URTEIL DES GERICHTSHOFS (Große Kammer)
30. Januar 2024(*)
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zweck der Bekämpfung von Straftaten – Richtlinie (EU) 2016/680 – Art. 4 Abs. 1 Buchst. c und e – Datenminimierung – Beschränkung der Speicherung – Art. 5 – Angemessene Fristen für die Löschung oder regelmäßige Überprüfung der Notwendigkeit der Speicherung – Art. 10 – Verarbeitung biometrischer und genetischer Daten – Unbedingte Erforderlichkeit – Art. 16 Abs. 2 und 3 – Recht auf Löschung – Einschränkung der Verarbeitung – Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union – Rechtskräftig verurteilte und später rehabilitierte natürliche Person – Frist für die Datenspeicherung bis zum Tod – Kein Recht auf Löschung oder Einschränkung der Verarbeitung – Verhältnismäßigkeit“
In der Rechtssache C‑118/22
betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien) mit Entscheidung vom 10. Januar 2022, beim Gerichtshof eingegangen am 17. Februar 2022, in dem Verfahren
NG
gegen
Direktor na Glavna direktsia „Natsionalna politsia“ pri Ministerstvo na vatreshnite raboti – Sofia,
Beteiligte:
Varhovna administrativna prokuratura,
erlässt
DER GERICHTSHOF (Große Kammer)
unter Mitwirkung des Präsidenten K. Lenaerts, des Vizepräsidenten L. Bay Larsen, des Kammerpräsidenten A. Arabadjiev, der Kammerpräsidentinnen A. Prechal und K. Jürimäe, des Kammerpräsidenten N. Piçarra, der Kammerpräsidentin O. Spineanu-Matei, der Richter M. Ilešič und J.‑C. Bonichot, der Richterin L. S. Rossi sowie der Richter I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl und D. Gratsias (Berichterstatter),
Generalanwalt: P. Pikamäe,
Kanzler: R. Stefanova-Kamisheva, Verwaltungsrätin,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 7. Februar 2023,
unter Berücksichtigung der Erklärungen
– von NG, vertreten durch P. Kuyumdzhiev, Advokat,
– der bulgarischen Regierung, vertreten durch M. Georgieva, T. Mitova und E. Petranova als Bevollmächtigte,
– der tschechischen Regierung, vertreten durch O. Serdula, M. Smolek und J. Vláčil als Bevollmächtigte,
– von Irland, vertreten durch M. Browne, A. Joyce und M. Tierney als Bevollmächtigte im Beistand von D. Fennelly, BL,
– der spanischen Regierung, vertreten durch A. Ballesteros Panizo und J. Rodríguez de la Rúa Puig als Bevollmächtigte,
– der niederländischen Regierung, vertreten durch A. Hanje als Bevollmächtigte,
– der polnischen Regierung, vertreten durch B. Majczyna, D. Łukowiak und J. Sawicka als Bevollmächtigte,
– der Europäischen Kommission, vertreten durch A. Bouchagiar, C. Georgieva, H. Kranenborg und F. Wilman als Bevollmächtigte,
nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 15. Juni 2023
folgendes
Urteil
1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 5 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, L 119, S. 89, berichtigt in ABl. 2021, L 74, S. 36) in Verbindung mit Art. 13 Abs. 2 Buchst. b und Abs. 3 dieser Richtlinie.
2 Dieses Ersuchen ergeht im Rahmen eines Rechtsstreits zwischen NG und dem Direktor na Glavna direktsia „Natsionalna politsia“ pri Ministerstvo na vatreshnite raboti – Sofia (Direktor der Generaldirektion „Nationale Polizei“ beim Ministerium für Innere Angelegenheiten, Bulgarien, im Folgenden: DGPN) wegen dessen Ablehnung des Antrags von NG, ihn aus dem nationalen Register zu streichen, in das die bulgarischen Polizeibehörden Personen eintragen, die wegen einer vorsätzlichen Offizialstraftat verfolgt werden (im Folgenden: Polizeiregister), wobei der Antrag auf eine Rehabilitierung nach der rechtskräftigen strafrechtlichen Verurteilung dieser Person gestützt wird.
Rechtlicher Rahmen
Unionsrecht
3 In den Erwägungsgründen 11, 14, 26, 27, 37, 47 und 104 der Richtlinie 2016/680 heißt es:
„(11) … [Den] Bereichen [der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit sollte] durch eine Richtlinie Rechnung getragen werden, die spezifische Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, enthält, wobei den Besonderheiten dieser Tätigkeiten Rechnung getragen wird. …
…
(14) Da diese Richtlinie nicht für die Verarbeitung personenbezogener Daten gelten sollte, die im Rahmen einer nicht unter das Unionsrecht fallenden Tätigkeit erfolgt, sollten die nationale Sicherheit betreffende Tätigkeiten … nicht als Tätigkeiten betrachtet werden, die in den Anwendungsbereich dieser Richtlinie fallen.
…
(26) … Es sollte … sichergestellt werden, dass nicht übermäßige personenbezogene Daten erhoben werden und sie nicht länger aufbewahrt werden, als dies für den Zweck, zu dem sie verarbeitet werden, erforderlich ist. Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen. …
(27) Zur Verhütung, Ermittlung und Verfolgung von Straftaten müssen die zuständigen Behörden personenbezogene Daten, die im Zusammenhang mit der Verhütung, Ermittlung, Aufdeckung oder Verfolgung einer bestimmten Straftat erhoben wurden, auch in einem anderen Kontext verarbeiten können, um sich ein Bild von den kriminellen Handlungen machen und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können.
…
(37) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. …
…
(47) … Eine natürliche Person sollte auch das Recht auf Einschränkung der Verarbeitung besitzen, … wenn die personenbezogenen Daten für Beweiszwecke weiter aufbewahrt werden müssen. Insbesondere sollte statt der Löschung personenbezogener Daten die Verarbeitung eingeschränkt werden, wenn in einem konkreten Fall berechtigter Grund zu der Annahme besteht, dass eine Löschung die berechtigten Interessen der betroffenen Person beeinträchtigen könnte. In einem solchen Fall sollten Daten mit Einschränkungsmarkierung nur zu dem Zweck verarbeitet werden, der ihrer Löschung entgegenstand. …
…
(104) Diese Richtlinie steht im Einklang mit den Grundrechten und Grundsätzen, die mit der Charta [der Grundrechte der Europäischen Union (im Folgenden: Charta)] anerkannt wurden und im AEUV verankert sind, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens, dem Recht auf Schutz personenbezogener Daten sowie dem Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren. Die Einschränkungen dieser Rechte stehen im Einklang mit Artikel 52 Absatz 1 der Charta, da sie erforderlich sind, um den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und der Freiheiten anderer zu entsprechen.“
4 Art. 1 („Gegenstand und Ziele“) Abs. 1 dieser Richtlinie lautet:
„Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.“
5 Art. 2 („Anwendungsbereich“) Abs. 1 und 3 der Richtlinie sieht vor:
„(1) Diese Richtlinie gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken.
