URTEIL DES GERICHTSHOFS (Fünfte Kammer)
16. November 2023(*)
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie (EU) 2016/680 – Art. 17 – Ausübung der Rechte der betroffenen Person über die zuständige Aufsichtsbehörde – Prüfung der Rechtmäßigkeit der Datenverarbeitung – Art. 17 Abs. 3 – Mindestverpflichtung zur Unterrichtung der betroffenen Person – Umfang – Gültigkeit – Art. 53 – Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen die Aufsichtsbehörde – Begriff ‚rechtsverbindlicher Beschluss‘ – Charta der Grundrechte der Europäischen Union – Art. 8 Abs. 3 – Überwachung durch eine unabhängige Stelle – Art. 47 – Recht auf effektiven gerichtlichen Rechtsschutz“
In der Rechtssache C‑333/22
betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht von der Cour d’appel de Bruxelles (Appellationshof Brüssel, Belgien) mit Entscheidung vom 9. Mai 2022, beim Gerichtshof eingegangen am 20. Mai 2022, in dem Verfahren
Ligue des droits humains ASBL,
BA
gegen
Organe de contrôle de l’information policière
erlässt
DER GERICHTSHOF (Fünfte Kammer)
unter Mitwirkung des Kammerpräsidenten E. Regan sowie der Richter Z. Csehi, M. Ilešič, I. Jarukaitis und D. Gratsias (Berichterstatter),
Generalanwältin: L. Medina,
Kanzler: M. Siekierzyńska, Verwaltungsrätin,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 29. März 2023,
unter Berücksichtigung der Erklärungen
– der Ligue des droits humains ASBL und von BA, vertreten durch C. Forget, Avocate,
– des Organe de contrôle de l’information policière (OCIP), vertreten durch J. Bosquet und J.‑F. De Bock, Advocaten,
– der belgischen Regierung, vertreten durch P. Cottin, J.‑C. Halleux, C. Pochet und A. Van Baelen als Bevollmächtigte im Beistand von N. Cariat, C. Fischer, B. Lombaert und J. Simba, Avocats,
– der tschechischen Regierung, vertreten durch O. Serdula, M. Smolek und J. Vláčil als Bevollmächtigte,
– der französischen Regierung, vertreten durch J. Illouz als Bevollmächtigten,
– des Europäischen Parlaments, vertreten durch S. Alonso de León, O. Hrstková Šolcová, P. López-Carceller und M. Thibault als Bevollmächtigte,
– der Europäischen Kommission, vertreten durch A. Bouchagiar, H. Kranenborg, A.‑C. Simon und F. Wilman als Bevollmächtigte,
nach Anhörung der Schlussanträge der Generalanwältin in der Sitzung vom 15. Juni 2023
folgendes
Urteil
1 Das Vorabentscheidungsersuchen betrifft zum einen die Auslegung von Art. 8 Abs. 3 und Art. 47 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) und zum anderen die Gültigkeit von Art. 17 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, L 119, S. 89) im Hinblick auf die genannten Bestimmungen der Charta.
2 Es ergeht im Rahmen eines Rechtsstreits zwischen der Ligue des droits humains ASBL und BA auf der einen Seite und dem Organe de contrôle de l’information policière (OCIP) (Organ für die Kontrolle der polizeilichen Informationen, Belgien) auf der anderen Seite über die Ausübung der Rechte von BA über das OCIP in Bezug auf BA betreffende personenbezogene Daten, die von den belgischen Polizeidiensten verarbeitet wurden und die der Ablehnung eines Antrags von BA auf eine Sicherheitsbescheinigung durch die Autorité nationale de sécurité (Nationale Sicherheitsbehörde, Belgien) zugrunde lagen.
Rechtlicher Rahmen
Unionsrecht
3 In den Erwägungsgründen 7, 10, 43, 46, 48, 75, 82, 85 und 86 der Richtlinie 2016/680 heißt es:
„(7) Für den Zweck der wirksamen justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit ist es entscheidend, ein einheitliches und hohes Schutzniveau für die personenbezogenen Daten natürlicher Personen zu gewährleisten und den Austausch personenbezogener Daten zwischen den zuständigen Behörden der Mitgliedstaaten zu erleichtern. Im Hinblick darauf sollte dafür gesorgt werden, dass die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, in allen Mitgliedstaaten gleichwertig geschützt werden. Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung der Rechte der betroffenen Personen und eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten, und auch gleichwertige Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten.
…
(10) In der Erklärung Nr. 21 zum Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit im Anhang zur Schlussakte der Regierungskonferenz, die den Vertrag von Lissabon annahm, erkannte die Regierungskonferenz an, dass es sich aufgrund der Besonderheiten dieser Bereiche als erforderlich erweisen könnte, auf Artikel 16 AEUV gestützte spezifische Vorschriften über den Schutz personenbezogener Daten und den freien Verkehr personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit zu erlassen.
…
(43) Eine natürliche Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. …
…
(46) Jede Einschränkung der Rechte der betroffenen Person muss mit der Charta und mit der [am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten] in der Auslegung durch die Rechtsprechung des Gerichtshofs bzw. des Europäischen Gerichtshofs für Menschenrechte vereinbar sein und insbesondere den Wesensgehalt dieser Rechte und Freiheiten achten.
…
(48) Verweigert ein Verantwortlicher einer betroffenen Person ihr Recht auf Unterrichtung, Auskunft, Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung, so sollte die betroffene Person die nationale Aufsichtsbehörde ersuchen können, die Rechtmäßigkeit der Verarbeitung zu überprüfen. …
…
(75) Die Einrichtung von Aufsichtsbehörden in den Mitgliedstaaten, die ihre Aufgaben völlig unabhängig erfüllen können, ist ein wesentlicher Bestandteil des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten. Die Aufsichtsbehörden sollten die Anwendung der nach dieser Richtlinie erlassenen Vorschriften überwachen und zu ihrer einheitlichen Anwendung in der gesamten Union beitragen, um natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. …
…
(82) Um die wirksame, zuverlässige und einheitliche Überwachung der Einhaltung und Durchsetzung dieser Richtlinie in der gesamten Union gemäß dem AEUV in der Auslegung durch den Gerichtshof sicherzustellen, sollten die Aufsichtsbehörden in jedem Mitgliedstaat dieselben Aufgaben und wirksamen Befugnisse haben, darunter Untersuchungsbefugnisse, Abhilfebefugnisse und beratende Befugnisse, die notwendige Instrumente zur Erfüllung ihrer Aufgaben darstellen. …
…
(85) Jede betroffene Person sollte das Recht haben, bei einer einzigen Aufsichtsbehörde eine Beschwerde einzureichen und gemäß Artikel 47 der Charta einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten aufgrund von nach dieser Richtlinie erlassenen Vorschriften verletzt sieht oder wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird, eine Beschwerde teilweise oder ganz abweist oder ablehnt oder nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist. …
(86) Jede natürliche oder juristische Person sollte das Recht auf einen wirksamen gerichtlichen Rechtsbehelf bei dem zuständigen einzelstaatlichen Gericht gegen einen Beschluss einer Aufsichtsbehörde haben, der gegenüber dieser Person Rechtswirkungen entfaltet. Ein derartiger Beschluss betrifft insbesondere die Ausübung von Untersuchungs‑, Abhilfe- und Genehmigungsbefugnissen durch die Aufsichtsbehörde oder die Ablehnung oder Abweisung von Beschwerden. Dieses Recht umfasst jedoch nicht andere – rechtlich nicht bindende – Maßnahmen der Aufsichtsbehörden wie von ihr abgegebene Stellungnahmen oder Empfehlungen. Verfahren gegen eine Aufsichtsbehörde sollten bei den Gerichten des Mitgliedstaats angestrengt werden, in dem die Aufsichtsbehörde ihren Sitz hat, und sollten im Einklang mit dem Recht dieses Mitgliedstaats durchgeführt werden. Diese Gerichte sollten eine uneingeschränkte Zuständigkeit besitzen, was die Zuständigkeit, sämtliche für den anhängigen Rechtsstreit maßgeblichen Sach- und Rechtsfragen zu prüfen, einschließt.“
4 Art. 1 („Gegenstand und Ziele“) Abs. 1 und 2 der Richtlinie 2016/680 bestimmt:
„(1) Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.
