Europäischer Gerichtshof Urteil vom 20.11.2025 – C-57/23

URTEIL DES GERICHTSHOFS (Fünfte Kammer) 20. November 2025 ( „Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr – Richtlinie (EU) 2016/680 – Art. 4 Abs. 1 Buchst. c und e – Minimierung der Datenverarbeitung – Begrenzung der Speicherung personenbezogener Daten – Art. 10 – Erhebung und Speicherung biometrischer und genetischer Daten – Unbedingte Erforderlichkeit – Art. 6 Buchst. a – Verpflichtung, zwischen den personenbezogenen Daten verschiedener Personenkategorien zu unterscheiden – Nationale Rechtsvorschriften, die die Erhebung biometrischer und genetischer Daten jeder Person vorsehen, die einer vorsätzlichen Straftat verdächtig ist oder der Begehung einer solchen Tat beschuldigt wird – Art. 5 – Angemessene Fristen für die Löschung oder die regelmäßige Überprüfung der Notwendigkeit der Speicherung dieser Daten – Keine Höchstfrist für die Speicherung – Beurteilung der Notwendigkeit der Speicherung biometrischer und genetischer Daten durch die Polizei auf der Grundlage interner Vorschriften – Art. 8 Abs. 2 – Rechtmäßigkeit der Verarbeitung dieser Daten – Begriff ‚Recht der Mitgliedstaaten‘ – Möglichkeit, die nationale Rechtsprechung als ‚Recht der Mitgliedstaaten‘ einzustufen“ In der Rechtssache C‑57/23 betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Nejvyšší správní soud (Oberstes Verwaltungsgericht, Tschechische Republik) mit Entscheidung vom 26. Januar 2023, beim Gerichtshof eingegangen am 2. Februar 2023, in dem Verfahren JH gegen Policejní prezidium erlässt DER GERICHTSHOF (Fünfte Kammer) unter Mitwirkung der Kammerpräsidentin M. L. Arastey Sahún sowie der Richter J. Passer, E. Regan (Berichterstatter), D. Gratsias und B. Smulders, Generalanwalt: J. Richard de la Tour, Kanzler: I. Illéssy, Verwaltungsrat, aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 28. November 2024, unter Berücksichtigung der Erklärungen – von JH, vertreten durch M. Mandzák, L. Nezpěvák und L. Trojan, Advokáti, – der tschechischen Regierung, vertreten durch M. Smolek, O. Serdula, J. Vláčil, T. Suchá und L. Březinová als Bevollmächtigte, – Irlands, vertreten durch M. Browne, Chief State Solicitor, A. Joyce und D. O’Reilly als Bevollmächtigte im Beistand von A. Mulligan, BL, – der niederländischen Regierung, durch J. Langer als Bevollmächtigten, – der polnischen Regierung, vertreten durch B. Majczyna als Bevollmächtigten, – der Europäischen Kommission, vertreten durch A. Bouchagiar, H. Kranenborg, P. Němečková und F. Wilman als Bevollmächtigte, nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 27. Februar 2025 folgendes Urteil

1 Das vorliegende Vorabentscheidungsersuchen betrifft die Auslegung von Art. 4 Abs. 1 Buchst. c und e, Art. 6, Art. 8 Abs. 2 und Art. 10 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, L 119, S. 89, berichtigt in ABl. 2021, L 74, S. 36).

2 Es ergeht im Rahmen eines Rechtsstreits zwischen JH und dem Policejní prezidium (Polizeidirektion, Tschechische Republik) (im Folgenden: tschechische Polizeidirektion) über u. a. die Erhebung biometrischer und genetischer Daten von JH im Rahmen eines Strafverfahrens und die Speicherung dieser Daten durch die tschechische Polizei. Rechtlicher Rahmen Unionsrecht

3 In den Erwägungsgründen 1, 2, 26, 33, 37 und 96 der Richtlinie 2016/680 heißt es: „(1) Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union (im Folgenden ‚Charta‘) sowie Artikel 16 Absatz 1 [AEUV] hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten gewährleisten, dass ihre Grundrechte und Grundfreiheiten und insbesondere ihr Recht auf Schutz personenbezogener Daten ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gewahrt bleiben. … … (26) Jede Verarbeitung personenbezogener Daten muss auf rechtmäßige Weise, nach dem Grundsatz von Treu und Glauben und in einer für die betroffenen natürlichen Personen nachvollziehbaren Weise erfolgen, und die Daten dürfen nur für bestimmte, durch Rechtsvorschriften geregelte Zwecke verarbeitet werden. Dies steht an sich der Durchführung von Maßnahmen wie verdeckten Ermittlungen oder Videoüberwachung durch die Strafverfolgungsbehörden nicht entgegen. Diese Maßnahmen können zwecks Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, getroffen werden, sofern sie durch Rechtsvorschriften geregelt sind und eine erforderliche und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft darstellen, bei der die berechtigten Interessen der betroffenen natürlichen Person gebührend berücksichtigt werden. … Natürliche Personen sollten über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten informiert und darüber aufgeklärt werden, wie sie ihre diesbezüglichen Rechte geltend machen können. Insbesondere sollten die bestimmten Zwecke, zu denen die personenbezogene[n] Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt [ihrer] Erhebung feststehen. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sein. … Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen. Die Mitgliedstaaten sollten geeignete Garantien für den Fall festlegen, dass personenbezogene Daten für die Archivierung im öffentlichen Interesse und die wissenschaftliche, statistische oder historische Verwendung für längere Zeiträume gespeichert werden. … (33) Wenn in dieser Richtlinie auf [das] Recht der Mitgliedstaaten, eine Rechtsgrundlage oder eine Gesetzgebungsmaßnahme Bezug genommen wird, erfordert dies nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt, wobei Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats unberührt bleiben. [Das] Recht der Mitgliedstaaten, [die] Rechtsgrundlagen oder [die] Gesetzgebungsmaßnahmen sollten jedoch klar und präzise sein[,] und ihre Anwendung sollte für diejenigen, die ihnen unterliegen, vorhersehbar sein, wie in der Rechtsprechung des Gerichtshofs und des Europäischen Gerichtshofs für Menschenrechte gefordert. Im Recht der Mitgliedstaaten, das die Verarbeitung personenbezogener Daten innerhalb des Anwendungsbereichs dieser Richtlinie regelt, sollten zumindest die Ziele, die zu verarbeitenden personenbezogenen Daten, die Zwecke der Verarbeitung sowie Verfahren zur Wahrung von Integrität und Vertraulichkeit der personenbezogenen Daten und Verfahren für ihre Vernichtung angegeben werden, um hinreichende Garantien gegen die Gefahr des Missbrauchs und der Willkür zu bieten. … (37) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Diese personenbezogenen Daten sollten personenbezogene Daten umfassen, aus denen die rassische oder ethnische Herkunft hervorgeht, wobei die Verwendung des Begriffs ‚rassische Herkunft‘ in dieser Richtlinie nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt. Solche personenbezogenen Daten sollten nur dann verarbeitet werden, wenn die Verarbeitung vorbehaltlich geeigneter Garantien für die durch Rechtsvorschriften festgelegten Rechte und Freiheiten der betroffenen Person erfolgt und in durch Rechtsvorschriften geregelten Fällen erlaubt ist oder anderenfalls zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person erforderlich ist oder aber sich auf Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat. Zu den geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person kann beispielsweise zählen, dass diese Daten nur in Verbindung mit anderen Daten über die betroffene natürliche Person erhoben werden dürfen, die erhobenen Daten hinreichend gesichert werden müssen, der Zugang der Mitarbeiter der zuständigen Behörde zu den Daten strenger geregelt und die Übermittlung dieser Daten verboten wird. … … (96) Die Mitgliedstaaten sollten gehalten sein, diese Richtlinie innerhalb von höchstens zwei Jahren nach ihrem Inkrafttreten umzusetzen. Verarbeitungen, die zu diesem Zeitpunkt bereits begonnen haben, sollten innerhalb von zwei Jahren nach dem Inkrafttreten dieser Richtlinie mit ihr in Einklang gebracht werden. Stehen die Verarbeitungen jedoch im Einklang mit dem vor Inkrafttreten dieser Richtlinie geltenden Unionsrecht, so sollten die Anforderungen der vorliegenden Richtlinie betreffend die vorherige Konsultation der Aufsichtsbehörde nicht für Verarbeitungsvorgänge gelten, die bereits vor diesem Zeitpunkt begonnen wurden, da diese Anforderungen naturgemäß vor der Verarbeitung erfüllt sein müssen. … …“

4 Art. 1 („Gegenstand und Ziele“) Abs. 1 der Richtline 2016/680 bestimmt: „Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.“

5 Art. 2 („Anwendungsbereich“) Abs. 1 der Richtlinie 2016/680 bestimmt: „Diese Richtlinie gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken.“

6 In Art. 3 („Begriffsbestimmungen“) der Richtlinie 2016/680 heißt es: „Im Sinne dieser Richtlinie bezeichnet der Ausdruck: 1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; 2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; … 12. ‚genetische Daten‘ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden; 13. ‚biometrische Daten‘ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten; …“

7 Art. 4 („Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten“) Abs. 1 der Richtlinie 2016/680 bestimmt: „Die Mitgliedstaaten sehen vor, dass personenbezogene Daten a) auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden, b) für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden, c) dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sind, d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind; dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden, e) nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, …“

8 Art. 5 („Fristen für die Speicherung und Überprüfung“) der Richtlinie 2016/680 lautet: „Die Mitgliedstaaten sehen vor, dass für die Löschung von personenbezogenen Daten oder eine regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung angemessene Fristen vorzusehen sind. Durch verfahrensrechtliche Vorkehrungen ist sicherzustellen, dass diese Fristen eingehalten werden.“

9 Art. 6 („Unterscheidung verschiedener Kategorien betroffener Personen“) der Richtlinie 2016/680 bestimmt: „Die Mitgliedstaaten sehen vor, dass der Verantwortliche gegebenenfalls und so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien betroffener Personen klar unterscheidet, darunter: a) Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden, b) verurteilte Straftäter, c) Opfer einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten, und d) andere Parteien im Zusammenhang mit einer Straftat, wie Personen, die bei Ermittlungen in Verbindung mit der betreffenden Straftat oder beim anschließenden Strafverfahren als Zeugen in Betracht kommen, Personen, die Hinweise zur Straftat geben können, oder Personen, die mit den unter den Buchstaben a und b genannten Personen in Kontakt oder in Verbindung stehen.“