…
(3) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten
a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,
…“
6 Art. 3 („Begriffsbestimmungen“) der Richtlinie sieht vor:
„Im Sinne dieser Richtlinie bezeichnet der Ausdruck:
…
2. ‚Verarbeitung‘ jeden … Vorgang oder jede … Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie … die Speicherung …;
…“
7 Art. 4 („Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten“) Abs. 1 der Richtlinie 2016/680 bestimmt:
„Die Mitgliedstaaten sehen vor, dass personenbezogene Daten
…
c) dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sind,
…
e) nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht,
…“
8 Art. 5 („Fristen für die Speicherung und Überprüfung“) dieser Richtlinie lautet:
„Die Mitgliedstaaten sehen vor, dass für die Löschung von personenbezogenen Daten oder eine regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung angemessene Fristen vorzusehen sind. Durch verfahrensrechtliche Vorkehrungen ist sicherzustellen, dass diese Fristen eingehalten werden.“
9 In Art. 10 („Verarbeitung besonderer Kategorien personenbezogener Daten“) der Richtlinie heißt es:
„Die Verarbeitung … von genetischen Daten [und] biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person … ist nur dann erlaubt, wenn sie unbedingt erforderlich ist und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt …“
10 Nach Art. 13 („Der betroffenen Person zur Verfügung zu stellende oder zu erteilende Informationen“) Abs. 2 der Richtlinie sehen die Mitgliedstaaten zusätzlich zu den in Abs. 1 genannten Informationen durch Rechtsvorschriften vor, dass der Verantwortliche der betroffenen Person in besonderen Fällen zusätzliche Informationen erteilt, die in diesem Abs. 2 aufgezählt werden, um die Ausübung der Rechte dieser Person zu ermöglichen. Zu diesen zusätzlichen Informationen gehören insbesondere nach Abs. 2 Buchst. b die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer. Überdies führt Art. 13 Abs. 3 der Richtlinie 2016/680 die Gründe auf, aus denen die Mitgliedstaaten Gesetzgebungsmaßnahmen erlassen können, nach denen die Unterrichtung der betroffenen Person gemäß Abs. 2 aufgeschoben oder eingeschränkt werden kann.
11 Art. 14 („Auskunftsrecht der betroffenen Person“) der Richtlinie 2016/680 bestimmt:
„Vorbehaltlich des Artikels 15 sehen die Mitgliedstaaten vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie das Recht, Auskunft über personenbezogene Daten und zu folgenden Informationen zu erhalten:
…
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
…“
12 Art. 16 („Recht auf Berichtigung oder Löschung personenbezogener Daten und Einschränkung der Verarbeitung“) Abs. 2 und 3 der Richtlinie bestimmt:
„(2) Die Mitgliedstaaten verlangen vom Verantwortlichen, personenbezogene Daten unverzüglich zu löschen, und sehen vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten unverzüglich zu verlangen, wenn die Verarbeitung gegen die nach den Artikeln 4, 8 und 10 erlassenen Vorschriften verstößt oder wenn die personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen, der der Verantwortliche unterliegt.
(3) Anstatt die personenbezogenen Daten zu löschen, kann der Verantwortliche deren Verarbeitung einschränken, wenn
a) die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet und die Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann, oder
b) die personenbezogenen Daten für Beweiszwecke weiter aufbewahrt werden müssen.
…“
13 Nach Art. 20 („Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen“) der Richtlinie sehen die Mitgliedstaaten vor, dass der Verantwortliche geeignete technische und organisatorische Maßnahmen trifft, um den Anforderungen dieser Richtlinie zu genügen und die Rechte der betroffenen Personen zu schützen und insbesondere zu gewährleisten, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden.
14 Art. 29 („Sicherheit der Verarbeitung“) Abs. 1 der Richtlinie 2016/680 bestimmt:
„Die Mitgliedstaaten sehen vor, dass der Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Artikel 10.“
Bulgarisches Recht
Strafgesetzbuch
15 Art. 82 Abs. 1 des Nakazatelen kodeks (Strafgesetzbuch, DV Nr. 26 vom 2. April 1968) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung sieht vor:
„Die verhängte Strafe wird nicht vollstreckt, wenn folgender Zeitraum verstrichen ist:
1. 20 Jahre, wenn es sich bei der Strafe um lebenslängliche Freiheitsstrafe ohne die Möglichkeit einer Umwandlung oder um lebenslängliche Freiheitsstrafe handelt;
2. 15 Jahre, wenn es sich bei der verhängten Strafe um eine Freiheitsstrafe von mehr als zehn Jahren handelt;
3. zehn Jahre, wenn es sich bei der Strafe um eine Freiheitsstrafe von drei bis zehn Jahren handelt;
4. fünf Jahre, wenn die Freiheitsstrafe weniger als drei Jahre Freiheitsstrafe beträgt, und
5. zwei Jahre in allen anderen Fällen.“
16 Art. 85 Abs. 1 des Strafgesetzbuchs bestimmt:
„Durch die Rehabilitierung wird die Verurteilung gelöscht und werden die Wirkungen, die die Gesetze an die Verurteilung selbst knüpfen, für die Zukunft aufgehoben, sofern nicht durch Gesetz oder Erlass etwas anderes bestimmt ist.“
17 Art. 88a des Strafgesetzbuchs lautet wie folgt:
„Ist seit Verbüßung der Strafe eine der in Art. 82 Abs. 1 genannten Frist entsprechende Frist verstrichen und hat der Verurteilte keine neuerliche vorsätzliche Offizialstraftat begangen, für die eine Freiheitsstrafe vorgesehen ist, so werden die Verurteilung und ihre Folgen ungeachtet jeglicher Bestimmung in einem anderen Gesetz oder einem anderen Erlass gelöscht.“
Gesetz über das Ministerium für Innere Angelegenheiten
18 Art. 26 des Zakon za Ministerstvo na vatreshnite raboti (Gesetz über das Ministerium für Innere Angelegenheiten, DV Nr. 53 vom 27. Juni 2014) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung (im Folgenden: Gesetz über das Ministerium für Innere Angelegenheiten) sieht vor:
„(1) Bei der Verarbeitung personenbezogener Daten im Zusammenhang mit Maßnahmen zum Schutz der nationalen Sicherheit, zur Kriminalitätsbekämpfung, zur Aufrechterhaltung der öffentlichen Ordnung und zur Durchführung von Strafverfahren können die Behörden des Ministeriums für Innere Angelegenheiten
…
3. alle erforderlichen Kategorien personenbezogener Daten verarbeiten;
…
(2) Die Fristen für die Speicherung der in Abs. 1 genannten Daten bzw. für die periodische Überprüfung der Notwendigkeit ihrer Speicherung werden durch den Minister für Innere Angelegenheiten festgelegt. Diese Daten werden darüber hinaus aufgrund einer gerichtlichen Entscheidung bzw. Anordnung oder einer Entscheidung der Kommission für den Schutz personenbezogener Daten gelöscht.“
19 Art. 27 des Gesetzes über das Ministerium für Innere Angelegenheiten bestimmt:
„Daten aus einer auf der Grundlage von Art. 68 vorgenommenen polizeilichen Registrierung von Personen werden nur zum Schutz der nationalen Sicherheit, zur Kriminalitätsbekämpfung und zur Aufrechterhaltung der öffentlichen Ordnung verwendet.“
20 In Art. 68 dieses Gesetzes heißt es:
„(1) Die Polizeibehörden nehmen eine polizeiliche Registrierung von Personen vor, die wegen einer vorsätzlichen Offizialstraftat verfolgt werden. Die Untersuchungsbehörden sind verpflichtet, die für die Registrierung durch die Polizeibehörden erforderlichen Maßnahmen zu treffen.
