Urteil : Zur Zulässigkeit der Speicherung eines Fingerabdrucks im Personalausweis : aus der RDV 4/2024, Seite 235 bis 239

Zu den Vorlagefragen:

Mit seiner Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob die Verordnung 2019/1157 ganz oder teilweise ungültig ist, weil sie erstens auf einer falschen Rechtsgrundlage erlassen worden sei, zweitens Art.  35 Abs.  10 DS-GVO verletze und drittens gegen die Artt. 7 und 8 der Charta verstoße. […]

C. Zum dritten Ungültigkeitsgrund: Unvereinbarkeit von Art. 3 Abs. 5 der Verordnung 2019/1157 mit den Artt. 7 und 8 der Charta.

Der dritte vom vorlegenden Gericht angeführte Grund für die Ungültigkeit der Verordnung 2019/1157 betrifft die Frage, ob die in Art.  3 Abs.  5 der Verordnung vorgesehene Verpflichtung, zwei vollständige Fingerabdrücke in das Speichermedium der von den Mitgliedstaaten ausgestellten Personalausweise aufzunehmen, eine nicht gerechtfertigte Einschränkung der in den Artt. 7 und 8 der Charta garantierten Rechte mit sich bringt. […]

2. Zur Rechtfertigung der Einschränkung

Nach ständiger Rechtsprechung können die in Art.  7 bzw. Art. 8 der Charta garantierten Rechte auf Achtung des Privatlebens bzw. auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern müssen im Hinblick auf ihre gesellschaftliche Funktion gesehen werden (vgl. i.d.S. Urt. v. 20.09.2022, SpaceNet und Telekom Deutschland, C-793/19 und C-794/19, EU:C:2022:702, Rn. 63).

Einschränkungen dieser Rechte sind daher zulässig, sofern sie gem. Art. 52 Abs. 1 S. 1 der Charta gesetzlich vorgesehen sind und den Wesensgehalt dieser Rechte achten. Zudem dürfen nach Art. 52 Abs. 1 S. 2 der Charta unter Wahrung des Grundsatzes der Verhältnismäßigkeit solche Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Insoweit stellt Art. 8 Abs. 2 der Charta klar, dass personenbezogene Daten insbesondere nur „für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage“ verarbeitet werden dürfen. […]

b) Zur Achtung des Wesensgehalts der in den Artt. 7 und 8 der Charta verankerten Grundrechte

Die in Fingerabdrücken enthaltenen Informationen ermöglichen für sich genommen keinen Einblick in das Privatund Familienleben der betroffenen Personen.

Unter diesen Umständen berührt die Einschränkung, die die in Artt.  3 Abs.  5 der Verordnung 2019/1157 vorgesehene Verpflichtung, zwei Fingerabdrücke in das Speichermedium der von den Mitgliedstaaten ausgestellten Personalausweise aufzunehmen, mit sich bringt, nicht den Wesensgehalt der in den Art. 7 und 8 der Charta verankerten Grundrechte (vgl. entsprechend Urt. v. 21.06.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, Rn. 120).

c) Zur Achtung des Grundsatzes der Verhältnismäßigkeit Wie aus Art. 52 Abs. 1 S. 2 der Charta hervorgeht, müssen, damit Einschränkungen der Ausübung der durch die Charta garantierten Grundrechte unter Wahrung des Grundsatzes der Verhältnismäßigkeit vorgenommen werden dürfen, diese Einschränkungen erforderlich sein und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

