Europäischer Gerichtshof Schlussanträge des Generalanwalts vom 15.06.2023 – C-118/22

SCHLUSSANTRÄGE DES GENERALANWALTS PRIIT PIKAMÄE vom 15. Juni 2023 ( Rechtssache C‑118/22 NG, Verwaltungsverfahren gegen Direktor na Glavna direktsia „Natsionalna politsia“ pri MVR – Sofia, Beteiligte: Varhovna administrativna prokuratura (Vorabentscheidungsersuchen des Varhoven administrativen sad [Oberstes Verwaltungsgericht, Bulgarien]) „Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie (EU) 2016/680 – Art. 4, 5, 8, 10 und 16 – Speicherung der Daten einer wegen einer vorsätzlichen Straftat verurteilten natürlichen Person bis zu deren Tod – Natürliche Person, die rechtskräftig verurteilt und später rehabilitiert worden ist – Ablehnung des Löschungsantrags – Notwendigkeit und Verhältnismäßigkeit des Eingriffs in die in den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union verankerten Grundrechte“

1 Müssen wir uns Sorgen darüber machen, dass durch die Speicherung personenbezogener Daten in Polizeidateien eine registrierte Person – gegebenenfalls ihr ganzes Leben lang – in einem Status als dauerhaft gefährlicher sozialer Abweichler gehalten wird? Oder sollten wir uns angesichts der Lösung unaufgeklärter Altfälle, heutzutage besser bekannt unter der Bezeichnung „Cold Cases“, durch die Ermittler, die bei den Familien der Opfer eine große Erleichterung bewirkt, nicht vielmehr über diese polizeiliche Speicherung freuen?

2 Die vorliegende Rechtssache fügt sich gerade in diese antagonistische Fragestellung ein, die auf die Tatsache verweist, dass das öffentliche Interesse im Zusammenhang mit der Kriminalitätsbekämpfung mit dem Interesse des Einzelnen am Schutz seiner personenbezogenen Daten und an der Achtung seines Privatlebens in Einklang gebracht werden muss. Sie gibt dem Gerichtshof Gelegenheit, sich zu der Frage zu äußern, welche zeitliche Dimension die Verarbeitung dieser Daten zu Strafverfolgungszwecken im Hinblick auf die einschlägigen Bestimmungen der Richtlinie (EU) 2016/680 ( I. Rechtlicher Rahmen A. Unionsrecht

3 Im Rahmen der vorliegenden Rechtssache sind die Art. 4, 5, 8, 10 und 16 der Richtlinie 2016/680 sowie Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) relevant. B. Bulgarisches Recht

4 Art. 26 Abs. 1 und 2 des Zakon za Ministerstvo na vatreshnite raboti (Gesetz über das Ministerium für Innere Angelegenheiten, im Folgenden: ZMVR) bestimmt: „(1) Bei der Verarbeitung personenbezogener Daten im Zusammenhang mit Maßnahmen zum Schutz der nationalen Sicherheit, zur Kriminalitätsbekämpfung, zur Aufrechterhaltung der öffentlichen Ordnung und zur Durchführung von Strafverfahren können die Behörden des Ministeriums für Innere Angelegenheiten … 3. alle erforderlichen Kategorien personenbezogener Daten verarbeiten; … (2) Die Fristen für die Speicherung der in Abs. 1 genannten Daten bzw. für die periodische Überprüfung der Notwendigkeit ihrer Speicherung werden durch den Minister für Innere Angelegenheiten festgelegt. Diese Daten werden darüber hinaus aufgrund einer gerichtlichen Handlung oder einer Entscheidung der Kommission für den Schutz personenbezogener Daten gelöscht.“

5 In Art. 27 ZMVR heißt es: „Daten aus einer auf der Grundlage von Art. 68 vorgenommenen polizeilichen Registrierung von Personen werden nur zum Schutz der nationalen Sicherheit, zur Kriminalitätsbekämpfung und zur Aufrechterhaltung der öffentlichen Ordnung verwendet.“

6 Art. 68 ZMVR sieht Folgendes vor: „(1) Die Polizeibehörden nehmen eine polizeiliche Registrierung von Personen vor, die wegen einer vorsätzlichen Offizialstraftat verfolgt werden. Die Untersuchungsbehörden sind verpflichtet, die für die Registrierung durch die Polizeibehörden erforderlichen Maßnahmen zu treffen. (2) Die polizeiliche Registrierung ist eine Art der Verarbeitung personenbezogener Daten der in Abs. 1 genannten Personen, die im Rahmen dieses Gesetzes erfolgt. (3) Für die Zwecke der polizeilichen Registrierung nehmen die Polizeibehörden Folgendes vor: 1. Erhebung personenbezogener Daten gemäß Art. 18 des Gesetzes über die bulgarischen Identitätsdokumente; 2. Abnahme von Fingerabdrücken und Aufnahme von Lichtbildern; 3. Entnahme von Proben zur Erstellung eines DNA-Profils. … (6) Die polizeiliche Registrierung wird auf der Grundlage einer schriftlichen Anordnung des für die Verarbeitung personenbezogener Daten Verantwortlichen oder der von diesem ermächtigten Beamten von Amts wegen oder auf einen begründeten schriftlichen Antrag der registrierten Person aufgehoben, wenn 1. die Registrierung unter Verstoß gegen das Gesetz erfolgt ist; 2. das Strafverfahren eingestellt wird, außer in den Fällen nach Art. 24 Abs. 3 des Nakazatelno-protsesualen kodeks [(Strafprozessordnung)]; 3. das Strafverfahren zu einem Freispruch geführt hat; 4. die Person von ihrer strafrechtlichen Verantwortlichkeit befreit und eine verwaltungsrechtliche Sanktion gegen sie verhängt worden ist; 5. die Person verstorben ist, wobei in diesem Fall der Antrag von ihren Rechtsnachfolgern gestellt werden kann. (7) Die Einzelheiten der polizeilichen Registrierung und der Aufhebung dieser Registrierung werden durch eine Verordnung des Ministerrates festgelegt.“ II. Sachverhalt, Ausgangsverfahren und Vorlagefrage

7 NG war von einer polizeilichen Registrierung im Rahmen eines Ermittlungsverfahrens wegen des Verdachts der Falschaussage – einer Straftat gemäß Art. 290 Abs. 1 des Nakazatelen kodeks (Strafgesetzbuch) – betroffen. Infolge dieses Verfahrens wurde am 2. Juli 2015 Anklage gegen ihn erhoben, und mit Urteil vom 28. Juni 2016, bestätigt im Rechtsmittelverfahren durch Urteil vom 2. Dezember 2016, wurde er für schuldig befunden und zu einer Bewährungsstrafe von einem Jahr verurteilt. Am 14. März 2018 war die Strafe verbüßt.

8 Am 15. Juli 2020 beantragte NG bei der zuständigen Gebietsverwaltung des Ministerstvo na vatreshnite raboti (Ministerium für Innere Angelegenheiten, Bulgarien) die Aufhebung dieser Registrierung und legte dabei einen Auszug aus seinem Führungszeugnis vor, in dem bescheinigt wurde, dass er nicht vorbestraft war.

9 Mit Verfügung vom 2. September 2020 lehnte die zuständige Verwaltungsbehörde diesen Antrag ab und begründete das damit, dass eine rechtskräftig gewordene Verurteilung nicht zu den in Art. 68 Abs. 6 ZMVR erschöpfend aufgezählten Gründen für eine Aufhebung der polizeilichen Registrierung gehöre, und zwar auch nicht im Fall einer Rehabilitierung im Sinne von Art. 85 des Strafgesetzbuchs. Am 8. Oktober 2020 erhob NG beim Administrativen sad Sofia grad (Verwaltungsgericht Sofia-Stadt, Bulgarien) Klage gegen diese Verfügung. Mit Entscheidung vom 2. Februar 2021 wies dieses Gericht die Klage ab.