(2) Die polizeiliche Registrierung ist eine Art der Verarbeitung personenbezogener Daten der in Abs. 1 genannten Personen, die unter den Voraussetzungen dieses Gesetzes erfolgt.
(3) Für die Zwecke der polizeilichen Registrierung nehmen die Polizeibehörden Folgendes vor:
1. Erhebung personenbezogener Daten gemäß Art. 18 des Gesetzes über die bulgarischen Identitätsdokumente;
2. Abnahme von Fingerabdrücken und Aufnahme von Lichtbildern;
3. Entnahme von Proben zur Erstellung eines DNA-Profils.
…
(6) Die Streichung der polizeilichen Registrierung erfolgt auf der Grundlage einer schriftlichen Anordnung des für die Verarbeitung personenbezogener Daten Verantwortlichen oder der von diesem ermächtigten Beamten von Amts wegen oder auf begründeten schriftlichen Antrag der registrierten Person, wenn
1. die Registrierung unter Verstoß gegen das Gesetz erfolgt ist;
2. das Strafverfahren eingestellt wird, außer in den Fällen nach Art. 24 Abs. 3 des Nakazatelno-protsesualen kodeks (Strafprozessordnung);
3. das Strafverfahren zu einem rechtskräftigen Freispruch geführt hat;
4. die Person von ihrer strafrechtlichen Verantwortlichkeit befreit und eine verwaltungsstrafrechtliche Sanktion gegen sie verhängt worden ist;
5. die Person verstorben ist, wobei in diesem Fall der Antrag von ihren Rechtsnachfolgern gestellt werden kann.
…“
Ausgangsverfahren und Vorlagefrage
21 NG wurde gemäß Art. 68 des Gesetzes über das Ministerium für Innere Angelegenheiten im Rahmen eines Ermittlungsverfahrens wegen falscher Zeugenaussage (Straftat nach Art. 290 Abs. 1 des Strafgesetzbuchs) polizeilich registriert. Am Ende dieses Ermittlungsverfahrens wurde Anklage gegen ihn erhoben, und mit Urteil vom 28. Juni 2016, das im Rechtsmittelverfahren durch Urteil vom 2. Dezember 2016 bestätigt worden ist, wurde er dieser Straftat für schuldig befunden und zu einer Bewährungsstrafe von einem Jahr verurteilt. Nach Verbüßung dieser Strafe wurde NG am 14. März 2020 nach Art. 82 Abs. 1 in Verbindung mit Art. 88a Strafgesetzbuch rehabilitiert.
22 Am 15. Juli 2020 stellte NG auf der Grundlage dieser Rehabilitierung bei der zuständigen Territorialverwaltung des Ministeriums für Innere Angelegenheiten einen Antrag auf Streichung seiner polizeilichen Registrierung.
23 Mit Verfügung vom 2. September 2020 lehnte der DGPN diesen Antrag ab, da er der Auffassung war, dass eine rechtskräftige strafrechtliche Verurteilung auch im Fall der Rehabilitierung nicht zu den für die polizeiliche Registrierung geltenden Streichungsgründen zähle; diese würden in Art. 68 Abs. 6 des Gesetzes über das Ministerium für Innere Angelegenheiten abschließend aufgeführt.
24 Mit Entscheidung vom 2. Februar 2021 wies der Administrativen sad Sofia grad (Verwaltungsgericht Sofia-Stadt, Bulgarien) die von NG gegen diese Verfügung des DGPN erhobene Klage im Wesentlichen aus Gründen ab, die jenen des DGPN entsprachen.
25 NG legte beim vorlegenden Gericht, dem Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien), Rechtsmittel gegen dieses Urteil ein. Der Hauptrechtsmittelgrund wird aus einem Verstoß gegen den Grundsatz hergeleitet, der sich aus den Art. 5, 13 und 14 der Richtlinie 2016/680 ergebe und wonach die Verarbeitung personenbezogener Daten durch Speicherung nicht von unbeschränkter Dauer sein dürfe. Im Wesentlichen trägt NG vor, dies sei aber de facto der Fall, wenn die betroffene Person, nachdem sie ihre Strafe verbüßt habe und rehabilitiert worden sei, niemals die Löschung der personenbezogenen Daten erwirken könne, die im Zusammenhang mit der Straftat erhoben worden seien, derentwegen sie rechtskräftig verurteilt worden sei, da für die polizeiliche Registrierung im Fall einer Rehabilitierung kein Streichungsgrund einschlägig sei.
26 Insoweit weist das vorlegende Gericht erstens darauf hin, dass die polizeiliche Registrierung eine Verarbeitung personenbezogener Daten zu den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken sei und daher in den Anwendungsbereich dieser Richtlinie falle.
27 Zweitens gehöre die Rehabilitierung nicht zu den für die polizeiliche Registrierung geltenden Streichungsgründen, die in Art. 68 Abs. 6 des Gesetzes über das Ministerium für Innere Angelegenheiten abschließend aufgeführt würden, und kein anderer dieser Gründe könne in dieser Konstellation herangezogen werden, so dass es der betroffenen Person unmöglich sei, in einem solchen Fall die Streichung ihrer Registrierung zu erwirken.
28 Drittens weist das vorlegende Gericht darauf hin, dass der 26. Erwägungsgrund der Richtlinie 2016/680 auf Garantien Bezug nehme, die dazu dienten, dass nicht übermäßige personenbezogene Daten erhoben und sie nicht länger aufbewahrt würden, als dies für den Zweck, zu dem sie verarbeitet würden, erforderlich sei; dem genannten Erwägungsgrund zufolge müsse der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen. Außerdem leitet das vorlegende Gericht aus dem 34. Erwägungsgrund dieser Richtlinie ab, dass die Verarbeitung zu den in ihrem Art. 1 Abs. 1 genannten Zwecken Vorgänge der Beschränkung, Löschung oder Vernichtung dieser Daten umfassen sollte. Diese Grundsätze spiegeln sich seiner Ansicht nach in Art. 5 sowie in Art. 13 Abs. 2 und 3 der Richtlinie wider.
