Handbuch Hamburger Polizei- und Ordnungsrecht für Studium und Praxis

i) Gesetzgebungskompetenzen und Entstehung eines europäischen Rechts der inneren Sicherheit

37

Trotz der Feststellung einer „verfassungsfesten Integrationsschranke“ (s. dazu A.II.1.g.) durch das Bundesverfassungsgericht und trotz der Verankerung des Ordre-public-Vorbehalts (s. dazu A.II.1.f.) im Primärrecht der EU, unterliegt das Recht im Bereich des RFSR seit dem Vertrag von Lissabon einer zunehmenden Europäisierung.80 Während das Recht der EU/EG zunächst primär auf Polizeikooperation ausgerichtet war, hat sich in den letzten Jahren ein Paradigmenwechsel vollzogen hin zu einer Annäherung der mitgliedstaatlichen Sicherheitsrechtsordnungen.81 Dies geschah durch die Auflösung der mit dem Vertrag von Maastricht eingeführten Säulenstruktur und der damit einhergehenden Überführung der einschlägigen Artikel in den Titel V AEUV mit dem Vertrag von Lissabon (s. dazu A.II.1.a.) sowie die Einführung weiterer Kompetenzen der Union, etwa zur Ergreifung von Maßnahmen gegen Terrorismusfinanzierung, Art. 75 AEUV, der polizeilichen Zusammenarbeit, Art. 87 AEUV, sowie der Verhängung von Wirtschaftssanktionen, Art. 215 AEUV.82

38

Der Vertrag von Lissabon sieht nun zu einigen ausgewählten Themen ausdrücklich eine Harmonisierung in Form von Mindeststandards vor, zum Beispiel bei der Zulassung von Beweismitteln, bei den Individualrechten im Strafverfahren und beim Opferschutz, Art. 82 Abs. 2 AEUV. Auch bei der Festlegung von Minimumstandards bei Straftaten „in Bereichen besonders schwerer Kriminalität“ ist eine Harmonisierung möglich. In Art. 83 Abs. 1 AEUV werden genannt: „Terrorismus, Menschenhandel und sexuelle Ausbeutung von Frauen und Kindern, illegaler Drogenhandel, illegaler Waffenhandel, Geldwäsche, Korruption, Fälschung von Zahlungsmitteln, Computerkriminalität und organisierte Kriminalität“.

39

Die EU kann zudem die nationale Kriminalprävention fördern, ohne jedoch harmonisieren zu dürfen, Art. 84 AEUV.

40

Eurojust hat den Auftrag, die Koordinierung und Zusammenarbeit zwischen den nationalen Behörden zu unterstützen und zu verstärken, die für die Ermittlung und Verfolgung von schwerer Kriminalität zuständig sind, wenn zwei oder mehr Mitgliedstaaten betroffen sind oder eine Verfolgung auf gemeinsamer Grundlage erforderlich ist, Art. 85 Abs. 1 Satz 1 AEUV. Eurojust stützt sich dabei auf die von den Behörden der Mitgliedstaaten und von Europol durchgeführten Operationen und gelieferten Informationen, Art. 85 Abs. 1 Satz 2 AEUV. Erstmals ist auch die Kompetenz vorgesehen, Ermittlungsmaßnahmen einzuleiten oder nationalen Stellen die Einleitung von Strafverfolgungsmaßnahmen vorzuschlagen, Art. 85 Abs. 1 lit. a AEUV.

41

Art. 86 AEUV sieht die Errichtung einer Europäischen Staatsanwaltschaft (EUStA) vor. Im Jahr 2017 wurde dieses Ziel von 20 Mitgliedstaaten in Form der sog. Verstärkten Zusammenarbeit nach Art. 86 Abs. 1 UAbs. 2 AEUV (s. A.II.1.g.) umgesetzt. Inzwischen beteiligen sich hieran 22 Mitgliedstaaten.83 Die EUStA mit Sitz in Luxemburg soll im November 2020 ihren Betrieb aufnehmen. Am 14. 10. 2019 hat der Europäische Rat Laura Codruţa Kövesi als erste Europäische Generalstaatsanwältin ernannt.84 Die EUStA wird als erste unabhängige und dezentrale Staatsanwaltschaft der EU befugt sein, Straftaten gegen den EU-Haushalt wie beispielsweise Betrug, Korruption und schweren grenzüberschreitenden Mehrwertsteuerbetrug zu untersuchen, strafrechtlich zu verfolgen und vor Gericht zu bringen, Art. 86 Abs. 1, Abs. 2 AEUV.

