Gilt die Richtlinie zum Datenschutz bei der Strafverfolgung für die Verarbeitung personenbezogener Daten?
EuGH, C-222/25: Schlussanträge der Generalanwältin vom 8.10.2026
Der Sachverhalt:
Im Dezember 2019 und im Januar 2020 lehnte die estnische zentrale Meldestelle (das RAB) zwei Anträge von X auf Auskunft über die bei dieser Stelle gespeicherten, ihn betreffenden Informationen über den Informationsaustausch mit Finanzinstituten oder ausländischen Behörden ab. X focht die Entscheidung vor den nationalen Gerichten an und das estnische Oberste Gericht entschied schließlich zu seinen Gunsten und stellte fest, dass die DSGVO auf die Verarbeitung personenbezogener Daten durch zentrale Meldestellen Anwendung findet.
In der Zwischenzeit richtete X ein neues Auskunftsersuchen an das RAB betreffend etwaiger gegen ihn laufender Ermittlungen. Das RAB verweigerte erneut die Auskunft. Nach einer von X eingereichten Beschwerde wies die estnische Datenschutzaufsichtsbehörde (die AKI) das RAB an, ihre Entscheidung zu überprüfen und X Zugang zu den angeforderten Informationen zu gewähren.
Das RAB lehnte die Offenlegung jedoch weiterhin ab und verwies in einer Reihe von Entscheidungen auf seine Verpflichtung, die Vertraulichkeit der in der RAB-Datenbank enthaltenen Informationen zum Schutz des estnischen Finanzsystems zu wahren. Diese Ablehnungen focht X vor den nationalen Gerichten an. Sowohl in erster als auch in zweiter Instanz wiesen die Gerichte das RAB an, die angeforderten Informationen offenzulegen.
Das RAB legte gegen das Urteil Kassationsbeschwerde zum estnischen Obersten Gericht ein, das dem Gerichtshof Fragen zum EU-Rechtsrahmen für die Verarbeitung personenbezogener Daten durch zentrale Meldestellen vorlegte. Die Fragen betreffen im Wesentlichen die Frage, welche EU-Datenschutzregelung anwendbar ist, ob der Zugang zu den Informationen bis zu deren Vernichtung aufgeschoben werden darf, ob eine zentrale Meldestelle einen solchen Zugang verweigern darf und unter welchen Umständen eine solche Einschränkung rechtmäßig ist.
Nach Ansicht der Generalanwältin gilt die Richtlinie zum Datenschutz bei der Strafverfolgung für die Verarbeitung personenbezogener Daten durch die zentralen Meldestellen im Rahmen der Erfüllung ihres Auftrags zur Verhinderung, Aufdeckung und Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Der Zugang der betroffenen Personen zu den von den zentralen Meldestellen verarbeiteten Daten kann eingeschränkt werden, sofern die erforderlichen Garantien zur Verhinderung von Missbrauch gegeben sind.
Die Gründe:
Es muss ein angemessenes Gleichgewicht gefunden werden zwischen der Beschränkung des Zugangs zu personenbezogenen Daten, die von der Behörde zur Verfolgung ihrer legitimen Ziele verarbeitet werden, und dem Schutz vor jeglichem Missbrauch, unrechtmäßigem Zugriff oder unsachgemäßer Verwendung dieser Daten.
Die DSGVO schließt die Anwendung der allgemeinen Datenschutzregelung aus, wenn zwei spezifische Voraussetzungen erfüllt sind: (i) die Verarbeitung erfolgt durch eine Behörde, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung zuständig ist, oder durch eine andere Stelle oder Einrichtung, der durch nationales Recht für dieselben Zwecke die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse übertragen wurde, und (ii) der Verarbeitungsvorgang dient der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung.
Sind beide Kriterien erfüllt, fällt die Verarbeitung der Daten in den Anwendungsbereich der unionsrechtlichen Sonderregelung, nämlich der Richtlinie 2016/680.
