1.

Ein fundamentaler Grundsatz der Verordnung (EU) 2016/679 ( 2 ), der allgemeinen Regelung zum Schutz personenbezogener Daten, und der Richtlinie (EU) 2016/680 ( 3 ) (lex specialis für dieselbe Materie bei Strafverfahren) besteht darin, die Erhebung solcher Daten ebenso wie ihre Verarbeitung auf die spezifischen gesetzlich festgelegten Zwecke zu beschränken.

2.

In dieser Rechtssache hat der Gerichtshof Fragen eines bulgarischen Gerichts nach der Auslegung der DSGVO und der Richtlinie 2016/680 zu beantworten, um zu klären, ob eine rechtswidrige Verarbeitung personenbezogener Daten, die sich im Besitz der Staatsanwaltschaft eines Mitgliedstaats befinden, vorliegt, wenn

3.

In Art. 2 („Sachlicher Anwendungsbereich“) heißt es:

„(1)   Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(2)   Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

…

…“

4.

Art. 4 („Begriffsbestimmungen“) sieht vor:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

…

…

…“

5.

Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) bestimmt:

„(1)   Personenbezogene Daten müssen

…“

6.

In Art. 6 („Rechtmäßigkeit der Verarbeitung“) heißt es:

„(1)   Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…

…

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

…

(3)   Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten … Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4)   Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

7.

Art. 1 („Gegenstand und Ziele“) sieht vor:

„(1)   Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

(2)   Gemäß dieser Richtlinie haben die Mitgliedstaaten:

…“

8.

Art. 2 („Anwendungsbereich“) bestimmt:

„(1)   Diese Richtlinie gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken.

…

(3)   Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten

…“

9.

Art. 3 übernimmt in den Nrn. 1, 2 und 8 die Definitionen in Art. 4 Nrn. 1, 2 und 7 der DSGVO.

10.

Art. 4 („Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten“) bestimmt:

„…

(2)   Eine Verarbeitung durch denselben oder einen anderen Verantwortlichen für einen anderen der in Artikel 1 Absatz 1 genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden, ist erlaubt, sofern

…“

11.

Art. 6 („Unterscheidung verschiedener Kategorien betroffener Personen“) sieht vor:

„Die Mitgliedstaaten sehen vor, dass der Verantwortliche gegebenenfalls und so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien betroffener Personen klar unterscheidet, darunter:

12.

Art. 8 („Rechtmäßigkeit der Verarbeitung“) lautet:

„(1)   Die Mitgliedstaaten sehen vor, dass die Verarbeitung nur dann rechtmäßig ist, wenn und soweit diese Verarbeitung für die Erfüllung einer Aufgabe erforderlich ist, die von der zuständigen Behörde zu den in Artikel 1 Absatz 1 genannten Zwecken wahrgenommen… wird, und auf Grundlage des Unionsrechts oder des Rechts der Mitgliedstaaten erfolgt.

(2)   Im Recht der Mitgliedstaaten, das die Verarbeitung innerhalb des Anwendungsbereichs dieser Richtlinie regelt, werden zumindest die Ziele der Verarbeitung, die personenbezogenen Daten, die verarbeitet werden sollen, und die Zwecke der Verarbeitung angegeben.“

13.

Art. 9 („Besondere Verarbeitungsbedingungen“) lautet:

„(1)   Personenbezogene Daten, die von zuständigen Behörden für die in Artikel 1 Absatz 1 genannten Zwecke erhoben werden, dürfen nicht für andere als die in Artikel 1 Absatz 1 genannten Zwecke verarbeitet werden, es sei denn, eine derartige Verarbeitung ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig. Wenn personenbezogene Daten für solche andere Zwecke verarbeitet werden, gilt die [DSGVO], es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.

(2)   Sind nach dem Recht der Mitgliedstaaten zuständige Behörden mit der Wahrnehmung von Aufgaben betraut, die sich nicht mit den für die in Artikel 1 Absatz 1 genannten Zwecke wahrgenommenen Aufgaben decken, gilt die [DSGVO] für die Verarbeitung zu diesen Zwecken – wozu auch im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke zählen –, es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.

…“

14.

Art. 127 sieht die ausschließliche Zuständigkeit der Staatsanwaltschaft für die Leitung strafrechtlicher Ermittlungen, für Anklagen aufgrund einer strafrechtlichen Verantwortlichkeit und für die Erhebung der Strafklage bei Gericht im Fall von Offizialdelikten vor.

15.

Art. 1 bestimmt:

„(1)   Dieses Gesetz regelt öffentliche Angelegenheiten im Zusammenhang mit dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, soweit diese Verarbeitung nicht der [DSGVO] unterliegt.