29 Insoweit hegt das vorlegende Gericht Zweifel, ob die in der vorstehenden Randnummer genannten Ziele nationalen Rechtsvorschriften entgegenstehen, die dazu führen, dass die zuständigen Behörden ein „praktisch unbeschränktes Recht“ auf Datenverarbeitung zu den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken haben, und die – für die betroffene Person – den Verlust ihres Rechts auf Einschränkung der Verarbeitung oder Löschung ihrer Daten nach sich ziehen.
30 Unter diesen Umständen hat der Varhoven administrativen sad (Oberstes Verwaltungsgericht) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Frage zur Vorabentscheidung vorzulegen:
Lässt die Auslegung von Art. 5 der Richtlinie 2016/680 in Verbindung mit deren Art. 13 Abs. 2 Buchst. b und Abs. 3 nationale Gesetzgebungsmaßnahmen zu, die zu einem praktisch unbeschränkten Recht auf Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung und/oder zur Abschaffung des Rechts der betroffenen Person auf Einschränkung der Verarbeitung, Löschen oder Vernichtung ihrer Daten führen?
Zur Vorlagefrage
31 Nach ständiger Rechtsprechung ist es im Rahmen des durch Art. 267 AEUV eingeführten Verfahrens der Zusammenarbeit zwischen den nationalen Gerichten und dem Gerichtshof Aufgabe des Gerichtshofs, dem nationalen Gericht eine für die Entscheidung des bei diesem anhängigen Rechtsstreits sachdienliche Antwort zu geben. Hierzu hat er die ihm vorgelegten Fragen gegebenenfalls umzuformulieren. Außerdem kann der Gerichtshof veranlasst sein, unionsrechtliche Vorschriften zu berücksichtigen, die das nationale Gericht in seiner Frage nicht angeführt hat (Urteil vom 15. Juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, Rn. 31 und die dort angeführte Rechtsprechung).
32 Im vorliegenden Fall beruht die Frage des vorlegenden Gerichts darauf, dass, wie sich aus dem Vorabentscheidungsersuchen und den Angaben der bulgarischen Regierung in der mündlichen Verhandlung vor dem Gerichtshof ergibt, in der im Ausgangsverfahren in Rede stehenden Situation, in der eine Person rechtskräftig verurteilt wurde, selbst nach deren Rehabilitation keiner der im Gesetz über das Ministerium für Innere Angelegenheiten abschließend aufgeführten Gründe einschlägig ist, die die Löschung der personenbezogenen Daten im Polizeiregister rechtfertigen, so dass diese Daten in dem genannten Register gespeichert bleiben und von den Behörden, die Zugang dazu haben, ohne jegliche zeitliche Beschränkung bis zum Eintritt des Todes dieser Person verarbeitet werden dürfen.
33 Insoweit geht zunächst aus der Vorlageentscheidung, namentlich aus den in Rn. 27 des vorliegenden Urteils zusammengefassten Erwägungen, und aus dem Wortlaut der Vorlagefrage selbst hervor, dass sich das vorlegende Gericht insbesondere fragt, ob die im Ausgangsverfahren in Rede stehende nationale Regelung mit dem Grundsatz der Verhältnismäßigkeit vereinbar ist. Wie im 104. Erwägungsgrund der Richtlinie 2016/680 hervorgehoben, sind die mit dieser Richtlinie vorgenommenen Einschränkungen des in Art. 8 der Charta vorgesehenen Rechts auf Schutz personenbezogener Daten sowie der durch die Art. 7 bzw. 47 der Charta geschützten Rechte auf Achtung des Privat- und Familienlebens, auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht im Einklang mit den Anforderungen von Art. 52 Abs. 1 der Charta auszulegen, zu denen die Beachtung des Grundsatzes der Verhältnismäßigkeit gehört.
34 Sodann nimmt das vorlegende Gericht in seiner Frage zu Recht auf Art. 5 der Richtlinie Bezug, der die angemessenen Fristen für die Löschung von personenbezogenen Daten bzw. für die regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung betrifft. Da der genannte Art. 5 einen engen Zusammenhang sowohl mit Art. 4 Abs. 1 Buchst. c und e als auch mit Art. 16 Abs. 2 und 3 dieser Richtlinie aufweist, ist die Vorlagefrage so zu verstehen, dass sie sich auch auf diese beiden Bestimmungen bezieht.
35 Da die im Ausgangsverfahren in Rede stehenden nationalen Rechtsvorschriften die Speicherung u. a. von biometrischen und genetischen Daten vorsehen, die zu den besonderen Kategorien personenbezogener Daten gehören, deren Verarbeitung speziell durch Art. 10 der Richtlinie 2016/680 geregelt wird, ist ferner davon auszugehen, dass die Vorlagefrage auch die Auslegung dieser Bestimmung betrifft.
36 Schließlich geht die Relevanz einer Auslegung von Art. 13 der Richtlinie 2016/680 aus dem Vorabentscheidungsersuchen nur in Bezug auf dessen Abs. 2 Buchst. b klar hervor. Zwar spiegelt, wie das vorlegende Gericht ausführt, sein Abs. 3 auch die u. a. im 26. Erwägungsgrund dieser Richtlinie genannten Grundsätze wider. Der dem Gerichtshof vorgelegten Akte ist jedoch nicht zu entnehmen, dass es im Ausgangsverfahren auch um eine Gesetzgebungsmaßnahme gehe, nach der die Unterrichtung der betroffenen Person im Sinne von Abs. 3 aufgeschoben oder einschränkt werden könne.
37 Nach alledem ist davon auszugehen, dass das vorlegende Gericht mit seiner Frage im Wesentlichen wissen möchte, ob Art. 4 Abs. 1 Buchst. c und e der Richtlinie 2016/680 in Verbindung mit ihren Art. 5 und 10, ihrem Art. 13 Abs. 2 Buchst. b und ihrem Art. 16 Abs. 2 und 3 sowie im Licht der Art. 7 und 8 der Charta dahin auszulegen ist, dass er nationalen Rechtsvorschriften entgegensteht, die vorsehen, dass die Polizeibehörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung personenbezogene und insbesondere biometrische und genetische Daten, die wegen einer vorsätzlichen Offizialstraftat rechtskräftig verurteilte Personen betreffen, speichern, und zwar bis zum Tod der betroffenen Person und auch im Fall ihrer Rehabilitierung, ohne ihr im Übrigen das Recht auf Löschung dieser Daten oder gegebenenfalls auf Einschränkung von deren Verarbeitung zuzuerkennen.
38 Vorab ist darauf hinzuweisen, dass sich die Vorlagefrage auf eine Verarbeitung personenbezogener Daten zu Zwecken bezieht, die gemäß Art. 1 Abs. 1 der Richtlinie 2016/680 in deren Anwendungsbereich fallen. Aus dem in der Vorlageentscheidung angeführten Art. 27 des Gesetzes über das Ministerium für Innere Angelegenheiten geht jedoch hervor, dass die im Polizeiregister gespeicherten Daten auch im Rahmen des Schutzes der nationalen Sicherheit verarbeitet werden können, auf die die Richtlinie nach ihrem Art. 2 Abs. 3 Buchst. a im Licht ihres 14. Erwägungsgrundes keine Anwendung findet. Es ist daher Sache des vorlegenden Gerichts, sich zu vergewissern, dass die Speicherung der Daten des Klägers des Ausgangsverfahrens nicht geeignet ist, zu Zwecken des Schutzes der nationalen Sicherheit zu dienen, wobei dieser Art. 2 Abs. 3 Buchst. a eine Ausnahme von der Anwendung des Unionsrechts vorsieht, die eng auszulegen ist (vgl. entsprechend Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 62 und die dort angeführte Rechtsprechung).
