URTEIL DES GERICHTSHOFS (Große Kammer)

21. März 2024(*)

„Vorlage zur Vorabentscheidung – Verordnung (EU) 2019/1157 – Erhöhung der Sicherheit von Personalausweisen der Bürger der Europäischen Union – Gültigkeit – Rechtsgrundlage – Art. 21 Abs. 2 AEUV – Art. 77 Abs. 3 AEUV – Verordnung (EU) 2019/1157 – Art. 3 Abs. 5 – Verpflichtung der Mitgliedstaaten, in das Speichermedium von Personalausweisen zwei Fingerabdrücke in interoperablen digitalen Formaten aufzunehmen – Art. 7 der Charta der Grundrechte der Europäischen Union – Achtung des Privat- und Familienlebens – Art. 8 der Charta der Grundrechte der Europäischen Union – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 35 – Verpflichtung zur Durchführung einer Datenschutz-Folgenabschätzung – Aufrechterhaltung der zeitlichen Wirkungen einer für ungültig erklärten Verordnung“

In der Rechtssache C‑61/22

betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Verwaltungsgericht Wiesbaden (Deutschland) mit Entscheidung vom 13. Januar 2022, beim Gerichtshof eingegangen am 1. Februar 2022, in dem Verfahren

RL

gegen

Landeshauptstadt Wiesbaden

erlässt

DER GERICHTSHOF (Große Kammer)

unter Mitwirkung des Präsidenten K. Lenaerts, des Vizepräsidenten L. Bay Larsen, des Kammerpräsidenten A. Arabadjiev, der Kammerpräsidentin A. Prechal, der Kammerpräsidenten E. Regan (Berichterstatter), T. von Danwitz, F. Biltgen und Z. Csehi sowie der Richter J.‑C. Bonichot, S. Rodin, D. Gratsias, der Richterin M. L. Arastey Sahún und des Richters M. Gavalec,

Generalanwältin: L. Medina,

Kanzler: D. Dittert, Referatsleiter,

aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 14. März 2023,

unter Berücksichtigung der Erklärungen

–        von RL, vertreten durch Rechtsanwalt W. Achelpöhler,

–        der deutschen Regierung, vertreten durch J. Möller und P.‑L. Krüger als Bevollmächtigte,

–        der belgischen Regierung, vertreten durch P. Cottin und A. Van Baelen als Bevollmächtigte im Beistand von P. Wytinck, Advocaat,

–        der spanischen Regierung, vertreten durch L. Aguilera Ruiz als Bevollmächtigten,

–        der polnischen Regierung, vertreten durch B. Majczyna als Bevollmächtigten,

–        des Europäischen Parlaments, vertreten durch G. C. Bartram, P. López-Carceller und J. Rodrigues als Bevollmächtigte,

–        des Rates der Europäischen Union, vertreten durch M. França und Z. Šustr als Bevollmächtigte,

–        der Europäischen Kommission, vertreten durch H. Kranenborg, E. Montaguti und I. Zaloguin als Bevollmächtigte,

nach Anhörung der Schlussanträge der Generalanwältin in der Sitzung vom 29. Juni 2023

folgendes

Urteil

1        Das Vorabentscheidungsersuchen betrifft die Gültigkeit der Verordnung (EU) 2019/1157 des Europäischen Parlaments und des Rates vom 20. Juni 2019 zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und der Aufenthaltsdokumente, die Unionsbürgern und deren Familienangehörigen ausgestellt werden, die ihr Recht auf Freizügigkeit ausüben (ABl. 2019, L 188, S. 67), und insbesondere ihres Art. 3 Abs. 5.

2        Es ergeht im Rahmen eines Rechtsstreits zwischen RL und der Landeshauptstadt Wiesbaden (Deutschland) (im Folgenden: Stadt Wiesbaden) über deren Ablehnung des Antrags von RL auf Ausstellung eines Personalausweises ohne Aufnahme seiner Fingerabdrücke.

I.      Rechtlicher Rahmen

A.      Unionsrecht

1.      Verordnung 2019/1157

3        In den Erwägungsgründen 1, 2, 4, 5, 17 bis 21, 23, 26 bis 29, 32, 33, 36, 40 bis 42 und 46 der Verordnung 2019/1157 heißt es:

„(1)      Der [EU-Vertrag] sieht ausdrücklich vor, die Freizügigkeit unter gleichzeitiger Gewährleistung der Sicherheit der Unionsbürger durch den Aufbau eines Raums der Freiheit, der Sicherheit und des Rechts nach Maßgabe der Bestimmungen des [EU-Vertrags] und des [AEU-Vertrags] zu fördern.

(2)      Die Unionsbürgerschaft verleiht jedem Bürger der [Europäischen] Union das Recht auf Freizügigkeit vorbehaltlich bestimmter Beschränkungen und Bedingungen. Mit der Richtlinie 2004/38/EG des Europäischen Parlaments und des Rates [vom 29. April 2004 über das Recht der Unionsbürger und ihrer Familienangehörigen, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten, zur Änderung der Verordnung (EWG) Nr. 1612/68 und zur Aufhebung der Richtlinien 64/221/EWG, 68/360/EWG, 72/194/EWG, 73/148/EWG, 75/34/EWG, 75/35/EWG, 90/364/EWG, 90/365/EWG und 93/96/EWG (ABl. 2004, L 158, S. 77)] wird dieses Recht konkret ausgestaltet. In Artikel 45 der Charta der Grundrechte der Europäischen Union (im Folgenden ‚Charta‘) sind die Freizügigkeit und die Aufenthaltsfreiheit ebenfalls verankert. Die Freizügigkeit schließt das Recht ein, mit einem gültigen Personalausweis oder Reisepass Mitgliedstaaten zu verlassen und in Mitgliedstaaten einzureisen.

…

(4)      Die Richtlinie [2004/38] sieht vor, dass die Mitgliedstaaten die Maßnahmen erlassen können, die notwendig sind, um die durch diese Richtlinie verliehenen Rechte im Falle von Rechtsmissbrauch oder Betrug zu verweigern, aufzuheben oder zu widerrufen. Als typische Fälle von Betrug im Sinne dieser Richtlinie wurden die Fälschung von Dokumenten und die Vorspiegelung falscher Tatsachen in Bezug auf die an das Aufenthaltsrecht geknüpften Bedingungen ausgewiesen.

(5)      Die Sicherheitsstandards der von den Mitgliedstaaten ausgestellten nationalen Personalausweise und der Unionsbürger mit Wohnsitz in einem anderen Mitgliedstaat und ihren Familienangehörigen ausgestellten Aufenthaltstitel unterscheiden sich erheblich. Diese Unterschiede führen zu einem höheren Fälschungs- und Dokumentenbetrugsrisiko und auch zu praktischen Schwierigkeiten für Bürger, die ihr Recht auf Freizügigkeit ausüben möchten. Gemäß den Statistiken des Europäischen Netzwerks für Risikoanalyse des Dokumentenbetrugs (EDF‑RAN) gibt es inzwischen immer mehr gefälschte Personalausweise.

…

(17)      Sicherheitsmerkmale sind erforderlich, um ein Dokument auf seine Echtheit zu überprüfen und die Identität einer Person festzustellen. Die Festlegung von Mindestsicherheitsstandards und die Aufnahme biometrischer Daten in Personalausweise und Aufenthaltskarten für Familienangehörige, die nicht die Staatsangehörigkeit eines Mitgliedstaats besitzen, ist ein wichtiger Schritt, um die Verwendung dieser Dokumente in der Union sicherer zu machen. Die Aufnahme solcher biometrischen Identifikatoren sollte gewährleisten, dass die Unionsbürger in vollem Umfang von ihren Freizügigkeitsrechten Gebrauch machen können.

(18)      Die Speicherung eines Gesichtsbilds und zweier Fingerabdrücke (im Folgenden ‚biometrische Daten‘) auf Personalausweisen und Aufenthaltskarten, die in Bezug auf biometrische Pässe und Aufenthaltstitel für Drittstaatsangehörige bereits vorgesehen ist, stellt eine geeignete Kombination einer zuverlässigen Identifizierung und Echtheitsprüfung im Hinblick auf eine Verringerung des Betrugsrisikos dar, um die Sicherheit von Personalausweisen und Aufenthaltskarten zu verbessern.

(19)      Als allgemeine Praxis sollten die Mitgliedstaaten zur Überprüfung der Echtheit des Dokuments und der Identität des Inhabers in der Regel vorrangig das Gesichtsbild überprüfen und nur darüber hinaus, falls zur zweifelsfreien Bestätigung der Echtheit des Dokuments und der Identität des Inhabers notwendig, auch die Fingerabdrücke.

(20)      Die Mitgliedstaaten sollten sicherstellen, dass zwingend eine manuelle Kontrolle durch qualifizierte Mitarbeiter erfolgt, wenn sich die Echtheit des Dokuments oder die Identität des Inhabers nicht anhand der biometrischen Daten bestätigen lassen.

(21)      Diese Verordnung stellt keine Rechtsgrundlage für die Einrichtung oder Aufrechterhaltung von Datenbanken auf nationaler Ebene zur Speicherung biometrischer Daten in den Mitgliedstaaten dar, zumal es sich dabei um eine Frage des nationalen Rechts handelt, welches dem Unionsrecht im Bereich Datenschutz entsprechen muss. Diese Verordnung stellt ferner keine Rechtsgrundlage für die Einrichtung oder Aufrechterhaltung einer zentralen Datenbank auf der Ebene der Union dar.

…

(23)      Für die Zwecke dieser Verordnung sollten die Spezifikationen des [Dokuments 9303 der Internationalen Zivilluftfahrt-Organisation (ICAO)] berücksichtigt werden, die die weltweite Interoperabilität – auch bei der Maschinenlesbarkeit und der Sichtprüfung – gewährleisten.

…

(26)      Die Mitgliedstaaten sollten sicherstellen, dass angemessene, wirksame Verfahren für die Erfassung biometrischer Identifikatoren bestehen, die den in der Charta, in der [am 4. November 1950 in Rom unterzeichneten] Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten des Europarats und den im [am 20. November 1989 von der Generalversammlung der Vereinten Nationen angenommenen] Übereinkommen über die Rechte des Kindes [(United Nations Treaty Series, Bd. 1577, S. 3), das am 2. September 1990 in Kraft getreten ist] verankerten Rechten und Grundsätzen entsprechen. Die Mitgliedstaaten sollten sicherstellen, dass das Kindeswohl während des gesamten Verfahrens der Erfassung Vorrang hat. Zu diesem Zweck sollten die qualifizierten Mitarbeiter angemessene Schulungen über kinderfreundliche Verfahren zur Erfassung biometrischer Identifikatoren absolvieren.

(27)      Treten bei der Erfassung der biometrischen Identifikatoren Schwierigkeiten auf, sollten die Mitgliedstaaten sicherstellen, dass geeignete Verfahren befolgt werden, so dass die Würde der betroffenen Person gewahrt bleibt. Daher sollte auf geschlechtergerechtes Vorgehen geachtet werden und den spezifischen Bedürfnissen von Kindern und schutzbedürftigen Personen Rechnung getragen werden.

(28)      Die Einführung von Mindeststandards für die Sicherheit und die Gestaltung von Personalausweisen sollte den Mitgliedstaaten ermöglichen, sich auf die Echtheit der Dokumente zu verlassen, wenn Unionsbürger ihre Freizügigkeitsrechte ausüben. Mit der Einführung höherer Sicherheitsstandards sollten den öffentlichen und privaten Stellen ausreichende Garantien geboten werden, so dass sie sich auf die Echtheit von Personalausweisen, die von den Unionsbürgern für die Zwecke der Identifizierung vorgelegt werden, verlassen können.

(29)      Das Unterscheidungszeichen in Form eines zwei Buchstaben umfassenden Ländercodes des das Dokument ausstellenden Mitgliedstaats im Negativdruck in einem blauen Rechteck, umgeben von zwölf gelben Sternen, erleichtert die Sichtprüfung des Dokumentes, wenn der Inhaber sein Recht auf Freizügigkeit ausübt.

…

(32)      Die Mitgliedstaaten sollten alle Vorkehrungen treffen, die notwendig sind, damit der Inhaber eines Personalausweises anhand der biometrischen Daten korrekt identifiziert werden kann. Zu diesem Zweck könnten die Mitgliedstaaten erwägen, biometrische Identifikatoren, insbesondere das Gesichtsbild, durch die nationalen Behörden, die Personalausweise ausstellen, vor Ort erfassen zu lassen.

(33)      Die Mitgliedstaaten sollten untereinander die Informationen austauschen, die für den Zugriff auf die Daten, die auf dem sicheren Speichermedium enthalten sind, sowie für deren Authentifizierung und Überprüfung notwendig sind. Die für das sichere Speichermedium verwendeten Formate sollten interoperabel sein, und zwar auch mit Blick auf automatisierte Grenzübergangsstellen.