42

Gesetzgebungskompetenzen im Bereich polizeiliche Zusammenarbeit bestehen für Unterstützungs- und Koordinationsaufgaben für die mitgliedstaatlichen Behörden.85 Hier geht es um die Gewinnung und Verarbeitung von Informationen, Art. 87 Abs. 2 lit. a AEUV, die Unterstützung in der Aus- und Weiterbildung, die Zusammenarbeit beim Personalaustausch sowie im Hinblick auf Ausrüstungsgegenstände und die kriminaltechnische Forschung, Art. 87 Abs. 2 lit. b AEUV, und gemeinsame Ermittlungstechniken zur Aufdeckung schwerwiegender Formen organisierter Kriminalität, Art. 87 Abs. 2 lit. c AEUV.

43

Eine Intensivierung der operativen polizeilichen Zusammenarbeit ermöglicht Art. 87 Abs. 3 AEUV. Bislang erfolgt die operative Zusammenarbeit insbesondere im Wege der grenzüberschreitenden Observation, der grenzüberschreitenden Nacheile, des Austauschs von Verbindungsbeamten, der Bildung gemeinsamer Ermittlungsgruppen und kontrollierter Lieferungen.86 Nun stellt die RL (EU) 2014/41 über die Europäische Ermittlungsanordnung in Strafsachen Regelungen zur Beweiserhebung in grenzüberschreitenden Fällen zur Verfügung. Danach kann der Anordnungsstaat eine Ermittlungsanordnung erlassen, aufgrund derer der Vollstreckungsstaat zur Durchführung von Ermittlungsmaßnahmen verpflichtet wird.87 Dabei gilt der GrundSatz der gegenseitigen Anerkennung, Art. 82 AEUV (dazu näher A.II.1.e.).

44

Die primärrechtliche Grundlage für die Tätigkeit von Europol findet sich seit dem Vertrag von Lissabon in Art. 88 AEUV. Danach hat Europol den Auftrag, „die Tätigkeit der Polizeibehörden und der anderen Strafverfolgungsbehörden der Mitgliedstaaten sowie deren gegenseitige Zusammenarbeit bei der Verhütung und Bekämpfung der zwei oder mehr Mitgliedstaaten betreffenden schweren Kriminalität, des Terrorismus und der Kriminalitätsformen, die ein gemeinsames Interesse verletzen, das Gegenstand einer Politik der Union ist, zu unterstützen und zu verstärken“.

45

Die in Art. 16 Abs. 2 AEUV geschaffene Kompetenz für den Datenschutz und den freien Datenverkehr hat sich als (nicht unumstrittenes) Einfallstor für eine teilweise Harmonisierung des mitgliedstaatlichen sicherheitsrechtlichen Datenschutzrechts erwiesen (dazu ausführlich A.II.1.b.).88 Unter Rückgriff auf Art. 16 Abs. 2 AEUV hat die EU im Rahmen des sog. Europäischen Datenschutzpakets 2016/1889 mitgliedstaatliches Datenschutzrecht, insbesondere das der Gefahrenabwehr- und Strafverfolgungsbehörden durch die DSRL-JI, teilharmonisiert.90