10 Art. 8 („Rechtmäßigkeit der Verarbeitung“) der Richtlinie 2016/680 bestimmt: „(1) Die Mitgliedstaaten sehen vor, dass die Verarbeitung nur dann rechtmäßig ist, wenn und soweit diese Verarbeitung für die Erfüllung einer Aufgabe erforderlich ist, die von der zuständigen Behörde zu den in Artikel 1 Absatz 1 genannten Zwecken wahrgenommen wird, und auf Grundlage des Unionsrechts oder des Rechts der Mitgliedstaaten erfolgt. (2) Im Recht der Mitgliedstaaten, das die Verarbeitung innerhalb des Anwendungsbereichs dieser Richtlinie regelt, werden zumindest die Ziele der Verarbeitung, die personenbezogenen Daten, die verarbeitet werden sollen, und die Zwecke der Verarbeitung angegeben.“

11 Art. 10 („Verarbeitung besonderer Kategorien personenbezogener Daten“) der Richtlinie 2016/680 lautet: „Die Verarbeitung personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung ist nur dann erlaubt, wenn sie unbedingt erforderlich ist und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt und a) wenn sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist, b) der Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen natürlichen Person dient oder c) wenn sie sich auf Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat.“

12 Gemäß Art. 63 Abs. 1 der Richtlinie 2016/680 mussten die Mitgliedstaaten die Rechts- und Verwaltungsvorschriften, die erforderlich sind, um der Richtlinie nachzukommen, bis zum 6. Mai 2018 erlassen und veröffentlichen und der Kommission unverzüglich den Wortlaut dieser Vorschriften mitteilen. Darüber hinaus sind die Mitgliedstaaten verpflichtet, diese Bestimmungen seit diesem Zeitpunkt anzuwenden.

13 Gemäß ihrem Art. 64 trat die Richtlinie 2016/680 am 5. Mai 2016 in Kraft. Tschechisches Recht

14 § 11 („Verhältnismäßigkeit der Handlungen“) des Zákon č. 273/2008 Sb., o Policii České republiky (Gesetz Nr. 273/2008 über die Polizei der Tschechischen Republik) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung (im Folgenden: tschechisches Polizeigesetz) bestimmt: „Polizeibeamte und Mitarbeiter der Polizei sind verpflichtet, … c) so vorzugehen, dass ein etwaiger Eingriff in die Rechte und Freiheiten der Personen, gegen die sich die Maßnahme richtet, oder außenstehender Personen nicht über das hinausgeht, was zur Erreichung des mit der Maßnahme verfolgten Ziels erforderlich ist.“

15 § 65 des tschechischen Polizeigesetzes bestimmt: „(1) Bei der Erfüllung ihrer Aufgaben kann die Polizei zum Zwecke der künftigen Identifizierung bei a) einer Person, die der vorsätzlichen Begehung einer Straftat beschuldigt wird, oder einer Person, der mitgeteilt wurde, dass sie der Begehung einer solchen Straftat verdächtigt wird, b) einer Person, die eine Freiheitsstrafe wegen einer vorsätzlich begangenen Straftat verbüßt, c) einer Person, die medizinischen Zwangsmaßnahmen unterworfen ist oder gegen die die Sicherungsverwahrung angeordnet ist, oder d) einer zur Fahndung ausgeschriebenen Person, die aufgefunden wurde und in ihrer Rechts- und Geschäftsfähigkeit beschränkt ist, Fingerabdrücke abnehmen, körperliche Merkmale identifizieren, Körpermaße nehmen, Bild‑, Ton- und ähnliche Aufnahmen machen sowie biologische Proben entnehmen, aus denen Informationen über die genetische Struktur gewonnen werden können. (2) Kann eine Maßnahme nach Abs. 1 aufgrund des Widerstands der Person nicht durchgeführt werden, ist der Polizeibeamte befugt, sich über diesen Widerstand hinwegzusetzen, nachdem er die Person erfolglos aufgefordert hat, sich dieser Maßnahme zu unterwerfen. Die Art und Weise, in der er sich über diesen Widerstand hinwegsetzt, muss in angemessenem Verhältnis zu der Intensität des Widerstands stehen. Im Fall der Entnahme einer Blutprobe und anderer ähnlicher Maßnahmen, die in die körperliche Unversehrtheit eingreifen, darf der Polizeibeamte sich nicht über den Widerstand einer Person hinwegsetzen. (3) Wenn eine nach Abs. 1 vorgesehene Maßnahme nicht vor Ort durchgeführt werden kann, ist der Polizeibeamte befugt, die Person zur Durchführung der Maßnahme vorzuführen. Nach der Durchführung der Maßnahme lässt der Polizeibeamte die Person frei. (4) Der Polizeibeamte verfasst einen Bericht über die durchgeführten Maßnahmen. (5) Die Polizei löscht die nach Abs. 1 erhobenen personenbezogenen Daten, sobald ihre Verarbeitung für die Verhütung, Ermittlung oder Aufdeckung von Straftaten oder die Verfolgung von Straftaten oder für die Gewährleistung der Sicherheit der Tschechischen Republik, der öffentlichen Ordnung oder der inneren Sicherheit nicht mehr erforderlich ist.“

16 § 79 („Grundsätzliche Bestimmungen über die Verarbeitung personenbezogener Daten bei der Erfüllung bestimmter polizeilicher Aufgaben“) Abs. 1 und 2 des tschechischen Polizeigesetzes sieht vor: „(1) Die Abs. 2 bis 6 und die §§ 79a bis 88 finden auf die Verarbeitung personenbezogener Daten zu Zwecken der Verhütung, Ermittlung und Aufdeckung von Straftaten, der Strafverfolgung, zur Gewährleistung der Sicherheit der Tschechischen Republik oder der öffentlichen Ordnung und der inneren Sicherheit einschließlich der Verarbeitung zu Zwecken der Fahndung nach Personen und Sachen Anwendung. (2) Die Polizei kann personenbezogene Daten verarbeiten, wenn dies erforderlich ist, um die in Abs. 1 genannten Ziele zu erreichen. Die Polizei kann personenbezogene Daten ferner zum Schutz wichtiger im Zusammenhang mit den in Abs. 1 genannten Zielen stehender Interessen einer betroffenen Person verarbeiten. …“

17 In § 82 („Prüfung der Erforderlichkeit einer weiteren Verarbeitung personenbezogener Daten“) dieses Gesetzes heißt es: „(1) Die Polizei überprüft mindestens alle drei Jahre, ob die zu den in § 79 Abs. 1 genannten Zwecken verarbeiteten personenbezogenen Daten zur Erfüllung ihrer Aufgaben in diesem Bereich weiterhin erforderlich sind. (2) Zum Zweck der Überprüfung gemäß Abs. 1 kann die Polizei ein Führungszeugnis verlangen. (3) Die Strafverfolgungs- und Justizbehörden, das Ministerstvo spravedlnosti [(Justizministerium, Tschechische Republik)], der Ustavní soud [(Verfassungsgericht, Tschechische Republik)] und die Kancelář prezidenta republiky [(Kanzlei des Präsidenten der Republik, Tschechische Republik)] informieren die Polizei innerhalb ihrer jeweiligen Zuständigkeitsbereiche zum Zweck der Überprüfung gemäß Abs. 1 laufend über ihre bestands- bzw. rechtskräftigen Entscheidungen, die Verfolgungsverjährung, die Vollstreckung einer Strafe oder Entscheidungen des Präsidenten der Republik in Bezug auf ein Strafverfahren, Strafen oder die Gewährung einer Amnestie bzw. Begnadigung.“ Ausgangsrechtsstreit und Vorlagefragen

18 Mit Entscheidung vom 11. Dezember 2015 leitete die Dienststelle für die Aufdeckung von Korruption und Finanzkriminalität der Kriminalpolizei- und Ermittlungsbehörde der Abteilung Plzeň (Pilsen, Tschechische Republik), eine Behörde der tschechischen Polizei mit nationaler Zuständigkeit, ein Strafverfahren gegen JH wegen Verstoßes gegen eine Pflicht bei der Verwaltung des fremden Vermögens ein.

19 Am 13. Januar 2016 vernahm die tschechische Polizei JH im Rahmen des betreffenden Strafverfahrens und ordnete – trotz des Widerspruchs von JH – die Durchführung folgender Identifizierungsmaßnahmen an: Abnahme der Fingerabdrücke von JH, Wangenabstrich bei JH, anhand dessen die Polizei ein genetisches Profil erstellte, Aufnahme von Fotos von JH sowie Erstellung einer Beschreibung von ihm. Die Polizei gab diese Informationen sodann in die entsprechenden Datenbanken ein.

20 Mit Urteil vom 15. März 2017 stellte der Městský soud v Praze (Stadtgericht Prag, Tschechische Republik) fest, dass JH die Straftat der Verletzung einer Pflicht zur Verwaltung des fremden Vermögens in Mittäterschaft sowie die Straftat des Amtsmissbrauchs begangen habe. Dieses Gericht verurteilte JH zu einer Freiheitsstrafe von drei Jahren, deren Vollstreckung zur Bewährung ausgesetzt wurde, zu einem vierjährigen Verbot, in der öffentlichen Verwaltung leitende Funktionen einschließlich der Verwaltung von Mobiliar- und Immobiliarvermögen, wahrzunehmen, sowie dazu, den verursachten Schaden im Rahmen seiner Möglichkeiten wiedergutzumachen.

21 Am 8. März 2016 erhob JH beim Městský soud v Praze (Stadtgericht Prag) Klage auf Feststellung, dass die Durchführung von Identifizierungsmaßnahmen nach § 65 des tschechischen Polizeigesetzes, die Speicherung der auf diese Weise gewonnenen Informationen und Proben sowie die Erstellung eines Eintrags im Informationssystem der tschechischen Polizei einen rechtswidrigen Eingriff in sein Grundrecht auf Achtung des Privatlebens darstellten.