Insbesondere müssen sich die Ausnahmen vom Schutz personenbezogener Daten und deren Einschränkungen auf das absolut Notwendige beschränken, wobei, wenn mehrere geeignete Maßnahmen zur Erreichung der verfolgten legitimen Ziele zur Verfügung stehen, die am wenigsten belastende zu wählen ist. Außerdem kann eine dem Gemeinwohl dienende Zielsetzung nicht legitimerweise verfolgt werden, ohne dem Umstand Rechnung zu tragen, dass sie mit den von der Maßnahme betroffenen Grundrechten in Einklang gebracht werden muss, indem eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung und der betroffenen Rechte vorgenommen wird, um sicherzustellen, dass die durch diese Maßnahme verursachten Unannehmlichkeiten nicht außer Verhältnis zu den verfolgten Zielsetzungen stehen. Daher ist die Möglichkeit, eine Einschränkung der durch die Artt. 7 und 8 der Charta garantierten Grundrechte zu rechtfertigen, zu beurteilen, indem die Schwere des mit einer solchen Einschränkung verbundenen Eingriffs bestimmt und geprüft wird, ob die mit ihr verfolgte dem Gemeinwohl dienende Zielsetzung in angemessenem Verhältnis zur Schwere des Eingriffs steht (Urt. v. 22.11.2022, Luxembourg Business Registers, C-37/20 und C-601/20, EU:C:2022:912, Rn. 64 und die dort angeführte Rechtsprechung).

Folglich ist, um zu prüfen, ob im vorliegenden Fall die Eingriffe in die durch die Artt. 7 und 8 der Charta garantierten Rechte, die sich aus der in Art. 3 Abs. 5 der Verordnung 2019/1157 vorgesehenen Verpflichtung zur Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen ergeben, den Grundsatz der Verhältnismäßigkeit achten, erstens zu prüfen, ob diese Maßnahme eine oder mehrere von der Union anerkannte dem Gemeinwohl dienende Zielsetzungen verfolgt und tatsächlich geeignet ist, diese zu erreichen, zweitens, ob die sich daraus ergebenden Eingriffe in dem Sinne auf das absolut Notwendige beschränkt sind, dass diese Zielsetzungen vernünftigerweise nicht ebenso wirksam mit anderen Mitteln erreicht werden können, die diese Grundrechte der betroffenen Personen weniger beeinträchtigen, und drittens, ob diese Eingriffe nicht außer Verhältnis zu diesen Zielsetzungen stehen, was insbesondere eine Gewichtung der Zielsetzungen und der Schwere der Eingriffe impliziert (vgl. i.d.S. Urt. v. 22.11.2022, Luxembourg Business Registers, C-37/20 und C-601/20, EU:C:2022:912, Rn. 66, und v. 08.12.2022, Orde van Vlaamse Balies u.a., C-694/20, EU:C:2022:963, Rn. 42).

Zur Verfolgung einer oder mehrerer von der Union anerkannter dem Gemeinwohl dienender Zielsetzungen und zur Eignung der Maßnahme, diese zu erreichen

Zum Gemeinwohlcharakter der mit der in Rede stehenden Maßnahme verfolgten Zielsetzungen

Nach ihrem Art. 1 sollen mit der Verordnung 2019/1157 die Sicherheitsstandards u.a. für Personalausweise verschärft werden, die die Mitgliedstaaten ihren Staatsangehörigen ausstellen, die ihr Recht auf Freizügigkeit ausüben.

Insbesondere soll, wie aus den Erwägungsgründen 4, 5, 17 bis 20 und 32 der Verordnung 2019/1157 hervorgeht, die Aufnahme biometrischer Daten, einschließlich zweier vollständiger Fingerabdrücke, in das Speichermedium von Personalausweisen die Echtheit dieser Ausweise gewährleisten und die zuverlässige Identifizierung ihres Inhabers ermöglichen und dabei gemäß den Erwägungsgründen 23 und 33 sowie Art. 3 Abs. 5 dieser Verordnung zur Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten beitragen, um das Fälschungs- und Dokumentenbetrugsrisiko zu verringern.

Der Gerichtshof hat bereits zur Ausstellung von Pässen (vgl. i.d.S. Urt. v. 17.10.2013, Schwarz, C-291/12, EU:C:2013:670, Rn. 36 bis 38) sowie zur Erstellung einer Datei zur Identifizierung von Drittstaatsangehörigen (vgl. i.d.S. Urt. v. 03.10.2019, A u.a., C-70/18, EU:C:2019:823, Rn. 46 und die dort angeführte Rechtsprechung) entschieden, dass die Bekämpfung von Dokumentenbetrug, die u.a. die Bekämpfung der Herstellung gefälschter Personalausweise und des Identitätsdiebstahls umfasst, eine von der Union anerkannte dem Gemeinwohl dienende Zielsetzung ist.