(2) Gemäß dieser Richtlinie haben die Mitgliedstaaten
a) die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren Recht auf Schutz personenbezogener Daten, zu schützen und
b) sicherzustellen, dass der Austausch personenbezogener Daten zwischen den zuständigen Behörden in der Union – sofern er nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen ist – nicht aus Gründen, die mit dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten verbunden sind, eingeschränkt oder verboten wird.“
5 Die Richtlinie 2016/680 beinhaltet ein Kapitel III („Rechte der betroffenen Person“), das u. a. die Art. 13 bis 17 enthält. Art. 13 („Der betroffenen Person zur Verfügung zu stellende oder zu erteilende Informationen“) Abs. 1 nennt die Verpflichtung der Mitgliedstaaten, vorzusehen, dass der Verantwortliche der betroffenen Person zumindest bestimmte Informationen zur Verfügung stellt, wie u. a. den Namen und die Kontaktdaten des Verantwortlichen. Außerdem führt Art. 13 Abs. 2 die zusätzlichen Informationen auf, bei denen die Mitgliedstaaten durch Rechtsvorschriften regeln, dass sie der Verantwortliche der betroffenen Person zur Ausübung ihrer Rechte zu erteilen hat. Art. 13 Abs. 3 und 4 lautet:
„(3) Die Mitgliedstaaten können Gesetzgebungsmaßnahmen erlassen, nach denen die Unterrichtung der betroffenen Person gemäß Absatz 2 soweit und solange aufgeschoben, eingeschränkt oder unterlassen werden kann, wie diese Maßnahme in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und sofern den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:
a) zur Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,
b) zur Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlungen oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,
c) zum Schutz der öffentlichen Sicherheit,
d) zum Schutz der nationalen Sicherheit,
e) zum Schutz der Rechte und Freiheiten anderer.
(4) Die Mitgliedstaaten können Gesetzgebungsmaßnahmen zur Festlegung der Verarbeitungskategorien erlassen, für die einer der Buchstaben des Absatz 3 vollständig oder teilweise zur Anwendung kommt.“
6 In Art. 14 („Auskunftsrecht der betroffenen Person“) der Richtlinie 2016/680 heißt es:
„Vorbehaltlich des Artikels 15 sehen die Mitgliedstaaten vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie das Recht, Auskunft über personenbezogene Daten und zu folgenden Informationen zu erhalten: …“
7 Art. 15 („Einschränkung des Auskunftsrechts“) der Richtlinie 2016/680 lautet:
„(1) Die Mitgliedstaaten können Gesetzgebungsmaßnahmen erlassen, die zu nachstehenden Zwecken das Recht der betroffenen Person auf Auskunft teilweise oder vollständig einschränken, soweit und so lange wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:
a) Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,
b) Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlungen oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,
c) Schutz der öffentlichen Sicherheit,
d) Schutz der nationalen Sicherheit,
e) Schutz der Rechte und Freiheiten anderer.
(2) Die Mitgliedstaaten können Gesetzgebungsmaßnahmen zur Festlegung der Verarbeitungskategorien erlassen, für die Absatz 1 Buchstaben a bis e vollständig oder teilweise zur Anwendung kommen.
(3) Für die in den Absätzen 1 und 2 genannten Fälle sehen die Mitgliedstaaten vor, dass der Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür unterrichtet. Dies gilt nicht, wenn die Erteilung dieser Informationen einem der in Absatz 1 genannten Zwecke zuwiderliefe. Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person über die Möglichkeit unterrichtet, bei der Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
(4) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die sachlichen oder rechtlichen Gründe für die Entscheidung dokumentiert. Diese Angaben sind der Aufsichtsbehörde zur Verfügung zu stellen.“
8 Art. 16 („Recht auf Berichtigung oder Löschung personenbezogener Daten und Einschränkung der Verarbeitung“) der Richtlinie 2016/680 bestimmt:
„(1) Die Mitgliedstaaten sehen vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung sehen die Mitgliedstaaten vor, dass die betroffene Person das Recht hat, die Vervollständigung unvollständiger personenbezogener Daten … zu verlangen.
(2) Die Mitgliedstaaten verlangen vom Verantwortlichen, personenbezogene Daten unverzüglich zu löschen, und sehen vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten unverzüglich zu verlangen, wenn die Verarbeitung gegen die nach den Artikeln 4, 8 und 10 erlassenen Vorschriften verstößt oder wenn die personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen, der der Verantwortliche unterliegt.
(3) Anstatt die personenbezogenen Daten zu löschen, kann der Verantwortliche deren Verarbeitung einschränken, wenn
a) die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet und die Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann, oder
b) die personenbezogenen Daten für Beweiszwecke weiter aufbewahrt werden müssen.
…
(4) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person schriftlich über eine Verweigerung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung und über die Gründe für die Verweigerung unterrichtet. Die Mitgliedstaaten können Gesetzgebungsmaßnahmen erlassen, die zu nachstehenden Zwecken die Pflicht, diese Informationen zur Verfügung zu stellen, teilweise oder vollständig einschränken, soweit diese Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:
a) Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,
b) Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlungen oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,
c) Schutz der öffentlichen Sicherheit,
d) Schutz der nationalen Sicherheit,
e) Schutz der Rechte und Freiheiten anderer.
Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person über die Möglichkeit unterrichtet, bei der Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
…“
9 Art. 17 („Ausübung von Rechten durch die betroffene Person und Prüfung durch die Aufsichtsbehörde“) der Richtlinie 2016/680 sieht vor:
„(1) In den in Artikel 13 Absatz 3, Artikel 15 Absatz 3 und Artikel 16 Absatz 4 genannten Fällen erlassen die Mitgliedstaaten Maßnahmen, in denen vorgesehen ist, dass die Rechte der betroffenen Person auch über die zuständige Aufsichtsbehörde ausgeübt werden können.
(2) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person über die Möglichkeit unterrichtet, ihr Recht auf Befassung der Aufsichtsbehörde gemäß Absatz 1 auszuüben.
