1.

Müssen wir uns Sorgen darüber machen, dass durch die Speicherung personenbezogener Daten in Polizeidateien eine registrierte Person – gegebenenfalls ihr ganzes Leben lang – in einem Status als dauerhaft gefährlicher sozialer Abweichler gehalten wird? Oder sollten wir uns angesichts der Lösung unaufgeklärter Altfälle, heutzutage besser bekannt unter der Bezeichnung „Cold Cases“, durch die Ermittler, die bei den Familien der Opfer eine große Erleichterung bewirkt, nicht vielmehr über diese polizeiliche Speicherung freuen?

2.

Die vorliegende Rechtssache fügt sich gerade in diese antagonistische Fragestellung ein, die auf die Tatsache verweist, dass das öffentliche Interesse im Zusammenhang mit der Kriminalitätsbekämpfung mit dem Interesse des Einzelnen am Schutz seiner personenbezogenen Daten und an der Achtung seines Privatlebens in Einklang gebracht werden muss. Sie gibt dem Gerichtshof Gelegenheit, sich zu der Frage zu äußern, welche zeitliche Dimension die Verarbeitung dieser Daten zu Strafverfolgungszwecken im Hinblick auf die einschlägigen Bestimmungen der Richtlinie (EU) 2016/680 ( 2 ) hat.

3.

Im Rahmen der vorliegenden Rechtssache sind die Art. 4, 5, 8, 10 und 16 der Richtlinie 2016/680 sowie Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) relevant.

4.

Art. 26 Abs. 1 und 2 des Zakon za Ministerstvo na vatreshnite raboti (Gesetz über das Ministerium für Innere Angelegenheiten, im Folgenden: ZMVR) bestimmt:

„(1)   Bei der Verarbeitung personenbezogener Daten im Zusammenhang mit Maßnahmen zum Schutz der nationalen Sicherheit, zur Kriminalitätsbekämpfung, zur Aufrechterhaltung der öffentlichen Ordnung und zur Durchführung von Strafverfahren können die Behörden des Ministeriums für Innere Angelegenheiten

…

…

(2)   Die Fristen für die Speicherung der in Abs. 1 genannten Daten bzw. für die periodische Überprüfung der Notwendigkeit ihrer Speicherung werden durch den Minister für Innere Angelegenheiten festgelegt. Diese Daten werden darüber hinaus aufgrund einer gerichtlichen Handlung oder einer Entscheidung der Kommission für den Schutz personenbezogener Daten gelöscht.“

5.

In Art. 27 ZMVR heißt es:

„Daten aus einer auf der Grundlage von Art. 68 vorgenommenen polizeilichen Registrierung von Personen werden nur zum Schutz der nationalen Sicherheit, zur Kriminalitätsbekämpfung und zur Aufrechterhaltung der öffentlichen Ordnung verwendet.“

6.

Art. 68 ZMVR sieht Folgendes vor:

„(1)   Die Polizeibehörden nehmen eine polizeiliche Registrierung von Personen vor, die wegen einer vorsätzlichen Offizialstraftat verfolgt werden. Die Untersuchungsbehörden sind verpflichtet, die für die Registrierung durch die Polizeibehörden erforderlichen Maßnahmen zu treffen.

(2)   Die polizeiliche Registrierung ist eine Art der Verarbeitung personenbezogener Daten der in Abs. 1 genannten Personen, die im Rahmen dieses Gesetzes erfolgt.

(3)   Für die Zwecke der polizeilichen Registrierung nehmen die Polizeibehörden Folgendes vor:

…

(6)   Die polizeiliche Registrierung wird auf der Grundlage einer schriftlichen Anordnung des für die Verarbeitung personenbezogener Daten Verantwortlichen oder der von diesem ermächtigten Beamten von Amts wegen oder auf einen begründeten schriftlichen Antrag der registrierten Person aufgehoben, wenn

(7)   Die Einzelheiten der polizeilichen Registrierung und der Aufhebung dieser Registrierung werden durch eine Verordnung des Ministerrates festgelegt.“

7.

NG war von einer polizeilichen Registrierung im Rahmen eines Ermittlungsverfahrens wegen des Verdachts der Falschaussage – einer Straftat gemäß Art. 290 Abs. 1 des Nakazatelen kodeks (Strafgesetzbuch) – betroffen. Infolge dieses Verfahrens wurde am 2. Juli 2015 Anklage gegen ihn erhoben, und mit Urteil vom 28. Juni 2016, bestätigt im Rechtsmittelverfahren durch Urteil vom 2. Dezember 2016, wurde er für schuldig befunden und zu einer Bewährungsstrafe von einem Jahr verurteilt. Am 14. März 2018 war die Strafe verbüßt.

8.

Am 15. Juli 2020 beantragte NG bei der zuständigen Gebietsverwaltung des Ministerstvo na vatreshnite raboti (Ministerium für Innere Angelegenheiten, Bulgarien) die Aufhebung dieser Registrierung und legte dabei einen Auszug aus seinem Führungszeugnis vor, in dem bescheinigt wurde, dass er nicht vorbestraft war.

9.

Mit Verfügung vom 2. September 2020 lehnte die zuständige Verwaltungsbehörde diesen Antrag ab und begründete das damit, dass eine rechtskräftig gewordene Verurteilung nicht zu den in Art. 68 Abs. 6 ZMVR erschöpfend aufgezählten Gründen für eine Aufhebung der polizeilichen Registrierung gehöre, und zwar auch nicht im Fall einer Rehabilitierung im Sinne von Art. 85 des Strafgesetzbuchs. Am 8. Oktober 2020 erhob NG beim Administrativen sad Sofia grad (Verwaltungsgericht Sofia-Stadt, Bulgarien) Klage gegen diese Verfügung. Mit Entscheidung vom 2. Februar 2021 wies dieses Gericht die Klage ab.

10.

NG legte beim Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien) Rechtsmittel gegen die Entscheidung des Administrativen sad Sofia grad ein. Der Hauptrechtsmittelgrund wird aus einem Verstoß gegen einen Grundsatz hergeleitet, der sich aus den Art. 5, 13 und 14 der Richtlinie 2016/680 ergeben soll und wonach die Verarbeitung personenbezogener Daten durch Speicherung nicht unbegrenzt sein dürfe. Ohne einen Grund für die Aufhebung der polizeilichen Registrierung könne eine verurteilte Person nach ihrer Rehabilitierung nicht die Löschung ihrer Daten beantragen, die im Zusammenhang mit der Straftat erhoben worden seien, für die sie ihre Strafe verbüßt habe, so dass die Speicherdauer dieser Daten unbegrenzt sei.

11.

Da das vorlegende Gericht bezweifelt, dass die nationale Regelung für die fragliche Polizeidatei mit dem Unionsrecht im Einklang steht, hat es beschlossen, das Ausgangsverfahren auszusetzen und dem Gerichtshof folgende Frage zur Vorabentscheidung vorzulegen:

Lässt die Auslegung von Art. 5 in Verbindung mit Art. 13 Abs. 2 Buchst. b und Abs. 3 der Richtlinie 2016/680 nationale Gesetzgebungsmaßnahmen zu, die zu einem praktisch unbeschränkten Recht auf Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung und/oder zur Abschaffung des Rechts der betroffenen Person auf Einschränkung der Verarbeitung, Löschen oder Vernichtung ihrer Daten führen?

12.

Die bulgarische, die tschechische, die irische, die spanische und die polnische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen vorgelegt. In der Sitzung vom 7. Februar 2023 haben der Kläger des Ausgangsverfahrens, die bulgarische, die irische, die spanische, die niederländische und die polnische Regierung sowie die Kommission darüber hinaus mündlich verhandelt.

13.

Wie aus dem Vorabentscheidungsersuchen hervorgeht, sieht das vorlegende Gericht es offensichtlich als gegeben an, dass die streitige nationale Regelung in den sachlichen Anwendungsbereich der Richtlinie 2016/680 fällt; diese Position scheint mir einige Anmerkungen zu rechtfertigen.

14.

Nach dem Wortlaut von Art. 1 Abs. 1 in Verbindung mit Art. 2 Abs. 1 der Richtlinie 2016/680 gilt diese für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. Art. 2 Abs. 3 Buchst. a der Richtlinie 2016/680 schließt die Verarbeitung personenbezogener Daten „im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“, von seinem Anwendungsbereich aus. In den Erwägungsgründen 12 und 14 der Richtlinie wird der Inhalt dieser Unanwendbarkeitsausnahme präzisiert, indem darauf hingewiesen wird, dass sie u. a. die nationale Sicherheit betreffende Tätigkeiten erfasst – im Unterschied zu solchen, die sich auf die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe beziehen, die der Polizei oder anderen Strafverfolgungsbehörden übertragen wurde, soweit dies zum Zweck des Schutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen für durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer Straftat führen können, erforderlich ist.

15.

Bei der Auslegung von Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 ( 3 ), der eine Ausnahme von der Anwendbarkeit dieser Verordnung vorsieht, die im gleichen Wortlaut wie Art. 2 Abs. 3 Buchst. a der Richtlinie 2016/680 abgefasst ist, hat der Gerichtshof entschieden, dass die erstgenannte Vorschrift im Licht des 16. Erwägungsgrundes der Verordnung so zu verstehen ist, dass damit vom Anwendungsbereich dieser Norm allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden, so dass der bloße Umstand, dass eine Tätigkeit eine spezifische Tätigkeit des Staates oder einer Behörde ist, nicht dafür ausreicht, dass diese Ausnahme automatisch für diese Tätigkeit gilt. Er hat klargestellt, dass die auf die Wahrung der nationalen Sicherheit abzielenden Tätigkeiten insbesondere solche umfassen, die den Schutz der grundlegenden Funktionen des Staates und der grundlegenden Interessen der Gesellschaft bezwecken ( 4 ).

16.

Im vorliegenden Fall werden die Daten von der Polizei gemäß Art. 68 ZMVR im Einklang mit Art. 27 dieses Gesetzes für die Zwecke des Schutzes der nationalen Sicherheit, der Kriminalitätsbekämpfung und der Aufrechterhaltung der öffentlichen Ordnung erfasst und gespeichert. Dies zeigt, dass die fragliche Polizeidatei eine einzige und hybride Datenbank darstellt, da sie Informationen zusammenführt, die zu unterschiedlichen Zwecken, darunter dem Zweck des Schutzes der nationalen Sicherheit, der nicht in den sachlichen Anwendungsbereich der Richtlinie 2016/680 fällt, verarbeitet werden können. Daher kann die Rechtmäßigkeit der Speicherung der in einer solchen Datei enthaltenen Daten nicht anhand der Anforderungen dieser Richtlinie geprüft werden, sofern die Daten nur zu den in Art. 1 Abs. 1 der Richtlinie genannten Zwecken verwendet werden, was das vorlegende Gericht zu überprüfen hat ( 5 ). Nach Lage der dem Gerichtshof vorgelegten Akte ist nicht ersichtlich, dass die Speicherung der Daten in der Polizeidatei von NG, deren Löschung er beantragt, als eine Verarbeitung angesehen werden kann, die nicht in den sachlichen Anwendungsbereich der Richtlinie 2016/680 fällt.