Was das Ziel der Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten anbelangt, hat auch dieses einen solchen Charakter, da, wie sich aus dem 17. Erwägungsgrund der Verordnung 2019/1157 ergibt, diese Verordnung dazu beiträgt, den Unionsbürgern die Ausübung des ihnen durch Art.  20 AEUV zuerkannten Rechts, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten, zu erleichtern.

ii) Zur Eignung der in Rede stehenden Maßnahme, die verfolgten dem Gemeinwohl dienenden Zielsetzungen tatsächlich zu erreichen

Im vorliegenden Fall ist die Aufnahme zweier vollständiger Fingerabdrücke in das Speichermedium von Personalausweisen geeignet, die vom Unionsgesetzgeber zur Rechtfertigung dieser Maßnahme angeführten, dem Gemeinwohl dienenden Zielsetzungen zum einen der Bekämpfung der Herstellung gefälschter Personalausweise und des Identitätsdiebstahls und zum anderen der Interoperabilität der Überprüfungssysteme zu erreichen.

Zunächst kann nämlich die Aufnahme biometrischer Daten wie Fingerabdrücke in Personalausweise die Herstellung gefälschter Personalausweise erschweren, da solche Daten  u. a. nach Art. 3 Abs. 5 i.V.m. Art. 14 Abs. 1 und 2 der Verordnung 2019/1157 nach genauen technischen Spezifikationen gespeichert werden müssen, die geheim gehalten werden können.

Sodann ist die Aufnahme solcher biometrischen Daten ein Mittel, das es gem. Art. 11 Abs. 6 und den Erwägungsgründen 18 und 19 der Verordnung 2019/1157 ermöglicht, die Echtheit des Personalausweises und die Identität des Ausweisinhabers zuverlässig zu überprüfen und so das Betrugsrisiko zu verringern.

Schließlich erscheint auch die Entscheidung des Unionsgesetzgebers, die Aufnahme vollständiger Fingerabdrücke vorzusehen, geeignet, das Ziel der Interoperabilität der Systeme zur Überprüfung von Personalausweisen zu erreichen, da durch den Rückgriff auf vollständige Fingerabdrücke die Kompatibilität mit allen von den Mitgliedstaaten verwendeten automatisierten Systemen zur Identifizierung von Fingerabdrücken gewährleistet werden kann, auch wenn diese Systeme nicht notwendigerweise denselben Identifizierungsmechanismus anwenden.

Das vorlegende Gericht weist ferner darauf hin, dass Art. 3 Abs. 7 UAbs. 1 der Verordnung 2019/1157 die Mitgliedstaaten ermächtige, Kinder unter zwölf Jahren von der Erfassung ihrer Fingerabdrücke zu befreien, und sie in Art. 3 Abs. 7 UAbs. 2 sogar verpflichte, Kinder unter sechs Jahren von dieser Erfassung zu befreien.

Zwar sind Rechtsvorschriften nur dann geeignet, die Verwirklichung des geltend gemachten Ziels zu gewährleisten, wenn die von ihnen vorgesehenen Maßnahmen tatsächlich dem Anliegen gerecht werden, es zu erreichen, und wenn sie in kohärenter und systematischer Weise durchgeführt werden (vgl. entsprechend Urt. v. 05.12.2023, Nordic Info, C-128/22, EU:C:2023:951, Rn. 84 und die dort angeführte Rechtsprechung).

Die Verordnung 2019/1157 erfüllt dieses Erfordernis jedoch, auch wenn sie für Kinder Ausnahmen von der Verpflichtung zur Erfassung von Fingerabdrücken vorsieht, da diese Ausnahmen, wie aus ihrem 26. Erwägungsgrund hervorgeht, dem Kindeswohl Rechnung tragen sollen.