46

Inzwischen ist im RFSR ein komplexes europäisches Recht der inneren Sicherheit entstanden, ein Nebeneinander von nationalstaatlichem Recht, supranationalem Recht und Völkerrecht.91 Dies hat spürbare Auswirkungen in mehreren Rechtsbereichen, so z. B. im Staatsorganisationsrecht, bei den Grundrechten, im Polizeirecht, Strafprozessrecht oder Datenschutzrecht. So dürften etwa nach der Teilharmonisierung des Datenschutzrechts für die mitgliedstaatlichen Gefahrenabwehr- und Strafverfolgungsbehörden durch die DSRL-JI (s. dazu A.II.2.) die so geschaffenen mitgliedstaatlichen Normen künftig wohl z. T. an den Unionsgrundrechten zu messen sein. Auf eine Vollharmonisierung im Bereich der DSGVO hat das BVerfG Ende 2019 mit einer geradezu spektakulären Rechtsprechungsänderung reagiert: Es überprüft die Anwendung vollharmonisierten Rechts durch die deutsche Gewalt nun am Maßstab der Unionsgrundrechte (dazu näher A.II.2.c.). Auf die Kompetenzverteilung im Deutschen Bundesstaat hat die Rechtsentwicklung im RSFR ebenfalls Einfluss: Hier ist ein Trend zur „Entförderalisierung“92 durch Kompetenzverlust der Bundesländer zu verzeichnen, indem der Spielraum der Bundesländer für die Regelung des Polizeirechts durch europäische Regelungen verkleinert wird.93 Auf die Frage, wer die Gesetze vollzieht (Bund oder Länder), wirkt sich die zunehmende „Transnationalisierung“ ebenfalls aus: Denn Anlaufstellen für europäische Kooperationen sind meist Bundesbehörden, als zentrale Knotenpunkte internationaler Vernetzung der Polizeibehörden.94

2. Sekundärrechtliche Anforderungen nach der Datenschutzreform 2016: Die Richtlinie (EU) 2016/680 (DSRL-JI)

a) Vorbemerkung

47

In der Rechtsetzungspraxis im Bereich des RFSR am meisten Anwendung finden die unmittelbar und allgemein geltenden Verordnungen, die Richtlinien, die hinsichtlich der Ziele verbindlich sind und zunächst von den Mitgliedstaaten in ihr nationales Recht umgesetzt werden müssen, sowie die Beschlüsse der EU-Organe. Auf Grundlage der primärrechtlichen Zuständigkeiten der EU im Bereich des RFSR wurde eine Vielzahl von Verordnungen und Richtlinien erlassen.

48

Wegen der besonderen Bedeutung für die Europäisierung des Rechts der inneren Sicherheit wird hier die DSRL-JI (Richtlinie [EU] 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI)95 als Teil der Datenschutzreform von 2016 kurz behandelt. Diese soll „zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts beitragen“96.

49

Die DSRL-JI ist Teil eines Datenschutzreformpakets, das auch die deutlich bekanntere Datenschutzgrundverordnung (DSGVO)97 umfasst. Um die DSRL-JI umzusetzen, waren/sind sowohl auf Bundes- als auch auf Landesebene hunderte betroffene Gesetze anzupassen, so etwa das Bundeskriminalamtsgesetz98, das Bundesdatenschutzgesetz99, die Strafprozessordnung100, das Bundespolizeigesetz101 und viele mehr. Auch auf Ebene der Länder waren zahlreiche Datenschutz- und Polizeigesetze102 anzupassen.

b) Kompetenzgrundlage

50

Die DSRL-JI wurde unter Bezugnahme auf die EU-Kompetenz in Art. 16 Abs. 2 AEUV (Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und über den freien Datenverkehr) verabschiedet.103 Diese Kompetenzgrundlage ist nicht unumstritten, auch wenn – anders als etwa bei der DSGVO – vergleichsweise wenig davon von der Öffentlichkeit wahrgenommen wurde: Kritiker verweisen auf den Annexcharakter des Datenschutzrechts. Die EU dürfe nur dann Gesetze über den Schutz natürlicher Personen bei der mitgliedstaatlichen Verarbeitung der benötigten personenbezogener Daten erlassen, wenn auch der Bereich, für den Daten verarbeitet werden, dem Unionsrecht unterfällt.104 Wer den bereichsspezifischen Datenschutz im Polizeirecht reguliere, reguliere auch das Polizeirecht. Denn im Polizeirecht sei das bereichsspezifische Datenschutzrecht vom Fachrecht gar nicht mehr zu trennen. Der Datenschutz löse hier einen „Kompetenzsog der EU“ aus.105 Durch die DSRL-JI finde zudem eine Teilharmonisierung im Bereich der inneren Sicherheit (Polizeirecht, Strafrecht) statt, der grundsätzlich der mitgliedstaatlichen Souveränität unterliege.106 Einige nationale Parlamente hatten aufgrund dieser Befürchtung im Vorfeld die sog. Subsidiaritätsrüge erhoben (s. A.II.1.d.).

