EuGH: Über die systematische Erhebung sensibler Daten durch Polizeibehörden

Geschrieben von Kemal Webersohn, veröffentlicht am 17.05.2023

Am  26.01.2023 urteilte der Europäische Gerichtshof erneut über eine grundrechtlich sensible Frage im Zusammenhang mit polizeilichen Ermittlungsbefugnissen. Nach der Entscheidung über die Unionsrechtskonformität der Vorratsdatenspeicherung musste er sich nun mit der Frage befassen, unter welchen Voraussetzungen die Polizeibehörden der Mitgliedstaaten Daten für den Zweck der polizeilichen Registrierung überhaupt erheben dürfen. Konkret ging es dabei um die Erhebung biometrischer und genetischer Daten durch die bulgarische Polizei.  

Rechtliche Fragestellung 

Im Wesentlichen stellte das Gericht zwei rechtlich zu würdigende Fragen heraus: 

(1) Welche Unionsrechtsgrundlage legt die Voraussetzungen fest: die Datenschutzgrundverordnung (DSGVO) oder die Richtlinie 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung? 

(2) Welche Voraussetzungen diktiert die maßgebliche Rechtsgrundlage den Mitgliedsstaaten? 

DSGVO oder Richtlinie 2016/680? 

Mit Verabschiedung der DSGVO verfolgte der europäische Gesetzgeber das Ziel, das datenschutzrechtliche Niveau in den Mitgliedstaaten zu vereinheitlichen. Dennoch umfasst der Anwendungsbereich der DSGVO nicht sämtliche Datenverarbeitungsvorgänge. So legt Art. 2 Abs. 2 lit. d) DSGVO fest, dass die Verordnung nicht anwendbar ist auf Datenverarbeitungsvorgänge der zuständigen Behörden zwecks Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten sowie die Abwehr von Gefahren für die öffentliche Sicherheit.  

Vorliegend stellte der EuGH fest, dass die Mitgliedsstaaten zwar nicht wissen müssen, auf welche europarechtliche Grundlage Erlaubnisse zur Datenverarbeitung gestützt werden. Dennoch müssen sie inhaltlich den Anforderungen der korrekten Grundlage gerecht werden. Bulgarien stützte die Rechtsgrundlage zur Erhebung biometrischer und genetischer Daten durch die Polizeibehörden zwecks polizeilicher Registrierung auf die Vorschriften der DSGVO. Infolgedessen musste der EuGH feststellen, dass hiernach keine entsprechende Erlaubnis besteht. So enthält  Art. 9 DSGVO ein ausdrückliches Verarbeitungsverbot für biometrische und genetische Daten und auch die Ausnahmen nach Art. 9 Abs. 2 DSGVO legitimieren eine entsprechende Verarbeitung nicht.  

Dies spielt inhaltlich jedoch keine Rolle, da die Rechtsgrundlage Bulgariens fälschlicherweise auf die DSGVO gestützt wurde. Tatsächlich richtet sich die Erlaubnis nach der Richtlinie 2016/680, da mit der Datenverarbeitung die Strafverfolgung bezweckt wird, sodass die Ausnahme nach Art. 2 Abs. 2 lit. d) DSGVO einschlägig ist. Aus diesem Grund richten sich die inhaltlichen Voraussetzungen nicht nach Art. 9 DSGVO, sondern nach den Vorschriften der Richtlinie 2016/680. 

Die Voraussetzungen der Richtlinie 2016/680 

Zunächst stellt die Richtlinie in Art. 6 fest, dass sich der erlaubte Umfang der Datenverarbeitung nach den jeweiligen Personenkategorien unterscheidet, nämlich ob es sich z.B. um schon verurteilte Straftäter handelt oder um Personen, gegen die lediglich ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben könnten. Zudem legt die Richtlinie besondere Voraussetzungen für die Verarbeitung besonderer Kategorien personenbezogener Daten in Art. 10 fest. Demnach ist die Erhebung und weitere Verarbeitung nur erlaubt, „wenn sie unbedingt erforderlich ist und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt…“. Entscheidend ist, „ob bzw. dass diese Ziele nicht durch Maßnahmen erreicht werden können, die einen weniger schwerwiegenden Eingriff in die Rechte und Freiheiten der betroffenen Person darstellen“. Indem das Gericht die „unbedingte Erforderlichkeit“ betont, verlangt es von den Mitgliedstaaten ein besonderes Augenmerk für die Grundsätze der Zweckbindung sowie der Datenminimierung, die nicht nur für die DSGVO, sondern auch für die Richtlinie 2016/680 von zentraler Bedeutung sind.  

Im Ergebnis werden die Mitgliedsstaaten dadurch verpflichtet, eine Rechtsgrundlage für die Verarbeitung und Speicherung sensibler Daten für polizeiliche Registrierungszwecke zu schaffen, die Art und Schwere sowie besondere Umstände der in Verdacht stehenden Straftat berücksichtigen. Eine pauschale Erhebung und Speicherung sensibler Daten ohne differenzierte Begründung verstößt folglich gegen das Unionsrecht.  

Fazit 

Die Entscheidung des EuGH ist ein weiterer Schritt auf dem Weg zu einer Vereinheitlichung auch des polizeilichen bzw. strafprozessualen Datenschutzes. Sie legt gemeinsame Maßstäbe für die Polizeibehörden der Mitgliedsstaaten fest, die bei der Erhebung und Weiterverarbeitung personenbezogener Daten zu beachten sind. Darüber hinaus geben die inhaltlichen Ausführungen des Gerichts den einzelnen Mitgliedsstaaten die Gelegen