Das Gleiche gilt für die Regelung in Art. 5 der Verordnung 2019/1157, wonach Personalausweise, die den Anforderungen des Art. 3 nicht entsprechen, ihre Gültigkeit erst mit Ablauf ihrer Gültigkeitsdauer oder spätestens am 03.08.2031 verlieren. Der Unionsgesetzgeber durfte nämlich davon ausgehen, dass ein solcher Übergangszeitraum angemessen war, um zu vermeiden, dass die Mitgliedstaaten in einem sehr kurzen Zeitraum für alle betroffenen Personen neue Personalausweise auszustellen haben würden, ohne damit aber die langfristige Wirksamkeit der in dieser Verordnung vorgesehenen Maßnahmen in Frage zu stellen.

Was den Umstand angeht, dass einige Mitgliedstaaten in ihren Rechtsvorschriften vorsehen, dass die von ihnen ausgestellten Personalausweise trotz eines defekten elektronischen Speichermediums gültig bleiben, genügt der Hinweis, dass solche Rechtsvorschriften nur dann mit der Verordnung 2019/1157 vereinbar sind, sofern der in der vorstehenden Randnummer genannte Übergangszeitraum nicht abgelaufen ist.

2) Zur Erforderlichkeit des Rückgriffs auf die in Rede stehende Maßnahme, um die verfolgten dem Gemeinwohl dienenden Zielsetzungen zu erreichen.

Was erstens den Grundsatz der Aufnahme von Fingerabdrücken in das Speichermedium von Personalausweisen betrifft, ist festzustellen, dass Fingerabdrücke zuverlässige und wirksame Mittel sind, um die Identität einer Person mit Sicherheit festzustellen, und dass das Verfahren zur Erfassung dieser Fingerabdrücke einfach durchzuführen ist.

Insbesondere wäre, wie die Generalanwältin in Nr. 90 ihrer Schlussanträge ausgeführt hat, die Aufnahme allein eines Gesichtsbilds ein weniger wirksames Identifizierungsmittel als die zusätzlich zu diesem Bild erfolgende Aufnahme von zwei Fingerabdrücken, da Alterung, Lebensweise, Erkrankung oder ein ästhetischer bzw. rekonstruktiver chirurgischer Eingriff die anatomischen Merkmale des Gesichts verändern können.

Es trifft zu, dass in der Folgenabschätzung der Kommission zu dem Verordnungsvorschlag, auf den die Verordnung 2019/1157 zurückgeht, festgestellt wurde, dass der Option, die Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen nicht zwingend vorzuschreiben, der Vorzug gegeben werden solle.

Jedoch ist, abgesehen davon, dass die Kommission selbst entschieden hat, diese Option nicht in ihren Gesetzgebungsvorschlag aufzunehmen, darauf hinzuweisen, dass die Interinstitutionelle Vereinbarung in Nr. 14 zwar vorsieht, dass das Parlament und der Rat bei der Prüfung der Gesetzgebungsvorschläge der Kommission die Folgenabschätzungen der Kommission in vollem Umfang berücksichtigen müssen, es in Nr. 12 dieser Vereinbarung jedoch heißt, dass diese „ein Instrument [darstellen], das den drei Organen dabei hilft, fundierte Entscheidungen zu treffen, und … kein Ersatz für politische Entscheidungen im demokratischen Entscheidungsprozess [sind]“. Somit sind das Parlament und der Rat, auch wenn sie verpflichtet sind, die Folgenabschätzungen der Kommission zu berücksichtigen, gleichwohl nicht an deren Inhalt gebunden, insbesondere was die darin enthaltenen Beurteilungen betrifft (vgl. i.d.S. Urt. v. 21.06.2018, Polen/Parlament und Rat, C-5/16, EU:C:2018:483, Rn. 159 und die dort angeführte Rechtsprechung).

Folglich ist der Umstand, dass der Unionsgesetzgeber eine andere, gegebenenfalls belastendere Maßnahme als die nach der Folgenabschätzung empfohlene getroffen hat, für sich genommen kein geeigneter Beweis dafür, dass er die Grenzen dessen überschritten hat, was zur Erreichung des verfolgten Ziels erforderlich war (vgl. i.d.S. Urt. v. 04.05.2016, Pillbox 38, C-477/14, EU:C:2016:324, Rn. 65).