17.

An dieser Stelle ist hervorzuheben, dass die in der Ausgangsrechtssache in Rede stehende nationale Regelung bereits Gegenstand eines Urteils des Gerichtshofs gewesen ist, das auf eine Fragestellung eines bulgarischen Gerichts hin erging, welches die Weigerung einer der Steuerhinterziehung beschuldigten Person zu beurteilen hatte, sich der Erhebung ihrer Daten zu unterziehen. Der Gerichtshof hat sich darin u. a. zur Rechtmäßigkeit der Datenerhebung in Bezug auf die Anforderungen von Art. 10 der Richtlinie 2016/680 geäußert und entschieden, dass dieser in Verbindung mit Art. 4 Abs. 1 Buchst. a bis c sowie mit Art. 8 Abs. 1 und 2 der Richtlinie dahin auszulegen ist, dass er nationalen Rechtsvorschriften entgegensteht, die die systematische Erhebung biometrischer und genetischer Daten aller Personen, die einer vorsätzlichen Offizialstraftat beschuldigt werden, für die Zwecke ihrer Registrierung vorsehen, ohne die Verpflichtung der zuständigen Behörde vorzusehen, zum einen zu überprüfen und nachzuweisen, ob bzw. dass diese Erhebung für die Erreichung der konkret verfolgten Ziele unbedingt erforderlich ist, und zum anderen, ob bzw. dass diese Ziele nicht durch Maßnahmen erreicht werden können, die einen weniger schwerwiegenden Eingriff in die Rechte und Freiheiten der betroffenen Person darstellen ( 6 ). In der vorliegenden Rechtssache wird der Gerichtshof die Rechtmäßigkeit eines anderen Eingriffs, nämlich der Speicherung von Informationen über strafrechtlich verurteilte natürliche Personen, die in der fraglichen Polizeidatei anhand ihres Vor- und Nachnamens identifiziert werden, welche eine Verarbeitung personenbezogener Daten durch eine zuständige staatliche Stelle, d. h. das bulgarische Ministerium für Innere Angelegenheiten, zum Zweck der Verhütung, Ermittlung und Aufdeckung von Straftaten im Sinne von Art. 3 Nrn. 1, 2 und 7 Buchst. a der Richtlinie 2016/680 darstellt, zu prüfen haben.

18.

Zunächst ist darauf hinzuweisen, dass es im Rahmen des durch Art. 267 AEUV eingeführten Verfahrens der Zusammenarbeit zwischen den nationalen Gerichten und dem Gerichtshof dessen Aufgabe ist, dem nationalen Gericht eine für die Entscheidung des bei diesem anhängigen Verfahrens sachdienliche Antwort zu geben. Hierzu hat der Gerichtshof die ihm vorgelegten Fragen gegebenenfalls umzuformulieren. Es ist nämlich Aufgabe des Gerichtshofs, alle Bestimmungen des Unionsrechts auszulegen, die die nationalen Gerichte benötigen, um die bei ihnen anhängigen Rechtsstreitigkeiten zu entscheiden, auch wenn diese Bestimmungen in den dem Gerichtshof von diesen Gerichten vorgelegten Fragen nicht ausdrücklich genannt sind ( 7 ).

19.

Der Sachverhalt der Ausgangsrechtssache bezieht sich auf einen Antrag auf Löschung der Eintragung personenbezogener Daten in der Polizeidatei, der von einer natürlichen Person gestellt wird, die, nachdem sie wegen Falschaussage verurteilt worden war, ihre Strafe verbüßt hat und am 14. März 2020, d. h. beinahe fünf Jahre nach der vorerwähnten Eintragung, rehabilitiert worden ist. Dieser Antrag ist mit Entscheidung der zuständigen Verwaltungsbehörde, im ersten Rechtszug bestätigt durch die Entscheidung des Administrativen sad Sofia grad (Verwaltungsgerichts Sofia-Stadt), die Gegenstand eines Rechtsmittels beim vorlegenden Gericht ist, das Zweifel hinsichtlich der Vereinbarkeit der nationalen Regelung mit der Richtlinie 2016/680 in Bezug auf die Frage der Speicherung der Daten in der Polizeidatei hat, abgelehnt worden. Die Ausgangsrechtssache betrifft somit offenkundig das Recht auf unverzügliche Löschung personenbezogener Daten, das gemäß Art. 16 Abs. 2 der Richtlinie 2016/680 besteht, wenn die Verarbeitung gegen die nach den Art. 4, 8 und 10 dieser Richtlinie erlassenen Vorschriften verstößt oder wenn die personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen, der der Verantwortliche unterliegt.

20.

Gemäß Art. 4 Abs. 1 Buchst. c und e der Richtlinie 2016/680 müssen die Mitgliedstaaten dafür sorgen, dass personenbezogene Daten im Einklang mit dem Grundsatz der Datenminimierung bzw. dem Grundsatz der Begrenzung ihrer Aufbewahrung dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sind sowie nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht ( 8 ). Art. 8 dieser Richtlinie wiederum ist der Rechtmäßigkeit der Verarbeitung gewidmet, welche durch die Erforderlichkeit einer Verarbeitung zur Erfüllung einer Aufgabe, die von der zuständigen Behörde zu den in Art. 1 Abs. 1 der Richtlinie genannten Zwecken wahrgenommen wird, und eine europäische oder nationale Rechtsgrundlage bedingt ist, wobei Letztere zumindest die Ziele der Verarbeitung, die personenbezogenen Daten, die verarbeitet werden sollen, und die Zwecke der Verarbeitung angeben muss. Art. 10 der Richtlinie 2016/680 schließlich legt die rechtliche Regelung für die Verarbeitung besonderer Kategorien personenbezogener Daten wie beispielsweise biometrischer und genetischer Daten fest, die in der Polizeidatei verwendet werden, um eine natürliche Person eindeutig zu identifizieren.

21.

Festzustellen ist, dass die in der vorstehenden Nummer angeführten Bestimmungen in der Vorlagefrage nicht genannt werden, obwohl sie für die Antwort, die der Gerichtshof im vorliegenden Fall liefern soll, offensichtlich relevant sind. Das vorlegende Gericht ersucht um Auslegung der Art. 5 und 13 Abs. 2 Buchst. b und Abs. 3 der Richtlinie 2016/680, die nicht zu den in Art. 16 Abs. 2 dieser Richtlinie ausdrücklich erwähnten Bestimmungen gehören, deren Verletzung durch die nationale Regelung die Umsetzung des der betreffenden Person gewährten Rechts auf Löschung rechtfertigt. Dieses Recht wird jedoch auch dann zuerkannt, wenn die Daten gelöscht werden müssen, um einer gesetzlichen Verpflichtung des Verantwortlichen nachzukommen, was den in den Art. 5 und 13 Abs. 2 Buchst. b der Richtlinie berücksichtigten Fällen entsprechen könnte, nämlich der Festsetzung von Höchstfristen für die Speicherung von Daten oder regelmäßigen Überprüfungen der Notwendigkeit einer solchen Speicherung ( 9 ) bzw. der Erteilung von Informationen zusätzlich zu den in Art. 13 Abs. 1 genannten Informationen an die betroffene Person in besonderen Fällen, um die Ausübung der Rechte der betroffenen Person zu ermöglichen. Dagegen betrifft Art. 13 Abs. 3 die Möglichkeit für die Mitgliedstaaten, unter bestimmten Voraussetzungen Gesetzgebungsmaßnahmen zu erlassen, nach denen die Unterrichtung der betroffenen Person gemäß Abs. 2 aufgeschoben, eingeschränkt oder sogar unterlassen werden kann, was nicht unter eine dem Verantwortlichen auferlegte gesetzliche Verpflichtung fallen kann.

22.

Aus der Vorlageentscheidung geht jedenfalls nicht hervor, dass sich in der Ausgangsrechtssache die Frage nach der Rechtsbelehrung von NG gestellt hätte, da der Betroffene seine Rechte offensichtlich ausüben konnte, wie der Rechtsbehelf zeigt, mit dem er die Verwaltungsbehörden und später die Justizbehörde in Bezug auf die Speicherung seiner Daten befasst hat. Die an den Gerichtshof gerichtete Frage scheint somit keine Auslegung von Art. 13 Abs. 2 Buchst. b und Abs. 3 der Richtlinie 2016/680 zu erfordern. Folglich geht es in der Ausgangsrechtssache insbesondere um Art. 16 Abs. 2 der Richtlinie 2016/680 sowie um deren Art. 4, 5, 8 und 10.

23.

Im Übrigen steht die Richtlinie 2016/680, wie es in ihrem 104. Erwägungsgrund heißt, im Einklang mit den Grundrechten und Grundsätzen, die mit der Charta anerkannt wurden und im AEU‑Vertrag verankert sind, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens sowie dem Recht auf Schutz personenbezogener Daten. Nach dem 46. Erwägungsgrund dieser Richtlinie muss jede Einschränkung der Rechte der betroffenen Person mit der Charta und mit der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) in der Auslegung durch die Rechtsprechung des Gerichtshofs bzw. des Europäischen Gerichtshofs für Menschenrechte (im Folgenden: EGMR) vereinbar sein und insbesondere den Wesensgehalt dieser Rechte und Freiheiten achten. Es ist darauf hinzuweisen, dass die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, die durch die Art. 7 und 8 der Charta garantiert sind, keine uneingeschränkte Geltung beanspruchen, sondern im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden müssen. Somit können Einschränkungen vorgesehen werden, sofern sie gemäß Art. 52 Abs. 1 der Charta gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Nach diesem Grundsatz dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Sie müssen sich auf das absolut Notwendige beschränken, und die den Eingriff enthaltende Regelung muss klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen ( 10 ).

24.

Unter diesen Umständen ist davon auszugehen, dass das vorlegende Gericht fragt, ob die Art. 4, 5, 8, 10 und 16 Abs. 2 der Richtlinie 2016/680 in der Gesamtschau und im Licht von Art. 52 Abs. 1 der Charta dahin auszulegen sind, dass sie nationalen Rechtsvorschriften entgegenstehen, die vorsehen, dass personenbezogene Daten, einschließlich biometrischer und genetischer Daten der betroffenen Person, bis zu deren Tod in einer Polizeidatei gespeichert werden, und es dieser Person nicht ermöglichen, die Löschung der Daten infolge der Rehabilitierung, in deren Genuss sie nach ihrer strafrechtlichen Verurteilung gekommen ist, zu erwirken ( 11 ).

25.

Bevor die Vereinbarkeit der die fragliche Polizeidatei betreffenden nationalen Regelung geprüft wird, erscheint es mir notwendig, die Problematik der Speicherung von Daten zu Strafverfolgungszwecken vor dem Hintergrund einiger Bestimmungen der Richtlinie 2016/680 sowie der Rechtsprechung des Gerichtshofs und des EGMR zu betrachten.