(3) Wird das in Absatz 1 genannte Recht ausgeübt, unterrichtet die Aufsichtsbehörde die betroffene Person zumindest darüber, dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Aufsichtsbehörde erfolgt sind. Die Aufsichtsbehörde hat zudem die betroffene Person über ihr Recht auf einen gerichtlichen Rechtsbehelf zu unterrichten.“
10 In Art. 42 („Unabhängigkeit“) Abs. 1 der Richtlinie 2016/680 heißt es:
„Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben und der Ausübung ihrer Befugnisse gemäß dieser Richtlinie völlig unabhängig handelt.“
11 Art. 46 („Aufgaben“) Abs. 1 der Richtlinie 2016/680 bestimmt:
„Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde in seinem Hoheitsgebiet
a) die Anwendung der nach dieser Richtlinie erlassenen Vorschriften sowie deren Durchführungsvorschriften überwacht und durchsetzt;
…
f) sich mit Beschwerden einer betroffenen Person … befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichtet …;
g) die Rechtmäßigkeit der Verarbeitung gemäß Artikel 17 überprüft und die betroffene Person innerhalb einer angemessenen Frist über das Ergebnis der Überprüfung gemäß Absatz 3 des genannten Artikels unterrichtet oder ihr die Gründe mitteilt, aus denen die Überprüfung nicht vorgenommen wurde;
…“
12 Art. 47 („Befugnisse“) der Richtlinie 2016/680 sieht vor:
„(1) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass jede Aufsichtsbehörde über wirksame Untersuchungsbefugnisse verfügt. Diese Befugnisse umfassen zumindest die Befugnis, von dem Verantwortlichen und dem Auftragsverarbeiter Zugang zu allen personenbezogenen Daten, die verarbeitet werden, und auf alle Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind, zu erhalten.
(2) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass jede Aufsichtsbehörde über wirksame Abhilfebefugnisse wie etwa die beispielhaft genannten folgenden verfügt, die es ihr gestatten,
a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die nach dieser Richtlinie erlassenen Vorschriften verstoßen;
b) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge, gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums, mit den nach dieser Richtlinie erlassenen Vorschriften in Einklang zu bringen, insbesondere durch die Anordnung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung gemäß Artikel 16;
c) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen.
…
(4) Die Ausübung der der Aufsichtsbehörde gemäß diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren gemäß dem Unionsrecht und dem Recht des Mitgliedstaats im Einklang mit der Charta.
…“
13 Art. 52 („Recht auf Beschwerde bei einer Aufsichtsbehörde“) Abs. 1 der Richtlinie 2016/680 bestimmt:
„Die Mitgliedstaaten sehen vor, dass jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde hat, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die nach dieser Richtlinie erlassenen Vorschriften verstößt.“
14 In Art. 53 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde“) Abs. 1 der Richtlinie 2016/680 heißt es:
„Die Mitgliedstaaten sehen vor, dass jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde hat.“
15 Art. 54 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter“) der Richtlinie 2016/680 lautet:
„Die Mitgliedstaaten sehen vor, dass jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 52 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn sie der Ansicht ist, dass die Rechte, die ihr aufgrund von nach dieser Richtlinie erlassenen Vorschriften zustehen, infolge einer nicht mit diesen Vorschriften im Einklang stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“
Belgisches Recht
16 Die Richtlinie 2016/680 wird durch Titel 2 der Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (Gesetz über den Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten) vom 30. Juli 2018 (Moniteur belge vom 5. September 2018, S. 68616, im Folgenden: LPD) in belgisches Recht umgesetzt. Die in den Art. 13 bis 16 der Richtlinie genannten Rechte sind in Titel 2 Kapitel III geregelt, genauer gesagt in Art. 37 bis 39 LPD.
17 Art. 42 LPD bestimmt:
„Der Antrag auf Ausübung der im vorliegenden Kapitel erwähnten Rechte in Bezug auf die Polizeidienste … oder die Inspection générale de la police fédérale et de la police locale (Generalinspektion der föderalen Polizei und der lokalen Polizei, Belgien) ist an die in Artikel 71 erwähnte Aufsichtsbehörde zu richten.
In den Fällen, die in den Artikeln 37 § 2, 38 § 2 [und] 39 § 4 … erwähnt sind, unterrichtet die in Artikel 71 erwähnte Aufsichtsbehörde nur die betroffene Person darüber, dass alle erforderlichen Prüfungen vorgenommen wurden.
Unbeschadet des Absatzes 2 kann die in Artikel 71 erwähnte Aufsichtsbehörde der betroffenen Person bestimmte Hintergrundinformationen mitteilen.
Der König legt nach Stellungnahme der in Artikel 71 erwähnten Aufsichtsbehörde die Kategorien von Hintergrundinformationen fest, die der betroffenen Person von dieser Aufsichtsbehörde mitgeteilt werden können.“
18 Der Cour d’appel de Bruxelles (Appellationshof Brüssel, Belgien), dem vorlegenden Gericht, zufolge wurde keine Königliche Verordnung zur Durchführung von Art. 42 Abs. 4 LPD erlassen.
19 Art. 71 Abs. 1 LPD bestimmt:
„Bei der Abgeordnetenkammer wird eine unabhängige Aufsichtsbehörde für polizeiliche Information geschaffen, Organ für die Kontrolle der polizeilichen Informationen genannt.
…
[Sie ist] beauftragt mit:
1. der Aufsicht über die Anwendung des vorliegenden Titels …
2. der Kontrolle der Verarbeitung der in den Art. 44/1 bis 44/11/13 des Gesetzes vom 5. August 1992 über das Polizeiamt erwähnten Informationen und personenbezogenen Daten, einschließlich derjenigen, die in den in Art. 44/2 desselben Gesetzes genannten Datenbanken enthalten sind,
3. jeder anderen durch oder aufgrund anderer Gesetze erteilten Aufgabe.“
20 Titel 5 Kapitel I LPD trägt die Überschrift „Unterlassungsklage“. Der zu diesem Kapitel gehörende Art. 209 lautet:
„Unbeschadet anderer gerichtlicher, administrativer oder außergerichtlicher Beschwerden stellt der Präsident des Gerichts Erster Instanz, der wie im Eilverfahren tagt, das Vorliegen einer Verarbeitung fest, die gegen die Gesetzes- oder Verordnungsbestimmungen zum Schutz natürlicher Personen hinsichtlich der Verarbeitung ihrer personenbezogenen Daten verstößt, und ordnet die Unterlassung dieser Verarbeitung an.
Der wie im Eilverfahren tagende Präsident des Gerichts Erster Instanz erkennt über alle Ersuchen in Bezug auf das durch oder aufgrund des Gesetzes gewährte Recht auf Mitteilung personenbezogener Daten und über alle Ersuchen auf Berichtigung, Löschung oder Verbot der Verwendung personenbezogener Daten, die unrichtig oder unter Berücksichtigung des Verarbeitungszwecks unvollständig oder nicht sachdienlich sind, oder deren Speicherung, Mitteilung oder Aufbewahrung verboten ist, gegen deren Verarbeitung die betroffene Person sich widersetzt hat oder die über den erlaubten Zeitraum hinaus aufbewahrt worden sind.“
21 In Art. 240 Abs. 4 LPD heißt es:
„[Das OCIP]
…
4. befasst sich mit Beschwerden, untersucht den Gegenstand der Beschwerde in angemessenem Umfang und unterrichtet den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist. …“
Ausgangsverfahren und Vorlagefragen
22 Im Jahr 2016 beantragte BA, der damals in Teilzeit bei einer gemeinnützigen Vereinigung beschäftigt war, bei der Nationalen Sicherheitsbehörde eine Sicherheitsbescheinigung, um am Auf- und Abbau der Anlagen für die zehnte Ausgabe der „Europäischen Entwicklungstage“ in Brüssel (Belgien) mitwirken zu können.