Im vorliegenden Fall ergab die von der Kommission durchgeführte Folgenabschätzung, dass die Option, die Aufnahme von Fingerabdrücken in das Speichermedium von Personalausweisen zwingend vorzuschreiben, die wirksamste sei, um das spezifische Ziel zu erreichen, die Herstellung gefälschter Personalausweise zu bekämpfen und die Echtheitsprüfung des Dokuments zu verbessern. Unter diesen Umständen kann die Option, eine solche Aufnahme nicht zwingend vorzuschreiben, die Erforderlichkeit der vom Unionsgesetzgeber gewählten Maßnahme im Sinne der in Rn. 84 des vorliegenden Urteils angeführten Rechtsprechung jedenfalls nicht in Frage stellen.

Was zweitens die Aufnahme zweier vollständiger Fingerabdrücke statt bestimmter charakteristischer Punkte dieser Abdrücke („Minuzien“) anbelangt, bieten, wie die Generalanwältin in Nr.  93 ihrer Schlussanträge ausgeführt hat, die Minuzien zum einen nicht dieselben Garantien wie ein vollständiger Abdruck. Zum anderen ist die Aufnahme eines vollständigen Abdrucks für die Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten, die eine der verfolgten wesentlichen Zielsetzungen ist, erforderlich. Denn wie aus Rn. 47 der Stellungnahme 7/2018 hervorgeht und wie auch das vorlegende Gericht ausführt, verwenden die Mitgliedstaaten unterschiedliche Technologien zur Fingerabdruck-Identifizierung, so dass die Aufnahme nur bestimmter Merkmale eines Fingerabdrucks in das Speichermedium des Personalausweises die Verwirklichung des mit der Verordnung 2019/1157 verfolgten Ziels der Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten gefährden würde.

Aus den vorstehenden Erwägungen ergibt sich, dass die Einschränkungen der in den Artt. 7 und 8 der Charta garantierten Grundrechte, die die Verpflichtung, zwei vollständige Fingerabdrücke in das Speichermedium aufzunehmen, mit sich bringt, die Grenzen des absolut Notwendigen einhalten.

3) Zum Vorliegen einer Gewichtung zwischen einerseits der Schwere des Eingriffs in die betroffenen Grundrechte und andererseits den mit dieser Maßnahme verfolgten Zielsetzungen.

i) Zur Schwere des Eingriffs, der durch die Einschränkung der Ausübung der in den Artt. 7 und 8 der Charta garantierten Rechte bewirkt wird.

In die Beurteilung der Schwere des Eingriffs, den eine Einschränkung der in den Artt. 7 und 8 der Charta garantierten Rechte bewirkt, sind die Art der betroffenen personenbezogenen Daten, insbesondere der möglicherweise sensible Charakter dieser Daten, sowie die Art und die konkreten Modalitäten der Datenverarbeitung, u. a. die Zahl der Personen, die Zugang zu diesen Daten haben, und die Modalitäten des Zugangs zu diesen Daten, einzubeziehen. Gegebenenfalls ist auch zu berücksichtigen, ob diese Daten nicht Gegenstand missbräuchlicher Verarbeitungen sind.

Im vorliegenden Fall kann die sich aus der Verordnung 2019/1157 ergebende Einschränkung der Ausübung der in den Artt. 7 und 8 der Charta garantierten Rechte zwar eine große Zahl von Personen betreffen, wobei diese Zahl von der Kommission in ihrer Folgenabschätzung auf 370 Millionen der damals 440 Millionen Einwohner der Union geschätzt wurde. Fingerabdrücke sind als biometrische Daten naturgemäß besonders sensibel und genießen, wie u. a. aus dem 51. Erwägungsgrund der DS-GVO hervorgeht, im Unionsrecht einen besonderen Schutz.

Die Erfassung und Speicherung von zwei vollständigen Fingerabdrücken ist nach der Verordnung 2019/1157 jedoch nur im Hinblick auf die Aufnahme dieser Fingerabdrücke in das Speichermedium von Personalausweisen gestattet.

