Vertrag von Prüm

Der Vertrag von Prüm ist bicht an sich eine Datenbank, sondern ein Vertrag zwischen etlichen EU-Staaten zum Austausch von Daten aus nationalen Repressionsdatenbanken sowie zur verstärkten Zusammenarbeit der verschiedenen Behörden im Bereich von Repression und Migrationskontrolle (z.B. grenzüberschreitende Einsätze).

Inzwischen (Ratsbeschlüsse 2008/615/JHA und 2008/616/JHA) vom 23.6.2008 sind größere Teile des Prüm-Vertrags für alle Staaten verbindlich gemacht worden. Insbesondere sollen die Daten ab 2011-08-26 zwischen allen Mitgliedsstaaten munter fließen.

Vgl. auch Datenbanken EU.

Geschichte

Der Vertrag wurde 2007 offenbar aus Unzufriedenheit über die schleppenden Fortschritte bei SIS II zwischen der BRD, Spanien, Frankreich, Österreich und den Beneluxstaaten geschlossen. Ende 2009 haben laut BtD 16/14150 14 EU-Staaten Prüm unterzeichnet.

In deutsches Recht überführt wird der Vertrag durch ein Ausführungsgesetz namens PrümerVtrG. Es sieht zusätzlich zu den Regelungen von Prüm vor:

• Das BKA ist nationale Kontaktstelle für DNA- und Fingerabdruckdaten, aber bemerkenswerterweise nicht in seiner Eigenschaft als SIRENE-Büro.

• Das Kraftfahrt-Bundesamt ist (als Betreiber von ZEVIS) nationale Kontaktstelle für ausgehende KfZ-Daten, während Anfragen nach außen wieder vom BKA behandelt werden.

• Das BKA darf nach Maßgabe des Prümer Vertrags über die Verletzung der Zweckbindung von Daten entscheiden, bei Daten, die es von Dritten bekommen hat, "im Einvernehmen" mit diesen.

• Eine Ergänzung der Errichtungsanordnung der DAD, um den Protokolierungspflichen aus Prüm nachzukommen (Kaum zu glauben: EU-Gesetze erzwingen eine Stärkung des Datenschutzes!)

• Wenn es wirklich jemand schaffen sollte, Schadenersatz zu erstreiten, zahlt die BRD. Haha.

Biometrie

Prüm sieht vor, dass die Mitgliedsstaaten Dateien mit Biometrie, insbesondere genetische und daktyloskopische Fingerabdrücke, führen. In diesen können dann alle beteiligten Staaten ohne weitere Beteiligung nationaler Behörden suchen, bekommen aber im Fall eines Treffers zunächst nur eine pseudonyme Kennung und eine Einordnung (VerdächtigeR oder Tatortspur) zurück.

Die nationalen Behörden bekommen die Übereinstimmung mit (sowohl durch Mitteilung der suchenden Behörde als auch durch die Datenbank selbst) und übermitteln dann "nach innerstaatlichem Recht" vollständigere Daten, also etwa Identitäten, Falldaten oder wilde Spekulationen. Zuständig dafür ist die nationale Kontaktstelle.

Biometrische Daten sollen weiter in Rechtshilfe erfasst werden, wenn diese Erfassung in beiden Jurisdiktionen rechtmäßig wäre.

Ratsdokument 15870/09 enthält im Dezember 2009 verabschiedete Normen, was europäische Polizeien so an Markern übertragen sollen, den "ESS" ("Europäischer Standardsatz"). In dessen ursprünglicher Definition von 2001 (Entschließung 2001/C 187/01) waren sieben Stellen vorgesehen, was angesichts der Flut von DNA-Profilen zu jeder Menge false positives führen muss (denn die Features sind ja nicht gleich verteilt). Der 2010 verabschiedete ESS D3S1358 enthält nun die zwölf Marker D3S1358, VWA, D8S1179, D21S11, D18S51, HUMTH01, FGA, D1S1656, D2S441, D10S1248, D12S391, D22S1045.

Gipfel und so

Artikel 14 erwähnt extra "Tagungen des europäischen Rats"; zu solchen und ähnlichen Anlässen sollen Daten von "Gefährdern" sowohl aus "auf Ersuchen als auch aus eigener Initiative" zwischen den Staaten ausgetauscht werden. Die empfangenden Staaten dürfen diese bis zu einem Jahr behalten (sollen sie aber löschen, wenn sie sie nicht mehr brauchen).