51

Nach Auffassung der EU-Kommission soll die DSRL-JI „sicherstellen, dass Strafverfolgungs- und Justizbehörden effektiver und schneller zusammenarbeiten können. Sie soll Vertrauen aufbauen und Rechtssicherheit garantieren“107. Voraussetzung für einen effektiven Datenschutz sei, dass die Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten harmonisiert werden.108 Indem die DSRL-JI den Besonderheiten des Strafverfolgungs- und Gefahrenabwehrrechts spezifisch Rechnung tragen soll,109 ist sie grundsätzlich lex specialis im Verhältnis zur DSGVO (Art. 2 Abs. 2 lit. d DSGVO).110

c) Anwendungsbereich

52

Nach Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 DSRL-JI gilt diese für die Verarbeitung personenbezogener Daten „zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“.

53

Die unionsrechtlich autonome Auslegung der Tatbestandsmerkmale wirft dabei viele Fragen auf:111

aa) Behördenbegriff

54

„Zuständige Behörde“ nach Art. 3 Ziff. 7 DSRL-JI112 ist aufgabenbezogen und nicht in einem institutionellen Sinne zu bestimmen.113 Auch Behörden, die nicht Polizeibehörden im Sinne der Landespolizeigesetze sind, können demnach Behörden im Sinne der DSRL-JI darstellen.114 Nach Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 DSRL-JI kommt es darauf an, dass von der Stelle eine Verarbeitung personenbezogener Daten vorgenommen wird „zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“.

55

Nach dem Willen des Richtliniengebers (vgl. ErwGr 11 und Art. 9 Abs. 2 DSRL-JI) gilt, wenn Behörden mit der Wahrnehmung von Aufgaben betraut sind, die sich nicht mit den für die in Art. 1 Abs. 1 DSRL-JI genannten Zwecke wahrgenommenen Aufgaben decken, ist nicht die DSRL-JI, sondern die DSGVO anwendbar.

bb) Ganz oder teilweise automatisierte Datenverarbeitung

56

Die DSRL-JI „gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“ (Art. 2 Abs. 2 DSRL-JI). Lediglich „Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind“, unterfallen nicht den Bestimmungen der DSRL-JI, vgl. ErwGr 18 DSRL-JI. Dagegen unterfallen strukturierte Behördenakten samt der dort enthaltenen personenbezogenen Daten – unabhängig, ob sie elektronisch oder in Papierform geführt werden – vollumfänglich den Regelungen der Richtlinie. Um Umgehungen zu vermeiden, ist die Richtlinie nach dem Willen des EU-Gesetzgebers insoweit technologieneutral.115 Nur rein „manuelle Maßnahmen“, z. B. eine Personenkontrolle, werden als solche nicht von der DSRL-JI erfasst. Werden hierbei allerdings die erlangten Daten mit einer Datei abgeglichen oder gespeichert, ist der Anwendungsbereich der DSRL-JI wieder eröffnet.116 Auf die gängigen Vorgangs- und Fallbearbeitungssysteme findet die DSRL-JI somit Anwendung. Dies gilt auch für den Einsatz ganz oder teilweise automatisierter Ermittlungstechniken, wie die Durchführung einer Telekommunikationsüberwachung, einer Online-Durchsuchung, einer Videoüberwachung, den Betrieb von automatisierten Kfz-Kennzeichenerfassungssystemen, den Einsatz eines IMSI-Catchers oder die Durchführung von Big Data-Analysen.117

cc) Verfahren, die der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten dienen

57

Weil die DSRL-JI auch auf Verfahren Anwendung findet, die der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten dienen, sind auch diejenigen Verfahren umfasst, die etwa auf die Verhängung einer Maßregel der Besserung und Sicherung gerichtet sind, und Ordnungswidrigkeitenverfahren.118 Eine Behörde, die z. B. Bußgeldbescheide erlässt und ein Ordnungswidrigkeitenverfahren durchführt, ist mithin Behörde im Sinne von Art. 3 Nr. 7 lit. a DSRL-JI.119

