Artikel 20 - Gesetz zur Umsetzung der Richtlinie (EU) 2016/680 im Strafverfahren sowie zur Anpassung datenschutzrechtlicher Bestimmungen an die Verordnung (EU) 2016/679 (StV-DSAnpUG-EU k.a.Abk.)

G. v. 20.11.2019 BGBl. I S. 1724 (Nr. 41); Geltung ab 26.11.2019

Artikel 20 Änderung des Gesetzes über die internationale Rechtshilfe in Strafsachen

Das Gesetz über die internationale Rechtshilfe in Strafsachen in der Fassung der Bekanntmachung vom 27. Juni 1994 (BGBl. I S. 1537), das zuletzt durch Artikel 3 des Gesetzes vom 27. August 2017 (BGBl. I S. 3295) geändert worden ist, wird wie folgt geändert:

1. Die Inhaltsübersicht wird wie folgt geändert:

a) Der Angabe zu § 73 wird folgende Angabe vorangestellt:

„Abschnitt 1 Allgemeine Regelungen".

b) Nach der Angabe zu § 77b werden die folgenden Angaben eingefügt:

„Abschnitt 2 Schutz personenbezogener Daten im Rechtshilfeverkehr

§ 77c Anwendungsbereich

§ 77d Übermittlung personenbezogener Daten

§ 77e Prüf-, Informations- und Protokollierungspflichten der übermittelnden Stelle

§ 77f Verfahren bei Fehlen eines Angemessenheitsbeschlusses

§ 77g Zustimmung zur Weiterleitung personenbezogener Daten

§ 77h Verwendung von übermittelten personenbezogenen Daten".

c) Nach der Angabe zu § 97 werden die folgenden Angaben eingefügt:

„Elfter Teil Schutz personenbezogener Daten im Rechtshilfeverkehr innerhalb der Europäischen Union und mit den Schengen-assoziierten Staaten

§ 97a Anwendungsbereich

§ 97b Übermittlung personenbezogener Daten

§ 97c Prüf-, Informations- und Protokollierungspflichten der übermittelnden Stelle".

d) Die Angabe zum bisherigen Elften Teil wird die Angabe zum Zwölften Teil.

2. Vor § 73 wird folgende Überschrift eingefügt:

„Abschnitt 1 Allgemeine Regelungen".

3. Nach § 77b wird folgender Abschnitt 2 eingefügt:

„Abschnitt 2 Schutz personenbezogener Daten im Rechtshilfeverkehr

§ 77c Anwendungsbereich

Die Vorschriften dieses Abschnitts sind auf personenbezogene Daten anzuwenden, die im Rechtshilfeverkehr übermittelt oder empfangen werden.

§ 77d Übermittlung personenbezogener Daten

(1) Personenbezogene Daten dürfen, soweit dies gesetzlich vorgesehen ist und vorbehaltlich der Regelungen in den §§ 97a und 97b, an öffentliche Stellen anderer Staaten sowie an zwischen- oder überstaatliche Einrichtungen übermittelt werden, wenn

1. dies für die Verhütung oder Verfolgung von Straftaten oder von Ordnungswidrigkeiten oder für die Vollstreckung oder den Vollzug von strafrechtlichen Sanktionen oder zur Abwehr von Gefahren erforderlich ist,

2. die empfangende Stelle für eine der in Nummer 1 genannten Aufgaben zuständig ist,

3. in Fällen, in denen die personenbezogenen Daten aus einem anderen Mitgliedstaat der Europäischen Union oder aus einem Schengen-assoziierten Staat übermittelt wurden, dieser Staat der Übermittlung zuvor zugestimmt oder auf das Zustimmungserfordernis ausdrücklich verzichtet hat,

4. die Europäische Kommission nach Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89; L 127 vom 23.5.2018, S. 9) einen Beschluss zum angemessenen Datenschutzniveau des Empfängerstaats oder der empfangenden zwischen- oder überstaatlichen Einrichtung gefasst hat (Angemessenheitsbeschluss) oder die Voraussetzungen von § 77f erfüllt sind und

5. die personenbezogenen Daten in Fällen, in denen sie zu einem anderen als dem der Übermittlung zugrunde liegenden Zweck erhoben wurden, mit vergleichbaren Mitteln auch für den Übermittlungszweck erhoben werden dürften.

(2) Die Übermittlung personenbezogener Daten unterbleibt, auch unter Berücksichtigung eines besonderen öffentlichen Interesses an der Datenübermittlung, wenn im Einzelfall ein datenschutzrechtlich angemessener und die elementaren Menschenrechte wahrender Umgang mit den personenbezogenen Daten im Empfängerstaat oder bei der empfangenden zwischen- oder überstaatlichen Einrichtung nicht hinreichend gesichert ist oder sonst schutzwürdige Interessen der betroffenen Person entgegenstehen.