Des Weiteren ergibt sich aus Art.  3 Abs.  5 i.V.m. Art.  10 Abs. 3 der Verordnung, dass, sobald diese Aufnahme erfolgt und der Personalausweis der betroffenen Person ausgehändigt worden ist, die erfassten Fingerabdrücke ausschließlich auf dem Speichermedium dieses Ausweises gespeichert werden, der sich grundsätzlich im physischen Besitz der betroffenen Person befindet.

Schließlich sieht die Verordnung 2019/1157 eine Reihe von Garantien vor, die die Risiken begrenzen sollen, dass bei ihrer Durchführung personenbezogene Daten zu anderen Zwecken als zur Erreichung der mit ihr verfolgten Ziele erhoben oder verwendet werden, und zwar nicht nur in Bezug auf die Vorgänge der Verarbeitung personenbezogener Daten, die diese Verordnung zwingend vorschreibt, sondern auch im Hinblick auf die hauptsächlichen Verarbeitungen, denen die in das Speichermedium der Personalausweise aufgenommenen Fingerabdrücke unterzogen werden können.

Was erstens die Datenerfassung betrifft, sieht Art.  10 Abs. 1 und 2 der Verordnung 2019/1157 vor, dass biometrische Identifikatoren „ausschließlich durch qualifiziertes und ordnungsgemäß befugtes Personal erfasst“ werden und dass dieses Personal „angemessene und wirksame Verfahren für die Erfassung biometrischer Identifikatoren“ einhalten muss, wobei diese Verfahren den in der Charta, in der EMRK und im Übereinkommen der Vereinten Nationen über die Rechte des Kindes verankerten Rechten und Grundsätzen entsprechen müssen. Zudem enthält Art. 3 Abs. 7 der Verordnung, wie in Rn. 93 des vorliegenden Urteils ausgeführt, Sonderregelungen für Kinder unter zwölf Jahren (UAbs. 1 und 2) sowie für Personen, bei denen eine Abnahme von Fingerabdrücken physisch nicht möglich ist (UAbs. 3), wobei die letztgenannten Personen „von der Pflicht zur Abgabe von Fingerabdrücken befreit“ sind.

Was zweitens die Speicherung der Daten betrifft, verpflichtet die Verordnung 2019/1157 zum einen die Mitgliedstaaten, ein Gesichtsbild und zwei Fingerabdrücke als biometrische Daten zu speichern. Insoweit stellt der 21. Erwägungsgrund der Verordnung ausdrücklich klar, dass diese „keine Rechtsgrundlage für die Einrichtung oder Aufrechterhaltung von Datenbanken auf nationaler Ebene zur Speicherung biometrischer Daten in den Mitgliedstaaten [darstellt], zumal es sich dabei um eine Frage des nationalen Rechts handelt, welches dem Unionsrecht im Bereich Datenschutz entsprechen muss“ und sie auch „keine Rechtsgrundlage für die Einrichtung oder Aufrechterhaltung einer zentralen Datenbank auf der Ebene der Union“ darstellt. Zum anderen sieht Art. 10 Abs. 3 der Verordnung vor, dass diese „biometrischen Identifikatoren … ausschließlich bis zu dem Tag der Abholung des Dokuments und keinesfalls länger als 90 Tage ab dem Tag der Ausstellung des Dokuments gespeichert“ werden, und stellt klar, dass „die biometrischen Identifikatoren [nach diesem Zeitraum] umgehend gelöscht oder vernichtet“ werden.

Daraus ergibt sich insbesondere, dass Art.  10 Abs.  3 der Verordnung 2019/1157 es den Mitgliedstaaten nicht gestattet, biometrische Daten zu anderen als den in dieser Verordnung vorgesehenen Zwecken zu verarbeiten. Außerdem steht diese Bestimmung einer zentralen Speicherung von Fingerabdrücken entgegen, die über die vorläufige Speicherung dieser Abdrücke zum Zweck der Personalisierung von Personalausweisen hinausgeht.

