Gesetze / Rechtsprechung / Europäischer Gerichtshof

Europäischer Gerichtshof Schlussantrag des Generalanwalts vom 04.09.2025 – C-671/25

ECLI:EU:C:2025:671

Vorläufige Fassung

SCHLUSSANTRÄGE DES GENERALANWALTS

MACIEJ SZPUNAR

vom 4. September 2025(1)

Rechtssache C‑312/24 [Darashev](i)

gegen

Prokuratura na Republika Bulgaria

(Vorabentscheidungsersuchen des Sofiyski rayonen sad [Rayongericht Sofia, Bulgarien])

„ Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts – Richtlinie (EU) 2016/680 – Verarbeitung von Daten, die im Rahmen von strafrechtlichen Ermittlungen gegen einen Polizeibeamten als Verdächtigen erhoben werden – Speicherung von Daten in der Personalakte – Verordnung (EU) 2016/679 – Rechtmäßigkeit der Verarbeitung – Verarbeitung, die für die Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der für die Verarbeitung Verantwortliche unterliegt – Im öffentlichen Interesse liegendes Ziel – Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten – Recht auf Löschung (,Recht auf Vergessenwerden‘) – Gleichbehandlung in Beschäftigung und Beruf – Richtlinie 2000/78/EG “

I. Einleitung

1. Wie jeder Arbeitgeber verarbeiten Behörden personenbezogene Daten ihrer Bediensteten. Dabei kann die Erfüllung der ihnen zugewiesenen Aufgaben dazu führen, dass sie bestimmte Daten ihrer Mitarbeiter auch in anderen Zusammenhängen als der Personalverwaltung erheben: In diesem Fall stellen sich Fragen zur Rechtsgrundlage und zu den Zwecken der Datenverarbeitung.

2. So fragt sich etwa das vorlegende Gericht, ob eine Datenverarbeitung rechtmäßig ist, in deren Rahmen eine Behörde in der Personalakte eines Bediensteten Informationen über strafrechtliche Ermittlungen speichert, bei denen er als Verdächtiger Gegenstand von Ermittlungsmaßnahmen war. Im vorliegenden Fall wurden die betreffenden Daten von der nämlichen Behörde als Ermittlungsbehörde erhoben und werden in der Personalakte gespeichert, obwohl die strafrechtlichen Ermittlungen eingestellt wurden, ohne dass der betreffende Bedienstete förmlich beschuldigt oder angeklagt worden wäre.

3. Die zentrale Frage, die sich in dieser Rechtssache stellt, betrifft die Schnittmenge zwischen der Verordnung (EU) 2016/679(2) (im Folgenden: DSGVO) und der Richtlinie (EU) 2016/680(3) und zielt darauf ab, die Rechtsgrundlage und die Voraussetzungen für die Inanspruchnahme des Rechts auf Löschung der gespeicherten Daten unter solchen Umständen zu klären.

II. Rechtlicher Rahmen

A. Unionsrecht

1. Richtlinie 2000/78/EG

4. Nach Art. 1 der Richtlinie 2000/78/EG(4) ist „Zweck dieser Richtlinie … die Schaffung eines allgemeinen Rahmens zur Bekämpfung der Diskriminierung wegen der Religion oder der Weltanschauung, einer Behinderung, des Alters oder der sexuellen Ausrichtung in Beschäftigung und Beruf im Hinblick auf die Verwirklichung des Grundsatzes der Gleichbehandlung in den Mitgliedstaaten“.

5. Nach Art. 2 Abs. 1 dieser Richtlinie „bedeutet ‚Gleichbehandlungsgrundsatz‘, dass es keine unmittelbare oder mittelbare Diskriminierung wegen eines der in Artikel 1 genannten Gründe geben darf“.

2. DSGVO

6. In den Erwägungsgründen 19, 39 und 41 der DSGVO heißt es:

„(19) … In Bezug auf die Verarbeitung personenbezogener Daten durch … [die zuständigen Behörden im Sinne der Richtlinie (EU) 2016/680] für Zwecke, die in den Anwendungsbereich dieser Verordnung fallen, sollten die Mitgliedstaaten spezifischere Bestimmungen beibehalten oder einführen können, um die Anwendung der Vorschriften dieser Verordnung anzupassen. In den betreffenden Bestimmungen können die Auflagen für die Verarbeitung personenbezogener Daten durch diese zuständigen Behörden für jene anderen Zwecke präziser festgelegt werden, wobei der verfassungsmäßigen, organisatorischen und administrativen Struktur des betreffenden Mitgliedstaats Rechnung zu tragen ist. …

…

(39) … Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. Dies erfordert insbesondere, dass die Speicherfrist für personenbezogene Daten auf das unbedingt erforderliche Mindestmaß beschränkt bleibt. … Um sicherzustellen, dass die personenbezogenen Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen. …

…

(41) Wenn in dieser Verordnung auf eine Rechtsgrundlage oder eine Gesetzgebungsmaßnahme Bezug genommen wird, erfordert dies nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt; davon unberührt bleiben Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats. Die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme sollte jedoch klar und präzise sein und ihre Anwendung sollte für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs … und des Europäischen Gerichtshofs für Menschenrechte [im Folgenden: EGMR] vorhersehbar sein.“

7. Art. 2 („Sachlicher Anwendungsbereich“) Abs. 1 DSGVO bestimmt, dass diese Verordnung „für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen[, gilt]“. Nach Art. 2 Abs. 2 Buchst. d findet diese Verordnung keine Anwendung auf die Verarbeitung personenbezogener Daten „durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“.

8. Art. 4 („Begriffsbestimmungen“) DSGVO bestimmt:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer … identifiziert werden kann;

2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, …;

…

6. ‚Dateisystem‘ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; …“

9. Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO sieht vor:

„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

…

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

…

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt … sein … Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten … Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. …“

10. Art. 9 DSGVO bestimmt:

„(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

…“

11. Art. 10 DSGVO bestimmt:

„Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln aufgrund von Artikel 6 Absatz 1 darf nur unter behördlicher Aufsicht vorgenommen werden oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist. …“

12. Art. 17 (Recht auf Löschung [‚Recht auf Vergessenwerden‘]) DSGVO sieht vor:

„(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

…

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

…

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

…

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, …;

…“

3. Richtlinie 2016/680

13. Art. 1 Abs. 1 der Richtlinie 2016/680 sieht vor:

„Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.“

14. Art. 3 dieser Richtlinie definiert die Begriffe „personenbezogene Daten“ und „Verarbeitung“ ebenso wie in der DSGVO.

15. Nach Art. 3 Nr. 7 der Richtlinie bezeichnet der Ausdruck „zuständige Behörde“ u. a. eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zuständig ist.

16. Art. 9 („Besondere Verarbeitungsbedingungen“) Abs. 1 dieser Richtlinie bestimmt:

„Personenbezogene Daten, die von zuständigen Behörden für die in Artikel 1 Absatz 1 genannten Zwecke erhoben werden, dürfen nicht für andere als die in Artikel 1 Absatz 1 genannten Zwecke verarbeitet werden, es sei denn, eine derartige Verarbeitung ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig. Wenn personenbezogene Daten für solche andere Zwecke verarbeitet werden, gilt die [DSGVO], es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.“

17. Art. 16 Abs. 2 der Richtlinie 2016/680 legt insbesondere die Fälle fest, in denen die Mitgliedstaaten vorsehen, dass die betroffene Person das Recht hat, von dem Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten zu verlangen.

B. Bulgarisches Recht

1. ZMVR

18. Art. 29 Abs. 1 und 2 des Zakon za Ministerstvo na vatreshnite raboti (Gesetz über das Ministerium für Innere Angelegenheiten)(5) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung (im Folgenden: ZMVR) bestimmt:

„(1) Der Verantwortliche für die Datenverarbeitung ist der Innenminister, der von ihm bestimmte Beamte mit der Verarbeitung personenbezogener Daten betrauen kann.

(2) Die Modalitäten für die Verarbeitung personenbezogener Daten werden durch Anweisung des Innenministers festgelegt.“

19. Art. 147 ZMVR sieht vor:

„(1) Für jeden Bediensteten des Innenministeriums wird eine Personalakte erstellt und geführt.

(2) Die Modalitäten der Erstellung, Verwaltung und Aufbewahrung der Personalakten sowie die Modalitäten ihrer Verwendung werden durch Anweisung des Innenministers festgelegt.“

2. Anweisung zu den Personalakten

20. Die Anweisung Nr. 8121z-532 des Innenministers vom 9. September 2014 über die Abfassung, Führung, Speicherung und Verwendung der Personalakten der Bediensteten des Innenministeriums(6) (im Folgenden: Anweisung zu den Personalakten) bestimmt in Art. 3:

„Die Personalakten werden vom Referat ‚Humanressourcen‘ der betreffenden Einrichtungen erstellt und aufbewahrt, aufsteigend nummeriert, in einem Journal beschrieben und an Orten (in Ordnern) abgelegt, die den Anforderungen an die Aufbewahrung von Material, das Verschlusssachen enthält, genügen.“

21. Nach Art. 5 Abs. 2 dieser Anweisung erfolgt die Verarbeitung der in der Personalakte gespeicherten Informationen u. a. anlässlich des Beginns, des Wechsels und der Beendigung des Arbeits- oder Dienstverhältnisses der Bediensteten.

22. Art. 6 der Anweisung sieht vor:

„(1) In den Personalakten werden in drei Abschnitte gegliederte Dokumente erfasst und abgelegt, die Daten und Informationen über das Studium, die Ernennung, den Abschluss von Arbeitsverträgen, die Änderung der Aufgaben und das Ausscheiden von Bediensteten aus dem Dienst enthalten.

