Technik

Wenn Polizeidaten keinen klaren Straftatbezug haben: Was der Europol-Vorschlag ändern könnte

Der EDPS warnt vor zu weiten Regeln für Europol-Daten. Was der EU-Vorschlag für Zweck, Speicherfrist, Zugriff und Kontrolle ändern könnte.

Von Wolfgang

16. Aug. 20268 Min. Lesezeit

Der EDPS warnt vor zu weiten Regeln für Europol-Daten. Was der EU-Vorschlag für Zweck, Speicherfrist, Zugriff und Kontrolle ändern könnte.

Europol-Reform und Datenschutz

Der Europäische Datenschutzbeauftragte (EDPS) warnt vor einer geplanten neuen Europol-Verordnung, die Daten von Menschen ohne festgestellten Bezug zu einer Straftat länger und in größerem Umfang verarbeiten könnte. Beschlossen ist die Reform noch nicht. Im Zentrum steht deshalb eine konkrete Kontrollfrage: Wie eng müssen Zweck, Speicherfrist, Zugriff und Löschung begrenzt sein, wenn gemeinsame Polizeisysteme auch zunächst unklassifizierte Daten analysieren?

Das Wichtigste in 30 Sekunden

Der EDPS veröffentlichte am 13. August 2026 seine Opinion 18/2026 zur geplanten Reform.
Der Kommissionsvorschlag COM(2026) 580 ist ein Gesetzesvorhaben und noch kein geltendes Recht.
Artikel 32(7) betrifft Daten außerhalb der Kategorien aus Annex II, wenn sie für Europols Aufgaben relevant und notwendig sind.
Der EDPS fordert dafür engere Zwecke, klare Höchstfristen, nachvollziehbare Kriterien und transparente Zugriffsregeln.

Eine Person betrachtet am Küchentisch eine neutrale Papiermappe neben einem Smartphone mit leerem Bildschirm. — Die geplante Europol-Reform wirft Fragen zu Zweck, Zugriff und Löschung auf – durch KI erzeugt

Worum es jetzt geht

Der EDPS hat am 13. August 2026 die Stellungnahme Opinion 18/2026 veröffentlicht. Sie bezieht sich auf den Vorschlag der Europäischen Kommission vom 24. Juni 2026, die Europol-Verordnung neu zu fassen. Der Vorschlag soll Europol als Informations-, Operations- sowie Technologie- und Innovationshub stärken.

Das politische Ziel ist nachvollziehbar: Kriminalität wird grenzüberschreitender und digitaler, Daten müssen schneller zwischen zuständigen Stellen fließen. Problematisch wird es dort, wo aus diesem Bedarf ein großer gemeinsamer Analysebestand werden kann. Der EDPS unterstützt das Reformziel grundsätzlich, hält die Schutzplanken des vorliegenden Textes aber an wichtigen Stellen für zu unklar.

Die Ebenen dürfen nicht ineinanderlaufen: Die geltende Verordnung (EU) 2016/794 bleibt der aktuelle Rechtsrahmen. COM(2026) 580 kann im ordentlichen Gesetzgebungsverfahren noch verändert werden. Die EDPS-Stellungnahme ist eine datenschutzrechtliche Bewertung und kein Gerichtsurteil, das die Reform gestoppt oder ihre Rechtswidrigkeit festgestellt hätte.

Heute, Vorschlag und EDPS-Forderung

Ebene	Was dort feststeht	Warum es für Betroffene wichtig ist
Geltendes Recht	Die Verordnung (EU) 2016/794 regelt Europols Unterstützung der Mitgliedstaaten bei schwerer, organisierter und grenzüberschreitender Kriminalität.	Sie bildet den Maßstab für die aktuelle Datenverarbeitung. Eine neue Regel gilt nicht schon, weil sie vorgeschlagen wurde.
Kommissionsvorschlag	Artikel 32(7) nennt personenbezogene Daten außerhalb der Annex-II-Kategorien, sofern sie für Europols Aufgaben relevant und notwendig sind. Der Text nennt außerdem Löschung nach Zweckende, funktionale Trennung und eine Prüfung bis zu sechs Monaten.	Die Begriffe „relevant“ und „notwendig“ entscheiden mit darüber, welche Daten gefunden, geprüft und weiterverarbeitet werden können.
EDPS-Forderung	Gefordert werden engere Zwecke, klare maximale Speicherfristen, definierte Kriterien, transparente Zugriffsübersichten und eine Einzelfallprüfung bei biometrischen Abfragen.	Kontrolle soll nicht erst nach einem Treffer beginnen. Sie muss bereits bei Zweck, Auswahl, Zugriff und Löschung nachvollziehbar sein.