10 NG legte beim Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien) Rechtsmittel gegen die Entscheidung des Administrativen sad Sofia grad ein. Der Hauptrechtsmittelgrund wird aus einem Verstoß gegen einen Grundsatz hergeleitet, der sich aus den Art. 5, 13 und 14 der Richtlinie 2016/680 ergeben soll und wonach die Verarbeitung personenbezogener Daten durch Speicherung nicht unbegrenzt sein dürfe. Ohne einen Grund für die Aufhebung der polizeilichen Registrierung könne eine verurteilte Person nach ihrer Rehabilitierung nicht die Löschung ihrer Daten beantragen, die im Zusammenhang mit der Straftat erhoben worden seien, für die sie ihre Strafe verbüßt habe, so dass die Speicherdauer dieser Daten unbegrenzt sei.

11 Da das vorlegende Gericht bezweifelt, dass die nationale Regelung für die fragliche Polizeidatei mit dem Unionsrecht im Einklang steht, hat es beschlossen, das Ausgangsverfahren auszusetzen und dem Gerichtshof folgende Frage zur Vorabentscheidung vorzulegen: Lässt die Auslegung von Art. 5 in Verbindung mit Art. 13 Abs. 2 Buchst. b und Abs. 3 der Richtlinie 2016/680 nationale Gesetzgebungsmaßnahmen zu, die zu einem praktisch unbeschränkten Recht auf Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung und/oder zur Abschaffung des Rechts der betroffenen Person auf Einschränkung der Verarbeitung, Löschen oder Vernichtung ihrer Daten führen? III. Verfahren vor dem Gerichtshof

12 Die bulgarische, die tschechische, die irische, die spanische und die polnische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen vorgelegt. In der Sitzung vom 7. Februar 2023 haben der Kläger des Ausgangsverfahrens, die bulgarische, die irische, die spanische, die niederländische und die polnische Regierung sowie die Kommission darüber hinaus mündlich verhandelt. IV. Würdigung A. Anwendbarkeit der Richtlinie 2016/680

13 Wie aus dem Vorabentscheidungsersuchen hervorgeht, sieht das vorlegende Gericht es offensichtlich als gegeben an, dass die streitige nationale Regelung in den sachlichen Anwendungsbereich der Richtlinie 2016/680 fällt; diese Position scheint mir einige Anmerkungen zu rechtfertigen.

14 Nach dem Wortlaut von Art. 1 Abs. 1 in Verbindung mit Art. 2 Abs. 1 der Richtlinie 2016/680 gilt diese für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. Art. 2 Abs. 3 Buchst. a der Richtlinie 2016/680 schließt die Verarbeitung personenbezogener Daten „im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“, von seinem Anwendungsbereich aus. In den Erwägungsgründen 12 und 14 der Richtlinie wird der Inhalt dieser Unanwendbarkeitsausnahme präzisiert, indem darauf hingewiesen wird, dass sie u. a. die nationale Sicherheit betreffende Tätigkeiten erfasst – im Unterschied zu solchen, die sich auf die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe beziehen, die der Polizei oder anderen Strafverfolgungsbehörden übertragen wurde, soweit dies zum Zweck des Schutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen für durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer Straftat führen können, erforderlich ist.

15 Bei der Auslegung von Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 (

16 Im vorliegenden Fall werden die Daten von der Polizei gemäß Art. 68 ZMVR im Einklang mit Art. 27 dieses Gesetzes für die Zwecke des Schutzes der nationalen Sicherheit, der Kriminalitätsbekämpfung und der Aufrechterhaltung der öffentlichen Ordnung erfasst und gespeichert. Dies zeigt, dass die fragliche Polizeidatei eine einzige und hybride Datenbank darstellt, da sie Informationen zusammenführt, die zu unterschiedlichen Zwecken, darunter dem Zweck des Schutzes der nationalen Sicherheit, der nicht in den sachlichen Anwendungsbereich der Richtlinie 2016/680 fällt, verarbeitet werden können. Daher kann die Rechtmäßigkeit der Speicherung der in einer solchen Datei enthaltenen Daten nicht anhand der Anforderungen dieser Richtlinie geprüft werden, sofern die Daten nur zu den in Art. 1 Abs. 1 der Richtlinie genannten Zwecken verwendet werden, was das vorlegende Gericht zu überprüfen hat (

17 An dieser Stelle ist hervorzuheben, dass die in der Ausgangsrechtssache in Rede stehende nationale Regelung bereits Gegenstand eines Urteils des Gerichtshofs gewesen ist, das auf eine Fragestellung eines bulgarischen Gerichts hin erging, welches die Weigerung einer der Steuerhinterziehung beschuldigten Person zu beurteilen hatte, sich der Erhebung ihrer Daten zu unterziehen. Der Gerichtshof hat sich darin u. a. zur Rechtmäßigkeit der Datenerhebung in Bezug auf die Anforderungen von Art. 10 der Richtlinie 2016/680 geäußert und entschieden, dass dieser in Verbindung mit Art. 4 Abs. 1 Buchst. a bis c sowie mit Art. 8 Abs. 1 und 2 der Richtlinie dahin auszulegen ist, dass er nationalen Rechtsvorschriften entgegensteht, die die systematische Erhebung biometrischer und genetischer Daten aller Personen, die einer vorsätzlichen Offizialstraftat beschuldigt werden, für die Zwecke ihrer Registrierung vorsehen, ohne die Verpflichtung der zuständigen Behörde vorzusehen, zum einen zu überprüfen und nachzuweisen, ob bzw. dass diese Erhebung für die Erreichung der konkret verfolgten Ziele unbedingt erforderlich ist, und zum anderen, ob bzw. dass diese Ziele nicht durch Maßnahmen erreicht werden können, die einen weniger schwerwiegenden Eingriff in die Rechte und Freiheiten der betroffenen Person darstellen (Speicherung von Informationen über strafrechtlich verurteilte natürliche Personen, die in der fraglichen Polizeidatei anhand ihres Vor- und Nachnamens identifiziert werden, welche eine Verarbeitung personenbezogener Daten durch eine zuständige staatliche Stelle, d. h. das bulgarische Ministerium für Innere Angelegenheiten, zum Zweck der Verhütung, Ermittlung und Aufdeckung von Straftaten im Sinne von Art. 3 Nrn. 1, 2 und 7 Buchst. a der Richtlinie 2016/680 darstellt, zu prüfen haben. B. Umformulierung der Vorlagefrage

18 Zunächst ist darauf hinzuweisen, dass es im Rahmen des durch Art. 267 AEUV eingeführten Verfahrens der Zusammenarbeit zwischen den nationalen Gerichten und dem Gerichtshof dessen Aufgabe ist, dem nationalen Gericht eine für die Entscheidung des bei diesem anhängigen Verfahrens sachdienliche Antwort zu geben. Hierzu hat der Gerichtshof die ihm vorgelegten Fragen gegebenenfalls umzuformulieren. Es ist nämlich Aufgabe des Gerichtshofs, alle Bestimmungen des Unionsrechts auszulegen, die die nationalen Gerichte benötigen, um die bei ihnen anhängigen Rechtsstreitigkeiten zu entscheiden, auch wenn diese Bestimmungen in den dem Gerichtshof von diesen Gerichten vorgelegten Fragen nicht ausdrücklich genannt sind (

19 Der Sachverhalt der Ausgangsrechtssache bezieht sich auf einen Antrag auf Löschung der Eintragung personenbezogener Daten in der Polizeidatei, der von einer natürlichen Person gestellt wird, die, nachdem sie wegen Falschaussage verurteilt worden war, ihre Strafe verbüßt hat und am 14. März 2020, d. h. beinahe fünf Jahre nach der vorerwähnten Eintragung, rehabilitiert worden ist. Dieser Antrag ist mit Entscheidung der zuständigen Verwaltungsbehörde, im ersten Rechtszug bestätigt durch die Entscheidung des Administrativen sad Sofia grad (Verwaltungsgerichts Sofia-Stadt), die Gegenstand eines Rechtsmittels beim vorlegenden Gericht ist, das Zweifel hinsichtlich der Vereinbarkeit der nationalen Regelung mit der Richtlinie 2016/680 in Bezug auf die Frage der Speicherung der Daten in der Polizeidatei hat, abgelehnt worden. Die Ausgangsrechtssache betrifft somit offenkundig das Recht auf unverzügliche Löschung personenbezogener Daten, das gemäß Art. 16 Abs. 2 der Richtlinie 2016/680 besteht, wenn die Verarbeitung gegen die nach den Art. 4, 8 und 10 dieser Richtlinie erlassenen Vorschriften verstößt oder wenn die personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen, der der Verantwortliche unterliegt.