Schließlich weist Art.  11 Abs.  6 der Verordnung 2019/1157 auf die Möglichkeit hin, dass die im sicheren Speichermedium enthaltenen biometrischen Daten gemäß dem Unionsrecht und dem nationalen Recht von ordnungsgemäß befugten Mitarbeitern der zuständigen nationalen Behörden und Agenturen der Union verwendet werden dürfen.

Was Art. 11 Abs. 6 Buchst. a) der Verordnung betrifft, erlaubt diese Bestimmung die Verwendung von auf dem Speichermedium von Personalausweisen und Aufenthaltsdokumenten gespeicherten biometrischen Daten nur, um den Personalausweis oder das Aufenthaltsdokument auf seine Echtheit zu überprüfen.

Art. 11 Abs. 6 Buchst. b) der Verordnung 2019/1157 sieht vor, dass die auf dem Speichermedium von Personalausweisen und Aufenthaltsdokumenten gespeicherten biometrischen Daten zur Überprüfung der Identität des Inhabers „anhand direkt verfügbarer abgleichbarer Merkmale …, wenn die Vorlage des Personalausweises oder Aufenthaltsdokuments gesetzlich vorgeschrieben ist“, verwendet werden können. Da eine solche Verarbeitung jedoch geeignet ist, zusätzliche Informationen über das Privatleben der betroffenen Personen zu liefern, kann sie nur zu Zwecken, die strikt auf die Identifizierung der betroffenen Person beschränkt sind, und unter durch gesetzliche Bestimmungen über die Vorlage des Personalausweises oder des Aufenthaltsdokuments genau abgegrenzten Voraussetzungen erfolgen.

Was drittens die Abfrage der auf dem Speichermedium von Personalausweisen gespeicherten biometrischen Daten anbelangt, ist darauf hinzuweisen, dass der 19. Erwägungsgrund der Verordnung 2019/1157 eine Rangfolge bei der Verwendung der Mittel zur Überprüfung der Echtheit des Dokuments und der Identität des Inhabers aufstellt, indem er vorsieht, dass die Mitgliedstaaten „vorrangig das Gesichtsbild überprüfen“ müssen und, falls zur zweifelsfreien Bestätigung der Echtheit des Dokuments und der Identität des Inhabers notwendig, „auch die Fingerabdrücke“.

Was viertens das Risiko des unbefugten Zugriffs auf die gespeicherten Daten betrifft, sieht Art. 3 Abs. 5 und 6 der Verordnung 2019/1157 zur Reduzierung dieses Risikos auf ein Minimum vor, dass die Fingerabdrücke auf einem „hochsicheren Speichermedium“ gespeichert werden, das „eine ausreichende Kapazität [aufweist] und geeignet [ist], die Integrität, die Authentizität und die Vertraulichkeit der Daten sicherzustellen“. Zudem geht aus Art. 3 Abs. 10 dieser Verordnung hervor, dass dann, wenn „die Mitgliedstaaten im Personalausweis Daten für elektronische Dienste wie elektronische Behördendienste und den elektronischen Geschäftsverkehr [speichern], … diese nationalen Daten physisch oder logisch getrennt sein [müssen]“, insbesondere von Fingerabdrücken, die auf der Grundlage der Verordnung erhoben und gespeichert wurden. Schließlich ergibt sich aus den Erwägungsgründen 41 und 42 sowie aus Art. 11 Abs. 4 dieser Verordnung, dass die Mitgliedstaaten für die ordnungsgemäße Verarbeitung biometrischer Daten verantwortlich bleiben, auch wenn sie mit externen Dienstleistungsanbietern zusammenarbeiten.

ii) Zur Bedeutung der verfolgten Zielsetzungen

Wie in Rn. 86 des vorliegenden Urteils ausgeführt, zielt die Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen darauf ab, die Herstellung gefälschter Personalausweise und den Identitätsdiebstahl zu bekämpfen sowie die Interoperabilität der Systeme zur Überprüfung von Identitätsdokumenten zu gewährleisten. Insoweit ist sie geeignet, zum Schutz des Privatlebens der betroffenen Personen sowie im weiteren Sinne zur Bekämpfung von Kriminalität und Terrorismus beizutragen.