…

(36)      Unionsbürgern ausgestellte Aufenthaltsdokumente sollten spezifische Informationen enthalten, die gewährleisten, dass sie in allen Mitgliedstaaten als Unionsbürger identifiziert werden. Dies soll die Anerkennung der Wahrnehmung des Freizügigkeitsrechts durch mobile Unionsbürger und der damit verbundenen Rechte erleichtern, die Harmonisierung sollte allerdings nicht über das zur Beseitigung der Schwachstellen der derzeitigen Dokumente angemessene Maß hinausgehen. Den Mitgliedstaaten steht es frei, in welchem Format diese Dokumente ausgestellt werden, sie könnten allerdings in einem Format ausgestellt werden, das den Spezifikationen des ICAO-Dokuments 9303 entspricht.

…

(40)      In Bezug auf die im Rahmen der Anwendung dieser Verordnung zu verarbeitenden personenbezogenen Daten gilt die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates [vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1) (im Folgenden: DSGVO)]. Es muss weiter präzisiert werden, welche Garantien für die verarbeiteten personenbezogenen Daten sowie insbesondere für sensible Daten wie beispielsweise biometrische Identifikatoren gelten. Die betroffenen Personen sollten darauf hingewiesen werden, dass ihre Dokumente mit einem den kontaktlosen Datenzugriff ermöglichenden Speichermedium, das die sie betreffenden biometrischen Daten enthält, versehen sind; außerdem sollten sie von allen Fällen in Kenntnis gesetzt werden, in denen die in ihren Personalausweisen und Aufenthaltsdokumenten erfassten Daten verwendet werden. In jedem Fall sollten die betroffenen Personen Zugang zu den personenbezogenen Daten haben, die in ihren Personalausweisen und Aufenthaltsdokumenten verarbeitet werden, und sie berichtigen lassen können, indem ein neues Dokument ausgestellt wird, wenn Daten falsch oder unvollständig sind. Das Speichermedium sollte hochsicher sein, und die auf ihm gespeicherten personenbezogenen Daten sollten wirksam vor unbefugtem Zugriff geschützt sein.

(41)      Die Mitgliedstaaten sollten gemäß der [DSGVO] für die ordnungsgemäße Verarbeitung biometrischer Daten verantwortlich sein, die von der Erfassung der Daten bis zu ihrer Aufnahme in das hochsichere Speichermedium reicht.

(42)      Die Mitgliedstaaten sollten besondere Vorsicht walten lassen, wenn eine Zusammenarbeit mit einem externen Dienstleistungsanbieter besteht. Im Rahmen der Zusammenarbeit sollte keine Befreiung der Mitgliedstaaten von der Haftung nach dem Unionsrecht oder dem nationalen Recht gewährt werden, was Verstöße gegen Pflichten im Zusammenhang mit personenbezogenen Daten angeht.

…

(46)      Da die Ziele dieser Verordnung, nämlich die Erhöhung der Sicherheit und die Erleichterung der Ausübung des Rechts auf Freizügigkeit von Unionsbürgern und ihren Familienangehörigen[,] von den Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern vielmehr wegen des Umfangs und der Wirkungen der Maßnahmen auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 [EUV] verankerten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Verordnung nicht über das für die Verwirklichung dieser Ziele erforderliche Maß hinaus.“

4        Art. 1 („Gegenstand“) der Verordnung 2019/1157 bestimmt:

„Mit dieser Verordnung werden die Sicherheitsstandards für Personalausweise verschärft, die die Mitgliedstaaten ihren Staatsangehörigen ausstellen, und für Aufenthaltsdokumente, die die Mitgliedstaaten Unionsbürgern und deren Familienangehörigen ausstellen, die ihr Recht auf Freizügigkeit in der Union ausüben.“

5        Art. 2 („Anwendungsbereich“) der Verordnung 2019/1157 bestimmt:

„Diese Verordnung gilt für

a)      Personalausweise, die die Mitgliedstaaten gemäß Artikel 4 Absatz 3 der Richtlinie [2004/38] eigenen Staatsangehörigen ausstellen[.]

Diese Verordnung gilt nicht für vorläufig ausgestellte Identitätsdokumente mit einem Gültigkeitszeitraum von weniger als sechs Monaten.

b)      Anmeldebescheinigungen, die sich länger als drei Monate in einem Aufnahmemitgliedstaat aufhaltenden Unionsbürgern gemäß Artikel 8 der Richtlinie [2004/38] ausgestellt werden, und Dokumente zur Bescheinigung des Daueraufenthalts, die Unionsbürgern gemäß Artikel 19 der Richtlinie [2004/38] auf Antrag ausgestellt werden;

c)      Aufenthaltskarten, die nicht die Staatsangehörigkeit eines Mitgliedstaats besitzenden Familienangehörigen von Unionsbürgern gemäß Artikel 10 der Richtlinie [2004/38] ausgestellt werden, und Daueraufenthaltskarten, die nicht die Staatsangehörigkeit eines Mitgliedstaats besitzenden Familienangehörigen von Unionsbürgern gemäß Artikel 20 der Richtlinie [2004/38] ausgestellt werden.“

6        Art. 3 („Sicherheitsstandards/Gestaltung/Spezifikationen“) Abs. 5 bis 7 und 10 der Verordnung 2019/1157 sieht vor:

„(5)      Die Personalausweise werden mit einem hochsicheren Speichermedium versehen, das ein Gesichtsbild des Personalausweisinhabers und zwei Fingerabdrücke in interoperablen digitalen Formaten enthält. Bei der Erfassung der biometrischen Identifikatoren wenden die Mitgliedstaaten die technischen Spezifikationen gemäß dem Durchführungsbeschluss der Kommission C(2018) 7767 [vom 30. November 2018 zur Festlegung der technischen Spezifikationen für die einheitliche Gestaltung des Aufenthaltstitels für Drittstaatsangehörige und zur Aufhebung der Entscheidung K(2002) 3069] an.

(6)      Das Speichermedium weist eine ausreichende Kapazität auf und ist geeignet, die Integrität, die Authentizität und die Vertraulichkeit der Daten sicherzustellen. Auf die gespeicherten Daten kann kontaktlos zugegriffen werden, und sie werden nach Maßgabe des Durchführungsbeschlusses C(2018) 7767 gesichert. Die Mitgliedstaaten tauschen untereinander die Informationen aus, die für die Authentifizierung des Speichermediums und den Zugriff auf und die Überprüfung der in Absatz 5 genannten biometrischen Daten notwendig sind.

(7)      Kinder unter zwölf Jahren können von der Pflicht zur Abgabe von Fingerabdrücken befreit werden.

Kinder unter sechs Jahren sind von der Pflicht zur Abgabe von Fingerabdrücken befreit.

Personen, bei denen eine Abnahme von Fingerabdrücken physisch nicht möglich ist, sind von der Pflicht zur Abgabe von Fingerabdrücken befreit.

…

(10)      Speichern die Mitgliedstaaten im Personalausweis Daten für elektronische Dienste wie elektronische Behördendienste und den elektronischen Geschäftsverkehr, so müssen diese nationalen Daten von den in Absatz 5 genannten biometrischen Daten physisch oder logisch getrennt sein.“

7        In Art. 5 („Auslaufregelung“) der Verordnung 2019/1157 heißt es:

„(1)      Personalausweise, die den Anforderungen des Artikels 3 nicht entsprechen, verlieren ihre Gültigkeit mit Ablauf ihrer Gültigkeitsdauer oder am 3. August 2031, je nachdem, welcher Zeitpunkt früher eintritt.

(2)      Abweichend von Absatz 1 gilt Folgendes:

a)      Personalausweise, die … keinen funktionalen maschinenlesbaren Bereich gemäß Absatz 3 enthalten, verlieren ihre Gültigkeit mit Ablauf ihrer Gültigkeitsdauer oder am 3. August 2026, je nachdem, welcher Zeitpunkt früher eintritt;

…

(3)      Für die Zwecke des Absatzes 2 bezeichnet der Begriff ‚funktionaler maschinenlesbarer Bereich‘

a)      einen maschinenlesbaren Bereich gemäß Teil 3 des ICAO-Dokuments 9303; oder

b)      jeden anderen maschinenlesbaren Bereich, wobei der ausstellende Mitgliedstaat die Vorgaben für das Auslesen und die Anzeige der darin enthaltenen Informationen bekanntgibt, es sei denn, ein Mitgliedstaat teilt der [Europäischen] Kommission bis zum 2. August 2021 mit, dass er keine Möglichkeit hat, diese Informationen auszulesen und anzeigen zu lassen.

…“

8        Art. 6 („Mindestangaben“) Abs. 1 der Verordnung 2019/1157 bestimmt:

„Wenn die Mitgliedstaaten an Unionsbürger Aufenthaltsdokumente ausstellen, enthalten diese mindestens folgende Angaben:

…

f)      die Angaben, die in Anmeldebescheinigungen und Dokumenten zur Bescheinigung des Daueraufenthalts gemäß Artikel 8 bzw. Artikel 19 der Richtlinie [2004/38] aufgenommen werden;

…“

9        Art. 10 („Erfassung biometrischer Identifikatoren“) der Verordnung 2019/1157 sieht vor:

„(1)      Biometrische Identifikatoren werden ausschließlich durch qualifiziertes und ordnungsgemäß befugtes Personal erfasst, das von den für die Ausstellung der Personalausweise oder Aufenthaltskarten zuständigen Behörden benannt wird; diese Erfassung erfolgt zum Zwecke der Aufnahme in ein hochsicheres Speichermedium gemäß Artikel 3 Absatz 5 bei Personalausweisen bzw. gemäß Artikel 7 Absatz 1 bei Aufenthaltskarten. Abweichend von Satz 1 werden Fingerabdrücke ausschließlich von qualifiziertem und ordnungsgemäß befugtem Personal dieser Behörden erfasst, es sei denn, es handelt sich um Anträge, die bei den diplomatischen und konsularischen Behörden des Mitgliedstaats eingereicht wurden.

Um die Übereinstimmung der biometrischen Identifikatoren mit der Identität des Antragstellers zu gewährleisten, muss der Antragsteller während des Ausstellungsverfahrens für jeden Antrag mindestens einmal persönlich erscheinen.

(2)      Die Mitgliedstaaten stellen sicher, dass angemessene und wirksame Verfahren für die Erfassung biometrischer Identifikatoren bestehen, und dass diese Verfahren den in der Charta, in der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten und im Übereinkommen der Vereinten Nationen über die Rechte des Kindes verankerten Rechten und Grundsätzen entsprechen.

Treten bei der Erfassung der biometrischen Identifikatoren Schwierigkeiten auf, stellen die Mitgliedstaaten sicher, dass geeignete Verfahren zur Wahrung der Würde der betroffenen Person vorhanden sind.

(3)      Vorbehaltlich anderer Verarbeitungszwecke nach Maßgabe des Unionsrechts und des nationalen Rechts werden biometrische Identifikatoren, die für die Zwecke der Personalisierung von Personalausweisen oder Aufenthaltsdokumenten gespeichert werden, auf hochsichere Weise sowie ausschließlich bis zu dem Tag der Abholung des Dokuments und keinesfalls länger als 90 Tage ab dem Tag der Ausstellung des Dokuments gespeichert[.] Nach diesem Zeitraum werden die biometrischen Identifikatoren umgehend gelöscht oder vernichtet.“

10      Art. 11 („Schutz personenbezogener Daten und Haftung“) Abs. 4 und 6 der Verordnung 2019/1157 bestimmt:

„(4)      Durch die Zusammenarbeit mit externen Dienstleistungsanbietern wird ein Mitgliedstaat nicht von der Haftung nach dem Unionsrecht oder dem nationalen Recht für Verstöße gegen Pflichten im Zusammenhang mit personenbezogenen Daten befreit.

…

(6)      Auf dem Speichermedium von Personalausweisen und Aufenthaltsdokumenten gespeicherte biometrische Daten dürfen nur gemäß dem Unionsrecht und dem nationalen Recht von ordnungsgemäß befugten Mitarbeitern der zuständigen nationalen Behörden und Agenturen der Union verwendet werden, um

a)      den Personalausweis oder das Aufenthaltsdokument auf seine Echtheit zu überprüfen,

b)      die Identität des Inhabers anhand direkt verfügbarer abgleichbarer Merkmale zu überprüfen, wenn die Vorlage des Personalausweises oder Aufenthaltsdokuments gesetzlich vorgeschrieben ist.“

11      Art. 14 („Zusätzliche technische Spezifikationen“) Abs. 1 und 2 der Verordnung 2019/1157 bestimmt:

„(1)      Um gegebenenfalls die erforderliche Übereinstimmung der in Artikel 2 Buchstaben a und c genannten Personalausweise und Aufenthaltsdokumente mit künftigen Mindestsicherheitsstandards zu gewährleisten, legt die Kommission im Wege von Durchführungsrechtsakten zusätzliche technische Spezifikationen zu Folgendem fest:

a)      zusätzliche Sicherheitsmerkmale und ‑anforderungen, einschließlich höherer Standards zum Schutz vor Fälschung, Verfälschung und Nachahmung;

b)      technische Spezifikationen für das Speichermedium der biometrischen Daten gemäß Artikel 3 Absatz 5 und deren Sicherung, einschließlich der Verhinderung des unbefugten Zugriffs und einer Erleichterung der Validierung;

c)      Qualitätsanforderungen an und gemeinsame technische Standards für das Gesichtsbild und Fingerabdrücke.