(2)   Dieses Gesetz regelt auch den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung.

…“

16.

Art. 17 sieht vor:

„(1)   Die Aufsichtsbehörde beim Obersten Justizrat überprüft und überwacht die Einhaltung der [DSGVO], dieses Gesetzes und der Rechtsakte zum Schutz personenbezogener Daten bei deren Verarbeitung durch

1. die Gerichte in Wahrnehmung ihrer Aufgaben als Organe der Rechtspflege und

2. die Staatsanwaltschaft und die Ermittlungsbehörden in Wahrnehmung ihrer Aufgaben als Organe der Rechtspflege zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung.

…“

17.

Art. 42 bestimmt:

„(1)   Die Vorschriften dieses Kapitels gelten für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung.

(2)   Personenbezogene Daten, die für die in Absatz 1 genannten Zwecke erhoben werden, dürfen nicht für andere Zwecke verarbeitet werden, sofern nicht das Unionsrecht oder die Rechtsvorschriften der Republik Bulgarien etwas anderes bestimmen.

(3)   Wenn die nach Absatz 1 zuständigen Behörden personenbezogene Daten zu anderen als zu den in Absatz 1 genannten Zwecken sowie in den in Absatz 2 genannten Fällen verarbeiten, gelten die [DSGVO] und die einschlägigen Bestimmungen des vorliegenden Gesetzes, mit denen Durchführungsvorschriften zu dieser Verordnung erlassen werden.

(4)   Zuständige Behörden im Sinne von Absatz 1 sind die Behörden, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung, zuständig sind.

(5)   Soweit gesetzlich nicht anders bestimmt, ist Verantwortlicher im Sinne dieses Kapitels für die Verarbeitung personenbezogener Daten für die Zwecke des Absatzes 1 die zuständige Behörde im Sinne von Absatz 4 oder die diese Behörde umfassende Verwaltungsstruktur, die allein oder gemeinsam mit anderen Behörden die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.“

18.

In Art. 45 heißt es:

„…

(2)   Die Verarbeitung personenbezogener Daten durch den Verantwortlichen, der diese ursprünglich erhoben hat, oder durch einen anderen Verantwortlichen für einen anderen der in Artikel 42 Absatz 1 genannten Zwecke als den, für den die Daten ursprünglich erhoben wurden, ist erlaubt, sofern

1. der Verantwortliche nach dem Recht der Europäischen Union oder den Rechtsvorschriften der Republik Bulgarien befugt ist, personenbezogene Daten für diesen anderen Zweck zu verarbeiten, und

2. die Verarbeitung für diesen anderen Zweck nach dem Recht der Europäischen Union oder den Rechtsvorschriften der Republik Bulgarien erforderlich und verhältnismäßig ist.

…“

19.

Art. 47 gibt Art. 6 der Richtlinie 2016/680 wieder.

20.

Art. 49 lautet:

„Die Verarbeitung personenbezogener Daten ist rechtmäßig, wenn sie für die Ausübung der Befugnisse der zuständigen Behörde für die in Artikel 42 Absatz 1 genannten Zwecke erforderlich und im Recht der Europäischen Union oder in einer Rechtsvorschrift vorgesehen ist, in der die Zwecke der Verarbeitung und die Kategorien der zu verarbeitenden personenbezogenen Daten festlegt sind.“

21.

Unter der Leitung der Rayonna prokuratura – Petrich (Rayonstaatsanwaltschaft Petrich, Bulgarien) wurde ein Verfahren (Nr. 252/2013 der Polizei Petrich) ( 6 ) zur Ermittlung eines strafrechtlich relevanten Sachverhalts ( 7 ) eingeleitet, der sich am 18. April 2013 zugetragen haben sollte.

22.

Während dieser Ermittlungen wurden bei VS – zunächst in seiner Eigenschaft als Opfer – personenbezogene Daten erhoben.

23.

Mit Entscheidungen der Staatsanwaltschaft vom 4. und 5. April 2018 wurden vier Personen (darunter VS) aufgrund dieses Sachverhalts als Beschuldigte belangt.

24.

Am 10. November 2020 verfügte das Rayonen sad Petrich (Rayongericht Petrich, Bulgarien) die Einstellung des Verfahrens wegen Verjährung.

25.

In den Jahren 2016 und 2017 leitete die Staatsanwaltschaft Petrich aufgrund mehrerer Anzeigen gegen VS eine Reihe von Ermittlungen ( 8 ) ein, die zu keinem Strafverfahren führten, da keine Anhaltspunkte für eine Strafbarkeit vorlagen.

26.