(3) Die Übermittlung von personenbezogenen Daten an andere als die in Absatz 1 Nummer 2 genannten zuständigen Stellen oder an nicht-öffentliche Stellen ist unter Einhaltung der übrigen Voraussetzungen des Absatzes 1 zulässig, wenn

1. dies für die Erfüllung einer der übermittelnden Stelle zugewiesenen Aufgabe unbedingt erforderlich ist,

2. die Übermittlung an die zuständige Stelle wirkungslos oder ungeeignet wäre, insbesondere, weil die Übermittlung nicht rechtzeitig durchgeführt werden könnte, und

3. die empfangende Stelle auf den Zweck der Datenübermittlung sowie darauf hingewiesen wird, dass die personenbezogenen Daten nur verwendet werden dürfen, soweit dies zur Zweckerreichung erforderlich ist.

Die zuständige Stelle ist über die Übermittlung unverzüglich zu unterrichten, es sei denn, die Unterrichtung wäre wirkungslos oder ungeeignet.

(4) Kann die nach Absatz 1 Nummer 3 erforderliche vorherige Zustimmung des betroffenen Mitgliedstaates der Europäischen Union oder des betroffenen Schengen-assoziierten Staates nicht rechtzeitig eingeholt werden, so ist die Übermittlung von personenbezogenen Daten auch ohne Zustimmung zulässig, wenn die Übermittlung erforderlich ist zur Abwehr einer gegenwärtigen und erheblichen Gefahr

1. für die öffentliche Sicherheit eines Staates oder

2. für wesentliche Interessen eines Mitgliedstaates der Europäischen Union oder eines Schengenassoziierten Staates.

Die für die Erteilung der Zustimmung zuständige Stelle des betroffenen Mitgliedstaates der Europäischen Union oder des Schengen-assoziierten Staates ist unverzüglich zu unterrichten.

(5) Die Verantwortung für die Zulässigkeit der Übermittlung von personenbezogenen Daten trägt die übermittelnde Stelle. Die Möglichkeit, die Übermittlung personenbezogener Daten mit Bedingungen zu versehen, bleibt unberührt.

(6) Mitgliedstaaten der Europäischen Union im Sinne dieser Vorschrift sind solche, für die die Richtlinie (EU) 2016/680 gilt; Schengen-assoziierte Staaten sind solche gemäß § 91 Absatz 3.

§ 77e Prüf-, Informations- und Protokollierungspflichten der übermittelnden Stelle

(1) Die übermittelnde Stelle

1. soll personenbezogene Daten vor deren Übermittlung auf Richtigkeit, Vollständigkeit und Aktualität überprüfen,

2. fügt bei der Übermittlung personenbezogener Daten nach Möglichkeit Informationen bei, die es der empfangenden Stelle gestatten, Richtigkeit, Vollständigkeit, Aktualität und Zuverlässigkeit der Daten zu beurteilen,

3. weist die empfangende Stelle bei der Übermittlung ausdrücklich darauf hin, dass die übermittelten personenbezogenen Daten nur zu dem Zweck verwendet werden dürfen, zu dem sie übermittelt wurden,

4. weist die empfangende Stelle ausdrücklich darauf hin, dass eine Weiterleitung an andere Staaten oder zwischen- oder überstaatliche Einrichtungen der vorherigen Zustimmung der übermittelnden Stelle bedarf,

5. weist die empfangende Stelle bei der Übermittlung auf Bedingungen hin, die nach deutschem Recht für die Verarbeitung der übermittelten personenbezogenen Daten gelten und einzuhalten sind,

6. unterrichtet die empfangende Stelle unverzüglich, wenn sich herausstellt, dass Daten nicht hätten übermittelt werden dürfen oder dass unrichtige Daten übermittelt wurden,

7. unterrichtet die zuständige datenschutzrechtliche Aufsichtsbehörde über Datenübermittlungen nach § 77d Absatz 3 und

8. dokumentiert jede Übermittlung von personenbezogenen Daten nach Maßgabe der innerstaatlichen Vorschriften.

(2) Absatz 1 Nummer 5 gilt entsprechend, wenn die übermittelnde Stelle die Daten von einem anderen Staat oder von einer zwischen- oder überstaatlichen Einrichtung unter Bedingungen erhalten hat, die auch von der empfangenden Stelle einzuhalten sind.

§ 77f Verfahren bei Fehlen eines Angemessenheitsbeschlusses

(1) Ohne Angemessenheitsbeschluss gemäß § 77d Absatz 1 Nummer 4 dürfen personenbezogene Daten übermittelt werden, wenn

1. in einem für den Empfängerstaat oder für die empfangende zwischen- oder überstaatliche Einrichtung rechtsverbindlichen Instrument geeignete Garantien zum Schutz personenbezogener Daten vorgesehen sind oder

2. die übermittelnde Stelle nach Bewertung aller relevanten Umstände zu der Auffassung gelangt, dass geeignete Garantien zum Schutz der personenbezogenen Daten bestehen.