20 Gemäß Art. 4 Abs. 1 Buchst. c und e der Richtlinie 2016/680 müssen die Mitgliedstaaten dafür sorgen, dass personenbezogene Daten im Einklang mit dem Grundsatz der Datenminimierung bzw. dem Grundsatz der Begrenzung ihrer Aufbewahrung dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sind sowie nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht (

21 Festzustellen ist, dass die in der vorstehenden Nummer angeführten Bestimmungen in der Vorlagefrage nicht genannt werden, obwohl sie für die Antwort, die der Gerichtshof im vorliegenden Fall liefern soll, offensichtlich relevant sind. Das vorlegende Gericht ersucht um Auslegung der Art. 5 und 13 Abs. 2 Buchst. b und Abs. 3 der Richtlinie 2016/680, die nicht zu den in Art. 16 Abs. 2 dieser Richtlinie ausdrücklich erwähnten Bestimmungen gehören, deren Verletzung durch die nationale Regelung die Umsetzung des der betreffenden Person gewährten Rechts auf Löschung rechtfertigt. Dieses Recht wird jedoch auch dann zuerkannt, wenn die Daten gelöscht werden müssen, um einer gesetzlichen Verpflichtung des Verantwortlichen nachzukommen, was den in den Art. 5 und 13 Abs. 2 Buchst. b der Richtlinie berücksichtigten Fällen entsprechen könnte, nämlich der Festsetzung von Höchstfristen für die Speicherung von Daten oder regelmäßigen Überprüfungen der Notwendigkeit einer solchen Speicherung (

22 Aus der Vorlageentscheidung geht jedenfalls nicht hervor, dass sich in der Ausgangsrechtssache die Frage nach der Rechtsbelehrung von NG gestellt hätte, da der Betroffene seine Rechte offensichtlich ausüben konnte, wie der Rechtsbehelf zeigt, mit dem er die Verwaltungsbehörden und später die Justizbehörde in Bezug auf die Speicherung seiner Daten befasst hat. Die an den Gerichtshof gerichtete Frage scheint somit keine Auslegung von Art. 13 Abs. 2 Buchst. b und Abs. 3 der Richtlinie 2016/680 zu erfordern. Folglich geht es in der Ausgangsrechtssache insbesondere um Art. 16 Abs. 2 der Richtlinie 2016/680 sowie um deren Art. 4, 5, 8 und 10.

23 Im Übrigen steht die Richtlinie 2016/680, wie es in ihrem 104. Erwägungsgrund heißt, im Einklang mit den Grundrechten und Grundsätzen, die mit der Charta anerkannt wurden und im AEU‑Vertrag verankert sind, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens sowie dem Recht auf Schutz personenbezogener Daten. Nach dem 46. Erwägungsgrund dieser Richtlinie muss jede Einschränkung der Rechte der betroffenen Person mit der Charta und mit der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) in der Auslegung durch die Rechtsprechung des Gerichtshofs bzw. des Europäischen Gerichtshofs für Menschenrechte (im Folgenden: EGMR) vereinbar sein und insbesondere den Wesensgehalt dieser Rechte und Freiheiten achten. Es ist darauf hinzuweisen, dass die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, die durch die Art. 7 und 8 der Charta garantiert sind, keine uneingeschränkte Geltung beanspruchen, sondern im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden müssen. Somit können Einschränkungen vorgesehen werden, sofern sie gemäß Art. 52 Abs. 1 der Charta gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Nach diesem Grundsatz dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Sie müssen sich auf das absolut Notwendige beschränken, und die den Eingriff enthaltende Regelung muss klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen (

24 Unter diesen Umständen ist davon auszugehen, dass das vorlegende Gericht fragt, ob die Art. 4, 5, 8, 10 und 16 Abs. 2 der Richtlinie 2016/680 in der Gesamtschau und im Licht von Art. 52 Abs. 1 der Charta dahin auszulegen sind, dass sie nationalen Rechtsvorschriften entgegenstehen, die vorsehen, dass personenbezogene Daten, einschließlich biometrischer und genetischer Daten der betroffenen Person, bis zu deren Tod in einer Polizeidatei gespeichert werden, und es dieser Person nicht ermöglichen, die Löschung der Daten infolge der Rehabilitierung, in deren Genuss sie nach ihrer strafrechtlichen Verurteilung gekommen ist, zu erwirken ( C. Speicherung personenbezogener Daten zu Strafverfolgungszwecken

25 Bevor die Vereinbarkeit der die fragliche Polizeidatei betreffenden nationalen Regelung geprüft wird, erscheint es mir notwendig, die Problematik der Speicherung von Daten zu Strafverfolgungszwecken vor dem Hintergrund einiger Bestimmungen der Richtlinie 2016/680 sowie der Rechtsprechung des Gerichtshofs und des EGMR zu betrachten.

26 Als Erstes ist festzustellen, dass die Richtlinie 2016/680 zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts in der Union beitragen soll, indem sie einen soliden und kohärenten Rechtsrahmen für den Schutz personenbezogener Daten aufbaut, um die Wahrung des Grundrechts natürlicher Personen auf den Schutz ihrer personenbezogenen Daten gemäß Art. 8 Abs. 1 der Charta und Art. 16 Abs. 1 AEUV sicherzustellen, wobei dieses Recht in engem Zusammenhang mit dem in Art. 7 der Charta verankerten Recht auf Achtung des Privatlebens steht (

27 In der dem vorlegenden Gericht zu gebenden Antwort ist somit der in Art. 4 Abs. 1 Buchst. c der Richtlinie 2016/680 genannte Grundsatz der „Datenminimierung“ zu berücksichtigen, der Ausdruck des Grundsatzes der Verhältnismäßigkeit ist (

28 Auf die zeitliche Problematik der Aufbewahrung von Daten wird auch in Art. 5 der Richtlinie 2016/680 in Form eines Zusatzes und einer Präzisierung der Anforderungen ihres Art. 4 eingegangen (

29 Die Frage nach der Rechtmäßigkeit der Speicherung von Daten schließt notwendigerweise die Frage nach der Art der Daten ein, die im vorliegenden Fall u. a. Fingerabdrücke, Lichtbilder und eine DNA-Probe der Person umfassen, die verdächtigt wird, eine Straftat begangen zu haben, oder derentwegen strafrechtlich verurteilt worden ist, wobei die Verarbeitung bei dieser Art von Daten in den Anwendungsbereich von Art. 10 der Richtlinie 2016/680 fällt. Hervorzuheben ist, dass die rechtliche Regelung von Art. 10 der Richtlinie 2016/680 – im Unterschied zu der in Art. 9 DSGVO vorgesehenen Regelung – zwar kein grundsätzliches Verbot einer Verarbeitung solcher Daten enthält, dass die Verarbeitung aber nur dann erlaubt ist, „wenn sie unbedingt erforderlich ist“ und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt und wenn sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist.