23 Mit Schreiben vom 22. Juni 2016 lehnte es die Nationale Sicherheitsbehörde ab, BA eine Sicherheitsbescheinigung zu erteilen. Sie begründete dies damit, dass aus den ihr zur Verfügung gestellten personenbezogenen Daten hervorgehe, dass BA zwischen den Jahren 2007 und 2016 an zehn Demonstrationen teilgenommen habe. Daher ließen insbesondere Gründe der Sicherheit des Staates und der Aufrechterhaltung der verfassungsmäßigen demokratischen Ordnung es nicht zu, BA im Rahmen der anwendbaren Rechtsvorschriften eine solche Bescheinigung zu erteilen. Diese Entscheidung wurde nicht angefochten.
24 Am 4. Februar 2020 ersuchte der Bevollmächtigte von BA das OCIP, die Verantwortlichen für die in Rede stehende Verarbeitung personenbezogener Daten zu ermitteln und diese anzuweisen, seinem Mandanten Auskunft über alle ihn betreffenden Informationen zu erteilen, damit er innerhalb angemessener Fristen seine Rechte ausüben könne.
25 Mit E‑Mail vom 6. Februar 2020 bestätigte das OCIP den Eingang dieses Antrags. Es wies darauf hin, dass BA nur ein mittelbares Recht auf Auskunft über diese Daten habe, sicherte jedoch zugleich zu, dass es selbst die Rechtmäßigkeit einer etwaigen Datenverarbeitung in der von allen nationalen Polizeidiensten genutzten Datenbank, d. h. der Banque de données nationale générale (Allgemeine Nationale Datenbank), überprüfen werde. Ferner sei es befugt, die Polizei anzuweisen, Daten erforderlichenfalls zu löschen oder zu ändern. Zudem werde es BA nach Abschluss dieser Kontrolle darüber unterrichten, dass die erforderlichen Prüfungen vorgenommen worden seien.
26 Mit E‑Mail vom 22. Juni 2020 teilte das OCIP dem Bevollmächtigten von BA mit:
„…
Gemäß Art. 42 [LPD] unterrichte ich Sie darüber, dass das [OCIP] die erforderlichen Prüfungen vorgenommen hat.
Das bedeutet, dass die personenbezogenen Daten Ihres Mandanten in den polizeilichen Datenbanken überprüft wurden, um die Rechtmäßigkeit einer möglichen Verarbeitung zu gewährleisten.
Erforderlichenfalls wurden die personenbezogenen Daten geändert oder gelöscht.
Wie ich Ihnen gegenüber in meiner E‑Mail vom [2.] Juni erläutert habe, gestattet Art. 42 LPD dem [OCIP] keine Mitteilung weiter gehender Informationen.“
27 Am 2. September 2020 erhoben die Ligue des droits humains und BA beim Tribunal de première instance francophone de Bruxelles (französischsprachiges Gericht Erster Instanz von Brüssel, Belgien) eine Klage im Eilverfahren gemäß Art. 209 Abs. 2 LPD.
28 Als Erstes begehrten die Kläger des Ausgangsverfahrens, ihre Klage im Eilverfahren für zulässig zu erklären, hilfsweise, den Gerichtshof dazu zu befragen, ob Art. 47 Abs. 4 im Licht der Erwägungsgründe 85 und 86 der Richtlinie 2016/680 sowie in Verbindung mit Art. 8 Abs. 3 und Art. 47 der Charta den Art. 42 und 71 LPD entgegensteht, soweit diese keinen gerichtlichen Rechtsbehelf gegen Beschlüsse des OCIP vorsehen.
29 Als Zweites beantragten sie in der Sache über das OCIP die Auskunft über sämtliche personenbezogenen Daten von BA sowie die Ermittlung der Verantwortlichen und der etwaigen Empfänger dieser Daten.
30 Sollte das angerufene Gericht der Auffassung sein, dass Art. 42 Abs. 2 LPD es erlaube, die Auskunft über die von den Polizeibehörden verarbeiteten personenbezogenen Daten systematisch zu beschränken, ersuchten sie hilfsweise um die Anrufung des Gerichtshofs im Wesentlichen zu der Frage, ob die Art. 14, 15 und 17 der Richtlinie 2016/680 in Verbindung mit den Art. 8, 47 und 52 Abs. 1 der Charta dahin auszulegen sind, dass sie nationalen Rechtsvorschriften entgegenstehen, die eine allgemeine und systematische Ausnahme vom Recht auf Auskunft über personenbezogene Daten zulassen, sofern dieses Recht über die Aufsichtsbehörde ausgeübt wird und diese sich darauf beschränken kann, die betroffene Person darüber zu unterrichten, dass alle erforderlichen Prüfungen durch sie erfolgt seien, ohne dieser Person – unabhängig von dem mit der Verarbeitung verfolgten Zweck – die personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, und die Empfänger mitzuteilen.
31 Mit Beschluss vom 17. Mai 2021 erklärte sich das Tribunal de première instance francophone de Bruxelles (französischsprachiges Gericht Erster Instanz von Brüssel) für die Entscheidung über die Klage im Eilverfahren für „unzuständig“.
32 Mit Rechtsmittelschrift vom 15. Juni 2021 legten die Kläger des Ausgangsverfahrens bei dem vorlegenden Gericht, der Cour d’appel de Bruxelles (Appellationshof Brüssel), Rechtsmittel gegen diesen Beschluss ein. Im Wesentlichen wiederholten sie ihre im ersten Rechtszug gestellten Anträge.
33 In diesem Zusammenhang weist das vorlegende Gericht im Wesentlichen insbesondere darauf hin, dass eine Unterlassungsklage nach den Art. 209 ff. LPD nicht erhoben werden könne, wenn eine Person nicht über das Recht verfüge, die in der Richtlinie 2016/680 vorgesehenen Rechte persönlich auszuüben. Eine solche Klage könne nämlich gegen den Verantwortlichen erhoben werden, nicht aber gegen die Aufsichtsbehörde selbst. Die Klage könne gegen den Verantwortlichen auch nicht von dieser Person, im vorliegenden Fall BA, betrieben werden, da die Aufsichtsbehörde mit der Ausübung der Rechte dieser Person befasst sei. Außerdem ermögliche es die äußerst knappe Information, die das OCIP BA erteilt habe, weder BA noch einem Gericht, zu beurteilen, ob diese Aufsichtsbehörde die Rechte von BA ordnungsgemäß wahrgenommen habe. Soweit das LPD vorsehe, dass diese Unterlassungsklage unbeschadet anderer gerichtlicher, administrativer oder außergerichtlicher Beschwerden ausgestaltet sei, würde ein solcher anderer Rechtsbehelf von BA auf die gleichen Hindernisse stoßen.