39 Es ist erstens darauf hinzuweisen, dass die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, die in den Art. 7 und 8 der Charta garantiert sind, keine uneingeschränkte Geltung beanspruchen, sondern im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden müssen. Jegliche Einschränkung der Ausübung dieser Grundrechte muss gemäß Art. 52 Abs. 1 der Charta gesetzlich vorgesehen sein, den Wesensgehalt dieser Grundrechte achten sowie den Grundsatz der Verhältnismäßigkeit wahren. Nach diesem Grundsatz dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Sie müssen sich auf das absolut Notwendige beschränken, und die die fraglichen Einschränkungen enthaltende Regelung muss klare und präzise Regeln für die Tragweite und die Anwendung dieser Einschränkungen vorsehen (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 105 und die dort angeführte Rechtsprechung).
40 Wie im 26. Erwägungsgrund der Richtlinie 2016/680 im Wesentlichen hervorgehoben wird, sind diese Anforderungen nicht erfüllt, wenn die fragliche dem Gemeinwohl dienende Zielsetzung in zumutbarer Weise ebenso wirksam durch andere Mittel erreicht werden kann, die weniger stark in die Grundrechte der betroffenen Personen eingreifen (vgl. entsprechend Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 110 und die dort angeführte Rechtsprechung).
41 Zweitens müssen die Mitgliedstaaten nach Art. 4 Abs. 1 Buchst. c der Richtlinie zuvörderst vorsehen, dass personenbezogene Daten dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sind. Diese Bestimmung verlangt somit von den Mitgliedstaaten die Einhaltung des Grundsatzes der „Datenminimierung“, in dem der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht wird (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 98 und die dort angeführte Rechtsprechung).
42 Daher müssen insbesondere die Erhebung personenbezogener Daten im Rahmen eines Strafverfahrens und deren Speicherung durch die Polizeibehörden zu den in Art. 1 Abs. 1 der Richtlinie genannten Zwecken – ebenso wie jede Verarbeitung, die in den Anwendungsbereich der Richtlinie fällt – diese Anforderungen erfüllen. Eine solche Speicherung stellt im Übrigen einen Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten dar, unabhängig davon, ob die gespeicherten Informationen sensiblen Charakter haben, ob die Betroffenen durch diesen Eingriff Nachteile erlitten haben oder ob die gespeicherten Daten in der Folge verwendet werden (vgl. entsprechend Urteil vom 5. April 2022, Commissioner of An Garda Síochána u. a., C‑140/20, EU:C:2022:258, Rn. 44 und die dort angeführte Rechtsprechung).
43 Was namentlich die Verhältnismäßigkeit der Dauer der Speicherung dieser Daten betrifft, müssen die Mitgliedstaaten des Weiteren nach Art. 4 Abs. 1 Buchst. e der Richtlinie 2016/680 vorsehen, dass diese Daten nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht.
44 In diesem Rahmen verpflichtet Art. 5 dieser Richtlinie die Mitgliedstaaten, für die Löschung personenbezogener Daten oder die regelmäßige Überprüfung der Notwendigkeit der Speicherung solcher Daten angemessene Fristen vorzusehen sowie durch verfahrensrechtliche Vorkehrungen sicherzustellen, dass diese Fristen eingehalten werden.
45 Dem 26. Erwägungsgrund der Richtlinie 2016/680 zufolge soll diese Bestimmung gewährleisten, dass personenbezogene Daten gemäß den Anforderungen von Art. 4 Abs. 1 Buchst. e dieser Richtlinie nicht länger als erforderlich gespeichert werden. Zwar überlässt es die Richtlinie den Mitgliedstaaten, angemessene Fristen für die Dauer der Speicherung festzulegen und zu entscheiden, ob diese Fristen die Löschung dieser Daten oder die regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung betreffen, vorausgesetzt, die Einhaltung dieser Fristen wird durch angemessene Verfahrensvorkehrungen sichergestellt. Für die „Angemessenheit“ dieser Fristen ist jedoch jedenfalls erforderlich, dass sie gemäß Art. 4 Abs. 1 Buchst. c und e der Richtlinie im Licht von Art. 52 Abs. 1 der Charta gegebenenfalls die Löschung der betreffenden Daten ermöglichen, wenn ihre Speicherung im Hinblick auf die Zwecke, die die Verarbeitung gerechtfertigt haben, nicht mehr erforderlich ist.
46 Um es den betroffenen Personen insbesondere zu ermöglichen, diese „Angemessenheit“ zu überprüfen und gegebenenfalls eine solche Löschung zu beantragen, sehen Art. 13 Abs. 2 Buchst. b und Art. 14 Buchst. d der Richtlinie 2016/680 vor, dass diese Personen grundsätzlich, falls dies möglich ist, über die Dauer, für die die sie betreffenden personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, über die Kriterien für die Festlegung dieser Dauer informiert werden können.
47 Sodann stellt Art. 10 der Richtlinie 2016/680 eine spezifische Bestimmung dar, die die Verarbeitung besonderer Kategorien personenbezogener Daten, insbesondere biometrischer und genetischer Daten, regelt. Diese Bestimmung soll insofern einen erhöhten Schutz der betroffenen Person gewährleisten, als bei den fraglichen Daten aufgrund ihrer besonderen Sensibilität und des Kontexts, in dem sie verarbeitet werden, erhebliche Risiken für die Grundrechte und Grundfreiheiten, wie etwa die in Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, auftreten können, wie sich aus dem 37. Erwägungsgrund der genannten Richtlinie ergibt (Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 116 und die dort angeführte Rechtsprechung).
48 Insbesondere stellt dieser Art. 10 das Erfordernis auf, dass die Verarbeitung sensibler Daten „nur“ dann erlaubt ist, „wenn sie unbedingt erforderlich ist“; hierin liegt eine verschärfte Voraussetzung für die Rechtmäßigkeit der Verarbeitung solcher Daten, was u. a. bedeutet, dass die Einhaltung des Grundsatzes der „Datenminimierung“, wie er sich aus Art. 4 Abs. 1 Buchst. c der Richtlinie 2016/680 ergibt, der in diesem Erfordernis eine spezifische Anwendung auf die genannten sensiblen Daten erfährt, besonders streng kontrolliert werden muss (vgl. in diese Sinne Urteil des Gerichtshofs vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 117, 122 und 125).
