URTEIL DES GERICHTSHOFS (Fünfte Kammer)
8. Dezember 2022(*)
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 2, 4 und 6 – Anwendbarkeit der Verordnung 2016/679 – Begriff ‚berechtigtes Interesse‘ – Wendung ‚Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt‘ – Richtlinie (EU) 2016/680 – Art. 1, 3, 4, 6 und 9 – Rechtmäßigkeit der Verarbeitung personenbezogener Daten, die im Zuge strafrechtlicher Ermittlungen erhoben wurden – Weiterverarbeitung von Daten in Bezug auf das mutmaßliche Opfer einer Straftat für den Zweck seiner Anklage – Wendung ‚anderer Zweck als der, für den die personenbezogenen Daten erhoben werden‘ – Daten, die von der Staatsanwaltschaft eines Mitgliedstaats für die Zwecke ihrer Verteidigung gegenüber einer Staatshaftungsklage verwendet werden“
In der Rechtssache C‑180/21
betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Administrativen sad – Blagoevgrad (Verwaltungsgericht Blagoevgrad, Bulgarien) mit Entscheidung vom 19. März 2021, beim Gerichtshof eingegangen am 23. März 2021, in dem Verfahren
VS
gegen
Inspektor v Inspektorata kam Visshia sadeben savet,
Beteiligte:
Teritorialno otdelenie – Petrich kam Rayonna prokuratura – Blagoevgrad,
erlässt
DER GERICHTSHOF (Fünfte Kammer)
unter Mitwirkung des Kammerpräsidenten E. Regan sowie der Richter D. Gratsias (Berichterstatter), M. Ilešič, I. Jarukaitis und Z. Csehi,
Generalanwalt: M. Campos Sánchez-Bordona,
Kanzler: A. Calot Escobar,
aufgrund des schriftlichen Verfahrens,
unter Berücksichtigung der Erklärungen
– von VS, vertreten durch V. Harizanova,
– des Inspektor v Inspektorata kam Visshia sadeben savet, vertreten durch S. Mulyachka,
– der bulgarischen Regierung, vertreten durch M. Georgieva und T. Mitova als Bevollmächtigte,
– der tschechischen Regierung, vertreten durch O. Serdula, M. Smolek und J. Vláčil als Bevollmächtigte,
– der niederländischen Regierung, vertreten durch M. K. Bulterman und J. M. Hoogveld als Bevollmächtigte,
– der Europäischen Kommission vertreten durch H. Kranenborg und I. Zaloguin als Bevollmächtigte,
nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 19. Mai 2022
folgendes
Urteil
1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 1 Abs. 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, L 119, S. 89) sowie der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO), insbesondere ihres Art. 6 Abs. 1.
2 Es ergeht im Rahmen eines Rechtsstreits zwischen VS und dem Inspektor v Inspektorata kam Visshia sadeben savet (Inspektor der Aufsichtsbehörde beim Obersten Justizrat, Bulgarien) (im Folgenden: IVSS) über die Rechtmäßigkeit der Verarbeitung von VS betreffenden personenbezogenen Daten durch die Rayonstaatsanwaltschaft Petrich (Bulgarien).
Rechtlicher Rahmen
Unionsrecht
DSGVO
3 In den Erwägungsgründen 19, 45 und 47 der DSGVO heißt es:
„(19) … Die Mitgliedstaaten können die zuständigen Behörden im Sinne der Richtlinie [2016/680] mit Aufgaben betrauen, die nicht zwangsläufig für die Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, ausgeführt werden, so dass die Verarbeitung von personenbezogenen Daten für diese anderen Zwecke insoweit in den Anwendungsbereich dieser Verordnung fällt, als sie in den Anwendungsbereich des Unionsrechts fällt. …
…
(45) [I]st die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. …
…
(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. … Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die diese in Erfüllung ihrer Aufgaben vornehmen. …“
4 Art. 2 („Sachlicher Anwendungsbereich“) Abs. 1 und 2 DSGVO bestimmt:
„(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten
a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,
…
d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.“
5 Art. 4 („Begriffsbestimmungen“) DSGVO sieht vor:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
…
7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
…“
6 Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 DSGVO bestimmt:
„Personenbezogene Daten müssen
…
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden … (‚Zweckbindung‘);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘);
…“
7 Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO sieht vor:
„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
…
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
…
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen …
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
…
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 [Unterabsatz 1] Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. …“
8 Art. 21 („Widerspruchsrecht“) Abs. 1 DSGVO bestimmt:
„Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 [Unterabsatz 1] Buchstaben e oder f erfolgt, Widerspruch einzulegen … Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.“
9 Art. 23 („Beschränkungen“) Abs. 1 DSGVO sieht vor, dass durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, die Pflichten und Rechte gemäß den Art. 12 bis 22 im Wege von Gesetzgebungsmaßnahmen beschränkt werden können, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die u. a. den Schutz bestimmter wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats sicherstellt.
Richtlinie 2016/680
10 In den Erwägungsgründen 8 bis 12, 27 und 29 der Richtlinie 2016/680 heißt es:
„(8) Artikel 16 Absatz 2 AEUV ermächtigt das Europäische Parlament und den Rat, Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr personenbezogener Daten festzulegen.
(9) Auf dieser Grundlage sind in der [DSGVO] allgemeine Bestimmungen für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr personenbezogener Daten in der Union niedergelegt.
(10) In der Erklärung Nr. 21 zum Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit im Anhang zur Schlussakte der Regierungskonferenz, die den Vertrag von Lissabon annahm, erkannte die Regierungskonferenz an, dass es sich aufgrund der Besonderheiten dieser Bereiche als erforderlich erweisen könnte, auf Artikel 16 AEUV gestützte spezifische Vorschriften über den Schutz personenbezogener Daten und den freien Verkehr personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit zu erlassen.
(11) Daher sollte diesen Bereichen durch eine Richtlinie Rechnung getragen werden, die spezifische Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, enthält, wobei den Besonderheiten dieser Tätigkeiten Rechnung getragen wird. Diese zuständigen Behörden können nicht nur staatliche Stellen wie die Justizbehörden, die Polizei oder andere Strafverfolgungsbehörden einschließen, sondern auch alle anderen Stellen oder Einrichtungen, denen durch das Recht der Mitgliedstaaten die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse für die Zwecke dieser Richtlinie übertragen wurde. Wenn solche Stellen oder Einrichtungen jedoch personenbezogene Daten zu anderen Zwecken als denen dieser Richtlinie verarbeiten, gilt die [DSGVO]. Daher gilt die [DSGVO] in Fällen, in denen eine Stelle oder Einrichtung personenbezogene Daten zu anderen Zwecken erhebt und diese personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung, der sie unterliegt, weiterverarbeitet. …
(12) Die Tätigkeiten der Polizei oder anderer Strafverfolgungsbehörden sind hauptsächlich auf die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten ausgerichtet, dazu zählen auch polizeiliche Tätigkeiten in Fällen, in denen nicht von vornherein bekannt ist, ob es sich um Straftaten handelt oder nicht. … Die Mitgliedstaaten können die zuständigen Behörden mit anderen Aufgaben betrauen, die nicht zwangsläufig für die Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, ausgeführt werden, so dass die Verarbeitung von personenbezogenen Daten für diese anderen Zwecke insoweit in den Anwendungsbereich der [DSGVO] fällt, als sie in den Anwendungsbereich des Unionsrechts fällt.
…
(27) Zur Verhütung, Ermittlung und Verfolgung von Straftaten müssen die zuständigen Behörden personenbezogene Daten, die im Zusammenhang mit der Verhütung, Ermittlung, Aufdeckung oder Verfolgung einer bestimmten Straftat erhoben wurden, auch in einem anderen Kontext verarbeiten können, um sich ein Bild von den kriminellen Handlungen machen und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können.
…
(29) Personenbezogene Daten sollten für festgelegte, eindeutige und rechtmäßige Zwecke innerhalb des Anwendungsbereichs dieser Richtlinie erhoben und nicht zu Zwecken verarbeitet werden, die nicht mit den Zwecken der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zu vereinbaren sind. Werden personenbezogene Daten von demselben oder einem anderen Verantwortlichen für einen anderen in den Anwendungsbereich dieser Richtlinie fallenden Zweck als den, für den sie erhoben wurden, verarbeitet, so sollte diese Verarbeitung erlaubt sein, unter der Bedingung, dass diese Verarbeitung nach den geltenden Rechtsvorschriften zulässig ist und dass sie für diesen anderen Zweck erforderlich und verhältnismäßig ist.“
11 Art. 1 („Gegenstand und Ziele“) Abs. 1 dieser Richtlinie lautet:
„Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.“
12 Die Definitionen der Begriffe „personenbezogene Daten“ und „Verarbeitung“ in Art. 3 („Begriffsbestimmungen“) Nr. 1 bzw. Nr. 2 dieser Richtlinie übernehmen die Definitionen in Art. 4 Nrn. 1 und 2 DSGVO.