Zentrale Meldestellen erfüllen bei der Wahrnehmung ihres Auftrags zur Verhinderung, Aufdeckung und Bekämpfung von Geldwäsche und Terrorismusfinanzierung beide Kriterien und sind daher als zuständige Behörden einzustufen. Diese Einstufung hängt nicht von der Organisationsstruktur der zentralen Meldestelle ab. Tatsächlich verlangen die EU-Rechtsvorschriften zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, dass zentrale Meldestellen als unabhängige und autonome Stellen agieren, die über weitreichende Befugnisse verfügen, um Informationen von Strafverfolgungsbehörden einzuholen und rasch und entschlossen gegen Transaktionen vorzugehen, die Geldwäsche oder Terrorismusfinanzierung begünstigen. Die Aufgaben, Funktionen und Befugnisse der zentralen Meldestellen verdeutlichen die Bedeutung ihrer Rolle bei der Aufdeckung und Prävention von Straftaten in diesem Bereich.
Zweitens kann nach Unionsrecht ein vollständiges Verbot des Zugangs zu personenbezogenen Daten, die sich im Besitz der zentralen Meldestellen befinden, mit deren Auftrag zur Wahrung strenger Vertraulichkeit vereinbar sein. Eine solche Einschränkung muss jedoch dem Grundsatz der Verhältnismäßigkeit entsprechen, welcher verlange, dass ihr Umfang und ihre Dauer auf das zur Erreichung des legitimen Ziels erforderliche Maß beschränkt sind.
Sie muss zudem in Rechtsvorschriften verankert sein, die klare und präzise Regeln für ihre Tragweite und ihre Anwendung vorsehen. Diese Rechtsvorschriften müssen die erforderlichen Mindestgarantien vorsehen, um Datenmissbrauch oder unrechtmäßigen Zugriff zu verhindern, und es der Aufsichtsbehörde sowie den Gerichten ermöglichen, eine wirksame Kontrolle über Entscheidungen bezüglich der Einschränkungen auszuüben.
Die Voraussetzungen für die Einschränkung von Zugangsrechten zum Schutz vor Missbrauch oder unrechtmäßigem Zugriff können nicht nur in einem einzigen Gesetzgebungsakt festgelegt werden, sondern auch in einem kohärenten System aus Gesetzgebungsakten und untergeordneten Rechtsakten, die gemeinsam die Einschränkungen definieren, sofern dieses System ein klares und präzises Verständnis der Tragweite der Einschränkung erlaubt und für die Rechtsunterworfenen vorhersehbar ist. Im vorliegenden Fall scheint der anwendbare Rechtsrahmen jedoch keine klaren Voraussetzungen für die Einschränkung des Zugangsrechts festzulegen. Es ist Sache des nationalen Gerichts, zu beurteilen, ob solche Einschränkungen den im Unionsrecht festgelegten Standards entsprechen.
Drittens müssen die Rechte der betroffenen Personen, um das Fehlen eines unmittelbaren Zugangsrechts auszugleichen, mittelbar durch die Aufsichtsbehörde geschützt werden. Die Behörde muss daher befugt sein, vertrauliche Gespräche mit den zentralen Meldestellen zu führen, um genau zu ermitteln, welche Daten benötigt werden, damit die betroffene Person einen wirksamen gerichtlichen Rechtsbehelf einlegen kann.
Schließlich erlaubt das Unionsrecht den zentralen Meldestellen, ein Auskunftsersuchen einer betroffenen Person ohne Angabe von Gründen abzulehnen, wenn die Offenlegung das öffentliche Interesse gefährden würde. In solchen Fällen muss die zentrale Meldestelle die betroffene Person jedoch über die Möglichkeit informieren, ihre Rechte mittelbar über die Aufsichtsbehörde geltend zu machen.
Mehr zum Thema:
Beratermodul Datenschutzrecht
Otto Schmidt Answers ist in diesem Modul mit 5 Prompts am Tag enthalten! Nutzen Sie die Inhalte in diesem Modul direkt mit der KI von Otto Schmidt. Start-Abo: 3 Monate nutzen, nur 2 Monate zahlen! Komfortabel, vergünstigt, flexibel.