Übertragen werden wohl, ähnlich wie im "Terrorismus"-Bereich (Art. 16) neben Identifikationsdaten auch "Tatsachen" (i.e., "war mal bei einer Demo).

Auch ohne bzw. vor Prüm hat das BKA unter Rückgriff auf §14 BKAG Daten ins Ausland verschoben. Es ist damit zu rechnen, dass es in Zukunft versuchen wird, Auskünften und Statistiken durch gezielte Umdefinition zu entkommen.

Technische Umsetzung versus Rechtslage

Der gegenseitige Zugriff auf die Fahrzeugregister erfolgt (immerhin ohne "Wildcards", Anfragen wie "alle Fahrzeuge mit ER-RA am Anfang" gehen also nicht) automatisch mit personenbezogenen Daten nach dem Recht des abfragenden Staates. Allerdings lief das 2009 offenbar noch praktisch gar nicht, der einzige funktionierende Zugriff war von einer Handvoll Länder auf die ZEVIS-Bestände.

Datenschutz

Bemerkenswert sind die Anmerkungen zum DatenSchutz, die deutlich eine "deutsche" Handschrift zeigen (etwa, was Löschung, Berichtigung oder Zweckbindung angeht). Die Artikel lesen sich teilweise wie aus deutschen Polizeigesetzen abgeschrieben. Angesichts des "Zwecks" der Übung ist allerdings die Zweckbindung nicht viel wert.

Die teilnehmenden Behörden müssen sämtliche Übermittlungen protokollieren. Wer auf ein AuskunftErsuchen Mitteilungen entsprechender Übermittlungen erhält, möge sich bei uns melden.

Auskunftsrecht

Das Auskunftsrecht wird ebenfalls weitgehend nach deutschem Muster in Artikel 40 geregelt. Die Auskunft soll insbesondere enthalten "Herkunft, Empfänger oder Empfängerkategorien, den vorgesehenen Verarbeitungszweck und die Rechtsgrundlage". Auskunftsersuchen sind zu stellen an die nationalen Kontaktstellen; für die BRD ist das das BKA bzw. für ZEVIS-Daten Flensburg.

Umsetzung

Was den (relativ billigen) Datenaustausch zu Gipfeln u.ä. angeht, soll Prüm 8/2009 operativ gewesen sein. Wirklich prüfen kann das wohl niemand. Für den Rest (also die Kreuzabfragen der Datenbanken) ist der 26.8.2011 Deadline.

BtD 16/14150 berichtet Ende 2009, die BRD tausche auf Prüm-Grundlage DNA-Daten mit Österreich (seit 2006-12), Spanien (2007-05), Luxemburg (2007-05), Slowenien (2008-07) und den Niederlanden (2008-07) aus. Fingerabdrücke werden nur mit Österreich (seit 2007-07) ausgetauscht. Im KfZ-Bereich konnten zu diesem Zeitpunkt A, E, LUX, NL, F abfragen, die BRD aber nirgends.

2009 jammert die österreicheische Delegation bei Rat: "in some Member States the implementation of the Prüm Decision is seriously delayed," offenbar seien sich nicht alle Mitgliedsstaaten im Klaren über die Komplexität des Vorhabens. Ansonsten gibt das Papier Wunderdinge über gegenseitigen Datenzugriff an, die nicht verträglich mit den Auskunften aus BtD 16/14150 sind: Unter anderem sollen KfZ-Daten bereits zwischen be, de, es, fr, lu, nl und at ausgetauscht werden. Bei DNA-Profilen seien auch ro und bg dabei.

Selbst dort, wo es im Prinzip funktioniert, plätten die eifrigen Anfragen aus den großen Mitgliedsstaaten die Server der kleineren Polizeien. Dies führt bereits 2008 zur Ratsmitteilung 148885/08, die versucht, Regeln aufzustellen, die Prüm-Abfragen zahlenmäßig begrenzen sollen (Abfragen in Fremdstaatensystemen "should not be predetermined systematically"; Statewach-Kommentar dazu).