30 Nach der Rechtsprechung besteht der Zweck von Art. 10 der Richtlinie 2016/680 darin, einen erhöhten Schutz gegen eine solche Verarbeitung zu gewährleisten, die aufgrund der besonderen Sensibilität der betreffenden Daten und des Kontexts, in dem sie verarbeitet werden, erhebliche Risiken für durch die Art. 7 und 8 der Charta garantierte Grundrechte und Grundfreiheiten, wie das Recht auf Achtung des Privatlebens und das Recht auf Schutz personenbezogener Daten, mit sich bringen kann, wie sich aus dem 37. Erwägungsgrund dieser Richtlinie ergibt. Wie sich bereits aus dem Wortlaut von Art. 10 der Richtlinie 2016/680 ergibt, ist die Anforderung, dass die Verarbeitung solcher Daten „nur“ dann erlaubt ist, „wenn sie unbedingt erforderlich ist“, dahin auszulegen, dass sie verschärfte Voraussetzungen für die Rechtmäßigkeit der Verarbeitung sensibler Daten festlegt, im Vergleich zu denjenigen, die sich aus Art. 4 Abs. 1 Buchst. b und c sowie aus Art. 8 Abs. 1 dieser Richtlinie ergeben, die sich lediglich auf die „Erforderlichkeit“ einer Verarbeitung von Daten beziehen, die allgemein in den Anwendungsbereich der Richtlinie fallen. So wird zum einen durch die Verwendung des Adverbs „nur“ vor dem Ausdruck „wenn sie unbedingt erforderlich ist“ betont, dass die Verarbeitung besonderer Kategorien von Daten im Sinne von Art. 10 der Richtlinie 2016/680 nur in einer begrenzten Zahl von Fällen als erforderlich angesehen werden kann. Zum anderen bedeutet der Umstand, dass die Erforderlichkeit der Verarbeitung solcher Daten „unbedingt“ sein muss, dass diese Erforderlichkeit besonders streng zu beurteilen ist (

31 Als Zweites hat sich der Gerichtshof zwar bereits mehrfach zur Frage der Rechtmäßigkeit der Speicherung von Daten zu Strafverfolgungszwecken geäußert, dies aber in normativen und tatsächlichen Kontexten getan, die sich vor allem von dem der vorliegenden Rechtssache unterscheiden. So hat der Gerichtshof entschieden (

32 Vom Kriterium im Zusammenhang mit der Achtung der Grenzen des für die Verarbeitung personenbezogener Daten strikt Erforderlichen hat der Gerichtshof darüber hinaus im Kontext der Übermittlung, Speicherung und Verwendung von Datensätzen zu Fluggästen von Drittstaatsflügen (im Folgenden: PNR-Daten), die von Fluggesellschaften im Hinblick auf die Verhütung und Aufdeckung terroristischer Straftaten und schwerer Kriminalität erstellt werden, Gebrauch gemacht (

33 Der Gerichtshof hat sich im Rahmen eines Vorabentscheidungsersuchens zur Gültigkeit und Auslegung der Richtlinie (EU) 2016/681 (

34 Im Gegensatz zu der oben in Erinnerung gerufenen Rechtsprechung ist zum einen hervorzuheben, dass die Einwilligung der betroffenen Person – entgegen den in der Richtlinie 2002/58 enthaltenen Vorgaben für die Verarbeitung von Daten (anweisen, ihren Anordnungen nachzukommen. Zum anderen geht es in der vorliegenden Rechtssache nicht um die Speicherung und die automatisierte Analyse einer im elektronischen Kommunikations- oder Luftverkehrssektor erzeugten, von privaten Anbietern gespeicherten und an die Ermittlungsstellen übermittelten „Flut von Daten“ (

35 Die Besonderheit des normativen und tatsächlichen Kontexts der vorstehend angeführten Rechtsprechung verhindert meines Erachtens jede einfache Übertragung der darin gewählten Lösungen auf die Beantwortung der vorliegenden Vorabentscheidungsfrage, insbesondere wenn es um die Unterscheidung zwischen den Zielen der Datenspeicherung (Schutz der nationalen Sicherheit, Bekämpfung schwerer Kriminalität oder von Straftaten, die nicht der schweren Kriminalität zuzurechnen sind) und den notwendigen Zusammenhang zwischen der Bedeutung dieser Ziele und der Schwere der möglicherweise gerechtfertigten Eingriffe in die Grundrechte geht (

36 Als Drittes ist zu bemerken, dass Art. 7 der Charta, der das Recht auf Achtung des Privat- und Familienlebens betrifft, Rechte enthält, die den in Art. 8 Abs. 1 EMRK gewährleisteten Rechten entsprechen, und dass der Schutz personenbezogener Daten für die Ausübung des in Art. 8 EMRK verankerten Rechts auf Achtung des Privat- und Familienlebens eine grundlegende Rolle spielt. Dementsprechend ist diesem Art. 7 gemäß Art. 52 Abs. 3 der Charta die gleiche Bedeutung und Tragweite beizumessen wie Art. 8 Abs. 1 EMRK in seiner Auslegung durch die Rechtsprechung des EGMR (

37 Der EGMR geht davon aus, dass der Schutz personenbezogener Daten bei der Ausübung des in Art. 8 EMRK verankerten Rechts auf Achtung des Privatlebens eine grundlegende Rolle spielt und dass die bloße Tatsache, dass Daten über das Privatleben einer Person gespeichert werden, einen Eingriff im Sinne von Art. 8 darstellt, unabhängig davon, ob die gespeicherten Informationen anschließend verwendet werden oder nicht. Das innerstaatliche Recht müsse u. a. sicherstellen, dass diese Daten relevant seien und nicht über die Zwecke hinausgingen, für die sie erfasst würden, sowie dass die Speicherung in einer Form erfolge, die eine Identifizierung der betroffenen Personen während eines Zeitraums ermögliche, der nicht länger als für die Zwecke der Datenerfassung erforderlich sei. Es müsse auch Garantien enthalten, die geeignet seien, die erfassten personenbezogenen Daten wirksam vor unsachgemäßem und missbräuchlichem Gebrauch zu schützen, gleichzeitig aber eine konkrete Möglichkeit böten, die Löschung der gespeicherten Daten zu beantragen. Der EGMR hat allerdings klargestellt, dass er sich dessen voll bewusst sei, dass die nationalen Behörden, um der ihnen obliegenden Pflicht zum Schutz der Bevölkerung nachzukommen, gehalten seien, Dateien zu erstellen, die wirksam zur Verfolgung und Verhütung bestimmter, insbesondere der schwersten Straftaten beitrügen. Solche Vorkehrungen könnten jedoch nicht in einer exzessiven Logik der Maximierung der darin enthaltenen Informationen und der Dauer ihrer Speicherung umgesetzt werden ( D. Eingriff in die in den Art. 7 und 8 der Charta garantierten Grundrechte

38 Wie aus Art. 68 ZMVR und den von der bulgarischen Regierung in der mündlichen Verhandlung vorgelegten Erklärungen hervorgeht, umfassen die Daten, auf die sich die nationale Regelung bezieht, u. a. den Familienstand der betroffenen Person, die Straftatbestände, derer diese Person verdächtigt wird oder derentwegen sie strafrechtlich verurteilt worden ist, ihre Fingerabdrücke, Lichtbilder und DNA-Proben zur Erstellung eines Profils. Da diese Daten also Informationen über bestimmte natürliche Personen enthalten, berühren die verschiedenen Verarbeitungen, die mit ihnen vorgenommen werden können, das Grundrecht auf Achtung des Privatlebens, das in Art. 7 der Charta garantiert ist. Die Verarbeitungen der PNR-Daten fallen zudem unter Art. 8 der Charta, weil sie Verarbeitungen personenbezogener Daten im Sinne dieses Artikels darstellen und deshalb zwangsläufig die dort vorgesehenen Erfordernisse des Datenschutzes erfüllen müssen (

39 Nach dem Beispiel des EGMR, dem zufolge die bloße Tatsache, dass Daten über das Privatleben einer Person gespeichert werden, einen Eingriff im Sinne von Art. 8 EMRK darstellt (

40 Die Schwere des mit der Speicherung verbundenen Eingriffs ist in Anbetracht der Art bestimmter Daten – vor allem bei den in der Polizeidatei enthaltenen biometrischen und genetischen Daten – erwiesen, da der Gerichtshof die Risiken, die die Verarbeitung sensibler Daten für die Rechte und Freiheiten der betroffenen Personen insbesondere im Zusammenhang mit den Aufgaben der zuständigen Behörden für die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke darstellt, als erheblich eingestuft hat (

41 Die Dauer der Datenspeicherung in der Polizeidatei trägt auch zur Feststellung der Schwere des Eingriffs bei, in dem Sinne, dass eine solche Speicherung während des gesamten Lebens der strafrechtlich verurteilten Person möglich ist. Schließlich ergibt sich aus Art. 26 Abs. 6 ZMVR, dass die personenbezogenen Daten an zuständige Behörden und Empfangsstellen der Mitgliedstaaten der Europäischen Union, der Organe und Agenturen der Europäischen Union, von Drittländern oder von internationalen Organisationen übermittelt werden können. Insoweit ist darauf hinzuweisen, dass die Richtlinie 2016/680 für den Zweck der wirksamen justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit darauf abzielt, den freien Verkehr personenbezogener Daten zwischen den zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit innerhalb der Union und der Übermittlung solcher personenbezogener Daten an Drittländer und internationale Organisationen, zu erleichtern (