22 Da der Městský soud v Praze (Stadtgericht Prag) bereits im Rahmen einer anderen damals anhängigen Rechtssache beim Ústavní soud (Verfassungsgericht, Tschechische Republik) einen Antrag auf Prüfung der Verfassungsmäßigkeit von § 65 des tschechischen Polizeigesetzes gestellt hatte, setzte dieses Gericht die Prüfung der von JH erhobenen Klage aus.

23 Mit Entscheidung vom 22. März 2022 wies der Ústavní soud (Verfassungsgericht) den Antrag des Městský soud v Praze (Stadtgericht Prag) auf Feststellung der Verfassungswidrigkeit von § 65 des tschechischen Polizeigesetzes zurück. Im Anschluss an diese Entscheidung nahm dieses Gericht die Prüfung der von JH erhobenen Klage wieder auf.

24 Mit Urteil vom 23. Juni 2022 gab der Městský soud v Praze (Stadtgericht Prag) der Klage von JH statt und entschied, dass die Handlungen der tschechischen Polizei vom 13. Januar 2016 rechtswidrig gewesen seien. Infolgedessen gab dieses Gericht der tschechischen Polizei auf, alle sich aus diesen Handlungen ergebenden personenbezogenen Daten aus ihren Datenbanken zu löschen.

25 In seinem Urteil hob dieses Gericht hervor, dass die Entnahme von genetischem Material einen erheblichen Eingriff in das insbesondere durch Art. 8 der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten und durch Art. 10 Abs. 3 der Listina základních práv a svobod (Charta der Grundrechte und Grundfreiheiten der Tschechischen Republik) geschützte Grundrecht auf Achtung des Privatlebens des Betroffenen darstelle. § 65 des tschechischen Polizeigesetzes liefere jedoch keine hinreichenden Anhaltspunkte für die Beurteilung der Verhältnismäßigkeit dieses Eingriffs. Die einzige Überprüfung, die die letztgenannte Bestimmung verlange, bestehe nämlich darin, dass die tschechische Polizei vor der Entnahme genetischen Materials den „vorsätzlichen“ Charakter der begangenen Straftat prüfe.

26 Im Übrigen stellte dieses Gericht fest, dass JH nur eines Vergehens, nämlich einer Straftat von geringerer Schwere, beschuldigt werde, dass seine Freiheitsstrafe zur Bewährung ausgesetzt worden sei, was die geringere Schwere der zur Last gelegten Tat bestätige, dass er zuvor nie verurteilt worden sei, dass eine Wiederholungstat von JH wenig wahrscheinlich sei und dass nicht sicher sei, ob die begangenen Straftaten zu der Art von Straftaten gehörten, in der die Täter in Zukunft eine Straftat begehen würden, zu deren Aufdeckung die in den Datenbanken gespeicherten personenbezogenen Daten beitragen könnten. Es schloss daraus, dass die von der tschechischen Polizei vorgenommenen Identifizierungsmaßnahmen, die Gegenstand des Ausgangsrechtsstreits seien, dem Erfordernis der Verhältnismäßigkeit nicht genügten.

27 Die tschechische Polizeidirektion legte gegen dieses Urteil Kassationsbeschwerde beim Nejvyšší správní soud (Oberstes Verwaltungsgericht, Tschechische Republik), dem vorlegenden Gericht, ein.

28 Zur Begründung ihrer Beschwerde trug die tschechische Polizeidirektion vor, dass der Zweck der Verarbeitung personenbezogener Daten in § 65 des tschechischen Polizeigesetzes klar zum Ausdruck komme. Im vorliegenden Fall hätten die zuständigen Behörden der tschechischen Polizei die Verhältnismäßigkeit der Erhebung und Speicherung der personenbezogenen Daten von JH unter Berücksichtigung des Faktors einer Wiederholungstat, der möglichen Verschlimmerung der Tathandlungen und des Umstands beurteilt, dass JH in der Vergangenheit mehrere Zuwiderhandlungen begangen habe.

29 JH erwiderte hierauf insbesondere, dass die tschechischen Polizeibehörden die Identifizierungsmaßnahmen durchgeführt hätten, ohne zuvor die Verhältnismäßigkeit des Eingriffs zu prüfen. JH rügte außerdem die fehlende Publizität der Anweisungen der tschechischen Polizei zur Durchführung von Identifizierungsmaßnahmen.

30 Das vorlegende Gericht hebt hervor, dass nach seiner jüngsten Rechtsprechung die bloße Einhaltung der in § 65 Abs. 1 des tschechischen Polizeigesetzes aufgestellten formalen Anforderungen, insbesondere des Erfordernisses der Einstufung als „vorsätzliche“ Straftat, nicht ausreiche, um die Erhebung und Speicherung der in dieser Bestimmung genannten personenbezogenen Daten als rechtmäßig anzusehen. So seien die Polizeibehörden verpflichtet, die Verhältnismäßigkeit der Entnahme genetischen Materials in jedem Einzelfall zu beurteilen und dabei insbesondere die strafrechtliche Vergangenheit, die Persönlichkeit und das Verhalten der betroffenen Person, die Schwere der Straftat, derentwegen diese Person zur Vornahme von Identifizierungsmaßnahmen geladen worden sei, und im Rahmen eines Antrags auf nachträgliche Löschung die seit der Begehung der betreffenden Straftat verstrichene Zeit zu berücksichtigen.

31 In Anwendung dieser Rechtsprechung hätten die nationalen Gerichte die Rechtswidrigkeit von Identifizierungsmaßnahmen wie der Erhebung biometrischer und genetischer Daten festgestellt, insbesondere im Fall von Straftaten, bei denen keine Gewalt angewandt worden sei und die von Personen begangen worden seien, die nie verurteilt worden seien.

32 In diesem Zusammenhang fragt sich das vorlegende Gericht, ob die in § 65 des tschechischen Polizeigesetzes festgelegte rechtliche Regelung mit der Richtlinie 2016/680 vereinbar ist.

33 Erstens fragt sich das vorlegende Gericht, ob die in dieser Richtlinie aufgestellten Anforderungen der unterschiedslosen Erhebung biometrischer und genetischer Daten aller Personen, die verdächtigt werden, eine vorsätzliche Straftat begangen zu haben, entgegenstehen.

34 Zum einen ergebe sich aus der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte zum Grundrecht auf Achtung des Privatlebens, wie es in Art. 8 EMRK garantiert werde, dass die Vertragsparteien verpflichtet seien, zwischen Straftaten, bei denen Proben von Desoxyribonukleinsäure (DNA) entsprechend ihrer Schwere für die Gesellschaft gesammelt würden, zu unterscheiden. Die Vertragsparteien dürften die Täter schwerer Straftaten, wie z. B. von Gewalttaten, bei denen die Entnahme und Aufbewahrung von DNA-Proben rechtmäßig sei, und Personen, die weniger schwere Straftaten begangen hätten, nicht gleich behandeln.

35 Zum anderen würfen die sich aus dem Grundsatz der Verhältnismäßigkeit ergebenden Anforderungen wie die, die u. a. im Anwendungsbereich der Richtlinie 2016/680 in Form des Grundsatzes der Datenminimierung konkretisiert sei, sowie die in Art. 4 Abs. 1 Buchst. c bzw. Art. 6 dieser Richtlinie vorgesehene Verpflichtung, zwischen verschiedenen Kategorien betroffener Personen zu unterscheiden, Fragen dahin auf, ob es ausreiche, Unterscheidungen auf gesetzgeberischer Ebene, u. a. nach Maßgabe der Schwere der in Betracht kommenden Taten, zu treffen, oder ob es erforderlich sei, die Verhältnismäßigkeit einer Entnahme genetischen Materials in jedem Einzelfall konkret zu beurteilen.

36 Zweitens fragt sich das vorlegende Gericht, ob die in der Richtlinie 2016/680 aufgestellten Anforderungen der Speicherung biometrischer und genetischer Daten entgegenstehen, ohne dass insoweit ausdrücklich eine zeitliche Begrenzung vorgesehen sei. Im Übrigen lege die anwendbare nationale Regelung keine Höchstgrenze für die Dauer der Speicherung der aus den Identifizierungsmaßnahmen gewonnenen Daten fest. Nach der Art und Weise, in welcher das vorlegende Gericht die Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte versteht, sei nach dieser Rechtsprechung aber die Festlegung einer solchen Höchstgrenze erforderlich.

37 Drittens fragt sich das vorlegende Gericht, ob die Rechtsprechung der tschechischen Verwaltungsgerichte als „Recht der Mitgliedstaaten“ im Sinne von Art. 8 der Richtlinie 2016/680 eingestuft werden kann, der die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten festlegt.

38 § 65 des tschechischen Polizeigesetzes lege nämlich weder die konkreten Bedingungen für die Speicherung und die Arten von Informationen, die aus der entnommenen Probe gewonnen werden könnten, noch die Voraussetzungen für die Speicherung und Löschung biometrischer und genetischer Daten fest, so dass diese Bestimmung für sich genommen nicht den Anforderungen von Art. 8 Abs. 2 in Verbindung mit Art. 10 der Richtlinie 2016/680 genügen könne.

39 Zwar werde § 65 durch die Anweisungen des Polizeipräsidenten zur Umsetzung dieser Bestimmung ergänzt, doch könne ihnen keinesfalls die Eigenschaft eines „Rechts der Mitgliedstaaten“ im Sinne von Art. 8 Abs. 2 der Richtlinie 2016/680 zuerkannt werden, da es sich bei ihnen weder um Texte mit Verordnungscharakter noch um veröffentlichte Vorschriften handele.

40 Daher stelle sich die Frage, ob davon ausgegangen werden könne, dass das Recht eines Mitgliedstaats ausreichende materielle und verfahrensrechtliche Garantien für die Verarbeitung sensibler Daten wie biometrischer und genetischer Daten im Sinne von Art. 10 dieser Richtlinie biete, wenn diese Garantien durch die Rechtsprechung erbracht würden.