…

(4) Der dritte Abschnitt enthält Dokumente zur Änderung der Aufgaben (Entscheidungen, Urkunden über die Übernahme und das Ausscheiden aus dem Dienst, Dokumente im Zusammenhang mit Disziplinarverfahren …).“

III. Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof

23. Das Ministerstvo na vatreshnite raboti (Ministerium für Innere Angelegenheiten) (im Folgenden: Ministerium) ist eine aus mehreren Generaldirektionen (im Folgenden: GD) bestehende Verwaltungsbehörde, die für die Aufrechterhaltung der öffentlichen Ordnung zuständig ist; die GD „Innere Sicherheit“ ist für die Durchführung von Ermittlungsmaßnahmen gegen Bedienstete des Ministeriums wegen aller Arten von Straftaten zuständig. In der Zeit von 2012 bis 2023 bekleidete der Kläger des Ausgangsverfahrens verschiedene Funktionen als Polizeibeamter in der GD „Sicherheitspolizei“ und der GD „Nationale Polizei“.

24. Am 1. März 2016 wurde ein Ermittlungsverfahren wegen Raubes gegen einen unbekannten Täter eingeleitet. Am 17. Mai 2016 wurde der Kläger des Ausgangsverfahrens in einer Sitzung, an der er mit Polizeibeamten des Referats, in dem er arbeitete, teilnahm, vor seinen Kollegen festgenommen und musste sein Dienstabzeichen, seine Waffe und seinen Dienstausweis abgeben. Nach 24 Stunden wurde er freigelassen. In der Folge wurde er weder förmlich beschuldigt noch angeklagt, es wurden jedoch gegen ihn mehrere Ermittlungsmaßnahmen durchgeführt.

25. Im Jahr 2016 wurde das Verfahren gegen den Kläger des Ausgangsverfahrens ausgesetzt, weil der Täter nicht ermittelt werden konnte. Anschließend wurde eine Entscheidung über die Einstellung des Verfahrens getroffen.

26. Der Kläger des Ausgangsverfahrens nahm seinen Dienst als Polizeibeamter wieder auf und beteiligte sich an Auswahlverfahren für die Beförderung auf andere Stellen im Ministerium.

27. Sodann erhob der Kläger des Ausgangsverfahrens beim Sofiyski rayonen sad (Rayongericht Sofia) eine Klage gegen die Prokuratura na Republika Bulgaria (Staatsanwaltschaft der Republik Bulgarien, im Folgenden: Staatsanwaltschaft). Er beantragt, die Staatsanwaltschaft zur Zahlung einer Entschädigung für die erlittenen immateriellen Schäden zu verurteilen, die durch die Maßnahmen, die in dem gegen ihn eingeleiteten strafrechtlichen Ermittlungsverfahren getroffen worden seien, und durch die Folgen dieses Verfahrens entstanden seien: Insbesondere sei er nicht befördert oder auf andere Stellen versetzt worden, weil er in diesem Verfahren den Status eines Verdächtigen gehabt habe. Außerdem beantragt er die Entfernung seines Namens aus der Datenbank des Ministeriums, in der er als Verdächtiger geführt werde.

28. Das vorlegende Gericht führt aus, dass das Ministerium der Dienstgeber aller Personen sei, die für dieses Ministerium arbeiteten. Jede GD bewahre Informationen über ihre Bediensteten in ihrer Personalakte auf. Die bei einer Ermittlung der GD „Innere Sicherheit“ gewonnenen Informationen würden auch in der Personalakte gespeichert. Im Ausgangsverfahren wurde festgestellt, dass das Ministerium als Dienstgeber Informationen darüber speichere, dass der Kläger des Ausgangsverfahrens im Rahmen der in Rede stehenden Ermittlungen verdächtigt und festgenommen worden sei. Das vorlegende Gericht hat jedoch Zweifel an der Vereinbarkeit dieser Speicherung in der Personalakte mit der DSGVO und der Richtlinie 2016/680 sowie an der Vereinbarkeit der behaupteten Verweigerung der Beförderung mit der Richtlinie 2000/78.

29. Vor diesem Hintergrund hat der Sofiyski rayonen sad (Rayongericht Sofia) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

Ist Art. 2 Abs. 1 DSGVO dahin auszulegen, dass eine Datenverarbeitung Tätigkeiten ein und derselben Organisationsstruktur umfasst, in der ein Teil ihrer GD die Aufgaben eines Dienstgebers wahrnimmt, während eine einzige andere Direktion die Eigenschaft einer Ermittlungsbehörde im Strafverfahren gegen Bedienstete der anderen Direktionen innehat? Falls dies zu bejahen ist:

1. Ist der Ausdruck „Verarbeitung personenbezogener Daten“ in Art. 4 Nr. 2 DSGVO dahin auszulegen, dass darunter eine Tätigkeit fällt, in deren Rahmen zur Personalakte eines Bediensteten Informationen hinzugefügt werden, die der Dienstgeber in seiner Eigenschaft als Ermittlungsbehörde durch eine seiner Direktionen in Bezug auf genau diesen Bediensteten erlangt hat?

2. Ist der Ausdruck „Dateisystem“ in Art. 4 Nr. 6 DSGVO dahin auszulegen, dass eine Personalakte eines Bediensteten oder Arbeitnehmers davon erfasst ist, der in einer Direktion des Dienstgebers arbeitet, wobei die Informationen von einer anderen Direktion des Dienstgebers erhoben wurden, welche die Eigenschaft einer Ermittlungsbehörde hat?

3. Ist Art. 9 Abs. 2 Buchst. b DSGVO dahin auszulegen, dass eine Organisationseinheit eines Dienstgebers Daten darüber sammeln und speichern darf, dass der Bedienstete Verdächtiger/Beschuldigter/Angeklagter in einem Strafverfahren war, wobei diese Informationen von einer anderen Organisationseinheit des Dienstgebers erhoben wurden, welche die Eigenschaft einer Ermittlungsbehörde hat?

4. Ist das „Recht auf Vergessenwerden“ gemäß Art. 17 Absatz. 1 Buchst. a DSGVO dahin auszulegen, dass ein Dienstgeber jegliche Daten aus der Personalakte des Bediensteten löschen muss, die er durch eine andere seiner Direktionen, welche die Eigenschaft einer Behörde für die Ermittlung gegen seinen Bediensteten hat, darüber erhoben und gespeichert hat, dass der Bedienstete

– wegen einer Straftat in einem anhängigen Strafverfahren verdächtigt/beschuldigt/angeklagt ist;

– wegen einer Straftat verdächtigt/beschuldigt/angeklagt wurde, in Bezug auf die ein Strafverfahren ausgesetzt oder eingestellt wurde?

5. Sind „unrechtmäßig verarbeitete“ personenbezogene Daten gemäß Art. 17 Abs. 1 Buchst. d DSGVO dahin auszulegen, dass sie Daten umfassen, die der Dienstgeber durch eine andere seiner Organisationseinheiten erhalten, erhoben und gespeichert hat, die Aufgaben der Ermittlung im Strafverfahren gegen Bedienstete anderer Organisationseinheiten des Dienstgebers wahrnimmt, wobei diese Daten in der Personalakte gespeichert sind und den Umstand betreffen, dass der Bedienstete wegen einer Straftat verdächtigt/beschuldigt/angeklagt ist, und zwar

– wegen einer Straftat in einem anhängigen Strafverfahren verdächtigt/beschuldigt/angeklagt ist;

– wegen einer Straftat verdächtigt/beschuldigt/angeklagt wurde, in Bezug auf die ein Strafverfahren ausgesetzt oder eingestellt wurde?

6. Sind „personenbezogene Daten“ im Sinne von Art. 3 Nr. 1 der Richtlinie 2016/680 in Verbindung mit Art. 52 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) dahin auszulegen, dass es sich um Daten handelt, die der Dienstgeber durch eine seiner Organisationseinheiten erlangt, erhoben und gespeichert hat, welche die Aufgaben einer Ermittlungsbehörde in einem Strafverfahren gegen einen Bediensteten wahrnimmt, der seinen Dienst in einer anderen Organisationseinheit des Dienstgebers versieht?

7. Ist „Verarbeitung“ im Sinne von Art. 3 Nr. 2 der Richtlinie 2016/680 in Verbindung mit Art. 52 der Charta dahin auszulegen, dass darunter eine Tätigkeit der Speicherung von Daten in der Personalakte des Bediensteten durch den Dienstgeber fällt, die der Dienstgeber durch eine seiner Organisationseinheiten erlangt, erhoben und gespeichert hat, welche die Aufgaben einer Ermittlungsbehörde in einem Strafverfahren gegen einen Bediensteten des Dienstgebers wahrnimmt, der seinen Dienst in einer anderen Organisationseinheit des Dienstgebers versieht?

8. Ist Art. 9 Abs. 1 der Richtlinie 2016/680 in Verbindung mit Art. 52 der Charta dahin auszulegen, dass er dem Dienstgeber gestattet, Informationen über einen Bediensteten zu erheben und zu speichern, der verdächtigt/beschuldigt/angeklagt ist, wobei der Dienstgeber diese Informationen durch eine andere seiner Organisationseinheiten erhoben hat, welche die Eigenschaft einer Ermittlungsbehörde im Strafverfahren gegen diesen Bediensteten innehat?

9. Ist Art. 16 Abs. 2 der Richtlinie 2016/680 in Verbindung mit Art. 52 der Charta dahin auszulegen, dass der Dienstgeber jegliche Daten aus der Personalakte des Bediensteten löschen muss, die der Dienstgeber durch eine andere seiner Organisationseinheiten erhoben und gespeichert hat, welche die Eigenschaft einer Ermittlungsbehörde im Strafverfahren gegen diesen Bediensteten innehat, und die den Umstand betreffen, dass der Bedienstete

– wegen einer Straftat in einem anhängigen Strafverfahren verdächtigt/beschuldigt/angeklagt ist;

– wegen einer Straftat verdächtigt/beschuldigt/angeklagt wurde, in Bezug auf die ein Strafverfahren ausgesetzt oder eingestellt wurde?

