EuGH, Urt. 26.1.2023 - C-205/21
Unbedingte Erforderlichkeit der Erhebung sensibler Daten des Beschuldigten
Autor: RA Markus Rössel, LL.M. (Informationsrecht), Köln
Aus: IT-Rechtsberater, Heft 04/2023
Aus: IT-Rechtsberater, Heft 04/2023
Artt. 10, 4 Abs. 1 lit. a bis c, 8 Abs. 1 und 2 RL (EU) 2016/680 erfordern für die systematische Erhebung biometrischer und genetischer Daten aller einer vorsätzlichen Offizialstraftat Beschuldigter zur Registrierung die Verpflichtung der zuständigen Behörde, ggf. nachzuweisen, dass Erhebung und Mittel für die Erreichung der konkret verfolgten Ziele unbedingt erforderlich sind.
GRC Artt. 7, 8, 47, 48, 52; RL (EU) 2016/680 Artt. 4 Abs. 1 lit. a bis c, 6 lit. a, 8, 10
Sensible Daten: Art. 10 lit. a JI-RL sehe vor, dass die Verarbeitung sensibler Daten inkl. genetischer und biometrischer „nur dann erlaubt [sei], wenn sie unbedingt erforderlich [sei] und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person“ erfolge und gesetzlich geregelt sei. Hingegen sehe Art. 9 Abs. 1 und 2 DSGVO ein grundsätzliches Verarbeitungsverbot vorbehaltlich einer Ausnahmeliste von Fällen vor, die hier nicht in Betracht kämen (Rz. 63).
Normenklarheit: Der Gesetzesvorbehalt des Art. 10 lit. a JI-RL i.V.m. Art. 52 Abs. 1 GRC verlange, dass Eingriffsvoraussetzungen und -zwecke für Betroffene und Gerichte hinreichend klar und präzise definiert würden. Im Fall gleichzeitiger Regelung zu Zwecken der JI-RL und anderen der DSGVO dürften keine Unklarheiten hinsichtlich der Anwendbarkeit von DSGVO bzw. die JI-RL umsetzendem Gesetz bestehen. Die richtlinienkonforme Auslegung von auf die DSGVO Bezug nehmenden nationalen Regelungen könne ergeben, dass sie sich widerspruchsfrei auf andere als die Zwecke des Art. 10 lit. a JI-RL bezögen (Rz. 64–73).
Betroffenenkategorien: Nach Art. 6 lit. a bis d JI-RL sei wegen differenzierter Grundrechtseingriffe tunlichst klar zwischen den Daten von Verdächtigen, Verurteilten, Opfern sowie Zeugen usw. entsprechend nicht abschließender Aufzählung zu unterscheiden (vgl. Erwgrd. 31 der JI-RL). Liege ein hinreichender Straftatverdacht vor, komme eine zwangsweise Erhebung sensibler Daten nach Art. 6 lit. a JI-RL in Betracht (Rz. 82–85).
Effektiver gerichtlicher Rechtsschutz: Im Rahmen gerichtlichen Rechtsschutzes aus Art. 47 GRC, Art. 54 JI-RL müsse insb. bei der zwangsweisen Ergebung sensibler Daten i.S.v. Art. 10 lit. a JI-RL das zuständige Gericht den hinreichenden Tatverdacht prüfen. Das Recht aus Art. 47 GRC könne aber gem. Art. 52 Abs. 1 GRC bei Beachtung von Normenklarheit, Wesensgehalt und Verhältnismäßigkeit eingeschränkt sein (Rz. 87 ff.).
Kein unmittelbarer Rechtsbehelf: Wenn der Tatverdacht nicht beim Erhebungsantrag überprüft werden könne, müsse dies im nachfolgenden gerichtlichen Verfahren ggf. auch nach Einstellung des Ermittlungsverfahrens nachgeholt werden können (Rz. 93–96).
Kontextänderung: Die Registrierungsdatenerhebung für das Strafverfahren gegen den Beschuldigten sowie den Datenabgleich mit anderen Strafverfahren auch in anderen Mitgliedstaaten diene den Zwecken der Verhütung oder Verfolgung von Straftaten i.S.v. Art. 1 Abs. 1 JI-RL. Eine solche Erhebung könne zu dem im Erwgrd. 27 der JI-RL genannten Ziel beitragen, wonach die zuständigen Behörden zu diesen Zwecken erhobene Daten auch in einem anderen Kontext verarbeiten können müssten, um Verbindungen zwischen aufgedeckten Straftaten herzustellen (Rz. 97 ff.).