41 Vor diesem Hintergrund hat der Nejvyšší správní soud (Oberstes Verwaltungsgericht) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen: 1. Welcher Grad der Unterscheidung zwischen verschiedenen Personen, deren personenbezogene Daten betroffen sind, ist nach Art. 4 Abs. 1 Buchst. c oder Art. 6 in Verbindung mit Art. 10 der Richtlinie 2016/680 erforderlich? Ist es mit dem Gebot der Minimierung der Verarbeitung personenbezogener Daten sowie mit der Verpflichtung, zwischen verschiedenen Kategorien von Personen, deren personenbezogene Daten betroffen sind, zu unterscheiden, vereinbar, dass gemäß den nationalen Rechtsvorschriften die Erhebung genetischer Daten von allen Personen, die verdächtigt oder beschuldigt werden, eine vorsätzliche Straftat begangen zu haben, zulässig ist? 2. Ist es mit Art. 4 Abs. 1 Buchst. e der Richtlinie 2016/680 vereinbar, wenn die Polizeibehörden zu dem allgemeinen Zweck der Verhütung, Ermittlung oder Aufdeckung von Straftaten die Notwendigkeit der weiteren Speicherung eines DNA-Profils auf der Grundlage ihrer internen Vorschriften beurteilen, was in der Praxis häufig bedeutet, dass sensible personenbezogene Daten für einen unbestimmten Zeitraum gespeichert werden, ohne dass eine Höchstdauer für die Speicherung dieser personenbezogenen Daten festgelegt wird? Wenn dies nicht mit dieser Bestimmung vereinbar ist: Nach welchen Kriterien ist dann gegebenenfalls die Verhältnismäßigkeit – in zeitlicher Hinsicht – der Speicherung von zu einem solchen Zweck erhobenen und gespeicherten personenbezogenen Daten zu beurteilen? 3. In welchem Mindestumfang müssen bei besonders sensiblen personenbezogenen Daten, die unter Art. 10 der Richtlinie 2016/680 fallen, die materiellen oder verfahrensrechtlichen Voraussetzungen für die Erhebung, Speicherung und Löschung dieser Daten im Recht des Mitgliedstaats durch „allgemein geltende Vorschriften“ geregelt werden? Können auch gerichtliche Entscheidungen als „Recht der Mitgliedstaaten“ im Sinne von Art. 8 Abs. 2 dieser Richtlinie in Verbindung mit ihrem Art. 10 angesehen werden? Zu den Vorlagefragen Zur dritten Frage

42 Mit seiner dritten Frage, die als Erstes zu prüfen ist, möchte das vorlegende Gericht wissen, ob die Art. 8 und 10 der Richtlinie 2016/680 dahin auszulegen sind, dass der Begriff „Recht der Mitgliedstaaten“ im Sinne dieser Bestimmungen in Bezug auf die Erhebung, Speicherung und Löschung biometrischer und genetischer Daten dahin zu verstehen ist, dass er sich nur auf eine Vorschrift mit allgemeiner Geltung bezieht, die die Mindestvoraussetzungen für die Erhebung, Speicherung und Löschung solcher Daten festlegt, oder ob die Rechtsprechung, die diese Voraussetzungen präzisiert, ebenfalls unter diesen Begriff fallen kann.

43 Nach Art. 3 Nr. 2 in Verbindung mit Art. 3 Nrn. 12 und 13 der Richtlinie 2016/680 stellen die Erhebung, Speicherung und Löschung biometrischer und genetischer Daten eine Verarbeitung personenbezogener Daten im Sinne dieser Richtlinie dar.

44 Art. 4 der Richtlinie 2016/680 stellt verschiedene Grundsätze auf, denen diese Verarbeitungen unterliegen, in denen, wie sich aus den Erwägungsgründen 1 und 2 dieser Richtlinie ergibt, die Art und Weise zum Ausdruck kommt, in der der Unionsgesetzgeber innerhalb der in Art. 52 der Charta vorgesehenen Grenzen in Bezug auf diese Verarbeitungen das in Art. 8 der Charta anerkannte Grundrecht natürlicher Personen auf Schutz ihrer personenbezogenen Daten konkretisieren wollte. Dieser Artikel selbst steht in engem Zusammenhang mit dem in Art. 7 der Charta verankerten Recht auf Achtung des Privatlebens, wobei die besondere Art der Tätigkeiten zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung zu berücksichtigen ist.

45 Zu diesen Grundsätzen gehört nach Art. 4 Abs. 1 Buchst. a der Richtlinie 2016/680, dass alle personenbezogenen Daten auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden müssen.

46 Art. 8 Abs. 1 der Richtlinie 2016/680 stellt insoweit klar, dass die Mitgliedstaaten vorsehen müssen, dass die Verarbeitung nur dann rechtmäßig ist, wenn und soweit diese Verarbeitung für die Erfüllung einer Aufgabe erforderlich ist, die von der zuständigen Behörde zu den in Art. 1 Abs. 1 genannten Zwecken wahrgenommen wird, und auf Grundlage des Unionsrechts oder des Rechts der Mitgliedstaaten erfolgt.

47 Außerdem ist die Verarbeitung solcher Daten nach Art. 8 Abs. 2 dieser Richtlinie nur möglich, wenn im Recht der Mitgliedstaaten, das diese Verarbeitung regelt, zumindest die Ziele dieser Verarbeitung, die personenbezogenen Daten, die verarbeitet werden sollen, und die Zwecke der Verarbeitung angegeben werden.

48 In Bezug auf bestimmte Kategorien personenbezogener Daten wie biometrische oder genetische Daten bezweckt Art. 10 der Richtlinie 2016/680, ihnen einen erhöhten Schutz zu gewährleisten, indem verschärfte Voraussetzungen für die Verarbeitung solcher Daten festgelegt werden (vgl. in diesem Sinne Urteile vom 30. Januar 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, Rn. 48, und vom 4. Oktober 2024, Bezirkshauptmannschaft Landeck [Versuchter Zugang zu auf einem Mobiltelefon gespeicherten personenbezogenen Daten], C‑548/21, EU:C:2024:830, Rn. 107). Diese Datenkategorien sind nämlich, wie im 37. Erwägungsgrund der Richtlinie 2016/680 hervorgehoben wird, ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel, da im Zusammenhang mit der Verarbeitung solcher Daten erhebliche Risiken für die Freiheiten und Rechte der betroffenen Personen auftreten können.

49 So muss nach Art. 10 der Richtlinie 2016/680 jede Verarbeitung personenbezogener Daten, die in eine der in diesem Artikel abschließend aufgezählten Kategorien fallen (im Folgenden: sensible personenbezogene Daten), nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig sein.

50 Somit sollen die Art. 8 und 10 der Richtlinie 2016/680 die Tragweite bestimmter der in Art. 4 dieser Richtlinie genannten Grundsätze präzisieren, mit denen in dem von dieser Richtlinie erfassten Bereich u. a. das in Art. 8 der Charta anerkannte Grundrecht natürlicher Personen auf Schutz ihrer personenbezogenen Daten konkretisiert wird.

51 Folglich ist der in den Art. 8 und 10 der Charta verwendete Begriff „Recht der Mitgliedstaaten“ so zu verstehen, dass damit die in Art. 8 Abs. 2 der Charta aufgestellte Voraussetzung konkretisiert werden soll, wonach jede Verarbeitung personenbezogener Daten, die nicht mit Einwilligung der betroffenen Person erfolgt, auf einer anderen gesetzlich vorgesehenen legitimen Grundlage erfolgen muss. Dabei spiegelt diese Voraussetzung ihrerseits lediglich das Erfordernis nach Art. 52 der Charta wider, wonach jede Einschränkung der Ausübung der in der Charta anerkannten Grundrechte gesetzlich vorgesehen sein muss. Dieser Begriff bezieht sich somit auf die Gültigkeit des Rückgriffs auf das nationale Recht als Rechtsgrundlage für die Verarbeitung personenbezogener Daten.

52 Zum einen hat der Gerichtshof, wie der Generalanwalt in Nr. 82 seiner Schlussanträge ausgeführt hat, unter Berücksichtigung einer ständigen Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte entschieden, dass der in Art. 8 Abs. 2 der Charta verwendete Begriff „gesetzlich“ in der Wendung „gesetzlich vorgesehen“ in seinem materiellen und nicht in seinem formellen Sinn zu verstehen ist (Urteil vom 16. November 2023, Roos u. a./Parlament,C‑458/22 P, EU:C:2023:871, Rn. 61). Zum anderen impliziert nach dieser Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte dieser Sinn des Begriffs „gesetzlich“ in der Wendung „gesetzlich vorgesehen“ in Art. 8 Abs. 2 EMRK, dass dieser Begriff den geltenden Text in seiner Auslegung durch die zuständigen Gerichte meint (vgl. in diesem Sinne EGMR, 23. Januar 2025, H. W./Frankreich, CE:ECHR:2025:0123JUD001380521, § 65).

53 Wie sich im Übrigen aus der Rechtsprechung des Gerichtshofs ergibt, bedeutet das Erfordernis, dass jede Einschränkung der Ausübung der in der Charta anerkannten Grundrechte gesetzlich vorgesehen sein muss, zwar, dass der Rechtsakt, der den Eingriff in diese Rechte ermöglicht, selbst den Umfang dieser Einschränkung definiert, doch schließt dieses Erfordernis weder aus, dass die in Rede stehende Einschränkung hinreichend offen formuliert ist, um sich an unterschiedliche Fallgestaltungen sowie an veränderte Situationen anpassen zu können, noch, dass das zuständige Gericht gegebenenfalls im Wege der Auslegung die konkrete Tragweite dieser Beschränkung im Hinblick sowohl auf den Wortlaut des Rechtsakts, der den Eingriff erlaubt, als auch auf dessen allgemeine Systematik und die mit ihm verfolgten Ziele bestimmen kann (vgl. entsprechend Urteil vom 21. Juni 2022, Ligue des droits humains,C‑817/19, EU:C:2022:491, Rn. 114).

54 Daher ist der Begriff „Recht der Mitgliedstaaten“ im Sinne der Art. 8 und 10 der Richtlinie 2016/680 im Licht von Art. 8 Abs. 2 der Charta dahin zu verstehen, dass er sich auf eine Bestimmung in ihrer Auslegung durch die nationalen Gerichte beziehen kann, die ausdrücklich die Vornahme einer in den Anwendungsbereich dieser Richtlinie fallenden Verarbeitung personenbezogener Daten vorsieht.