34 Unter diesen Umständen hat die Cour d’appel de Bruxelles (Appellationshof Brüssel) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:
1. Verlangen die Art. 47 und Art. 8 Abs. 3 der Charta, einen gerichtlichen Rechtsbehelf gegen eine unabhängige Aufsichtsbehörde wie das Organ für die Kontrolle der polizeilichen Informationen vorzusehen, wenn es die Rechte der betroffenen Person gegenüber dem Verantwortlichen ausübt?
2. Ist Art. 17 der Richtlinie 2016/680 mit den Art. 47 und Art. 8 Abs. 3 der Charta in ihrer Auslegung durch den Gerichtshof vereinbar, soweit er die Aufsichtsbehörde – die die Rechte der betroffenen Person gegenüber dem Verantwortlichen ausübt – nur dazu verpflichtet, die betroffene Person darüber, „dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Aufsichtsbehörde erfolgt sind“, sowie „über ihr Recht auf einen gerichtlichen Rechtsbehelf“ zu unterrichten, obgleich eine derartige Unterrichtung keine nachträgliche Kontrolle des Handelns und der Beurteilung der Aufsichtsbehörde im Hinblick auf die Daten der betroffenen Person und die Pflichten des Verantwortlichen gestattet?
Zu den Vorlagefragen
Zur ersten Frage
35 Aus dem Vorabentscheidungsersuchen geht hervor, dass die Fragen des vorlegenden Gerichts das Bestehen einer Verpflichtung der Mitgliedstaaten nach Art. 53 Abs. 1 der Richtlinie 2016/680 im Licht von Art. 47 der Charta betreffen, bei der Ausführung einer nationalen Rechtsvorschrift zur Umsetzung von Art. 17 dieser Richtlinie, wonach die Rechte der betroffenen Person in den in Art. 13 Abs. 3, Art. 15 Abs. 3 und Art. 16 Abs. 4 der Richtlinie genannten Fällen über die zuständige nationale Aufsichtsbehörde ausgeübt werden können, ein Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine solche Aufsichtsbehörde vorzusehen.
36 Die Antwort auf diese Frage hängt von der Art und dem Umfang der Aufgabe und der Befugnisse der Aufsichtsbehörde im Rahmen der Ausübung der Rechte der betroffenen Person nach Art. 17 der Richtlinie 2016/680 ab. Diese werden in Art. 46 Abs. 1 Buchst. g und Art. 47 Abs. 1 und 2 dieser Richtlinie genauer ausgeführt und sind im Licht von Art. 8 Abs. 3 der Charta zu prüfen, wonach die Einhaltung der in Art. 8 Abs. 1 und 2 der Charta genannten Vorschriften über den Schutz personenbezogener Daten von einer unabhängigen Stelle überwacht wird.
37 Es ist somit davon auszugehen, dass das vorlegende Gericht mit seiner ersten Frage im Wesentlichen wissen möchte, ob Art. 17 in Verbindung mit Art. 46 Abs. 1 Buchst. g, Art. 47 Abs. 1 und 2 und Art. 53 Abs. 1 der Richtlinie 2016/680 sowie in Verbindung mit Art. 8 Abs. 3 und Art. 47 der Charta dahin auszulegen ist, dass eine Person, wenn ihre Rechte in Anwendung von Art. 17 dieser Richtlinie über die zuständige Aufsichtsbehörde ausgeübt worden sind, über einen wirksamen gerichtlichen Rechtsbehelf gegen diese Behörde verfügen muss.
38 Zunächst ist darauf hinzuweisen, dass die Mitgliedstaaten nach Art. 53 Abs. 1 der Richtlinie 2016/680 vorsehen müssen, dass eine natürliche oder juristische Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde hat.
39 Daher ist zu prüfen, ob eine Aufsichtsbehörde einen solchen Beschluss erlässt, wenn die in dieser Richtlinie genannten Rechte der betroffenen Personen gemäß Art. 17 dieser Richtlinie über die Aufsichtsbehörde ausgeübt werden.
40 Insoweit ist darauf hinzuweisen, dass die Mitgliedstaaten nach Art. 17 Abs. 1 der Richtlinie 2016/680 „in den in Artikel 13 Absatz 3, Artikel 15 Absatz 3 und Artikel 16 Absatz 4 [dieser Richtlinie] genannten Fällen“ verpflichtet sind, Maßnahmen zu erlassen, „in denen vorgesehen ist, dass die Rechte der betroffenen Person auch über die zuständige Aufsichtsbehörde ausgeübt werden können“.
41 Wie die Verwendung des Adverbs „auch“ zeigt und die Generalanwältin in den Nrn. 41 und 42 ihrer Schlussanträge im Wesentlichen ausgeführt hat, stellt die in dieser Bestimmung vorgesehene mittelbare Ausübung der Rechte der betroffenen Person über die zuständige Aufsichtsbehörde eine zusätzliche Garantie für diese Person dar, dass ihre personenbezogenen Daten rechtmäßig verarbeitet werden, wenn nationale Rechtsvorschriften die unmittelbare Ausübung des Rechts auf Erteilung zusätzlicher Informationen gegenüber dem Verantwortlichen nach Art. 13 Abs. 2 der Richtlinie 2016/680, das Recht auf Auskunft über diese Daten nach Art. 14 dieser Richtlinie oder das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung nach Art. 16 Abs. 1 bis 3 der Richtlinie begrenzen.
42 Angesichts der besonderen und u. a. im zehnten Erwägungsgrund der Richtlinie 2016/680 hervorgehobenen Art der Zwecke, zu denen die unter diese Richtlinie fallenden Verarbeitungen von Daten vorgenommen werden, ermächtigen Art. 13 Abs. 3 und Art. 15 Abs. 1 der Richtlinie den nationalen Gesetzgeber, die unmittelbare Ausübung des Informationsrechts und des Auskunftsrechts einzuschränken, „soweit und solange wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird“, und zwar zur „Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden“, zur „Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden“, zum „Schutz der öffentlichen Sicherheit“, zum „Schutz der nationalen Sicherheit“ oder zum „Schutz der Rechte und Freiheiten anderer“. Außerdem sieht Art. 15 Abs. 3 der Richtlinie vor, dass der Verantwortliche davon absehen kann, die betroffene Person über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür zu unterrichten, wenn die Erteilung dieser Informationen einem der vorstehend genannten Zwecke zuwiderliefe.
43 Ferner ermächtigt Art. 16 Abs. 4 der Richtlinie den nationalen Gesetzgeber, die Pflicht des Verantwortlichen, „die betroffene Person schriftlich über eine Verweigerung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung und über die Gründe für die Verweigerung“ zu unterrichten, zu den gleichen im öffentlichen Interesse liegenden Zwecken einzuschränken, „soweit diese Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird“.
44 Erweist sich die unmittelbare Ausübung der in Rn. 41 des vorliegenden Urteils genannten Rechte gegenüber dem Verantwortlichen als schwierig oder sogar unmöglich, ist in diesem Rahmen, wie sich aus dem 48. Erwägungsgrund der Richtlinie ergibt, zum Schutz dieser Rechte ihre mittelbare Ausübung über die zuständige Aufsichtsbehörde erforderlich.