Diese Durchführungsrechtsakte werden gemäß dem in Artikel 15 Absatz 2 genannten Prüfverfahren erlassen.

(2)      Nach dem in Artikel 15 Absatz 2 genannten Verfahren kann beschlossen werden, dass die Spezifikationen gemäß diesem Artikel geheim und nicht zu veröffentlichen sind. …“

2.      DSGVO

12      Im 51. Erwägungsgrund der DSGVO heißt es:

„Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. … Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs ‚biometrische Daten‘ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Derartige personenbezogene Daten sollten nicht verarbeitet werden, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig, wobei zu berücksichtigen ist, dass im Recht der Mitgliedstaaten besondere Datenschutzbestimmungen festgelegt sein können, um die Anwendung der Bestimmungen dieser Verordnung anzupassen, damit die Einhaltung einer rechtlichen Verpflichtung oder die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, möglich ist. Zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung sollten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten. Ausnahmen von dem allgemeinen Verbot der Verarbeitung dieser besonderen Kategorien personenbezogener Daten sollten ausdrücklich vorgesehen werden, unter anderem bei ausdrücklicher Einwilligung der betroffenen Person oder bei bestimmten Notwendigkeiten …“

13      In Art. 4 („Begriffsbestimmungen“) DSGVO heißt es:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

…

2.      ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

…

7.      ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

…“

14      Art. 9 („Verarbeitung besonderer Kategorien personenbezogener Daten“) Abs. 1 DSGVO sieht vor:

„Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.“

15      Art. 35 („Datenschutz-Folgenabschätzung“) Abs. 1, 3 und 10 DSGVO bestimmt:

„(1)      Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden.

…

(3)      Eine Datenschutz-Folgenabschätzung gemäß Absatz 1 ist insbesondere in folgenden Fällen erforderlich:

a)      systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen;

b)      umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 oder

c)      systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

…

(10)      Falls die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe c oder e auf einer Rechtsgrundlage im Unionsrecht oder im Recht des Mitgliedstaats, dem der Verantwortliche unterliegt, beruht und falls diese Rechtsvorschriften den konkreten Verarbeitungsvorgang oder die konkreten Verarbeitungsvorgänge regeln und bereits im Rahmen der allgemeinen Folgenabschätzung im Zusammenhang mit dem Erlass dieser Rechtsgrundlage eine Datenschutz-Folgenabschätzung erfolgte, gelten die Absätze 1 bis 7 nur, wenn es nach dem Ermessen der Mitgliedstaaten erforderlich ist, vor den betreffenden Verarbeitungstätigkeiten eine solche Folgenabschätzung durchzuführen.“

3.      Verordnung (EU) 2016/399

16      Art. 8 Abs. 1 und 2 der Verordnung (EU) 2016/399 des Europäischen Parlaments und des Rates vom 9. März 2016 über einen Unionskodex für das Überschreiten der Grenzen durch Personen (Schengener Grenzkodex) (ABl. 2016, L 77, S. 1, und Berichtigung in ABl. 2018, L 272, S. 69), in der durch die Verordnung (EU) 2017/458 des Europäischen Parlaments und des Rates vom 15. März 2017 geänderten Fassung (ABl. 2017, L 74, S. 1) sieht vor:

„(1)      Der grenzüberschreitende Verkehr an den Außengrenzen unterliegt den Kontrollen durch die Grenzschutzbeamten. Die Kontrollen erfolgen nach Maßgabe dieses Kapitels.

…

(2)      Personen, die nach Unionsrecht Anspruch auf freien Personenverkehr haben, werden bei der Ein- und Ausreise folgenden Kontrollen unterzogen:

a)      Überprüfung der Identität und der Staatsangehörigkeit der Person sowie der Echtheit des Reisedokuments und seiner Gültigkeit für den Grenzübertritt, unter anderem durch Abfrage der einschlägigen Datenbanken …

b)      Überprüfung, ob eine Person, die nach Unionsrecht Anspruch auf freien Personenverkehr hat, nicht als Gefahr für die öffentliche Ordnung, die innere Sicherheit, die öffentliche Gesundheit oder die internationalen Beziehungen eines der Mitgliedstaaten angesehen wird, …

Bei Zweifeln an der Echtheit des Reisedokuments oder an der Identität des Inhabers soll mindestens einer der biometrischen Identifikatoren, die in die gemäß der Verordnung (EG) Nr. 2252/2004 [des Rates vom 13. Dezember 2004 über Normen für Sicherheitsmerkmale und biometrische Daten in von den Mitgliedstaaten ausgestellten Pässen und Reisedokumenten (ABl. 2004, L 385, S. 1)] ausgestellten Pässe und Reisedokumente integriert sind, überprüft werden. Nach Möglichkeit ist eine solche Überprüfung auch bei Reisedokumenten durchzuführen, die nicht unter jene Verordnung fallen.

…“

4.      Richtlinie 2004/38

17      Art. 4 („Recht auf Ausreise“) Abs. 1 und 3 der Richtlinie 2004/38 bestimmt:

„(1)      Unbeschadet der für die Kontrollen von Reisedokumenten an den nationalen Grenzen geltenden Vorschriften haben alle Unionsbürger, die einen gültigen Personalausweis oder Reisepass mit sich führen, und ihre Familienangehörigen, die nicht die Staatsangehörigkeit eines Mitgliedstaats besitzen und die einen gültigen Reisepass mit sich führen, das Recht, das Hoheitsgebiet eines Mitgliedstaats zu verlassen und sich in einen anderen Mitgliedstaat zu begeben.

…

(3)      Die Mitgliedstaaten stellen ihren Staatsangehörigen gemäß ihren Rechtsvorschriften einen Personalausweis oder einen Reisepass aus, der ihre Staatsangehörigkeit angibt, und verlängern diese Dokumente.“

18      Art. 5 („Recht auf Einreise“) Abs. 1 der Richtlinie 2004/38 sieht vor:

„Unbeschadet der für die Kontrollen von Reisedokumenten an den nationalen Grenzen geltenden Vorschriften gestatten die Mitgliedstaaten Unionsbürgern, die einen gültigen Personalausweis oder Reisepass mit sich führen, und ihren Familienangehörigen, die nicht die Staatsangehörigkeit eines Mitgliedstaats besitzen und die einen gültigen Reisepass mit sich führen, die Einreise.

Für die Einreise von Unionsbürgern darf weder ein Visum noch eine gleichartige Formalität verlangt werden.“

19      Art. 6 („Recht auf Aufenthalt bis zu drei Monaten“) der Richtlinie 2004/38 lautet:

„(1)      Ein Unionsbürger hat das Recht auf Aufenthalt im Hoheitsgebiet eines anderen Mitgliedstaats für einen Zeitraum von bis zu drei Monaten, wobei er lediglich im Besitz eines gültigen Personalausweises oder Reisepasses sein muss und ansonsten keine weiteren Bedingungen zu erfüllen oder Formalitäten zu erledigen braucht.

(2)      Absatz 1 gilt auch für Familienangehörige im Besitz eines gültigen Reisepasses, die nicht die Staatsangehörigkeit eines Mitgliedstaats besitzen und die den Unionsbürger begleiten oder ihm nachziehen.“

20      Art. 8 („Verwaltungsformalitäten für Unionsbürger“) Abs. 1 und 3 der Richtlinie 2004/38 sieht vor:

„(1)      Unbeschadet von Artikel 5 Absatz 5 kann der Aufnahmemitgliedstaat von Unionsbürgern für Aufenthalte von über drei Monaten verlangen, dass sie sich bei den zuständigen Behörden anmelden.

…

(3)      Für die Ausstellung der Anmeldebescheinigung dürfen die Mitgliedstaaten nur Folgendes verlangen:

–        von einem Unionsbürger, auf den Artikel 7 Absatz 1 Buchstabe a) Anwendung findet, nur die Vorlage eines gültigen Personalausweises oder Reisepasses, einer Einstellungsbestätigung des Arbeitgebers oder einer Beschäftigungsbescheinigung oder eines Nachweises der Selbstständigkeit;

–        von einem Unionsbürger, auf den Artikel 7 Absatz 1 Buchstabe b) Anwendung findet, nur die Vorlage eines gültigen Personalausweises oder Reisepasses sowie einen Nachweis, dass er die dort genannten Voraussetzungen erfüllt;

–        von einem Unionsbürger, auf den Artikel 7 Absatz 1 Buchstabe c) Anwendung findet, nur die Vorlage eines gültigen Personalausweises oder Reisepasses, einer Bescheinigung über die Einschreibung bei einer anerkannten Einrichtung und über den umfassenden Krankenversicherungsschutz sowie einer Erklärung oder eines gleichwertigen Mittels nach Artikel 7 Absatz 1 Buchstabe c). Die Mitgliedstaaten dürfen nicht verlangen, dass sich diese Erklärung auf einen bestimmten Existenzmittelbetrag bezieht.“

5.      Interinstitutionelle Vereinbarung

21      In den Nrn. 12 bis 14 der Interinstitutionellen Vereinbarung zwischen dem Europäischen Parlament, dem Rat der Europäischen Union und der Europäischen Kommission über bessere Rechtsetzung vom 13. April 2016 (ABl. 2016, L 123, S. 1, im Folgenden: Interinstitutionelle Vereinbarung) heißt es:

„(12)      …

Folgenabschätzungen stellen ein Instrument dar, das den drei Organen dabei hilft, fundierte Entscheidungen zu treffen, und sind kein Ersatz für politische Entscheidungen im demokratischen Entscheidungsprozess. …

Mit einer Folgenabschätzung sollten das Vorhandensein, der Umfang und die Auswirkungen eines Problems sowie die Frage geklärt werden, ob ein Tätigwerden der Union angezeigt ist oder nicht. Mit einer Folgenabschätzung sollten alternative Lösungswege und nach Möglichkeit die potenziellen kurz- und langfristigen Kosten und Vorteile aufgezeigt werden, beruhend auf einer integrierten und ausgewogenen Bewertung der wirtschaftlichen, ökologischen und sozialen Auswirkungen sowie unter Vornahme einer qualitativen wie auch einer quantitativen Prüfung. Die Grundsätze der Subsidiarität und der Verhältnismäßigkeit sollten uneingeschränkt geachtet werden, ebenso wie die Grundrechte. … Folgenabschätzungen sollten sich auf korrekte, objektive und vollständige Angaben stützen und im Hinblick auf Umfang und Schwerpunkt verhältnismäßig sein.

(13)      Die Kommission wird ihre Gesetzgebungsinitiativen …, bei denen mit erheblichen wirtschaftlichen, ökologischen oder sozialen Auswirkungen zu rechnen ist, einer Folgenabschätzung unterziehen. Die im Arbeitsprogramm der Kommission oder in der gemeinsamen Erklärung aufgeführten Initiativen werden generell von einer Folgenabschätzung begleitet.

… Die Endergebnisse der Folgenabschätzungen werden dem Europäischen Parlament, dem Rat [der Europäischen Union] und den nationalen Parlamenten zur Verfügung gestellt und bei Annahme der Kommissionsinitiative zusammen mit der Stellungnahme bzw. den Stellungnahmen des Ausschusses für Regulierungskontrolle öffentlich bekannt gemacht.

(14)      Das … Parlament und der Rat werden bei der Prüfung der Gesetzgebungsvorschläge der Kommission in vollem Umfang die Folgenabschätzungen der Kommission berücksichtigen. Zu diesem Zweck werden die Folgenabschätzungen so dargelegt, dass das … Parlament und der Rat die Entscheidungen der Kommission leichter prüfen können.“

B.      Deutsches Recht

22      § 5 („Ausweismuster; gespeicherte Daten“) Abs. 9 des Gesetzes über Personalausweise und den elektronischen Identitätsnachweis vom 18. Juni 2009 (BGBl. I S. 1346) in seiner auf den Sachverhalt des Ausgangsverfahrens anwendbaren Fassung (im Folgenden: PAuswG) bestimmt:

„Die auf Grund der Verordnung [2019/1157] auf dem elektronischen Speichermedium zu speichernden zwei Fingerabdrücke der [einen Personalausweis beantragenden] Person werden in Form des flachen Abdrucks des linken und rechten Zeigefingers im elektronischen Speicher- und Verarbeitungsmedium des Personalausweises gespeichert. Bei Fehlen eines Zeigefingers, ungenügender Qualität des Fingerabdrucks oder Verletzungen der Fingerkuppe wird ersatzweise der flache Abdruck entweder des Daumens, des Mittelfingers oder des Ringfingers gespeichert. Fingerabdrücke sind nicht zu speichern, wenn die Abnahme der Fingerabdrücke aus medizinischen Gründen, die nicht nur vorübergehender Art sind, unmöglich ist.“

23      § 6 Abs. 1 und 2 PAuswG lautet:

„(1)      Personalausweise werden für eine Gültigkeitsdauer von zehn Jahren ausgestellt.