Warum unklassifizierte Daten der Streitpunkt sind

Polizeiliche Datenbestände lassen sich nicht immer sofort eindeutig einer Personengruppe oder einem konkreten Ermittlungsverfahren zuordnen. Genau für diese Lage beschreibt der Vorschlag eine Verarbeitung außerhalb der Kategorien in Annex II, wenn die Daten für Europols Aufgaben als relevant und notwendig gelten.

Das ist keine pauschale Erlaubnis, jede verfügbare Information zu speichern. Es schafft aber einen Bereich, in dem die Grenzen besonders präzise sein müssen. Der EDPS warnt, dass der vorliegende Text sehr große Mengen personenbezogener Daten ohne festgestellten Ermittlungsbezug für einen ausgedehnten und nicht hinreichend bestimmten Zeitraum verfügbar machen könnte. „Länger speichern“ ist dabei die Kritik an fehlenden klaren Höchstfristen – nicht die Aussage, dass jeder Datensatz tatsächlich lange gespeichert wird.

Für Menschen in Deutschland entsteht die Relevanz mittelbar. Wenn nationale Behörden Daten in gemeinsame Systeme einspeisen oder dort Treffer abfragen, können Speicher-, Zugriffs- und Löschentscheidungen Betroffene berühren, auch wenn sie nie als Verdächtige festgestellt wurden. Daraus folgt weder, dass jede Person automatisch in einer Europol-Datei landet, noch dass bereits eine neue Überwachungspraxis gilt.

Eine Erklärgrafik zeigt die fünf Stationen Einspeisung, Prüfung, Analyse, Zugriff und Zweckende beziehungsweise Löschung. — Datenschutzkontrolle muss den gesamten Datenweg begleiten – durch KI erzeugt

Wie der Datenweg aussehen soll

Der entscheidende Prüfpunkt liegt nicht nur am Ende, sondern an jeder Station:

Einspeisung: Nationale Stellen oder andere zulässige Quellen übermitteln Daten in einen gemeinsamen europäischen Zusammenhang.
Kategorisierung und Prüfung: Das System muss klären, ob Daten zu einer vorgesehenen Kategorie gehören oder außerhalb davon liegen und trotzdem relevant sowie notwendig sind.
Cross-Check und Analyse: Vorgesehene Umgebungen wie ein Cross-Checking-Service oder eine analytische Umgebung können Zusammenhänge sichtbar machen. Der Vorschlag beschreibt die Infrastruktur, beweist aber keine konkrete spätere Nutzung.
Zugriff und Weitergabe: Rollen, Suchmöglichkeiten und Trefferregeln bestimmen, wer welche Information sehen oder weiterverwenden kann.
Zweckende und Löschung: Der Vorschlag nennt Löschung nach Zweckende, eine Information des Datenschutzbeauftragten und eine funktionale Trennung. Für eine bis zu sechs Monate dauernde temporäre Prüfung braucht es trotzdem klare Grenzen.

Der Datenweg zeigt, warum Datenschutz nicht auf die Frage reduziert werden kann, ob ein einzelner Datensatz gelöscht wird. Schon die Suche, ein Treffer oder eine fehlerhafte Zuordnung kann Folgen haben. Der EDPS verlangt deshalb mehr Transparenz darüber, welche Zugriffe möglich sind und wie die Notwendigkeit einer Verarbeitung kontrolliert wird.

Warum die Kommission mehr Spielraum will

Die Kommission begründet das Paket mit komplexerer, internationaler und digitaler werdender Kriminalität. Sie nennt schnelleren Informationsaustausch, eine sichere skalierbare Cloud, einen Police Shared Data Space, Support Offices und einen Technologie- und Innovationshub als geplante Bausteine.

Der stärkste Gegenpunkt zur EDPS-Kritik lautet daher: Ohne bessere gemeinsame Analyse können grenzüberschreitende Ermittlungen an Datensilos, unterschiedlichen Systemen und langsamen Übergaben scheitern. Mehr technische Fähigkeit kann für Mitgliedstaaten nützlich sein.

Damit ist allerdings noch nicht belegt, dass jede vorgeschlagene Datenregel verhältnismäßig oder wirksam kontrolliert ist. Sicherheitsgewinn und Grundrechtsschutz stehen hier nicht automatisch gegeneinander. Die offene politische Aufgabe lautet, beides in konkrete Zwecke, Fristen, Zuständigkeiten und überprüfbare Zugriffsregeln zu übersetzen.