45 Zu diesem Zweck verlangt Art. 46 Abs. 1 Buchst. g der Richtlinie 2016/680, dass jede zuständige nationale Behörde mit der Aufgabe betraut wird, die Rechtmäßigkeit der Verarbeitung gemäß Art. 17 der Richtlinie, d. h. auf der Grundlage eines auf diese Bestimmung gestützten Antrags, zu überprüfen.
46 Im Übrigen geht u. a. aus Art. 47 Abs. 1 und 2 der Richtlinie hervor, dass jede Aufsichtsbehörde nach nationalem Recht nicht nur über „wirksame Untersuchungsbefugnisse“, sondern auch über „wirksame Abhilfebefugnisse“ verfügen muss.
47 Diese Bestimmungen sind im Licht des Erfordernisses gemäß Art. 8 Abs. 3 der Charta zu lesen, wonach die Einhaltung der in Art. 8 Abs. 1 und 2 enthaltenen Vorschriften über das Recht jeder Person auf Schutz personenbezogener Daten „von einer unabhängigen Stelle überwacht“ werden muss, und zwar insbesondere im Licht des in Art. 8 Abs. 2 Satz 2 genannten Erfordernisses, wonach „[j]ede Person … das Recht [hat], Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken“. Die Errichtung einer unabhängigen Aufsichtsbehörde soll nämlich nach ständiger Rechtsprechung die wirksame und zuverlässige Kontrolle der Einhaltung der Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten sicherstellen und ist im Licht dieses Zwecks auszulegen (vgl. in diesem Sinne Gutachten 1/15 [PNR-Abkommen EU-Kanada] vom 26. Juli 2017, EU:C:2017:592, Rn. 229 und die dort angeführte Rechtsprechung).
48 Sofern eine solche Aufsichtsbehörde tätig wird, um die Ausübung der Rechte der betroffenen Person nach Art. 17 der Richtlinie 2016/680 zu gewährleisten, folgt ihre Aufgabe voll und ganz der Definition ihrer Rolle nach dem Primärrecht der Union, da diese Definition u. a. die Kontrolle der Wahrung der Rechte der betroffenen Person auf Auskunft und Berichtigung einschließt. Daraus folgt, dass die Aufsichtsbehörde wie im Rahmen aller weiteren Aufgaben bei der Wahrnehmung dieser speziellen Aufgabe in der Lage sein muss, die ihr durch Art. 47 der Richtlinie übertragenen Befugnisse im Einklang mit der Charta und, wie es im 75. Erwägungsgrund dieser Richtlinie heißt, völlig unabhängig auszuüben.
49 Ferner hat die zuständige Aufsichtsbehörde nach der Überprüfung der Rechtmäßigkeit der Verarbeitung die betroffene Person gemäß Art. 17 Abs. 3 Satz 1 der Richtlinie „zumindest“ darüber zu unterrichten, „dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Aufsichtsbehörde erfolgt sind“.
50 Wie die Generalanwältin in Nr. 65 ihrer Schlussanträge im Wesentlichen ausführt, ist aus der Gesamtheit dieser Bestimmungen abzuleiten, dass die zuständige Aufsichtsbehörde, wenn sie die betroffene Person über das Ergebnis der durchgeführten Prüfungen unterrichtet, dieser den ihr gegenüber ergangenen Beschluss mitteilt, das Überprüfungsverfahren abzuschließen, und dass sich dieser Beschluss zwangsläufig auf die Rechtsstellung dieser Person auswirkt. Für diese Person handelt es sich bei diesem Beschluss daher um einen „rechtsverbindlichen Beschluss“ im Sinne von Art. 53 Abs. 1 der Richtlinie 2016/680, unabhängig davon, ob und inwieweit die Behörde die Rechtmäßigkeit der Verarbeitung der diese Person betreffenden Daten festgestellt und Abhilfebefugnisse ausgeübt hat.
51 Im Übrigen heißt es im 86. Erwägungsgrund dieser Richtlinie, dass unter dem Begriff „rechtsverbindlicher Beschluss“ im Sinne der Richtlinie ein Beschluss zu verstehen ist, der gegenüber der betroffenen Person Rechtswirkungen entfaltet, insbesondere ein Beschluss der Aufsichtsbehörde, der die Ausübung von Untersuchungs‑, Abhilfe- und Genehmigungsbefugnissen oder die Ablehnung oder Abweisung von Beschwerden betrifft.
52 Die betroffene Person muss daher auf der Grundlage von Art. 53 Abs. 1 der Richtlinie 2016/680 eine gerichtliche Überprüfung der Begründetheit eines solchen Beschlusses erwirken können, und zwar insbesondere der Art und Weise, in der die Aufsichtsbehörde ihrer Verpflichtung nach Art. 17 der Richtlinie 2016/680, auf den Art. 46 Abs. 1 Buchst. g dieser Richtlinie verweist, nachgekommen ist, dass „alle erforderlichen Prüfungen … erfolgt sind“, sowie gegebenenfalls eine gerichtliche Überprüfung der Ausübung ihrer Befugnisse zum Erlass von Abhilfemaßnahmen.
53 Diese Schlussfolgerung wird im Übrigen durch den 85. Erwägungsgrund der Richtlinie 2016/680 bestätigt, aus dem hervorgeht, dass jede betroffene Person das Recht haben sollte, einen wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde einzulegen, wenn diese Behörde „nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist“.
54 Ferner steht eine solche Auslegung im Einklang mit Art. 47 der Charta, da nach ständiger Rechtsprechung dieses Recht jeder Person, die sich auf durch das Unionsrecht garantierte Rechte oder Freiheiten beruft, zuzuerkennen ist, wenn sie gegen eine sie beschwerende Entscheidung vorgeht, die diese Rechte oder Freiheiten verletzen könnte (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 87 und die dort angeführte Rechtsprechung).
55 Nach alledem ist auf die erste Frage zu antworten, dass Art. 17 in Verbindung mit Art. 46 Abs. 1 Buchst. g, Art. 47 Abs. 1 und 2 und Art. 53 Abs. 1 der Richtlinie 2016/680 sowie in Verbindung mit Art. 8 Abs. 3 und Art. 47 der Charta dahin auszulegen ist, dass eine Person, wenn ihre Rechte in Anwendung von Art. 17 dieser Richtlinie über die zuständige Aufsichtsbehörde ausgeübt worden sind und diese Behörde sie über das Ergebnis der durchgeführten Prüfungen unterrichtet, über einen wirksamen gerichtlichen Rechtsbehelf gegen den Beschluss dieser Behörde, das Überprüfungsverfahren abzuschließen, verfügen muss.
Zur zweiten Frage
56 Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 17 Abs. 3 der Richtlinie 2016/680 im Hinblick auf Art. 8 Abs. 3 und Art. 47 der Charta gültig ist, soweit er die Aufsichtsbehörde nur verpflichtet, die betroffene Person zum einen darüber zu unterrichten, dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Aufsichtsbehörde erfolgt sind, und zum anderen darüber, dass diese Person das Recht auf einen gerichtlichen Rechtsbehelf hat, da eine solche Unterrichtung keine gerichtliche Überprüfung des Vorgehens der Aufsichtsbehörde und ihrer Beurteilungen im Hinblick auf die verarbeiteten Daten und die Pflichten des Verantwortlichen ermöglicht.
57 Insoweit ist zum einen darauf hinzuweisen, dass ein Rechtsakt der Union nach einem allgemeinen Auslegungsgrundsatz so weit wie möglich in einer seine Gültigkeit nicht in Frage stellenden Weise und im Einklang mit dem gesamten Primärrecht und insbesondere mit den Bestimmungen der Charta auszulegen ist. Lässt eine Vorschrift des abgeleiteten Unionsrechts mehr als eine Auslegung zu, ist daher die Auslegung, bei der die Bestimmung mit dem Primärrecht vereinbar ist, derjenigen vorzuziehen, die zur Feststellung ihrer Unvereinbarkeit mit dem Primärrecht führt (Urteil vom 21. Juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, Rn. 86 und die dort angeführte Rechtsprechung).
58 Zum anderen verlangt das in Art. 47 der Charta garantierte Recht auf einen wirksamen gerichtlichen Rechtsbehelf grundsätzlich, dass der Betroffene Kenntnis von den Gründen, auf denen die ihm gegenüber ergangene Entscheidung beruht, erlangen kann, um es ihm zu ermöglichen, seine Rechte unter den bestmöglichen Bedingungen zu verteidigen und in Kenntnis aller Umstände zu entscheiden, ob es für ihn von Nutzen ist, das zuständige Gericht anzurufen, und um dieses vollständig in die Lage zu versetzen, die Kontrolle der Rechtmäßigkeit dieser Entscheidung auszuüben (vgl. in diesem Sinne Urteil vom 4. Juni 2013, ZZ, C‑300/11, EU:C:2013:363, Rn. 53 und die dort angeführte Rechtsprechung).
59 Dieses Recht kann zwar keine uneingeschränkte Geltung beanspruchen und kann gemäß Art. 52 Abs. 1 der Charta eingeschränkt werden, sofern diese Einschränkungen gesetzlich vorgesehen sind, den Wesensgehalt der in Rede stehenden Rechte und Freiheiten achten und unter Wahrung des Grundsatzes der Verhältnismäßigkeit erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen (Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 89 und die dort angeführte Rechtsprechung).
60 Im vorliegenden Fall ist festzustellen, dass Art. 17 Abs. 3 der Richtlinie 2016/680 in Bezug auf den in Rn. 50 des vorliegenden Urteils genannten Beschluss der zuständigen Aufsichtsbehörde eine Mindestverpflichtung der Aufsichtsbehörde zur Unterrichtung einführt, da er vorsieht, dass diese Behörde die betroffene Person „zumindest“ darüber, „dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Aufsichtsbehörde erfolgt sind“, sowie „über ihr Recht auf einen gerichtlichen Rechtsbehelf“ unterrichtet.
61 Da diese Bestimmung dem nicht entgegensteht, dass sich die Aufsichtsbehörde in bestimmten Fällen ohne nähere Angaben gemäß den zu ihrer Umsetzung vom nationalen Gesetzgeber erlassenen Vorschriften auf die in der vorstehenden Randnummer genannten Mindestinformationen beschränken kann oder sogar muss, insbesondere wenn, wie in den Rn. 42 und 43 des vorliegenden Urteils ausgeführt, diese Vorschriften darauf abzielen, eine Beeinträchtigung der in Art. 13 Abs. 3, Art. 15 Abs. 1 und Art. 16 Abs. 4 dieser Richtlinie genannten, im öffentlichen Interesse liegenden Zwecke zu vermeiden, kann sie eine Einschränkung des in Art. 47 der Charta garantierten Rechts auf einen wirksamen gerichtlichen Rechtsbehelf bewirken.
62 Als Erstes ist jedoch festzustellen, dass eine solche Einschränkung in der Richtlinie 2016/680 ausdrücklich vorgesehen ist und damit die in Art. 52 Abs. 1 der Charta genannte Voraussetzung erfüllt ist, wonach jede Einschränkung der Ausübung eines Grundrechts „gesetzlich vorgesehen“ sein muss.
63 Als Zweites ist, wie die Generalanwältin im Wesentlichen in Nr. 89 ihrer Schlussanträge ausführt, die Tatsache, dass Art. 17 Abs. 3 der Richtlinie 2016/680 den Mitgliedstaaten erlaubt, die Begründung dieses Beschlusses in bestimmten Fällen auf die in dieser Bestimmung genannten Mindestangaben zu beschränken, nicht dahin zu verstehen, dass es unter allen Umständen möglich wäre, die Unterrichtung der betroffenen Person allein auf diese Angaben zu beschränken.
64 Diese Bestimmung ist nämlich im Licht von Art. 52 Abs. 1 der Charta dahin auszulegen, dass die anderen in diesem Artikel der Charta genannten Kriterien zu erfüllen sind, d. h. sie verlangt von den Mitgliedstaaten, dafür zu sorgen, dass die Bestimmungen des nationalen Rechts zu ihrer Umsetzung zum einen den Wesensgehalt des Rechts der betroffenen Person auf effektiven gerichtlichen Rechtsschutz achten und zum anderen unter Wahrung der Grundsätze der Erforderlichkeit und der Verhältnismäßigkeit auf einer Abwägung der im öffentlichen Interesse liegenden Zwecke, die eine Einschränkung dieser Informationen rechtfertigen, sowie der Grundrechte und der berechtigten Interessen dieser Person beruhen, einer Abwägung, wie sie der nationale Gesetzgeber auch vorzunehmen hat, wenn er die in Art. 13 Abs. 3, Art. 15 Abs. 3 und Art. 16 Abs. 4 der Richtlinie vorgesehenen Einschränkungen umsetzt.
65 Insbesondere wenn dies erforderlich ist, um das Recht der betroffenen Person auf einen wirksamen gerichtlichen Rechtsbehelf gegen den Beschluss, das Überprüfungsverfahren abzuschließen, zu wahren und die in Art. 13 Abs. 3, Art. 15 Abs. 3 und Art. 16 Abs. 4 der Richtlinie 2016/680 genannten im öffentlichen Interesse liegenden Zwecke dem nicht entgegenstehen, ist es Sache der Mitgliedstaaten, vorzusehen, dass die Unterrichtung der betroffenen Person über die in Art. 17 Abs. 3 dieser Richtlinie vorgesehenen Mindestangaben hinausgehen kann, damit diese Person ihre Rechte verteidigen und in Kenntnis aller Umstände entscheiden kann, ob es sinnvoll ist, das zuständige Gericht anzurufen.