10. Ist Art. 1 der Richtlinie 2000/78 dahin auszulegen, dass er es dem Dienstgeber, dessen eine Organisationseinheit Ermittlungshandlungen gegen einen Bediensteten einer anderen Organisationseinheit durchführt, nicht gestattet, den beruflichen Aufstieg eines Bediensteten nur auf der Grundlage dessen zu verwehren, dass der Bedienstete

– wegen einer Straftat in einem anhängigen Strafverfahren verdächtigt/beschuldigt/angeklagt ist;

– wegen einer Straftat verdächtigt/beschuldigt/angeklagt wurde, in Bezug auf die ein Strafverfahren ausgesetzt oder eingestellt wurde?

30. Die bulgarische und die ungarische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen eingereicht. Die bulgarische Regierung und die Kommission haben an der mündlichen Verhandlung vom 21. Mai 2025 teilgenommen.

IV. Würdigung

A. Zur Zulässigkeit der Vorlagefragen

31. Die bulgarische Regierung macht geltend, die Vorlagefragen seien insgesamt offensichtlich unzulässig, und beruft sich auf folgende Gründe.

32. Erstens sei der Schadensersatzantrag ausschließlich gegen die Staatsanwaltschaft gerichtet, die der judikativen Gewalt angehöre, während nur das Ministerium, das der exekutiven Gewalt angehöre und der Arbeitgeber des Klägers des Ausgangsverfahrens gewesen sei, über die in dessen Personalakte enthaltenen Informationen verfüge. Der Kläger des Ausgangsverfahrens könne daher weder bei der Staatsanwaltschaft die Löschung seiner Daten beantragen noch sie dafür verantwortlich machen, dass das Ministerium über diese Informationen verfüge, noch der Staatsanwaltschaft vorwerfen, seinen beruflichen Aufstieg behindert zu haben.

33. Zweitens müsse das vorlegende Gericht, damit die Haftung der Staatsanwaltschaft ausgelöst werde, nach den nationalen Rechtsvorschriften über die Staatshaftung feststellen, ob die Rechte des Klägers des Ausgangsverfahrens als Angeklagter verletzt worden seien und ob ihm zu Unrecht eine Straftat zur Last gelegt worden sei. Gegenstand des Ausgangsverfahrens sei jedoch weder die Anwendung von Bestimmungen der DSGVO noch die Anwendung der nationalen Rechtsvorschriften zur Umsetzung der Richtlinien 2016/680 und 2000/78. Die Auslegung dieser Unionsrechtsakte sei daher für die Entscheidung des Ausgangsrechtsstreits nicht erforderlich.

34. Diese Auffassung teile ich nicht.

35. Ich weise darauf hin, dass eine Vermutung für die Entscheidungserheblichkeit der Vorlagefragen des nationalen Gerichts spricht, die es in dem rechtlichen und sachlichen Rahmen stellt, den es in eigener Verantwortung festlegt und dessen Richtigkeit der Gerichtshof nicht zu prüfen hat(7).

36. Im vorliegenden Fall bin ich der Ansicht, dass diese Vermutung nicht in Frage gestellt werden kann. Aus der Vorlageentscheidung geht nämlich hervor, dass der Ausgangsrechtsstreit den immateriellen Schaden betrifft, den der Kläger des Ausgangsverfahrens u. a. dadurch erlitten haben soll, dass ihm die Beförderung mit der Begründung verweigert wurde, dass er verdächtigt wurde. Außerdem beantragt der Kläger des Ausgangsverfahrens die Löschung der beim Ministerium gespeicherten Daten über seinen Status eines Verdächtigen im Rahmen dieser Ermittlungen. Diese Anträge liegen den Fragen des vorlegenden Gerichts zur Auslegung der Richtlinie 2000/78 sowie der DSGVO und der Richtlinie 2016/680 zugrunde(8).

37. Zwar erläutert das vorlegende Gericht nicht, ob die vom Ministerium im Anschluss an die strafrechtlichen Ermittlungen ergriffenen Maßnahmen im Rahmen eines solchen Schadensersatzantrags der Staatsanwaltschaft zugerechnet werden können. Es weist lediglich darauf hin, dass nach der nationalen Rechtsprechung ein Antrag auf Schadensersatz gegen die Staatsanwaltschaft zu richten sei, wenn er strafrechtliche Ermittlungen betreffe. Die Frage einer etwaigen Zurechnung von angeblich schädigenden Handlungen des Ministeriums ist allein Sache des nationalen Rechts. Gleiches gilt für die Frage der Passivlegitimation im Rahmen eines Schadensersatzantrags, der auf die Staatshaftung für strafrechtliche Ermittlungen gestützt wird. Dieses Vorbringen der bulgarischen Regierung betrifft somit die Auslegung und Anwendung des nationalen Rechts. Es ist jedoch darauf hinzuweisen, dass es weder Sache des Gerichtshofs ist, sich zur Auslegung nationaler Vorschriften zu äußern, noch zu entscheiden, ob ihre Auslegung oder Anwendung durch das nationale Gericht richtig ist, da eine solche Auslegung in die ausschließliche Zuständigkeit des nationalen Gerichts fällt(9).

38. Ich schlage daher vor, die Vorlagefragen nicht insgesamt als unzulässig anzusehen.

39. Dagegen weise ich darauf hin, dass die Vorlagefragen 3 bis 5 und 8 bis 10 teilweise hypothetische Sachlagen betreffen, die nicht dem in der Vorlageentscheidung dargestellten Sachverhalt entsprechen, nämlich die Beteiligung einer verdächtigten, angeklagten oder beschuldigten Person an einem anhängigen, ausgesetzten oder eingestellten Verfahren. Aus der Vorlageentscheidung geht hervor, dass die strafrechtlichen Ermittlungen eingestellt wurden und dass die Auswahlverfahren, an denen der Kläger des Ausgangsverfahrens teilgenommen hat, nach dieser Einstellungsentscheidung stattfanden. Außerdem steht fest, dass er lediglich verdächtigt worden war.

40. Daher sind die Vorlagefragen 3 bis 5 und 8 bis 10 als unzulässig anzusehen, da sie hypothetisch sind, soweit sie andere Sachlagen als diejenigen betreffen, in der sich der Kläger des Ausgangsverfahrens befand.

B. Zur Begründetheit

1. Vorbemerkungen zur Tragweite der Vorlagefragen

41. Das vorlegende Gericht hat insgesamt elf Fragen gestellt, die sich auf die DSGVO (Vorfrage und Vorlagefragen 1 bis 5), die Richtlinie 2016/680 (Vorlagefragen 6 bis 9) und die Richtlinie 2000/78 (zehnte Vorlagefrage) beziehen.

42. Aus dem vorliegenden Vorabentscheidungsersuchen geht hervor, dass das vorlegende Gericht wissen möchte, auf der Grundlage welches Rechtsakts – der DSGVO oder der Richtlinie 2016/680 – ein Bediensteter unter Umständen wie denen des Ausgangsverfahrens die Löschung von Daten aus seiner Personalakte beantragen kann, die ihn als Verdächtigen im Rahmen eines eingestellten strafrechtlichen Ermittlungsverfahrens ausweisen.

43. Als Erstes ist aus Gründen der Klarheit die tatsächliche Prämisse zu präzisieren, die Gegenstand der Fragen zur DSGVO und zur Richtlinie 2016/680 ist. Ich weise darauf hin, dass sich die meisten dieser Fragen(10) zwar ausdrücklich auf die in der Personalakte des Bediensteten gespeicherten Daten beziehen, einige(11) jedoch allgemeiner die arbeitgeberseitige Speicherung von Daten eines Bediensteten, der seine Aufgaben in einer Organisationseinheit des Arbeitgebers wahrnimmt, betreffen, wobei die Daten von der für die Ermittlung zuständigen Organisationseinheit erhoben wurden.

44. Im Licht der gesamten Begründung der Vorlageentscheidung haben alle diese Fragen die Speicherung von Daten des Bediensteten in seiner Personalakte zum Gegenstand. Zwar wird im Vorabentscheidungsersuchen punktuell auch die Speicherung von Daten in „Archiven “ oder „Datenbanken“ des Ministeriums erwähnt, doch werden diese Angaben später nicht näher ausgeführt und jedenfalls nicht in den Fragen aufgegriffen.

45. Daher werde ich mich nur mit der Speicherung von Daten in der Personalakte befassen.

46. Als Zweites halte ich es für erforderlich, mehrere Fragen zusammen umzuformulieren, um dem vorlegenden Gericht sachdienliche Hinweise für die Entscheidung über den Löschungsantrag zu geben(12). Aus den Gründen, die ich im Folgenden darlegen werde, werde ich die Fragen für meine Analyse wie folgt umgruppieren:

– die Vorfrage sowie die Vorlagefragen 1, 2 und 6 bis 8, mit denen im Wesentlichen der Anwendungsbereich der DSGVO bestimmt werden soll;

– die Vorlagefragen 3 bis 5, die im Wesentlichen die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung im Zusammenhang mit der Inanspruchnahme des Rechts auf Löschung nach der DSGVO betreffen;

– die neunte Vorlagefrage, die das Recht auf Löschung nach der Richtlinie 2016/680 betrifft;

– die zehnte Vorlagefrage, die sich auf die Richtlinie 2000/78 bezieht.

2. Zur Vorfrage sowie zu den Vorlagefragen 1, 2 und 6 bis 8

a) Zur Umformulierung der Fragen

47. Mit seiner Vorfrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 2 Abs. 1 DSGVO dahin auszulegen ist, dass diese Verordnung auf die Verarbeitung von Daten durch eine Behörde anwendbar ist, von der ein Teil ihrer Organisationseinheiten die Aufgaben eines Dienstgebers wahrnimmt, während eine einzige andere Einheit als Ermittlungsbehörde im Strafverfahren gegen Bedienstete der anderen Einheiten fungierte.