2018 erhob VS beim Okrazhen sad – Blagoevgrad (Regionalgericht Blagoevgrad, Bulgarien) eine zivilrechtliche Klage ( 9 ) gegen die Staatsanwaltschaft der Republik Bulgarien, mit der er Ersatz des durch die überlange Dauer des Ermittlungsverfahrens Nr. 252/2013 verursachten Schadens beantragte.

27.

Zur Verteidigung gegen diese zivilrechtliche Klage beantragte die Staatsanwaltschaft bei diesem Gericht die Beiziehung der Handakten Nr. 517/2016 und Nr. 1872/2016 der Rayonstaatsanwaltschaft Petrich.

28.

Mit Beschluss vom 15. Oktober 2018 gab das Okrazhen sad – Blagoevgrad (Regionalgericht Blagoevgrad) der Rayonstaatsanwaltschaft Petrich auf, Kopien der in den Handakten Nr. 517/2016 und Nr. 1872/2016 enthaltenen Unterlagen vorzulegen.

29.

Am 12. März 2020 legte VS Beschwerde beim Inspektorat kam Visshia sadeben savet (Aufsichtsbehörde beim Obersten Justizrat, im Folgenden: IVSS) wegen eines Verhaltens ein, das er als eine in zweifacher Hinsicht rechtswidrige Verarbeitung seiner personenbezogenen Daten durch die Staatsanwaltschaft ansah, da diese

30.

Am 22. Juni 2020 wies das IVSS beide Beschwerdegründe von VS zurück.

31.

VS hat diese Entscheidung des IVSS beim Administrativen sad Blagoevgrad (Verwaltungsgericht Blagoevgrad, Bulgarien) angefochten, das dem Gerichtshof folgende Fragen zur Vorabentscheidung vorgelegt hat:

32.

Das Vorabentscheidungsersuchen ist am 23. März 2021 beim Gerichtshof eingegangen.

33.

VS, das IVSS, die bulgarische, die tschechische und die niederländische Regierung sowie die Europäische Kommission haben sich am Verfahren beteiligt und schriftliche Erklärungen abgegeben.

34.

Der Gerichtshof hat es nicht für erforderlich gehalten, eine öffentliche Verhandlung durchzuführen, was auch von keinem Beteiligten beantragt worden ist.

35.

Die DSGVO und die Richtlinie 2016/680 stellen ein in sich kohärentes System dar, in dem

36.

Der durch diese beiden Rechtsakte gewährte Schutz beruht auf den Grundsätzen der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben, der Transparenz und, was hier besonders von Interesse ist, dem Grundsatz der strengen Beschränkung der Erhebung und Verarbeitung von Daten auf die gesetzlich festgelegten Zwecke ( 10 ).

37.

Insbesondere sieht Art. 5 Abs. 1 Buchst. b der DSGVO vor, dass die Daten „für festgelegte, eindeutige und legitime Zwecke erhoben werden und … nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden [dürfen]“ ( 11 ); eine entsprechende Formulierung findet sich in der lex specialis, Art. 4 Abs. 1 Buchst. b der Richtlinie 2016/680.

38.

Somit dürfen personenbezogene Daten nicht generell erhoben und verarbeitet werden, sondern nur zu bestimmten Zwecken ( 12 ) und unter den vom Unionsgesetzgeber festgelegten Bedingungen der Rechtmäßigkeit.

39.

Der Grundsatz einer engen Verknüpfung zwischen der Erhebung und Verarbeitung der Daten einerseits und den Zwecken, denen beide Vorgänge dienen sollen, andererseits ist aber nicht absolut, da sowohl die DSGVO als auch die Richtlinie 2016/680, wie später noch darzulegen sein wird, eine gewisse Flexibilität ermöglichen.

40.

Im Ausgangsverfahren hat das Verwaltungsgericht zu entscheiden, ob die Aufsichtsbehörde (das IVSS) ( 13 ) rechtmäßig handelte, als sie die Beschwerde zurückwies, mit der VS die bulgarische Staatsanwaltschaft der unrechtmäßigen Verarbeitung seiner personenbezogenen Daten beschuldigte.

41.

Diese Daten waren, wie ich bereits ausgeführt habe, in zwei unterschiedlichen Zusammenhängen erhoben worden, und zwar

42.

Die Fragen des vorlegenden Gerichts beziehen sich somit auf

43.

Ich stimme mit dem vorlegenden Gericht und mit allen Beteiligten dieses Vorabentscheidungsverfahrens darin überein, dass die Verarbeitung personenbezogener Daten, die Gegenstand der ersten Vorlagefrage ist, unter die Richtlinie 2016/680 fällt.

44.

