VS v Inspektor v Inspektorata kam Visshia sadeben savet.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2022:967
• Date: 08 December 2022
• Docket Number: C-180/21
• Celex Number: 62021CJ0180
• Court: Court of Justice (European Union)

Vorläufige Fassung

URTEIL DES GERICHTSHOFS (Fünfte Kammer)

8. Dezember 2022(*)

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 2, 4 und 6 – Anwendbarkeit der Verordnung 2016/679 – Begriff ‚berechtigtes Interesse‘ – Wendung ‚Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt‘ – Richtlinie (EU) 2016/680 – Art. 1, 3, 4, 6 und 9 – Rechtmäßigkeit der Verarbeitung personenbezogener Daten, die im Zuge strafrechtlicher Ermittlungen erhoben wurden – Weiterverarbeitung von Daten in Bezug auf das mutmaßliche Opfer einer Straftat für den Zweck seiner Anklage – Wendung ‚anderer Zweck als der, für den die personenbezogenen Daten erhoben werden‘ – Daten, die von der Staatsanwaltschaft eines Mitgliedstaats für die Zwecke ihrer Verteidigung gegenüber einer Staatshaftungsklage verwendet werden“

In der Rechtssache C‑180/21

betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Administrativen sad – Blagoevgrad (Verwaltungsgericht Blagoevgrad, Bulgarien) mit Entscheidung vom 19. März 2021, beim Gerichtshof eingegangen am 23. März 2021, in dem Verfahren

VS

gegen

Inspektor v Inspektorata kam Visshia sadeben savet,

Beteiligte:

Teritorialno otdelenie – Petrich kam Rayonna prokuratura – Blagoevgrad,

erlässt

DER GERICHTSHOF (Fünfte Kammer)

unter Mitwirkung des Kammerpräsidenten E. Regan sowie der Richter D. Gratsias (Berichterstatter), M. Ilešič, I. Jarukaitis und Z. Csehi,

Generalanwalt: M. Campos Sánchez-Bordona,

Kanzler: A. Calot Escobar,

aufgrund des schriftlichen Verfahrens,

unter Berücksichtigung der Erklärungen

– von VS, vertreten durch V. Harizanova,

– des Inspektor v Inspektorata kam Visshia sadeben savet, vertreten durch S. Mulyachka,

– der bulgarischen Regierung, vertreten durch M. Georgieva und T. Mitova als Bevollmächtigte,

– der tschechischen Regierung, vertreten durch O. Serdula, M. Smolek und J. Vláčil als Bevollmächtigte,

– der niederländischen Regierung, vertreten durch M. K. Bulterman und J. M. Hoogveld als Bevollmächtigte,

– der Europäischen Kommission vertreten durch H. Kranenborg und I. Zaloguin als Bevollmächtigte,

nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 19. Mai 2022

folgendes

Urteil

1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 1 Abs. 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, L 119, S. 89) sowie der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO), insbesondere ihres Art. 6 Abs. 1.

2 Es ergeht im Rahmen eines Rechtsstreits zwischen VS und dem Inspektor v Inspektorata kam Visshia sadeben savet (Inspektor der Aufsichtsbehörde beim Obersten Justizrat, Bulgarien) (im Folgenden: IVSS) über die Rechtmäßigkeit der Verarbeitung von VS betreffenden personenbezogenen Daten durch die Rayonstaatsanwaltschaft Petrich (Bulgarien).

Rechtlicher Rahmen

Unionsrecht

DSGVO

3 In den Erwägungsgründen 19, 45 und 47 der DSGVO heißt es:

„(19) … Die Mitgliedstaaten können die zuständigen Behörden im Sinne der Richtlinie [2016/680] mit Aufgaben betrauen, die nicht zwangsläufig für die Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, ausgeführt werden, so dass die Verarbeitung von personenbezogenen Daten für diese anderen Zwecke insoweit in den Anwendungsbereich dieser Verordnung fällt, als sie in den Anwendungsbereich des Unionsrechts fällt. …

…

(45) [I]st die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. …

…

(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. … Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die diese in Erfüllung ihrer Aufgaben vornehmen. …“

4 Art. 2 („Sachlicher Anwendungsbereich“) Abs. 1 und 2 DSGVO bestimmt:

„(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,

…

d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.“

5 Art. 4 („Begriffsbestimmungen“) DSGVO sieht vor:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

…

7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

…“

6 Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 DSGVO bestimmt:

„Personenbezogene Daten müssen

…

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden … (‚Zweckbindung‘);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘);

…“

7 Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO sieht vor:

„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

…

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen …

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

…

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 [Unterabsatz 1] Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. …“

8 Art. 21 („Widerspruchsrecht“) Abs. 1 DSGVO bestimmt:

„Die betroffene Person hat das Recht, aus...