13 Art. 3 Nr. 7 Buchst. a und Nr. 8 der Richtlinie 2016/680 sieht vor:
„Im Sinne dieser Richtlinie bezeichnet der Ausdruck:
…
7. ‚zuständige Behörde‘
a) eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zuständig ist, …
…
8. ‚Verantwortlicher‘ die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden“.
14 Art. 4 („Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten“) Abs. 1 der Richtlinie 2016/680 bestimmt:
„Die Mitgliedstaaten sehen vor[,] dass personenbezogene Daten
…
b) für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden,
c) dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sind,
…“
15 Art. 4 Abs. 2 der Richtlinie 2016/680 sieht vor:
„Eine Verarbeitung durch denselben oder einen anderen Verantwortlichen für einen anderen der in Artikel 1 Absatz 1 genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden, ist erlaubt, sofern
a) der Verantwortliche nach dem Unionsrecht oder dem Recht der Mitgliedstaaten befugt ist, solche personenbezogenen Daten für diesen anderen Zweck zu verarbeiten, und
b) die Verarbeitung für diesen anderen Zweck nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich und verhältnismäßig ist.“
16 Art. 6 („Unterscheidung verschiedener Kategorien betroffener Personen“) der Richtlinie 2016/680 bestimmt:
„Die Mitgliedstaaten sehen vor, dass der Verantwortliche gegebenenfalls und so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien betroffener Personen klar unterscheidet, darunter:
a) Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden,
b) verurteilte Straftäter,
c) Opfer einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten, …
…“
17 Art. 9 („Besondere Verarbeitungsbedingungen“) Abs. 1 und 2 der Richtlinie 2016/680 sieht vor:
„(1) Personenbezogene Daten, die von zuständigen Behörden für die in Artikel 1 Absatz 1 genannten Zwecke erhoben werden, dürfen nicht für andere als die in Artikel 1 Absatz 1 genannten Zwecke verarbeitet werden, es sei denn, eine derartige Verarbeitung ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig. Wenn personenbezogene Daten für solche andere Zwecke verarbeitet werden, gilt die [DSGVO], es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.
(2) Sind nach dem Recht der Mitgliedstaaten zuständige Behörden mit der Wahrnehmung von Aufgaben betraut, die sich nicht mit den für die in Artikel 1 Absatz 1 genannten Zwecke wahrgenommenen Aufgaben decken, gilt die [DSGVO] für die Verarbeitung zu diesen Zwecken …, es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.“
Bulgarisches Recht
Verfassung der Republik Bulgarien
18 Art. 127 der Verfassung der Republik Bulgarien bestimmt:
„Die Staatsanwaltschaft sorgt für die Einhaltung der Gesetze wie folgt:
1. Sie leitet die Ermittlung und überwacht ihren rechtmäßigen Ablauf;
2. sie kann eine Ermittlung durchführen;
3. sie klagt Personen, die eine Straftat begangen haben, an und erhebt in Strafsachen, die der öffentlichen Klage unterliegen, die Strafklage;
…“
ZZLD
19 Das Zakon za zashtita na lichnite danni (Gesetz über den Schutz personenbezogener Daten) (DV Nr. 1 vom 4. Januar 2002, im Folgenden: ZZLD) bezweckt gemäß seinem Art. 1 den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die in der DSGVO geregelt ist, sowie bei der Verarbeitung solcher Daten durch die zuständigen Behörden zum Zweck der Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung.
20 Nach Art. 17 Abs. 1 ZZLD überprüft und überwacht das IVSS die Einhaltung der DSGVO, des ZZLD und der Rechtsakte zum Schutz personenbezogener Daten bei deren Verarbeitung u. a. durch die Staatsanwaltschaft und die Ermittlungsbehörden in Wahrnehmung ihrer Aufgaben als Organe der Rechtspflege zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung. Art. 38b ZZLD gewährt der betroffenen Person im Fall einer Verletzung ihrer Rechte u. a. durch diese Behörden das Recht, beim IVSS Beschwerde einzureichen.
21 Mit Art. 42 Abs. 2 und 3, Art. 45 Abs. 2 und Art. 47 ZZLD werden Art. 9 Abs. 1 und 2 bzw. Art. 4 Abs. 2 und Art. 6 der Richtlinie 2016/680 umgesetzt.
Strafprozessordnung
22 Art. 191 des Nakazatelno-protsesualen kodeks (Strafprozessordnung) (DV Nr. 86 vom 28. Oktober 2005) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung bestimmt:
„Das Ermittlungsverfahren wird in Strafsachen durchgeführt, die der öffentlichen Klage unterliegen.“
23 Art. 192 der Strafprozessordnung in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung sieht vor:
„Das Ermittlungsverfahren umfasst eine Untersuchung und Handlungen des Staatsanwalts nach Abschluss der Untersuchung.“
Zivilprozessordnung
24 Mit den Art. 8 und 9 des Grazhdanski protsesualen kodeks (Zivilprozessordnung) (DV Nr. 59 vom 20. Juli 2007) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung werden die Grundsätze des kontradiktorischen Verfahrens bzw. der Waffengleichheit umgesetzt.
25 Art. 154 („Beweislast“) Abs. 1 der Zivilprozessordnung sieht in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung vor:
„Jede Partei trägt die Beweislast für die anspruchsbegründenden Tatsachen und die eigenen Einwendungen.“
Zakon za otgovornostta na darzhavata i obshtinite za vredi
26 Art. 2b des Zakon za otgovornostta na darzhavata i obshtinite za vredi (Gesetz über die staatliche und kommunale Haftung für Schäden) (DV Nr. 60 vom 5. August 1988) bestimmt:
„(1) Der Staat haftet für Schäden, die Bürgern und juristischen Personen durch die Verletzung des Rechts auf Prüfung und Entscheidung innerhalb angemessener Frist gemäß Artikel 6 Absatz 1 der [am 4. November 1950 in Rom unterzeichneten Konvention zum Schutz der Menschenrechte und Grundfreiheiten] entstanden sind.
(2) Klagen nach Abs. 1 werden gemäß der Zivilprozessordnung geprüft, wobei das Gericht die Gesamtdauer und den Gegenstand des Verfahrens, seine Komplexität in tatsächlicher und rechtlicher Hinsicht, das Verhalten der Parteien und ihrer Verfahrens- oder Rechtsvertreter, das Verhalten der sonstigen Verfahrensbeteiligten und der zuständigen Behörden sowie andere für die ordnungsgemäße Entscheidung des Rechtsstreits relevante Tatsachen berücksichtigt.
…“
Ausgangsverfahren und Vorlagefragen
27 Im Jahr 2013 leitete die Rayonstaatsanwaltschaft Petrich das Ermittlungsverfahren Nr. 252/2013 gegen unbekannt wegen einer im Zusammenhang mit einem Vorfall in einem Imbiss begangenen Straftat nach Art. 325 Abs. 1 in Verbindung mit Art. 20 Abs. 2 des Nakazatelen Kodeks (Strafgesetzbuch) ein. Der Kläger des Ausgangsverfahrens, VS, wurde in diesem Verfahren als Opfer dieser Straftat geführt.
28 Im Jahr 2016 legte die Rayonstaatsanwaltschaft Petrich aufgrund mehrerer Anzeigen u. a. gegen VS mehrere Akten mit Informationen über ihn an, ohne jedoch ein Ermittlungsverfahren einzuleiten, da keine Anhaltspunkte für eine Straftat vorlagen.
29 Im Rahmen des Ermittlungsverfahrens Nr. 252/2013 beschuldigte die Staatsanwaltschaft im Jahr 2018 alle an dem verfahrensgegenständlichen Vorfall beteiligten Personen einschließlich VS.