Des Weiteren ermöglicht es eine solche Maßnahme, sowohl dem Bedürfnis jedes Unionsbürgers nachzukommen, über ein Mittel zu verfügen, um sich zuverlässig zu identifizieren, als auch dem der Mitgliedstaaten, sich zu vergewissern, dass den Personen, die sich auf durch das Unionsrecht anerkannte Rechte berufen, diese Rechte auch tatsächlich zustehen. Sie trägt somit insbesondere dazu bei, den Unionsbürgern die Ausübung ihres Freizügigkeits- und Aufenthaltsrecht zu erleichtern, das ebenfalls ein in Art. 45 der Charta verbürgtes Grundrecht ist. Somit haben die mit der Verordnung 2019/1157, insbesondere durch die Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen, verfolgten Zielsetzungen nicht nur für die Union und die Mitgliedstaaten, sondern auch für die Unionsbürger besondere Bedeutung.

Im Übrigen werden die Legitimität und Bedeutung dieser Zielsetzungen nicht durch den vom vorlegenden Gericht angeführten Umstand in Frage gestellt, dass in den Rn. 24 bis 26 der Stellungnahme 7/2018 darauf hingewiesen wurde, dass zwischen 2013 und 2017 nur 38 870 gefälschte Personalausweise festgestellt worden seien und dass diese Zahl seit mehreren Jahren abnehme.

Selbst wenn man nämlich von einer geringen Zahl der gefälschten Personalausweise ausginge, war der Unionsgesetzgeber nicht verpflichtet, bis zum Anstieg dieser Zahl zu warten, um Maßnahmen zur Vermeidung des Risikos der Verwendung solcher Ausweise zu erlassen, sondern konnte, insbesondere im Interesse der Risikokontrolle, eine solche Entwicklung vorwegnehmen, sofern die übrigen Voraussetzungen in Bezug auf die Achtung des Grundsatzes der Verhältnismäßigkeit gewahrt wurden.

iii) Abwägung

Nach alledem ist festzustellen, dass die Einschränkung der Ausübung der in den Artt.  7 und 8 der Charta garantierten Rechte, die sich aus der Aufnahme von zwei Fingerabdrücken in das Speichermedium von Personalausweisen ergibt, angesichts der Art der in Rede stehenden Daten, der Art und der Modalitäten der Verarbeitungsvorgänge sowie der vorgesehenen Schutzmechanismen nicht so schwer erscheint, dass sie außer Verhältnis zur Bedeutung der verschiedenen mit dieser Maßnahme verfolgten Zielsetzungen stünde. Somit ist davon auszugehen, dass eine solche Maßnahme auf einer ausgewogenen Gewichtung zwischen diesen Zielsetzungen und den betroffenen Grundrechten beruht.

Folglich verstößt die Einschränkung der Ausübung der in den Artt. 7 und 8 der Charta garantierten Rechte nicht gegen den Grundsatz der Verhältnismäßigkeit, so dass der dritte Ungültigkeitsgrund nicht zur Ungültigkeit der Verordnung 2019/1157 zu führen vermag.

Nach alledem ist die Verordnung 2019/1157, soweit sie auf der Grundlage von Art.  21 Abs.  2 AEUV erlassen wurde, ungültig.

IV. Zur Aufrechterhaltung der zeitlichen Wirkungen der Verordnung 2019/1157

Aus Gründen der Rechtssicherheit können die Wirkungen eines für ungültig erklärten Rechtsakts aufrechterhalten werden, insbesondere wenn die unmittelbaren Auswirkungen des Urteils, mit dem diese Ungültigkeit festgestellt wird, schwerwiegende negative Folgen für die Betroffenen hätten (vgl. i.d.S. Urt. v. 17.03.2016, Parlament/Kommission, C-286/14, EU:C:2016:183, Rn. 67).

Im vorliegenden Fall könnte die Ungültigerklärung der Verordnung 2019/1157 mit sofortiger Wirkung schwerwiegende negative Folgen für eine erhebliche Zahl von Unionsbürgern, insbesondere für ihre Sicherheit im Raum der Freiheit, der Sicherheit und des Rechts, haben.