(2) Liegt kein Angemessenheitsbeschluss vor und bestehen keine geeigneten Garantien gemäß Absatz 1, so dürfen personenbezogene Daten im Einzelfall nur übermittelt werden, wenn dies erforderlich ist

1. zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person,

2. zur Wahrung schutzwürdiger Interessen der betroffenen Person,

3. zur Abwehr einer gegenwärtigen und erheblichen Gefahr für die öffentliche Sicherheit eines Staates,

4. zur Verhütung oder Verfolgung von Straftaten oder von Ordnungswidrigkeiten oder für die Vollstreckung oder den Vollzug von strafrechtlichen Sanktionen oder

5. zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Zusammenhang mit den in Nummer 4 genannten Zwecken.

(3) Die übermittelnde Stelle unterrichtet die zuständige datenschutzrechtliche Aufsichtsbehörde über Fallgruppen von Übermittlungen nach Absatz 1 Nummer 2.

§ 77g Zustimmung zur Weiterleitung personenbezogener Daten

Wird die übermittelnde Stelle von der empfangenden Stelle um eine Zustimmung zur Weiterleitung der übermittelten personenbezogenen Daten an andere Staaten oder andere zwischen- oder überstaatliche Einrichtungen gebeten, so kann die Zustimmung erteilt werden, wenn eine entsprechende unmittelbare Datenübermittlung gemäß § 77d zulässig wäre.

§ 77h Verwendung von übermittelten personenbezogenen Daten

(1) Personenbezogene Daten, die von öffentlichen Stellen anderer Staaten oder von zwischen- oder überstaatlichen Einrichtungen übermittelt wurden, dürfen, soweit dies gesetzlich vorgesehen ist, für andere Zwecke als diejenigen, für die sie übermittelt wurden, nur verwendet werden, wenn die übermittelnde Stelle zuvor zugestimmt hat. § 77d Absatz 4 gilt entsprechend.

(2) Bedingungen für die Verwendung der personenbezogenen Daten, auf die die übermittelnde Stelle hingewiesen hat, sind zu beachten.

(3) Werden personenbezogene Daten ohne Ersuchen übermittelt, prüft die empfangende Stelle unverzüglich, ob die Daten für den Zweck, für den sie übermittelt wurden, benötigt werden."

4. § 83c Absatz 4 Satz 3 wird wie folgt gefasst:

„Ist die Einhaltung des Termins auf Grund von Umständen unmöglich, die sich dem Einfluss der beteiligten Staaten entziehen, so ist ein neuer Termin zu vereinbaren, nach dem die Übergabe innerhalb von zehn Tagen zu erfolgen hat."

5. Nach dem Zehnten Teil wird folgender Elfter Teil eingefügt:

„Elfter Teil Schutz personenbezogener Daten im Rechtshilfeverkehr innerhalb der Europäischen Union und mit den Schengen-assoziierten Staaten

§ 97a Anwendungsbereich

(1) Die Vorschriften dieses Teils sind anzuwenden auf personenbezogene Daten, die an Mitgliedstaaten der Europäischen Union, für die die Richtlinie (EU) 2016/680 gilt, oder an Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union übermittelt oder von diesen empfangen werden.

(2) Schengen-assoziierte Staaten stehen den in Absatz 1 genannten Mitgliedstaaten der Europäischen Union bei der Anwendung dieses Teils gleich.

(3) Soweit dieser Teil keine besonderen Regelungen enthält, sind die Bestimmungen des Abschnitts 2 des Siebenten Teils anzuwenden.

§ 97b Übermittlung personenbezogener Daten

Für die Übermittlung personenbezogener Daten gilt § 77d mit der Maßgabe, dass keine Anwendung finden dessen

1. Absatz 1 Nummer 2, auch in Verbindung mit Absatz 3 und § 77e Absatz 1 Nummer 7,

2. Absatz 1 Nummer 3, auch in Verbindung mit Absatz 4 und § 77e Absatz 1 Nummer 4, und

3. Absatz 1 Nummer 4 in Verbindung mit § 77f.

§ 97c Prüf-, Informations- und Protokollierungspflichten der übermittelnden Stelle

Zusätzlich zu den in § 77e genannten Pflichten gilt, dass der Stelle eines anderen Mitgliedstaates der Europäischen Union, von der oder an die personenbezogene Daten übermittelt wurden, bei einer Verletzung des Schutzes der personenbezogenen Daten unverzüglich die in § 65 Absatz 3 des Bundesdatenschutzgesetzes genannten Informationen mitzuteilen sind."

6. Der bisherige Elfte Teil wird der Zwölfte Teil.