30 In einem Zivilprozess erhob VS beim Okrazhen sad Blagoevgrad (Regionalgericht Blagoevgrad, Bulgarien) Klage gegen die Staatsanwaltschaft der Republik Bulgarien, mit der er Ersatz des durch die überlange Dauer des Ermittlungsverfahrens Nr. 252/2013 verursachten Schadens beantragte. In der mündlichen Verhandlung vom 15. Oktober 2018 beantragte ein Staatsanwalt der Rayonstaatsanwaltschaft Petrich als Vertreter der Staatsanwaltschaft im Hinblick auf deren Verteidigung die Beiziehung der in Rn. 28 des vorliegenden Urteils erwähnten Akten, die von der Rayonstaatsanwaltschaft 2016 angelegt worden waren. Aus der Vorlageentscheidung geht hervor, dass der Staatsanwalt damit nachweisen wollte, dass die vom Kläger des Ausgangsverfahrens geltend gemachten gesundheitlichen Probleme nicht, wie von diesem behauptet, auf das Ermittlungsverfahren zurückzuführen waren, sondern durch die von der Polizei und der Rayonstaatsanwaltschaft Petrich im Zusammenhang mit diesen Akten durchgeführten Kontrollen verursacht worden waren. In dieser mündlichen Verhandlung gab der Okrazhen sad Blagoevgrad (Bezirksgericht Blagoevgrad) der Rayonstaatsanwaltschaft auf, beglaubigte Kopien der in Rede stehenden Aktenstücke vorzulegen, was sie auch tat.
31 Am 12. März 2020 reichte VS beim IVSS Beschwerde ein und machte geltend, dass die Rayonstaatsanwaltschaft Petrich gegen Bestimmungen zum Schutz personenbezogener Daten verstoßen habe. Zum einen rügte er mit seinem ersten Beschwerdegrund, dass die Rayonstaatsanwaltschaft die ihn betreffenden personenbezogenen Daten, die erhoben worden seien, während er als Opfer einer Straftat geführt worden sei, rechtswidrig verwendet habe, um ihn im Rahmen desselben Verfahrens wegen derselben Tat strafrechtlich zu verfolgen. Zum anderen rügte er mit seinem zweiten Beschwerdegrund, dass die personenbezogenen Daten, die zu den in Rn. 28 des vorliegenden Urteils erwähnten Akten erhoben worden seien, von der Rayonstaatsanwaltschaft im Rahmen der von ihm gegen die Staatsanwaltschaft der Republik Bulgarien erhobenen Haftungsklage rechtswidrig verarbeitet worden seien. Mit Entscheidung vom 22. Juni 2020 wies das IVSS diese Beschwerde zurück.
32 Am 31. Juli 2020 hat VS beim vorlegenden Gericht Klage gegen diese Entscheidung erhoben. Er macht geltend, dass die Verarbeitung der ihn betreffenden personenbezogenen Daten im Rahmen des Ermittlungsverfahrens Nr. 252/2013 insbesondere im Widerspruch zu den Grundsätzen der Richtlinie 2016/680 stehe und dass es gegen die Grundsätze der DSGVO verstoße, wenn die Daten, die zu den in Rn. 28 des vorliegenden Urteils genannten Akten erhoben worden seien, verarbeitet würden, nachdem die Staatsanwaltschaft die Einleitung eines Ermittlungsverfahrens abgelehnt habe.
33 Das vorlegende Gericht ist der Auffassung, dass sich der Ausgangsrechtsstreit im Licht der Rechtsprechung des Gerichtshofs auf die Verarbeitung personenbezogener Daten im Rahmen von Tätigkeiten beziehe, die in den Anwendungsbereich der DSGVO und der Richtlinie 2016/680 fielen, und möchte wissen, welche Grenzen das Unionsrecht in Bezug auf die Weiterverarbeitung personenbezogener Daten festlegt, die der Verantwortliche ursprünglich zum Zweck der Ermittlung und Aufdeckung einer Straftat erhoben hat.
34 Insbesondere fragt sich das vorlegende Gericht zum einen, ob in dem Fall, dass die Staatsanwaltschaft der Republik Bulgarien als „zuständige Behörde“ im Sinne von Art. 3 Nr. 7 Buchst. a der Richtlinie 2016/680 und als „Verantwortlicher“ im Sinne von Art. 3 Nr. 8 der Richtlinie zum Zweck der Ermittlung und Aufdeckung einer Straftat personenbezogene Daten erhoben hat, die eine Person betreffen, die zum Zeitpunkt der Erhebung als Opfer der Straftat angesehen wurde, die weitere Verarbeitung dieser Daten durch dieselbe Behörde für den Zweck der strafrechtlichen Verfolgung dieser Person im Sinne von Art. 4 Abs. 2 der Richtlinie 2016/680 eine Verarbeitung für einen anderen Zweck dieser Richtlinie als den, für den die fraglichen Daten erhoben wurden, darstellt.
35 Zum anderen stellt das vorlegende Gericht fest, dass die Heranziehung der Informationen über VS, die in den von der Rayonstaatsanwaltschaft Petrich 2016 angelegten Akten enthalten seien, im Rahmen der von VS erhobenen Haftungsklage einen anderen Zweck verfolge als den, für den diese Informationen erhoben worden seien. Die Staatsanwaltschaft als Beklagte handele im Rahmen dieses Verfahrens nicht für den Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten. Es sei jedoch fraglich, ob die bloße Angabe gegenüber dem zuständigen Zivilgericht, dass die genannten Akten VS beträfen, und die Weitergabe aller oder eines Teils dieser Informationen an dieses Gericht „Verarbeitung[en]“ von „personenbezogenen Daten“ im Sinne von Art. 4 Nrn. 1 und 2 DSGVO darstellten, die gemäß Art. 2 Abs. 1 DSGVO in den Anwendungsbereich der DSGVO fielen.
36 Im Übrigen vertritt das vorlegende Gericht im Wesentlichen die Auffassung, dass der Ausgangsrechtsstreit die Frage nach dem Ausgleich zwischen dem Schutz personenbezogener Daten und den Rechten einer Partei eines gerichtlichen Verfahrens aufwerfe, wenn die Daten von dieser Partei als Verantwortlicher im Sinne von Art. 3 Abs. 8 der Richtlinie 2016/680 erhoben worden seien, und zwar insbesondere im Hinblick auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO betreffend die Erforderlichkeit der Verarbeitung zur Wahrung der berechtigten Interessen dieses Verantwortlichen.
37 Das vorlegende Gericht ist nämlich der Ansicht, dass die anderen in Art. 6 Abs. 1 Unterabs. 1 DSGVO genannten Rechtfertigungsgründe für eine unter die DSGVO fallende Verarbeitung personenbezogener Daten im Rahmen des Ausgangsrechtsstreits nicht in Frage kämen. Insbesondere sei es weder für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe noch in Ausübung öffentlicher Gewalt im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO erforderlich, dass die Staatsanwaltschaft Informationen über die von ihr angelegten Strafakten an das zuständige Gericht weitergebe, um ihre Verteidigung im Rahmen eines Zivilprozesses sicherzustellen.
38 Der Administrativen sad – Blagoevgrad (Verwaltungsgericht Blagoevgrad, Bulgarien) hat daher beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:
1. Ist Art. 1 Abs. 1 der Richtlinie 2016/680 dahin auszulegen, dass bei der Angabe der Ziele die Begriffe „Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung“ als Aspekte eines allgemeinen Ziels aufgezählt werden?
2.a) Sind die Bestimmungen der DSGVO auf die Staatsanwaltschaft der Republik Bulgarien im Hinblick darauf anwendbar, dass Informationen über eine Person, die die Staatsanwaltschaft in ihrer Eigenschaft als „Verantwortlicher“ gemäß Art. 3 Nr. 8 der Richtlinie 2016/680 zu einer über diese Person angelegten Handakte zur Überprüfung von Anhaltspunkten für eine Straftat erhoben hat, im Rahmen der gerichtlichen Verteidigung der Staatsanwaltschaft als Partei eines Zivilverfahrens – durch die Angabe, dass diese Akte angelegt wurde, oder durch die Überlassung des Akteninhalts – verwendet wurden?
b) Bei Bejahung dieser Frage: Ist der Ausdruck „berechtigte Interessen“ in Art. 6 Abs. 1 Unterabs. 1 Buchst. f der DSGVO dahin auszulegen, dass er die vollständige oder teilweise Offenlegung von Informationen über eine Person umfasst, die zu einer über diese Person zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten angelegten Handakte der Staatsanwaltschaft erhoben wurden, wenn diese Offenlegung zur Verteidigung des Verantwortlichen als Partei eines Zivilverfahrens geschieht, und wird die Einwilligung der betroffenen Person ausgeschlossen?