Nachträgliche gerichtliche Kontrolle: Beweiswürdigung und Datenerhebung vorübergehend gerichtlicher Kontrolle zu entziehen, könne sich während des Ermittlungsverfahrens angesichts drohender Behinderung von Ermittlungen als verhältnismäßig erweisen (Rz. 100 f.).
Besonders strenge Erforderlichkeit: Der speziellere Art. 10 JI-RL gewährleiste wegen des besonderen grundrechtsrelevanten Kontexts einen erhöhten Schutz. Da er die Verarbeitung sensibler Daten „nur“ erlaube, „wenn sie unbedingt erforderlich“ sei, würden im Vergleich zu Artt. 4 Abs. 1 lit. b und c, 8 Abs. 1 JI-RL, die sich nur auf die „Erforderlichkeit“ bezögen, verschärfte Voraussetzungen festgelegt, wonach eine Datenverarbeitung nur in einer begrenzten Zahl und besonders streng beurteilt als erforderlich anzusehen sei (Rz. 115–120; vgl. zur Verschärfung während des Gesetzgebungsverfahrens, KOM[2012] 10 endg.).
Konkretisierung von Zweckbindung: Art. 10 JI-RL konkretisiere für sensible Daten die Grundsätze der Artt. 4, 8 JI-RL. Die „unbedingte Erforderlichkeit“ müsse anhand des Registrierungszwecks unter Berücksichtigung des Zweckbindungsgrundsatzes aus Art. 4 Abs. 1 lit. b JI-RL bestimmt werden, aber stelle keine spezifische Anwendung des Datenminimierungsgrundsatzes gem. Art. 4 Abs. 1 lit. c JI-RL auf die Datenkategorien dar (Rz. 121 f.).
Zweckdefinition: Die Tragweite der „unbedingten Erforderlichkeit“ müsse nach Artt. 8, 4 Abs. 1 lit. a JI-RL auch bzgl. der Notwendigkeit zur behördlichen Aufgabenerfüllung und der gesetzlichen Angabe von Zielen, Daten und Zwecken der Datenverarbeitung bestimmt werden. Insoweit müssten die Verarbeitungszwecke sensibler Daten zur Beurteilung „unbedingter Erforderlichkeit“ konkret definiert werden (Rz. 123 f.).
Unbedingte Erforderlichkeit: Die „unbedingte Erforderlichkeit“ bedeute, dass die Einhaltung des Grundsatzes der Datenminimierung in zweierlei Hinsicht besonders streng kontrolliert werden müsse: Die Anforderung der Erforderlichkeit sei erstens i.S.v. Erwgrd. 26 der JI-RL nur erfüllt, wenn das Verarbeitungsziel nicht mit anderen ebenso wirksamen, aber weniger eingriffsintensiven Mitteln erreicht werden könne (vgl. EuGH v. 1.8.2022 – C-184/20 Rz. 85 m.w.N., ITRB 2023, 4 [Vogt]). Solche Mittel könnten insb. die Heranziehung anderer Datenkategorien als der i.S.v. Art. 10 JI-RL sein. Zweitens sei wegen der erheblichen Grundrechtsrisiken erforderlich, dass der besonderen Bedeutung des Verarbeitungszwecks Rechnung getragen werde. Diese Bedeutung könne u.a. anhand der besonderen Verarbeitungsumstände oder der Zielart beurteilt werden, insb., ob die Verarbeitung der Abwehr von schweren Gefahren oder der Verfolgung schwerer Straftaten diene (Rz. 125 ff.).
Zu weiter Begriff vorsätzlicher Offizialstraftat: Die systematische Anknüpfung an eine „vorsätzliche Offizialstraftat“ könne unterschiedslos zur Erhebung sensibler Daten der meisten Beschuldigten führen, da der Begriff besonders allgemein gehalten sei und unabhängig von Art und Schwere auf eine große Zahl von Straftaten angewendet werden könne. So könne es Fälle geben, in denen die Erhebung für das laufende Strafverfahren nicht konkret erforderlich sei. Ferner könne die Wahrscheinlichkeit unbedingter Erforderlichkeit sensibler Beschuldigtendaten i.R. anderer Strafverfahren nur nach Gesamtbetrachtung etwa von Art, Schwere, Umständen und Kriminalitätsverbindungen der Straftat, Vorstrafen oder individuellem Personenprofil beurteilt werden. So dürfe nicht bereits die Erhebung von Personenstandsdaten die Zielerreichung ermöglichen (Rz. 129–134).
GRC Artt. 7, 8, 47, 48, 52; RL (EU) 2016/680 Artt. 4 Abs. 1 lit. a bis c, 6 lit. a, 8, 10
Das Problem
Eine in Bulgarien wegen Mitgliedschaft in einer kriminellen Vereinigung Beschuldigte verweigerte die Erhebung ihrer daktyloskopischen, fotografischen und genetischen Daten zwecks polizeilicher Registrierung. Das Gericht, bei dem die zwangsweise Erhebung beantragt wurde, ersuchte um Vorabentscheidung.Die Entscheidung des Gerichts
Anwendungsbereiche: Nach Erwgrd. 19 der DSGVO, Erwgrd. 9 bis 12 der RL (EU) 2016/680 (DSRL für Justiz und Inneres, JI-RL) und gem. Artt. 2 Abs. 1, 9 Abs. 1 und 2 JI-RL könne eine Datenverarbeitung zur Gefahrenabwehr oder Strafverfolgung i.S.v. Art. 1 Abs. 1 JI-RL oder anderen Zwecken entweder in den Anwendungsbereich der speziellen JI-RL oder der allgemeinen DSGVO fallen, abgesehen von den abschießenden Ausnahmen gem. Art. 2 Abs. 3 JI-RL und Art. 2 Abs. 2 DSGVO (Rz. 61).Sensible Daten: Art. 10 lit. a JI-RL sehe vor, dass die Verarbeitung sensibler Daten inkl. genetischer und biometrischer „nur dann erlaubt [sei], wenn sie unbedingt erforderlich [sei] und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person“ erfolge und gesetzlich geregelt sei. Hingegen sehe Art. 9 Abs. 1 und 2 DSGVO ein grundsätzliches Verarbeitungsverbot vorbehaltlich einer Ausnahmeliste von Fällen vor, die hier nicht in Betracht kämen (Rz. 63).
Normenklarheit: Der Gesetzesvorbehalt des Art. 10 lit. a JI-RL i.V.m. Art. 52 Abs. 1 GRC verlange, dass Eingriffsvoraussetzungen und -zwecke für Betroffene und Gerichte hinreichend klar und präzise definiert würden. Im Fall gleichzeitiger Regelung zu Zwecken der JI-RL und anderen der DSGVO dürften keine Unklarheiten hinsichtlich der Anwendbarkeit von DSGVO bzw. die JI-RL umsetzendem Gesetz bestehen. Die richtlinienkonforme Auslegung von auf die DSGVO Bezug nehmenden nationalen Regelungen könne ergeben, dass sie sich widerspruchsfrei auf andere als die Zwecke des Art. 10 lit. a JI-RL bezögen (Rz. 64–73).
Betroffenenkategorien: Nach Art. 6 lit. a bis d JI-RL sei wegen differenzierter Grundrechtseingriffe tunlichst klar zwischen den Daten von Verdächtigen, Verurteilten, Opfern sowie Zeugen usw. entsprechend nicht abschließender Aufzählung zu unterscheiden (vgl. Erwgrd. 31 der JI-RL). Liege ein hinreichender Straftatverdacht vor, komme eine zwangsweise Erhebung sensibler Daten nach Art. 6 lit. a JI-RL in Betracht (Rz. 82–85).
Effektiver gerichtlicher Rechtsschutz: Im Rahmen gerichtlichen Rechtsschutzes aus Art. 47 GRC, Art. 54 JI-RL müsse insb. bei der zwangsweisen Ergebung sensibler Daten i.S.v. Art. 10 lit. a JI-RL das zuständige Gericht den hinreichenden Tatverdacht prüfen. Das Recht aus Art. 47 GRC könne aber gem. Art. 52 Abs. 1 GRC bei Beachtung von Normenklarheit, Wesensgehalt und Verhältnismäßigkeit eingeschränkt sein (Rz. 87 ff.).
Kein unmittelbarer Rechtsbehelf: Wenn der Tatverdacht nicht beim Erhebungsantrag überprüft werden könne, müsse dies im nachfolgenden gerichtlichen Verfahren ggf. auch nach Einstellung des Ermittlungsverfahrens nachgeholt werden können (Rz. 93–96).
Kontextänderung: Die Registrierungsdatenerhebung für das Strafverfahren gegen den Beschuldigten sowie den Datenabgleich mit anderen Strafverfahren auch in anderen Mitgliedstaaten diene den Zwecken der Verhütung oder Verfolgung von Straftaten i.S.v. Art. 1 Abs. 1 JI-RL. Eine solche Erhebung könne zu dem im Erwgrd. 27 der JI-RL genannten Ziel beitragen, wonach die zuständigen Behörden zu diesen Zwecken erhobene Daten auch in einem anderen Kontext verarbeiten können müssten, um Verbindungen zwischen aufgedeckten Straftaten herzustellen (Rz. 97 ff.).
