EuGH-Urteil zur systematischen Erhebung genetischer und biometrischer Daten durch die Polizei

„Die systematische Erhebung biometrischer und genetischer Daten aller beschuldigten Personen für die Zwecke ihrer polizeilichen Registrierung verstößt gegen die Anforderung, einen erhöhten Schutz gegen die Verarbeitung sensibler personenbezogener Daten zu gewährleisten“ – so lautet die Kernaussage des Urteils des EuGH in der Rechtssache C-205/21 vom 26.01.2023 (siehe Pressemitteilung des EuGH).

Dem Urteil des EuGH ging ein Ausgangsverfahren des bulgarischen Spetsializiran nakazatelen sad (Spezialisiertes Strafgericht) voraus. Das Strafgericht hatte sich in dem Verfahren mit mehreren Fragen in Bezug auf seine nationalen Gesetze (insbesondere das ZMVR und das ZZLD), die (richtige) Umsetzung der Richtlinie 2016/680 und die Bewilligung einer zwangsweisen Erhebung genetischer und biometrischer Daten zu befassen. Bei den nationalen Gesetzen handelte es sich um das Gesetz über das Innenministerium (Zakon sa Ministerstvo na vatreshnite raboti, kurz ZMVR) und das Gesetz über den Schutz personenbezogener Daten (Zakon za zashtita na lichnite danni, kurz ZZLD).

Insgesamt vier Fragen legte das bulgarische Gericht dem EuGH zur Vorabentscheidung vor. Das Strafgericht erhielt daraufhin insbesondere eine Antwort auf die Frage zur Rechtmäßigkeit systematischer Erhebungen genetischer und biometrischer Daten durch die Polizei im Rahmen eines strafrechtlichen Ermittlungsverfahrens.

Ausgangssachverhalt

Die bulgarischen Behörden hatten gegen zwei Handelsgesellschaften ein Strafverfahren wegen Steuerhinterziehung eingeleitet. Im Rahmen dieses Strafverfahrens wurde Frau V. S. vorgeworfen, gemeinsam mit drei anderen Personen, Beteiligte an einer kriminellen Vereinigung zu sein, die es darauf absah, weitere Straftaten zu Bereicherungszwecken zu begehen. Der Beschluss dazu erging am 01.03.2021 und wurde Frau V. S. am 15.03.2021 zugestellt.

Im Rahmen der offiziellen Beschuldigung wurde V. S. aufgefordert, sich einer Registrierung durch die Polizei zu unterziehen. Diese Registrierung sollte die Erhebung biometrischer und genetischer Daten der Beschuldigten beinhalten (Lichtbild, Fingerabdruck und DNA-Probe), was die Beschuldigte V. S. jedoch verweigerte.

Das bulgarische Spezialisierte Strafgericht sollte nun auf Antrag der bulgarischen Polizeibehörde, und unter der bloßen Mitteilung des Vorliegens hinreichender Beweise für die Schuld von V. S., die zwangsweise Erhebung der biometrischen und genetischen Daten der Beschuldigten bewilligen.

Fragen des Spezialisierten Strafgerichts an den EuGH

Der Antrag der Polizeibehörde wiederum veranlasste das Gericht vier Fragen zur Vorabentscheidung dem EuGH vorzulegen. Im Hinblick auf den Datenschutz sind die Fragen 1, 2 und 4 relevant:

• Frage 1: „Wird Art. 10 der Richtlinie 2016/680 durch Bezugnahme auf die ähnliche Vorschrift des Art. 9 der DSGVO im nationalen Gesetz – Art. 25 Abs. 3 und Art. 25a des ZMVR – wirksam umgesetzt?“ (Rn. 50 Nr. 1)

Das bulgarische Gericht äußerte Bedenken bzgl. der Zulässigkeit der Verarbeitung genetischer und biometrischer Daten zu strafrechtlichen Zwecken nach nationalem Recht, da das ZMVR lediglich auf die DSGVO Bezug nehme. Die DSGVO schließe eine solche Verarbeitung durch Behörden aber aus und lasse auch keine Ausnahmen zu (Art. 2 Abs. 2 lit. d, Art. 9 Abs. 1 und 2 DSGVO).

Art. 10 der Richtlinie hingegen lasse eine Verarbeitung genetischer und biometrischer Daten (unter bestimmten Voraussetzungen) zu, werde aber nicht im ZMVR genannt.