42 Nach alledem ist festzustellen, dass die im Ausgangsverfahren in Rede stehende nationale Regelung mit Eingriffen in die in den Art. 7 und 8 der Charta garantierten Rechte, die eine gewisse Schwere erreichen, verbunden ist, da mit ihr u. a. ein Instrument zur kontinuierlichen Speicherung sensibler Daten strafrechtlich verurteilter Personen, die die Grenzen des betreffenden Staates überschreiten könnten, eingeführt werden soll. E. Rechtfertigung des Eingriffs

43 Wie dargelegt worden ist, können die in den Art. 7 und 8 der Charta verankerten Grundrechte keine uneingeschränkte Geltung beanspruchen, und nach Art. 52 Abs. 1 der Charta sind Einschränkungen der Ausübung dieser Rechte zulässig, sofern sie gesetzlich vorgesehen sind und den Wesensgehalt dieser Rechte achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit müssen sie erforderlich sein und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen (

44 In Bezug auf die Beachtung des Grundsatzes der Verhältnismäßigkeit ist darauf hinzuweisen, dass der Schutz des Grundrechts auf Achtung des Privatlebens nach ständiger Rechtsprechung des Gerichtshofs verlangt, dass sich die Ausnahmen vom Schutz personenbezogener Daten und dessen Einschränkungen auf das absolut Notwendige beschränken, wobei, wenn mehrere geeignete Maßnahmen zur Erreichung der verfolgten legitimen Ziele zur Verfügung stehen, die am wenigsten belastende zu wählen ist. Außerdem darf eine dem Gemeinwohl dienende Zielsetzung nicht verfolgt werden, ohne dem Umstand Rechnung zu tragen, dass sie mit den von der Maßnahme betroffenen Grundrechten in Einklang gebracht werden muss, indem eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung und der fraglichen Rechte vorgenommen wird, um sicherzustellen, dass die durch diese Maßnahme verursachten Unannehmlichkeiten nicht außer Verhältnis zu den verfolgten Zielsetzungen stehen. Daher ist die Möglichkeit, eine Einschränkung der durch die Art. 7 und 8 der Charta garantierten Grundrechte zu rechtfertigen, zu beurteilen, indem die Schwere des mit einer solchen Einschränkung verbundenen Eingriffs bestimmt und geprüft wird, ob die mit ihr verfolgte dem Gemeinwohl dienende Zielsetzung in angemessenem Verhältnis zur Schwere des Eingriffs steht ( 1. Beachtung des Grundsatzes der Gesetzmäßigkeit

45 Das Erfordernis, dass jede Einschränkung der Ausübung von Grundrechten gesetzlich vorgesehen sein muss, bedeutet, dass die gesetzliche Grundlage für den Eingriff in die Grundrechte den Umfang, in dem die Ausübung des betreffenden Rechts eingeschränkt wird, selbst festlegen muss. Insoweit hat der Gerichtshof außerdem entschieden, dass die Regelung, die eine Maßnahme enthält, die einen solchen Eingriff ermöglicht, klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindesterfordernisse aufstellen muss, damit die Personen, deren personenbezogene Daten übermittelt worden sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken ermöglichen. Folglich muss die Rechtsgrundlage für jede Verarbeitung personenbezogener Daten, die in den Anwendungsbereich der Richtlinie 2016/680 fällt, wie der Unionsgesetzgeber im Übrigen in deren 33. Erwägungsgrund hervorgehoben hat, klar und präzise und ihre Anwendung für die Rechtsunterworfenen vorhersehbar sein. Insbesondere müssen diese in der Lage sein, die Umstände und Voraussetzungen zu erkennen, unter denen der Umfang der Rechte, die ihnen diese Richtlinie verleiht, eingeschränkt werden kann (

46 Eine Prüfung der fraglichen nationalen Regelung, die in der Vorlageentscheidung vorgenommen und durch die Erklärungen der bulgarischen Regierung ergänzt wird, lässt meines Erachtens die Annahme zu, dass das Erfordernis der „Qualität“ des Gesetzes erfüllt ist, wobei dieses Erfordernis nicht ausschließt, dass die fragliche Einschränkung hinreichend offen formuliert ist, um Anpassungen an verschiedene Fallgruppen und an Änderungen der Lage zu erlauben (

47 So dienen die Registrierung und die Speicherung von Daten in der Polizeidatei nach Art. 27 ZMVR den erschöpfend aufgeführten Zwecken des Schutzes der nationalen Sicherheit, der Kriminalitätsbekämpfung und der Aufrechterhaltung der öffentlichen Ordnung, da diese Verarbeitung die in Art. 8 ZMVR näher beschriebene operative Untersuchungstätigkeit erleichtern soll ( 2. Achtung des Wesensgehalts der in den Art. 7 und 8 der Charta garantierten Grundrechte

48 Was den Wesensgehalt des in Art. 7 der Charta verankerten Grundrechts auf Achtung des Privatlebens angeht, so ist die Art der in der Polizeidatei enthaltenen Informationen auf einen spezifischen Aspekt dieses Privatlebens beschränkt, der sich auf die strafrechtliche Vergangenheit der betroffenen Person bezieht, was es nicht ermöglicht, allgemeine Schlüsse auf deren Privatleben zu ziehen, etwa auf ihre Gewohnheiten des täglichen Lebens, ihre ständigen oder vorübergehenden Aufenthaltsorte, ihre täglichen oder in anderem Rhythmus erfolgenden Ortsveränderungen, ausgeübte Tätigkeiten, ihre sozialen Beziehungen und das soziale Umfeld, in dem sie verkehrt, und damit ein Personenprofil zu erstellen. Was wiederum den Wesensgehalt des in Art. 8 der Charta verankerten Rechts auf den Schutz personenbezogener Daten betrifft, so zeigen die vorstehenden Ausführungen, dass die fragliche nationale Regelung die Zwecke der Datenverarbeitung eingrenzt sowie eine erschöpfende Aufzählung der gespeicherten Daten und der Vorschriften vorsieht, mit denen der Zugang zu den Daten oder deren Berichtigung bzw. Löschung sichergestellt werden soll. Unter diesen Umständen berührt der Eingriff, den die in dieser Regelung vorgesehene Vorratsdatenspeicherung mit sich bringt, nicht den Wesensgehalt der in den vorerwähnten Artikeln verankerten Grundrechte ( 3. Dem Gemeinwohl dienende Zielsetzung und Eignung der fraglichen Datenverarbeitung im Hinblick auf diese Zielsetzung

49 Wie in den vorliegenden Schlussanträgen festgestellt worden ist, werden die Daten aus der polizeilichen Registrierung von Personen gemäß Art. 68 ZMVR zu Zwecken des Schutzes der nationalen Sicherheit, der Kriminalitätsbekämpfung und der Aufrechterhaltung der öffentlichen Ordnung verwendet. Die bulgarische Regierung hat darauf hingewiesen, dass die Daten für die Zwecke des Strafverfahrens, in dessen Rahmen die betroffene Person beschuldigt worden ist, sowie zum Abgleich mit anderen Daten, die bei Ermittlungen zu anderen Straftaten erhoben worden sind, gesammelt und verarbeitet würden. Der letztgenannte Zweck betreffe auch den Abgleich mit Daten, die in anderen Mitgliedstaaten erhoben worden seien (

50 Nach Auffassung der bulgarischen Regierung fällt diese Verarbeitung unter die in Art. 8 ZMVR beschriebene operative Ermittlungstätigkeit, deren Zwecke wie folgt definiert sind: Verhütung und Aufdeckung von Straftaten, Bedrohungen der nationalen Sicherheit und Verstößen gegen die öffentliche Ordnung; Suche nach Personen, die sich ihrer strafrechtlichen Verantwortlichkeit entziehen oder sich der Vollstreckung einer Strafe in Strafsachen entzogen haben, die in die Zuständigkeit der Staatsanwaltschaft fallen, sowie Suche nach vermissten Personen; Suche nach Gegenständen, die Gegenstand oder Tatmittel einer Straftat sind oder als Beweismittel verwendet werden können; Vorbereitung und Sicherung von Sachbeweisen und deren Vorlage bei den zuständigen Justizbehörden.