Nach Art. 1 Abs. 1 und Art. 2 Abs. 1 der Richtlinie 2016/680 ist diese auf die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten anwendbar. Im vorliegenden Fall wurden die Daten von VS gerade im Zuge strafrechtlicher Ermittlungen erhoben und verarbeitet.

45.

Was jedoch die Übermittlung personenbezogener Daten für die Zwecke des gegen die Staatsanwaltschaft eingeleiteten Zivilverfahrens betrifft (zweite Vorlagefrage), ist für die Frage, ob diese Übermittlung eine Datenverarbeitung für andere als die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke darstellt, die aber Teil einer Tätigkeit sind, die dem Unionsrecht unterliegt, auf die DSGVO abzustellen.

46.

Nach Art. 4 Abs. 2 der Richtlinie 2016/680 ist eine Verarbeitung durch denselben oder einen anderen Verantwortlichen für einen anderen der in Artikel 1 Absatz 1 ( 15 ) genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden, erlaubt, sofern

47.

Die Richtlinie 2016/680 erlaubt somit die Weiterverwendung ad intra der personenbezogenen Daten, die nach Maßgabe ihrer Vorschriften erhoben wurden. Daten, die zu einem der in ihrem Art. 1 Abs. 1 genannten Zwecke erhoben wurden, können unter bestimmten Voraussetzungen auch für einen oder mehrere andere der der dort aufgeführten Zwecke verwendet werden.

48.

Mit der ersten Vorlagefrage wird die Frage aufgeworfen, ob die personenbezogenen Daten von VS, die erhoben wurden, als er noch als mutmaßliches Opfer der in Rede stehenden Straftat angesehen wurde, anschließend im Rahmen desselben Strafverfahrens, in dem er dann Beschuldigter oder Angeklagter ist, zu seinem Nachteil verarbeitet werden können.

49.

Mit anderen Worten ist zu prüfen, ob die personenbezogenen Daten von VS für denselben Zweck verarbeitet worden sind, der ihre ursprüngliche Erhebung rechtfertigte, oder vielmehr für zwei verschiedene Zwecke, die beide in den Anwendungsbereich der Richtlinie 2016/680 fallen. Wäre dies der Fall, würde die Verarbeitung den besonderen Bedingungen von Art. 4 Abs. 2 dieser Richtlinie unterliegen.

50.

Das vorlegende Gericht hat seine erste Frage in Bezug auf den Gegenstand des Rechtsstreits nicht ganz eindeutig formuliert. Wörtlich genommen möchte es wissen, ob Art. 1 Abs. 1 der Richtlinie 2016/680 „dahin [auszulegen ist], dass bei der Angabe der Ziele die Begriffe ‚Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten‘ als Aspekte eines allgemeinen Ziels aufgezählt werden“.

51.

In Anbetracht der Ausführungen des vorlegenden Gerichts wäre es vielleicht angebracht, seine erste Frage, wie die Parteien und die sonstigen Beteiligten dieses Vorabentscheidungsverfahrens angeregt haben, umzuformulieren. Worum es hier wirklich geht (und was auch Gegenstand der Beschwerde von VS war), ist weniger das abstrakte Verhältnis zwischen allgemeinem und konkretem Zweck als vielmehr die Frage, ob im Rahmen eines Strafverfahrens, das unter die Richtlinie 2016/680 fällt, der Zweck, der zur Erhebung der Daten einer Person in deren Eigenschaft als mutmaßliches Opfer einer Straftat geführt hat, fortbesteht, wenn diese Daten dazu führen, dass sie später im Rahmen desselben Verfahrens zum Beschuldigten wird.

52.

Die am Wortlaut orientierte Auslegung von Art. 1 Abs. 1 der Richtlinie 2016/680 zeigt, dass sich bei dieser Vorschrift drei Arten von Zwecken unterscheiden lassen, die unterschiedlichen Zeitpunkten und Tätigkeiten entsprechen:

53.

In systematischer Hinsicht, also von seinem Kontext her, legt Art. 4 Abs. 2 der Richtlinie 2016/680 nahe, diese Ziele isoliert zu betrachten. Andernfalls wäre, wie die niederländische Regierung hervorgehoben hat, diese Bestimmung gegenstandslos, da sie sich gerade auf „einen anderen der in Artikel 1 Absatz 1 genannten Zwecke“ bezieht.

54.

Von dieser Prämisse ausgehend werde ich versuchen, zu erläutern, weshalb die in Rede stehenden Daten im vorliegenden Fall zu einem der in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke (dem der „Ermittlung“) erhoben und verarbeitet wurden, was ausschlagegebend für die Anwendbarkeit der Richtlinie und die damit einhergehende Rechtmäßigkeit der Verarbeitung ist.

55.