55 Jedenfalls sieht Art. 8 Abs. 2 der Richtlinie 2016/680, wie in Rn. 47 des vorliegenden Urteils ausgeführt worden ist, vor, dass eine in den Anwendungsbereich dieser Richtlinie fallende Verarbeitung personenbezogener Daten nur möglich ist, wenn im Recht der Mitgliedstaaten, das diese Verarbeitung regelt, zumindest die Ziele, die zu verarbeitenden personenbezogenen Daten und die Zwecke angegeben sind.

56 Jedoch impliziert zum einen die Bezugnahme auf das „Recht“ der Mitgliedstaaten, das die fragliche Verarbeitung „regelt“, dass die Ziele, die zu verarbeitenden personenbezogenen Daten und die Zwecke zumindest grundsätzlich in einer Vorschrift mit allgemeiner Geltung vorgesehen sind. Zum anderen zielt Art. 8 Abs. 2 der Richtlinie, wie sich ausdrücklich aus dem 33. Erwägungsgrund dieser Richtlinie ergibt, darauf ab, dass das Recht des für die Verarbeitung verantwortlichen Mitgliedstaats klar und bestimmt und seine Anwendung für den diesem Recht unterliegenden Einzelnen im Einklang mit der Rechtsprechung des Gerichtshofs und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar ist.

57 Nach der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte muss jede Maßnahme, die die Rechtsgrundlage für eine Verarbeitung personenbezogener Daten darstellen, bestimmte Eigenschaften aufweisen, und zwar im Wesentlichen, dass sie erstens mit den höherrangigen Normen in Einklang steht, zweitens zugänglich ist und drittens hinreichend – d. h. in einem unter den Umständen des Falles angemessenen Grad – vorhersehbar ist, um den Betroffenen zu ermöglichen, ihr Verhalten auszurichten, was voraussetzt, dass diese Maßnahme mit hinreichender Genauigkeit den Umfang und die den zuständigen Behörden übertragenen Einzelheiten der Ausübung der Befugnis festlegt (vgl. in diesem Sinne u. a. EGMR, 26. April 1979, Sunday Times/Vereinigtes Königreich, CE:ECHR:1979:0426JUD00065387, §§ 25 und 52, EGMR, 1. Juli 2008, Liberty u. a./Vereinigtes Königreich, CE:ECHR:2008:0701JUD005824300, §§ 62 und 63, EGMR, 4. Dezember 2008, S. und Marper/Vereinigtes Königreich, CE:ECHR:2008:1204JUD003056204, § 95).

58 Desgleichen ergibt sich aus der Rechtsprechung des Gerichtshofs, dass eine Regelung, die einen Eingriff in die in den Art. 7 und 8 der Charta garantierten Grundrechte enthält, zur Erfüllung des in Art. 52 der Charta aufgestellten Erfordernisses, gesetzlich vorgesehen zu sein, klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen muss, so dass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen (vgl. Urteile vom 8. April 2014, Digital Rights Ireland u. a.,C‑293/12 und C‑594/12, EU:C:2014:238, Rn. 54, sowie vom 6. Oktober 2015, Schrems,C‑362/14, EU:C:2015:650, Rn. 91).

59 Da Art. 8 Abs. 2 der Richtlinie 2016/680 die Einhaltung der in den Rn. 56 und 57 des vorliegenden Urteils genannten Anforderungen gewährleisten soll, folgt daraus, dass sich die verfolgten Ziele, die betreffenden personenbezogenen Daten und die Zwecke einer Verarbeitung hinreichend klar und genau aus der Bestimmung ergeben müssen, die diese Verarbeitung selbst regelt, damit davon ausgegangen werden kann, dass die Verarbeitung der Anforderung, gesetzlich vorgesehen zu sein, im Sinne der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte und von Art. 52 der Charta genügt.

60 Nach alledem ist auf die dritte Frage zu antworten, dass die Art. 8 und 10 der Richtlinie 2016/680 dahin auszulegen sind, dass der Begriff „Recht der Mitgliedstaaten“ im Sinne dieser Artikel in Bezug auf die Erhebung, Speicherung und Löschung biometrischer und genetischer Daten dahin zu verstehen ist, dass er sich auf eine Vorschrift mit allgemeiner Geltung bezieht, die – in ihrer Auslegung durch die Rechtsprechung der nationalen Gerichte – die Mindestvoraussetzungen für die Erhebung, Speicherung und Löschung solcher Daten festlegt, sofern diese Rechtsprechung zugänglich und hinreichend vorhersehbar ist. Zur ersten Frage Zur Zulässigkeit

61 In ihren schriftlichen Erklärungen rügt die Kommission die Unzulässigkeit der ersten Frage mit der Begründung, dass in dem Fall, der dem Ausgangsverfahren zugrunde liege, die Erhebung genetischer und biometrischer Daten von JH durch die tschechische Polizei am 13. Januar 2016 und somit vor dem Inkrafttreten der Richtlinie 2016/680 am 5. Mai 2016 sowie vor Ablauf der in Art. 63 Abs. 1 der Richtlinie festgesetzten Umsetzungsfrist am 6. Mai 2018 erfolgt sei.

62 Insoweit ist darauf hinzuweisen, dass der Gerichtshof die Beantwortung einer Vorlagefrage eines nationalen Gerichts nur ablehnen kann, wenn die Auslegung des Unionsrechts, um die er ersucht wird, offensichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das Problem hypothetischer Natur ist oder wenn der Gerichtshof nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind (Urteil vom 20. März 2025, Anib u. a.,C‑728/22 bis C‑730/22, EU:C:2025:200, Rn. 48).

63 Im vorliegenden Fall sieht Art. 64 der Richtlinie 2016/680 vor, dass diese am 5. Mai 2016 in Kraft tritt, während Art. 63 der Richtlinie bestimmt, dass die Mitgliedstaaten die Rechts- und Verwaltungsvorschriften, die erforderlich sind, um dieser Richtlinie nachzukommen, bis zum 6. Mai 2018 erlassen und veröffentlichen müssen.

64 Aus den dem Gerichtshof vorliegenden Akten geht jedoch hervor, dass die personenbezogenen Daten, die in Bezug auf JH am 13. Januar 2016 aus genetischen Proben und biometrischen Daten von JH erhoben wurden, weiterhin in den Datenbanken der tschechischen Polizei gespeichert und somit nach dem 6. Mai 2018 verarbeitet wurden.

65 Vorbehaltlich der in Art. 4 Abs. 2 der Richtlinie 2016/680 genannten Situationen ergibt sich aus Art. 4 Abs. 1 Buchst. b dieser Richtlinie, dass personenbezogene Daten nicht verarbeitet werden dürfen, wenn ihre Erhebung nicht durch rechtmäßige Zwecke gerechtfertigt ist.

66 Folglich dürfen, wie der Generalanwalt in Nr. 34 seiner Schlussanträge ausgeführt hat, der Richtlinie 2016/680 unterfallende personenbezogene Daten, die vor dem Zeitpunkt des Inkrafttretens dieser Richtlinie rechtmäßig erhoben wurden, jedoch unter Verstoß gegen die in dieser Richtlinie aufgestellten Grundsätze erhoben worden wären, wenn sie nach dem Zeitpunkt der Umsetzung dieser Richtlinie oder, im Fall der Nichtumsetzung, nach dem Zeitpunkt, an dem diese Richtlinie hätte umgesetzt sein müssen, nämlich dem 6. Mai 2018, erhoben worden wären, nach dem Zeitpunkt der Umsetzung oder, im Fall der Nichtumsetzung, nach dem Zeitpunkt, an dem sie hätte umgesetzt sein müssen, nicht mehr gespeichert werden.

67 Somit ist im vorliegenden Fall nicht offensichtlich, dass die erste Frage zwangsläufig in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht oder dass das aufgeworfene Problem hypothetischer Natur ist, weil sie, wie die Kommission geltend macht, biometrische und genetische Daten betreffe, die vor dem Inkrafttreten der Richtlinie 2016/680 erhoben worden seien.

68 Da der Gerichtshof im Übrigen über alle tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ersten Frage erforderlich sind, ist diese als zulässig anzusehen. Zur Beantwortung der Frage

69 Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 oder Art. 4 Abs. 1 Buchst. c in Verbindung mit Art. 10 der Richtlinie 2016/680 dahin auszulegen sind, dass sie einer nationalen Regelung entgegenstehen, die es erlaubt, biometrische und genetische Daten unterschiedslos von allen Personen zu erheben, die beschuldigt oder verdächtigt werden, eine vorsätzliche Straftat begangen zu haben.

70 Was insoweit als Erstes Art. 6 der Richtlinie 2016/680 betrifft, verpflichtet dieser Artikel die Mitgliedstaaten, vorzusehen, dass der für die Verarbeitung Verantwortliche „gegebenenfalls und so weit wie möglich“ klar zwischen den personenbezogenen Daten verschiedener Kategorien betroffener Personen, wie sie in den Buchst. a bis d dieses Artikels genannt werden, unterscheidet, d. h. Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden, verurteilte Straftäter, Opfer einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten, sowie andere Parteien im Zusammenhang mit einer Straftat, wie Personen, die bei Ermittlungen in Verbindung mit der betreffenden Straftat oder beim anschließenden Strafverfahren als Zeugen in Betracht kommen, Personen, die Hinweise zur Straftat geben können, oder Personen, die mit den unter den Buchst. a und b des genannten Artikels genannten Personen in Kontakt oder in Verbindung stehen.

71 Nach diesem Artikel müssen die Mitgliedstaaten sicherstellen, dass der Verantwortliche „gegebenenfalls und so weit wie möglich“ klar zwischen den Daten der verschiedenen Kategorien betroffener Personen unterscheidet, so dass ihnen nicht unterschiedslos der gleiche Grad des Eingriffs in ihr Grundrecht auf Schutz ihrer personenbezogenen Daten auferlegt wird, unabhängig davon, zu welcher Kategorie sie gehören, wobei diese Kategorien im Wesentlichen nach der strafverfahrensrechtlichen Stellung des Betroffenen festzulegen sind.

72 Wie mit der in Art. 6 der Richtlinie 2016/680 enthaltenen Wendung „gegebenenfalls und so weit wie möglich“ unterstrichen wird, ist die durch diesen Artikel den Mitgliedstaaten auferlegte Verpflichtung, zwischen bestimmten Personenkategorien zu unterscheiden, keine absolute, sondern hängt u. a. davon ab, ob in jedem Einzelfall eine klare Unterscheidung zwischen diesen Personenkategorien getroffen werden kann (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 84), sowie von den Zwecken der Verarbeitung.