Zu den Vorlagefragen
Zur ersten Frage
39 Vorab ist darauf hinzuweisen, dass der Gerichtshof, auch wenn das vorlegende Gericht seine erste Frage formal auf die Auslegung von Art. 1 Abs. 1 der Richtlinie 2016/680 beschränkt hat, nicht daran gehindert ist, diesem Gericht alle Hinweise zur Auslegung des Unionsrechts zu geben, die ihm bei der Entscheidung des Ausgangsverfahrens von Nutzen sein können, indem er aus dem gesamten von dem Gericht vorgelegten Material, insbesondere der Begründung der Vorlageentscheidung, diejenigen Elemente des Unionsrechts herausarbeitet, die unter Berücksichtigung des Gegenstands des Rechtsstreits einer Auslegung bedürfen (vgl. in diesem Sinne Urteil vom 22. April 2021, Profi Credit Slovakia, C‑485/19, EU:C:2021:313, Rn. 50 und die dort angeführte Rechtsprechung).
40 Folglich möchte das vorlegende Gericht mit seiner ersten Frage im Wesentlichen wissen, ob Art. 1 Abs. 1 der Richtlinie 2016/680 in Verbindung mit deren Art. 4 Abs. 2 und Art. 6 dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten einem anderen Zweck als dem dient, für den diese Daten erhoben wurden, wenn die Daten für den Zweck der Ermittlung und Aufdeckung einer Straftat erhoben wurden, als die betroffene Person als Opfer angesehen wurde, die Verarbeitung aber zum Zweck der Verfolgung dieser Person nach den fraglichen strafrechtlichen Ermittlungen erfolgt, und gegebenenfalls, ob diese Verarbeitung zulässig ist.
41 Nach ständiger Rechtsprechung sind bei der Auslegung einer Unionsvorschrift nicht nur ihr Wortlaut, sondern auch ihr Zusammenhang und die Ziele zu berücksichtigen, die mit der Regelung, zu der sie gehört, verfolgt werden. Die Entstehungsgeschichte einer Vorschrift des Unionsrechts kann ebenfalls relevante Anhaltspunkte für ihre Auslegung liefern (vgl. in diesem Sinne Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 48 und die dort angeführte Rechtsprechung).
42 Als Erstes ist zunächst darauf hinzuweisen, dass in Art. 1 Abs. 1 der Richtlinie 2016/680, der den Gegenstand der Richtlinie betrifft, ausdrücklich zwischen verschiedenen Kategorien von Tätigkeiten unterschieden wird, denen eine Verarbeitung personenbezogener Daten nach der Richtlinie dienen kann. Insoweit geht aus den verschiedenen Sprachfassungen dieser Bestimmung, insbesondere der bulgarischen, der spanischen, der deutschen, der griechischen, der englischen und der italienischen Sprachfassung, hervor, dass die verschiedenen in Art. 1 Abs. 1 genannten Zwecke die „Verhütung“ von Straftaten, ihre „Ermittlung“, die „Aufdeckung“ in diesem Bereich, die „Verfolgung“ dieser Straftaten und die „Strafvollstreckung“, den „Schutz“ vor und die „Abwehr“ von „Gefahren für die öffentliche Sicherheit“ umfassen.
43 Sodann bestätigt Art. 4 Abs. 2 der Richtlinie, wonach Verarbeitungen für „einen anderen der in Artikel 1 Absatz 1 [der Richtlinie] genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden“, erlaubt sind, sofern die in dieser Bestimmung genannten Voraussetzungen erfüllt sind, ausdrücklich, dass die in Art. 1 Abs. 1 der Richtlinie aufgeführten Begriffe, d. h. „Verhütung“, „Ermittlung“, „Aufdeckung“, „Verfolgung“, „Strafvollstreckung“, „Schutz vor Gefahren für die öffentliche Sicherheit“ und „Abwehr solcher Gefahren“, sich auf eine Vielzahl unterschiedlicher Zwecke der Verarbeitung personenbezogener Daten beziehen, die in den Anwendungsbereich dieser Richtlinie fallen.
44 Somit ergibt sich schon aus dem Wortlaut von Art. 1 Abs. 1 in Verbindung mit Art. 4 Abs. 2 der Richtlinie 2016/680, dass, wenn personenbezogene Daten zum Zweck der „Ermittlung“ einer Straftat und zu deren „Aufdeckung“ erhoben und für Zwecke der „Verfolgung“ weiterverarbeitet wurden, diese Erhebung und diese Verarbeitung unterschiedlichen Zwecken dienen.
45 Schließlich ist darauf hinzuweisen, dass die Mitgliedstaaten nach Art. 6 der Richtlinie vorsehen müssen, dass der Verantwortliche gegebenenfalls und so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien betroffener Personen wie insbesondere den in den Buchst. a, b und c dieses Artikels genannten klar unterscheidet, d. h. zwischen Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden, bzw. verurteilten Straftätern und Opfern einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten.
46 Folglich gehört eine Person, deren personenbezogene Daten verarbeitet werden, um sie strafrechtlich zu verfolgen, zu der Kategorie von Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben, im Sinne von Art. 6 Buchst. a der Richtlinie 2016/680. Wenn sie – wie in dem von der ersten Frage erfassten Fall – ursprünglich als Opfer einer Straftat im Sinne von Art. 6 Buchst. c dieser Richtlinie angesehen wurde, spiegelt diese Verarbeitung somit eine Änderung der Kategorie dieser Person wider, was der Verantwortliche gemäß dem in diesem Artikel aufgestellten Erfordernis einer klaren Unterscheidung zwischen den Daten verschiedener Kategorien von Personen zu berücksichtigen hat.
47 Allerdings ist festzustellen, dass weder in Art. 1 Abs. 1 noch in Art. 4 Abs. 2 der Richtlinie 2016/680 auf Art. 6 der Richtlinie oder dessen Inhalt Bezug genommen wird, um den Zweck einer Verarbeitung personenbezogener Daten, die in den Anwendungsbereich dieser Richtlinie fällt, zu bestimmen.
48 Im Übrigen weist, wie der Generalanwalt in Nr. 62 seiner Schlussanträge im Wesentlichen ausgeführt hat, die in Art. 6 der Richtlinie 2016/680 verwendete Wendung „gegebenenfalls und so weit wie möglich“ eindeutig darauf hin, dass sich nicht immer klar zwischen solchen Daten entscheiden lässt, wenn sie – wie im vorliegenden Fall – zum Zweck einer „Aufdeckung“ oder zur „Ermittlung“ einer Straftat erhoben wurden, weil ein und dieselbe Person unter mehrere in Art. 6 der Richtlinie aufgeführten Personenkategorien fallen und sich mit der fortschreitenden Aufklärung des Sachverhalts eine andere Bestimmung der betreffenden Kategorien ergeben kann.
49 Daraus ist zu schließen, dass in Art. 6 eine andere Verpflichtung festgelegt wird als in Art. 4 Abs. 2 der Richtlinie und dass diese Verpflichtung, wie vom Generalanwalt in den Nrn. 61 bis 64 seiner Schlussanträge ausgeführt, für die Feststellung, ob eine Verarbeitung personenbezogener Daten im Sinne der letzteren Bestimmung einem anderen Zweck dient als dem, für den diese Daten erhoben wurden, unerheblich ist.
50 Als Zweites ist zum Zusammenhang der fraglichen Regelung darauf hinzuweisen, dass personenbezogene Daten nach Art. 4 Abs. 1 Buchst. b und c der Richtlinie 2016/680 zum einen für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden dürfen und zum anderen dem Verarbeitungszweck entsprechen und maßgeblich sein müssen sowie in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sein dürfen. Diese beiden Erfordernisse sind im Wesentlichen wortgleich auch in Art. 5 Abs. 1 Buchst. b und c DSGVO enthalten, der klarstellt, dass sie den Grundsätzen der Zweckbindung bzw. der Datenminimierung entsprechen.
51 Allerdings ist in Anbetracht des 29. Erwägungsgrundes der Richtlinie 2016/680 festzustellen, dass deren Art. 4 Abs. 2 eine Weiterverarbeitung personenbezogener Daten für einen anderen Zweck als denjenigen, für den diese Daten erhoben wurden, erlaubt, sofern dieser Zweck zu den in Art. 1 Abs. 1 der Richtlinie genannten gehört und die Weiterverarbeitung die beiden in Art. 4 Abs. 2 Buchst. a und b vorgesehenen Voraussetzungen erfüllt. Erstens muss der Verantwortliche nach dem Unionsrecht oder dem Recht der Mitgliedstaaten befugt sein, solche personenbezogenen Daten für diesen anderen Zweck zu verarbeiten. Zweitens muss die Verarbeitung für diesen anderen Zweck erforderlich und verhältnismäßig sein.
52 Insbesondere kann es sein, dass personenbezogene Daten, die zum Zweck der „Verhütung“, „Ermittlung“ oder „Aufdeckung“ von Straftaten erhoben werden, gegebenenfalls von verschiedenen zuständigen Behörden im Hinblick auf die „Verfolgung“ oder „Vollstreckung von strafrechtlichen Sanktionen“ weiterverarbeitet werden, wenn eine Straftat festgestellt worden ist und daher Strafverfolgungsmaßnahmen erforderlich sind.