48. Falls dies zu bejahen ist, möchte das vorlegende Gericht im Wesentlichen mit seinen Fragen 1 und 2 wissen, ob Art. 4 Nrn. 2 und 6 DSGVO dahin auszulegen sind, dass die Speicherung von personenbezogenen Daten in der Personalakte eines Bediensteten einer Behörde, die diese Behörde seitens einer ihrer Einheiten, die in ihrer Eigenschaft als Ermittlungsbehörde gehandelt hat, erhalten hat, eine „Verarbeitung personenbezogener Daten“ darstellt, die in einem „Dateisystem“ enthalten sind.

49. Wenngleich der Form nach das vorlegende Gericht den Gerichtshof mit den Vorlagefragen 1 und 2 nach seiner Auslegung dieser beiden Begriffe befragt, bin ich der Ansicht, dass dies nicht der eigentliche Gegenstand dieser Fragen ist. Angesichts der Doppelrolle, die eine Behörde wie das Ministerium bei der Verarbeitung der Daten seiner Bediensteten spielt (Erhebung als Ermittlungsbehörde und Speicherung als Arbeitgeber), sind diese Fragen als Prämissen für die Argumentation zur Bestimmung des Anwendungsbereichs der DSGVO zu verstehen. Diese Lesart wird meines Erachtens dadurch bestätigt, dass das vorlegende Gericht in der Begründung dieser Fragen keine konkreten Zweifel an der Auslegung dieser Begriffe aufwirft.

50. Die achte Vorlagefrage fügt sich meines Erachtens in dieselbe Argumentationslinie ein und zielt im Wesentlichen darauf ab, ob Art. 9 Abs. 1 der Richtlinie 2016/680(13) dahin auszulegen ist, dass er es einer Behörde gestattet, Informationen über den Status eines ihrer Bediensteten als Verdächtiger in einem Ermittlungsverfahren zu speichern, wobei diese Behörde diese Informationen durch eine ihrer Organisationseinheiten erhoben hat, die in ihrer Eigenschaft als Ermittlungsbehörde handelte.

51. Aus dem Wortlaut dieser achten Frage sowie aus der Begründung des Vorabentscheidungsersuchens geht hervor, dass das vorlegende Gericht insbesondere Zweifel hinsichtlich des Zusammenspiels der Anwendungsbereiche der DSGVO und der Richtlinie 2016/680 hat, wenn die in der Personalakte gespeicherten Daten von einer Organisationseinheit des Arbeitgebers in Wahrnehmung seiner Aufgaben als „zuständige Behörde“ im Sinne von Art. 3 Nr. 7 dieser Richtlinie erhoben wurden. Wie ich im Folgenden erläutern werde, stellt Art. 9 dieser Richtlinie gerade den Zusammenhang zwischen dieser Richtlinie und der DSGVO im Fall der Weiterverarbeitung von Daten her, die von den zuständigen Behörden erhoben wurden.

52. In den Vorlagefragen 6 und 7 geht es im Wesentlichen darum, ob es eine „Verarbeitung personenbezogener Daten“ im Sinne von Art. 3 Nrn. 1 und 2 der Richtlinie 2016/680 darstellt, wenn personenbezogene Daten, die eine Behörde durch ihre als Ermittlungsbehörde handelnde Organisationseinheit erlangt hat, in der Personalakte des Bediensteten dieser Behörde gespeichert werden.

53. Meines Erachtens geht es bei diesen beiden Fragen ebenso wie bei den Vorlagefragen 1 und 2 in Wirklichkeit nicht um die Auslegung der Begriffe „Verarbeitung“ und „personenbezogene Daten“,; diese Begriffe sind vielmehr reines Instrumentarium, um zu bestimmen, welcher Unionsrechtsakt – die DSGVO oder die Richtlinie 2016/680 – anwendbar ist. Jedenfalls werden diese Begriffe ebenso definiert wie in diejenigen der Richtlinie 2016/680(14), so dass sie kein Unterscheidungsmerkmal darstellen.

54. Aus diesen Gründen schlage ich vor, davon auszugehen, dass das vorlegende Gericht mit seiner Vorfrage sowie mit seinen Fragen 1, 2 und 6 bis 8 insgesamt im Wesentlichen wissen möchte, ob Art. 2 Abs. 1 DSGVO und Art. 9 Abs. 1 der Richtlinie 2016/680 dahin auszulegen sind, dass die genannte Verordnung auf die behördliche Speicherung von Daten, die den Status eines Bediensteten der fraglichen Behörde als Verdächtiger in einem strafrechtlichen Ermittlungsverfahren betreffen, in dessen Personalakte anwendbar ist, wenn die Daten von einer Organisationseinheit dieser Behörde in Ausübung ihrer Aufgaben als zuständige Behörde im Sinne dieser Richtlinie erhoben wurden.

b) Würdigung

55. Erstens weise ich darauf hin, dass Art. 2 Abs. 1 DSGVO den sachlichen Anwendungsbereich dieser Verordnung weit definiert. Dieser umfasst jede „ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie … die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“(15).

56. Im Ausgangsrechtsstreit scheint unstreitig zu sein, dass es sich bei den Informationen über den Status eines Verdächtigen, die in der Personalakte des Klägers des Ausgangsverfahrens gespeichert sind, um personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO handelt.

57. Außerdem stellen das Erfassen und die Speicherung von Daten der Bediensteten in ihren Personalakten sicherlich eine „Verarbeitung“ gemäß der Definition des Art. 4 Nr. 2 DSGVO dar, und es scheint kein Zweifel daran zu bestehen, dass der Innenminister Verantwortlicher im Sinne von Art. 4 Nr. 7 dieser Verordnung ist(16).

58. Zum Begriff „Dateisystem“ möchte ich ausführen, dass dieser Begriff nur relevant ist, wenn keine, zumindest teilweise, automatisierte Verarbeitung erfolgt(17). Art. 4 Nr. 6 DSGVO definiert den Begriff „Dateisystem“ als „jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind …“. Die besonderen Modalitäten, nach denen ein Dateisystem strukturiert werden muss, und die Form, die es aufweisen muss, sind nicht geregelt, und es wird auch nicht festgelegt, dass diese Daten in elektronischen Datenbanken oder in Akten oder Registern in verkörperter Form enthalten sein müssen(18). Somit fällt eine Personalakte, die eine strukturierte Sammlung von Daten von Bediensteten oder Beschäftigten enthält, unter den Begriff „Dateisystem“. Vorbehaltlich der Überprüfung durch das vorlegende Gericht scheint dies hier der Fall zu sein(19).

59. Zweitens bestimmt Art. 2 Abs. 2 Buchst. d DSGVO, dass diese Verordnung auf die Verarbeitung personenbezogener Daten durch die zuständigen Behörden u. a. zum Zwecke der Verhütung, Ermittlung und Aufdeckung von Straftaten keine Anwendung findet. Wie sich aus dem 19. Erwägungsgrund dieser Verordnung und aus Art. 1 Abs. 1 der Richtlinie 2016/680 ergibt, wird eine solche Verarbeitung durch diese Richtlinie als lex specialis geregelt(20).

60. Drittens sehen sowohl die DSGVO als auch die Richtlinie 2016/680 den Grundsatz der „Zweckbindung“(21) vor, wonach personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Dieser Grundsatz gilt aber nicht absolut(22). Art. 9 Abs. 1 dieser Richtlinie sieht nämlich vor, dass Daten für andere als die in Art. 1 Abs. 1 der Richtlinie genannten Zwecke, für die diese Daten erhoben wurden, verarbeitet werden dürfen, und dass die DSGVO für diese Verarbeitung gilt(23), sofern eine derartige Verarbeitung „nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig“ ist. Dieser Vorbehalt bedeutet schlicht und einfach, dass die Rechtmäßigkeit der Verarbeitung zu anderen Zwecken im Lichte der DSGVO zu beurteilen ist(24).

61. Im vorliegenden Fall besteht kein Zweifel daran, dass das Ministerium durch seine für Ermittlungsmaßnahmen gegen seine Bediensteten zuständige Direktion die Daten des Klägers des Ausgangsverfahrens zu den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken als zuständige Behörde im Sinne von Art. 3 Abs. 7 dieser Richtlinie erhoben und verarbeitet hat.

62. Hinsichtlich der Speicherung dieser Daten in der Personalakte des Klägers macht das vorlegende Gericht keine Angaben, zu welchen Zwecken diese erfolgte. Nach den Erläuterungen der bulgarischen Regierung(25) erfolgt die Speicherung in der Personalakte jedoch vorbehaltlich der vom vorlegenden Gericht vorzunehmenden Überprüfungen nicht zu den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken. Somit bin ich wie alle Verfahrensbeteiligten, die schriftliche Erklärungen eingereicht haben, der Ansicht, dass die DSGVO auf die Verarbeitung von Daten wie den im Ausgangsverfahren in Rede stehenden in der Personalakte Anwendung findet.

63. Ich schlage dem Gerichtshof daher vor, auf die Vorfrage sowie auf die Vorlagefragen 1, 2 und 6 bis 8 zu antworten, dass Art. 2 Abs. 1 DSGVO und Art. 9 Abs. 1 der Richtlinie 2016/680 dahin auszulegen sind, dass die genannte Verordnung auf die behördliche Speicherung von Daten, die den Status eines Bediensteten der fraglichen Behörde als Verdächtiger in einem strafrechtlichen Ermittlungsverfahren betreffen, in dessen Personalakte anwendbar ist, wenn die Daten von einer Organisationseinheit dieser Behörde in Ausübung ihrer Aufgaben als zuständige Behörde im Sinne dieser Richtlinie erhoben wurden, sofern mit der Speicherung andere Zwecke als die in Art. 1 Abs. 1 dieser Richtlinie genannten verfolgt werden.