EuGH PM Nr. 145 vom 8.10.2026
Im Dezember 2019 und im Januar 2020 lehnte die estnische zentrale Meldestelle (das RAB) zwei Anträge von X auf Auskunft über die bei dieser Stelle gespeicherten, ihn betreffenden Informationen über den Informationsaustausch mit Finanzinstituten oder ausländischen Behörden ab. X focht die Entscheidung vor den nationalen Gerichten an und das estnische Oberste Gericht entschied schließlich zu seinen Gunsten und stellte fest, dass die DSGVO auf die Verarbeitung personenbezogener Daten durch zentrale Meldestellen Anwendung findet.
In der Zwischenzeit richtete X ein neues Auskunftsersuchen an das RAB betreffend etwaiger gegen ihn laufender Ermittlungen. Das RAB verweigerte erneut die Auskunft. Nach einer von X eingereichten Beschwerde wies die estnische Datenschutzaufsichtsbehörde (die AKI) das RAB an, ihre Entscheidung zu überprüfen und X Zugang zu den angeforderten Informationen zu gewähren.
Das RAB lehnte die Offenlegung jedoch weiterhin ab und verwies in einer Reihe von Entscheidungen auf seine Verpflichtung, die Vertraulichkeit der in der RAB-Datenbank enthaltenen Informationen zum Schutz des estnischen Finanzsystems zu wahren. Diese Ablehnungen focht X vor den nationalen Gerichten an. Sowohl in erster als auch in zweiter Instanz wiesen die Gerichte das RAB an, die angeforderten Informationen offenzulegen.
Das RAB legte gegen das Urteil Kassationsbeschwerde zum estnischen Obersten Gericht ein, das dem Gerichtshof Fragen zum EU-Rechtsrahmen für die Verarbeitung personenbezogener Daten durch zentrale Meldestellen vorlegte. Die Fragen betreffen im Wesentlichen die Frage, welche EU-Datenschutzregelung anwendbar ist, ob der Zugang zu den Informationen bis zu deren Vernichtung aufgeschoben werden darf, ob eine zentrale Meldestelle einen solchen Zugang verweigern darf und unter welchen Umständen eine solche Einschränkung rechtmäßig ist.
Nach Ansicht der Generalanwältin gilt die Richtlinie zum Datenschutz bei der Strafverfolgung für die Verarbeitung personenbezogener Daten durch die zentralen Meldestellen im Rahmen der Erfüllung ihres Auftrags zur Verhinderung, Aufdeckung und Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Der Zugang der betroffenen Personen zu den von den zentralen Meldestellen verarbeiteten Daten kann eingeschränkt werden, sofern die erforderlichen Garantien zur Verhinderung von Missbrauch gegeben sind.
Die Gründe:
Es muss ein angemessenes Gleichgewicht gefunden werden zwischen der Beschränkung des Zugangs zu personenbezogenen Daten, die von der Behörde zur Verfolgung ihrer legitimen Ziele verarbeitet werden, und dem Schutz vor jeglichem Missbrauch, unrechtmäßigem Zugriff oder unsachgemäßer Verwendung dieser Daten.
Die DSGVO schließt die Anwendung der allgemeinen Datenschutzregelung aus, wenn zwei spezifische Voraussetzungen erfüllt sind: (i) die Verarbeitung erfolgt durch eine Behörde, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung zuständig ist, oder durch eine andere Stelle oder Einrichtung, der durch nationales Recht für dieselben Zwecke die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse übertragen wurde, und (ii) der Verarbeitungsvorgang dient der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung.
Sind beide Kriterien erfüllt, fällt die Verarbeitung der Daten in den Anwendungsbereich der unionsrechtlichen Sonderregelung, nämlich der Richtlinie 2016/680.