53 Im Rahmen der Erhebung personenbezogener Daten zum Zweck der „Ermittlung“ und der „Aufdeckung“ von Straftaten müssen die zuständigen Behörden jedoch alle Daten erheben, die für die Bestimmung der Tatbestandsmerkmale der fraglichen Straftat in einem Stadium, in dem diese noch nicht festgestellt worden sind, potenziell relevant sind. Bei der Verarbeitung personenbezogener Daten zum Zweck der „Verfolgung“ geht es hingegen darum, mit diesen Daten die den verfolgten Personen zur Last gelegten Taten hinreichend zu beweisen und die zutreffende strafrechtliche Würdigung dieser Taten festzustellen, um dem zuständigen Gericht eine Entscheidung zu ermöglichen.
54 Demnach sind zum einen personenbezogene Daten, die für den Zweck der „Ermittlung“ und der „Aufdeckung“ einer Straftat erforderlich sind, nicht automatisch auch für den Zweck der „Verfolgung“ erforderlich. Zum anderen können sich die Folgen, die sich aus der Verarbeitung personenbezogener Daten für die betroffenen Personen ergeben, insbesondere hinsichtlich der Schwere des Eingriffs in ihr Recht auf den Schutz dieser Daten und der Auswirkungen dieser Verarbeitung auf ihre Rechtsstellung im Rahmen des Strafverfahrens wesentlich unterscheiden.
55 Außerdem ist festzustellen, dass sich der Anwendungsbereich von Art. 4 Abs. 2 nicht auf Verarbeitungen personenbezogener Daten beschränkt, die im Zusammenhang mit derselben Straftat vorgenommen werden, die die Erhebung dieser Daten gerechtfertigt hat. Wie nämlich aus dem 27. Erwägungsgrund der Richtlinie 2016/680 hervorgeht, berücksichtigt diese, dass die für die Bekämpfung von Straftaten zuständigen Behörden personenbezogene Daten zu einem anderen Zweck verarbeiten können müssen als demjenigen, der zur Erhebung dieser Daten geführt hat, und zwar insbesondere, um sich ein Bild von den kriminellen Handlungen machen und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können.
56 Aus dem Vorstehenden folgt, dass den Anforderungen nach Art. 4 Abs. 2 Buchst. a und b der Richtlinie 2016/680 nur genügt ist, wenn bei der Beurteilung der Frage, ob eine Verarbeitung personenbezogener Daten durch denselben oder einen anderen Verantwortlichen für einen der in Art. 1 Abs. 1 genannten Zwecke, der nicht zu den Zwecken gehört, für die die Daten erhoben wurden, diese Anforderungen erfüllt, jeder der in Art. 1 Abs. 1 genannten Zwecke als spezifisch und gesondert betrachtet wird.
57 Als Drittes ist zu den Zielen der fraglichen Regelung festzustellen, dass der Unionsgesetzgeber, wie sich aus den Erwägungsgründen 10 und 11 der Richtlinie 2016/680 ergibt, Vorschriften erlassen wollte, die den Besonderheiten des von dieser Richtlinie erfassten Bereichs Rechnung tragen.
58 Hierzu heißt es im zwölften Erwägungsgrund, dass die Tätigkeiten der Polizei oder anderer Strafverfolgungsbehörden hauptsächlich auf die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten ausgerichtet sind, wozu auch polizeiliche Tätigkeiten in Fällen zählen, in denen nicht von vornherein bekannt ist, ob es sich um Straftaten handelt oder nicht.
59 Daraus folgt, dass der Unionsgesetzgeber Vorschriften erlassen wollte, die den Besonderheiten entsprechen, die die Tätigkeiten der zuständigen Behörden in dem von dieser Richtlinie geregelten Bereich kennzeichnen, und dabei berücksichtigt hat, dass es sich um unterschiedliche Tätigkeiten handelt, mit denen jeweils eigene Ziele verfolgt werden.
60 Diese Auslegung anhand des Zusammenhangs der in Rede stehenden Bestimmung und der Ziele, die mit der Regelung, zu der sie gehört, verfolgt werden, wird bestätigt durch ihre Entstehungsgeschichte, insbesondere durch die Begründung des Rates zu dem Standpunkt (EU) Nr. 5/2016 des Rates in erster Lesung im Hinblick auf den Erlass einer Richtlinie des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, C 158, S. 46). In dieser Begründung rechtfertigt der Rat die Einfügung dieser Bestimmung in die Richtlinie 2016/680 nämlich damit, dass durch sie „beispielsweise ein Staatsanwalt für die Verfolgung einer Straftat dieselben personenbezogenen Daten verarbeiten [kann], wie es die Polizei für die Aufdeckung einer Straftat getan hat, da die beiden in diesem Beispiel genannten Zwecke durch Artikel 1 Absatz 1 [der Richtlinie] abgedeckt werden“.
61 Es ist daher Sache des vorlegenden Gerichts, im Hinblick auf die Entscheidung des Ausgangsrechtsstreits festzustellen, ob die Verarbeitung der VS betreffenden personenbezogenen Daten durch die Rayonstaatsanwaltschaft Petrich zum Zweck der strafrechtlichen Verfolgung dieser Person in Anbetracht der Voraussetzungen in Art. 4 Abs. 2 der Richtlinie 2016/680 erlaubt werden konnte, indem es zum einen prüft, ob diese Behörde nach bulgarischem Strafrecht befugt war, diese Verarbeitung vorzunehmen, und zum anderen, ob diese Verarbeitung für den Zweck, dem sie diente, erforderlich und verhältnismäßig war.
62 Bei der Beurteilung der Erforderlichkeit und Verhältnismäßigkeit einer solchen Verarbeitung kann das vorlegende Gericht gegebenenfalls berücksichtigen, dass die mit diesen Verfolgungsmaßnahmen betraute Behörde in der Lage sein muss, sich auf die Daten zu stützen, die im Laufe der Ermittlungen als Beweise für den strafrechtlich relevanten Sachverhalt, insbesondere was die an dieser Straftat beteiligten Personen betrifft, erhoben wurden, sofern diese Daten für ihre Identifizierung und die Feststellung ihrer Beteiligung erforderlich sind.
63 Nach alledem ist auf die erste Frage zu antworten, dass Art. 1 Abs. 1 der Richtlinie 2016/680 in Verbindung mit deren Art. 4 Abs. 2 und Art. 6 dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten einem anderen Zweck als dem dient, für den diese Daten erhoben wurden, wenn die Daten für den Zweck der Ermittlung und Aufdeckung einer Straftat erhoben wurden, die Verarbeitung aber zum Zweck der Verfolgung einer Person nach den fraglichen strafrechtlichen Ermittlungen erfolgt, und zwar unabhängig davon, ob diese Person zum Zeitpunkt der Datenerhebung als Opfer angesehen wurde, und dass eine solche Verarbeitung nach Art. 4 Abs. 2 dieser Richtlinie erlaubt ist, sofern sie die dort vorgesehenen Voraussetzungen erfüllt.
Zur zweiten Frage
64 Mit seiner zweiten Frage möchte das vorlegende Gericht wissen, ob Art. 3 Abs. 8 und Art. 9 Abs. 1 und 2 der Richtlinie 2016/680 sowie Art. 2 Abs. 1 und 2 DSGVO dahin auszulegen sind, dass diese Verordnung auf Verarbeitungen personenbezogener Daten durch die Staatsanwaltschaft eines Mitgliedstaats zum Zweck der Wahrnehmung ihrer Verteidigungsrechte im Rahmen eines Verfahrens über eine Staatshaftungsklage anwendbar ist, wenn die Staatsanwaltschaft das zuständige Gericht darüber informiert, dass Akten über eine an diesem Verfahren beteiligte natürliche Person existieren, die zu den in Art. 1 Abs. 1 dieser Richtlinie genannten Zwecken angelegt wurden, und diese Akten dem Gericht übermittelt, und, wenn ja, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO dahin auszulegen ist, dass eine solche Verarbeitung personenbezogener Daten unter dem Gesichtspunkt der Wahrung der berechtigten Interessen des Verantwortlichen im Sinne dieser Bestimmung als rechtmäßig angesehen werden kann.
Zur Zulässigkeit
65 In seinen schriftlichen Erklärungen stellt das IVSS die Zulässigkeit der zweiten Frage mit der Begründung in Frage, dass sie vom vorlegenden Gericht im Zusammenhang mit der Prüfung eines von VS geltend gemachten Beschwerdegrundes gestellt worden sei, der mit der Entscheidung, die Gegenstand der Klage im Ausgangsverfahren sei, wegen Ablaufs der gesetzlichen Frist für seine Geltendmachung als unzulässig zurückgewiesen worden sei.