51 Der Gerichtshof hat klargestellt, dass das Ziel des Schutzes der öffentlichen Sicherheit eine dem Gemeinwohl dienende Zielsetzung der Union darstellt, die auch schwere Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte rechtfertigen kann. Darüber hinaus trägt ein solcher Schutz auch zum Schutz der Rechte und Freiheiten anderer bei. Insoweit ist festzustellen, dass nach Art. 6 der Charta jeder Mensch das Recht nicht nur auf Freiheit, sondern auch auf Sicherheit hat, da diese Vorschrift Rechte garantiert, die den durch Art. 5 EMRK garantierten Rechten entsprechen (

52 Dass es sich bei der Vorratsspeicherung der Daten in der Polizeidatei um einen Verarbeitungsvorgang handelt, der es ermöglicht, die dem Gemeinwohl dienenden Zielsetzungen der Ermittlung und damit der Verhütung von Straftaten zu erreichen, lässt sich meines Erachtens nur schwer bestreiten. Es liegt auf der Hand, dass eine Polizeidatei, die die zivilen Identitäten, die Lichtbilder sowie die biometrischen und genetischen Daten – und damit die einzigartigen und fälschungssicheren physischen Merkmale einer Person – der erfassten Individuen enthält, für die Sicherheitsdienste ein durchaus relevantes Ermittlungsinstrument bei der Aufklärung von Straftaten und der Identifizierung der Täter darstellt. In diesem Sinne genügt die fragliche nationale Regelung objektiven Kriterien, die einen Zusammenhang zwischen den zu speichernden Daten und dem verfolgten Ziel herstellen ( 4. Erforderlichkeit und Verhältnismäßigkeit des fraglichen Eingriffs

53 Auch wenn die Vorratsspeicherung der Daten in der fraglichen Polizeidatei offensichtlich geeignet ist, die verfolgte dem Gemeinwohl dienende Zielsetzung zu erreichen, bleibt zu prüfen, ob der sich aus einer solchen Speicherung ergebende Eingriff in die in den Art. 7 und 8 der Charta garantierten Rechte in dem Sinne auf das absolut Notwendige beschränkt ist, dass diese Zielsetzung vernünftigerweise nicht ebenso wirksam mit anderen Mitteln erreicht werden kann, die diese Grundrechte der betroffenen Personen weniger beeinträchtigen, und ob er nicht außer Verhältnis zu dieser Zielsetzung steht, was insbesondere eine Gewichtung der Bedeutung dieser Zielsetzung und der Schwere dieses Eingriffs impliziert (

54 Bei der Ausübung dieser Kontrolle müssen im vorliegenden Fall der Zweck der Polizeidatei, die Art der betreffenden Straftaten und die Anzahl der Personen, die in ihr registriert werden können, die besondere Sensibilität der erhobenen personenbezogenen Daten und die Dauer ihrer Speicherung, die in der nationalen Regelung vorgesehenen rechtlichen und/oder technischen Garantien für die Einsichtnahme in die Datei sowie die Überprüfung der fortdauernden Datenspeicherung in ihr berücksichtigt werden. a) Zweck der Datei

55 In ihren schriftlichen Erklärungen hat die irische Regierung im Wesentlichen geltend gemacht, die Vorratsdatenspeicherung könne für damit zusammenhängende Kontrollzwecke erforderlich sein, da sie dem öffentlichen Interesse an der Verhütung von Straftaten und an der Wahrung der öffentlichen Sicherheit diene. Daher sollten die in einer Polizeidatei enthaltenen Informationen nicht nur zur Ermittlung von Straftätern, sondern auch für verwaltungspolizeiliche Zwecke im Rahmen von Ermittlungen vor Einstellungs- oder Sicherheitsüberprüfungsentscheidungen in Bezug auf bestimmte öffentliche oder sensible Stellen eingesehen werden können; Ziel sei es, zu überprüfen, ob das Verhalten der Betroffenen mit der Ausübung dieser Funktionen nicht unvereinbar sei.

56 In der mündlichen Verhandlung hat die bulgarische Regierung bestätigt, was sich aus dem ausdrücklichen Wortlaut von Art. 27 ZMVR ableiten ließ, nämlich dass es sich bei der fraglichen Polizeidatei um ein Instrument zur Unterstützung justizieller und nicht administrativer Ermittlungen handelt. Dieser Feststellung kommt im Hinblick auf die Folgen, die sich aus der Eintragung einer Person in ein Vorstrafenregister ergeben, eine gewisse Bedeutung zu, in dem Sinne, dass die Unannehmlichkeiten der Registereintragung nicht mit der Unmöglichkeit des Zugangs zu bestimmten beruflichen Tätigkeiten einhergehen dürfen (

57 Gleichwohl handelt es sich um eine einzige Datei, die äußerst weitreichenden gerichtspolizeilichen Zwecken dient und vielfältige Informationen enthält, die von einfachen Personenstandsinformationen bis hin zu biometrischen und genetischen Daten reichen, sowie Personen erfasst, die nicht über den gleichen Verfahrensstatus verfügen. Anstelle einer einzigen Verarbeitung, die sämtliche Informationen umfasst, ist es in anderen Regelungen für besser gehalten worden, mehrere Polizeidateien vorzusehen, die bestimmte Zwecke verfolgen, eine einzige Verwendung haben und nur eine Art von Daten erfassen. b) Straftaten und betroffene Personen

58 Die Vorratsdatenspeicherung in der Polizeidatei betrifft Personen, die wegen vorsätzlicher Straftaten, die von Amts wegen verfolgt werden, in dem Sinne, dass die Anklage vom Staatsanwalt erhoben wird, beschuldigt und verurteilt worden sind. Den Angaben der bulgarischen Regierung zufolge sind von dieser Kategorie ausgeschlossen unbeabsichtigte Verstöße, Vergehen und Verbrechen privater Natur sowie bestimmte Straftaten, die mit einer Verwaltungssanktion belegt worden sind. Es ist bereits angemerkt worden, dass es sich bei der großen Mehrheit der im Strafgesetzbuch vorgesehenen Straftaten um vorsätzliche Straftaten handelt und bei fast allen um Offizialstraftaten (

59 Festzustellen ist, dass die nationale Regelung weder Straftaten erschöpfend aufführt noch eine Unterscheidung nach der Art der Straftaten vornimmt, die selbst mit der Schwere der Taten und der anwendbaren Strafe zusammenhängt, oder ein Kriterium für die Bemessung einer Freiheitsstrafe vorsieht. Die verschiedenen strafbaren Verhaltensweisen werden daher in einer einzigen und umfassenden Gruppe zusammengefasst, selbstverständlich mit einem Vorbehalt hinsichtlich der Notwendigkeit eines vorsätzlichen Verschuldens, was von vornherein dazu führt, dass Straftaten von geringer Schwere, bei denen die bloße Erfüllung des objektiven Tatbestands genügt (

60 In Bezug auf die betroffenen Personen ist zu beachten, dass die beanstandete Datenverarbeitung mit Blick auf deren Alter beschränkt ist, da sich aus Art. 4 NRISPR ergibt, dass Minderjährige keiner Registrierung in der Polizeidatei unterliegen, wodurch sich die Anzahl der in dieser Datei registrierten Personen entsprechend verringert. Die fragliche Maßnahme unterscheidet zwischen zwei Gruppen von Personen, nämlich Beschuldigten und Verurteilten. Diese Personen sind zuvor im Rahmen der einschlägigen nationalen Verfahren und auf der Grundlage objektiver und nicht diskriminierender Kriterien als Bedrohung für die öffentliche Sicherheit oder die Aufrechterhaltung der öffentlichen Ordnung eingestuft worden. Die Mitgliedstaaten haben die Möglichkeit, Maßnahmen zur Speicherung zu ergreifen, die Personen betreffen, gegen die aufgrund einer solchen Einstufung ermittelt wird, d. h. eine Gruppe von Personen, bei denen stichhaltige Gründe für die Annahme vorliegen, dass sie eine Straftat begangen haben, oder gegen die eine Verurteilung ausgesprochen wird, in der zum Ausdruck kommt, dass ihre strafrechtliche Verantwortlichkeit festgestellt worden ist, wobei beide Fälle mit einem hohen Rückfallrisiko verbunden sein können (

