übermittlung Daten nur zu dem Zweck verarbeitet werden, zu dem sie bereitgestellt wurden.

Die Verordnung (EU) 2018/1725 stellt keine Weiterentwicklung des Schengen-Besitzstandes dar, die von der Schweiz zu übernehmen ist, weil sie nur für die Tätigkeit der Agentur selbst relevant ist. Die Verordnung findet Anwendung, soweit in der Verordnung (EU) 2019/1896 keine einschlägigen datenschutzrechtlichen Bestimmungen enthalten sind (insb. Art. 87 ff.). Für die Übermittlung von personenbezogenen Daten der Schengen-Staaten an die Agentur findet vielmehr der Datenschutzstandard der Datenschutz-Grundverordnung (EU) 2016/679²⁸ Anwendung²⁹, die aber ebenfalls keine Schengen-Weiterentwicklung darstellt, deren Vorgaben seitens der Schweiz aber im Rahmen der laufenden Revision des Datenschutzgesetzes Rechnung getragen wird.

Die Schengen-Staaten, die der Agentur personenbezogene Daten übermitteln, bestimmen, zu welchem Zweck diese Daten verarbeitet werden dürfen. Nur wenn zuvor geprüft wurde, ob die Verarbeitung zu einem anderen Zweck mit dem ursprünglichen Zweck der Datenerhebung vereinbar ist, und wenn der Lieferant der personenbezogenen Daten zustimmt, darf die Agentur fallweise beschliessen, die personenbezogenen Daten zu einem anderen Zweck zu verarbeiten. Die Agentur dokumentiert für jeden Einzelfall schriftlich, dass die Vereinbarkeit geprüft wurde (Art. 87 Abs. 2).

Vor allen gemeinsamen Aktionen einschliesslich Rückführungsaktionen legen die Agentur und der Einsatzstaat die Zuständigkeiten für die Einhaltung resp. Überwachung der Datenschutzverpflichtungen fest. Die Agentur verarbeitet nur bestimmte in der EU-Verordnung explizit geregelte personenbezogene Daten und dies nur zu bestimmten in der EU-Verordnung geregelten Zwecken (Art. 88 Abs. 1 i.V. mit Art. 87). So kann die Agentur z.B. personenbezogene Daten, die für die Identität von Drittstaatsangehörigen im Rahmen von Rückführungsmassnahmen erforderlich sind, zur Organisation von Rückführungsaktionen verarbeiten. Die Verarbeitung durch die Agentur ist nur dann zulässig, wenn die Übermittlung der Daten an die zuständigen Behörden der Schengen-Staaten für die Wahrnehmung ihrer Aufgaben erforderlich ist (vgl. hierzu auch Art. 88 Abs. 2 Bst. a).