66 Nach ständiger Rechtsprechung des Gerichtshofs spricht eine Vermutung für die Entscheidungserheblichkeit der Fragen, die ein nationales Gericht zur Auslegung des Unionsrechts in dem rechtlichen und sachlichen Rahmen vorlegt, den es in eigener Verantwortung festlegt und dessen Richtigkeit der Gerichtshof nicht zu prüfen hat. Der Gerichtshof kann die Entscheidung über die Vorlagefrage eines nationalen Gerichts nur ablehnen, wenn die erbetene Auslegung des Unionsrechts offensichtlich in keinem Zusammenhang mit den Gegebenheiten der Realität oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das Problem hypothetischer Natur ist oder er nicht über die tatsächlichen oder rechtlichen Angaben verfügt, die für eine sachdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind (vgl. in diesem Sinne Urteil vom 27. September 2017, Puškár, C‑73/16, EU:C:2017:725, Rn. 50 sowie die dort angeführte Rechtsprechung).
67 Im vorliegenden Fall fällt, wie der Generalanwalt in den Nrn. 76 und 77 seiner Schlussanträge ausgeführt hat, die Frage der Zulässigkeit der von VS im Rahmen seiner Beschwerde beim IVSS geltend gemachten Beschwerdegründe in die alleinige Zuständigkeit des vorlegenden Gerichts. Im Übrigen hat dieses Gericht in der Vorlageentscheidung ausgeführt, dass es die zweite Frage für erheblich halte, obwohl das IVSS den in Rn. 65 des vorliegenden Urteils genannten Beschwerdegrund als unzulässig zurückgewiesen habe. Es ist jedenfalls nicht Sache des Gerichtshofs, diese Beurteilung zu überprüfen.
68 Folglich ist die zweite Frage zulässig.
Zur Begründetheit
– Zur Anwendung der DSGVO auf die Verarbeitung personenbezogener Daten durch die Staatsanwaltschaft eines Mitgliedstaats zur Wahrnehmung ihrer Verteidigungsrechte gegenüber einer Staatshaftungsklage
69 Als Erstes ist zu klären, ob es eine „Verarbeitung“ von „personenbezogenen Daten“ im Sinne von Art. 4 Nrn. 1 und 2 DSGVO darstellt, wenn die Staatsanwaltschaft eines Mitgliedstaats zur Wahrnehmung ihrer Verteidigungsrechte in einem Zivilprozess Informationen über eine natürliche Person verwendet, die sie für unter Art. 1 Abs. 1 der Richtlinie 2016/680 fallende Zwecke erhoben und verarbeitet hat.
70 Zunächst ist daran zu erinnern, dass „personenbezogene Daten“ im Sinne von Art. 4 Nr. 1 DSGVO „alle Informationen [sind], die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen“, wobei diese Definition nach der Rechtsprechung gilt, wenn die betreffenden Informationen aufgrund ihres Inhalts, ihres Zwecks und ihrer Auswirkungen mit einer bestimmten Person verknüpft sind (vgl. in diesem Sinne Urteil vom 20. Dezember 2017, Nowak, C‑434/16, EU:C:2017:994, Rn. 35). Ferner bezeichnet der Begriff „Verarbeitung“ nach Art. 4 Nr. 2 DSGVO „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten“ wie u. a. „das Abfragen“, „die Verwendung“, „die Offenlegung durch Übermittlung“, „die Verbreitung“ oder „eine andere Form der Bereitstellung“. In diesen Definitionen kommt das Ziel des Unionsgesetzgebers zum Ausdruck, diesen beiden Begriffen eine weite Bedeutung beizumessen (vgl. in diesem Sinne Urteile vom 20. Dezember 2017, Nowak, C‑434/16, EU:C:2017:994, Rn. 34, und vom 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C‑175/20, EU:C:2022:124, Rn. 35).
71 Insoweit bedeutet zum einen der Umstand, dass der Beklagte in einem Zivilprozess das zuständige Gericht in seinen Schriftsätzen oder in der mündlichen Verhandlung, und sei es auch nur knapp, darüber informiert, dass Akten, die die natürliche Person betreffen, die dieses Verfahren eingeleitet hat, u. a. zum Zweck der „Ermittlung“ oder der „Aufdeckung“ einer Straftat angelegt wurden, impliziert, dass der Beklagte im Sinne von Art. 4 Nrn. 1 und 2 DSGVO „personenbezogene Daten“ „abgefragt“, „verwendet“ und „übermittelt“ oder „offengelegt“ hat. Somit werden diese Informationen sowohl aufgrund ihres Inhalts als auch ihres Zwecks und ihrer Auswirkungen mit einer bestimmten Person verknüpft, die sowohl von der Partei, die sie verbreitet hat, als auch von dem Gericht, an das sie übermittelt werden, identifizierbar ist.
72 Zum anderen impliziert der Umstand, dass der Beklagte auf Ersuchen des zuständigen Gerichts die Akten zu diese natürliche Person betreffenden Verfahren vorlegt, zumindest die „Verwendung“ und die „Offenlegung durch Übermittlung“ von „personenbezogenen Daten“ im Sinne von Art. 4 Nrn. 1 und 2 DSGVO.
73 Als Zweites ist darauf hinzuweisen, dass Art. 2 Abs. 1 DSGVO den sachlichen Anwendungsbereich dieser Verordnung weit definiert (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 61). Dieser umfasst jede „ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie … die nicht automatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen“. Aus dieser weiten Definition folgt, dass die in Art. 2 Abs. 2 DSGVO aufgeführten Ausnahmen vom Anwendungsbereich der DSGVO eng auszulegen sind. Dies gilt insbesondere für die in ihrem Art. 2 Abs. 2 Buchst. d vorgesehene Ausnahme, die die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung betrifft (vgl. in diesem Sinne Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C‑175/20, EU:C:2022:124, Rn. 40 und 41 sowie die dort angeführte Rechtsprechung).
74 Insoweit hat der Gerichtshof entschieden, dass diese Ausnahme, wie sich aus dem 19. Erwägungsgrund dieser Verordnung ergibt, darauf beruht, dass für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Art. 2 Abs. 2 Buchst. d genannten Zwecken ein spezifischer Rechtsakt der Union gilt, nämlich die Richtlinie 2016/680, die am selben Tag wie die DSGVO erlassen wurde (vgl. in diesem Sinne Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C‑175/20, EU:C:2022:124, Rn. 42 und die dort angeführte Rechtsprechung).
75 Wie aus dem zwölften Erwägungsgrund der Richtlinie 2016/680 hervorgeht, hat der Unionsgesetzgeber in Art. 9 dieser Richtlinie Bestimmungen für die Verarbeitung personenbezogener Daten für andere als die in Art. 1 Abs. 1 dieser Richtlinie genannten Zwecke, für die diese Daten erhoben wurden, vorgesehen.
76 Insoweit sieht Art. 9 Abs. 1 der Richtlinie 2016/680 zum einen vor, dass eine derartige Verarbeitung personenbezogener Daten grundsätzlich nur erfolgen darf, wenn sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist, und zum anderen, dass die DSGVO für diese Verarbeitung gilt, es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt. Außerdem gilt, wenn die Verarbeitung nicht im Rahmen einer solchen Tätigkeit erfolgt, nach Art. 9 Abs. 2 dieser Richtlinie die DSGVO für die Verarbeitung durch die zuständigen Behörden im Rahmen ihrer Aufgaben, die sich nicht mit den für die in Art. 1 Abs. 1 genannten Zwecke wahrgenommenen Aufgaben decken.
77 In den in den Rn. 71 und 72 des vorliegenden Urteils genannten Fällen stellen die Erhebung und Verarbeitung personenbezogener Daten durch die Staatsanwaltschaft eines Mitgliedstaats zum Zweck der „Verhütung“, der „Ermittlung“, der „Aufdeckung“ oder „Verfolgung“ von Straftaten zweifellos Verarbeitungen personenbezogener Daten für die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke im Sinne von Art. 9 Abs. 1 und 2 dieser Richtlinie dar.
78 Auch wenn die Erhebung einer Staatshaftungsklage auf vermeintliche Pflichtverletzungen der Staatsanwaltschaft im Rahmen eines Strafverfahrens zurückgeht, wie im vorliegenden Fall die behaupteten Verletzungen des Rechts auf Entscheidung innerhalb angemessener Frist, hat die Verteidigung des Staates gegenüber einer solchen Klage jedoch nicht zum Ziel, die Wahrnehmung der Aufgaben, die dieser Staatsanwaltschaft im Hinblick auf die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke obliegen, als solche sicherzustellen.