3. Zu den Vorlagefragen 3 bis 5

a) Zur Umformulierung der Fragen

64. Mit seiner dritten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 9 Abs. 2 Buchst. b DSGVO dahin auszulegen ist, dass eine Organisationseinheit einer Behörde Daten darüber erheben und speichern darf, dass einer ihrer Bediensteten Verdächtiger in einem Strafverfahren war, wobei diese Informationen von einer anderen Einheit dieser Behörde erhoben wurden, der die Eigenschaft einer Ermittlungsbehörde zukommt.

65. Mit der vierten Vorlagefrage möchte das vorlegende Gericht wissen, ob Art. 17 Abs. 1 Buchst. a DSGVO dahin auszulegen ist, dass eine Behörde in ihrer Eigenschaft als Dienstgeber jegliche Daten aus der Personalakte eines Bediensteten zu seinem Status als Verdächtiger im Rahmen eines eingestellten strafrechtlichen Ermittlungsverfahrens löschen muss, wenn diese Daten durch eine andere Einheit dieser Behörde, der für die Ermittlung gegen seinen Bediensteten die Eigenschaft der Ermittlungsbehörde zukommt.

66. Außerdem soll mit der fünften Vorlagefrage im Wesentlichen geklärt werden, ob Art. 17 Abs. 1 Buchst. d dieser Verordnung dahin auszulegen ist, dass solche Daten „unrechtmäßig verarbeitet“ werden.

67. Zu der Vorschrift, auf die sich die dritte Frage bezieht, ist festzustellen, dass Art. 9 DSGVO, wie sich aus seinem Abs. 1 ergibt, die Verarbeitung bestimmter besonderer Kategorien von Daten regelt. Nichts in der Vorlageentscheidung deutet darauf hin, dass im vorliegenden Fall die aus den strafrechtlichen Ermittlungen hervorgegangenen Daten, die in der Personalakte gespeichert werden, einer dieser Kategorien entsprechen. Daher kann Art. 9 Abs. 2 Buchst. b dieser Verordnung keine Grundlage für die Speicherung der im vorliegenden Fall in Rede stehenden Daten darstellen. Wie ich im Folgenden erläutern werde, ist die Grundlage für die Rechtmäßigkeit in anderen Vorschriften dieser Verordnung zu suchen, die in den Fragen des vorlegenden Gerichts nicht genannt werden(26).

68. Die Vorschriften des Art. 17 Abs. 1 Buchst. a und d DSGVO, die Gegenstand der Vorlagefragen 4 und 5 sind, enthalten die Gründe für die Löschung von Daten, die „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig [sind]“ (Buchst. a) oder „unrechtmäßig verarbeitet [wurden]“ (Buchst. d).

69. Aus einer Zusammenschau dieser beiden Fragen und der Begründung des Vorabentscheidungsersuchens ergibt sich, dass das vorlegende Gericht als Prämisse für die Entscheidung über den Antrag auf Löschung die grundsätzlichere Frage geklärt haben möchte, ob die Speicherung der in Rede stehenden Daten in der Personalakte zulässig ist.

70. Das vorlegende Gericht macht zwar keine Angaben zu dem möglicherweise im vorliegenden Fall für die Rechtmäßigkeit einschlägigen Grund oder zum anwendbaren nationalen Rechtsrahmen, doch haben sowohl die Kommission als auch die bulgarische Regierung in ihren schriftlichen Erklärungen auf Art. 6 Abs. 1 Buchst. c DSGVO Bezug genommen.

71. Nach dieser Vorschrift ist eine Verarbeitung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Art. 6 Abs. 3 DSGVO stellt u. a. klar, dass das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt und das die Rechtsgrundlage für die Verarbeitung definiert, ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss. Derselbe Rechtmäßigkeitsgrund spiegelt sich in Art. 17 Abs. 3 Buchst. b dieser Verordnung wider, der das in Art. 17 Abs. 1 DSGVO vorgesehene Recht auf Löschung ausschließt, wenn die Verarbeitung der Daten zur Erfüllung einer solchen rechtlichen Verpflichtung erforderlich ist(27).

72. Insoweit hat die bulgarische Regierung klargestellt, dass die Verarbeitung personenbezogener Daten zum Zweck der Erstellung, Aufbewahrung, Speicherung und Verwendung der Personalakten von Bediensteten des Ministeriums auf der Grundlage der vom Innenminister gemäß Art. 147 Abs. 2 ZMVR erlassenen Anweisung zu den Personalakten erfolgt. Diese Anweisung sieht vor, dass u. a. alle Daten für die Zwecke der „Änderung der Aufgaben“ von Bediensteten gespeichert werden, wie beispielsweise Daten zu Disziplinarverfahren(28). Dazu hat diese Regierung ausgeführt, dass gemäß den geltenden Bestimmungen über die disziplinarische Verantwortung von Bediensteten des Ministeriums bei jedem Vorfall im Zusammenhang mit einer Straftat innerhalb des Ministeriums eine Kopie des Berichts über das Ergebnis der Ermittlungen und die Frage, ob der Bedienstete disziplinarrechtlich belangt werden müsse, in die Personalakte aufzunehmen sei. Daraus folge, dass die Speicherung dieser Daten in der Personalakte durch die besonderen Aufgaben der Polizeibeamten gerechtfertigt sei, die der Aufrechterhaltung der öffentlichen Ordnung dienten.

73. Auf der Grundlage dieser Prämissen, die sich aus den vor dem Gerichtshof abgegebenen Erklärungen ergeben(29), schlage ich vor, die Vorlagefragen 3 bis 5 dahin umzuformulieren, dass mit ihnen geklärt werden soll, ob Art. 17 Abs. 3 DSGVO in Verbindung mit Art. 6 Abs. 1 Buchst. c und Art. 6 Abs. 3 dieser Verordnung dahin auszulegen ist, dass die Speicherung personenbezogener Daten in der Personalakte eines Polizeibeamten, die eingestellte strafrechtliche Ermittlungen betreffen, bei denen dieser Bedienstete als Verdächtiger Gegenstand von Ermittlungsmaßnahmen war, allein aufgrund der Natur der Aufgaben, mit denen dieser Bedienstete betraut ist, zwecks Erfüllung einer rechtlichen Verpflichtung als rechtmäßig angesehen werden kann, der die Behörde, die sein Dienstgeber ist, auf der Grundlage des nationalen Rechts als Verantwortlicher unterliegt.

b) Würdigung

74. Aus den Erläuterungen der bulgarischen Regierung scheint hervorzugehen, dass sich die Rechtsgrundlage für die Speicherung der in Rede stehenden Daten aus einer Zusammenschau mehrerer Vorschriften ergibt, die in einer vom Innenminister erteilten und auf der Grundlage des ZMVR erlassenen „Anweisung“ enthalten sind: Nach dem ZMVR ist eine Übertragung der Befugnis zum Erlass solcher Regelungen an den Minister ausdrücklich vorgesehen.

75. Insoweit stellt sich zunächst die Frage, ob die Grundlage für die Verarbeitung im Sinne von Art. 6 Abs. 3 DSGVO durch einen Rechtsakt festgelegt werden kann, der von einer Behörde eines Mitgliedstaats auf der Grundlage einer in einem nationalen Gesetzgebungsakt vorgesehenen gesetzlichen Ermächtigung erlassen wurde.

76. Im 41. Erwägungsgrund der DSGVO heißt es in Satz 1, dass das Erfordernis einer Rechtsgrundlage nicht notwendigerweise bedeutet, dass ein Gesetzgebungsakt von einem Parlament angenommen werden muss; davon unberührt bleiben Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats. Daraus folgt, dass der Unionsgesetzgeber nicht ausschließen wollte, dass eine rechtliche Verpflichtung in Bezug auf die Verarbeitung im nationalen Recht durch eine andere Rechtsgrundlage als ein formales Gesetz im Einklang mit dem nationalen Verfassungsrecht festgelegt wird.

77. Außerdem ist darauf hinzuweisen, dass die Mitgliedstaaten nach dem 19. Erwägungsgrund der DSGVO über einen gewissen Spielraum bei der Verarbeitung von Daten verfügen sollten, die wie im vorliegenden Fall von einer zuständigen Behörde im Sinne der Richtlinie 2016/680, aber zu Zwecken vorgenommen wird, die unter die DSGVO fallen. Somit sollten die Mitgliedstaaten spezifischere Bestimmungen beibehalten oder einführen können, um die Anwendung der DSGVO in Bezug auf die Verarbeitung solcher Daten anzupassen, „wobei der verfassungsmäßigen, organisatorischen und administrativen Struktur des betreffenden Mitgliedstaats Rechnung zu tragen ist“.

78. Die DSGVO steht mithin dem nicht entgegen, dass die Rechtsgrundlage für die Verarbeitung in einem Rechtsakt mit Verordnungscharakter festgelegt wird, der im Einklang mit dem nationalen Verfassungsrecht erlassen wurde. Dieser Spielraum kann jedoch nicht dahin ausgelegt werden, dass es erlaubt wäre, sogenannte „Öffnungsklauseln“ wie Art. 6 Abs. 3 DSGVO willkürlich zu verwenden, der es ermöglicht, im nationalen Recht eine rechtliche Verpflichtung als Grund für die Rechtmäßigkeit der Verarbeitung von Daten einzuführen(30). Wie der zweite Satz des 41. Erwägungsgrundes – in Anlehnung an die Rechtsprechung zu Art. 52 Abs. 1 der Charta(31), in dessen Licht Art. 6 Abs. 3 dieser Verordnung auszulegen ist(32) –, bestimmt, sollte die Rechtsgrundlage für die Verarbeitung klar und präzise und ihre Anwendung für die Rechtsunterworfenen vorhersehbar sein.

79. Im vorliegenden Fall geht aus den Verfahrensakten hervor, dass die Anweisungen des Ministeriums als Rechtsakte mit Verordnungscharakter auf der Grundlage der im ZMVR vorgesehenen gesetzlichen Ermächtigung erlassen und auch im Darzhaven vestnik (Amtsblatt) veröffentlicht werden. Sie stellen daher keine rein internen Anweisungen dar, die offensichtlich nicht als „Gesetz“ im materiellen Sinne eingestuft werden können(33).