Biometrie, private Quellen und der Zugriff

Besonders sensibel ist die biometrische Suche. Der EDPS fordert eine verpflichtende Einzelfallprüfung von Notwendigkeit und Verhältnismäßigkeit. Das bedeutet nicht, dass biometrische Abfragen pauschal erlaubt oder pauschal verboten wären. Entscheidend wäre, ob jeder einzelne Zugriff begründet, dokumentiert und später überprüfbar ist.

Die Stellungnahme wirft außerdem Fragen zu Daten aus privaten Quellen oder dem Internet, zur Aufsicht in den Mitgliedstaaten und zur Sicherheit der Dienste auf. Aus dem Vorschlag folgt nicht, dass Informationen aus jeder privaten Quelle automatisch in Europol-Systeme gelangen. Gerade deshalb müssen Herkunft, Zweck und Verantwortlichkeit im weiteren Gesetzgebungsverfahren klar geregelt werden.

Eine illustrative Vergleichsgrafik stellt die drei Bereiche Geltendes Recht, Kommissionsvorschlag und EDPS-Forderung nebeneinander. — Drei Ebenen des Europol-Streits dürfen nicht ineinanderlaufen – durch KI erzeugt

Was die Reform für Deutschland bedeutet

Die Wirkung wäre vor allem organisatorisch und indirekt: Deutsche Behörden könnten an einem gemeinsamen europäischen Datenweg beteiligt sein, Daten liefern oder Treffer aus gemeinsamen Systemen abfragen. Für Betroffene wird dann relevant, wer eine Information eingebracht hat, wer sie sehen darf, wie eine falsche Zuordnung korrigiert wird und wann die Information verschwindet.

Konkrete deutsche Behörden, Datensätze oder eine Zahl betroffener Menschen lassen sich aus den vorliegenden Quellen nicht ableiten. Das ist keine Lücke, die der Artikel mit Vermutungen füllen sollte. Die belastbare Aussage ist enger: Der Vorschlag würde die Reichweite gemeinsamer Verarbeitung neu ordnen, und die Kontrolle dieser Reichweite ist noch nicht entschieden.

Sechs Fragen, an denen der Gesetzestext gemessen werden muss

Welche Zwecke gelten für unklassifizierte Daten?: „Relevant und notwendig“ braucht Kriterien, die Behörden, Aufsicht und Betroffene nachvollziehen können.
Welche Höchstfristen gelten?: Die temporäre Prüfung bis zu sechs Monaten ersetzt keine klare Regel für die gesamte Speicher- und Löschlogik.
Wer darf suchen und zugreifen?: Für Cross-Checking-Service, analytische Umgebung und mögliche Treffer müssen Rollen und Protokolle transparent sein.
Wie wird Biometrie kontrolliert?: Eine Einzelfallprüfung muss nicht nur vorgesehen, sondern technisch und organisatorisch nachweisbar sein.
Wie werden private Quellen und OSINT eingeordnet?: Herkunft, Verlässlichkeit, Zweck und nationale Kontrollzuständigkeit dürfen nicht im Ungefähren bleiben.
Wie können Betroffene Rechte ausüben?: Auskunft, Berichtigung und Löschung müssen auch dann praktisch möglich sein, wenn Daten zunächst unstrukturiert vorliegen.

Meine Einschätzung

Die Reform sollte nicht daran gemessen werden, wie modern ihre Cloud- und Analysebegriffe klingen. Maßgeblich ist, ob sich für einen konkreten Datensatz erklären lässt: Warum wurde er aufgenommen? Welcher Zweck gilt? Wer durfte darauf zugreifen? Wann endet die Verarbeitung? Und wie wird ein falscher Treffer korrigiert?

Der EDPS trifft mit seiner Kritik einen technischen Kern des Vorhabens. Je stärker Systeme Daten zusammenführen und je weniger sauber sie am Anfang kategorisiert sind, desto weniger reicht ein allgemeiner Verweis auf spätere Löschung. Schutz entsteht erst durch enge Regeln an jeder Station des Datenwegs.

Fazit

Die Europol-Reform ist am 16. August 2026 ein offenes Gesetzgebungsverfahren, keine neue geltende Überwachungsregel. Sie könnte gemeinsame Polizeianalyse leistungsfähiger machen, würde aber auch die Frage verschärfen, wie Daten ohne festgestellten Straftatbezug behandelt werden.

Die entscheidende Grenze verläuft zwischen einem nachvollziehbaren Ermittlungszweck und einem Datenbestand, der auf Vorrat zu breit, zu lange oder zu unklar zugänglich bleibt. Ob der Vorschlag diese Grenze hält, hängt von den noch offenen Zwecken, Höchstfristen, Zugriffskriterien und Kontrollmechanismen ab.