61 Es muss noch hervorgehoben werden, dass Beschuldigte und ihre Daten gemäß Art. 68 ZMVR aus der Polizeidatei „verschwinden“ müssen, wenn das sie betreffende Strafverfahren mit einer Einstellungsentscheidung oder einem Freispruch endet, was sich selbstverständlich auf die Zahl der in der Datei eingetragenen Personen auswirkt, zu der die bulgarische Regierung keine Angaben machen konnte ( c) Art der Daten und Speicherungsdauer

62 In Bezug auf die betroffenen Daten hat der Gerichtshof entschieden, dass sich der für die Verarbeitung Verantwortliche im Hinblick auf den erhöhten Schutz von Personen bei der Verarbeitung sensibler Daten vergewissern muss, dass dieses Ziel nicht durch die Heranziehung anderer als der in Art. 10 der Richtlinie 2016/680 aufgeführten Datenkategorien erreicht werden kann (

63 Ferner ist darauf hinzuweisen, dass die fragliche nationale Regelung keine genaue Höchstdauer für die Speicherung der in der Datei erfassten Informationen vorsieht, da die Daten nur für die Dauer des Verfahrens gespeichert werden, das für bestimmte Personen, gegen die ermittelt wird, mit einer Einstellungsentscheidung oder einem Freispruch endet, für Personen, die letztendlich verurteilt werden, aber ihr ganzes Leben lang andauert. Nach den von der bulgarischen Regierung in der mündlichen Verhandlung gemachten Angaben, deren Überprüfung Sache des vorlegenden Gerichts ist, erfolgt die Löschung von Amts wegen beim Tod des Betroffenen, wobei die Erben außerdem das Recht haben, die Löschung der Eintragung nach Art. 68 Abs. 6 ZMVR zu beantragen. Ist im Hinblick auf den Wortlaut von Art. 5 der Richtlinie 2016/680 davon auszugehen, dass diese Situation dem Fehlen angemessener Fristen für die Löschung personenbezogener Daten entspricht, in dem Sinne, dass der Begriff der Frist notwendigerweise einem Zeitraum entsprechen müsste, der in Jahren, Monaten oder Tagen ausgedrückt wird? Falls ja, müssten nach derselben Vorschrift in der nationalen Regelung alternativ Fristen für die regelmäßige Überprüfung der Notwendigkeit der Speicherung dieser Daten vorgesehen werden (

64 Angesichts der Entscheidung des bulgarischen Gesetzgebers, die Daten beschuldigter Personen ohne strafrechtliche Verurteilungen am Ende des diese Personen betreffenden Verfahrens nicht aufzubewahren, lässt dessen notwendigerweise zufällige Dauer kaum etwas anderes zu als die formale Festlegung einer Frist, um einer übermäßigen Verfahrensdauer vorzubeugen. Bei verurteilten Personen wiederum stellt die Erwähnung des Todes meiner Ansicht nach tatsächlich eine zeitliche Begrenzung dar, die mit dem biologischen Leben der betroffenen Person zusammenhängt, was eine Einstufung der Datenspeicherung als unbefristet oder unbegrenzt ausschließt (

65 Es steht jedoch außer Zweifel, dass sich die Speicherung je nach dem Alter, in dem die betroffene Person in der Datei registriert wird, und dem Zeitpunkt ihres Todes als sehr lang erweisen kann, nämlich länger, als es für die Feststellung eines Rückfalls vorgesehen ist, oder länger als die Verjährungsfrist für die öffentliche Anklage wegen der schwersten Straftat ( d) Vorhandensein rechtlicher und technischer Garantien auf dem Gebiet der Datenspeicherung und des Datenzugriffs

66 Die Verhältnismäßigkeit des Eingriffs, den die Vorratsspeicherung der in der Polizeidatei befindlichen Daten mit sich bringt, kann nicht unabhängig von den Vorschriften für den Zugang zu dieser Datei und die Überprüfung der Begründung für die fortdauernde Speicherung von Daten in ihr geprüft werden. Wenn sich ein Staat die größtmögliche Befugnis zur Speicherung auf unbestimmte Zeit einräumt, kommt es nach Auffassung des EGMR auf das Vorhandensein und Funktionieren bestimmter wirksamer Garantien an. Daher muss das innerstaatliche Recht Garantien enthalten, die gespeicherte personenbezogene Daten wirksam vor unsachgemäßer und missbräuchlicher Nutzung schützen und die Löschung dieser Daten ermöglichen, wenn ihre fortdauernde Speicherung unverhältnismäßig wird, insbesondere indem eine konkrete Möglichkeit geboten wird, einen Antrag auf Löschung der gespeicherten Daten zu stellen ( 1) Voraussetzungen für eine Einsichtnahme in die Datei

67 Aus den Erwägungsgründen 28, 56 und 57 sowie den Art. 24, 25 und 29 der Richtlinie 2016/680 geht hervor, dass die Mitgliedstaaten Maßnahmen ergreifen müssen, um sicherzustellen, dass personenbezogene Daten so verarbeitet werden, dass ein Maß an Sicherheit und Vertraulichkeit gegeben ist, wozu auch gehört, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können. Zu diesen Maßnahmen gehört die Führung von Verzeichnissen durch den Verantwortlichen, mit denen der Aufsichtsbehörde auf Anfrage bestimmte Informationen über die durchgeführte Datenverarbeitung sowie Protokolle für bestimmte Verarbeitungsvorgänge wie beispielsweise Abfrage, Übermittlungen und Löschung zur Verfügung gestellt werden können. Nach dem 60. Erwägungsgrund der Richtlinie 2016/680 muss der Verantwortliche Maßnahmen treffen, um die zuvor ermittelten mit der betreffenden Verarbeitung verbundenen Risiken einzudämmen, wobei diese Risiken u. a. mit der unbefugten Offenlegung von und dem unbefugten Zugang zu Daten zusammenhängen.

68 In der mündlichen Verhandlung hat die bulgarische Regierung erklärt, dass die nationale Regelung diesen Anforderungen entspreche, und dabei auf eine Reihe von Vorschriften verwiesen, die u. a. die Erstellung von Listen mit den Namen von Bediensteten, die Zugriff auf die Daten haben, und die Verpflichtung jedes Nutzers vorsehen, sein Zugriffsrecht nachzuweisen und seine Identität sowie das Datum und die Uhrzeit des Zugriffs anzugeben ( 2) Überprüfung der fortdauernden Speicherung von Daten in der Datei

69 Die vorerwähnte Überprüfung gemäß Art. 68 Abs. 6 ZMVR ist fraglos dualer Natur, da sie von Amts wegen durch die zuständigen Behörden in Form einer Selbstkontrolle und auf begründeten Antrag des Betroffenen oder seiner Erben erfolgt, wobei die Gründe für die Aufhebung einer Registrierung in beiden Fällen in dieser Bestimmung abschließend aufgeführt sind. Zu diesen Gründen gehört nicht die Rehabilitierung einer Person, die zur Löschung der betreffenden Verurteilung aus deren Vorstrafenregister führt; nur der in Art. 68 Abs. 6 Nr. 1 ZMVR genannte Grund, der eine Registrierung betrifft, die unter Verstoß gegen das Gesetz erfolgt ist, kann den Löschungsantrag einer strafrechtlich verurteilten Person, der – wie im vorliegenden Fall – zu deren Lebzeiten und damit vor Ablauf der auf ihren Tod festgesetzten gesetzlichen Aufbewahrungsfrist gestellt worden ist, stützen.