80. Die Vorschriften, auf die die bulgarische Regierung Bezug genommen hat, werfen jedoch meines Erachtens Fragen hinsichtlich der Vorhersehbarkeit der Verarbeitung von Daten aus strafrechtlichen Ermittlungen auf. Genauer gesagt habe ich Zweifel an der Vorhersehbarkeit der Zwecke der Verarbeitung, die nach Art. 6 Abs. 3 DSGVO durch die Rechtsgrundlage für die Verarbeitung festgelegt werden müssen.

81. Nach den Angaben der bulgarischen Regierung gehört zu diesen Zwecken, die in Art. 5 Abs. 2 der Anweisung zu den Personalakten offenbar abschließend aufgezählt werden, der Zweck des „Wechsels … des Dienstverhältnisses“, dem die Speicherung der in Rede stehenden Daten entspreche. Nach Art. 6 Abs. 4 der Anweisung sollen die zum Zweck der „Änderung der Aufgaben“ gespeicherten Daten u. a. „Dokumente im Zusammenhang mit Disziplinarverfahren“ einschließen.

82. In Ansehung des Inhalts der in Rede stehenden Daten wird dieser Zweck offenbar so verstanden, dass er in einer sehr umfassenden Art und Weise und ungeachtet seines Wortlauts sogar die Speicherung von Daten über die Nichtdurchführung solcher Disziplinarverfahren im Anschluss an die Ermittlungen erfasst, wie dies hier der Fall gewesen wäre, und die somit keine Änderung der Aufgaben des betreffenden Bediensteten betreffen.

83. Vorbehaltlich jedweder anderen Vorschrift, die das vorlegende Gericht für relevant hält, scheint mir solch eine sehr weitreichende Anwendung der betreffenden Vorschriften der Anweisung zu den Personalakten nicht den in Nr. 78 der vorliegenden Schlussanträge genannten Anforderungen zu genügen.

84. Sollte der Gerichtshof meinen Standpunkt hinsichtlich der Feststellung fehlender Vorhersehbarkeit der Rechtsgrundlage nicht teilen, bin ich der Ansicht, dass es jedenfalls nicht ersichtlich ist, dass diese Rechtsgrundlage, die die Grundlage für die Speicherung der Daten bildet, einem im öffentlichen Interesse liegenden Ziel im Sinne von Art. 6 Abs. 3 DSGVO entspricht.

85. Hierzu hat die bulgarische Regierung in der mündlichen Verhandlung geltend gemacht, dass ohne ein im Anschluss an die Ermittlungen eingeleitetes Disziplinarverfahren die Daten zu diesen Ermittlungen später nicht im Rahmen der Gestaltung der Laufbahn des Bediensteten verwendet würden. Es liege jedoch im öffentlichen Interesse, solche Daten zu speichern, da sie Personen beträfen, die mit spezifischen Tätigkeiten zur Gewährleistung der öffentlichen Ordnung und zur Verteidigung der Bevölkerung betraut seien.

86. Zwar ist allgemein anerkannt, dass die Funktion des Polizeibeamten die Einhaltung von Regeln für das Benehmen und Verhalten erfordert, die im Vergleich zu den für andere Bediensteten oder Beschäftigten geltenden strenger sind. Es steht jedoch fest, dass die Ermittlungen in dem Fall, mit dem wir befasst sind, eingestellt wurden, da keine Beweise vorlagen, und dass gegen den betreffenden Bediensteten kein Disziplinarverfahren eingeleitet wurde. Daher vermag ich nicht zu erkennen, inwiefern die Art der diesem Bediensteten obliegenden Aufgaben der Verteidigung der öffentlichen Ordnung die Speicherung der in Rede stehenden Daten in seiner Personalakte rechtfertigen könnte.

87. Außerdem hat die bulgarische Regierung in der mündlichen Verhandlung klargestellt, dass die Speicherung von Daten aus strafrechtlichen Ermittlungen mit der Speicherung von Daten über die disziplinarrechtliche Verantwortlichkeit der Bediensteten in Verbindung stehe, da das Ergebnis der strafrechtlichen Ermittlungen entscheidend für die Frage sei, ob Anlass zu einer disziplinarrechtlichen Verantwortlichkeit bestehe. So gehe aus der Personalakte des Klägers des Ausgangsverfahrens hervor, dass die strafrechtlichen Ermittlungen, in denen er als Verdächtiger geführt worden sei, zu dem Ergebnis gekommen seien, dass kein Beweis gegen ihn vorliege, so dass kein Disziplinarverfahren eingeleitet worden sei. Meines Erachtens handelt es sich hier um einen Zirkelschluss, der die Speicherung von Daten einem im allgemeinen Interesse liegenden Ziel gleichstellt. Folgte man dieser Logik, so wäre jede Speicherung von Daten an sich gerechtfertigt, was das Erfordernis eines im öffentlichen Interesse liegenden Ziels überflüssig machen würde.

88. Folgte man diesem Argument bis zum Ende seiner Logik, würde im Übrigen die Speicherung bestimmter Daten zum Nachweis des Fehlens einer Anklage, einer Verurteilung oder einer Disziplinarstrafe – obwohl dies auch nachgewiesen werden könnte, ohne Informationen über strafrechtliche Ermittlungen oder disziplinarische Verantwortlichkeiten in die Personalakte aufzunehmen – bedeuten, dass ohne eine solche Speicherung das Fehlen von Vortaten nicht bewiesen werden könnte.

89. Dies wäre aber beinahe eine Vermutung der Schuld unter Verstoß gegen den in Art. 48 der Charta verankerten Grundsatz der Unschuldsvermutung. Dieser Grundsatz entspricht(34) der Art. 6 Abs. 2 EMRK. Ich weise darauf hin, dass dieser Grundsatz nach der Rechtsprechung des EGMR nicht bloß bis zum Abschluss des Strafverfahrens gilt, sondern verhindern soll, dass Personen, die freigesprochen wurden oder deren Verfahren eingestellt wurde, in späteren Verfahren von Behörden so behandelt werden, als ob sie die ihnen zur Last gelegte Straftat tatsächlich begangen hätten(35). Diese Auslegung würde daher im Falle einer Einstellung für die Wiederherstellung des status quo ante in der Personalakte sprechen.

90. Unabhängig von der letztgenannten Erwägung bin ich der Ansicht, dass die dem Gerichtshof vorliegenden Informationen nicht ausreichen, um festzustellen, dass die Anforderungen von Art. 6 Abs. 1 Buchst. c und Art. 6 Abs. 3 DSGVO erfüllt sind. Soweit im vorliegenden Fall keiner der anderen in Art. 6 Abs. 1 dieser Verordnung genannten Gründe für die Rechtmäßigkeit einschlägig sein sollte, was zu prüfen Sache des vorlegenden Gerichts ist(36), ist davon auszugehen, dass die Speicherung dieser Daten nicht rechtmäßig ist und der Bedienstete daher das Recht auf ihre Löschung nach Art. 17 Abs. 1 Buchst. d dieser Verordnung hat.

91. Unter diesen Umständen und mangels weiterer Angaben zu dem verfolgten legitimen Ziel ist es nicht möglich, die Verhältnismäßigkeit der Dauer der Speicherung der Daten in den Personalakten zu beurteilen, die nach den Angaben der bulgarischen Regierung in der mündlichen Verhandlung so lange währt, bis der Bedienstete 100 Jahre alt ist. Gleichwohl kann die unterschiedslose Anwendung dieser Frist auf alle Daten im Zusammenhang mit strafrechtlichen Ermittlungen unabhängig von ihrem Ausgang und der Verhängung oder Nichtverhängung von Disziplinarstrafen auch nicht mit einem bloßen Verweis auf die Aufgaben der Polizeibeamten gerechtfertigt werden(37).

92. Im Ergebnis schlage ich vor, auf die Vorlagefragen 3 bis 5 zu antworten, dass Art. 17 Abs. 3 DSGVO in Verbindung mit Art. 6 Abs. 1 Buchst. c und Art. 6 Abs. 3 dieser Verordnung dahin auszulegen ist, dass die Speicherung personenbezogener Daten in der Personalakte eines Polizeibeamten, die eingestellte strafrechtliche Ermittlungen betreffen, bei denen dieser Bedienstete als Verdächtiger Gegenstand von Ermittlungsmaßnahmen war, nicht allein aufgrund der Natur der Aufgaben, mit denen dieser Bedienstete betraut ist, zwecks Erfüllung einer rechtlichen Verpflichtung als rechtmäßig angesehen werden kann, der die Behörde, die sein Dienstgeber ist, auf der Grundlage des nationalen Rechts als Verantwortlicher unterliegt.

c) Weitere Überlegungen

93. Ich möchte mich kurz Art. 10 DSGVO zuwenden, zu dem das vorlegende Gericht keine Frage gestellt hat, zu dem aber die bulgarische Regierung in der mündlichen Verhandlung in Beantwortung einer Frage des Gerichtshofs Stellung genommen hat.

94. Diese Vorschrift legt besondere Bedingungen für die Verarbeitung von Daten „über strafrechtliche Verurteilungen und Straftaten“ fest. Sie sieht u. a. vor, dass die Verarbeitung solcher Daten aufgrund von Art. 6 Abs. 1 DSGVO nur unter behördlicher Aufsicht vorgenommen werden darf oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist. Wie sich aus dem Wortlaut dieser Vorschrift ergibt, gilt sie nur für Verarbeitungen, auf die einer der in Art. 6 Abs. 1 DSGVO vorgesehenen Rechtmäßigkeitsgründe zutrifft. Daher dürfte das vorlegende Gericht Art. 10 dieser Verordnung nur dann berücksichtigen, wenn es zu dem Ergebnis kommt, dass die Speicherung der in Rede stehenden Daten rechtmäßig ist.