(2)      Vor Ablauf der Gültigkeit eines Personalausweises kann ein neuer Personalausweis beantragt werden, wenn ein berechtigtes Interesse an der Neuausstellung dargelegt wird.“

24      § 9 („Ausstellung des Ausweises“) Abs. 1 Satz 1 PAuswG bestimmt:

„Personalausweise und vorläufige Personalausweise werden auf Antrag für Deutsche im Sinne des Artikels 116 Abs. 1 des Grundgesetzes ausgestellt.“

25      § 28 („Ungültigkeit“) Abs. 3 PAuswG sieht vor:

„Störungen der Funktionsfähigkeit des elektronischen Speicher- und Verarbeitungsmediums berühren nicht die Gültigkeit des Personalausweises.“

II.    Ausgangsverfahren und Vorlagefrage

26      Am 30. November 2021 beantragte der Kläger des Ausgangsverfahrens bei der Stadt Wiesbaden die Ausstellung eines neuen Personalausweises mit der Begründung, dass der elektronische Chip seines alten Ausweises defekt sei. Er beantragte jedoch, in den neuen Ausweis nicht seine Fingerabdrücke aufzunehmen.

27      Die Stadt Wiesbaden lehnte diesen Antrag aus zwei Gründen ab. Zum einen habe der Kläger des Ausgangsverfahrens keinen Anspruch auf Ausstellung eines neuen Personalausweises, da er bereits im Besitz eines gültigen Ausweisdokuments sei. Ein Personalausweis bleibe nämlich trotz seines defekten elektronischen Chips gemäß § 28 Abs. 3 PAuswG gültig. Zum anderen sei jedenfalls seit dem 2. August 2021 die Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen nach § 5 Abs. 9 PAuswG, der Art. 3 Abs. 5 der Verordnung 2019/1157 umsetze, verpflichtend.

28      Am 21. Dezember 2021 erhob der Kläger des Ausgangsverfahrens beim Verwaltungsgericht Wiesbaden (Deutschland), dem vorlegenden Gericht, Klage mit dem Ziel, die Stadt Wiesbaden zu verpflichten, ihm einen Personalausweis ohne Erfassung seiner Fingerabdrücke auszustellen.

29      Das vorlegende Gericht zweifelt an der Rechtmäßigkeit der beiden Gründe des im Ausgangsverfahren in Rede stehenden Bescheids. Insbesondere im Zusammenhang mit dem zweiten Grund hat es Bedenken, was die Gültigkeit der Verordnung 2019/1157 oder zumindest ihres Art. 3 Abs. 5 angeht.

30      Erstens fragt sich das vorlegende Gericht, ob diese Verordnung nicht auf der Grundlage von Art. 77 Abs. 3 AEUV und folglich nach Abschluss des in dieser Bestimmung vorgesehenen besonderen Gesetzgebungsverfahrens statt auf der Grundlage von Art. 21 Abs. 2 AEUV und unter Anwendung des ordentlichen Gesetzgebungsverfahrens hätte erlassen werden müssen. Denn zum einen beziehe sich Art. 77 Abs. 3 AEUV speziell auf die Zuständigkeit der Union, u. a. Regelungen zu Personalausweisen zu erlassen, und sei somit eine speziellere Vorschrift als Art. 21 Abs. 2 AEUV. Zum anderen habe der Gerichtshof im Urteil vom 17. Oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), entschieden, dass die Verordnung Nr. 2252/2004, soweit sie Normen für biometrische Daten in Pässen festlege, wirksam auf Art. 62 Nr. 2 Buchst. a EG (nunmehr Art. 77 Abs. 3 AEUV) gestützt worden sei.

31      Zweitens führt das vorlegende Gericht das mögliche Vorliegen eines Verfahrensfehlers beim Erlass der Verordnung 2019/1157 an. Wie der Europäische Datenschutzbeauftragte (im Folgenden: EDSB) in seiner Stellungnahme 7/2018 vom 10. August 2018 zu dem Vorschlag für eine Verordnung zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und anderer Dokumente (im Folgenden: Stellungnahme 7/2018) unterstrichen habe, stellten die Erfassung und Speicherung von Fingerabdrücken nämlich eine Verarbeitung personenbezogener Daten dar, die einer Folgenabschätzung nach Art. 35 Abs. 10 DSGVO unterzogen werden müsse. Im vorliegenden Fall sei eine solche Folgenabschätzung jedoch nicht durchgeführt worden. Insbesondere könne das dem genannten Verordnungsvorschlag beigefügte Dokument mit dem Titel „Impact assessment“ nicht als Folgenabschätzung im Sinne dieser Bestimmung angesehen werden.

32      Drittens fragt das vorlegende Gericht im Besonderen nach der Vereinbarkeit von Art. 3 Abs. 5 der Verordnung 2019/1157 mit den Art. 7 und 8 der Charta betreffend die Achtung des Privat- und Familienlebens bzw. den Schutz personenbezogener Daten. Die den Mitgliedstaaten auferlegte Verpflichtung, Personalausweise auszustellen, bei denen das Speichermedium zwei Fingerabdrücke enthalte, stelle nämlich eine Einschränkung der Ausübung der in diesen beiden Bestimmungen der Charta anerkannten Rechte dar, die nur zu rechtfertigen sei, wenn sie die in Art. 52 Abs. 1 der Charta aufgestellten Voraussetzungen erfülle.

33      Zum einen könnte es sein, dass diese Einschränkung nicht einer dem Gemeinwohl dienenden Zielsetzung entspreche. Zwar habe der Gerichtshof im Urteil vom 17. Oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), anerkannt, dass die Bekämpfung der illegalen Einreise von Drittstaatsangehörigen in das Gebiet der Union ein vom Unionsrecht anerkanntes Ziel sei. Allerdings sei der Personalausweis primär kein Reisedokument wie der Reisepass, und sein Zweck bestehe nur darin, die Überprüfung der Identität eines Unionsbürgers sowohl in seinen Interaktionen mit Verwaltungsbehörden als auch mit privaten Dritten zu ermöglichen.

34      Zum anderen bestünden, selbst wenn man annähme, dass diese Verordnung eine vom Unionsrecht anerkannte dem Gemeinwohl dienende Zielsetzung verfolge, Zweifel an der Verhältnismäßigkeit dieser Einschränkung. Die vom Gerichtshof im Urteil vom 17. Oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), getroffene Entscheidung lasse sich nämlich nicht auf die Verordnung 2019/1157 übertragen, da sie Reisepässe betroffen habe, deren Besitz im Gegensatz zu Personalausweisen in Deutschland freiwillig sei und deren Nutzung ein anderes Ziel verfolge.

35      Hingegen gehe aus der Stellungnahme 7/2018 hervor, dass die Aufnahme und die Speicherung von Fingerabdrücken weitreichende Auswirkungen hätten, die bis zu 370 Millionen Unionsbürger betreffen könnten und von möglicherweise 85 % der Bevölkerung der Union die obligatorische Abnahme von Fingerabdrücken verlangen würden. Diese weitreichenden Auswirkungen in Verbindung mit der hohen Sensibilität der verarbeiteten Daten (ein Gesichtsbild in Kombination mit zwei Fingerabdrücken) bedeuteten jedoch, dass die Einschränkung der Ausübung der in den Art. 7 und 8 der Charta garantierten Rechte, die sich aus der obligatorischen Erfassung von Fingerabdrücken zur Ausstellung von Personalausweisen ergebe, im Vergleich zu Reisepässen erheblicher sei, was im Gegenzug eine stärkere Rechtfertigung und eine sorgfältige Prüfung der in Rede stehenden Maßnahme auf der Grundlage eines strengen Maßstabs für die Notwendigkeit erfordere.

36      Jedenfalls ergebe sich die Notwendigkeit einer strengen Verhältnismäßigkeitsprüfung auch aus Art. 9 Abs. 1 DSGVO, wonach die Verarbeitung solcher biometrischen Daten im Grundsatz untersagt und nur in eng gefassten Ausnahmefällen zulässig sei.

37      In diesem Zusammenhang ist das vorlegende Gericht zwar der Ansicht, dass die Verwendung biometrischer Daten das Risiko, dass ein Dokument gefälscht werden kann, verringere, es hat aber Zweifel daran, ob dieser Umstand allein das Ausmaß der Einschränkung des Rechts auf Schutz personenbezogener Daten insbesondere unter Berücksichtigung folgender Gründe zu rechtfertigen vermag.

38      Zunächst habe der EDSB in seiner Stellungnahme 7/2018 betont, dass andere Techniken für den sicheren Druck von Ausweisdokumenten, wie Hologramme oder Wassermarken, eine deutlich geringere Eingriffsintensität hätten, jedoch auch dazu in der Lage wären, die Fälschung dieser Ausweisdokumente zu verhindern und ihre Authentizität zu verifizieren. Im Übrigen zeige der Umstand, dass nach deutschem Recht ein Personalausweis mit defektem elektronischen Chip weiterhin gültig bleibe, dass die physischen Merkmale, insbesondere Mikroschriften oder UV-Aufdrucke, ausreichten, um die Sicherheit dieser Ausweise zu gewährleisten.

39      Sodann ermächtige Art. 3 Abs. 7 der Verordnung 2019/1157 die Mitgliedstaaten, Kinder unter zwölf Jahren von der Pflicht zur Abgabe von Fingerabdrücken zu befreien, und verpflichte sie in jedem Fall dazu, Kinder unter sechs Jahren von dieser Pflicht zu befreien, was zeige, dass die Abnahme von zwei Fingerabdrücken nicht unbedingt erforderlich sei.

40      Im Übrigen entspreche Art. 3 Abs. 5 der Verordnung 2019/1157 nicht dem in Art. 5 der DSGVO verankerten Grundsatz der Datenminimierung, aus dem sich ergebe, dass die Erhebung und Nutzung von personenbezogenen Daten verhältnismäßig und erforderlich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müsse. Denn die Erfassung von zwei vollständigen Fingerabdrücken, und nicht nur charakteristischer Punkte dieser Abdrücke („Minuzien“), fördere zwar die Interoperabilität der verschiedenen Arten der Systeme, doch erhöhe sie auch die Anzahl der gespeicherten personenbezogenen Daten und damit das Risiko des Identitätsdiebstahls, falls es zu einem Datenleck komme. Dieses Risiko sei im Übrigen nicht zu vernachlässigen, da die in Personalausweisen verwendeten elektronischen Chips von nicht autorisierten Scannern ausgelesen werden könnten.

41      Schließlich und im Kern könne die Einschränkung der Ausübung der in den Art. 7 und 8 der Charta garantierten Rechte rechtswidrig sein, da der EDSB in seiner Stellungnahme 7/2018 ausgeführt habe, dass zum Zeitpunkt des Erlasses der Verordnung 2019/1157 die Zahl der gefälschten Personalausweise im Verhältnis zur Zahl der ausgestellten Personalausweise (38 870 festgestellte gefälschte Personalausweise zwischen 2013 und 2017) relativ gering gewesen sei und seit mehreren Jahren abnehme.

42      Unter diesen Umständen hat das Verwaltungsgericht Wiesbaden beschlossen, das Verfahren auszusetzen und dem Gerichtshof die folgende Frage zur Vorabentscheidung vorzulegen:

Verstößt die Verpflichtung zur Aufnahme und Speicherung von Fingerabdrücken in Personalausweisen gemäß Art. 3 Abs. 5 der Verordnung 2019/1157 gegen höherrangiges Unionsrecht, insbesondere

a)      gegen Art. 77 Abs. 3 AEUV,

b)      gegen die Art. 7 und 8 der Charta,

c)      gegen Art. 35 Abs. 10 DSGVO,

und ist deshalb aus einem der Gründe ungültig?

III. Zur Vorlagefrage

43      Mit seiner Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob die Verordnung 2019/1157 ganz oder teilweise ungültig ist, weil sie erstens auf einer falschen Rechtsgrundlage erlassen worden sei, zweitens Art. 35 Abs. 10 DSGVO verletze und drittens gegen die Art. 7 und 8 der Charta verstoße.

A.      Zum ersten Ungültigkeitsgrund: Wahl einer falschen Rechtsgrundlage

44      Der erste vom vorlegenden Gericht angeführte Ungültigkeitsgrund betrifft die Frage, ob, insbesondere angesichts der ausdrücklichen Bezugnahme auf Personalausweise in Art. 77 Abs. 3 AEUV sowie der Entscheidung im Urteil vom 17. Oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), die Verordnung 2019/1157 auf der Grundlage von Art. 77 Abs. 3 AEUV und gemäß dem darin vorgesehenen besonderen Gesetzgebungsverfahren und nicht, wie erfolgt, auf der Grundlage von Art. 21 Abs. 2 AEUV hätte erlassen werden müssen.

1.      Vorbemerkungen

45      Nach ständiger Rechtsprechung muss die Wahl der Rechtsgrundlage eines Unionsrechtsakts auf objektiven und gerichtlich nachprüfbaren Kriterien beruhen, zu denen das Ziel und der Inhalt des Rechtsakts gehören (Urteile vom 16. Februar 2022, Ungarn/Parlament und Rat, C‑156/21, EU:C:2022:97, Rn. 107, sowie vom 16. Februar 2022, Polen/Parlament und Rat, C‑157/21, EU:C:2022:98, Rn. 121).