79 Darüber hinaus ist in Anbetracht des Grundsatzes der engen Auslegung der Ausnahmen von der Anwendung der DSGVO davon auszugehen, dass diese Verarbeitungen personenbezogener Daten nicht „im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“ im Sinne von Art. 2 Abs. 2 Buchst. a der DSGVO und Art. 9 Abs. 1 und 2 der Richtlinie 2016/680 erfolgen. Insoweit ergibt sich aus der Rechtsprechung, dass mit dieser Wendung vom Anwendungsbereich der DSGVO allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden. Die Beteiligung einer Behörde an einem Zivilverfahren als Beklagte im Rahmen einer Staatshaftungsklage dient jedoch weder der Wahrung der nationalen Sicherheit noch kann sie derselben Kategorie von Tätigkeiten zugeordnet werden (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 66 bis 68 und die dort angeführte Rechtsprechung).
80 Als Drittes ist festzustellen, dass die Staatsanwaltschaft für die Zwecke der Anwendung der DSGVO auf die in den Rn. 71 und 72 des vorliegenden Urteils genannten Datenverarbeitungen als „Verantwortlicher“ im Sinne nicht nur von Art. 4 Nr. 7 der DSGVO, sondern auch von Art. 3 Nr. 8 der Richtlinie 2016/680 anzusehen ist, da sie im Sinne der letzteren Bestimmung „allein oder gemeinsam mit anderen über die Zwecke und Mittel [dieser Verarbeitungen] entscheidet“. Diese Behörde informiert nämlich als Verfahrensbeteiligte das zuständige Gericht über die Existenz strafrechtlicher Ermittlungsakten, die die Gegenpartei betreffen, und übermittelt ihm diese Akten. Ihre Eigenschaft als „Verantwortlicher“ ist angesichts der weiten Definition dieses Begriffs, die einen wirksamen und umfassenden Schutz der betroffenen Personen gewährleisten soll, unabhängig vom Ausmaß ihrer Einbeziehung und dem Grad ihrer Verantwortlichkeit, die sich von denen des zuständigen Gerichts unterscheiden können, dem es obliegt, solche Verarbeitungen zuzulassen oder anzuordnen (vgl. entsprechend Urteil vom 29. Juli 2019, Fashion ID, C‑40/17, EU:C:2019:629, Rn. 66 bis 70).
81 Unabhängig von der Frage, ob die in Rn. 80 des vorliegenden Urteils genannten Datenverarbeitungen unter Art. 9 Abs. 1 oder Abs. 2 der Richtlinie 2016/680 fallen, ergibt sich jedoch aus dem Wortlaut dieser Absätze und ihrer Systematik, dass die DSGVO für jede Verarbeitung personenbezogener Daten, die für in Art. 1 Abs. 1 dieser Richtlinie genannte Zwecke erhoben wurden, für einen anderen Zweck als diese Zwecke gilt, es sei denn, die fragliche Verarbeitung fällt nicht in den Anwendungsbereich des Unionsrechts. Dies gilt auch dann, wenn der „Verantwortliche“ im Sinne von Art. 3 Nr. 8 der Richtlinie eine „zuständige Behörde“ im Sinne von Art. 3 Nr. 7 Buchst. a der Richtlinie ist und die personenbezogenen Daten im Rahmen anderer Aufgaben als der für die in Art. 1 Abs. 1 der Richtlinie genannten Zwecke wahrgenommenen Aufgaben verarbeitet.
82 Nach alledem ist davon auszugehen, dass die DSGVO für Verarbeitungen personenbezogener Daten durch die Staatsanwaltschaft eines Mitgliedstaats zum Zweck der Wahrnehmung ihrer Verteidigungsrechte im Rahmen eines Verfahrens über eine Staatshaftungsklage gilt, wenn die Staatsanwaltschaft zum einen das zuständige Gericht darüber informiert, dass Akten über eine an diesem Verfahren beteiligte natürliche Person existieren, die zu den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken angelegt wurden, und zum anderen diese Akten dem Gericht übermittelt.
– Zur Rechtmäßigkeit der Verarbeitung personenbezogener Daten durch die Staatsanwaltschaft eines Mitgliedstaats für den Zweck der Wahrnehmung ihrer Verteidigungsrechte gegenüber einer Staatshaftungsklage
83 In Art. 6 DSGVO sind die Fälle abschließend aufgeführt, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 99).
84 Dazu gehört nach Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO der Fall, dass die Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, und nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO der Fall, dass die Verarbeitung, die zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Nach Art. 6 Abs. 1 Unterabs. 2 DGSVO gilt Art. 6 Abs. 1 Unterabs. 1 Buchst. f nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
85 Aus Art. 6 Abs. 1 Unterabs. 2 DSGVO geht, wie die Europäische Kommission in ihren schriftlichen Erklärungen zutreffend ausgeführt hat, eindeutig hervor, dass eine Verarbeitung personenbezogener Daten durch eine Behörde im Rahmen der Erfüllung ihrer Aufgaben nicht unter Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO fallen kann, der Verarbeitungen personenbezogener Daten betrifft, die zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich sind. Wie sich aus dem 47. Erwägungsgrund der DSGVO ergibt und von der Kommission geltend gemacht wurde, kann Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO auf solche Datenverarbeitungen keine Anwendung finden, da ihre Rechtsgrundlage vom Gesetzgeber vorgesehen sein muss. Daraus folgt, dass, wenn die Verarbeitung durch eine Behörde für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist und daher zu den in Art. 6 Abs. 1 Unterabs. 2 dieser Verordnung genannten Aufgaben gehört, die Anwendung von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO und die Anwendung von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO einander ausschließen.
86 Bevor die Frage der Anwendung von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO erörtert wird, muss daher festgestellt werden, ob die Verarbeitung personenbezogener Daten, die ursprünglich für einen oder mehrere der in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke erhoben wurden, durch die Staatsanwaltschaft eines Mitgliedstaats zum Zweck der Verteidigung des Staates oder einer öffentlichen Einrichtung gegenüber einer Haftungsklage auf Ersatz von Schäden, die durch eine Pflichtverletzung des Staates oder einer öffentlichen Einrichtung bei der Wahrnehmung ihrer Aufgaben verursacht wurden, im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. e dieser Verordnung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
87 Wie der Generalanwalt in den Nrn. 94 und 100 seiner Schlussanträge im Wesentlichen ausgeführt hat, kann die Verteidigung der rechtlichen und finanziellen Interessen des Staates, wenn es der Staatsanwaltschaft obliegt, diese Interessen gegenüber einer Staatshaftungsklage zu verteidigen, die das Handeln oder Verhalten dieser Behörde im Rahmen der im öffentlichen Interesse liegenden Aufgaben betrifft, die ihr im Bereich des Strafrechts übertragen sind, nach nationalem Recht eine Aufgabe darstellen, die im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO im öffentlichen Interesse liegt.
88 Zum einen schützt diese Behörde nämlich durch die Ausübung der ihr als Beklagten eingeräumten Verfahrensrechte die Rechtssicherheit der im öffentlichen Interesse vorgenommenen Handlungen und getroffenen Entscheidungen, die vom Kläger beanstandet werden. Ihre Stellungnahmen zu deren Klagegründen und Argumenten sind geeignet, gegebenenfalls der Gefahr entgegenzuwirken, dass diese Klagegründe und Argumente die wirksame Anwendung der Vorschriften, die ihr im Rahmen der Aufgaben obliegt, deren fehlerhafte Erfüllung ihr vorgeworfen wird, beeinträchtigen.
89 Zum anderen kann diese Behörde mit ihren Verteidigungsmitteln und ‑argumenten gegebenenfalls deutlich machen, dass die Schadensersatzforderungen des Klägers unbegründet oder überhöht sind, um insbesondere zu verhindern, dass die mit der Haftungsklage beanstandete Erfüllung der im öffentlichen Interesse liegenden Aufgaben durch die Aussicht auf Schadensersatzklagen behindert wird, wenn diese Aufgaben geeignet sind, die Interessen Einzelner zu beeinträchtigen.
90 Insoweit ist es unerheblich, dass die Staatsanwaltschaft im Rahmen eines Staatshaftungsprozesses als Beklagte gleichberechtigt mit den anderen Parteien handelt und keine hoheitlichen Befugnisse ausübt, wie dies bei der Erfüllung ihrer Aufgaben im Bereich des Strafrechts der Fall ist.