Nachträgliche gerichtliche Kontrolle: Beweiswürdigung und Datenerhebung vorübergehend gerichtlicher Kontrolle zu entziehen, könne sich während des Ermittlungsverfahrens angesichts drohender Behinderung von Ermittlungen als verhältnismäßig erweisen (Rz. 100 f.).
Besonders strenge Erforderlichkeit: Der speziellere Art. 10 JI-RL gewährleiste wegen des besonderen grundrechtsrelevanten Kontexts einen erhöhten Schutz. Da er die Verarbeitung sensibler Daten „nur“ erlaube, „wenn sie unbedingt erforderlich“ sei, würden im Vergleich zu Artt. 4 Abs. 1 lit. b und c, 8 Abs. 1 JI-RL, die sich nur auf die „Erforderlichkeit“ bezögen, verschärfte Voraussetzungen festgelegt, wonach eine Datenverarbeitung nur in einer begrenzten Zahl und besonders streng beurteilt als erforderlich anzusehen sei (Rz. 115–120; vgl. zur Verschärfung während des Gesetzgebungsverfahrens, KOM[2012] 10 endg.).
Konkretisierung von Zweckbindung: Art. 10 JI-RL konkretisiere für sensible Daten die Grundsätze der Artt. 4, 8 JI-RL. Die „unbedingte Erforderlichkeit“ müsse anhand des Registrierungszwecks unter Berücksichtigung des Zweckbindungsgrundsatzes aus Art. 4 Abs. 1 lit. b JI-RL bestimmt werden, aber stelle keine spezifische Anwendung des Datenminimierungsgrundsatzes gem. Art. 4 Abs. 1 lit. c JI-RL auf die Datenkategorien dar (Rz. 121 f.).
Zweckdefinition: Die Tragweite der „unbedingten Erforderlichkeit“ müsse nach Artt. 8, 4 Abs. 1 lit. a JI-RL auch bzgl. der Notwendigkeit zur behördlichen Aufgabenerfüllung und der gesetzlichen Angabe von Zielen, Daten und Zwecken der Datenverarbeitung bestimmt werden. Insoweit müssten die Verarbeitungszwecke sensibler Daten zur Beurteilung „unbedingter Erforderlichkeit“ konkret definiert werden (Rz. 123 f.).
Unbedingte Erforderlichkeit: Die „unbedingte Erforderlichkeit“ bedeute, dass die Einhaltung des Grundsatzes der Datenminimierung in zweierlei Hinsicht besonders streng kontrolliert werden müsse: Die Anforderung der Erforderlichkeit sei erstens i.S.v. Erwgrd. 26 der JI-RL nur erfüllt, wenn das Verarbeitungsziel nicht mit anderen ebenso wirksamen, aber weniger eingriffsintensiven Mitteln erreicht werden könne (vgl. EuGH v. 1.8.2022 – C-184/20 Rz. 85 m.w.N., ITRB 2023, 4 [Vogt]). Solche Mittel könnten insb. die Heranziehung anderer Datenkategorien als der i.S.v. Art. 10 JI-RL sein. Zweitens sei wegen der erheblichen Grundrechtsrisiken erforderlich, dass der besonderen Bedeutung des Verarbeitungszwecks Rechnung getragen werde. Diese Bedeutung könne u.a. anhand der besonderen Verarbeitungsumstände oder der Zielart beurteilt werden, insb., ob die Verarbeitung der Abwehr von schweren Gefahren oder der Verfolgung schwerer Straftaten diene (Rz. 125 ff.).
Zu weiter Begriff vorsätzlicher Offizialstraftat: Die systematische Anknüpfung an eine „vorsätzliche Offizialstraftat“ könne unterschiedslos zur Erhebung sensibler Daten der meisten Beschuldigten führen, da der Begriff besonders allgemein gehalten sei und unabhängig von Art und Schwere auf eine große Zahl von Straftaten angewendet werden könne. So könne es Fälle geben, in denen die Erhebung für das laufende Strafverfahren nicht konkret erforderlich sei. Ferner könne die Wahrscheinlichkeit unbedingter Erforderlichkeit sensibler Beschuldigtendaten i.R. anderer Strafverfahren nur nach Gesamtbetrachtung etwa von Art, Schwere, Umständen und Kriminalitätsverbindungen der Straftat, Vorstrafen oder individuellem Personenprofil beurteilt werden. So dürfe nicht bereits die Erhebung von Personenstandsdaten die Zielerreichung ermöglichen (Rz. 129–134).