73 Im vorliegenden Fall macht die tschechische Regierung geltend, dass die Bezugnahme des vorlegenden Gerichts auf die Kategorie verdächtiger Personen dahin zu verstehen sei, dass sie sich auf Personen beziehe, denen Verdachtsmomente mitgeteilt worden seien, was nach den im Ausgangsverfahren in Rede stehenden nationalen Rechtsvorschriften ebenso wie bei Beschuldigten erfordere, dass genügend Anhaltspunkte dafür gesammelt worden seien, dass die Betroffenen eine Straftat begangen hätten.

74 Sollte dies der Fall sein, was das vorlegende Gericht zu prüfen haben wird, könnten diese beiden Personenkategorien für die Zwecke einer bestimmten Verarbeitung beide als von der in Art. 6 Buchst. a der Richtlinie 2016/680 genannten Kategorie erfasst eingestuft werden, sofern die mit der betreffenden Verarbeitung verfolgten Ziele es nicht gebieten, zwischen diesen beiden Kategorien zu unterscheiden.

75 Folglich ist Art. 6 der Richtlinie 2016/680 dahin auszulegen, dass er einer nationalen Regelung nicht entgegensteht, die unterschiedslos die Erhebung biometrischer und genetischer Daten der Personen, die zur Kategorie der Personen gehören, die der „Begehung einer vorsätzlichen Straftat beschuldigt werden“, sowie der Personen, die zur Kategorie der Personen gehören, die im Sinne des nationalen Rechts „verdächtig sind“, eine solche Straftat begangen zu haben, erlaubt, wenn die Zwecke dieser Erhebung es nicht erfordern, eine Unterscheidung zwischen diesen beiden Kategorien von Personen, deren Daten auf der Grundlage dieser nationalen Regelung erhoben werden können, vorzunehmen.

76 Was als Zweites Art. 4 Abs. 1 Buchst. c in Verbindung mit Art. 10 der Richtlinie 2016/680 betrifft, müssen die Mitgliedstaaten nach der erstgenannten Bestimmung vorsehen, dass personenbezogene Daten dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sind. Die letztgenannte Anforderung verlangt somit, dass die Mitgliedstaaten den Grundsatz der Minimierung der Datenverarbeitung im Hinblick auf Ziel und Zweck der betreffenden Verarbeitung beachten.

77 Art. 10 der Richtlinie sieht in Bezug auf sensible personenbezogene Daten, darunter biometrische und genetische Daten, vor, dass die Verarbeitung neben der Voraussetzung, dass einer der drei in seinen Buchst. a bis c abschließend aufgezählten Fälle vorliegt, zwei weitere Voraussetzungen erfüllen muss, nämlich zum einen, dass geeignete Garantien für die Rechte und Freiheiten der betroffenen Person bestehen müssen, und zum anderen, dass die beabsichtigte Verarbeitung unbedingt erforderlich sein muss.

78 Was namentlich die Voraussetzung der unbedingten Erforderlichkeit betrifft, impliziert diese erstens, dass diese Erforderlichkeit ganz besonders streng im Hinblick auf die mit der in Rede stehenden Verarbeitung verfolgten Ziele beurteilt und eine solche Verarbeitung daher nur in einer begrenzten Zahl von Fällen als erforderlich angesehen werden kann (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 118).

79 Somit dürfen die Ziele einer Verarbeitung biometrischer und genetischer personenbezogener Daten nicht zu allgemein bezeichnet werden, sondern müssen hinreichend genau und konkret definiert werden, um beurteilen zu können, ob diese Verarbeitung „unbedingt erforderlich“ ist (Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 124).

80 Zwar definiert die Richtlinie 2016/680 den Begriff „Ziele der Verarbeitung“ nicht, es ist jedoch festzustellen, dass Art. 8 Abs. 2 diesen Begriff ausdrücklich von dem Begriff „Zwecke der Verarbeitung“ unterscheidet. Allerdings sieht Art. 4 Abs. 1 Buchst. b der Richtlinie vor, dass die mit der Verarbeitung personenbezogener Daten verfolgten Zwecke u. a. festgelegt und eindeutig sein müssen und dass diese Daten nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden dürfen, während Art. 4 Abs. 1 Buchst. c der Richtlinie vorsieht, dass in Bezug auf diese Zwecke u. a. zu beurteilen ist, ob die personenbezogenen Daten, die Gegenstand dieser Verarbeitung sind, dem Zweck entsprechen, maßgeblich und nicht übermäßig sind.

81 Daher lässt sich daraus ableiten, dass sich der Begriff „Ziele der Verarbeitung“ im Sinne von Art. 8 Abs. 2 der Richtlinie auf die allgemeineren Zwecke bezieht, die in Art. 1 Abs. 1 der Richtlinie genannt sind und die mit einer Verarbeitung verfolgt werden müssen, um unter diese Richtlinie zu fallen, während der Begriff „Zwecke der Verarbeitung“ im Sinne von Art. 8 Abs. 2 der Richtlinie 2016/680 dahin zu verstehen ist, dass er sich auf die spezifischen und konkreten Zwecke bezieht, die mit einer Verarbeitung personenbezogener Daten im Hinblick auf die Aufgabe verfolgt werden, die dem Verantwortlichen übertragen ist, wie die Verhinderung oder Aufdeckung von Straftaten, die Durchführung einschlägiger Ermittlungen oder Verfolgungen oder die Vollstreckung strafrechtlicher Sanktionen.

82 Da, wie sich aus dem 26. Erwägungsgrund der Richtlinie 2016/680 im Licht des Grundsatzes der Verhältnismäßigkeit ergibt, bei nicht sensiblen personenbezogenen Daten die Voraussetzung der Erforderlichkeit im Sinne dieser Richtlinie erfüllt ist, wenn der Zweck der betreffenden Verarbeitung nicht in zumutbarer Weise ebenso wirksam durch andere Mittel erreicht werden kann, die weniger stark in die Grundrechte der betroffenen Personen eingreifen, ist zweitens daraus abzuleiten, dass die Voraussetzung der unbedingten Erforderlichkeit der Verarbeitung sensibler personenbezogener Daten ihrerseits verlangt, dass sich der Verantwortliche vergewissert, dass dieser Zweck nicht ebenso wirksam durch den Rückgriff auf andere als die in Art. 10 der Richtlinie 2016/680 aufgeführten Datenkategorien erreicht werden kann (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 126).

83 In Anbetracht der erheblichen Risiken, die die Verarbeitung sensibler personenbezogener Daten für die Rechte und Freiheiten der betroffenen Personen insbesondere im Zusammenhang mit den Aufgaben der zuständigen Behörden für die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke darstellt, verlangt die Voraussetzung der „unbedingten Erforderlichkeit“ im Übrigen, dass der besonderen Bedeutung des mit der betreffenden Verarbeitung verfolgten Zwecks Rechnung getragen wird. Dabei kann diese Bedeutung u. a. anhand der Art dieses Zwecks, des Umstands, dass die Verarbeitung einem spezifischen und konkreten Zweck dient, der mit der Verhütung von Straftaten oder Bedrohungen der öffentlichen Sicherheit von einem gewissen Schweregrad, der Verfolgung solcher Straftaten oder dem Schutz vor solchen Bedrohungen zusammenhängt, sowie im Licht der besonderen Umstände, unter denen die Verarbeitung erfolgt, beurteilt werden (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 127).

84 Jedenfalls muss bei der Erhebung biometrischer und genetischer Daten von Personen, die der Begehung einer vorsätzlichen Straftat beschuldigt oder einer solchen Straftat verdächtigt werden, für die Zwecke der Identifizierung und künftiger Vergleiche die unbedingte Erforderlichkeit dieser Erhebung alle relevanten Faktoren berücksichtigen, wie u. a. die Art und die Schwere der mutmaßlichen Straftat, derentwegen gegen sie ermittelt wird, die besonderen Umstände dieser Straftat, der etwaige Zusammenhang zwischen der Straftat und anderen laufenden Verfahren, die Vorstrafen oder das individuelle Profil der betreffenden Personen (vgl. in diesem Sinne Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 132).

85 Drittens bedeutet die Anforderung der „unbedingten Erforderlichkeit“ eine besonders strenge Kontrolle der Einhaltung des in Art. 4 Abs. 1 Buchst. c der Richtlinie zum Ausdruck kommenden Grundsatzes der Minimierung der Verarbeitung der betreffenden Daten (vgl. Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti [Registrierung biometrischer und genetischer Daten durch die Polizei], C‑205/21, EU:C:2023:49, Rn. 125).

86 Insbesondere in Bezug auf die Speicherung oder Verwendung von Daten, die aus der DNA einer Person zu Zwecken der Identifizierung oder des Vergleichs gewonnen wurden, bedeutet dieser Grundsatz, dass bei der Beurteilung der unbedingten Erforderlichkeit solcher Verarbeitungen die Möglichkeit, ausschließlich auf Polymorphismen in den nicht kodierenden Bereichen der DNA abzustellen, d. h. in Bereichen, von denen anerkannt ist, dass sie keine Informationen über die Ethnie, genetische Erkrankungen oder die natürlichen Eigenschaften von Personen liefern, gebührend berücksichtigt wird.

87 Folglich kann ein Mitgliedstaat zwar der Richtlinie 2016/680 nachkommen, indem er entweder den zuständigen Behörden die Aufgabe überträgt, in jedem Einzelfall dafür zu sorgen, dass die Voraussetzung, dass jede Verarbeitung sensibler personenbezogener Daten unbedingt erforderlich ist, eingehalten wird, oder indem er auf gesetzgeberischer Ebene Beurteilungskriterien festlegt, die die Behörden anschließend ohne Ermessen anzuwenden haben, doch müssen diese Kriterien im letztgenannten Fall geeignet sein, sämtliche Anforderungen zu erfüllen, die sich aus dieser Voraussetzung ergeben, wie sie in den Rn. 77 bis 83 des vorliegenden Urteils aufgeführt sind.