Davon abgesehen wäre, wenn mit der Sammlung und Verarbeitung zwei der in Art. 4 Abs. 2 der Richtlinie 2016/680 aufgeführten Zwecke verfolgt worden wären, ihre Rechtmäßigkeit ebenfalls nicht zu bestreiten.

56.

Im Rahmen strafrechtlicher Ermittlungen lässt sich nicht immer von vornherein feststellen, welcher prozessuale Status den Beteiligten zukommt. Mit diesen Ermittlungen wird in zahlreichen Fällen versucht, die Personen, die dem ersten Anschein nach Täter, Geschädigte oder Zeugen des Sachverhalts sind, als solche festzustellen und damit zu „kategorisieren“.

57.

In dieser Vorbereitungsphase ist es logisch, dass eine gewisse Flexibilität bei der Kategorisierung besteht. Die Ermittlungen müssen nach Maßgabe der Ergebnisse, die sich nach und nach zeigen, dazu führen, dass die Verfahrensstellung dieser Personen genau feststeht, wenn der Sachverhalt dann vom Gericht beurteilt wird.

58.

Dies ist insbesondere in Fällen wie dem vorliegenden so. Nach den Angaben des vorlegenden Gerichts kam es zwischen mehreren Personen zu gegenseitigen Angriffen. Eine dieser Personen, die ursprünglich Opfer zu sein schien, wurde schließlich als Täter dieser Angriffe angeklagt.

59.

Vor diesem Hintergrund entspricht die entfaltete Tätigkeit insgesamt dem Begriff der „Ermittlung“ im Sinne von Art. 1 Abs. 1 der Richtlinie 2016/680. Es handelt sich somit um einen einzigen Zweck, und zwar um einen der „Zwecke“, denen die Verarbeitung personenbezogener Daten dienen kann.

60.

Das vorlegende Gericht hat allerdings Zweifel, ob diese Auslegung von Art. 1 Abs. 1 der Richtlinie 2016/680 mit deren 31. Erwägungsgrund ( 16 ) vereinbar ist.

61.

Ich stimme mit der Mehrheit der Beteiligten überein, dass dieser Erwägungsgrund ebenso wie Art. 6 der Richtlinie 2016/680, der ihn übernimmt, für die Feststellung, ob eine Zweckänderung im Sinne von Art. 4 Abs. 2 dieser Richtlinie vorliegt, unerheblich ist.

62.

Nach Art. 6 der Richtlinie 2016/680 findet die klare Unterscheidung zwischen personenbezogenen Daten der verschiedenen Kategorien betroffener Personen nur „gegebenenfalls und so weit wie möglich“ statt. Aus den oben dargelegten Gründen ist es nicht leicht, die „verschiedenen Kategorien betroffener Personen“ im Rahmen der ersten Ermittlungen eines Sachverhalts wie des vorliegenden von Beginn an klar zu bestimmen. Außerdem kann ein am hier in Rede stehenden Sachverhalt Beteiligter zugleich Opfer und Täter der Angriffe sein.

63.

Selbst wenn der für die Verarbeitung der im Rahmen der Ermittlungen erlangten Daten Verantwortliche zu Beginn und während der Dauer der Ermittlungen klar zwischen Opfern, Verdächtigen und Zeugen unterscheiden könnte, würde sich der der Erhebung und Verarbeitung dieser Daten zugrunde liegende Zweck (die Ermittlung) nicht ändern.

64.

Mit anderen Worten: Dass Personen, die in einer strafrechtlichen Ermittlung erscheinen, nacheinander die eine oder andere Eigenschaft (als Opfer, Zeuge oder anderer Beteiligter) zugeschrieben wird, führt nicht zwangsläufig zu einer Änderung der Zwecke im Sinne von Art. 4 Abs. 2 der Richtlinie 2016/680.

65.

Hilfsweise – sollte doch der in Art. 4 Abs. 2 der Richtlinie 2016/680 beschriebene Fall vorliegen – hätte die Verarbeitung der in Rede stehenden personenbezogenen Daten den in dieser Richtlinie aufgestellten Rechtmäßigkeitsvoraussetzungen entsprochen. In diesem Sinne haben sich die bulgarische und die tschechische Regierung geäußert, denen ich insoweit zustimme.

66.

Obwohl es Sache des vorlegenden Gerichts ist, dies zu überprüfen, scheinen keine Zweifel daran zu bestehen, dass die bulgarische Staatsanwaltschaft nach nationalem Recht die Behörde ist, die für die Verarbeitung der personenbezogenen Daten von VS „für einen anderen der in Artikel 1 Absatz 1 genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden“, verantwortlich ist. Die erste Voraussetzung nach Art. 4 Abs. 2 Buchst. a der Richtlinie 2016/680 ist somit erfüllt.