46      Außerdem ist der betreffende Rechtsakt, wenn die Verträge eine spezifischere Bestimmung enthalten, die als Rechtsgrundlage für ihn dienen kann, auf diese Bestimmung zu stützen (Urteile vom 6. September 2012, Parlament/Rat, C‑490/10, EU:C:2012:525, Rn. 44, und vom 8. Dezember 2020, Polen/Parlament und Rat, C‑626/18, EU:C:2020:1000, Rn. 48 und die dort angeführte Rechtsprechung).

47      Ergibt schließlich die Prüfung eines Unionsrechtsakts, dass er mehrere Zielsetzungen verfolgt oder mehrere Komponenten umfasst, und lässt sich eine von ihnen als die hauptsächliche oder überwiegende ausmachen, während die anderen nur nebensächliche Bedeutung haben oder von äußerst begrenzter Tragweite sind, ist die Rechtsgrundlage für den Erlass dieses Rechtsakts anhand dieser hauptsächlichen Zielsetzung oder Komponente zu bestimmen (vgl. in diesem Sinne Urteil vom 20. November 2018, Kommission/Rat [Meeresschutzgebiet Antarktis], C‑626/15 und C‑659/16, EU:C:2018:925, Rn. 77, sowie Gutachten 1/19 [Übereinkommen von Istanbul] vom 6. Oktober 2021, EU:C:2021:832, Rn. 286).

2.      Zum jeweiligen Anwendungsbereich von Art. 21 Abs. 2 AEUV und Art. 77 Abs. 3 AEUV

48      Nach Art. 21 Abs. 2 AEUV können, wenn ein Tätigwerden der Union erforderlich erscheint, um jedem Unionsbürger das Recht zu gewährleisten, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten, und die Verträge hierfür anderweitig keine Befugnisse vorsehen, das Parlament und der Rat gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften erlassen, mit denen die Ausübung dieser Rechte erleichtert wird.

49      Daraus folgt, dass diese Bestimmung der Union eine allgemeine Zuständigkeit verleiht, die Bestimmungen zu erlassen, die erforderlich sind, um die Ausübung des in Art. 20 Abs. 2 Buchst. a AEUV verankerten Rechts der Unionsbürger, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten, vorbehaltlich der hierfür in den Verträgen vorgesehenen Befugnisse zu erleichtern.

50      Anders als Art. 21 Abs. 2 AEUV sieht Art. 77 Abs. 3 AEUV solche Befugnisse jedoch ausdrücklich für den Erlass von Maßnahmen betreffend Pässe, Personalausweise, Aufenthaltstitel oder diesen gleichgestellte Dokumente vor, die den Unionsbürgern ausgestellt werden, um ihnen die Ausübung des in Art. 20 Abs. 2 Buchst. a AEUV genannten Rechts, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten, zu erleichtern.

51      Zwar befindet sich Art. 77 Abs. 3 AEUV in Titel V dieses Vertrags, der dem Raum der Freiheit, der Sicherheit und des Rechts gewidmet ist, genauer gesagt in Kapitel 2 („Politik im Bereich Grenzkontrollen, Asyl und Einwanderung“) dieses Titels. Nach Art. 77 Abs. 1 AEUV entwickelt die Union jedoch eine Politik, mit der sichergestellt werden soll, dass Personen unabhängig von ihrer Staatsangehörigkeit beim Überschreiten der Binnengrenzen nicht kontrolliert werden, mit der die Personenkontrolle und die wirksame Überwachung des Grenzübertritts an den Außengrenzen sichergestellt werden soll und mit der schrittweise ein integriertes Grenzschutzsystem an diesen Grenzen eingeführt werden soll. Die Bestimmungen betreffend Pässe, Personalausweise, Aufenthaltstitel oder diesen gleichgestellte Dokumente, auf die sich die in Art. 77 Abs. 3 AEUV vorgesehene Zuständigkeit bezieht, sind integraler Bestandteil einer solchen Unionspolitik. Diese Dokumente ermöglichen den Unionsbürgern nämlich u. a., nachzuweisen, dass sie das Recht genießen, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten, und somit dieses Recht auszuüben. Daher ist Art. 77 Abs. 3 AEUV dann Grundlage für den Erlass von Maßnahmen betreffend diese Dokumente, wenn ein solches Tätigwerden erforderlich erscheint, um die Ausübung des in Art. 20 Abs. 2 Buchst. a AEUV verankerten Rechts zu erleichtern.

52      Diese Auslegung der materiellen Tragweite von Art. 77 Abs. 3 AEUV kann weder durch die historische Entwicklung, die die Verträge mit Blick auf die Zuständigkeit der Union für den Erlass von Maßnahmen betreffend Pässe, Personalausweise, Aufenthaltstitel oder diesen gleichgestellte Dokumente erfahren haben und auf die sich das Parlament, der Rat und die Kommission beziehen, noch durch den von der deutschen Regierung angeführten Umstand entkräftet werden, dass diese Bestimmung vorsehe, das sie anwendbar sei, „sofern die Verträge hierfür anderweitig keine Befugnisse vorsehen“.

53      Zwar wurde mit dem Vertrag von Lissabon die zuvor in Art. 18 Abs. 3 EG enthaltene Bestimmung gestrichen, die ausdrücklich die Möglichkeit des Unionsgesetzgebers ausschloss, auf Art. 18 Abs. 2 EG (jetzt Art. 21 Abs. 2 AEUV) als Rechtsgrundlage für den Erlass sowohl von „Vorschriften betreffend Pässe, Personalausweise, Aufenthaltstitel oder diesen gleichgestellte Dokumente“ als auch von „Vorschriften betreffend die soziale Sicherheit oder den sozialen Schutz“ zurückzugreifen. Zugleich hat dieser Vertrag jedoch der Union ausdrücklich eine Befugnis in diesen beiden Bereichen – nämlich zum einen in Art. 21 Abs. 3 AEUV in Bezug auf die soziale Sicherheit und den sozialen Schutz und zum anderen in Art. 77 Abs. 3 AEUV in Bezug auf die Bestimmungen betreffend Pässe, Personalausweise, Aufenthaltstitel oder diesen gleichgestellte Dokumente – eingeräumt und den Erlass von Maßnahmen in diesen Bereichen einem besonderen Gesetzgebungsverfahren sowie insbesondere der Einstimmigkeit im Rat unterworfen.

54      Unter diesen Umständen kann aus der Streichung der zuvor in Art. 18 Abs. 3 EG enthaltenen Bestimmung nicht abgeleitet werden, dass es nunmehr möglich wäre, „Bestimmungen betreffend Pässe, Personalausweise, Aufenthaltstitel oder diesen gleichgestellte Dokumente“ auf der Grundlage von Art. 21 Abs. 2 AEUV zu erlassen. Vielmehr ergibt sich aus der historischen Entwicklung, dass die Verfasser der Verträge mit Art. 77 Abs. 3 AEUV der Union eine spezifischere Zuständigkeit für den Erlass solcher Bestimmungen zur Erleichterung der Ausübung des in Art. 20 Abs. 2 Buchst. a AEUV garantierten Rechts, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten, verleihen wollten als die in Art. 21 Abs. 2 AEUV vorgesehene allgemeinere Zuständigkeit.

55      Zudem ist der Hinweis in Art. 77 Abs. 3 AEUV, dass diese Bestimmung anwendbar ist, „sofern die Verträge hierfür anderweitig keine Befugnisse vorsehen“, in Anbetracht der allgemeinen Systematik des AEU-Vertrags dahin zu verstehen, dass es sich bei diesen Befugnissen um solche handelt, die nicht durch eine allgemeinere Bestimmung wie Art. 21 Abs. 2 AEUV, sondern durch eine noch spezifischere Bestimmung verliehen werden.

56      Daher konnte der Erlass der Verordnung 2019/1157 nur unter der Voraussetzung auf Art. 21 Abs. 2 AEUV gestützt werden, dass die hauptsächliche oder überwiegende Zielsetzung oder Komponente dieser Verordnung außerhalb des spezifischen Anwendungsbereichs von Art. 77 Abs. 3 AEUV liegt, nämlich der Ausstellung von Pässen, Personalausweisen, Aufenthaltstiteln oder diesen gleichgestellten Dokumenten, um die Ausübung des Rechts aus Art. 20 Abs. 2 Buchst. a AEUV zu erleichtern.

3.      Zur hauptsächlichen oder überwiegenden Zielsetzung oder Komponente der Verordnung 2019/1157

57      Was erstens die Zielsetzung der Verordnung 2019/1157 betrifft, heißt es in ihrem Art. 1, dass mit ihr die Sicherheitsstandards verschärft werden, und zwar für Personalausweise, die die Mitgliedstaaten ihren Staatsangehörigen ausstellen, und für Aufenthaltsdokumente, die die Mitgliedstaaten Unionsbürgern und deren Familienangehörigen ausstellen, die ihr Recht auf Freizügigkeit in der Union ausüben.

58      In diesem Sinne heißt es im 46. Erwägungsgrund der Verordnung, dass ihre Ziele in der „Erhöhung der Sicherheit“ dieser Reise- und Identitätsdokumente und der „Erleichterung der Ausübung des Rechts auf Freizügigkeit von Unionsbürgern und ihren Familienangehörigen“ bestehen, was auch in den Erwägungsgründen 1, 2, 5, 17, 28, 29 und 36 der Verordnung bestätigt wird.

59      Was zweitens den Inhalt der Verordnung 2019/1157 anbelangt, ist festzustellen, dass sie 16 Artikel umfasst. Die Art. 1 und 2 der Verordnung legen ihren Gegenstand und Anwendungsbereich fest. Die Art. 3 und 4 sowie die Art. 6 und 7 der Verordnung, die ihre hauptsächlichen Komponenten sind, formulieren u. a. die Anforderungen in Bezug auf Sicherheit, Inhalt, Gestaltung bzw. Spezifikationen, die die von den Mitgliedstaaten ausgestellten Personalausweise und Aufenthaltsdokumente erfüllen müssen, während die Art. 5 und 8 der Verordnung die Auslaufregelung für Personalausweise und Aufenthaltskarten vorsehen, die nicht den Anforderungen der Verordnung entsprechen. Schließlich wird in den Art. 9 bis 16 der Verordnung 2019/1157 festgelegt, wie die darin vorgesehenen Verpflichtungen, insbesondere in Bezug auf die Erfassung biometrischer Identifikatoren und den Schutz personenbezogener Daten, umzusetzen sind.

60      Zwar bestimmt Art. 2 der Verordnung 2019/1157, dass sie nicht nur für Personalausweise gilt, die die Mitgliedstaaten ihren eigenen Staatsangehörigen ausstellen, sondern auch für Anmeldebescheinigungen, die sich länger als drei Monate in einem Aufnahmemitgliedstaat aufhaltenden Unionsbürgern gemäß Art. 8 der Richtlinie 2004/38 ausgestellt werden, und für Dokumente zur Bescheinigung des Daueraufenthalts, die Unionsbürgern gemäß Art. 19 der Richtlinie 2004/38 ausgestellt werden, wobei diese Bescheinigungen und Dokumente Personalausweisen, Pässen oder Aufenthaltstiteln nicht gleichgestellt werden können. Die Verordnung 2019/1157 enthält jedoch keine diese Bescheinigungen regelnde Bestimmung und beschränkt sich in ihrem Art. 6 Abs. 1 Buchst. f auf den Hinweis, dass die Aufenthaltsdokumente, die die Mitgliedstaaten an Unionsbürger ausstellen, die Angaben enthalten müssen, die in Anmeldebescheinigungen und Dokumenten zur Bescheinigung des Daueraufenthalts gemäß Art. 8 bzw. Art. 19 der Richtlinie 2004/38 aufgenommen werden. Folglich hat die mit diesen Bescheinigungen verbundene Zielsetzung und Komponente dieser Verordnung eine äußerst begrenzte Tragweite, so dass die Rechtsgrundlage dieser Verordnung nicht anhand dieser Zielsetzung oder Komponente bestimmt werden kann.

61      Unter diesen Umständen ergibt sich aus der hauptsächlichen Zielsetzung und den hauptsächlichen Komponenten der Verordnung 2019/1157, dass diese zu den Rechtsakten gehört, die in den spezifischen Anwendungsbereich von Art. 77 Abs. 3 AEUV fallen, wie er in den Rn. 48 bis 51 des vorliegenden Urteils aufgezeigt worden ist.

62      Folglich hat der Unionsgesetzgeber dadurch, dass er die Verordnung 2019/1157 auf der Grundlage von Art. 21 Abs. 2 AEUV erlassen hat, gegen Art. 77 Abs. 3 AEUV verstoßen und ein ungeeignetes Gesetzgebungsverfahren angewandt.

63      Somit ist der erste vom vorlegenden Gericht angeführte Ungültigkeitsgrund, der darauf gestützt wird, dass die Verordnung 2019/1157 zu Unrecht auf der Grundlage von Art. 21 Abs. 2 AEUV und in Anwendung des ordentlichen Gesetzgebungsverfahrens erlassen wurde, geeignet, zur Ungültigkeit dieser Verordnung zu führen.

B.      Zum zweiten Ungültigkeitsgrund: Nichtbeachtung von Art. 35 Abs. 10 DSGVO

64      Der zweite vom vorlegenden Gericht angeführte Ungültigkeitsgrund stützt sich darauf, dass die Verordnung 2019/1157 unter Verstoß gegen Art. 35 Abs. 10 DSGVO ohne Durchführung einer Datenschutz-Folgenabschätzung erlassen worden sei.

65      Hierzu ist darauf hinzuweisen, dass nach Art. 35 Abs. 1 DSGVO der Verantwortliche, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchführen muss. Art. 35 Abs. 3 DSGVO stellt klar, dass eine solche Folgenabschätzung im Fall umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO (wie biometrischer Daten zur eindeutigen Identifizierung einer natürlichen Person) erforderlich ist.

66      Da im vorliegenden Fall die Verordnung 2019/1157 selbst keinen Vorgang im Zusammenhang mit personenbezogenen Daten oder Sätzen von personenbezogenen Daten durchführt, sondern lediglich vorsieht, dass die Mitgliedstaaten im Fall der Beantragung eines Personalausweises bestimmte Verarbeitungen vornehmen, ist festzustellen, dass der Erlass dieser Verordnung nicht von der vorherigen Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge im Sinne von Art. 35 Abs. 1 DSGVO abhängig war. Art. 35 Abs. 10 DSGVO enthält insoweit eine Ausnahme von Art. 35 Abs. 1 DSGVO.

67      Da nach den vorstehenden Ausführungen Art. 35 Abs. 1 DSGVO beim Erlass der Verordnung 2019/1157 nicht anzuwenden war, konnte dieser Erlass folglich nicht gegen Art. 35 Abs. 10 der Verordnung 2016/679 verstoßen.

68      Nach alledem vermag der zweite Grund, der auf einen Verstoß gegen Art. 35 Abs. 10 DSGVO gestützt wird, nicht zur Ungültigkeit der Verordnung 2019/1157 zu führen.

C.      Zum dritten Ungültigkeitsgrund: Unvereinbarkeit von Art. 3 Abs. 5 der Verordnung 2019/1157 mit den Art. 7 und 8 der Charta

69      Der dritte vom vorlegenden Gericht angeführte Grund für die Ungültigkeit der Verordnung 2019/1157 betrifft die Frage, ob die in Art. 3 Abs. 5 der Verordnung vorgesehene Verpflichtung, zwei vollständige Fingerabdrücke in das Speichermedium der von den Mitgliedstaaten ausgestellten Personalausweise aufzunehmen, eine nicht gerechtfertigte Einschränkung der in den Art. 7 und 8 der Charta garantierten Rechte mit sich bringt.

1.      Zum Vorliegen einer Einschränkung

70      Art. 7 der Charta bestimmt u. a., dass jede Person das Recht auf Achtung ihres Privatlebens hat. Nach Art. 8 Abs. 1 der Charta hat jede Person das Recht auf den Schutz der sie betreffenden personenbezogenen Daten. Aus diesen Bestimmungen ergibt sich insgesamt, dass jede Verarbeitung personenbezogener Daten durch Dritte grundsätzlich einen Eingriff in diese Rechte darstellen kann (Urteil vom 17. Oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, Rn. 25).

71      Vorliegend bestimmt Art. 3 Abs. 5 der Verordnung 2019/1157, dass das hochsichere Speichermedium, mit dem die von den Mitgliedstaaten ihren eigenen Staatsangehörigen ausgestellten Personalausweise versehen werden müssen, biometrische Daten enthalten muss, nämlich ein Gesichtsbild und zwei Fingerabdrücke in interoperablen digitalen Formaten.

72      Solche personenbezogenen Daten ermöglichen indes die genaue Identifizierung der betroffenen natürlichen Personen und sind aufgrund der erheblichen Risiken für die Grundrechte und Grundfreiheiten, die ihre Verwendung mit sich bringen kann, besonders sensibel, wie sich insbesondere aus dem 51. Erwägungsgrund der DSGVO ergibt; diese Verordnung ist auf die in Rede stehenden Daten anwendbar, worauf im 40. Erwägungsgrund der Verordnung 2019/1157 hingewiesen wird.

73      Folglich stellt die in Art. 3 Abs. 5 der Verordnung 2019/1157 vorgesehene Verpflichtung, zwei Fingerabdrücke in das Speichermedium von Personalausweisen aufzunehmen, eine Einschränkung sowohl des Rechts auf Achtung des Privatlebens als auch des Rechts auf Schutz personenbezogener Daten dar, die in Art. 7 bzw. Art. 8 der Charta verankert sind.

74      Darüber hinaus geht diese Verpflichtung mit der vorherigen Durchführung zweier aufeinander folgender Vorgänge der Verarbeitung personenbezogener Daten einher, nämlich der Erfassung dieser Fingerabdrücke bei der betroffenen Person und anschließend ihrer vorläufigen Speicherung für die Zwecke der Personalisierung von Personalausweisen, wobei diese Vorgänge in Art. 10 der Verordnung 2019/1157 geregelt sind. Diese Vorgänge stellen ebenfalls Einschränkungen der in den Art. 7 und 8 der Charta garantierten Rechte dar.

2.      Zur Rechtfertigung der Einschränkung

75      Nach ständiger Rechtsprechung können die in Art. 7 bzw. Art. 8 der Charta garantierten Rechte auf Achtung des Privatlebens bzw. auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern müssen im Hinblick auf ihre gesellschaftliche Funktion gesehen werden (vgl. in diesem Sinne Urteil vom 20. September 2022, SpaceNet und Telekom Deutschland, C‑793/19 und C‑794/19, EU:C:2022:702, Rn. 63).

76      Einschränkungen dieser Rechte sind daher zulässig, sofern sie gemäß Art. 52 Abs. 1 Satz 1 der Charta gesetzlich vorgesehen sind und den Wesensgehalt dieser Rechte achten. Zudem dürfen nach Art. 52 Abs. 1 Satz 2 der Charta unter Wahrung des Grundsatzes der Verhältnismäßigkeit solche Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Insoweit stellt Art. 8 Abs. 2 der Charta klar, dass personenbezogene Daten insbesondere nur „für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage“ verarbeitet werden dürfen.

a)      Zur Achtung des Grundsatzes der Gesetzmäßigkeit

77      Das in Art. 52 Abs. 1 Satz 1 der Charta aufgestellte Erfordernis einer gesetzlichen Grundlage für jede Einschränkung der Ausübung der in der Charta anerkannten Rechte bedeutet, dass der Rechtsakt, der den Eingriff in die Grundrechte ermöglicht, den Umfang der Einschränkung der Ausübung des betreffenden Rechts selbst festlegen muss. Dieses Erfordernis schließt zum einen aber nicht aus, dass die fragliche Einschränkung hinreichend offen formuliert ist, um Anpassungen an verschiedene Fallgruppen und an Änderungen der Lage zu erlauben. Zum anderen kann der Gerichtshof gegebenenfalls die konkrete Tragweite der Einschränkung im Wege der Auslegung präzisieren, und zwar anhand sowohl des Wortlauts als auch der Systematik und der Ziele der fraglichen Unionsregelung, wie sie im Licht der durch die Charta garantierten Grundrechte auszulegen sind (Urteil vom 21. Juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, Rn. 114).

78      Im vorliegenden Fall sind die Einschränkungen der Ausübung der in den Art. 7 und 8 der Charta garantierten Grundrechte, die sich aus der Verpflichtung ergeben, zwei vollständige Fingerabdrücke in das Speichermedium der von den Mitgliedstaaten ausgestellten Personalausweise aufzunehmen, sowie die Anwendungsvoraussetzungen und die Tragweite dieser Einschränkungen in Art. 3 Abs. 5 sowie Art. 10 Abs. 1 und 3 der Verordnung 2019/1157, die der Unionsgesetzgeber im ordentlichen Gesetzgebungsverfahren erlassen hat und deren Wirkungen durch das vorliegende Urteil aufrechterhalten werden, klar und präzise bestimmt.

79      Folglich genügen diese Einschränkungen der Ausübung der in den Art. 7 und 8 der Charta garantierten Grundrechte dem Grundsatz der Gesetzmäßigkeit im Sinne von Art. 52 Abs. 1 Satz 1 der Charta.

b)      Zur Achtung des Wesensgehalts der in den Art. 7 und 8 der Charta verankerten Grundrechte

80      Die in Fingerabdrücken enthaltenen Informationen ermöglichen für sich genommen keinen Einblick in das Privat- und Familienleben der betroffenen Personen.

81      Unter diesen Umständen berührt die Einschränkung, die die in Art. 3 Abs. 5 der Verordnung 2019/1157 vorgesehene Verpflichtung, zwei Fingerabdrücke in das Speichermedium der von den Mitgliedstaaten ausgestellten Personalausweise aufzunehmen, mit sich bringt, nicht den Wesensgehalt der in den Art. 7 und 8 der Charta verankerten Grundrechte (vgl. entsprechend Urteil vom 21. Juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, Rn. 120).

c)      Zur Achtung des Grundsatzes der Verhältnismäßigkeit

82      Wie aus Art. 52 Abs. 1 Satz 2 der Charta hervorgeht, müssen, damit Einschränkungen der Ausübung der durch die Charta garantierten Grundrechte unter Wahrung des Grundsatzes der Verhältnismäßigkeit vorgenommen werden dürfen, diese Einschränkungen erforderlich sein und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

83      Insbesondere müssen sich die Ausnahmen vom Schutz personenbezogener Daten und deren Einschränkungen auf das absolut Notwendige beschränken, wobei, wenn mehrere geeignete Maßnahmen zur Erreichung der verfolgten legitimen Ziele zur Verfügung stehen, die am wenigsten belastende zu wählen ist. Außerdem kann eine dem Gemeinwohl dienende Zielsetzung nicht legitimerweise verfolgt werden, ohne dem Umstand Rechnung zu tragen, dass sie mit den von der Maßnahme betroffenen Grundrechten in Einklang gebracht werden muss, indem eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung und der betroffenen Rechte vorgenommen wird, um sicherzustellen, dass die durch diese Maßnahme verursachten Unannehmlichkeiten nicht außer Verhältnis zu den verfolgten Zielsetzungen stehen. Daher ist die Möglichkeit, eine Einschränkung der durch die Art. 7 und 8 der Charta garantierten Grundrechte zu rechtfertigen, zu beurteilen, indem die Schwere des mit einer solchen Einschränkung verbundenen Eingriffs bestimmt und geprüft wird, ob die mit ihr verfolgte dem Gemeinwohl dienende Zielsetzung in angemessenem Verhältnis zur Schwere des Eingriffs steht (Urteil vom 22. November 2022, Luxembourg Business Registers, C‑37/20 und C‑601/20, EU:C:2022:912, Rn. 64 und die dort angeführte Rechtsprechung).

84      Folglich ist, um zu prüfen, ob im vorliegenden Fall die Eingriffe in die durch die Art. 7 und 8 der Charta garantierten Rechte, die sich aus der in Art. 3 Abs. 5 der Verordnung 2019/1157 vorgesehenen Verpflichtung zur Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen ergeben, den Grundsatz der Verhältnismäßigkeit achten, erstens zu prüfen, ob diese Maßnahme eine oder mehrere von der Union anerkannte dem Gemeinwohl dienende Zielsetzungen verfolgt und tatsächlich geeignet ist, diese zu erreichen, zweitens, ob die sich daraus ergebenden Eingriffe in dem Sinne auf das absolut Notwendige beschränkt sind, dass diese Zielsetzungen vernünftigerweise nicht ebenso wirksam mit anderen Mitteln erreicht werden können, die diese Grundrechte der betroffenen Personen weniger beeinträchtigen, und drittens, ob diese Eingriffe nicht außer Verhältnis zu diesen Zielsetzungen stehen, was insbesondere eine Gewichtung der Zielsetzungen und der Schwere der Eingriffe impliziert (vgl. in diesem Sinne Urteile vom 22. November 2022, Luxembourg Business Registers, C‑37/20 und C‑601/20, EU:C:2022:912, Rn. 66, und vom 8. Dezember 2022, Orde van Vlaamse Balies u. a., C‑694/20, EU:C:2022:963, Rn. 42).

1)      Zur Verfolgung einer oder mehrerer von der Union anerkannter dem Gemeinwohl dienender Zielsetzungen und zur Eignung der Maßnahme, diese zu erreichen

i)      Zum Gemeinwohlcharakter der mit der in Rede stehenden Maßnahme verfolgten Zielsetzungen

85      Nach ihrem Art. 1 sollen mit der Verordnung 2019/1157 die Sicherheitsstandards u. a. für Personalausweise verschärft werden, die die Mitgliedstaaten ihren Staatsangehörigen ausstellen, die ihr Recht auf Freizügigkeit ausüben.

86      Insbesondere soll, wie aus den Erwägungsgründen 4, 5, 17 bis 20 und 32 der Verordnung 2019/1157 hervorgeht, die Aufnahme biometrischer Daten, einschließlich zweier vollständiger Fingerabdrücke, in das Speichermedium von Personalausweisen die Echtheit dieser Ausweise gewährleisten und die zuverlässige Identifizierung ihres Inhabers ermöglichen und dabei gemäß den Erwägungsgründen 23 und 33 sowie Art. 3 Abs. 5 dieser Verordnung zur Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten beitragen, um das Fälschungs- und Dokumentenbetrugsrisiko zu verringern.

87      Der Gerichtshof hat bereits zur Ausstellung von Pässen (vgl. in diesem Sinne Urteil vom 17. Oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, Rn. 36 bis 38) sowie zur Erstellung einer Datei zur Identifizierung von Drittstaatsangehörigen (vgl. in diesem Sinne Urteil vom 3. Oktober 2019, A u. a., C‑70/18, EU:C:2019:823, Rn. 46 und die dort angeführte Rechtsprechung) entschieden, dass die Bekämpfung von Dokumentenbetrug, die u. a. die Bekämpfung der Herstellung gefälschter Personalausweise und des Identitätsdiebstahls umfasst, eine von der Union anerkannte dem Gemeinwohl dienende Zielsetzung ist.

88      Was das Ziel der Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten anbelangt, hat auch dieses einen solchen Charakter, da, wie sich aus dem 17. Erwägungsgrund der Verordnung 2019/1157 ergibt, diese Verordnung dazu beiträgt, den Unionsbürgern die Ausübung des ihnen durch Art. 20 AEUV zuerkannten Rechts, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten, zu erleichtern.

ii)    Zur Eignung der in Rede stehenden Maßnahme, die verfolgten dem Gemeinwohl dienenden Zielsetzungen tatsächlich zu erreichen

89      Im vorliegenden Fall ist die Aufnahme zweier vollständiger Fingerabdrücke in das Speichermedium von Personalausweisen geeignet, die vom Unionsgesetzgeber zur Rechtfertigung dieser Maßnahme angeführten, dem Gemeinwohl dienenden Zielsetzungen zum einen der Bekämpfung der Herstellung gefälschter Personalausweise und des Identitätsdiebstahls und zum anderen der Interoperabilität der Überprüfungssysteme zu erreichen.

90      Zunächst kann nämlich die Aufnahme biometrischer Daten wie Fingerabdrücke in Personalausweise die Herstellung gefälschter Personalausweise erschweren, da solche Daten u. a. nach Art. 3 Abs. 5 in Verbindung mit Art. 14 Abs. 1 und 2 der Verordnung 2019/1157 nach genauen technischen Spezifikationen gespeichert werden müssen, die geheim gehalten werden können.

91      Sodann ist die Aufnahme solcher biometrischen Daten ein Mittel, das es gemäß Art. 11 Abs. 6 und den Erwägungsgründen 18 und 19 der Verordnung 2019/1157 ermöglicht, die Echtheit des Personalausweises und die Identität des Ausweisinhabers zuverlässig zu überprüfen und so das Betrugsrisiko zu verringern.

92      Schließlich erscheint auch die Entscheidung des Unionsgesetzgebers, die Aufnahme vollständiger Fingerabdrücke vorzusehen, geeignet, das Ziel der Interoperabilität der Systeme zur Überprüfung von Personalausweisen zu erreichen, da durch den Rückgriff auf vollständige Fingerabdrücke die Kompatibilität mit allen von den Mitgliedstaaten verwendeten automatisierten Systemen zur Identifizierung von Fingerabdrücken gewährleistet werden kann, auch wenn diese Systeme nicht notwendigerweise denselben Identifizierungsmechanismus anwenden.

93      Das vorlegende Gericht weist ferner darauf hin, dass Art. 3 Abs. 7 Unterabs. 1 der Verordnung 2019/1157 die Mitgliedstaaten ermächtige, Kinder unter zwölf Jahren von der Erfassung ihrer Fingerabdrücke zu befreien, und sie in Art. 3 Abs. 7 Unterabs. 2 sogar verpflichte, Kinder unter sechs Jahren von dieser Erfassung zu befreien.

94      Zwar sind Rechtsvorschriften nur dann geeignet, die Verwirklichung des geltend gemachten Ziels zu gewährleisten, wenn die von ihnen vorgesehenen Maßnahmen tatsächlich dem Anliegen gerecht werden, es zu erreichen, und wenn sie in kohärenter und systematischer Weise durchgeführt werden (vgl. entsprechend Urteil vom 5. Dezember 2023, Nordic Info, C‑128/22, EU:C:2023:951, Rn. 84 und die dort angeführte Rechtsprechung).

95      Die Verordnung 2019/1157 erfüllt dieses Erfordernis jedoch, auch wenn sie für Kinder Ausnahmen von der Verpflichtung zur Erfassung von Fingerabdrücken vorsieht, da diese Ausnahmen, wie aus ihrem 26. Erwägungsgrund hervorgeht, dem Kindeswohl Rechnung tragen sollen.

96      Das Gleiche gilt für die Regelung in Art. 5 der Verordnung 2019/1157, wonach Personalausweise, die den Anforderungen des Art. 3 nicht entsprechen, ihre Gültigkeit erst mit Ablauf ihrer Gültigkeitsdauer oder spätestens am 3. August 2031 verlieren. Der Unionsgesetzgeber durfte nämlich davon ausgehen, dass ein solcher Übergangszeitraum angemessen war, um zu vermeiden, dass die Mitgliedstaaten in einem sehr kurzen Zeitraum für alle betroffenen Personen neue Personalausweise auszustellen haben würden, ohne damit aber die langfristige Wirksamkeit der in dieser Verordnung vorgesehenen Maßnahmen in Frage zu stellen.

97      Was den Umstand angeht, dass einige Mitgliedstaaten in ihren Rechtsvorschriften vorsehen, dass die von ihnen ausgestellten Personalausweise trotz eines defekten elektronischen Speichermediums gültig bleiben, genügt der Hinweis, dass solche Rechtsvorschriften nur dann mit der Verordnung 2019/1157 vereinbar sind, sofern der in der vorstehenden Randnummer genannte Übergangszeitraum nicht abgelaufen ist.

2)      Zur Erforderlichkeit des Rückgriffs auf die in Rede stehende Maßnahme, um die verfolgten dem Gemeinwohl dienenden Zielsetzungen zu erreichen

98      Was erstens den Grundsatz der Aufnahme von Fingerabdrücken in das Speichermedium von Personalausweisen betrifft, ist festzustellen, dass Fingerabdrücke zuverlässige und wirksame Mittel sind, um die Identität einer Person mit Sicherheit festzustellen, und dass das Verfahren zur Erfassung dieser Fingerabdrücke einfach durchzuführen ist.

99      Insbesondere wäre, wie die Generalanwältin in Nr. 90 ihrer Schlussanträge ausgeführt hat, die Aufnahme allein eines Gesichtsbilds ein weniger wirksames Identifizierungsmittel als die zusätzlich zu diesem Bild erfolgende Aufnahme von zwei Fingerabdrücken, da Alterung, Lebensweise, Erkrankung oder ein ästhetischer bzw. rekonstruktiver chirurgischer Eingriff die anatomischen Merkmale des Gesichts verändern können.

100    Es trifft zu, dass in der Folgenabschätzung der Kommission zu dem Verordnungsvorschlag, auf den die Verordnung 2019/1157 zurückgeht, festgestellt wurde, dass der Option, die Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen nicht zwingend vorzuschreiben, der Vorzug gegeben werden solle.

101    Jedoch ist, abgesehen davon, dass die Kommission selbst entschieden hat, diese Option nicht in ihren Gesetzgebungsvorschlag aufzunehmen, darauf hinzuweisen, dass die Interinstitutionelle Vereinbarung in Nr. 14 zwar vorsieht, dass das Parlament und der Rat bei der Prüfung der Gesetzgebungsvorschläge der Kommission die Folgenabschätzungen der Kommission in vollem Umfang berücksichtigen müssen, es in Nr. 12 dieser Vereinbarung jedoch heißt, dass diese „ein Instrument [darstellen], das den drei Organen dabei hilft, fundierte Entscheidungen zu treffen, und … kein Ersatz für politische Entscheidungen im demokratischen Entscheidungsprozess [sind]“. Somit sind das Parlament und der Rat, auch wenn sie verpflichtet sind, die Folgenabschätzungen der Kommission zu berücksichtigen, gleichwohl nicht an deren Inhalt gebunden, insbesondere was die darin enthaltenen Beurteilungen betrifft (vgl. in diesem Sinne Urteil vom 21. Juni 2018, Polen/Parlament und Rat, C‑5/16, EU:C:2018:483, Rn. 159 und die dort angeführte Rechtsprechung).

102    Folglich ist der Umstand, dass der Unionsgesetzgeber eine andere, gegebenenfalls belastendere Maßnahme als die nach der Folgenabschätzung empfohlene getroffen hat, für sich genommen kein geeigneter Beweis dafür, dass er die Grenzen dessen überschritten hat, was zur Erreichung des verfolgten Ziels erforderlich war (vgl. in diesem Sinne Urteil vom 4. Mai 2016, Pillbox 38, C‑477/14, EU:C:2016:324, Rn. 65).

103    Im vorliegenden Fall ergab die von der Kommission durchgeführte Folgenabschätzung, dass die Option, die Aufnahme von Fingerabdrücken in das Speichermedium von Personalausweisen zwingend vorzuschreiben, die wirksamste sei, um das spezifische Ziel zu erreichen, die Herstellung gefälschter Personalausweise zu bekämpfen und die Echtheitsprüfung des Dokuments zu verbessern. Unter diesen Umständen kann die Option, eine solche Aufnahme nicht zwingend vorzuschreiben, die Erforderlichkeit der vom Unionsgesetzgeber gewählten Maßnahme im Sinne der in Rn. 84 des vorliegenden Urteils angeführten Rechtsprechung jedenfalls nicht in Frage stellen.

104    Was zweitens die Aufnahme zweier vollständiger Fingerabdrücke statt bestimmter charakteristischer Punkte dieser Abdrücke („Minuzien“) anbelangt, bieten, wie die Generalanwältin in Nr. 93 ihrer Schlussanträge ausgeführt hat, die Minuzien zum einen nicht dieselben Garantien wie ein vollständiger Abdruck. Zum anderen ist die Aufnahme eines vollständigen Abdrucks für die Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten, die eine der verfolgten wesentlichen Zielsetzungen ist, erforderlich. Denn wie aus Rn. 47 der Stellungnahme 7/2018 hervorgeht und wie auch das vorlegende Gericht ausführt, verwenden die Mitgliedstaaten unterschiedliche Technologien zur Fingerabdruck‑Identifizierung, so dass die Aufnahme nur bestimmter Merkmale eines Fingerabdrucks in das Speichermedium des Personalausweises die Verwirklichung des mit der Verordnung 2019/1157 verfolgten Ziels der Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten gefährden würde.

105    Aus den vorstehenden Erwägungen ergibt sich, dass die Einschränkungen der in den Art. 7 und 8 der Charta garantierten Grundrechte, die die Verpflichtung, zwei vollständige Fingerabdrücke in das Speichermedium aufzunehmen, mit sich bringt, die Grenzen des absolut Notwendigen einhalten.

3)      Zum Vorliegen einer Gewichtung zwischen einerseits der Schwere des Eingriffs in die betroffenen Grundrechte und andererseits den mit dieser Maßnahme verfolgten Zielsetzungen

i)      Zur Schwere des Eingriffs, der durch die Einschränkung der Ausübung der in den Art. 7 und 8 der Charta garantierten Rechte bewirkt wird

106    In die Beurteilung der Schwere des Eingriffs, den eine Einschränkung der in den Art. 7 und 8 der Charta garantierten Rechte bewirkt, sind die Art der betroffenen personenbezogenen Daten, insbesondere der möglicherweise sensible Charakter dieser Daten, sowie die Art und die konkreten Modalitäten der Datenverarbeitung, u. a. die Zahl der Personen, die Zugang zu diesen Daten haben, und die Modalitäten des Zugangs zu diesen Daten, einzubeziehen. Gegebenenfalls ist auch zu berücksichtigen, ob diese Daten nicht Gegenstand missbräuchlicher Verarbeitungen sind.

107    Im vorliegenden Fall kann die sich aus der Verordnung 2019/1157 ergebende Einschränkung der Ausübung der in den Art. 7 und 8 der Charta garantierten Rechte zwar eine große Zahl von Personen betreffen, wobei diese Zahl von der Kommission in ihrer Folgenabschätzung auf 370 Millionen der damals 440 Millionen Einwohner der Union geschätzt wurde. Fingerabdrücke sind als biometrische Daten naturgemäß besonders sensibel und genießen, wie u. a. aus dem 51. Erwägungsgrund der DSGVO hervorgeht, im Unionsrecht einen besonderen Schutz.

108    Die Erfassung und Speicherung von zwei vollständigen Fingerabdrücken ist nach der Verordnung 2019/1157 jedoch nur im Hinblick auf die Aufnahme dieser Fingerabdrücke in das Speichermedium von Personalausweisen gestattet.

109    Des Weiteren ergibt sich aus Art. 3 Abs. 5 in Verbindung mit Art. 10 Abs. 3 der Verordnung, dass, sobald diese Aufnahme erfolgt und der Personalausweis der betroffenen Person ausgehändigt worden ist, die erfassten Fingerabdrücke ausschließlich auf dem Speichermedium dieses Ausweises gespeichert werden, der sich grundsätzlich im physischen Besitz der betroffenen Person befindet.

110    Schließlich sieht die Verordnung 2019/1157 eine Reihe von Garantien vor, die die Risiken begrenzen sollen, dass bei ihrer Durchführung personenbezogene Daten zu anderen Zwecken als zur Erreichung der mit ihr verfolgten Ziele erhoben oder verwendet werden, und zwar nicht nur in Bezug auf die Vorgänge der Verarbeitung personenbezogener Daten, die diese Verordnung zwingend vorschreibt, sondern auch im Hinblick auf die hauptsächlichen Verarbeitungen, denen die in das Speichermedium der Personalausweise aufgenommenen Fingerabdrücke unterzogen werden können.

111    Was erstens die Datenerfassung betrifft, sieht Art. 10 Abs. 1 und 2 der Verordnung 2019/1157 vor, dass biometrische Identifikatoren „ausschließlich durch qualifiziertes und ordnungsgemäß befugtes Personal erfasst“ werden und dass dieses Personal „angemessene und wirksame Verfahren für die Erfassung biometrischer Identifikatoren“ einhalten muss, wobei diese Verfahren den in der Charta, in der EMRK und im Übereinkommen der Vereinten Nationen über die Rechte des Kindes verankerten Rechten und Grundsätzen entsprechen müssen. Zudem enthält Art. 3 Abs. 7 der Verordnung, wie in Rn. 93 des vorliegenden Urteils ausgeführt, Sonderregelungen für Kinder unter zwölf Jahren (Unterabs. 1 und 2) sowie für Personen, bei denen eine Abnahme von Fingerabdrücken physisch nicht möglich ist (Unterabs. 3), wobei die letztgenannten Personen „von der Pflicht zur Abgabe von Fingerabdrücken befreit“ sind.

112    Was zweitens die Speicherung der Daten betrifft, verpflichtet die Verordnung 2019/1157 zum einen die Mitgliedstaaten, ein Gesichtsbild und zwei Fingerabdrücke als biometrische Daten zu speichern. Insoweit stellt der 21. Erwägungsgrund der Verordnung ausdrücklich klar, dass diese „keine Rechtsgrundlage für die Einrichtung oder Aufrechterhaltung von Datenbanken auf nationaler Ebene zur Speicherung biometrischer Daten in den Mitgliedstaaten [darstellt], zumal es sich dabei um eine Frage des nationalen Rechts handelt, welches dem Unionsrecht im Bereich Datenschutz entsprechen muss“ und sie auch „keine Rechtsgrundlage für die Einrichtung oder Aufrechterhaltung einer zentralen Datenbank auf der Ebene der Union“ darstellt. Zum anderen sieht Art. 10 Abs. 3 der Verordnung vor, dass diese „biometrischen Identifikatoren … ausschließlich bis zu dem Tag der Abholung des Dokuments und keinesfalls länger als 90 Tage ab dem Tag der Ausstellung des Dokuments gespeichert“ werden, und stellt klar, dass „die biometrischen Identifikatoren [nach diesem Zeitraum] umgehend gelöscht oder vernichtet“ werden.

113    Daraus ergibt sich insbesondere, dass Art. 10 Abs. 3 der Verordnung 2019/1157 es den Mitgliedstaaten nicht gestattet, biometrische Daten zu anderen als den in dieser Verordnung vorgesehenen Zwecken zu verarbeiten. Außerdem steht diese Bestimmung einer zentralen Speicherung von Fingerabdrücken entgegen, die über die vorläufige Speicherung dieser Abdrücke zum Zweck der Personalisierung von Personalausweisen hinausgeht.

114    Schließlich weist Art. 11 Abs. 6 der Verordnung 2019/1157 auf die Möglichkeit hin, dass die im sicheren Speichermedium enthaltenen biometrischen Daten gemäß dem Unionsrecht und dem nationalen Recht von ordnungsgemäß befugten Mitarbeitern der zuständigen nationalen Behörden und Agenturen der Union verwendet werden dürfen.

115    Was Art. 11 Abs. 6 Buchst. a der Verordnung betrifft, erlaubt diese Bestimmung die Verwendung von auf dem Speichermedium von Personalausweisen und Aufenthaltsdokumenten gespeicherten biometrischen Daten nur, um den Personalausweis oder das Aufenthaltsdokument auf seine Echtheit zu überprüfen.

116    Art. 11 Abs. 6 Buchst. b der Verordnung 2019/1157 sieht vor, dass die auf dem Speichermedium von Personalausweisen und Aufenthaltsdokumenten gespeicherten biometrischen Daten zur Überprüfung der Identität des Inhabers „anhand direkt verfügbarer abgleichbarer Merkmale …, wenn die Vorlage des Personalausweises oder Aufenthaltsdokuments gesetzlich vorgeschrieben ist“, verwendet werden können. Da eine solche Verarbeitung jedoch geeignet ist, zusätzliche Informationen über das Privatleben der betroffenen Personen zu liefern, kann sie nur zu Zwecken, die strikt auf die Identifizierung der betroffenen Person beschränkt sind, und unter durch gesetzliche Bestimmungen über die Vorlage des Personalausweises oder des Aufenthaltsdokuments genau abgegrenzten Voraussetzungen erfolgen.

117    Was drittens die Abfrage der auf dem Speichermedium von Personalausweisen gespeicherten biometrischen Daten anbelangt, ist darauf hinzuweisen, dass der 19. Erwägungsgrund der Verordnung 2019/1157 eine Rangfolge bei der Verwendung der Mittel zur Überprüfung der Echtheit des Dokuments und der Identität des Inhabers aufstellt, indem er vorsieht, dass die Mitgliedstaaten „vorrangig das Gesichtsbild überprüfen“ müssen und, falls zur zweifelsfreien Bestätigung der Echtheit des Dokuments und der Identität des Inhabers notwendig, „auch die Fingerabdrücke“.

118    Was viertens das Risiko des unbefugten Zugriffs auf die gespeicherten Daten betrifft, sieht Art. 3 Abs. 5 und 6 der Verordnung 2019/1157 zur Reduzierung dieses Risikos auf ein Minimum vor, dass die Fingerabdrücke auf einem „hochsicheren Speichermedium“ gespeichert werden, das „eine ausreichende Kapazität [aufweist] und geeignet [ist], die Integrität, die Authentizität und die Vertraulichkeit der Daten sicherzustellen“. Zudem geht aus Art. 3 Abs. 10 dieser Verordnung hervor, dass dann, wenn „die Mitgliedstaaten im Personalausweis Daten für elektronische Dienste wie elektronische Behördendienste und den elektronischen Geschäftsverkehr [speichern], … diese nationalen Daten physisch oder logisch getrennt sein [müssen]“, insbesondere von Fingerabdrücken, die auf der Grundlage der Verordnung erhoben und gespeichert wurden. Schließlich ergibt sich aus den Erwägungsgründen 41 und 42 sowie aus Art. 11 Abs. 4 dieser Verordnung, dass die Mitgliedstaaten für die ordnungsgemäße Verarbeitung biometrischer Daten verantwortlich bleiben, auch wenn sie mit externen Dienstleistungsanbietern zusammenarbeiten.

ii)    Zur Bedeutung der verfolgten Zielsetzungen

119    Wie in Rn. 86 des vorliegenden Urteils ausgeführt, zielt die Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen darauf ab, die Herstellung gefälschter Personalausweise und den Identitätsdiebstahl zu bekämpfen sowie die Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten zu gewährleisten. Insoweit ist sie geeignet, zum Schutz des Privatlebens der betroffenen Personen sowie im weiteren Sinne zur Bekämpfung von Kriminalität und Terrorismus beizutragen.

120    Des Weiteren ermöglicht es eine solche Maßnahme, sowohl dem Bedürfnis jedes Unionsbürgers nachzukommen, über ein Mittel zu verfügen, um sich zuverlässig zu identifizieren, als auch dem der Mitgliedstaaten, sich zu vergewissern, dass den Personen, die sich auf durch das Unionsrecht anerkannte Rechte berufen, diese Rechte auch tatsächlich zustehen. Sie trägt somit insbesondere dazu bei, den Unionsbürgern die Ausübung ihres Freizügigkeits- und Aufenthaltsrecht zu erleichtern, das ebenfalls ein in Art. 45 der Charta verbürgtes Grundrecht ist. Somit haben die mit der Verordnung 2019/1157, insbesondere durch die Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen, verfolgten Zielsetzungen nicht nur für die Union und die Mitgliedstaaten, sondern auch für die Unionsbürger besondere Bedeutung.

121    Im Übrigen werden die Legitimität und Bedeutung dieser Zielsetzungen nicht durch den vom vorlegenden Gericht angeführten Umstand in Frage gestellt, dass in den Rn. 24 bis 26 der Stellungnahme 7/2018 darauf hingewiesen wurde, dass zwischen 2013 und 2017 nur 38 870 gefälschte Personalausweise festgestellt worden seien und dass diese Zahl seit mehreren Jahren abnehme.

122    Selbst wenn man nämlich von einer geringen Zahl der gefälschten Personalausweise ausginge, war der Unionsgesetzgeber nicht verpflichtet, bis zum Anstieg dieser Zahl zu warten, um Maßnahmen zur Vermeidung des Risikos der Verwendung solcher Ausweise zu erlassen, sondern konnte, insbesondere im Interesse der Risikokontrolle, eine solche Entwicklung vorwegnehmen, sofern die übrigen Voraussetzungen in Bezug auf die Achtung des Grundsatzes der Verhältnismäßigkeit gewahrt wurden.

iii) Abwägung

123    Nach alledem ist festzustellen, dass die Einschränkung der Ausübung der in den Art. 7 und 8 der Charta garantierten Rechte, die sich aus der Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen ergibt, angesichts der Art der in Rede stehenden Daten, der Art und der Modalitäten der Verarbeitungsvorgänge sowie der vorgesehenen Schutzmechanismen nicht so schwer erscheint, dass sie außer Verhältnis zur Bedeutung der verschiedenen mit dieser Maßnahme verfolgten Zielsetzungen stünde. Somit ist davon auszugehen, dass eine solche Maßnahme auf einer ausgewogenen Gewichtung zwischen diesen Zielsetzungen und den betroffenen Grundrechten beruht.

124    Folglich verstößt die Einschränkung der Ausübung der in den Art. 7 und 8 der Charta garantierten Rechte nicht gegen den Grundsatz der Verhältnismäßigkeit, so dass der dritte Ungültigkeitsgrund nicht zur Ungültigkeit der Verordnung 2019/1157 zu führen vermag.

125    Nach alledem ist die Verordnung 2019/1157, soweit sie auf der Grundlage von Art. 21 Abs. 2 AEUV erlassen wurde, ungültig.

IV.    Zur Aufrechterhaltung der zeitlichen Wirkungen der Verordnung 2019/1157

126    Aus Gründen der Rechtssicherheit können die Wirkungen eines für ungültig erklärten Rechtsakts aufrechterhalten werden, insbesondere wenn die unmittelbaren Auswirkungen des Urteils, mit dem diese Ungültigkeit festgestellt wird, schwerwiegende negative Folgen für die Betroffenen hätten (vgl. in diesem Sinne Urteil vom 17. März 2016, Parlament/Kommission, C‑286/14, EU:C:2016:183, Rn. 67).

127    Im vorliegenden Fall könnte die Ungültigerklärung der Verordnung 2019/1157 mit sofortiger Wirkung schwerwiegende negative Folgen für eine erhebliche Zahl von Unionsbürgern, insbesondere für ihre Sicherheit im Raum der Freiheit, der Sicherheit und des Rechts, haben.

128    Unter diesen Umständen entscheidet der Gerichtshof, dass die Wirkungen dieser Verordnung aufrechtzuerhalten sind, bis innerhalb einer angemessenen Frist, die zwei Jahre ab dem 1. Januar des auf die Verkündung des vorliegenden Urteils folgenden Jahres nicht überschreiten darf, eine neue, auf Art. 77 Abs. 3 AEUV gestützte Verordnung, die die Verordnung 2019/1157 ersetzt, in Kraft tritt.

V.      Kosten

129    Für die Beteiligten der Ausgangsverfahren ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt:

1.      Die Verordnung (EU) 2019/1157 des Europäischen Parlaments und des Rates vom 20. Juni 2019 zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und der Aufenthaltsdokumente, die Unionsbürgern und deren Familienangehörigen ausgestellt werden, die ihr Recht auf Freizügigkeit ausüben, ist ungültig.

2.      Die Wirkungen der Verordnung 2019/1157 werden aufrechterhalten, bis innerhalb einer angemessenen Frist, die zwei Jahre ab dem 1. Januar des auf die Verkündung des vorliegenden Urteils folgenden Jahres nicht überschreiten darf, eine neue, auf Art. 77 Abs. 3 AEUV gestützte Verordnung, die sie ersetzt, in Kraft tritt.

Unterschriften

*      Verfahrenssprache: Deutsch.