26.

Als Erstes ist festzustellen, dass die Richtlinie 2016/680 zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts in der Union beitragen soll, indem sie einen soliden und kohärenten Rechtsrahmen für den Schutz personenbezogener Daten aufbaut, um die Wahrung des Grundrechts natürlicher Personen auf den Schutz ihrer personenbezogenen Daten gemäß Art. 8 Abs. 1 der Charta und Art. 16 Abs. 1 AEUV sicherzustellen, wobei dieses Recht in engem Zusammenhang mit dem in Art. 7 der Charta verankerten Recht auf Achtung des Privatlebens steht ( 12 ). Zu diesem Zweck enthalten die Kapitel II und III der Richtlinie 2016/680 die Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Rechte der betroffenen Person, die bei jeder Verarbeitung solcher Daten beachtet werden müssen. Insbesondere muss jede Verarbeitung personenbezogener Daten den in den Art. 4 und 8 dieser Richtlinie genannten Grundsätzen für die Verarbeitung von Daten und den Voraussetzungen für die Rechtmäßigkeit der Verarbeitung entsprechen. Da die in der letztgenannten Bestimmung enthaltenen Anforderungen Ausfluss der Vorgaben sind, die sich aus Art. 52 Abs. 1 der Charta ergeben, sind sie im Licht dieses Artikels auszulegen ( 13 ).

27.

In der dem vorlegenden Gericht zu gebenden Antwort ist somit der in Art. 4 Abs. 1 Buchst. c der Richtlinie 2016/680 genannte Grundsatz der „Datenminimierung“ zu berücksichtigen, der Ausdruck des Grundsatzes der Verhältnismäßigkeit ist ( 14 ). Gleiches gilt für den in Art. 4 Abs. 1 Buchst. e dieser Richtlinie enthaltenen Grundsatz der Begrenzung der Aufbewahrung, wonach eine Beurteilung der Frage vorzunehmen ist, ob die Verarbeitung im Hinblick auf den Zeitablauf in einem angemessenen Verhältnis zu ihrem Zweck steht. Es dürfte gegen diesen Grundsatz verstoßen, wenn Daten länger als erforderlich, d. h. länger, als es für die Realisierung der Zwecke, für die sie gespeichert worden sind, aufbewahrt werden ( 15 ). Daraus ergibt sich, dass selbst eine ursprünglich zulässige Verarbeitung von Daten im Lauf der Zeit mit der Richtlinie 2016/680 unvereinbar werden kann, wenn diese Daten für die Erreichung solcher Zwecke nicht mehr erforderlich sind, und dass sie gelöscht werden müssen, wenn diese Zwecke erreicht sind ( 16 ).

28.

Auf die zeitliche Problematik der Aufbewahrung von Daten wird auch in Art. 5 der Richtlinie 2016/680 in Form eines Zusatzes und einer Präzisierung der Anforderungen ihres Art. 4 eingegangen ( 17 ). Im 26. Erwägungsgrund dieser Richtlinie heißt es: „Um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen.“ Festzustellen ist, dass Art. 5 der Richtlinie 2016/680 es einerseits den Mitgliedstaaten überlässt, eine angemessene Frist für die Speicherung festzulegen, und andererseits eine regelmäßige Überprüfung der Notwendigkeit der Datenspeicherung als Alternative zur Vorabfestlegung einer Höchstspeicherfrist vorsieht. Dem letztgenannten Befund scheint mir in der vorliegenden Rechtssache eine gewisse Bedeutung zuzukommen, da er Ausdruck dessen ist, dass der Unionsgesetzgeber die Möglichkeit einer unbefristeten Speicherung von Daten zu Strafverfolgungszwecken anerkannt hat ( 18 ). Diese Feststellung muss an den Wortlaut von Art. 16 Abs. 3 der Richtlinie 2016/680 angebunden werden, der u. a. in seinem Buchst. b die Möglichkeit vorsieht, die Verarbeitung von Daten alternativ zu ihrer Löschung einzuschränken, wenn die personenbezogenen Daten „für Beweiszwecke“ weiter aufbewahrt werden müssen, was zeigt, dass kein absolutes Recht auf Löschung besteht ( 19 ).

29.

Die Frage nach der Rechtmäßigkeit der Speicherung von Daten schließt notwendigerweise die Frage nach der Art der Daten ein, die im vorliegenden Fall u. a. Fingerabdrücke, Lichtbilder und eine DNA-Probe der Person umfassen, die verdächtigt wird, eine Straftat begangen zu haben, oder derentwegen strafrechtlich verurteilt worden ist, wobei die Verarbeitung bei dieser Art von Daten in den Anwendungsbereich von Art. 10 der Richtlinie 2016/680 fällt. Hervorzuheben ist, dass die rechtliche Regelung von Art. 10 der Richtlinie 2016/680 – im Unterschied zu der in Art. 9 DSGVO vorgesehenen Regelung – zwar kein grundsätzliches Verbot einer Verarbeitung solcher Daten enthält, dass die Verarbeitung aber nur dann erlaubt ist, „wenn sie unbedingt erforderlich ist“ und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt und wenn sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist.

30.

Nach der Rechtsprechung besteht der Zweck von Art. 10 der Richtlinie 2016/680 darin, einen erhöhten Schutz gegen eine solche Verarbeitung zu gewährleisten, die aufgrund der besonderen Sensibilität der betreffenden Daten und des Kontexts, in dem sie verarbeitet werden, erhebliche Risiken für durch die Art. 7 und 8 der Charta garantierte Grundrechte und Grundfreiheiten, wie das Recht auf Achtung des Privatlebens und das Recht auf Schutz personenbezogener Daten, mit sich bringen kann, wie sich aus dem 37. Erwägungsgrund dieser Richtlinie ergibt. Wie sich bereits aus dem Wortlaut von Art. 10 der Richtlinie 2016/680 ergibt, ist die Anforderung, dass die Verarbeitung solcher Daten „nur“ dann erlaubt ist, „wenn sie unbedingt erforderlich ist“, dahin auszulegen, dass sie verschärfte Voraussetzungen für die Rechtmäßigkeit der Verarbeitung sensibler Daten festlegt, im Vergleich zu denjenigen, die sich aus Art. 4 Abs. 1 Buchst. b und c sowie aus Art. 8 Abs. 1 dieser Richtlinie ergeben, die sich lediglich auf die „Erforderlichkeit“ einer Verarbeitung von Daten beziehen, die allgemein in den Anwendungsbereich der Richtlinie fallen. So wird zum einen durch die Verwendung des Adverbs „nur“ vor dem Ausdruck „wenn sie unbedingt erforderlich ist“ betont, dass die Verarbeitung besonderer Kategorien von Daten im Sinne von Art. 10 der Richtlinie 2016/680 nur in einer begrenzten Zahl von Fällen als erforderlich angesehen werden kann. Zum anderen bedeutet der Umstand, dass die Erforderlichkeit der Verarbeitung solcher Daten „unbedingt“ sein muss, dass diese Erforderlichkeit besonders streng zu beurteilen ist ( 20 ).

31.

Als Zweites hat sich der Gerichtshof zwar bereits mehrfach zur Frage der Rechtmäßigkeit der Speicherung von Daten zu Strafverfolgungszwecken geäußert, dies aber in normativen und tatsächlichen Kontexten getan, die sich vor allem von dem der vorliegenden Rechtssache unterscheiden. So hat der Gerichtshof entschieden ( 21 ), dass das aus der Richtlinie 2002/58/EG ( 22 ) hervorgegangene Unionsrecht, aus dem sich ergibt, dass die Nutzer elektronischer Kommunikationsmittel grundsätzlich erwarten dürfen, dass ihre Nachrichten und die damit verbundenen Verkehrsdaten anonym bleiben und nicht gespeichert werden dürfen, es sei denn, sie haben darin eingewilligt, einer präventiven allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten zur Bekämpfung der Kriminalität, wie schwer sie auch sein mag, entgegensteht, da diese Speicherung nur bei einer ernsten, realen und aktuellen oder vorhersehbaren Bedrohung für die nationale Sicherheit zulässig ist, wenn bestimmte Voraussetzungen erfüllt sind. Demgegenüber steht das Unionsrecht, so der Gerichtshof, Rechtsvorschriften, die zur Bekämpfung schwerer Kriminalität eine allgemeine und unterschiedslose Vorratsspeicherung der die Identität der Nutzer betreffenden Daten und – für einen auf das absolut Notwendige begrenzten Zeitraum – der IP‑Adressen dieser Nutzer vorsehen, einer gezielten Vorratsspeicherung von Daten für einen auf das absolut Notwendige begrenzten, aber verlängerbaren Zeitraum auf der Grundlage objektiver und nicht diskriminierender Kriterien anhand von Kategorien betroffener Personen oder mittels eines geografischen Kriteriums sowie der umgehenden Sicherung von Daten, die den Betreibern von Diensten während eines festgelegten Zeitraums zur Verfügung stehen, nicht entgegen, da all diese Maßnahmen durch klare und präzise Regeln sicherstellen müssen, dass bei der Speicherung der fraglichen Daten die für sie geltenden materiellen und prozeduralen Voraussetzungen eingehalten werden und dass die Betroffenen über wirksame Garantien zum Schutz vor Missbrauchsrisiken verfügen.

32.

Vom Kriterium im Zusammenhang mit der Achtung der Grenzen des für die Verarbeitung personenbezogener Daten strikt Erforderlichen hat der Gerichtshof darüber hinaus im Kontext der Übermittlung, Speicherung und Verwendung von Datensätzen zu Fluggästen von Drittstaatsflügen (im Folgenden: PNR-Daten), die von Fluggesellschaften im Hinblick auf die Verhütung und Aufdeckung terroristischer Straftaten und schwerer Kriminalität erstellt werden, Gebrauch gemacht ( 23 ). Der Gerichtshof hat hervorgehoben, dass, da die Speicherfrist der PNR-Daten nach dem PNR-Abkommen EU-Kanada bis zu fünf Jahre betragen kann, dieses Abkommen Informationen über das Privatleben der Fluggäste für einen besonders langen Zeitraum verfügbar macht und dass im Fall von Fluggästen, für die bei ihrer Einreise nach Kanada bis zu ihrer Ausreise aus diesem Drittstaat keine Gefahr terroristischer Straftaten oder schwerer grenzüberschreitender Kriminalität festgestellt worden ist, nach ihrer Rückkehr kein auch nur mittelbarer Zusammenhang zwischen ihren PNR-Daten und dem mit dem Abkommen verfolgten Ziel ersichtlich ist, der die Speicherung dieser Daten rechtfertigen würde. Er ist somit zu dem Schluss gekommen, dass eine kontinuierliche Speicherung der PNR-Daten sämtlicher Fluggäste nach ihrer Ausreise aus Kanada für einen etwaigen Zugriff auf diese Daten unabhängig von irgendeiner Verbindung zur Bekämpfung des Terrorismus und schwerer grenzüberschreitender Kriminalität nicht gerechtfertigt war ( 24 ).