58

Ebenfalls von der DSRL-JI erfasst werden – neben der ausdrücklich erwähnten Strafvollstreckung (§§ 449 ff. StPO) – der Strafvollzug gem. Strafvollzugsgesetzen der Länder, soweit datenschutzrechtlich relevante Maßnahmen während der Freiheitsentziehung getroffen werden.120

dd) Nicht straftatenbezogene Gefahrenabwehr

59

Uneinigkeit besteht noch bei der Frage, wann nicht straftatbezogene Gefahrenabwehrmaßnahmen unter die DSRL-JI fallen. Einig ist man sich, dass der Wortlaut insofern ernst zu nehmen ist, als dass auch gewisse Ausschnitte des präventiven Bereiches unter die Richtlinie zu fassen sind.121

60

Teilweise wird die Geltung der DSRL-JI verneint, wenn die Polizei ohne Bezug zu Straftaten, in Fällen der Selbstgefährdung, zum Schutz privater Rechte122 oder im Rahmen einer Vermisstenanzeige tätig wird. Denn es handele sich hierbei um Maßnahmen, bei denen aus ex-ante-Sicht gar kein Bezug zu einer Straftat oder Ordnungswidrigkeit bestehe.123 Teilweise wird als maßgebliches Abgrenzungskriterium darauf abgestellt, ob die Behörde die Gefahr mittels Zwangsanwendung beseitigt.124 In den ErwGr 12 der DSRL-JI werden Beispiele für sog. doppel-funktionale Maßnahmen genannt, die erfasst sein sollen:

„Die Tätigkeiten der Polizei oder anderer Strafverfolgungsbehörden sind hauptsächlich auf die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten ausgerichtet, dazu zählen auch polizeiliche Tätigkeiten in Fällen, in denen nicht von vornherein bekannt ist, ob es sich um Straftaten handelt oder nicht. Solche Tätigkeiten können ferner die Ausübung hoheitlicher Gewalt durch Ergreifung von Zwangsmitteln umfassen, wie polizeiliche Tätigkeiten bei Demonstrationen, großen Sportveranstaltungen und Ausschreitungen. Sie umfassen auch die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe, die der Polizei oder anderen Strafverfolgungsbehörden übertragen wurde, soweit dies zum Zweck des Schutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen für durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer Straftat führen können, erforderlich ist. (…)“

61

Hier wird ein weit gefasster Präventionsbereich zugrunde gelegt. Unter Bezugnahme auf diese Beispiele in den Erwägungsgründen wird geschlussfolgert, dass jedenfalls bei doppel-funktionalen Maßnahmen, die ihren Schwerpunkt in der Gefahrenabwehr haben, die DSRL-JI anwendbar ist.125 Wegen der Unklarheit der Abgrenzung empfahl der Europäische Datenschutzbeauftragte 2015 eine enge Auslegung des Begriffs „Abwehr von Gefahren für die öffentliche Sicherheit“.126

62

Sonstiges datenschutzrelevantes Verwaltungshandeln der Polizei (beispielsweise im Rahmen der Personalaktenführung) unterliegt nicht der DSRL-JI, sondern der DSGVO.127 Auch wenn allgemeine Gefahrenabwehrbehörden, die nicht Polizeivollzugsbehörden sind, zur Gefahrenabwehr tätig werden und keine Ordnungswidrigkeitenverfahren durchführen, gilt die DSRL-JI nicht (§ 45 BSDG).128

ee) Öffentliche Sicherheit

63

Auch der Begriff der öffentlichen Sicherheit in der DSRL-JI ist unionsautonom zu bestimmen und insoweit weiter als der polizeirechtliche Begriff.

64

Vom Begriff der „öffentliche Sicherheit“ ist laut EuGH „sowohl die innere als auch die äußere Sicherheit eines Mitgliedstaats umfasst, sodass die Beeinträchtigung des Funktionierens der Einrichtungen des Staates und seiner wichtigen öffentlichen Dienste sowie das Überleben der Bevölkerung ebenso wie die Gefahr einer erheblichen Störung der auswärtigen Beziehungen oder des friedlichen Zusammenlebens der Völker oder eine Beeinträchtigung der militärischen Interessen die öffentliche Sicherheit berühren können“. Der EuGH hat außerdem entschieden, dass der Begriff „öffentliche Sicherheit“ die Bekämpfung der mit bandenmäßigem Handel mit Betäubungsmitteln verbundenen Kriminalität oder des Terrorismus umfasst.129

d) Auswirkungen auf den Grundrechtsschutz im Sicherheitsrecht der Mitgliedstaaten