Zentrale Meldestellen erfüllen bei der Wahrnehmung ihres Auftrags zur Verhinderung, Aufdeckung und Bekämpfung von Geldwäsche und Terrorismusfinanzierung beide Kriterien und sind daher als zuständige Behörden einzustufen. Diese Einstufung hängt nicht von der Organisationsstruktur der zentralen Meldestelle ab. Tatsächlich verlangen die EU-Rechtsvorschriften zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, dass zentrale Meldestellen als unabhängige und autonome Stellen agieren, die über weitreichende Befugnisse verfügen, um Informationen von Strafverfolgungsbehörden einzuholen und rasch und entschlossen gegen Transaktionen vorzugehen, die Geldwäsche oder Terrorismusfinanzierung begünstigen. Die Aufgaben, Funktionen und Befugnisse der zentralen Meldestellen verdeutlichen die Bedeutung ihrer Rolle bei der Aufdeckung und Prävention von Straftaten in diesem Bereich.
Zweitens kann nach Unionsrecht ein vollständiges Verbot des Zugangs zu personenbezogenen Daten, die sich im Besitz der zentralen Meldestellen befinden, mit deren Auftrag zur Wahrung strenger Vertraulichkeit vereinbar sein. Eine solche Einschränkung muss jedoch dem Grundsatz der Verhältnismäßigkeit entsprechen, welcher verlange, dass ihr Umfang und ihre Dauer auf das zur Erreichung des legitimen Ziels erforderliche Maß beschränkt sind.
Sie muss zudem in Rechtsvorschriften verankert sein, die klare und präzise Regeln für ihre Tragweite und ihre Anwendung vorsehen. Diese Rechtsvorschriften müssen die erforderlichen Mindestgarantien vorsehen, um Datenmissbrauch oder unrechtmäßigen Zugriff zu verhindern, und es der Aufsichtsbehörde sowie den Gerichten ermöglichen, eine wirksame Kontrolle über Entscheidungen bezüglich der Einschränkungen auszuüben.
Die Voraussetzungen für die Einschränkung von Zugangsrechten zum Schutz vor Missbrauch oder unrechtmäßigem Zugriff können nicht nur in einem einzigen Gesetzgebungsakt festgelegt werden, sondern auch in einem kohärenten System aus Gesetzgebungsakten und untergeordneten Rechtsakten, die gemeinsam die Einschränkungen definieren, sofern dieses System ein klares und präzises Verständnis der Tragweite der Einschränkung erlaubt und für die Rechtsunterworfenen vorhersehbar ist. Im vorliegenden Fall scheint der anwendbare Rechtsrahmen jedoch keine klaren Voraussetzungen für die Einschränkung des Zugangsrechts festzulegen. Es ist Sache des nationalen Gerichts, zu beurteilen, ob solche Einschränkungen den im Unionsrecht festgelegten Standards entsprechen.
Drittens müssen die Rechte der betroffenen Personen, um das Fehlen eines unmittelbaren Zugangsrechts auszugleichen, mittelbar durch die Aufsichtsbehörde geschützt werden. Die Behörde muss daher befugt sein, vertrauliche Gespräche mit den zentralen Meldestellen zu führen, um genau zu ermitteln, welche Daten benötigt werden, damit die betroffene Person einen wirksamen gerichtlichen Rechtsbehelf einlegen kann.
Schließlich erlaubt das Unionsrecht den zentralen Meldestellen, ein Auskunftsersuchen einer betroffenen Person ohne Angabe von Gründen abzulehnen, wenn die Offenlegung das öffentliche Interesse gefährden würde. In solchen Fällen muss die zentrale Meldestelle die betroffene Person jedoch über die Möglichkeit informieren, ihre Rechte mittelbar über die Aufsichtsbehörde geltend zu machen.
Beratermodul Datenschutzrecht
Otto Schmidt Answers ist in diesem Modul mit 5 Prompts am Tag enthalten! Nutzen Sie die Inhalte in diesem Modul direkt mit der KI von Otto Schmidt. Start-Abo: 3 Monate nutzen, nur 2 Monate zahlen! Komfortabel, vergünstigt, flexibel.