95. Selbst wenn dies der Fall wäre, bin ich indessen der Ansicht, dass unter den Umständen des vorliegenden Falles die weiteren in Art. 10 DSGVO vorgesehenen Anforderungen jedenfalls erfüllt wären.

96. Zunächst weise ich darauf hin, dass Art. 10 DSGVO nach der Rechtsprechung auf Daten zu Straftaten unabhängig davon Anwendung findet, ob die Begehung der Straftat, derentwegen die Person verfolgt wurde, in dem Gerichtsverfahren tatsächlich festgestellt wurde(38).

97. Im vorliegenden Fall steht fest, dass der Kläger des Ausgangsverfahrens weder verfolgt noch angeklagt wurde, sondern dass aus den in seiner Personalakte gespeicherten Daten hervorgeht, dass er als Verdächtiger Gegenstand von Ermittlungsmaßnahmen war. Zudem bin ich der Ansicht, dass es sich bei solchen Daten um Daten „über“ Straftaten handelt(39). Das mit Art. 10 DSGVO verfolgte Ziel(40) spricht für eine Anwendung dieser Vorschrift auf personenbezogene Daten, aus denen hervorgeht, dass Verdachtsmomente hinsichtlich der Begehung einer Straftat zu Ermittlungsmaßnahmen der zuständigen Behörde gegen die betroffene Person geführt haben(41). Selbst wenn die Ermittlungen nicht zu einer Verurteilung führen, kann die Tatsache, dass solche Daten in der Personalakte enthalten sind, später negative Folgen haben.

98. Wenn der Verantwortliche eine Behörde ist, erfolgt die Verarbeitung personenbezogener Daten jedenfalls „unter behördlicher Aufsicht“(42). Im vorliegenden Fall wurden die Daten des Klägers des Ausgangsverfahrens ausschließlich in den Einheiten des Ministeriums als Verantwortlicher verarbeitet. Daher wäre es nicht erforderlich, zu prüfen, ob das nationale Recht im Sinne von Art. 10 DSGVO geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht.

4. Zur neunten Vorlagefrage

99. Mit seiner neunten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 16 Abs. 2 der Richtlinie 2016/680 dahin auszulegen ist, dass eine Behörde in ihrer Eigenschaft als Arbeitgeber jegliche Daten aus der Personalakte eines Bediensteten löschen muss, die durch ihre Organisationseinheit erhoben und gespeichert wurden, die als Ermittlungsbehörde fungiert, wenn diese Daten den Umstand betreffen, dass der Bedienstete im Rahmen eines eingestellten strafrechtlichen Ermittlungsverfahrens verdächtigt wurde.

100. Da sich aus der vorstehenden Analyse ergibt, dass die DSGVO auf die Speicherung von Daten wie die im Ausgangsverfahren in Rede stehenden anwendbar ist und die Anwendung der Richtlinie 2016/680 ausgeschlossen ist, ist die neunte Vorlagefrage nicht zu beantworten.

5. Zur zehnten Vorlagefrage

101. Mit seiner zehnten Frage möchte das vorlegende Gericht wissen, ob Art. 1 der Richtlinie 2000/78 dahin auszulegen ist, dass diese Richtlinie dem entgegensteht, dass eine Behörde, deren eine Organisationseinheit Ermittlungshandlungen gegen einen Bediensteten einer anderen Einheit durchführt, in ihrer Eigenschaft als Dienstgeber dessen Beförderung nur deshalb verweigert, weil dieser im Rahmen eines eingestellten strafrechtlichen Ermittlungsverfahrens wegen einer Straftat verdächtigt wurde.

102. Was zunächst die tatsächlichen Prämissen betrifft, auf denen diese Frage beruht, hat die bulgarische Regierung in der mündlichen Verhandlung auf Fragen des Gerichtshofs erklärt, dass der Kläger des Ausgangsverfahrens im Zeitraum nach den strafrechtlichen Ermittlungen entgegen seinem Vorbringen in höhere Funktionen befördert worden sei. Die Vermutung der Entscheidungserheblichkeit von Vorlagefragen kann jedoch nicht allein dadurch widerlegt werden, dass eine der Parteien des Ausgangsverfahrens bestimmte Tatsachen bestreitet, deren Richtigkeit der Gerichtshof nicht zu überprüfen hat und die den Streitgegenstand bestimmen(43).

103. Sodann weise ich darauf hin, dass die Richtlinie 2000/78 die Gründe, aus denen sie Diskriminierung verbietet, nämlich Religion oder Weltanschauung, Behinderung, Alter oder sexuelle Ausrichtung, in ihrem Art. 1 erschöpfend aufzählt(44). Dass jemand im Rahmen eingestellter strafrechtlicher Ermittlungen verdächtigt wurde, gehört nicht zu diesen Gründen. Das allein auf diesen Umstand gestützte Verwehren des beruflichen Aufstiegs fällt daher nicht in den Anwendungsbereich dieser Richtlinie.

104. Mithin ist der Umstand, dass die Daten über den Status als Verdächtiger von einer anderen Organisationseinheit des Dienstgebers als derjenigen erhoben wurden, der der Bedienstete zugewiesen war, unerheblich.

105. Die Richtlinie 2000/78 ist auch nicht anwendbar, wenn einem Polizeibeamten aufgrund seines Status als Verdächtiger die Beförderung verweigert wird. Aus der Rechtsprechung des Gerichtshofs geht nämlich hervor, dass eine Diskriminierung wegen des Beschäftigungsverhältnisses als solchem, insbesondere aufgrund der Zugehörigkeit zu einer Berufskategorie oder wegen des Arbeitsorts, nicht unter diese Richtlinie fällt(45).

106. Daher schlage ich vor, auf die zehnte Vorlagefrage zu antworten, dass Art. 1 der Richtlinie 2000/78 dahin auszulegen ist, dass diese Richtlinie nicht darauf anwendbar ist, dass einem Bediensteten der berufliche Aufstieg nur deshalb verwehrt wird, weil er im Rahmen eines eingestellten strafrechtlichen Ermittlungsverfahrens verdächtigt wurde.

V. Ergebnis

107. Nach alledem schlage ich dem Gerichtshof vor, die Vorlagefragen des Sofiyski rayonen sad (Rayongericht Sofia, Bulgarien) wie folgt zu beantworten:

1) Art. 2 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG und Art. 9 Abs. 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates

sind dahin auszulegen, dass

die genannte Verordnung auf die behördliche Speicherung von Daten, die den Status eines Bediensteten der fraglichen Behörde als Verdächtiger in einem strafrechtlichen Ermittlungsverfahren betreffen, in dessen Personalakte anwendbar ist, wenn die Daten von einer Organisationseinheit dieser Behörde in Ausübung ihrer Aufgaben als zuständige Behörde im Sinne dieser Richtlinie erhoben wurden, sofern mit der Speicherung andere Zwecke als die in Art. 1 Abs. 1 dieser Richtlinie genannten verfolgt werden.

2) Art. 17 Abs. 3 der Verordnung 2016/679 ist in Verbindung mit Art. 6 Abs. 1 Buchst. c und Art. 6 Abs. 3 dieser Verordnung

dahin auszulegen, dass

die Speicherung personenbezogener Daten in der Personalakte eines Polizeibeamten, die eingestellte strafrechtliche Ermittlungen betreffen, bei der dieser Bedienstete als Verdächtiger Gegenstand von Ermittlungsmaßnahmen war, nicht allein aufgrund der Natur der Aufgaben, mit denen dieser Bedienstete betraut ist, zwecks Erfüllung einer rechtlichen Verpflichtung als rechtmäßig angesehen werden kann, der die Behörde, die sein Dienstgeber ist, auf der Grundlage des nationalen Rechts als Verantwortlicher unterliegt.

3) Art. 1 der Richtlinie 2000/78/EG des Rates vom 27. November 2000 zur Festlegung eines allgemeinen Rahmens für die Verwirklichung der Gleichbehandlung in Beschäftigung und Beruf

ist dahin auszulegen, dass

diese Richtlinie nicht darauf anwendbar ist, dass einem Bediensteten der berufliche Aufstieg nur deshalb verwehrt wird, weil er im Rahmen eines eingestellten strafrechtlichen Ermittlungsverfahrens verdächtigt wurde.

1 Originalsprache: Französisch.

i Die vorliegende Rechtssache ist mit einem fiktiven Namen bezeichnet, der nicht dem echten Namen eines Verfahrensbeteiligten entspricht.

2 Verordnung des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1).

3 Richtlinie des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, L 119, S. 89).

4 Richtlinie des Rates vom 27. November 2000 zur Festlegung eines allgemeinen Rahmens für die Verwirklichung der Gleichbehandlung in Beschäftigung und Beruf (ABl. 2000, L 303, S. 16).

5 DV Nr. 53 vom 27. Juni 2014.

6 DV Nr. 78 vom 19. September 2014, geändert und ergänzt durch DV Nr. 27 vom 14. April 2015, geändert und ergänzt durch DV Nr. 53 vom 25. Juni 2021.

7 Vgl. in diesem Sinn Urteil vom 8. Mai 2015, Stadt Wuppertal (C‑130/24, EU:C:2025:340, Rn. 42).

8 Zwar haben die strafrechtlichen Ermittlungen im Jahr 2016, d. h. vor dem Inkrafttreten der DSGVO und der Richtlinie 2016/680, stattgefunden; indessen beantragt der Kläger des Ausgangsverfahrens die Löschung seiner Daten, die bis heute noch vom Ministerium gespeichert werden. Unter diesen Umständen habe ich keinen Zweifel daran, dass die DSGVO und die Richtlinie 2016/680 ratione temporis auf den Ausgangsrechtsstreit anwendbar sind.

9 Vgl. in diesem Sinne Urteil vom 4. Oktober 2024, Bezirkshauptmannschaft Landeck (Versuchter Zugriff auf die auf einem Mobiltelefon gespeicherten personenbezogenen Daten) (C‑548/21, EU:C:2024:830, Rn. 53).