70 In der mündlichen Verhandlung angesichts der Anwendung von Art. 68 Abs. 6 ZMVR durch die zuständigen Behörden und Gerichte zu dessen Tragweite befragt, hat die bulgarische Regierung klargestellt, dass diese Vorschrift die Änderung eines Eintrags zu einer beschuldigten Person ermögliche, der infolge einer Neueinstufung der Straftat durch die Gerichte unrichtig geworden sei. Sie hat ausgeschlossen, dass eine Registrierung infolge einer Rehabilitierung der verurteilten Person gelöscht werden kann. Ich erinnere insoweit daran, dass es sich bei der fraglichen Datei um ein Ermittlungsinstrument zur Erleichterung der operativen gerichtspolizeilichen Tätigkeit und streng genommen nicht um eine Datei mit Vorstrafen wie das polizeiliche Führungszeugnis handelt. Diese beiden Instrumente dienen nicht demselben Zweck: Das eine ist ein Speicher, der ausschließlich den Ermittlern zur Verfügung steht, um ihnen langfristig die Aufklärung vergangener oder zukünftiger Straftaten zu ermöglichen, das andere soll der Arbeit der Richter bei der Verhängung der strafrechtlichen Sanktion in einem bestimmten Fall als Orientierungshilfe dienen. Im Interesse der Rehabilitierung, die zur Streichung der betreffenden Verurteilung aus dem Vorstrafenregister geführt hat, könnte sich die Person daher gegebenenfalls in der Lage eines Ersttäters wiederfinden, der möglicherweise in den Genuss milderer Strafen oder von Hafterleichterungen kommt. Dennoch bleibt die Speicherung ihrer Daten in der Datei im Hinblick auf deren umfassenderes Ziel der Aufdeckung, Aufklärung und Verhütung von Straftaten grundsätzlich erforderlich.

71 Aus den Erklärungen der bulgarischen Regierung geht jedoch hervor, dass der in Art. 68 Abs. 6 Nr. 1 ZMVR genannte Grund keine Beurteilung der Notwendigkeit der Datenspeicherung in ihrer zeitlichen Dimension umfasst. Offenbar gibt es in der nationalen Regelung weder eine Bestimmung noch eine Verwaltungs- oder Gerichtspraxis, die es der zuständigen Behörde erlauben, die Registrierung im Rahmen der vierteljährlichen Überprüfungen aufzuheben, oder der betroffenen Person, ihre Löschung zu beantragen, wenn die Speicherung der personenbezogenen Daten unter Berücksichtigung der seit der Erfassung verstrichenen Zeit nicht mehr erforderlich erscheint. Auch das vorlegende Gericht, das mit der Prüfung der Rechtmäßigkeit der Entscheidung über die Ablehnung des Löschungsantrags befasst ist, scheint zu einer solchen Beurteilung nicht in der Lage zu sein. F. Zwischenergebnis

72 Ist davon auszugehen, dass die oben beschriebenen Kriterien für die Vorratsdatenspeicherung hinreichend gezielt, verhältnismäßig und spezifisch sind und dass die Verarbeitung der fraglichen personenbezogenen Daten die Grenzen des strikt Erforderlichen bzw. der unbedingten Erforderlichkeit achtet? Der Gerichtshof könnte diese Frage aus folgenden Gründen verneinen.

73 Als Erstes ist hervorzuheben, dass die Frage der Notwendigkeit der Vorratsspeicherung personenbezogener Daten besonders dringlich ist, wenn deren Verarbeitung, wie im vorliegenden Fall, zu präventiven Zwecken zulässig ist. Insofern ist das eigentliche Kriterium, das die Erfassung und Speicherung von Daten in der fraglichen Polizeidatei rechtfertigt, die von den betroffenen Personen ausgehende Gefahr, was eine Risikobewertung erfordert. Im vorliegenden Fall ist darauf hinzuweisen, dass sich diese Bewertung auf die bloße Feststellung des Vorliegens eines Verdachts oder der nachgewiesenen Begehung einer vorsätzlichen Straftat beschränkt – kein sehr spezifisches Kriterium, wenn es gegeben ist, da es sich um ein Tatbestandsmerkmal oder sogar um die eigentliche Grundlage der strafrechtlichen Verantwortlichkeit handelt. Daher berücksichtigt die für die Vorratsspeicherung geltende nationale Regelung meines Erachtens ein Mindestmaß an Schwere in Bezug auf die Straftat und deckt ein breites Spektrum von Störungen der öffentlichen Ordnung ab, ohne dass von vornherein eine Sanktion in Form einer Freiheitsstrafe erforderlich ist, was darauf schließen lässt, dass sie unabhängig von der Art oder Schwere der Straftat gilt (

74 Zwar können statistische Studien zeigen, dass die strafrechtliche Vergangenheit ein wichtiger Faktor für Rückfälle ist, sie verdeutlichen aber auch das Vorhandensein objektiver Faktoren, die das Rückfallrisiko erhöhen und insbesondere mit dem Geschlecht, dem Alter und der Art der Vortat zusammenhängen, sowie den Umstand, dass bis zur Wiederholung des strafbaren Verhaltens eine gewisse Zeit vergeht und die Wiederholungstat sehr eng mit der Art der Straftat verknüpft ist, die der Inhaftierung zugrunde liegt (

75 Als Zweites werden die Daten offenbar ohne Rücksicht auf die Notwendigkeit ihrer Speicherung bis zum Tod der betroffenen Person aufbewahrt. Unter Berücksichtigung des Wortlauts von Art. 68 Abs. 6 ZMVR und seiner Auslegung sind die zuständigen Behörden nur in Ausnahmefällen, die nichts mit der Entwicklung der Situation dieser Person seit der Registrierung in der Datei zu tun haben, befugt, die Daten zu löschen. Gleiches gilt logischerweise für den in demselben Artikel vorgesehenen und der genannten Person zur Verfügung stehenden Löschungsantrag, der nicht wirksam genug ist, da nicht überprüft werden kann, ob die Dauer der Vorratsdatenspeicherung in einem angemessenen Verhältnis zum Zweck des fraglichen Eingriffs steht. Bei dieser Beurteilung sollten verschiedene Kriterien berücksichtigt werden, wie etwa die Art und Schwere des festgestellten Sachverhalts, die seit den Ereignissen verstrichene Zeit, die verbleibende gesetzliche Aufbewahrungsfrist oder das Alter des Antragstellers in dem betreffenden Fall, und zwar angesichts seiner persönlichen Situation im Hinblick auf das Alter, in dem er die Taten begangen hat, sein Verhalten seitdem (soziale Eingliederung, Opferentschädigung), seine Persönlichkeit und den Nutzen einer Rehabilitierung, die in diesem Zusammenhang Teil der Gesamtbeurteilung sein können. Daher erscheint die Kontrolle, die insbesondere die in der Datei registrierte Person vornehmen kann, so eingeschränkt, dass sie fast hypothetisch ist (

76 Die oben getroffenen Feststellungen müssen mit der Tatsache in Einklang gebracht werden, dass sensible Daten über einen sehr langen Zeitraum gespeichert werden können und dass die fragliche Datei ihren Nutzern sehr einschneidende Funktionalitäten zur Verwertung dieser Daten, insbesondere zur Identifizierung, zur Analyse und zum Abgleich, bieten kann. Zu beachten ist, dass die Polizeibehörden gemäß Art. 68 Abs. 3 ZMVR zum Zweck der Eintragung in die Polizeidatei Proben zur Erstellung eines „DNA-Profils“ von Personen entnehmen und diese fotografieren müssen, wobei auf die Lichtbilder gegebenenfalls die Gesichtserkennungstechnik angewandt werden kann. V. Ergebnis

77 Im Licht der vorstehenden Erwägungen schlage ich dem Gerichtshof vor, dem Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien) wie folgt zu antworten: Die Art. 4, 5, 8, 10 und 16 Abs. 2 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates sind in der Gesamtschau und im Licht von Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass sie nationalen Rechtsvorschriften entgegenstehen, die eine Vorratsspeicherung personenbezogener Daten, einschließlich biometrischer und genetischer Daten, aller wegen einer vorsätzlichen Straftat strafrechtlich verurteilten Personen in einer Polizeidatei ohne weitere Differenzierung hinsichtlich der Art oder Schwere der Straftat bis zum Tod dieser Personen vorsehen, ohne dass die Möglichkeit besteht, die fortdauernde Speicherung der darin enthaltenen Daten im Hinblick auf die seit ihrer Erfassung verstrichene Zeit zu kontrollieren und gegebenenfalls anschließend die Löschung dieser Daten zu erwirken. Die Prüfung der Verhältnismäßigkeit der Dauer der Vorratsdatenspeicherung zum Zweck der Verarbeitung anhand der Situation der verurteilten Person kann auch deren Rehabilitierung umfassen.