88 So hat der Gerichtshof im Urteil vom 26. Januar 2023, Ministerstvo na vatreshnite raboti (Registrierung biometrischer und genetischer Daten durch die Polizei) (C‑205/21, EU:C:2023:49, Rn. 135), entschieden, dass nationale Rechtsvorschriften, die die systematische Erhebung biometrischer und genetischer Daten aller Personen, die einer vorsätzlichen Offizialstraftat beschuldigt werden, für die Zwecke ihrer Registrierung vorsehen, ohne die Verpflichtung der zuständigen Behörde vorzusehen, zum einen zu überprüfen und nachzuweisen, dass diese Erhebung für die Erreichung der konkret verfolgten Ziele unbedingt erforderlich ist, und zum anderen, dass diese Ziele nicht durch Maßnahmen erreicht werden können, die einen weniger schwerwiegenden Eingriff in die Rechte und Freiheiten der betroffenen Person darstellen, gegen diese Voraussetzung der unbedingten Erforderlichkeit verstoßen.

89 Während die Erhebung, die in der in der Rechtssache, in der dieses Urteil ergangen ist, in Rede stehenden Regelung vorgesehen war, zwingend für alle Personen galt, die vorsätzlicher Offizialstraftaten beschuldigt wurden, betrifft die erste Frage hingegen eine Regelung, die den Polizeibehörden lediglich eine Befugnis einräumt, von Personen, die der Begehung einer vorsätzlichen Straftat beschuldigt oder einer solchen Tat verdächtigt werden, biometrische und genetische Daten zu erheben.

90 Der Umstand, dass eine Regelung den Polizeibehörden eine solche Befugnis einräumt, bedeutet jedoch nicht, dass das Recht des betreffenden Mitgliedstaats es erlaubt, dass diese Erhebung systematisch erfolgt oder dass sie unter Missachtung u. a. des in Art. 4 Abs. 1 Buchst. c der Richtlinie 2016/680 aufgestellten Grundsatzes der Datenminimierung oder der in Art. 10 dieser Richtlinie vorgesehenen Voraussetzung, dass die betreffenden Verarbeitungen unbedingt erforderlich sind, durchgeführt werden kann, sofern das Recht des Mitgliedstaats, einschließlich der Rechtsprechung der nationalen Gerichte, die mit einer solchen Verarbeitung biometrischer und genetischer Daten verfolgten Zwecke, d. h. die spezifischen und konkreten Ziele, die mit einer Verarbeitung personenbezogener Daten im Hinblick auf die Aufgabe verfolgt werden, die dem Verantwortlichen übertragen ist, angemessen und hinreichend genau festlegt ist und von dieser Befugnis im Einklang mit den in den Rn. 77 bis 83 des vorliegenden Urteils dargelegten Anforderungen Gebrauch gemacht wird.

91 So geht aus den dem Gerichtshof vorgelegten Unterlagen hervor, dass die nationale Rechtsprechung im vorliegenden Fall bestimmte Anforderungen aufstellt, die für die Einhaltung dieses Grundsatzes sorgen sollen, wie z. B. die Verpflichtung der Polizei, vor der Entnahme einer DNA-Probe u. a. die strafrechtliche Vergangenheit des Täters der begangenen Straftat, die Schwere dieser Tat nach Maßgabe der Art der betreffenden Tat und deren spezifische Umstände, die zu einer Probeentnahme führen, sowie die Persönlichkeit des Täters zu berücksichtigen.

92 In dieser Situation ist es Sache der nationalen Gerichte, in jedem Einzelfall zu prüfen, ob die von den Polizeibehörden durchgeführte Erhebung unter Verstoß gegen die in Art. 4 der Richtlinie 2016/680 aufgestellten Grundsätze für die Verarbeitung personenbezogener Daten und gegen die besonderen Anforderungen an die Verarbeitung sensibler personenbezogener Daten gemäß Art. 10 dieser Richtlinie in ihrer Auslegung im Licht der Art. 7 und 8 der Charta erfolgt ist.

93 Insoweit ist noch hervorzuheben, dass der bloße Umstand, dass die der betroffenen Person vorgeworfene Straftat wirtschaftlicher Natur ist und dass die Erhebung biometrischer und genetischer Daten erfolgt, bevor diese Person rechtskräftig verurteilt wird, nicht ausreicht, um auszuschließen, dass eine solche Erhebung als unbedingt erforderlich angesehen werden kann, da sich diese Erhebung auch in Anbetracht der betreffenden Art der Daten im Hinblick auf die verfolgten Zwecke als für ihre Identifizierung unbedingt erforderlich erweisen kann, u. a. um feststellen zu können, ob diese Person aufgrund ihrer etwaigen Zugehörigkeit zu einer kriminellen Vereinigung möglicherweise an anderen Straftaten, für die Daten dieser Art relevant sein könnten, beteiligt war oder ob Fluchtgefahr besteht.

94 Nach alledem ist auf die erste Frage zu antworten, dass Art. 6 und Art. 4 Abs. 1 Buchst. c in Verbindung mit Art. 10 der Richtlinie 2016/680 dahin auszulegen sind, dass sie einer nationalen Regelung nicht entgegenstehen, die unterschiedslos die Erhebung biometrischer und genetischer Daten jeder Person erlaubt, die der Begehung einer vorsätzlichen Straftat beschuldigt wird oder einer solchen Straftat verdächtig ist, sofern zum einen die Zwecke dieser Erhebung es nicht gebieten, zwischen diesen beiden Personenkategorien zu unterscheiden, und sofern zum anderen die für die Verarbeitung Verantwortlichen nach nationalem Recht, einschließlich der Rechtsprechung der nationalen Gerichte, verpflichtet sind, sämtliche in den Art. 4 und 10 der Richtlinie genannten Grundsätze und besonderen Anforderungen einzuhalten. Zur zweiten Frage

95 Zunächst ist darauf hinzuweisen, dass das vorlegende Gericht in der Formulierung der zweiten Frage zwar auf eine nationale Regelung Bezug nimmt, die zur Folge hat, dass die betreffenden personenbezogenen Daten in den meisten Fällen für eine „unbefristete Dauer“ gespeichert werden, aus den dem Gerichtshof vorliegenden Akten jedoch hervorgeht, dass es mit „unbefristeter Dauer“ letztlich auf den Umstand Bezug nehmen möchte, dass keine Höchstdauer der Speicherung festgelegt ist, und nicht darauf, dass eine solche Speicherung zeitlich unbegrenzt wäre.

96 Mit seiner zweiten Frage möchte das vorlegende Gericht daher im Wesentlichen wissen, ob Art. 4 Abs. 1 Buchst. e der Richtlinie 2016/680 dahin auszulegen ist, dass er einer nationalen Regelung entgegensteht, nach der die Notwendigkeit der weiteren Speicherung biometrischer und genetischer Daten von den Polizeibehörden auf der Grundlage interner Vorschriften beurteilt wird, ohne dass diese Regelung eine Höchstdauer für die Speicherung festlegt.

97 Nach Art. 4 Abs. 1 Buchst. e der Richtlinie 2016/680 sehen die Mitgliedstaaten vor, dass personenbezogene Daten nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht.

98 Was erstens den Umstand betrifft, dass die betreffende nationale Regelung keine Höchstdauer der Speicherung vorsieht, ist darauf hinzuweisen, dass Art. 5 der Richtlinie 2016/680 im Einklang mit den Anforderungen von Art. 4 Abs. 1 Buchst. e dieser Richtlinie die Mitgliedstaaten verpflichtet, angemessene Fristen für die Löschung personenbezogener Daten oder für die regelmäßige Überprüfung der Notwendigkeit der Speicherung dieser Daten sowie verfahrensrechtliche Vorkehrungen vorzusehen, mit denen die Einhaltung dieser Fristen gewährleistet werden kann.

99 Dagegen überlässt es Art. 5 der Richtlinie den Mitgliedstaaten, diese Fristen festzulegen, sofern sie „angemessen“ sind, und zu entscheiden, ob sie die Löschung dieser Daten oder die regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung betreffen.

100 Zwar sind Art. 4 Abs. 1 Buchst. e und Art. 5 der Richtlinie 2016/680 u. a. in Verbindung mit Art. 10 der Richtlinie zu lesen, so dass die Speicherung biometrischer oder genetischer Daten unbedingt erforderlich sein und geeignete Garantien für die Rechte und Freiheiten der betroffenen Person bieten muss.

101 Setzt ein Mitgliedstaat jedoch angemessene Fristen für die regelmäßige Überprüfung der Notwendigkeit der Speicherung personenbezogener Daten fest und ist bei dieser Prüfung zu beurteilen, ob es unbedingt erforderlich ist, diese Speicherung zu verlängern, so ist davon auszugehen, dass das Recht des betreffenden Mitgliedstaats diesen Anforderungen genügt. Selbst wenn es sich bei den gespeicherten Daten um sensible personenbezogene Daten handelt, ist ein solcher Mitgliedstaat daher nicht verpflichtet, absolute zeitliche Grenzen für die Speicherung dieser Daten vorzusehen, bei deren Überschreitung diese Daten automatisch gelöscht werden müssten (vgl. in diesem Sinne Urteil vom 30. Januar 2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, Rn. 52).

102 Dagegen erfordert die Angemessenheit solcher regelmäßig zu überprüfender Fristen, dass zum einen nach Art. 4 Abs. 1 Buchst. c und e der Richtlinie 2016/680 in Verbindung mit Art. 52 Abs. 1 der Charta gespeicherte Daten unter den Voraussetzungen von Art. 16 Abs. 2 und 3 der Richtlinie gelöscht werden, wenn bei einer der vorgenommenen Überprüfungen die Speicherung dieser Daten nicht mehr unbedingt erforderlich erscheint und sich infolgedessen im Hinblick auf die verfolgten Zwecke als übermäßig erweist (vgl. in diesem Sinne Urteil vom 30. Januar 2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, Rn. 45, 48 und 50 sowie die dort angeführte Rechtsprechung).