33.

Der Gerichtshof hat sich im Rahmen eines Vorabentscheidungsersuchens zur Gültigkeit und Auslegung der Richtlinie (EU) 2016/681 ( 25 ) geäußert, die Fluggesellschaften dazu verpflichtet, die Daten aller Fluggäste von Drittstaatsflügen, d. h. Flügen zwischen einem Drittstaat und der Europäischen Union, an die PNR-Zentralstelle des Mitgliedstaats des Bestimmungs- oder Abflugorts des betreffenden Flugs zu übermitteln, um den Terrorismus und schwere Kriminalität zu bekämpfen. Die so übermittelten PNR-Daten werden von der PNR-Zentralstelle innerhalb von sechs Monaten vorab überprüft und anschließend im Hinblick auf eine etwaige nachträgliche Überprüfung durch die zuständigen Behörden der Mitgliedstaaten fünf Jahre lang gespeichert, was im Fall von Personen, die mehr als einmal in fünf Jahren mit dem Flugzeug reisen, während eines erheblichen Zeitraums oder sogar auf unbestimmte Zeit zu Analysen führen kann. Der Gerichtshof hat die Auffassung vertreten, dass diese Richtlinie mit fraglos schwerwiegenden Eingriffen in die durch die Art. 7 und 8 der Charta garantierten Rechte verbunden ist, insbesondere soweit sie auf die Schaffung eines Systems kontinuierlicher, nicht zielgerichteter und systematischer Überwachung abzielt, das die automatisierte Überprüfung personenbezogener Daten sämtlicher Personen einschließt, die Luftverkehrsdienste in Anspruch nehmen, wobei sie sich in einer Weise auslegen lässt, die mit den Art. 7, 8 und 21 sowie mit Art. 52 Abs. 1 der Charta im Einklang steht. Nach Ablauf der ursprünglichen Speicherfrist von sechs Monaten, so der Gerichtshof, beschränkt sich die Speicherung der PNR-Daten im Fall von Fluggästen, bei denen weder die Vorabüberprüfung noch etwaige Überprüfungen während der ursprünglichen Speicherfrist von sechs Monaten oder irgendein anderer Umstand objektive Anhaltspunkte geliefert haben, die eine Gefahr im Bereich terroristischer Straftaten oder schwerer Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit ihrer Flugreise belegen können, nicht auf das absolut Notwendige. Dagegen hat er die Ansicht vertreten, dass die Speicherung der PNR-Daten aller Fluggäste, für die das durch die genannte Richtlinie geschaffene System gilt, während des ursprünglichen Zeitraums von sechs Monaten grundsätzlich nicht die Grenzen des absolut Notwendigen überschreitet.

34.

Im Gegensatz zu der oben in Erinnerung gerufenen Rechtsprechung ist zum einen hervorzuheben, dass die Einwilligung der betroffenen Person – entgegen den in der Richtlinie 2002/58 enthaltenen Vorgaben für die Verarbeitung von Daten ( 26 ) – keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken darstellt. Wie in deren 35. Erwägungsgrund klargestellt wird, können die zuständigen Behörden bei der Wahrnehmung der ihnen als gesetzlich begründeter Institution übertragenen Aufgaben, Straftaten zu verhüten, zu ermitteln, aufzudecken und zu verfolgen, natürliche Personen auffordern oder anweisen, ihren Anordnungen nachzukommen. Zum anderen geht es in der vorliegenden Rechtssache nicht um die Speicherung und die automatisierte Analyse einer im elektronischen Kommunikations- oder Luftverkehrssektor erzeugten, von privaten Anbietern gespeicherten und an die Ermittlungsstellen übermittelten „Flut von Daten“ ( 27 ), sondern um eine einzige unter der ausschließlichen Kontrolle einer öffentlichen Stelle stehende und streng vertrauliche Polizeidatei, die Daten von Personen enthält, bei denen der begründete Verdacht besteht, dass sie eine Straftat begangen haben, bzw. die verdächtigt und strafrechtlich verurteilt worden sind.

35.

Die Besonderheit des normativen und tatsächlichen Kontexts der vorstehend angeführten Rechtsprechung verhindert meines Erachtens jede einfache Übertragung der darin gewählten Lösungen auf die Beantwortung der vorliegenden Vorabentscheidungsfrage, insbesondere wenn es um die Unterscheidung zwischen den Zielen der Datenspeicherung (Schutz der nationalen Sicherheit, Bekämpfung schwerer Kriminalität oder von Straftaten, die nicht der schweren Kriminalität zuzurechnen sind) und den notwendigen Zusammenhang zwischen der Bedeutung dieser Ziele und der Schwere der möglicherweise gerechtfertigten Eingriffe in die Grundrechte geht ( 28 ). Mit anderen Worten lässt sich die Aussage, dass die Bekämpfung der Kriminalität im Allgemeinen nur Eingriffe rechtfertigen kann, die nicht schwer sind ( 29 ), im vorliegenden Fall nicht treffen, wenn nicht die praktische Wirksamkeit der Richtlinie 2016/680 und des nationalen Instrumentariums für die Ermittlungstätigkeit/öffentliche Sicherheit wie beispielsweise der fraglichen Polizeidatei, die in den Anwendungsbereich dieser Richtlinie fällt, deren Zweck gerade die Notwendigkeit zum Ausdruck bringt, Daten für polizeiliche Zwecke in angemessener Weise verarbeiten zu können, erheblich verringert werden soll. Festzuhalten ist, dass der Unionsgesetzgeber, wie sich aus den Erwägungsgründen 10 und 11 der Richtlinie 2016/680 ergibt, Vorschriften erlassen wollte, die den Besonderheiten des von dieser Richtlinie erfassten Bereichs Rechnung tragen. Hierzu heißt es im zwölften Erwägungsgrund, dass die Tätigkeiten der Polizei oder anderer Strafverfolgungsbehörden hauptsächlich auf die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von nicht näher erläuterten Straftaten ausgerichtet sind, wozu auch polizeiliche Tätigkeiten in Fällen zählen, in denen nicht von vornherein bekannt ist, ob es sich um Straftaten handelt oder nicht ( 30 ).

36.

Als Drittes ist zu bemerken, dass Art. 7 der Charta, der das Recht auf Achtung des Privat- und Familienlebens betrifft, Rechte enthält, die den in Art. 8 Abs. 1 EMRK gewährleisteten Rechten entsprechen, und dass der Schutz personenbezogener Daten für die Ausübung des in Art. 8 EMRK verankerten Rechts auf Achtung des Privat- und Familienlebens eine grundlegende Rolle spielt. Dementsprechend ist diesem Art. 7 gemäß Art. 52 Abs. 3 der Charta die gleiche Bedeutung und Tragweite beizumessen wie Art. 8 Abs. 1 EMRK in seiner Auslegung durch die Rechtsprechung des EGMR ( 31 ).

37.

Der EGMR geht davon aus, dass der Schutz personenbezogener Daten bei der Ausübung des in Art. 8 EMRK verankerten Rechts auf Achtung des Privatlebens eine grundlegende Rolle spielt und dass die bloße Tatsache, dass Daten über das Privatleben einer Person gespeichert werden, einen Eingriff im Sinne von Art. 8 darstellt, unabhängig davon, ob die gespeicherten Informationen anschließend verwendet werden oder nicht. Das innerstaatliche Recht müsse u. a. sicherstellen, dass diese Daten relevant seien und nicht über die Zwecke hinausgingen, für die sie erfasst würden, sowie dass die Speicherung in einer Form erfolge, die eine Identifizierung der betroffenen Personen während eines Zeitraums ermögliche, der nicht länger als für die Zwecke der Datenerfassung erforderlich sei. Es müsse auch Garantien enthalten, die geeignet seien, die erfassten personenbezogenen Daten wirksam vor unsachgemäßem und missbräuchlichem Gebrauch zu schützen, gleichzeitig aber eine konkrete Möglichkeit böten, die Löschung der gespeicherten Daten zu beantragen. Der EGMR hat allerdings klargestellt, dass er sich dessen voll bewusst sei, dass die nationalen Behörden, um der ihnen obliegenden Pflicht zum Schutz der Bevölkerung nachzukommen, gehalten seien, Dateien zu erstellen, die wirksam zur Verfolgung und Verhütung bestimmter, insbesondere der schwersten Straftaten beitrügen. Solche Vorkehrungen könnten jedoch nicht in einer exzessiven Logik der Maximierung der darin enthaltenen Informationen und der Dauer ihrer Speicherung umgesetzt werden ( 32 ). Im letztgenannten Punkt vertritt der EGMR die Auffassung, dass das Fehlen einer Höchstfrist für die Speicherung der personenbezogenen Daten verurteilter Personen nicht notwendigerweise mit Art. 8 EMRK unvereinbar, das Vorhandensein und Funktionieren bestimmter Verfahrensgarantien in diesem Fall aber umso notwendiger sei ( 33 ).

38.

Wie aus Art. 68 ZMVR und den von der bulgarischen Regierung in der mündlichen Verhandlung vorgelegten Erklärungen hervorgeht, umfassen die Daten, auf die sich die nationale Regelung bezieht, u. a. den Familienstand der betroffenen Person, die Straftatbestände, derer diese Person verdächtigt wird oder derentwegen sie strafrechtlich verurteilt worden ist, ihre Fingerabdrücke, Lichtbilder und DNA-Proben zur Erstellung eines Profils. Da diese Daten also Informationen über bestimmte natürliche Personen enthalten, berühren die verschiedenen Verarbeitungen, die mit ihnen vorgenommen werden können, das Grundrecht auf Achtung des Privatlebens, das in Art. 7 der Charta garantiert ist. Die Verarbeitungen der PNR-Daten fallen zudem unter Art. 8 der Charta, weil sie Verarbeitungen personenbezogener Daten im Sinne dieses Artikels darstellen und deshalb zwangsläufig die dort vorgesehenen Erfordernisse des Datenschutzes erfüllen müssen ( 34 ).

39.

Nach dem Beispiel des EGMR, dem zufolge die bloße Tatsache, dass Daten über das Privatleben einer Person gespeichert werden, einen Eingriff im Sinne von Art. 8 EMRK darstellt ( 35 ), vertritt der Gerichtshof die Auffassung, dass die Speicherung der Daten als solche einen Eingriff in die Grundrechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten, die in den Art. 7 und 8 der Charta verankert sind, darstellt; dabei spielt es keine Rolle, ob die betreffenden Informationen über das Privatleben sensiblen Charakter haben und ob die Betroffenen durch diesen Eingriff Nachteile erlitten haben oder ob die gespeicherten Daten in der Folge verwendet werden oder nicht ( 36 ).

40.

Die Schwere des mit der Speicherung verbundenen Eingriffs ist in Anbetracht der Art bestimmter Daten – vor allem bei den in der Polizeidatei enthaltenen biometrischen und genetischen Daten – erwiesen, da der Gerichtshof die Risiken, die die Verarbeitung sensibler Daten für die Rechte und Freiheiten der betroffenen Personen insbesondere im Zusammenhang mit den Aufgaben der zuständigen Behörden für die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke darstellt, als erheblich eingestuft hat ( 37 ). Hierzu heißt es im 23. Erwägungsgrund dieser Richtlinie, dass angesichts der Komplexität und Sensibilität genetischer Informationen ein hohes Missbrauchs- und Wiederverwendungsrisiko für unterschiedliche Zwecke durch den Verantwortlichen besteht. Im 51. Erwägungsgrund der Richtlinie heißt es wiederum, dass Risiken für die Rechte und Freiheiten der natürlichen Personen aus einer Datenverarbeitung hervorgehen können, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, u. a. dann, wenn genetische oder biometrische Daten zur eindeutigen Identifizierung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten verarbeitet werden.

41.

Die Dauer der Datenspeicherung in der Polizeidatei trägt auch zur Feststellung der Schwere des Eingriffs bei, in dem Sinne, dass eine solche Speicherung während des gesamten Lebens der strafrechtlich verurteilten Person möglich ist. Schließlich ergibt sich aus Art. 26 Abs. 6 ZMVR, dass die personenbezogenen Daten an zuständige Behörden und Empfangsstellen der Mitgliedstaaten der Europäischen Union, der Organe und Agenturen der Europäischen Union, von Drittländern oder von internationalen Organisationen übermittelt werden können. Insoweit ist darauf hinzuweisen, dass die Richtlinie 2016/680 für den Zweck der wirksamen justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit darauf abzielt, den freien Verkehr personenbezogener Daten zwischen den zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit innerhalb der Union und der Übermittlung solcher personenbezogener Daten an Drittländer und internationale Organisationen, zu erleichtern ( 38 ). Hierzu sei daran erinnert, dass das Recht auf Schutz personenbezogener Daten u. a. verlangt, dass im Fall der Übermittlung personenbezogener Daten aus der Union in ein Drittland der Fortbestand des durch das Unionsrecht gewährten hohen Niveaus des Schutzes der Grundfreiheiten und Grundrechte gewährleistet wird ( 39 ).

42.

Nach alledem ist festzustellen, dass die im Ausgangsverfahren in Rede stehende nationale Regelung mit Eingriffen in die in den Art. 7 und 8 der Charta garantierten Rechte, die eine gewisse Schwere erreichen, verbunden ist, da mit ihr u. a. ein Instrument zur kontinuierlichen Speicherung sensibler Daten strafrechtlich verurteilter Personen, die die Grenzen des betreffenden Staates überschreiten könnten, eingeführt werden soll.

43.

Wie dargelegt worden ist, können die in den Art. 7 und 8 der Charta verankerten Grundrechte keine uneingeschränkte Geltung beanspruchen, und nach Art. 52 Abs. 1 der Charta sind Einschränkungen der Ausübung dieser Rechte zulässig, sofern sie gesetzlich vorgesehen sind und den Wesensgehalt dieser Rechte achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit müssen sie erforderlich sein und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen ( 40 ). Nach dem 26. Erwägungsgrund der Richtlinie 2016/680 können die Strafverfolgungsbehörden zwecks Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, Maßnahmen treffen, sofern diese durch Rechtsvorschriften geregelt sind und eine erforderliche und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft darstellen, bei der die berechtigten Interessen der betroffenen natürlichen Person gebührend berücksichtigt werden.

44.

In Bezug auf die Beachtung des Grundsatzes der Verhältnismäßigkeit ist darauf hinzuweisen, dass der Schutz des Grundrechts auf Achtung des Privatlebens nach ständiger Rechtsprechung des Gerichtshofs verlangt, dass sich die Ausnahmen vom Schutz personenbezogener Daten und dessen Einschränkungen auf das absolut Notwendige beschränken, wobei, wenn mehrere geeignete Maßnahmen zur Erreichung der verfolgten legitimen Ziele zur Verfügung stehen, die am wenigsten belastende zu wählen ist. Außerdem darf eine dem Gemeinwohl dienende Zielsetzung nicht verfolgt werden, ohne dem Umstand Rechnung zu tragen, dass sie mit den von der Maßnahme betroffenen Grundrechten in Einklang gebracht werden muss, indem eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung und der fraglichen Rechte vorgenommen wird, um sicherzustellen, dass die durch diese Maßnahme verursachten Unannehmlichkeiten nicht außer Verhältnis zu den verfolgten Zielsetzungen stehen. Daher ist die Möglichkeit, eine Einschränkung der durch die Art. 7 und 8 der Charta garantierten Grundrechte zu rechtfertigen, zu beurteilen, indem die Schwere des mit einer solchen Einschränkung verbundenen Eingriffs bestimmt und geprüft wird, ob die mit ihr verfolgte dem Gemeinwohl dienende Zielsetzung in angemessenem Verhältnis zur Schwere des Eingriffs steht ( 41 ).

45.

Das Erfordernis, dass jede Einschränkung der Ausübung von Grundrechten gesetzlich vorgesehen sein muss, bedeutet, dass die gesetzliche Grundlage für den Eingriff in die Grundrechte den Umfang, in dem die Ausübung des betreffenden Rechts eingeschränkt wird, selbst festlegen muss. Insoweit hat der Gerichtshof außerdem entschieden, dass die Regelung, die eine Maßnahme enthält, die einen solchen Eingriff ermöglicht, klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindesterfordernisse aufstellen muss, damit die Personen, deren personenbezogene Daten übermittelt worden sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken ermöglichen. Folglich muss die Rechtsgrundlage für jede Verarbeitung personenbezogener Daten, die in den Anwendungsbereich der Richtlinie 2016/680 fällt, wie der Unionsgesetzgeber im Übrigen in deren 33. Erwägungsgrund hervorgehoben hat, klar und präzise und ihre Anwendung für die Rechtsunterworfenen vorhersehbar sein. Insbesondere müssen diese in der Lage sein, die Umstände und Voraussetzungen zu erkennen, unter denen der Umfang der Rechte, die ihnen diese Richtlinie verleiht, eingeschränkt werden kann ( 42 ).

46.

Eine Prüfung der fraglichen nationalen Regelung, die in der Vorlageentscheidung vorgenommen und durch die Erklärungen der bulgarischen Regierung ergänzt wird, lässt meines Erachtens die Annahme zu, dass das Erfordernis der „Qualität“ des Gesetzes erfüllt ist, wobei dieses Erfordernis nicht ausschließt, dass die fragliche Einschränkung hinreichend offen formuliert ist, um Anpassungen an verschiedene Fallgruppen und an Änderungen der Lage zu erlauben ( 43 ).

47.

So dienen die Registrierung und die Speicherung von Daten in der Polizeidatei nach Art. 27 ZMVR den erschöpfend aufgeführten Zwecken des Schutzes der nationalen Sicherheit, der Kriminalitätsbekämpfung und der Aufrechterhaltung der öffentlichen Ordnung, da diese Verarbeitung die in Art. 8 ZMVR näher beschriebene operative Untersuchungstätigkeit erleichtern soll ( 44 ). Der Umfang der Verarbeitung hinsichtlich der Art der gespeicherten Straftaten sowie der betreffenden Daten, der Bedingungen ihrer Erhebung, der Informationsbestände, in denen sie verarbeitet werden, und der Dauer ihrer Speicherung ist in Art. 68 ZMVR und in Art. 28 der Naredba za reda za izvarshvane i snemane na politseyska registratsia (Verordnung über Verfahren zur Eintragung in das Polizeiregister und zur Löschung einer solchen Eintragung, im Folgenden: NRISPR) hinreichend genau festgelegt. Die nationale Regelung sieht in den Art. 54 und 55 des Zakon za zashtita na lichnite danni (Gesetz zum Schutz personenbezogener Daten) – ausdrücklich und im Einklang mit dem 26. Erwägungsgrund der Richtlinie 2016/680 – Verfahren vor, um die Integrität und Vertraulichkeit personenbezogener Daten sowie deren Vernichtung im Rahmen der Bereitstellung von Informationen an die betroffene Person zu gewährleisten, insbesondere hinsichtlich der Rechte dieser Person, beim Verantwortlichen Zugang zu den Daten oder deren Berichtigung bzw. Löschung zu beantragen. Die Löschungsgründe sowie das Verfahren und die damit verbundenen Wirkungen sind insoweit in Art. 68 ZMVR und in den Art. 18 ff. NRISPR festgelegt. Diese Bestimmungen sind so klar und präzise formuliert, dass die Adressaten des Gesetzes ihr Verhalten einrichten können, und genügen damit dem Erfordernis der Vorhersehbarkeit, wie es in der Rechtsprechung des EGMR entwickelt worden ist ( 45 ).

48.

Was den Wesensgehalt des in Art. 7 der Charta verankerten Grundrechts auf Achtung des Privatlebens angeht, so ist die Art der in der Polizeidatei enthaltenen Informationen auf einen spezifischen Aspekt dieses Privatlebens beschränkt, der sich auf die strafrechtliche Vergangenheit der betroffenen Person bezieht, was es nicht ermöglicht, allgemeine Schlüsse auf deren Privatleben zu ziehen, etwa auf ihre Gewohnheiten des täglichen Lebens, ihre ständigen oder vorübergehenden Aufenthaltsorte, ihre täglichen oder in anderem Rhythmus erfolgenden Ortsveränderungen, ausgeübte Tätigkeiten, ihre sozialen Beziehungen und das soziale Umfeld, in dem sie verkehrt, und damit ein Personenprofil zu erstellen. Was wiederum den Wesensgehalt des in Art. 8 der Charta verankerten Rechts auf den Schutz personenbezogener Daten betrifft, so zeigen die vorstehenden Ausführungen, dass die fragliche nationale Regelung die Zwecke der Datenverarbeitung eingrenzt sowie eine erschöpfende Aufzählung der gespeicherten Daten und der Vorschriften vorsieht, mit denen der Zugang zu den Daten oder deren Berichtigung bzw. Löschung sichergestellt werden soll. Unter diesen Umständen berührt der Eingriff, den die in dieser Regelung vorgesehene Vorratsdatenspeicherung mit sich bringt, nicht den Wesensgehalt der in den vorerwähnten Artikeln verankerten Grundrechte ( 46 ).

49.

Wie in den vorliegenden Schlussanträgen festgestellt worden ist, werden die Daten aus der polizeilichen Registrierung von Personen gemäß Art. 68 ZMVR zu Zwecken des Schutzes der nationalen Sicherheit, der Kriminalitätsbekämpfung und der Aufrechterhaltung der öffentlichen Ordnung verwendet. Die bulgarische Regierung hat darauf hingewiesen, dass die Daten für die Zwecke des Strafverfahrens, in dessen Rahmen die betroffene Person beschuldigt worden ist, sowie zum Abgleich mit anderen Daten, die bei Ermittlungen zu anderen Straftaten erhoben worden sind, gesammelt und verarbeitet würden. Der letztgenannte Zweck betreffe auch den Abgleich mit Daten, die in anderen Mitgliedstaaten erhoben worden seien ( 47 ).

50.

Nach Auffassung der bulgarischen Regierung fällt diese Verarbeitung unter die in Art. 8 ZMVR beschriebene operative Ermittlungstätigkeit, deren Zwecke wie folgt definiert sind: Verhütung und Aufdeckung von Straftaten, Bedrohungen der nationalen Sicherheit und Verstößen gegen die öffentliche Ordnung; Suche nach Personen, die sich ihrer strafrechtlichen Verantwortlichkeit entziehen oder sich der Vollstreckung einer Strafe in Strafsachen entzogen haben, die in die Zuständigkeit der Staatsanwaltschaft fallen, sowie Suche nach vermissten Personen; Suche nach Gegenständen, die Gegenstand oder Tatmittel einer Straftat sind oder als Beweismittel verwendet werden können; Vorbereitung und Sicherung von Sachbeweisen und deren Vorlage bei den zuständigen Justizbehörden.

51.

Der Gerichtshof hat klargestellt, dass das Ziel des Schutzes der öffentlichen Sicherheit eine dem Gemeinwohl dienende Zielsetzung der Union darstellt, die auch schwere Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte rechtfertigen kann. Darüber hinaus trägt ein solcher Schutz auch zum Schutz der Rechte und Freiheiten anderer bei. Insoweit ist festzustellen, dass nach Art. 6 der Charta jeder Mensch das Recht nicht nur auf Freiheit, sondern auch auf Sicherheit hat, da diese Vorschrift Rechte garantiert, die den durch Art. 5 EMRK garantierten Rechten entsprechen ( 48 ). In einer Rechtssache, die sich auf die Vereinbarkeit der Erhebung von Daten bezieht, die in derselben bulgarischen Polizeidatei erfasst worden sind, hat der Gerichtshof eindeutig entschieden, dass diese Verarbeitung betreffend im Rahmen eines Strafverfahrens beschuldigte Personen für die Zwecke ihrer Registrierung den in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecken dient, insbesondere den – von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen darstellenden – Zwecken der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten. Er hat hinzugefügt, dass eine solche Erhebung zu dem im 27. Erwägungsgrund der Richtlinie 2016/680 genannten Ziel beitragen kann, wonach die zuständigen Behörden zur Verhütung, Ermittlung und Verfolgung von Straftaten personenbezogene Daten, die im Zusammenhang mit der Verhütung, Ermittlung, Aufdeckung oder Verfolgung einer bestimmten Straftat erhoben wurden, auch in einem anderen Kontext verarbeiten können müssen, um sich ein Bild von den kriminellen Handlungen machen und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können ( 49 ). Diese Erwägungen gelten selbstverständlich auch für die Vorratsdatenspeicherung.

52.

Dass es sich bei der Vorratsspeicherung der Daten in der Polizeidatei um einen Verarbeitungsvorgang handelt, der es ermöglicht, die dem Gemeinwohl dienenden Zielsetzungen der Ermittlung und damit der Verhütung von Straftaten zu erreichen, lässt sich meines Erachtens nur schwer bestreiten. Es liegt auf der Hand, dass eine Polizeidatei, die die zivilen Identitäten, die Lichtbilder sowie die biometrischen und genetischen Daten – und damit die einzigartigen und fälschungssicheren physischen Merkmale einer Person – der erfassten Individuen enthält, für die Sicherheitsdienste ein durchaus relevantes Ermittlungsinstrument bei der Aufklärung von Straftaten und der Identifizierung der Täter darstellt. In diesem Sinne genügt die fragliche nationale Regelung objektiven Kriterien, die einen Zusammenhang zwischen den zu speichernden Daten und dem verfolgten Ziel herstellen ( 50 ).

53.

Auch wenn die Vorratsspeicherung der Daten in der fraglichen Polizeidatei offensichtlich geeignet ist, die verfolgte dem Gemeinwohl dienende Zielsetzung zu erreichen, bleibt zu prüfen, ob der sich aus einer solchen Speicherung ergebende Eingriff in die in den Art. 7 und 8 der Charta garantierten Rechte in dem Sinne auf das absolut Notwendige beschränkt ist, dass diese Zielsetzung vernünftigerweise nicht ebenso wirksam mit anderen Mitteln erreicht werden kann, die diese Grundrechte der betroffenen Personen weniger beeinträchtigen, und ob er nicht außer Verhältnis zu dieser Zielsetzung steht, was insbesondere eine Gewichtung der Bedeutung dieser Zielsetzung und der Schwere dieses Eingriffs impliziert ( 51 ).

54.

Bei der Ausübung dieser Kontrolle müssen im vorliegenden Fall der Zweck der Polizeidatei, die Art der betreffenden Straftaten und die Anzahl der Personen, die in ihr registriert werden können, die besondere Sensibilität der erhobenen personenbezogenen Daten und die Dauer ihrer Speicherung, die in der nationalen Regelung vorgesehenen rechtlichen und/oder technischen Garantien für die Einsichtnahme in die Datei sowie die Überprüfung der fortdauernden Datenspeicherung in ihr berücksichtigt werden.

55.

In ihren schriftlichen Erklärungen hat die irische Regierung im Wesentlichen geltend gemacht, die Vorratsdatenspeicherung könne für damit zusammenhängende Kontrollzwecke erforderlich sein, da sie dem öffentlichen Interesse an der Verhütung von Straftaten und an der Wahrung der öffentlichen Sicherheit diene. Daher sollten die in einer Polizeidatei enthaltenen Informationen nicht nur zur Ermittlung von Straftätern, sondern auch für verwaltungspolizeiliche Zwecke im Rahmen von Ermittlungen vor Einstellungs- oder Sicherheitsüberprüfungsentscheidungen in Bezug auf bestimmte öffentliche oder sensible Stellen eingesehen werden können; Ziel sei es, zu überprüfen, ob das Verhalten der Betroffenen mit der Ausübung dieser Funktionen nicht unvereinbar sei.

56.

In der mündlichen Verhandlung hat die bulgarische Regierung bestätigt, was sich aus dem ausdrücklichen Wortlaut von Art. 27 ZMVR ableiten ließ, nämlich dass es sich bei der fraglichen Polizeidatei um ein Instrument zur Unterstützung justizieller und nicht administrativer Ermittlungen handelt. Dieser Feststellung kommt im Hinblick auf die Folgen, die sich aus der Eintragung einer Person in ein Vorstrafenregister ergeben, eine gewisse Bedeutung zu, in dem Sinne, dass die Unannehmlichkeiten der Registereintragung nicht mit der Unmöglichkeit des Zugangs zu bestimmten beruflichen Tätigkeiten einhergehen dürfen ( 52 ). Ein Eintrag in der fraglichen Polizeidatei stellt weder eine Bestrafung noch eine Zusatzstrafe dar, da sein Zweck eindeutig auf das Ermittlungsverfahren beschränkt und seine Verwendung Stellen vorbehalten ist, die einer Verschwiegenheitspflicht unterliegen.

57.

Gleichwohl handelt es sich um eine einzige Datei, die äußerst weitreichenden gerichtspolizeilichen Zwecken dient und vielfältige Informationen enthält, die von einfachen Personenstandsinformationen bis hin zu biometrischen und genetischen Daten reichen, sowie Personen erfasst, die nicht über den gleichen Verfahrensstatus verfügen. Anstelle einer einzigen Verarbeitung, die sämtliche Informationen umfasst, ist es in anderen Regelungen für besser gehalten worden, mehrere Polizeidateien vorzusehen, die bestimmte Zwecke verfolgen, eine einzige Verwendung haben und nur eine Art von Daten erfassen.

58.

Die Vorratsdatenspeicherung in der Polizeidatei betrifft Personen, die wegen vorsätzlicher Straftaten, die von Amts wegen verfolgt werden, in dem Sinne, dass die Anklage vom Staatsanwalt erhoben wird, beschuldigt und verurteilt worden sind. Den Angaben der bulgarischen Regierung zufolge sind von dieser Kategorie ausgeschlossen unbeabsichtigte Verstöße, Vergehen und Verbrechen privater Natur sowie bestimmte Straftaten, die mit einer Verwaltungssanktion belegt worden sind. Es ist bereits angemerkt worden, dass es sich bei der großen Mehrheit der im Strafgesetzbuch vorgesehenen Straftaten um vorsätzliche Straftaten handelt und bei fast allen um Offizialstraftaten ( 53 ).

59.

Festzustellen ist, dass die nationale Regelung weder Straftaten erschöpfend aufführt noch eine Unterscheidung nach der Art der Straftaten vornimmt, die selbst mit der Schwere der Taten und der anwendbaren Strafe zusammenhängt, oder ein Kriterium für die Bemessung einer Freiheitsstrafe vorsieht. Die verschiedenen strafbaren Verhaltensweisen werden daher in einer einzigen und umfassenden Gruppe zusammengefasst, selbstverständlich mit einem Vorbehalt hinsichtlich der Notwendigkeit eines vorsätzlichen Verschuldens, was von vornherein dazu führt, dass Straftaten von geringer Schwere, bei denen die bloße Erfüllung des objektiven Tatbestands genügt ( 54 ), ebenso wie Straftaten ausgenommen sind, bei denen Leichtfertigkeit oder einfache Fahrlässigkeit vorliegt. In der mündlichen Verhandlung aufgefordert, den Inhalt der fraglichen Kategorie von Straftaten zu präzisieren, hat sich die bulgarische Regierung leider auf den Hinweis beschränkt, dass es sich nicht nur um Straftaten handle, die mit einer Freiheitsstrafe von mindestens fünf Jahren geahndet würden.

60.

In Bezug auf die betroffenen Personen ist zu beachten, dass die beanstandete Datenverarbeitung mit Blick auf deren Alter beschränkt ist, da sich aus Art. 4 NRISPR ergibt, dass Minderjährige keiner Registrierung in der Polizeidatei unterliegen, wodurch sich die Anzahl der in dieser Datei registrierten Personen entsprechend verringert. Die fragliche Maßnahme unterscheidet zwischen zwei Gruppen von Personen, nämlich Beschuldigten und Verurteilten. Diese Personen sind zuvor im Rahmen der einschlägigen nationalen Verfahren und auf der Grundlage objektiver und nicht diskriminierender Kriterien als Bedrohung für die öffentliche Sicherheit oder die Aufrechterhaltung der öffentlichen Ordnung eingestuft worden. Die Mitgliedstaaten haben die Möglichkeit, Maßnahmen zur Speicherung zu ergreifen, die Personen betreffen, gegen die aufgrund einer solchen Einstufung ermittelt wird, d. h. eine Gruppe von Personen, bei denen stichhaltige Gründe für die Annahme vorliegen, dass sie eine Straftat begangen haben, oder gegen die eine Verurteilung ausgesprochen wird, in der zum Ausdruck kommt, dass ihre strafrechtliche Verantwortlichkeit festgestellt worden ist, wobei beide Fälle mit einem hohen Rückfallrisiko verbunden sein können ( 55 ). Der Rückfall, verstanden im weiteren herkömmlichen Sinne eines Wiederholungsdelikts, ist ein Phänomen, das jeder Mitgliedstaat zu messen und dessen Faktoren er zu verstehen versucht – eine schwierige Aufgabe, da sie von der Verfügbarkeit objektiver und zuverlässiger statistischer Daten über die Straffälligkeit abhängt. Liegen solche Daten vor, könnte sich aus ihnen ablesen lassen, dass die kriminelle Vergangenheit ein wichtiger Faktor für Rückfälle ist ( 56 ).

61.

Es muss noch hervorgehoben werden, dass Beschuldigte und ihre Daten gemäß Art. 68 ZMVR aus der Polizeidatei „verschwinden“ müssen, wenn das sie betreffende Strafverfahren mit einer Einstellungsentscheidung oder einem Freispruch endet, was sich selbstverständlich auf die Zahl der in der Datei eingetragenen Personen auswirkt, zu der die bulgarische Regierung keine Angaben machen konnte ( 57 ).

62.

In Bezug auf die betroffenen Daten hat der Gerichtshof entschieden, dass sich der für die Verarbeitung Verantwortliche im Hinblick auf den erhöhten Schutz von Personen bei der Verarbeitung sensibler Daten vergewissern muss, dass dieses Ziel nicht durch die Heranziehung anderer als der in Art. 10 der Richtlinie 2016/680 aufgeführten Datenkategorien erreicht werden kann ( 58 ). Wie dargelegt worden ist, sind die Daten, die gespeichert werden sollen, offensichtlich geeignet, zur Verhütung, Aufdeckung oder Verfolgung von Straftaten im Zusammenhang mit der Kriminalitätsbekämpfung und der Aufrechterhaltung der öffentlichen Ordnung beizutragen. Auch ist es meines Erachtens schwer vorstellbar, dass diese Zwecke ausschließlich mit Angaben zum Personenstand oder Lichtbildern der betroffenen Person in ebenso wirksamer Weise erfüllt werden können, wenn nicht die Fähigkeit der Ermittler, die Straftaten auf der Grundlage eines Abgleichs der im Lauf der Ermittlungen erhobenen Daten mit Daten, die anlässlich früherer Ermittlungen in der Datei gespeichert wurden, aufzuklären, übermäßig eingeschränkt werden soll ( 59 ). Glücklicherweise sind die Zeiten vorbei, in der ein Geständnis als Königin unter den Beweismitteln galt, da die von den kriminaltechnischen und kriminalwissenschaftlichen Diensten gesammelten Informationen vorteilhafterweise einen mit Vorsicht zu genießenden Beweis in der Beweismittelhierarchie ersetzt haben. Es lässt sich somit der Schluss ziehen, dass die betreffenden Daten relevant sind und gleichzeitig nicht über die der Verarbeitung zugeordneten Zwecke hinausgehen.

63.

Ferner ist darauf hinzuweisen, dass die fragliche nationale Regelung keine genaue Höchstdauer für die Speicherung der in der Datei erfassten Informationen vorsieht, da die Daten nur für die Dauer des Verfahrens gespeichert werden, das für bestimmte Personen, gegen die ermittelt wird, mit einer Einstellungsentscheidung oder einem Freispruch endet, für Personen, die letztendlich verurteilt werden, aber ihr ganzes Leben lang andauert. Nach den von der bulgarischen Regierung in der mündlichen Verhandlung gemachten Angaben, deren Überprüfung Sache des vorlegenden Gerichts ist, erfolgt die Löschung von Amts wegen beim Tod des Betroffenen, wobei die Erben außerdem das Recht haben, die Löschung der Eintragung nach Art. 68 Abs. 6 ZMVR zu beantragen. Ist im Hinblick auf den Wortlaut von Art. 5 der Richtlinie 2016/680 davon auszugehen, dass diese Situation dem Fehlen angemessener Fristen für die Löschung personenbezogener Daten entspricht, in dem Sinne, dass der Begriff der Frist notwendigerweise einem Zeitraum entsprechen müsste, der in Jahren, Monaten oder Tagen ausgedrückt wird? Falls ja, müssten nach derselben Vorschrift in der nationalen Regelung alternativ Fristen für die regelmäßige Überprüfung der Notwendigkeit der Speicherung dieser Daten vorgesehen werden ( 60 ).

64.

Angesichts der Entscheidung des bulgarischen Gesetzgebers, die Daten beschuldigter Personen ohne strafrechtliche Verurteilungen am Ende des diese Personen betreffenden Verfahrens nicht aufzubewahren, lässt dessen notwendigerweise zufällige Dauer kaum etwas anderes zu als die formale Festlegung einer Frist, um einer übermäßigen Verfahrensdauer vorzubeugen. Bei verurteilten Personen wiederum stellt die Erwähnung des Todes meiner Ansicht nach tatsächlich eine zeitliche Begrenzung dar, die mit dem biologischen Leben der betroffenen Person zusammenhängt, was eine Einstufung der Datenspeicherung als unbefristet oder unbegrenzt ausschließt ( 61 ). Der Ablauf der Aufbewahrungsfrist ist vorherbestimmt, auch wenn das genaue Datum per Definition unbestimmt ist. In der mündlichen Verhandlung hat die bulgarische Regierung jedenfalls darauf hingewiesen, dass es eine regelmäßige interne Überprüfung der Einträge in der Datei gebe, die im vorliegenden Fall alle drei Monate durchgeführt werde, was den Anforderungen von Art. 5 der Richtlinie 2016/680 entspricht.

65.

Es steht jedoch außer Zweifel, dass sich die Speicherung je nach dem Alter, in dem die betroffene Person in der Datei registriert wird, und dem Zeitpunkt ihres Todes als sehr lang erweisen kann, nämlich länger, als es für die Feststellung eines Rückfalls vorgesehen ist, oder länger als die Verjährungsfrist für die öffentliche Anklage wegen der schwersten Straftat ( 62 ). Diese Speicherungsdauer findet gleichwohl im gerichtspolizeilichen Zweck der Verarbeitung, dem der Sammlung von Indizien und Beweisen zur Identifizierung der Urheber vergangener oder zukünftiger Straftaten, eine Rechtfertigung, wobei die mit den Straftaten – seien sie schwer oder nicht – verbundene Gefahr allgemeinen und ständigen Charakter aufweist ( 63 ). Die bisweilen sehr späte Aufklärung ungelöster Fälle zeigt sowohl die großen Schwierigkeiten, mit denen die Ermittlungsbehörden konfrontiert sind, als auch die Relevanz einer langfristigen Speicherung der in den Dateien erhobenen biometrischen und genetischen Daten ( 64 ).

66.

Die Verhältnismäßigkeit des Eingriffs, den die Vorratsspeicherung der in der Polizeidatei befindlichen Daten mit sich bringt, kann nicht unabhängig von den Vorschriften für den Zugang zu dieser Datei und die Überprüfung der Begründung für die fortdauernde Speicherung von Daten in ihr geprüft werden. Wenn sich ein Staat die größtmögliche Befugnis zur Speicherung auf unbestimmte Zeit einräumt, kommt es nach Auffassung des EGMR auf das Vorhandensein und Funktionieren bestimmter wirksamer Garantien an. Daher muss das innerstaatliche Recht Garantien enthalten, die gespeicherte personenbezogene Daten wirksam vor unsachgemäßer und missbräuchlicher Nutzung schützen und die Löschung dieser Daten ermöglichen, wenn ihre fortdauernde Speicherung unverhältnismäßig wird, insbesondere indem eine konkrete Möglichkeit geboten wird, einen Antrag auf Löschung der gespeicherten Daten zu stellen ( 65 ).

67.

Aus den Erwägungsgründen 28, 56 und 57 sowie den Art. 24, 25 und 29 der Richtlinie 2016/680 geht hervor, dass die Mitgliedstaaten Maßnahmen ergreifen müssen, um sicherzustellen, dass personenbezogene Daten so verarbeitet werden, dass ein Maß an Sicherheit und Vertraulichkeit gegeben ist, wozu auch gehört, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können. Zu diesen Maßnahmen gehört die Führung von Verzeichnissen durch den Verantwortlichen, mit denen der Aufsichtsbehörde auf Anfrage bestimmte Informationen über die durchgeführte Datenverarbeitung sowie Protokolle für bestimmte Verarbeitungsvorgänge wie beispielsweise Abfrage, Übermittlungen und Löschung zur Verfügung gestellt werden können. Nach dem 60. Erwägungsgrund der Richtlinie 2016/680 muss der Verantwortliche Maßnahmen treffen, um die zuvor ermittelten mit der betreffenden Verarbeitung verbundenen Risiken einzudämmen, wobei diese Risiken u. a. mit der unbefugten Offenlegung von und dem unbefugten Zugang zu Daten zusammenhängen.

68.

In der mündlichen Verhandlung hat die bulgarische Regierung erklärt, dass die nationale Regelung diesen Anforderungen entspreche, und dabei auf eine Reihe von Vorschriften verwiesen, die u. a. die Erstellung von Listen mit den Namen von Bediensteten, die Zugriff auf die Daten haben, und die Verpflichtung jedes Nutzers vorsehen, sein Zugriffsrecht nachzuweisen und seine Identität sowie das Datum und die Uhrzeit des Zugriffs anzugeben ( 66 ). Diese Garantien hinsichtlich des Kreises der zur Dateiabfrage befugten Personen und der Abfragemodalitäten scheinen geeignet zu sein, jede missbräuchliche oder betrügerische Nutzung eines Zugangs zu den Dateien und damit eine übermäßige Verletzung der in den Art. 7 und 8 der Charta verankerten Grundrechte zu verhindern, was das vorlegende Gericht zu überprüfen haben wird.

69.

Die vorerwähnte Überprüfung gemäß Art. 68 Abs. 6 ZMVR ist fraglos dualer Natur, da sie von Amts wegen durch die zuständigen Behörden in Form einer Selbstkontrolle und auf begründeten Antrag des Betroffenen oder seiner Erben erfolgt, wobei die Gründe für die Aufhebung einer Registrierung in beiden Fällen in dieser Bestimmung abschließend aufgeführt sind. Zu diesen Gründen gehört nicht die Rehabilitierung einer Person, die zur Löschung der betreffenden Verurteilung aus deren Vorstrafenregister führt; nur der in Art. 68 Abs. 6 Nr. 1 ZMVR genannte Grund, der eine Registrierung betrifft, die unter Verstoß gegen das Gesetz erfolgt ist, kann den Löschungsantrag einer strafrechtlich verurteilten Person, der – wie im vorliegenden Fall – zu deren Lebzeiten und damit vor Ablauf der auf ihren Tod festgesetzten gesetzlichen Aufbewahrungsfrist gestellt worden ist, stützen.

70.

In der mündlichen Verhandlung angesichts der Anwendung von Art. 68 Abs. 6 ZMVR durch die zuständigen Behörden und Gerichte zu dessen Tragweite befragt, hat die bulgarische Regierung klargestellt, dass diese Vorschrift die Änderung eines Eintrags zu einer beschuldigten Person ermögliche, der infolge einer Neueinstufung der Straftat durch die Gerichte unrichtig geworden sei. Sie hat ausgeschlossen, dass eine Registrierung infolge einer Rehabilitierung der verurteilten Person gelöscht werden kann. Ich erinnere insoweit daran, dass es sich bei der fraglichen Datei um ein Ermittlungsinstrument zur Erleichterung der operativen gerichtspolizeilichen Tätigkeit und streng genommen nicht um eine Datei mit Vorstrafen wie das polizeiliche Führungszeugnis handelt. Diese beiden Instrumente dienen nicht demselben Zweck: Das eine ist ein Speicher, der ausschließlich den Ermittlern zur Verfügung steht, um ihnen langfristig die Aufklärung vergangener oder zukünftiger Straftaten zu ermöglichen, das andere soll der Arbeit der Richter bei der Verhängung der strafrechtlichen Sanktion in einem bestimmten Fall als Orientierungshilfe dienen. Im Interesse der Rehabilitierung, die zur Streichung der betreffenden Verurteilung aus dem Vorstrafenregister geführt hat, könnte sich die Person daher gegebenenfalls in der Lage eines Ersttäters wiederfinden, der möglicherweise in den Genuss milderer Strafen oder von Hafterleichterungen kommt. Dennoch bleibt die Speicherung ihrer Daten in der Datei im Hinblick auf deren umfassenderes Ziel der Aufdeckung, Aufklärung und Verhütung von Straftaten grundsätzlich erforderlich.

71.

Aus den Erklärungen der bulgarischen Regierung geht jedoch hervor, dass der in Art. 68 Abs. 6 Nr. 1 ZMVR genannte Grund keine Beurteilung der Notwendigkeit der Datenspeicherung in ihrer zeitlichen Dimension umfasst. Offenbar gibt es in der nationalen Regelung weder eine Bestimmung noch eine Verwaltungs- oder Gerichtspraxis, die es der zuständigen Behörde erlauben, die Registrierung im Rahmen der vierteljährlichen Überprüfungen aufzuheben, oder der betroffenen Person, ihre Löschung zu beantragen, wenn die Speicherung der personenbezogenen Daten unter Berücksichtigung der seit der Erfassung verstrichenen Zeit nicht mehr erforderlich erscheint. Auch das vorlegende Gericht, das mit der Prüfung der Rechtmäßigkeit der Entscheidung über die Ablehnung des Löschungsantrags befasst ist, scheint zu einer solchen Beurteilung nicht in der Lage zu sein.

72.

Ist davon auszugehen, dass die oben beschriebenen Kriterien für die Vorratsdatenspeicherung hinreichend gezielt, verhältnismäßig und spezifisch sind und dass die Verarbeitung der fraglichen personenbezogenen Daten die Grenzen des strikt Erforderlichen bzw. der unbedingten Erforderlichkeit achtet? Der Gerichtshof könnte diese Frage aus folgenden Gründen verneinen.

73.

Als Erstes ist hervorzuheben, dass die Frage der Notwendigkeit der Vorratsspeicherung personenbezogener Daten besonders dringlich ist, wenn deren Verarbeitung, wie im vorliegenden Fall, zu präventiven Zwecken zulässig ist. Insofern ist das eigentliche Kriterium, das die Erfassung und Speicherung von Daten in der fraglichen Polizeidatei rechtfertigt, die von den betroffenen Personen ausgehende Gefahr, was eine Risikobewertung erfordert. Im vorliegenden Fall ist darauf hinzuweisen, dass sich diese Bewertung auf die bloße Feststellung des Vorliegens eines Verdachts oder der nachgewiesenen Begehung einer vorsätzlichen Straftat beschränkt – kein sehr spezifisches Kriterium, wenn es gegeben ist, da es sich um ein Tatbestandsmerkmal oder sogar um die eigentliche Grundlage der strafrechtlichen Verantwortlichkeit handelt. Daher berücksichtigt die für die Vorratsspeicherung geltende nationale Regelung meines Erachtens ein Mindestmaß an Schwere in Bezug auf die Straftat und deckt ein breites Spektrum von Störungen der öffentlichen Ordnung ab, ohne dass von vornherein eine Sanktion in Form einer Freiheitsstrafe erforderlich ist, was darauf schließen lässt, dass sie unabhängig von der Art oder Schwere der Straftat gilt ( 67 ). Der Gerichtshof hat die Auffassung vertreten, dass bulgarische Rechtsvorschriften wie die im Ausgangsrechtsstreit in Rede stehenden, die die Erhebung biometrischer und genetischer Daten aller Personen vorsehen, die einer vorsätzlichen Offizialstraftat beschuldigt werden, grundsätzlich gegen die Anforderung in Art. 10 der Richtlinie 2016/680 verstoßen; denn sie können unterschiedslos und allgemein zu dieser Erhebung führen, da der Begriff „vorsätzliche Offizialstraftat“ besonders allgemein gehalten ist und auf eine große Zahl von Straftaten unabhängig von ihrer Art und Schwere angewendet werden kann ( 68 ).

74.

Zwar können statistische Studien zeigen, dass die strafrechtliche Vergangenheit ein wichtiger Faktor für Rückfälle ist, sie verdeutlichen aber auch das Vorhandensein objektiver Faktoren, die das Rückfallrisiko erhöhen und insbesondere mit dem Geschlecht, dem Alter und der Art der Vortat zusammenhängen, sowie den Umstand, dass bis zur Wiederholung des strafbaren Verhaltens eine gewisse Zeit vergeht und die Wiederholungstat sehr eng mit der Art der Straftat verknüpft ist, die der Inhaftierung zugrunde liegt ( 69 ). Wenn aber als Kriterium für die Vorratsspeicherung von Daten bis zum Tod des Betroffenen jede Verurteilung wegen einer vorsätzlichen Straftat, einschließlich der ersten ( 70 ), herangezogen wird, liegt der Verarbeitung dieser Daten offenbar die Logik eines besonders umfassenden Bildes von der Entwicklung der Straffälligkeit zugrunde, unabhängig davon, ob es sowohl um die Art und/oder die Schwere der Straftaten als auch um das Alter des Täters geht. Wie der EGMR kann man sich fragen, ob diese Art von Logik, in gewisser Weise auf die Spitze getrieben, in der Praxis nicht darauf hinausläuft, die Speicherung von Informationen über die gesamte Bevölkerung und deren verstorbene Verwandte zu rechtfertigen, was sicherlich übertrieben und irrelevant wäre ( 71 ). Der Gerichtshof hat die Ansicht vertreten, dass der bloße Umstand, dass eine Person einer vorsätzlichen Offizialstraftat beschuldigt wird, nicht als ein Faktor angesehen werden kann, der für sich genommen die Annahme zuließe, dass die Erhebung ihrer biometrischen und genetischen Daten im Hinblick auf die damit verfolgten Zwecke unbedingt erforderlich ist ( 72 ).

75.

Als Zweites werden die Daten offenbar ohne Rücksicht auf die Notwendigkeit ihrer Speicherung bis zum Tod der betroffenen Person aufbewahrt. Unter Berücksichtigung des Wortlauts von Art. 68 Abs. 6 ZMVR und seiner Auslegung sind die zuständigen Behörden nur in Ausnahmefällen, die nichts mit der Entwicklung der Situation dieser Person seit der Registrierung in der Datei zu tun haben, befugt, die Daten zu löschen. Gleiches gilt logischerweise für den in demselben Artikel vorgesehenen und der genannten Person zur Verfügung stehenden Löschungsantrag, der nicht wirksam genug ist, da nicht überprüft werden kann, ob die Dauer der Vorratsdatenspeicherung in einem angemessenen Verhältnis zum Zweck des fraglichen Eingriffs steht. Bei dieser Beurteilung sollten verschiedene Kriterien berücksichtigt werden, wie etwa die Art und Schwere des festgestellten Sachverhalts, die seit den Ereignissen verstrichene Zeit, die verbleibende gesetzliche Aufbewahrungsfrist oder das Alter des Antragstellers in dem betreffenden Fall, und zwar angesichts seiner persönlichen Situation im Hinblick auf das Alter, in dem er die Taten begangen hat, sein Verhalten seitdem (soziale Eingliederung, Opferentschädigung), seine Persönlichkeit und den Nutzen einer Rehabilitierung, die in diesem Zusammenhang Teil der Gesamtbeurteilung sein können. Daher erscheint die Kontrolle, die insbesondere die in der Datei registrierte Person vornehmen kann, so eingeschränkt, dass sie fast hypothetisch ist ( 73 ).

76.

Die oben getroffenen Feststellungen müssen mit der Tatsache in Einklang gebracht werden, dass sensible Daten über einen sehr langen Zeitraum gespeichert werden können und dass die fragliche Datei ihren Nutzern sehr einschneidende Funktionalitäten zur Verwertung dieser Daten, insbesondere zur Identifizierung, zur Analyse und zum Abgleich, bieten kann. Zu beachten ist, dass die Polizeibehörden gemäß Art. 68 Abs. 3 ZMVR zum Zweck der Eintragung in die Polizeidatei Proben zur Erstellung eines „DNA-Profils“ von Personen entnehmen und diese fotografieren müssen, wobei auf die Lichtbilder gegebenenfalls die Gesichtserkennungstechnik angewandt werden kann.

77.

Im Licht der vorstehenden Erwägungen schlage ich dem Gerichtshof vor, dem Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien) wie folgt zu antworten:

Die Art. 4, 5, 8, 10 und 16 Abs. 2 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates sind in der Gesamtschau und im Licht von Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union

dahin auszulegen, dass

sie nationalen Rechtsvorschriften entgegenstehen, die eine Vorratsspeicherung personenbezogener Daten, einschließlich biometrischer und genetischer Daten, aller wegen einer vorsätzlichen Straftat strafrechtlich verurteilten Personen in einer Polizeidatei ohne weitere Differenzierung hinsichtlich der Art oder Schwere der Straftat bis zum Tod dieser Personen vorsehen, ohne dass die Möglichkeit besteht, die fortdauernde Speicherung der darin enthaltenen Daten im Hinblick auf die seit ihrer Erfassung verstrichene Zeit zu kontrollieren und gegebenenfalls anschließend die Löschung dieser Daten zu erwirken.

Die Prüfung der Verhältnismäßigkeit der Dauer der Vorratsdatenspeicherung zum Zweck der Verarbeitung anhand der Situation der verurteilten Person kann auch deren Rehabilitierung umfassen.