10 Die Vorlagefragen 1, 2, 4, 5, 7 und 9.

11 Die Vorlagefragen 3, 6 und 8.

12 Zur Umformulierung von Fragen vgl. Urteil vom 3. Juni 2025, Kinsa (C‑460/23, EU:C:2025:392, Rn. 34 und die dort angeführte Rechtsprechung).

13 Art. 52 der Charta, auf den sich diese Frage ebenfalls bezieht, regelt Einschränkungen der Grundrechte und ist meines Erachtens im Kontext der Abgrenzung des Anwendungsbereichs der DSGVO und der Richtlinie 2016/680 nicht einschlägig.

14 Die im Rahmen der DSGVO vorgenommene Auslegung dieser Begriffe sollte daher auf diese Richtlinie entsprechend herangezogen werden; zum Begriff „Verarbeitung“ vgl. Urteil vom 4. Oktober 2024, Bezirkshauptmannschaft Landeck (Versuchter Zugriff auf die auf einem Mobiltelefon gespeicherten personenbezogenen Daten) (C‑548/21, EU:C:2024:830, Rn. 71).

15 Vgl. in diesem Sinn Urteil vom 8. Dezember 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Zwecke der Verarbeitung personenbezogener Daten – Strafrechtliche Ermittlungen) (C‑180/21, EU:C:2022:967, Rn. 73).

16 Vgl. Art. 29 Abs. 1 ZMVR. Zur Benennung des Verantwortlichen nach nationalem Recht vgl. Urteil vom 11. Januar 2024, État belge (Von einem Amtsblatt verarbeitete Daten) (C‑231/22, EU:C:2024:7, Rn. 29 und 30).

17 Art. 2 Abs. 1 DSGVO.

18 Vgl. in diesem Sinne Urteil vom 7. März 2024, Endeemol Shine Finland (C‑740/22, EU:C:2024:216, Rn. 37 und 38).

19 Nach den von der bulgarischen Regierung vorgelegten Informationen werden gemäß Art. 147 Abs. 1 ZMVR und den Art. 3 und 6 der Anweisung zu den Personalakten diese aufsteigend nummeriert und in bestimmten Ordnern abgelegt, und die personenbezogenen Daten werden dort gespeichert und in vordefinierte Abschnitte unterteilt.

20 Vgl. Urteil vom 8. Dezember 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Zwecke der Verarbeitung personenbezogener Daten – Strafrechtliche Ermittlungen) (C‑180/21, EU:C:2022:967, Rn. 74).

21 Art. 5 Abs. 1 Buchst. b DSGVO und Art. 4 Abs. 1 Buchst. b der Richtlinie 2016/680.

22 Vgl. in diesem Sinne Schlussanträge des Generalanwalts Campos Sánchez-Bordona in der Rechtssache Inspektor v Inspektorata kam Visshia sadeben savet (Zwecke der Verarbeitung personenbezogener Daten – Strafrechtliche Ermittlungen) (C‑180/21, EU:C:2022:967, Nrn. 37, 38, 70 und 71).

23 Es sei denn, es handelt sich um eine Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, d. h. eine, die auf die Wahrung der nationalen Sicherheit abzielt oder die derselben Kategorie zugeordnet werden kann, was hier nicht der Fall zu sein scheint; vgl. Urteil vom 22. Juni 2021,Latvijas Republikas Saeima (Strafpunkte) (C‑439/19, EU:C:2021:504, Rn. 66 bis 68).

24 Vgl. in diesem Sinne Schlussanträge des Generalanwalts Campos Sánchez-Bordona in der Rechtssache Lietuvos Respublikos generalinė prokuratūra (C‑162/22, EU:C:2023:266, Nrn. 83 und 84).

25 Vgl. insbesondere Nr. 72 der vorliegenden Schlussanträge.

26 Dieser Umstand hindert den Gerichtshof nicht daran, diese Vorschriften bei der Umformulierung der Fragen zu berücksichtigen; vgl. Urteil vom 13. März 2025, Alsen (C‑137/23, EU:C:2025:179, Rn. 46 und die dort angeführte Rechtsprechung).

27 Vgl. in diesem Sinne Schlussanträge des Generalanwalts Medina in der Rechtssache Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:445, Nrn. 62 und 63).

28 Art. 5 Abs. 2 und Art. 6 Abs. 4 der Anweisung zu den Personalakten.

29 Zur Berücksichtigung solcher Angaben vgl. Urteil vom 13. Juli 2023, Ferrovienord (C‑363/21 und C‑364/21, EU:C:2023:563, Rn. 58 und die dort angeführte Rechtsprechung).

30 Vgl. in diesem Sinne Schlussanträge des Generalanwalts Pikamäe in der Rechtssache SCHUFA Holding u. a. (Scoring) (C‑634/21, EU:C:2023:220, Nr. 69).

31 Vgl. u. a. Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C‑175/20, EU:C:2022:124, Rn. 54 bis 56).

32 Vgl. in diesem Sinne Urteil vom 1. August 2022, Vyriausioj tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, Rn. 69 und 70).

33 Zur Einstufung einer Norm als Gesetz im Sinne der in Rom am 4. November 1950 unterzeichneten Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) vgl. EGMR, 25. März 1983, Silver u. a./Vereinigtes Königreich, CE:ECHR:1983:0325JUD000594772, § 26 und §§ 86 bis 88.

34 Vgl. u. a. Urteil vom 2. Februar 2021, Consob (C‑481/19, EU:C:2021:84, Rn. 37).

35 Für einen Überblick über diese Rechtsprechung vgl. EGMR, Große Kammer, 11. Juni 2024, Nealon und Hallam/Vereinigtes Königreich, CE:ECHR:2024:0611JUD003248319, §§ 102 bis 109 und 122 bis 125, sowie speziell im Bereich des öffentlichen Dienstes EGMR, 16. Februar 2017, Yildiz/Türkei (CE:ECHR:2017:0124DEC006518210, §§ 30 bis 34). In dieser Rechtssache machte ein Polizeibeamter geltend, dass ein negatives Beurteilungsverfahren die Vermutung impliziere, dass er sich einer Straftat schuldig gemacht habe, obwohl er freigesprochen worden sei. Der EGMR kam jedoch zu dem Ergebnis, dass Art. 6 Abs. 2 EMRK nicht anwendbar sei, da der Beschwerdeführer nicht nachgewiesen habe, dass durch seine Behandlung ein Zusammenhang zwischen dem Strafverfahren und dem späteren Verwaltungsverfahren hergestellt worden sei.

36 Die Kommission hat in ihren schriftlichen Erklärungen auf Art. 6 Abs. 1 Buchst. e DSGVO Bezug genommen, der die Verarbeitung betrifft, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Handelt es sich tatsächlich um einen Rechtmäßigkeitsgrund, der für eine Behörde gelten kann, so unterliegt er auch den Anforderungen von Art. 6 Abs. 3 dieser Verordnung. Somit würde sich die Frage, ob ein im öffentlichen Interesse liegendes Ziel vorliegt, dennoch stellen.

37 Ich weise darauf hin, dass die Daten nach dem in Art. 5 Abs. 1 Buchst. c DSGVO verankerten Grundsatz der Datenminimierung dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen. Nach dem 39. Erwägungsgrund der DSGVO erfordert dieser Grundsatz, dass die Speicherfrist für personenbezogene Daten auf das unbedingt erforderliche Mindestmaß beschränkt bleibt.

38 Urteil vom 24. September 2019, GC u. a. (Auslistung sensibler Daten) (C‑136/17, EU:C:2019:773, Rn. 72).

39 Die bulgarische Regierung hat in der mündlichen Verhandlung erklärt, dass der Status eines Verdächtigen nach bulgarischem Recht keine besondere rechtliche Stellung mit sich bringe. Der Gerichtshof hat bereits entschieden, dass der Begriff „Straftat“ autonom und einheitlich auszulegen ist (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 80 bis 85), was meines Erachtens für alle Elemente des Anwendungsbereichs von Art. 10 DSGVO gelten sollte.

40 Nämlich die Gewährleistung eines verstärkten Schutzes gegen Verarbeitungen, die aufgrund der besonderen Sensibilität der Daten einen besonders schweren Eingriff in das Privat- und Berufsleben der betreffenden Person darstellen können; vgl. Urteil vom 22. Juni 2021, Latvijas Republikas Saeima (Strafpunkte) (C‑439/19, EU:C:2021:504, Rn. 74 und 75).

41 Diese Position wird geteilt von Bäcker, M., „Art. 10“, in Wolff, H.A., Brink, S. und von Ungern-Sternberg, A., BeckOK Datenschutzrecht, 51. Edition, C.H. Beck, 2024, Rn. 3; vgl. auch Georgieva, L., „Article 10“, in Kuner, C., Bygrave, L.A. und Docksey, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, 2020, S. 389.

42 Vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima (Strafpunkte) (C‑439/19, EU:C:2021:504, Rn. 101).

43 Urteil vom 5. Dezember 2006, Cipolla u. a. (C‑94/04 und C‑202/04, EU:C:2006:758, Rn. 26).

44 Vgl. in diesem Sinne Urteile vom 17. Juli 2008, Coleman (C‑303/06, EU:C:2008:415, Rn. 38 und 46); vom 7. Juli 2011, Agafiţei u. a. (C‑310/10, EU:C:2011:467, Rn. 34), und vom 20. Oktober 2022, Curtea de Apel Alba Iulia u. a. (C‑301/21, EU:C:2022:811, Rn. 64 und 69 sowie die dort angeführte Rechtsprechung).

45 Urteile vom 7. Juli 2011, Agafiţei u. a. (C‑310/10, EU:C:2011:467, Rn. 31 bis 33), vom 9. März 2017, Milkova (C‑406/15, EU:C:2017:198, Rn. 44), und vom 17. Oktober 2024, Zetschek (C‑349/23, EU:C:2024:889, Rn. 25 und die dort angeführte Rechtsprechung).