• Frage 2: „Wird die in Art. 10 Buchst. a der Richtlinie 2016/680 in Verbindung mit Art. 52, Art. 3 und Art. 8 der Charta aufgestellte Anforderung, dass eine Einschränkung der Unversehrtheit und des Schutzes personenbezogener Daten gesetzlich vorgesehen sein muss, erfüllt, wenn einander widersprechende nationale Vorschriften in Bezug auf die Zulässigkeit einer Verarbeitung von genetischen und biometrischen Daten für die Zwecke der polizeilichen Registrierung vorliegen?“ (Rn. 50 Nr. 2)

Unter der Voraussetzung, dass Art. 10 der Richtlinie auch ordnungsgemäß umgesetzt worden sei, wollte das bulgarische Gericht wissen, ob in einem Widerspruch stehende nationale Vorschriften der Anforderung, dieses Recht rechtmäßig einzuschränken, gerecht werden könnten. Denn dem Art. 68 Abs. 2 und 3 ZMVR, der eine Erhebung genetischer und biometrischer Daten grundsätzlich erlaube, stehe Art. 25a ZMVR (Art. 9 DSGVO-Verweis) gegenüber, demzufolge die Erhebung gerade nicht zulässig sei.

• Frage 4: „Ist mit Art. 10, mit Art. 4 Abs. 1 Buchst. a und c sowie mit Art. 8 Abs. 1 und 2 der Richtlinie 2016/680 ein nationales Gesetz vereinbar – Art. 68 Abs. 1 bis 3 des ZMVR –, das als allgemeine Regel die Aufnahme von Karteifotos, die Abnahme des Fingerabdrucks und die Entnahme von Proben zur Erstellung eines DNA-Profils für alle Personen vorsieht, die einer vorsätzlichen Offizialstraftat beschuldigt werden?“ (Rn. 50 Nr. 4)

Das bulgarische Gericht vertritt hierzu die Meinung, Art. 10 der Richtlinie sehe ein Ermessen für die Erhebung der genetischen und biometrischen Daten durch die zuständige Behörde vor. Dahingehend, dass sich die Behörde im Rahmen der polizeilichen Registrierung mit den Fragen beschäftigen müsse, ob eine Erhebung tatsächlich zu erfolgen habe und ob in diesem Zusammenhang alle drei Datenkategorien (Lichtbild, Fingerabdruck, DNA-Probe) zu erheben seien oder ein Teil genüge.

Entscheidung des EuGH

Zu Frage 1 und 2:

Die umfangreiche Antwort des EuGH lautete wie folgt:

Zunächst sei festzustellen, dass sowohl Art. 9 DSGVO als auch Art. 10 der Richtlinie 2016/680 die Verarbeitung besonderer Kategorien von personenbezogenen Daten enthielten.

Art. 9 DSGVO sehe ein grundsätzliches Verbot der Verarbeitung genetischer und biometrischer Daten vor.

Art. 10 lit. a der Richtlinie hingegen erlaube eine solche Verarbeitung nur „[…] wenn sie unbedingt erforderlich ist und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt und wenn sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist“ (Rn. 14).

Die Verarbeitung genetischer und biometrischer Daten könne daher in Anbetracht der in der Richtlinie vorgesehenen Zwecke zwar erlaubt sein, aber nur unter den genannten Voraussetzungen des Art. 10 lit. a der Richtlinie. Dies treffe aber nicht zwangsläufig auch auf eine Verarbeitung, die in den Anwendungsbereich der DSGVO falle, zu.

Eine Einschränkung des Rechts der Unversehrtheit und des Schutzes personenbezogener Daten durch Unions- oder nationales Recht sei zudem nur zulässig, wenn die Rechtsgrundlage die Tragweite einer solchen Einschränkung hinreichend klar und präzise definiere (Art. 52 Abs. 1 EU-Charta).

Zuständige Gerichte und betroffene Personen müssten also erkennen können, unter welchen Voraussetzungen und zu welchen Zwecken eine Verarbeitung zulässig sei. Bezögen sich für die Erhebung persönlicher Daten innerhalb des gleichen Gesetzes verschiedene Normen entweder auf die Richtlinie 2016/680 oder auf die DSGVO, so sei der nationale Gesetzgeber verpflichtet, deutlich zu machen, welcher der beiden Unionsrechtsakte tatsächlich Anwendung finde.