67.

Hinsichtlich der zweiten, in Art. 4 Abs. 2 Buchst. b dieser Richtlinie festgelegten Voraussetzung (dass „die Verarbeitung für diesen anderen Zweck … erforderlich und verhältnismäßig ist“) bin ich der Auffassung, dass

68.

Auf diese Rechtssache angewandt, sind die Voraussetzungen von Art. 4 Abs. 2 der Richtlinie 2016/680 von geringer Bedeutung, und es bestätigt sich, dass die Erhebung der in Rede stehenden Daten einem einzigen Zweck dient: Zwischen ihrer ersten Verarbeitung und der Verarbeitung, aufgrund derer der Beteiligte später beschuldigt wurde, besteht eine logische Kontinuität.

69.

Es wäre deshalb weder erforderlich, die Zuständigkeit eines neuen für die Datenverarbeitung Verantwortlichen (der ja doch derselbe bliebe) zu bestätigen, noch wäre es schwierig, die Erforderlichkeit der zweiten Verarbeitung (die im Rahmen desselben Verfahrens erfolgt) nachzuweisen, wenn das Kriterium der Verhältnismäßigkeit bei jeder Verarbeitung vorliegen muss, wie sich aus den in Art. 4 Abs. 1 der Richtlinie 2016/680 aufgeführten Grundsätzen ergibt.

70.

Gemäß Art. 9 Abs. 1 der Richtlinie 2016/680 besteht die Möglichkeit, die personenbezogenen Daten, die nach den Vorschriften der Richtlinie erhoben wurden, ad extra weiterzuverwenden.

71.

Geht man von der Regel aus, dass diese Daten „nicht für andere als die in Artikel 1 Absatz 1 genannten Zwecke verarbeitet werden“ dürfen, legt Art. 9 Abs. 1 der Richtlinie 2016/680 die Ausnahme fest, dass „eine derartige Verarbeitung … nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist“. In diesem Fall ist die DSGVO anzuwenden (solange die Tätigkeit in den Anwendungsbereich des Unionsrechts fällt).

72.

Mit seiner zweiten Vorlagefrage möchte das vorlegende Gericht wissen,

73.

Das IVSS hält die zweite Vorlagefrage für unzulässig, da die Beschwerde von VS seinerzeit als verspätet zurückgewiesen worden sei.

74.

Ich teile diesen Einwand nicht.

75.

Der Gerichtshof kann die Beantwortung einer Vorlagefrage eines nationalen Gerichts nur verweigern, wenn die erbetene Auslegung des Unionsrechts offensichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das Problem hypothetischer Natur ist oder wenn der Gerichtshof nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind ( 17 ).

76.

Der Einwand des IVSS bezieht sich auf einen Punkt, der in die ausschließliche Zuständigkeit des vorlegenden Gerichts fällt. Es obliegt ausschließlich diesem, in eigener Verantwortung den rechtlichen und sachlichen Rahmen der dem Gerichtshof vorgelegten Frage festzulegen ( 18 ).

77.

Sowohl die Beurteilung der Verfristung, auf die das IVSS hingewiesen hat, als auch die Beurteilung ihrer Erheblichkeit für den Rechtsstreit kommen allein dem vorlegenden Gericht zu. In dieser Rechtssache hat das vorlegende Gericht betont, die Frage sei trotz der vom IVSS geltend gemachten Verfristung für die Entscheidung im Ausgangsverfahren erheblich ( 19 ).

78.

Diese Beurteilung darf vom Gerichtshof nicht in Frage gestellt werden, der sich grundsätzlich an die Auslegung und Anwendung des nationalen Rechts – des Verfahrensrechts wie des materiellen Rechts – durch die Gerichte halten muss, wenn sie den Rahmen festlegen, auf den sich das Vorabentscheidungsersuchen bezieht.

79.

In Anbetracht der Gründe, die das vorlegende Gericht zur Rechtfertigung der zweiten Vorlagefrage angeführt hat, geht es ihm vornehmlich darum, festzustellen, ob die Übermittlung der streitigen Daten eine „Verarbeitung von Daten“ im Sinne von Art. 4 Nrn. 1 und 2 der DSGVO darstellt und ob diese Verarbeitung nach Art. 6 dieser Verordnung rechtmäßig war ( 20 ).

80.

Die Begriffe „personenbezogene Daten“ und „Verarbeitung“ sind in Art. 4 Nrn. 1 und 2 der DSGVO und Art. 3 Nrn. 1 und 2 der Richtlinie 2016/680 gleichlautend definiert.

81.