66 Ebenso haben die nationalen Maßnahmen zur Umsetzung dieser Bestimmung der Richtlinie der zuständigen Aufsichtsbehörde im Einklang mit der sie kennzeichnenden Unabhängigkeit nach Art. 8 Abs. 3 der Charta so weit wie möglich einen gewissen Entscheidungsspielraum bei der Feststellung einzuräumen, ob der durch die nationalen Rechtsvorschriften im Einklang mit den in Rn. 65 des vorliegenden Urteils genannten Anforderungen abgesteckte Rahmen nicht dem entgegensteht, dass die Aufsichtsbehörde dieser Person zumindest in knapper Form die Ergebnisse ihrer Überprüfungen und gegebenenfalls die von ihr ergriffenen Abhilfemaßnahmen mitteilt. Insoweit ist es, wie die Generalanwältin in den Nrn. 73 und 74 ihrer Schlussanträge im Wesentlichen ausgeführt hat, Sache dieser Behörde, unter Beachtung des nationalen Rechtsrahmens in einen vertraulichen Dialog mit dem Verantwortlichen einzutreten und am Ende des Dialogs zu entscheiden, welche Informationen, die diese für die Ausübung ihres Rechts auf einen wirksamen gerichtlichen Rechtsbehelf benötigt, sie der betroffenen Person übermitteln kann, ohne die in Rn. 65 des vorliegenden Urteils genannten im öffentlichen Interesse liegenden Zwecke zu gefährden.
67 Im Übrigen ist es in den Fällen, in denen dieser Rahmen vorschreibt, dass die von der Aufsichtsbehörde bereitgestellten Informationen auf das in Art. 17 Abs. 3 der Richtlinie 2016/680 vorgesehene Maß beschränkt sein müssen, gleichwohl Sache der Mitgliedstaaten, im Rahmen ihrer Verfahrensautonomie die erforderlichen Maßnahmen zu ergreifen, um im Einklang mit Art. 53 Abs. 1 dieser Richtlinie zu gewährleisten, dass eine wirksame gerichtliche Kontrolle des Vorliegens und der Stichhaltigkeit der Gründe für die Einschränkung dieser Informationen sowie der ordnungsgemäßen Erfüllung der Aufgabe der Aufsichtsbehörde, die Rechtmäßigkeit der Verarbeitung zu überprüfen, stattfindet. Insoweit ist der Begriff „wirksamer gerichtlicher Rechtsbehelf“ im Sinne der letztgenannten Bestimmung im Licht des 86. Erwägungsgrundes der Richtlinie zu lesen, wonach die Gerichte, bei denen Klagen gegen eine Aufsichtsbehörde erhoben werden, „eine uneingeschränkte Zuständigkeit besitzen [sollten], was die Zuständigkeit, sämtliche für den anhängigen Rechtsstreit maßgeblichen Sach- und Rechtsfragen zu prüfen, einschließt“.
68 Insbesondere müssen die Mitgliedstaaten dafür sorgen, dass das zuständige Gericht verfahrensrechtliche Techniken und Regeln zu seiner Verfügung hat und anwendet, um einen Ausgleich zu ermöglichen zwischen den legitimen Erwägungen zu den in Art. 13 Abs. 3, Art. 15 Abs. 3 und Art. 16 Abs. 4 der Richtlinie 2016/680 genannten im öffentlichen Interesse liegenden Zwecken, die in den nationalen Rechtsvorschriften berücksichtigt worden sind, um die der betroffenen Person übermittelten Informationen zu beschränken, auf der einen Seite und dem Erfordernis, dem Einzelnen seine Verfahrensrechte – wie das Recht, gehört zu werden, und den Grundsatz des kontradiktorischen Verfahrens – hinreichend zu gewährleisten, auf der anderen Seite (vgl. in diesem Sinne Urteil vom 4. Juni 2013, ZZ, C‑300/11, EU:C:2013:363, Rn. 57 und die dort angeführte Rechtsprechung).
69 Im Rahmen der gerichtlichen Kontrolle der ordnungsgemäßen Anwendung von Art. 17 der Richtlinie durch die Aufsichtsbehörde obliegt es den Mitgliedstaaten, Regeln vorzusehen, die es dem zuständigen Gericht ermöglichen, von allen Gründen und den entsprechenden Beweisen Kenntnis zu nehmen, auf die diese Behörde in diesem Rahmen die Prüfung der Rechtmäßigkeit der in Rede stehenden Datenverarbeitung und die daraus gezogenen Schlüsse gestützt hat (vgl. in diesem Sinne Urteil vom 4. Juni 2013, ZZ, C‑300/11, EU:C:2013:363, Rn. 59 und die dort angeführte Rechtsprechung).
70 Insoweit sieht, wie das Europäische Parlament in seinen Erklärungen ausgeführt hat, Art. 15 Abs. 4 der Richtlinie 2016/680 vor, dass der Verantwortliche die sachlichen oder rechtlichen Gründe für die Entscheidung dokumentiert, mit dem er das Recht der betroffenen Person auf Auskunft teilweise oder vollständig eingeschränkt hat, und dass diese Angaben den Aufsichtsbehörden zur Verfügung zu stellen sind. Wie das Parlament vorgeschlagen hat, bedeutet diese Bestimmung bei einer Betrachtung in Verbindung mit den Art. 17 und Art. 53 dieser Richtlinie sowie im Licht von Art. 47 der Charta in ihrer Auslegung durch die in den Rn. 68 und 69 des vorliegenden Urteils angeführte Rechtsprechung, dass diese Angaben auch dem Gericht zur Verfügung zu stellen sind, das mit einem Rechtsbehelf gegen die Aufsichtsbehörde befasst ist, der auf die Kontrolle der ordnungsgemäßen Anwendung von Art. 17 gerichtet ist.
71 Somit ergibt sich aus den Rn. 63 bis 70 des vorliegenden Urteils, dass die in Art. 17 der Richtlinie 2016/680 vorgesehene Einschränkung den Inhalt des Rechts der betroffenen Person auf einen wirksamen gerichtlichen Rechtsbehelf gegen den Beschluss der Aufsichtsbehörde, das in dieser Bestimmung vorgesehene Verfahren abzuschließen, sowie die Grundsätze der Erforderlichkeit und der Verhältnismäßigkeit gemäß Art. 52 Abs. 1 der Charta wahrt.
72 Nach alledem ist festzustellen, dass die Prüfung der zweiten Frage nichts ergeben hat, was geeignet wäre, die Gültigkeit von Art. 17 Abs. 3 der Richtlinie 2016/680 zu berühren.
Kosten
73 Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Fünfte Kammer) für Recht erkannt:
1. Art. 17 in Verbindung mit Art. 46 Abs. 1 Buchst. g, Art. 47 Abs. 1 und 2 und Art. 53 Abs. 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates sowie in Verbindung mit Art. 8 Abs. 3 und Art. 47 der Charta der Grundrechte der Europäischen Union
ist dahin auszulegen, dass
dass eine Person, wenn ihre Rechte in Anwendung von Art. 17 dieser Richtlinie über die zuständige Aufsichtsbehörde ausgeübt worden sind und diese Behörde sie über das Ergebnis der durchgeführten Prüfungen unterrichtet, über einen wirksamen gerichtlichen Rechtsbehelf gegen den Beschluss dieser Behörde, das Überprüfungsverfahren abzuschließen, verfügen muss.
2. Die Prüfung der zweiten Frage hat nichts ergeben, was geeignet wäre, die Gültigkeit von Art. 17 Abs. 3 der Richtlinie (EU) 2016/680 zu berühren.
Unterschriften