Hierbei müsse auch nicht ausdrücklich auf die Richtlinie verwiesen werden. Vielmehr genüge es, wenn auf die nationale Norm, die die Umsetzung von Art. 10 der Richtlinie gewährleiste, Bezug genommen werde.

Ist ein Gericht also der Auffassung, Vorschriften im nationalen Recht stünden im Widerspruch zueinander, wenn es um die Verarbeitung genetischer und biometrischer Daten gehe, dann sei das Gericht dazu angehalten, diese Vorschriften so auszulegen, dass die praktische Wirksamkeit der Richtlinie 2016/680 gewahrt bleibe.

Die Tatsache, dass das nationale Gesetz (ZMVR) sowohl auf die DSGVO als auch auf die Richtlinie 2016/680 Bezug nimmt, stehe schließlich der Zulässigkeit der Erhebung der Daten nicht entgegen, sofern die Auslegung aller anwendbaren nationalen Vorschriften hinreichend klar, präzise und unmissverständlich ergebe, dass die in Rede stehende Verarbeitung in den Anwendungsbereich der Richtlinie 2016/680 falle.

Zu Frage 4:

Der EuGH äußert hierzu deutlich: Nein.

Art. 10 der Richtlinie stelle eine spezielle Bestimmung dar, deren Zweck der erhöhte Schutz gegen solche Verarbeitungen sei, die aufgrund der besonderen Sensibilität der betreffenden Daten sowie des Verarbeitungskontextes erhebliche Risiken für das Recht auf Achtung des Privatlebens und das Recht auf Schutz personenbezogener Daten darstellen können (Art. 7 und 8 der EU-Charta).

Zudem weise Art. 10 der Richtlinie verschärfte Voraussetzungen für die Rechtmäßigkeit einer Verarbeitung auf (s. o.). Das „nur“ betone in dieser Hinsicht, dass nur eine begrenzte Zahl von Fällen als erforderlich angesehen werden könne. „Unbedingt“ bedeute weiterhin, dass die Erforderlichkeit einer Verarbeitung besonders streng zu beurteilen sei.

In Anbetracht der Art. 4 und 8 der Richtlinie dürften die Zwecke der Erhebung nicht mit zu allgemeinen Begriffen bezeichnet, sondern müssten hinreichend genau und konkret definiert werden. Auch müsse die Einhaltung des Grundsatzes der Datenminimierung besonders streng kontrolliert werden, was sich aus der Anforderung der „unbedingten Erforderlichkeit“ der Verarbeitung sensibler Daten ergebe.

Eine systematische Erhebung genetischer und biometrischer Daten dürfe dementsprechend nicht für alle Personen, die einer vorsätzlichen Offizialstraftat beschuldigt werden, zu Zwecken der Registrierung erhoben werden. Das ergebe sich aus der Auslegung von Art. 10 i. V. m. Art. 4 Abs. 1 lit. a bis c, 8 Abs. 1 und 2 der Richtlinie.

Vielmehr müsse die zuständige Behörde zu einer Überprüfung und zu dem Nachweis verpflichtet werden, ob bzw. dass die Erhebung zur Erreichung der konkret verfolgten Ziele unbedingt erforderlich sei und ob bzw. dass es nicht weniger schwerwiegende Maßnahmen gebe, um die verfolgten Ziele zu erreichen.

Die Begrifflichkeit „vorsätzliche Offizialstraftat“ könne in diesem Zusammenhang zu einer unterschiedslosen und allgemeinen Erhebung genetischer und biometrischer Daten führen, da der Begriff verallgemeinernd auf eine große Zahl von Straftaten unabhängig von der Art und Schwere angewendet werden könne. Der bloße Umstand, dass jemand eines vorsätzlichen Offizialstraftat beschuldig werde, könne nicht als (einziger) Faktor für die unbedingte Erforderlichkeit der Erhebung angesehen werden.

Das bulgarische Gericht sei daher u. a. angehalten zu prüfen, ob die Art und die Schwere der Straftat der im Ausgangsverfahren beschuldigten V. S. oder andere relevante Faktoren (Umstände einer Straftat, ein etwaiger Zusammenhang der Straftat mit anderen laufenden Verfahren, Vorstrafen, individuelles Profil der betreffenden Person) ausreichten, um eine unbedingte Erforderlichkeit zu begründen. Und ob nicht auch die bloße Erhebung der Personenstandsdaten zur Erreichung der verfolgten Ziele ausreiche.