103 Zum anderen können diese Überprüfungsfristen in Anbetracht der in Art. 4 Abs. 1 Buchst. c der Richtlinie 2016/680 vorgesehenen Anforderungen an alle personenbezogenen Daten, die dem Verarbeitungszweck entsprechen und maßgeblich sein müssen und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sein dürfen, in Anbetracht des Umstands, dass diese Bestimmung und Art. 8 der Richtlinie im Licht der Anforderungen aus Art. 52 der Charta auszulegen sind, sowie in Anbetracht der in Art. 6 der Richtlinie vorgesehenen Verpflichtung des Verantwortlichen, gegebenenfalls klar zwischen den personenbezogenen Daten der verschiedenen Kategorien betroffener Personen zu unterscheiden, nicht als angemessen angesehen werden, wenn die Änderungen der strafverfahrensrechtlichen Stellung der betroffenen Person, die als relevant für den mit dieser Speicherung verfolgten Zweck angesehen werden, keine Verpflichtung für den Verantwortlichen nach sich ziehen, innerhalb einer angemessenen Frist zu überprüfen, ob die Speicherung solcher Daten erforderlich ist.

104 Was zweitens den Umstand betrifft, dass die weitere Notwendigkeit der Speicherung biometrischer und genetischer Daten von den Polizeibehörden auf der Grundlage interner Vorschriften beurteilt wird, so verstößt dieser Umstand für sich genommen nicht gegen Art. 8 Abs. 2 der Richtlinie 2016/680, sofern diese internen Vorschriften diese Behörden verpflichten, für die Einhaltung der Voraussetzung, dass eine unbedingte Erforderlichkeit der Speicherung dieser Daten besteht, zu sorgen, und sofern ihr Ermessensspielraum durch das nationale Recht, einschließlich der Rechtsprechung der nationalen Gerichte, hinreichend begrenzt wird.

105 Zwar hat der Umstand, dass Vorschriften interner Natur und somit nicht allen betroffenen Personen zugänglich sind, zur Folge, dass solche Vorschriften von den zuständigen Behörden nicht angeführt werden können, um zu belegen, dass sie die ihnen auferlegten Anforderungen einhalten. Dieser Umstand hat aber gleichwohl nicht zur Folge, dass die Verarbeitungen personenbezogener Daten, die nach diesen Vorschriften beschlossen wurden, automatisch ungültig werden, sondern bedeutet vielmehr, dass die Polizeibehörden bei einem Rechtsbehelf gegen die Entscheidung, eine solche Verarbeitung vorzunehmen, vor dem zuständigen Gericht gegebenenfalls unabhängig von diesen internen Vorschriften nachweisen, dass die Voraussetzung der „unbedingten Erforderlichkeit“ ordnungsgemäß eingehalten wurde.

106 Im vorliegenden Fall geht nach Ansicht der tschechischen Regierung zum einen u. a. aus § 65 Abs. 5 des tschechischen Polizeigesetzes hervor, dass die DNA-Profile der betroffenen Personen zu löschen sind, wenn ihre Speicherung im Hinblick auf die verfolgten Ziele nicht mehr erforderlich ist, wenn die betroffenen Personen nicht mehr strafrechtlich verfolgt oder verdächtigt werden und diese Personen nicht im Rahmen eines anderen Strafverfahrens beschuldigt werden oder zuvor keine anderen Straftaten begangen haben. Dies zu prüfen, ist Sache des vorlegenden Gerichts.

107 Jedoch kann bei der Speicherung biometrischer und genetischer Daten nur dann davon ausgegangen werden, dass sie dem Erfordernis, wonach sie im Sinne von Art. 10 der Richtlinie 2016/680 nur dann zu erlauben ist, „wenn sie unbedingt erforderlich ist“, genügt, sofern sie nicht nur die etwaige Verbindung der betroffenen Person mit anderen laufenden Verfahren oder den früheren Lebenswandel oder das Profil der betroffenen Person berücksichtigt, sondern auch Art und Schwere der Straftat, die zu der rechtskräftigen strafrechtlichen Verurteilung geführt hat, oder andere Umstände wie den besonderen Kontext, in dem diese Straftat begangen wurde (vgl. in diesem Sinne Urteil vom 30. Januar 2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, Rn. 67).

108 Zum anderen sieht das tschechische Recht zwar keine Höchstdauer für die Speicherung der auf der Grundlage von § 65 Abs. 1 des tschechischen Polizeigesetzes erhobenen personenbezogenen Daten vor, doch verpflichtet § 82 Abs. 1 dieses Gesetzes die Polizeibehörden, mindestens einmal alle drei Jahre zu überprüfen, ob die Speicherung dieser Daten für die Erfüllung ihrer Aufgaben noch immer erforderlich ist.

109 Es ist daher Sache des vorlegenden Gerichts, festzustellen, ob in Anbetracht der Ziele, die mit der Speicherung der betreffenden biometrischen und genetischen Daten verfolgt werden, eine solche Überprüfungsfrist von drei Jahren als angemessen angesehen werden kann, wobei jedoch klarzustellen ist, dass, sollte dies nicht der Fall sein, die Löschung dieser Daten dennoch nicht erforderlich wäre, wenn nachgewiesen werden sollte, dass ihre Speicherung jedenfalls weiterhin unbedingt erforderlich bleibt.

110 Nach alledem ist auf die zweite Frage zu antworten, dass Art. 4 Abs. 1 Buchst. e der Richtlinie 2016/680 dahin auszulegen ist, dass er einer nationalen Regelung nicht entgegensteht, nach der die Notwendigkeit der weiteren Speicherung biometrischer und genetischer Daten von den Polizeibehörden auf der Grundlage interner Vorschriften beurteilt wird, ohne dass diese Regelung eine Höchstdauer der Speicherung vorsieht, sofern diese Regelung angemessene Fristen für die regelmäßige Überprüfung der Erforderlichkeit der Speicherung dieser Daten festlegt und bei dieser Überprüfung beurteilt wird, ob es unbedingt erforderlich ist, die Speicherung dieser Daten zu verlängern. Kosten

111 Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig. Aus diesen Gründen hat der Gerichtshof (Fünfte Kammer) für Recht erkannt: 1. Die Art. 8 und 10 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates sind dahin auszulegen, dass der Begriff „Recht der Mitgliedstaaten“ im Sinne dieser Artikel in Bezug auf die Erhebung, Speicherung und Löschung biometrischer und genetischer Daten dahin zu verstehen ist, dass er sich auf eine Vorschrift mit allgemeiner Geltung bezieht, die – in ihrer Auslegung durch die Rechtsprechung der nationalen Gerichte – die Mindestvoraussetzungen für die Erhebung, Speicherung und Löschung solcher Daten festlegt, sofern diese Rechtsprechung zugänglich und hinreichend vorhersehbar ist. 1. Die Art. 8 und 10 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates sind dahin auszulegen, dass der Begriff „Recht der Mitgliedstaaten“ im Sinne dieser Artikel in Bezug auf die Erhebung, Speicherung und Löschung biometrischer und genetischer Daten dahin zu verstehen ist, dass er sich auf eine Vorschrift mit allgemeiner Geltung bezieht, die – in ihrer Auslegung durch die Rechtsprechung der nationalen Gerichte – die Mindestvoraussetzungen für die Erhebung, Speicherung und Löschung solcher Daten festlegt, sofern diese Rechtsprechung zugänglich und hinreichend vorhersehbar ist. 2. Art. 6 und Art. 4 Abs. 1 Buchst. c in Verbindung mit Art. 10 der Richtlinie 2016/680 sind dahin auszulegen, dass sie einer nationalen Regelung nicht entgegenstehen, die unterschiedslos die Erhebung biometrischer und genetischer Daten jeder Person erlaubt, die der Begehung einer vorsätzlichen Straftat beschuldigt wird oder einer solchen Tat verdächtig ist, sofern zum einen die Zwecke dieser Erhebung es nicht gebieten, zwischen diesen beiden Personenkategorien zu unterscheiden, und sofern zum anderen die für die Verarbeitung Verantwortlichen nach nationalem Recht, einschließlich der Rechtsprechung der nationalen Gerichte, verpflichtet sind, sämtliche in den Art. 4 und 10 der Richtlinie genannten Grundsätze und besonderen Anforderungen einzuhalten. 2. Art. 6 und Art. 4 Abs. 1 Buchst. c in Verbindung mit Art. 10 der Richtlinie 2016/680 sind dahin auszulegen, dass sie einer nationalen Regelung nicht entgegenstehen, die unterschiedslos die Erhebung biometrischer und genetischer Daten jeder Person erlaubt, die der Begehung einer vorsätzlichen Straftat beschuldigt wird oder einer solchen Tat verdächtig ist, sofern zum einen die Zwecke dieser Erhebung es nicht gebieten, zwischen diesen beiden Personenkategorien zu unterscheiden, und sofern zum anderen die für die Verarbeitung Verantwortlichen nach nationalem Recht, einschließlich der Rechtsprechung der nationalen Gerichte, verpflichtet sind, sämtliche in den Art. 4 und 10 der Richtlinie genannten Grundsätze und besonderen Anforderungen einzuhalten. 3. Art. 4 Abs. 1 Buchst. e der Richtlinie 2016/680 ist dahin auszulegen ist, dass er einer nationalen Regelung nicht entgegensteht, nach der die Notwendigkeit der weiteren Speicherung biometrischer und genetischer Daten von den Polizeibehörden auf der Grundlage interner Vorschriften beurteilt wird, ohne dass diese Regelung eine Höchstdauer der Speicherung vorsieht, sofern diese Regelung angemessene Fristen für die regelmäßige Überprüfung der Erforderlichkeit der Speicherung dieser Daten festlegt und bei dieser Überprüfung beurteilt wird, ob es unbedingt erforderlich ist, die Speicherung dieser Daten zu verlängern. 3. Art. 4 Abs. 1 Buchst. e der Richtlinie 2016/680 ist dahin auszulegen ist, dass er einer nationalen Regelung nicht entgegensteht, nach der die Notwendigkeit der weiteren Speicherung biometrischer und genetischer Daten von den Polizeibehörden auf der Grundlage interner Vorschriften beurteilt wird, ohne dass diese Regelung eine Höchstdauer der Speicherung vorsieht, sofern diese Regelung angemessene Fristen für die regelmäßige Überprüfung der Erforderlichkeit der Speicherung dieser Daten festlegt und bei dieser Überprüfung beurteilt wird, ob es unbedingt erforderlich ist, die Speicherung dieser Daten zu verlängern. Unterschriften