65

Nicht einfach zu beschreiben ist das Verhältnis zwischen den unionsrechtlich garantierten und den nationalen Datenschutzgrundrechten. Nach Auffassung des EuGH gelten die Unionsgrundrechte im – von dem Gericht sehr weit verstandenen – Anwendungsbereich des Unionsrechts.130 Das bedeutet, dass das sog. EU-Sekundärrecht (Verordnungen und Richtlinien) im Lichte der Unionsgrundrechte ausgelegt und angewandt werden muss. Weil das Datenschutzrecht in den Mitgliedstaaten sehr weitgehend vom EU-Sekundärrecht bestimmt wird, dürfte hier nur noch wenig Raum verbleiben, in welchem Unionsgrundrechte keine Anwendung fänden.131 Der EuGH wird also künftig im Bereich der DSRL-JI eine Bindung an die Unionsgrundrechte annehmen.132 Die in Umsetzung der DSRL-JI geschaffenen mitgliedstaatlichen Normen werden also – zumindest teilweise – an den Unionsgrundrechten zu messen sein.133 Damit werden die Unionsgrundrechte künftig einen besonders sensiblen Regelungsbereich erfassen, insbesondere mitgliedstaatliches Polizeirecht, d. h. gerade den Bereich, der regelmäßig als Prüfstein der Rechtsstaatlichkeit, insbesondere des Grundrechtsschutzes eines Mitgliedstaates gilt.134 Das hat weitreichende Folgen: Verletzt hier eine auf der DSRL-JI basierende Eingriffsermächtigung Unionsgrundrechte, müssen deutsche Fachgerichte diese Norm unangewendet lassen. Der EuGH wird hier künftig die grundrechtlichen Schutzgehalte festlegen.135 Während die Bedeutung des EuGH hierdurch erweitert wird, dürfte der Entscheidungsspielraum des BVerfG in diesem bedeutsamen Grundrechtsbereich erheblich schwinden.136

66

Dies bildet auch den Hintergrund der jüngsten Rechtsprechung des BVerfG: Für den Bereich des vollharmonisierten mitgliedstaatlichen Rechts, wie etwa im Bereich des Datenschutzrechts der DSGVO, hat sich das BVerfG im Jahr 2019 mit seiner Entscheidung „Recht auf Vergessen II“137 neu positioniert. Bei der Anwendung unionsrechtlich vollständig vereinheitlichter Regelungen seien nach dem Grundsatz des Anwendungsvorrangs des Unionsrechts in aller Regel nicht die Grundrechte des Grundgesetzes, sondern allein die Unionsgrundrechte maßgeblich.138 Das BVerfG greift deshalb bei der grundrechtlichen Überprüfung der Rechtsanwendung durch die deutsche Gewalt im Bereich der DSGVO auf die Grundrechte-Charta zurück.139 Andere mitgliedstaatliche Verfassungsgerichte verfahren bereits ähnlich.140 Das BVerfG unterstreicht aber zugleich, dass dem EuGH die Befugnis zur letztverbindlichen Auslegung der Unionsgrundrechte verbleibt und es seine Kontrolle in enger Kooperation mit diesem Gericht ausübt.141 Das BVerfG überprüfe (nur) die richtige Anwendung der Unionsgrundrechte. Es bezeichnet sich insoweit als letztentscheidende Instanz gem. Art. 267 Abs. 3 AEUV und sei demnach bei Zweifeln bei der Auslegung zur Vorlage an den EuGH verpflichtet.142 Eine Anwendung der Unionsgrundrechte komme nur in Betracht, wenn der EuGH deren Auslegung bereits geklärt habe oder die anzuwendenden Auslegungsgrundsätze aus sich heraus offenkundig seien.143 Andernfalls seien die Fragen dem EuGH vorzulegen.144 Damit bleibt das BVerfG auch bei einem unionsrechtlich vollständig überformten deutschen Recht Hüter des individuellen Grundrechtsschutzes. Maßstab des Gerichts bei der Überprüfung der Anwendung des EU-Recht durch die deutsche Gewalt sind hier aber dann nicht die verdrängten deutschen Grundrechte, sondern diejenigen der Grundrechte-Charta der EU.