2010 war die Situation so weit eskaliert, dass der Rat in der Ratsmitteilung 5860/1/10 recht enge Richtwerte bekannt gibt, die sich die MS so gewünscht haben. Von der Größenordnung her wollen kleinere Staaten nicht mehr als 10 Anfragen pro Tag und Partner haben, während Staaten wie die BRD typischerweise 100 Anfragen pro Tag und Partner zulassen. Das bedeutet angesichts der Zahlen von AFIS, dass die SIS-Praxis, einfach mal europäische Datenbanken mit abzufragen, für Prüm nicht fliegen wird.

Ende 2010 gabs mal wieder ein Dokument zum State of Play, dass DNA-Kreuzabfragen zwischen bg, de, es, fr, lu, nl, at, ro, sl, und fi gehen, Fingerabdruck-Abfragen zwischen de, es, at, lu und sl sowie Kennzeichen-Geschichten zwischen be, de, es, fr, lu, nl, und at. Das passt nicht recht zu den Asymmetrien, die vorher angegeben wurden. In dem Dokument werden weiter nach Datenkategorie aufgeschlüsselt die Ausreden der nicht implementierenden Staaten angegeben ("problems mentioned the most were IT and financial problems. But logistic, legal and political (decision making) problems as well as shortage in personnel were also very common") und die üblichen Manager-Versuche beschrieben, mit dem Kram fertig zu werden: Die BRD hätte gern ein "Mobile Competence Team", Österreich einen "Prüm Helpdesk", der ausgerechnet beim EDV-Katastrophenepizentrum Europol angesiedelt sein soll.

Ende 2010 stellt Reinhard Schmidt (Österreich) in einem Vortrag über internationalen DNA-Austausch vor, wie Prüm-Abfragen zu dem Zeitpunkt funktionieren (Folie 14): Im Wesentlichen läuft dabei über das kommissionseigene sTESTA-Netz irgendein XML-basiertes Austauschprotokoll, während die nationalen Behörden mit dem Gateway in sTESTA per Mail (also SMTP und POP) kommunizieren. Warum die Mails nicht einfach so durch das Gateway können, verrät er nicht.

Zahlen

BtD 16/14150 hat Tabellen mit Statistiken zu Prüm-Aktivitäten. Danach gab es bis 2009-09 rund 5000 DNA-Treffer bei Prüm-Abfragen. Fast alle davon lagen im Bereich von Trivialkriminalität oder Migrationskontrolle (rund 4800 der Treffer sind keiner der aufgeführten Bereiche von Schwerkriminalität zugeordnet). Zuordnungen von Spuren zu Personen sind dabei ungefähr so häufig wie Zuordnungen von Spuren zu Spuren ("hier haben wir eine Serie"). Viel seltener werden Personen Spuren aus dem Ausland zugeordnet.

Bei Fingerabdrücken hat die BRD einen Außenhandelsüberschuss, d.h. Österreich hat viel mehr Matches aus deutschen Datenbanken als die BRD aus österreichischen. Auch dabei dominiert Trivialkriminalität und Migrationskontrolle (unter den 325 Matches, die die BRD aus Österreich bekommen hat, waren 1 Vergewaltigung, 3 Straftaten gegen das Leben, 1 Misshandlung Schutzbefohlener, 3 schwerer Raub; dafür aber auch Sachbeschädigung, Beleidigung, Widerstand gegen Vollstreckungsbeamte...)

Die ZEVIS-Leute haben 2009 noch keine Statistiken auf Reihe bekommen.

Österreich gibt 2009 an, seit 2006-12-05 6930 Prüm-Treffer im DNA-Bereich, seti 2007-05-29 2490 Treffer bei Fingerabdrücken und seit 2008-09-18 614 Treffer im Kfz-Bereich gehabt zu haben, jeweils für Anfragen von Österreich nach draußen. Österreich selbst habe 6820 Anfragen bekommen. Aus wie vielen was geworden ist, sagen sie nicht.

Referenzen

• Vertragstext

• heise.de dazu

• Prümer Vertrag im Internetauftritt des BMJ

• Umsetzungsgesetz: BGBl. I Nr. 32 vom 18.7.2006 S. 1485; es gibt Änderungen von 2009

• http://register.consilium.europa.eu/pdf/en/09/st08/st08505.en09.pdf erzählt von den Mühen der Etappe: Interoperabilitätstests und ähnliches.