Aus diesen Definitionen leite ich ab, dass die Staatsanwaltschaft zu ihrer Verteidigung vor dem Zivilgericht „Informationen, die sich auf eine identifizierte … natürliche Person … beziehen“, verwenden wollte, zu denen „personenbezogene Daten“ von VS gehörten.

82.

Bei der Übermittlung dieser personenbezogenen Daten im Zivilverfahren sind mehrere „Vorgänge“, die eine „Datenverarbeitung“ darstellen, ohne Einwilligung der betroffenen Person vorgenommen worden. Zumindest war es erforderlich, dass die Staatsanwaltschaft selbst die Daten konsultiert hat, um ihren etwaigen Nutzen zur Verteidigung ihres Standpunkts im Rahmen des Zivilverfahrens zu beurteilen. Ich gehe außerdem davon aus, dass die Daten zu demselben Zweck – wenn auch nur minimal – organisiert, strukturiert, angepasst oder geändert und selbstverständlich übermittelt und verbreitet wurden, als die Staatsanwaltschaft beantragte, sie im Zivilverfahren beizuziehen ( 21 ).

83.

Letztlich hat die Staatsanwaltschaft, indem sie die personenbezogenen Daten von VS erfasst, in ihre Archive aufgenommen, gespeichert, konsultiert und beim Zivilgericht die Zulassung der aus den strafrechtlichen Ermittlungen hervorgegangenen Informationen als Beweis beantragt hat, eine Verarbeitung der Daten von VS vorgenommen.

84.

Das IVSS und die Kommission machen geltend, die Staatsanwaltschaft könne nur insoweit „für die Verarbeitung Verantwortlicher“ sein, als sie die für die strafrechtlichen Zwecke zuständige Behörde im Sinne der Richtlinie 2016/680 sei.

85.

Dies bedeutet meines Erachtens allerdings nicht, dass die zweite Vorlagefrage gegenstandslos wäre, wie das IVSS behauptet, sondern vielmehr, dass die Rechtmäßigkeit der Verarbeitung gemäß Art. 9 Abs. 1 der Richtlinie 2016/680 anhand der DSGVO zu prüfen ist.

86.

Der für die Entscheidung des Zivilrechtsstreits zuständige Richter ist der für die Verarbeitung der Daten in diesem Verfahren Verantwortliche, wenn sie in diesem Verfahren beigezogen werden. Seine Entscheidungen sind gemäß Art. 55 Abs. 3 der DSGVO der Überprüfung durch die Aufsichtsbehörde entzogen, soweit sie im Rahmen seiner justiziellen Tätigkeit ergehen ( 22 ).

87.

Das vorlegende Gericht beschränkt seine Frage allerdings darauf, ob die DSGVO anwendbar ist, wenn die Staatsanwaltschaft versucht, Informationen, die sie als „für die Verarbeitung Verantwortlicher“ im Sinne der Richtlinie 2016/680 erlangt hat, für ihre Verteidigung im Zivilverfahren zu verwenden.

88.

Aus den angeführten Gründen bin ich der Auffassung, dass die DSGVO anwendbar ist, da die Verteidigung der Staatsanwaltschaft in einem Zivilverfahren nicht unter die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke subsumiert werden kann.

89.

Unter welchen Voraussetzungen eine Verarbeitung personenbezogener Daten rechtmäßig ist, ist in Art. 6 Abs. 1 der DSGVO geregelt: „Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist“, die anschließend genannt werden. Die dortige Aufzählung ist abschließend ( 23 ).

90.

Von diesen Bedingungen liegen meines Erachtens weder die Einwilligung der betroffenen Person (Buchst. a) noch die Erfüllung eines Vertrags (Buchst. b), die Erfüllung einer rechtlichen Verpflichtung (Buchst. c) ( 24 ) oder der Schutz lebenswichtiger Interessen der betroffenen Person oder eines Dritten (Buchst. d) vor.

91.

Nach Ansicht des vorlegenden Gerichts ist die Bedingung in Art. 6 Abs. 1 Buchst. f der DSGVO erfüllt. Nach Auffassung der Kommission ist dies nach Unterabs. 2 dieses Absatzes jedoch in der vorliegenden Rechtssache ausgeschlossen, da diese Bedingung „nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung [gilt]“ ( 25 ).

92.

In ihrer Antwort auf eine Frage des Gerichtshofs hat die bulgarische Regierung, insoweit unterstützt von der tschechischen und der niederländischen Regierung, ihre Auffassung bekräftigt, dass die in Art. 6 Abs. 1 Buchst. f der DSGVO vorgesehene Bedingung anwendbar sei. Sie führt die Notwendigkeit an, „die Art der von der Staatsanwaltschaft ausgeübten Tätigkeit“ zu berücksichtigen, die, obwohl sie eine öffentliche Einrichtung sei, in Zivilprozessen „gleichrangige Partei“ sein könne ( 26 ).