91 Im vorliegenden Fall ergibt sich aus der Vorlageentscheidung und aus den Erläuterungen der bulgarischen Regierung in Beantwortung der Fragen des Gerichtshofs, dass die Haftungsklage, die zum Teil dem Ausgangsrechtsstreit zugrunde liegt, auf das in Rn. 26 des vorliegenden Urteils erwähnte Gesetz über die staatliche und kommunale Haftung für Schäden gestützt ist, das eine Regelung über die Haftung des Staates für Schäden enthält, die durch eine Verletzung des Rechts auf Prüfung und Entscheidung innerhalb angemessener Frist verursacht wurden, und dass gemäß Art. 7 dieses Gesetzes die Behörde, deren rechtswidrige Rechtsakte, Handlungen oder Unterlassungen den Schaden verursacht haben, Partei des Rechtsstreits ist und als solche verfahrensrechtlich an die Stelle des Staates tritt.
92 Somit unterscheidet sich die Rolle der Behörde, die den im Rahmen einer solchen Haftungsklage behaupteten Schaden verursacht hat, von der Rolle des Beklagten im Rahmen einer Regressklage des Staates gegen den öffentlichen Bediensteten, der aufgrund von Pflichtverletzungen bei der Ausübung seiner Aufgaben persönlich haftbar ist, da es in letzterem Fall um die Verteidigung privater Interessen geht (vgl. in diesem Sinne Urteil vom 18. Mai 2021, Asociaţia „Forumul Judecătorilor din România“ u. a., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 und C‑397/19, EU:C:2021:393, Rn. 225).
93 In Anbetracht der vorstehenden Erwägungen ist daher davon auszugehen, dass die Verarbeitung personenbezogener Daten, die ursprünglich für einen oder mehrere der in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke erhoben und verarbeitet wurden, durch die Staatsanwaltschaft eines Mitgliedstaats zum Zweck der Verteidigung des Staates gegenüber einer Haftungsklage auf Ersatz von Schäden, die durch eine Pflichtverletzung der Staatsanwaltschaft bei der Wahrnehmung ihrer Aufgaben verursacht wurden, grundsätzlich nicht unter Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO, sondern vielmehr unter Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO fällt.
94 Im Übrigen lässt sich nicht ausschließen, dass in dem Fall, dass die Staatsanwaltschaft eines Mitgliedstaats zum Zweck der Verteidigung des Staates gegenüber einer Haftungsklage dem zuständigen Gericht auf dessen Ersuchen personenbezogene Daten übermittelt, diese Übermittlung auch unter Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO fallen kann, wenn die Staatsanwaltschaft nach dem einschlägigen nationalen Recht verpflichtet ist, einem solchen Ersuchen nachzukommen.
95 Unter diesen Umständen hat das vorlegende Gericht, um feststellen zu können, ob Verarbeitungen personenbezogener Daten wie die im Ausgangsverfahren in Rede stehenden unter diese Bestimmungen von Art. 6 Abs. 1 Unterabs. 1 DSGVO fallen, zu prüfen, ob das nationale Recht gemäß Art. 6 Abs. 3 DSGVO zum einen die Rechtsgrundlage für diese Verarbeitungen und zum anderen deren Zweck festlegt, oder ob, was Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO betrifft, diese Verarbeitungen erforderlich sind, damit die Staatsanwaltschaft ihre im öffentlichen Interesse liegende Aufgabe wahrnehmen kann.
96 Im Übrigen ist es Sache des vorlegenden Gerichts, festzustellen, ob die Verbreitung von Informationen über den Urheber der Haftungsklage durch die Staatsanwaltschaft, die in Akten enthalten sind, die in anderen Verfahren angelegt wurden als dem, das dieser Klage zugrunde liegt, den sonstigen in der DSGVO vorgesehenen Anforderungen genügt, insbesondere dem in Art. 5 Abs. 1 Buchst. c DSGVO enthaltenen Grundsatz der „Datenminimierung“, der besagt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen und damit den Grundsatz der Verhältnismäßigkeit zum Ausdruck bringt (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 98). Außerdem hat es zu prüfen, ob diese Verarbeitung personenbezogener Daten unter Einhaltung angemessener Garantien erfolgt ist, insbesondere der Möglichkeit, zu den von der Staatsanwaltschaft in diesem Rahmen vorgelegten Informationen und Beweisen sachgerecht Stellung zu nehmen, aber auch der Möglichkeit, gemäß Art. 21 Abs. 1 DSGVO gegen die Übermittlung dieser Informationen und Beweise an das zuständige Gericht Widerspruch einzulegen, soweit dieses Widerspruchsrecht nicht gemäß Art. 23 Abs. 1 der DSGVO durch nationale Rechtsvorschriften beschränkt ist.
97 Nach alledem ist die zweite Frage wie folgt zu beantworten:
– Art. 3 Nr. 8 und Art. 9 Abs. 1 und 2 der Richtlinie 2016/680 sowie Art. 2 Abs. 1 und 2 DSGVO sind dahin auszulegen, dass diese Verordnung für Verarbeitungen personenbezogener Daten durch die Staatsanwaltschaft eines Mitgliedstaats zum Zweck der Wahrnehmung ihrer Verteidigungsrechte im Rahmen eines Verfahrens über eine Staatshaftungsklage gilt, wenn die Staatsanwaltschaft zum einen das zuständige Gericht darüber informiert, dass Akten über eine an diesem Verfahren beteiligte Person existieren, die zu den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken angelegt wurden, und zum anderen diese Akten dem Gericht übermittelt.
– Art. 6 Abs. 1 DSGVO ist dahin auszulegen, dass in dem Fall, dass eine Staatshaftungsklage auf Verstöße gestützt wird, die die Staatsanwaltschaft im Rahmen der Wahrnehmung ihrer Aufgaben im Bereich des Strafrechts begangen haben soll, solche Verarbeitungen personenbezogener Daten als rechtmäßig angesehen werden können, wenn sie im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe des Schutzes der rechtlichen und finanziellen Interessen des Staates, mit der die Staatsanwaltschaft im Rahmen dieses Verfahrens nach nationalem Recht betraut ist, erforderlich sind, sofern diese Verarbeitungen personenbezogener Daten alle einschlägigen Anforderungen der DSGVO erfüllen.
Kosten
98 Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Fünfte Kammer) für Recht erkannt:
1. Art. 1 Abs. 1 in Verbindung mit Art. 4 Abs. 2 und Art. 6 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates
ist dahin auszulegen, dass
eine Verarbeitung personenbezogener Daten einem anderen Zweck als dem dient, für den diese Daten erhoben wurden, wenn die Daten für den Zweck der Ermittlung und Aufdeckung einer Straftat erhoben wurden, die Verarbeitung aber zum Zweck der Verfolgung einer Person nach den fraglichen strafrechtlichen Ermittlungen erfolgt, und zwar unabhängig davon, ob diese Person zum Zeitpunkt der Datenerhebung als Opfer angesehen wurde, und dass eine solche Verarbeitung nach Art. 4 Abs. 2 dieser Richtlinie zulässig ist, sofern sie die dort vorgesehenen Voraussetzungen erfüllt.
2. Art. 3 Nr. 8 und Art. 9 Abs. 1 und 2 der Richtlinie 2016/680 sowie Art. 2 Abs. 1 und 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
sind dahin auszulegen, dass
diese Verordnung für Verarbeitungen personenbezogener Daten durch die Staatsanwaltschaft eines Mitgliedstaats zum Zweck der Wahrnehmung ihrer Verteidigungsrechte im Rahmen eines Verfahrens über eine Staatshaftungsklage gilt, wenn die Staatsanwaltschaft zum einen das zuständige Gericht darüber informiert, dass Akten über eine an diesem Verfahren beteiligte Person existieren, die zu den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken angelegt wurden, und zum anderen diese Akten dem Gericht übermittelt.
3. Art. 6 Abs. 1 der Verordnung 2016/679
ist dahin auszulegen, dass
in dem Fall, dass eine Staatshaftungsklage auf Verstöße gestützt wird, die die Staatsanwaltschaft im Rahmen der Wahrnehmung ihrer Aufgaben im Bereich des Strafrechts begangen haben soll, solche Verarbeitungen personenbezogener Daten als rechtmäßig angesehen werden können, wenn sie im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. e dieser Verordnung für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe des Schutzes der rechtlichen und finanziellen Interessen des Staates, mit der die Staatsanwaltschaft im Rahmen dieses Verfahrens nach nationalem Recht betraut ist, erforderlich sind, sofern diese Verarbeitungen personenbezogener Daten alle einschlägigen Anforderungen der DSGVO erfüllen.
Unterschriften