49 Schließlich begründet Art. 16 Abs. 2 der Richtlinie 2016/680 ein Recht auf Löschung von personenbezogenen Daten, wenn die Verarbeitung gegen die nach den Art. 4, 8 oder 10 dieser Richtlinie erlassenen Vorschriften verstößt oder wenn diese Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen, der der Verantwortliche unterliegt.
50 Aus diesem Art. 16 Abs. 2 ergibt sich, dass das genannte Recht auf Löschung insbesondere dann ausgeübt werden kann, wenn unter Verstoß gegen die Bestimmungen des nationalen Rechts zur Umsetzung von Art. 4 Abs. 1 Buchst. c und e der Richtlinie sowie gegebenenfalls von deren Art. 10 die Speicherung der betreffenden Daten für die Zwecke ihrer Verarbeitung nicht oder nicht mehr erforderlich ist oder wenn diese Löschung erforderlich ist, um die hierfür vom nationalen Recht aufgrund von Art. 5 der Richtlinie festgelegte Frist einzuhalten.
51 Gemäß Art. 16 Abs. 3 der Richtlinie 2016/680 muss das nationale Recht jedoch vorsehen, dass der Verantwortliche die Verarbeitung dieser Daten einschränkt, anstatt sie zu löschen, wenn die betroffene Person gemäß Buchst. a dieser Bestimmung die Richtigkeit der personenbezogenen Daten bestreitet und die Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann oder wenn die personenbezogenen Daten gemäß Buchst. b zu Beweiszwecken weiter aufbewahrt werden müssen.
52 Aus dem Vorstehenden ergibt sich, dass die in den Rn. 41 bis 51 des vorliegenden Urteils untersuchten Bestimmungen der Richtlinie 2016/680 einen allgemeinen Rahmen festlegen, der u. a. gewährleisten kann, dass die Speicherung personenbezogener Daten und insbesondere deren Dauer auf das beschränkt werden, was sich im Hinblick auf die Zwecke, für die diese Daten gespeichert werden, als erforderlich erweist, wobei es den Mitgliedstaaten allerdings überlassen bleibt, unter Beachtung dieses Rahmens die konkreten Situationen, in denen der Schutz der Grundrechte der betroffenen Person die Löschung dieser Daten erfordert, und den Zeitpunkt zu bestimmen, zu dem diese Löschung zu erfolgen hat. Demgegenüber verlangen diese Bestimmungen, wie der Generalanwalt in Nr. 28 seiner Schlussanträge im Wesentlichen ausgeführt hat, nicht, dass die Mitgliedstaaten absolute zeitliche Grenzen für die Speicherung personenbezogener Daten vorsehen, bei deren Überschreitung diese Daten automatisch gelöscht werden müssten.
53 Im vorliegenden Fall geht aus der dem Gerichtshof vorliegenden Akte hervor, dass die nach Art. 68 des Gesetzes über das Ministerium für Innere Angelegenheiten im Polizeiregister enthaltenen personenbezogenen Daten nur für operative Ermittlungen und insbesondere zum Abgleich mit anderen Daten gespeichert werden, die bei Ermittlungen wegen anderer Straftaten erhoben wurden.
54 Insoweit ist erstens darauf hinzuweisen, dass sich für die in der vorstehenden Randnummer genannten Zwecke die Speicherung von Daten in einem Polizeiregister, die rechtskräftig verurteilte Personen betreffen, selbst dann noch als erforderlich erweisen kann, nachdem diese Verurteilung aus dem Vorstrafenregister gelöscht wurde und folglich die Wirkungen, die das nationale Recht an diese Verurteilung knüpft, aufgehoben wurden. Diese Personen können nämlich in andere Straftaten als diejenigen, derentwegen sie verurteilt wurden, verwickelt sein oder im Gegenteil durch einen Abgleich der von diesen Behörden gespeicherten Daten mit den in Verfahren zu diesen anderen Straftaten erhobenen Daten entlastet werden.
55 Mithin kann eine solche Speicherung zu der dem Gemeinwohl dienenden Zielsetzung beitragen, die im 27. Erwägungsgrund der Richtlinie 2016/680 angeführt wird, wonach die zuständigen Behörden zur Verhütung, Ermittlung und Verfolgung von Straftaten personenbezogene Daten, die im Zusammenhang mit der Verhütung, Ermittlung, Aufdeckung oder Verfolgung einer bestimmten Straftat erhoben wurden, auch in einem anderen Kontext verarbeiten können müssen, um sich ein Bild von den kriminellen Handlungen machen und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 98).
56 Zweitens geht aus der dem Gerichtshof vorliegenden Akte hervor, dass in dem Polizeiregister die von den bulgarischen Rechtsvorschriften über Identitätsdokumente erfassten Daten über die betroffene Person, ihre Fingerabdrücke, ihr Lichtbild und eine Probe zur Erstellung eines DNA-Profils gespeichert werden; hinzu kommen ferner, wie die bulgarische Regierung in der mündlichen Verhandlung bestätigt hat, noch die Daten über die von der betroffenen Person begangenen Straftaten und ihre einschlägigen Verurteilungen. Diese verschiedenen Kategorien von Daten können sich als unerlässlich erweisen, um zu prüfen, ob die betroffene Person in andere Straftaten als diejenigen, derentwegen sie rechtskräftig verurteilt wurde, verwickelt ist. Folglich kann für diese Daten grundsätzlich davon ausgegangen werden, dass sie im Sinne von Art. 4 Abs. 1 Buchst. c der Richtlinie 2016/680 dem Verarbeitungszweck entsprechen und in Bezug auf die Zwecke, für die sie verarbeitet werden, maßgeblich sind.
57 Drittens ist die Verhältnismäßigkeit einer solchen Speicherung im Hinblick auf ihre Zwecke auch unter Berücksichtigung der im nationalen Recht vorgesehenen geeigneten technischen und organisatorischen Maßnahmen zu beurteilen, die gemäß den Art. 20 und 29 dieser Richtlinie der Gewährleistung der Vertraulichkeit und Sicherheit der gespeicherten Daten im Hinblick auf Verarbeitungen dienen sollen, die den Anforderungen der Richtlinie 2016/680 zuwiderlaufen, und insbesondere der in Art. 20 Abs. 2 der Richtlinie genannten Maßnahmen, die sicherstellen, dass nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden.
58 Was viertens die Dauer der Speicherung der im Ausgangsverfahren in Rede stehenden personenbezogenen Daten betrifft, so geht im vorliegenden Fall aus dem Vorabentscheidungsersuchen hervor, dass nur im Fall einer rechtskräftigen Verurteilung der betroffenen Person wegen einer vorsätzlichen Offizialstraftat die Speicherung dieser Daten bis zum Tod dieser Person aufrechterhalten wird, während die nationalen Rechtsvorschriften in den übrigen Fällen die Streichung der Eintragungen der wegen einer solchen Straftat verfolgten Personen vorsehen.
59 Insoweit ist indessen festzustellen, dass der Begriff „vorsätzliche Offizialstraftat“ besonders allgemein gehalten ist und auf eine große Zahl von Straftaten unabhängig von ihrer Art und Schwere angewendet werden kann (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 129).
60 Wie auch der Generalanwalt in den Nrn. 73 und 74 seiner Schlussanträge im Wesentlichen ausgeführt hat, ist nicht bei allen Personen, die rechtskräftig wegen einer unter diesen Begriff fallenden Straftat verurteilt worden sind, das Risiko gleich hoch, in andere Straftaten verwickelt zu werden, was eine einheitliche Dauer der Speicherung der sie betreffenden Daten rechtfertigen würde. Somit rechtfertigt in bestimmten Fällen die von der verurteilten Person ausgehende Gefahr in Anbetracht von Faktoren wie Art und Schwere der begangenen Straftat oder fehlender Rückfälligkeit es nicht notwendigerweise, dass die sie betreffenden Daten bis zu ihrem Tod in dem hierfür vorgesehenen nationalen Polizeiregister belassen werden. In einem solchen Fall besteht zwischen den gespeicherten Daten und dem verfolgten Ziel kein notwendiger Zusammenhang mehr (vgl. entsprechend Gutachten 1/15 [PNR-Abkommen EU-Kanada] vom 26. Juli 2017, EU:C:2017:592, Rn. 205). Daher steht ihre Speicherung nicht im Einklang mit dem in Art. 4 Abs. 1 Buchst. c der Richtlinie 2016/680 aufgestellten Grundsatz der Datenminimierung und überschreitet entgegen Art. 4 Abs. 1 Buchst. e dieser Richtlinie die für die Zwecke, für die sie verarbeitet werden, erforderliche Dauer.
61 Insoweit ist klarzustellen, dass zwar, wie der Generalanwalt in Nr. 70 seiner Schlussanträge im Wesentlichen ausgeführt hat, die Rehabilitierung einer solchen Person, die zur Löschung ihrer Verurteilung in ihrem Vorstrafenregister führt, wie im Ausgangsrechtsstreit geschehen, für sich genommen die Notwendigkeit der Speicherung ihrer Daten im Polizeiregister nicht entfallen lassen kann, da Letztere anderen Zwecken dient als der Übersicht über ihre Vorstrafen in diesem Register. Wenn jedoch wie im vorliegenden Fall eine solche Rehabilitierung nach den anwendbaren Bestimmungen des nationalen Strafrechts voraussetzt, dass während eines bestimmten Zeitraums nach Verbüßung der Strafe keine neuerliche vorsätzliche Offizialstraftat begangen wurde, kann diese Rehabilitierung ein Indiz dafür sein, dass von der betroffenen Person im Hinblick auf die Ziele der Bekämpfung der Kriminalität oder der Aufrechterhaltung der öffentlichen Ordnung eine geringere Gefahr ausgeht, und somit einen Umstand darstellen, der die erforderliche Dauer einer solchen Speicherung zu verkürzen vermag.
62 Fünftens impliziert der in Art. 52 Abs. 1 der Charta verankerte Grundsatz der Verhältnismäßigkeit insbesondere eine Gewichtung der Bedeutung der verfolgten Zielsetzung und der Schwere der Einschränkung der Ausübung der betreffenden Grundrechte (vgl. in diesem Sinne Urteil vom 22. November 2022, Luxembourg Business Registers, C‑37/20 und C‑601/20, EU:C:2022:912, Rn. 66).
63 Im vorliegenden Fall umfasst, wie in Rn. 35 des vorliegenden Urteils ausgeführt, die Speicherung der personenbezogenen Daten im fraglichen Polizeiregister biometrische und genetische Daten. Es ist also hervorzuheben, dass in Anbetracht der erheblichen Risiken, die die Verarbeitung solcher sensiblen Daten für die Rechte und Freiheiten der betroffenen Personen insbesondere im Zusammenhang mit den Aufgaben der zuständigen Behörden für die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke darstellt, die besondere Bedeutung der verfolgten Zielsetzung anhand aller relevanten Gesichtspunkte zu beurteilen ist. Hierzu gehören insbesondere der Umstand, ob die Verarbeitung einer konkreten Zielsetzung dient, die mit der Verhütung von Straftaten oder Bedrohungen der öffentlichen Sicherheit von einem gewissen Schweregrad, der Verfolgung solcher Straftaten oder dem Schutz vor solchen Bedrohungen zusammenhängt, sowie die besonderen Umstände, unter denen diese Verarbeitung erfolgt (Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 127).
64 In diesem Zusammenhang hat der Gerichtshof festgestellt, dass nationale Rechtsvorschriften, die die systematische Erhebung biometrischer und genetischer Daten aller Personen vorsehen, die einer vorsätzlichen Offizialstraftat beschuldigt werden, grundsätzlich gegen die Anforderung der unbedingten Erforderlichkeit verstößt, die in Art. 10 der Richtlinie 2016/680 festgelegt ist und auf die in Rn. 48 des vorliegenden Urteils hingewiesen wurde. Solche Rechtsvorschriften können nämlich unterschiedslos und allgemein zur Erhebung biometrischer und genetischer Daten der meisten beschuldigten Personen führen (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, ECLI:EU:C:2023:49, Rn. 128 und 129).
65 Der Europäische Gerichtshof für Menschenrechte hat wiederum entschieden, dass die allgemeine und unterschiedslose Befugnis zur Speicherung von Fingerabdrücken, biologischen Proben und DNA-Profilen der Personen, die im Verdacht stehen, Straftaten begangen zu haben, aber nicht verurteilt wurden – wie in der nationalen Regelung vorgesehen, um die es in der Rechtssache vor dem Gerichtshof für Menschenrechte ging –, keinen gerechten Ausgleich zwischen den betroffenen widerstreitenden öffentlichen und privaten Interessen zum Ausdruck bringt und dass die Speicherung dieser Daten daher als unverhältnismäßiger Eingriff in das Recht der Beschwerdeführer auf Achtung ihres Privatlebens anzusehen ist und nicht als in einer demokratischen Gesellschaft notwendig angesehen werden kann, weshalb ein solcher Eingriff einen Verstoß gegen Art. 8 der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten darstellt (EGMR, 4. Dezember 2008, S und Marper/Vereinigtes Königreich, CE:ECHR:2008:1204JUD003056204, §§ 125 und 126).
66 Zwar kann die Speicherung der biometrischen und genetischen Daten von bereits rechtskräftig verurteilten Personen einschließlich bis zum Tod dieser Personen unbedingt erforderlich im Sinne von Art. 10 der Richtlinie 2016/680 sein, insbesondere um ihre etwaige Verwicklung in andere Straftaten prüfen und somit die Täter, die diese Straftaten begangen haben, verfolgen und verurteilen zu können. Es ist nämlich zu berücksichtigen, welche Bedeutung diesen Daten für strafrechtliche Ermittlungen zukommt, und zwar auch viele Jahre nach der Tat, insbesondere wenn es sich bei diesen Straftaten um schwere Straftaten handelt (vgl. in diesem Sinne EGMR, 13. Februar 2020, Gaughran/Vereinigtes Königreich, CE:ECHR:2020:0213JUD004524515, § 93).
67 Davon, dass die Speicherung biometrischer und genetischer Daten der Anforderung genügt, wonach sie im Sinne von Art. 10 der Richtlinie 2016/680 nur dann zu erlauben ist, „wenn sie unbedingt erforderlich“ ist, kann jedoch lediglich dann ausgegangen werden, wenn sie Art und Schwere der Straftat, die zur rechtskräftigen strafrechtlichen Verurteilung geführt hat, oder andere Umstände wie etwa den besonderen Kontext, in dem diese Straftat begangen wurde, ihren etwaigen Zusammenhang mit anderen laufenden Verfahren oder aber den früheren Lebenswandel oder das Profil der verurteilten Person berücksichtigt. Falls nationale Rechtsvorschriften wie die im Ausgangsverfahren in Rede stehenden vorsehen, dass die im Polizeiregister eingetragenen biometrischen und genetischen Daten der betreffenden Personen im Fall ihrer rechtskräftigen strafrechtlichen Verurteilung bis zum Zeitpunkt des Todes dieser Personen gespeichert werden, greift daher der Anwendungsbereich dieser Speicherung, wie oben in den Rn. 59 und 60 festgestellt, im Hinblick auf die Zwecke, für die diese Daten verarbeitet werden, übermäßig weit.
68 Was sechstens zum einen die den Mitgliedstaaten auferlegte und in Art. 5 der Richtlinie 2016/680 genannte Verpflichtung betrifft, angemessene Fristen vorzusehen, so ist festzustellen, dass aus den in den Rn. 59, 60 und 67 des vorliegenden Urteils dargelegten Gründen und in Anbetracht der Anforderungen von Art. 4 Abs. 1 Buchst. c und e sowie von Art. 10 dieser Richtlinie eine Frist nur dann als „angemessen“ im Sinne von Art. 5 – insbesondere in Bezug auf die Speicherung der biometrischen und genetischen Daten jeder wegen einer vorsätzlichen Offizialstraftat rechtskräftig verurteilten Person – angesehen werden kann, wenn sie relevante Umstände wie die in Rn. 67 des vorliegenden Urteils genannten berücksichtigt, die eine solche Speicherungsdauer erforderlich machen können.
69 Folglich kann, auch wenn die Bezugnahme auf den Eintritt des Todes der betreffenden Person in den nationalen Rechtsvorschriften eine „Frist“ für die Löschung der gespeicherten Daten im Sinne von Art. 5 darstellen kann, eine solche Frist nur unter besonderen Umständen, die sie gebührend rechtfertigen, als „angemessen“ angesehen werden. Dies ist jedoch offensichtlich nicht der Fall, wenn sie allgemein und unterschiedslos auf jede rechtskräftig verurteilte Person anwendbar ist.
70 Zwar überlässt es Art. 5 der Richtlinie 2016/680, wie in Rn. 45 des vorliegenden Urteils ausgeführt, den Mitgliedstaaten, zu entscheiden, ob Fristen für die Löschung dieser Daten oder die regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung vorzusehen sind. Aus derselben Randnummer geht jedoch auch hervor, dass es für die „Angemessenheit“ der Fristen für eine solche regelmäßige Überprüfung erforderlich ist, dass sie es gemäß Art. 4 Abs. 1 Buchst. c und e dieser Richtlinie im Licht von Art. 52 Abs. 1 der Charta ermöglichen, letztlich die in Rede stehenden Daten zu löschen, wenn ihre Speicherung nicht mehr notwendig ist. Aus den in der vorstehenden Randnummer des vorliegenden Urteils genannten Gründen wird einem solchen Erfordernis nicht entsprochen, wenn wie im vorliegenden Fall die einzige Konstellation, für die die nationalen Rechtsvorschriften eine solche Löschung hinsichtlich einer wegen einer vorsätzlichen Offizialstraftat rechtskräftig verurteilten Person vorsehen, der Eintritt ihres Todes ist.
71 Was zum anderen die in Art. 16 Abs. 2 und 3 dieser Richtlinie vorgesehenen Garantien in Bezug auf die Voraussetzungen für das Recht auf Löschung und das Recht auf Beschränkung der Verarbeitung betrifft, so ergibt sich aus den Rn. 50 und 51 des vorliegenden Urteils, dass diese Bestimmungen auch nationalen Rechtsvorschriften entgegenstehen, die es einer wegen einer vorsätzlich begangenen Offizialstraftat rechtskräftig verurteilten Person nicht ermöglichen, diese Rechte auszuüben.
72 Nach alledem ist auf die Vorlagefrage zu antworten, dass Art. 4 Abs. 1 Buchst. c und e der Richtlinie 2016/680 in Verbindung mit ihren Art. 5 und 10, ihrem Art. 13 Abs. 2 Buchst. b und ihrem Art. 16 Abs. 2 und 3 sowie im Licht der Art. 7 und 8 der Charta dahin auszulegen ist, dass er nationalen Rechtsvorschriften entgegensteht, die vorsehen, dass die Polizeibehörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung personenbezogene und insbesondere biometrische und genetische Daten, die wegen einer vorsätzlichen Offizialstraftat rechtskräftig verurteilte Personen betreffen, speichern, und zwar bis zum Tod der betroffenen Person und auch im Fall ihrer Rehabilitierung, ohne den Verantwortlichen zu verpflichten, regelmäßig zu überprüfen, ob diese Speicherung noch notwendig ist, und ohne dieser Person das Recht auf Löschung dieser Daten, sobald deren Speicherung für die Zwecke, für die sie verarbeitet worden sind, nicht mehr erforderlich ist, oder gegebenenfalls das Recht auf Beschränkung der Verarbeitung dieser Daten zuzuerkennen.
Kosten
73 Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt:
Art. 4 Abs. 1 Buchst. c und e der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates in Verbindung mit ihren Art. 5 und 10, ihrem Art. 13 Abs. 2 Buchst. b und ihrem Art. 16 Abs. 2 und 3 sowie im Licht der Art. 7 und 8 der Charta der Grundrechte der Europäischen Union
ist dahin auszulegen, dass
er nationalen Rechtsvorschriften entgegensteht, die vorsehen, dass die Polizeibehörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung personenbezogene und insbesondere biometrische und genetische Daten, die wegen einer vorsätzlichen Offizialstraftat rechtskräftig verurteilte Personen betreffen, speichern, und zwar bis zum Tod der betroffenen Person und auch im Fall ihrer Rehabilitierung, ohne den Verantwortlichen zu verpflichten, regelmäßig zu überprüfen, ob diese Speicherung noch notwendig ist, und ohne dieser Person das Recht auf Löschung dieser Daten, sobald deren Speicherung für die Zwecke, für die sie verarbeitet worden sind, nicht mehr erforderlich ist, oder gegebenenfalls das Recht auf Beschränkung der Verarbeitung dieser Daten zuzuerkennen.
Unterschriften