93.

Die „berechtigten Interessen“, die die Staatsanwaltschaft als Trägerin öffentlicher Gewalt in einem Prozess, in dem sie wegen ihres prozessualen Vorgehens in Anspruch genommen wird, verteidigt, sind jedoch von dem in Art. 6 Abs. 1 Buchst. f der DSGVO genannten Fall ausgenommen, da der letzte Unterabsatz dieses Absatzes dies ausdrücklich vorsieht.

94.

Für Behörden, die in Erfüllung der ihnen gesetzlich zugewiesenen Aufgaben tätig werden (hier den staatlichen Strafanspruch geltend zu machen und den Staat gegenüber Staatshaftungsklagen zu vertreten), ist das maßgebliche Interesse im Sinne von Art. 6 Abs. 1 der DSGVO das öffentliche Interesse, dem sie nach Buchst. e dieser Bestimmung dienen.

95.

Bei der Bedingung in Buchst. f geht es um die Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

96.

Diese Klausel betrifft daher weniger die Verteidigungsmöglichkeiten der öffentlichen Gewalt – die gegebenenfalls unter Buchst. e fallen – als vielmehr die etwaige Vorrangigkeit der Interessen, Rechte und Freiheiten der betroffenen Person gegenüber dem für die Verarbeitung Verantwortlichen oder gegenüber einem Dritten. Sie gilt eher für Streitigkeiten zwischen (privaten) Parteien, deren Interessen nicht öffentlicher Art sind.

97.

Da die Staatsanwaltschaft definitionsgemäß in ihrer Eigenschaft als staatliche Einrichtung handelt, ist zu daher prüfen, ob die streitige Verarbeitung unter Art. 6 Abs. 1 Buchst. e der DSGVO fällt.

98.

Dies wäre dann der Fall, wenn die Verarbeitung „für die Wahrnehmung einer Aufgabe erforderlich [wäre], die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“.

99.

Ich werde mich auf den ersten dieser beiden Zwecke beschränken, ohne auf den zweiten eingehen zu müssen ( 27 ), und prüfen, ob die Mitwirkung der Staatsanwaltschaft in dem Zivilverfahren, in dem sie wegen ihres Verhaltens auf Entschädigung in Anspruch genommen wird, in Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erfolgt.

100.

Nach nationalem Recht ( 28 ) ist die Staatsanwaltschaft dafür zuständig, den Staat in Verfahren über eine außervertragliche Haftung für Schäden zu vertreten, die er durch sein verzögertes Handeln verursacht hat. In eben diesem Umfang wird die Staatsanwaltschaft in Verteidigung der allgemeinen (finanziellen) Interessen des Staates und damit in Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe tätig ( 29 ).

101.

Art. 9 Abs. 1 der Richtlinie 2016/680 macht die Weiterverwendung ad extra der in den Handakten enthaltenen Daten davon abhängig, dass ihre Verarbeitung nach dem Unionsrecht oder nach dem Recht des Mitgliedstaats zulässig ist. Soweit hier von Belang, ist es Sache des vorlegenden Gerichts, zu prüfen, ob diese Zulässigkeit vorliegt, wenn die im öffentlichen Interesse liegende Aufgabe der Staatsanwaltschaft, die staatlichen Vermögensinteressen zu verteidigen, erfüllt wird.

102.

Nach Art. 6 Abs. 3 der DSGVO kann die Rechtsgrundlage für die Verarbeitungen gemäß Abs. 1 Buchst. e „spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften“ der DSGVO selbst enthalten ( 30 ). Wird diese Rechtsgrundlage im Recht des Mitgliedstaats festgelegt, das für den für die Verarbeitung Verantwortlichen gilt, ist es Sache des nationalen Gerichts, sie zu bestimmen ( 31 ).

103.

Schließlich ist, auch wenn das vorlegende Gericht die einschlägige Rechtsgrundlage nicht angegeben hat, die Vereinbarkeit der streitigen Verarbeitung mit dem Ziel, zu dem die streitigen Daten erhoben wurden, an Art. 6 Abs. 4 der DSGVO zu messen. Insoweit sind u. a. zu berücksichtigen: jede Verbindung zwischen den ursprünglichen Zwecken und dem nun verfolgten Zweck, der Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, und die Art dieser Daten, die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffene Person und das Vorhandensein geeigneter Garantien.

104.

Nach alledem schlage ich dem Gerichtshof vor, dem Administrativen sad – Blagoevgrad (Verwaltungsgericht Blagoevgrad, Bulgarien) wie folgt zu antworten: