62023CJ0200_RES
Rechtssache C‑200/23
Agentsia po vpisvaniyata
gegen
OL
(Vorabentscheidungsersuchen des Varhoven administrativen sad)
Urteil des Gerichtshofs (Erste Kammer) vom 4. Oktober 2024
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Veröffentlichung eines Gesellschaftsvertrags, der personenbezogene Daten enthält, im Handelsregister – Richtlinie (EU) 2017/1132 – Nicht obligatorische personenbezogene Daten – Keine Einwilligung der betroffenen Person – Recht auf Löschung – Immaterieller Schaden“
Niederlassungsfreiheit – Gesellschaften – Richtlinie 2017/1132 – Verpflichtung eines Mitgliedstaats, die Offenlegung eines Gesellschaftsvertrags, der personenbezogene Daten enthält, im Handelsregister zuzulassen – Offenlegung von Daten, die nach nationalem Recht nicht vorgeschrieben ist – Keine Verpflichtung
(Richtlinie 2017/1132 des Europäischen Parlaments und des Rates, Art. 21 Abs. 2)
(vgl. Rn. 54, 55, 60 und Tenor 1)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Begriff „Verantwortlicher“ – Begriff „Empfänger der Daten“ – Für das Handelsregister eines Mitgliedstaats zuständige Stelle, die in einem Gesellschaftsvertrag enthaltene personenbezogene Daten veröffentlicht – Einbeziehung – Vertrag, der personenbezogene Daten enthält, die weder nach der Richtlinie 2017/1132 noch nach nationalem Recht vorgeschrieben sind – Keine Auswirkung
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 4 Nrn. 7 und 9; Richtlinie 2017/1132 des Europäischen Parlaments und des Rates)
(vgl. Rn. 66, 72-76, 83 und Tenor 2)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten – Verarbeitung, die zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen erforderlich ist – Veröffentlichung personenbezogener Daten, die in einem Gesellschaftsvertrag enthalten sind – Personenbezogene Daten, die weder nach der Richtlinie 2017/1132 noch nach nationalem Recht vorgeschrieben sind – Ausschluss – Einstufung der Veröffentlichung als Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt – Voraussetzungen – Erforderlichkeit der Verarbeitung
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e; Richtlinie 2017/1132 des Europäischen Parlaments und des Rates)
(vgl. Rn. 94-96, 105-112, 114-116)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht auf Löschung – Umfang – Rechtswidrige Verarbeitung personenbezogener Daten – Einbeziehung – Rechtmäßige Verarbeitung personenbezogener Daten – Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt – Ausschluss – Ausnahme – Vorliegen zwingender schutzwürdiger Gründe für die Verarbeitung, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen – Beweislast, die dem Verantwortlichen obliegt
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 6 Abs. 1 Buchst. e, Art. 17 Abs. 1 Buchst. c und d sowie Art. 21 Abs. 1)
(vgl. Rn. 118-120)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht auf Löschung – Verpflichtung einer für das Handelsregister eines Mitgliedstaats zuständigen nationalen Stelle, jeden Antrag auf Löschung von nicht geschwärzten Daten abzulehnen – Personenbezogene Daten, die weder nach der Richtlinie 2017/1132 noch nach nationalem Recht vorgeschrieben sind – Unzulässigkeit
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 17; Richtlinie 2017/1132 des Europäischen Parlaments und des Rates, Art. 16)
(vgl. Rn. 127 und Tenor 3)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Begriff „personenbezogene Daten“ – Eigenhändige Unterschrift einer natürlichen Person – Einbeziehung
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 4 Nr. 1)
(vgl. Rn. 131, 133-136 und Tenor 4)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Haftung und Recht auf Schadenersatz – Anspruch auf Ersatz eines entstandenen Schadens – Immaterieller Schaden – Begriff – Verlust der Kontrolle über personenbezogene Daten – Einbeziehung – Voraussetzungen – Beweislast für einen immateriellen Schaden, die der betroffenen Person obliegt – Pflicht zum Nachweis zusätzlicher spürbarer negativer Folgen – Fehlen
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 82 Abs. 1)
(vgl. Rn. 140-146, 156 und Tenor 5)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Haftung und Recht auf Schadenersatz – Haftung des Verantwortlichen und Verpflichtung zum Ersatz des einer betroffenen Person entstandenen Schadens – Befreiung – Reichweite – Abgabe einer beratenden Stellungnahme gegenüber dem Verantwortlichen zu Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, durch eine Aufsichtsbehörde – Keine Haftungsbefreiung einer nationalen Stelle, die Verantwortlicher ist
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 4 Nr. 7, Art. 58 Abs. 3 Buchst. b und Art. 82 Abs. 1 bis 3)
(vgl. Rn. 171, 172, 174, 176 und Tenor 6)
Zusammenfassung
Auf ein Vorabentscheidungsersuchen des Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien) äußert sich der Gerichtshof zu einer Reihe von Fragen, die im Wesentlichen das Verhältnis zwischen dem Unionsrecht im Bereich der Offenlegung von Gesellschaftsurkunden (
1
) und der DSGVO (
2
) betreffen.
OL ist Gesellschafterin der „Praven Shtit Konsulting“ OOD, einer Gesellschaft mit beschränkter Haftung bulgarischen Rechts, die in das Handelsregister eingetragen wurde, nachdem ein Gesellschaftsvertrag eingereicht worden war. Dieser Vertrag, der von der Agentsia po vpisvaniyata (Agentur für Eintragungen, Bulgarien, im Folgenden: Agentur) in der Form offengelegt wurde, in der er eingereicht worden war, enthält mehrere personenbezogene Daten der Gesellschafter, einschließlich ihrer Namen, Vornamen, Personalausweisnummern, Anschriften und Unterschriften.
Im Jahr 2021 beantragte OL bei der Agentur die Löschung ihrer in diesem Vertrag enthaltenen personenbezogenen Daten. Gegen die Ablehnung dieses Antrags durch die Agentur erhob OL vor dem Administrativen sad Dobrich (Verwaltungsgericht Dobrich, Bulgarien) zwei Klagen. Mit Urteil vom 5. Mai 2022 verurteilte dieses Gericht die Agentur, OL den immateriellen Schaden nach der DSGVO zu ersetzen (
3
). Da die Agentur mit diesem Urteil nicht zufrieden war, legte sie Kassationsbeschwerde beim vorlegenden Gericht ein.
Das vorlegende Gericht fragt sich, wie die Regelung über das Recht auf Schutz personenbezogener Daten mit der Regelung, die die Offenlegung und den Zugang zu bestimmten Urkunden von Gesellschaften gewährleiste, in Einklang zu bringen ist, und hat daher den Gerichtshof um Vorabentscheidung ersucht.
Würdigung durch den Gerichtshof
Was als Erstes die Reichweite der freiwilligen Offenlegung von Angaben einschließlich personenbezogener Daten in Gesellschaftsurkunden betrifft, stellt der Gerichtshof fest, dass sich die Bestimmung der Richtlinie 2017/1132, die die freiwillige Offenlegung der die Gesellschaft betreffenden Urkunden und Angaben betrifft (
4
), nur auf deren Übersetzungen, nicht jedoch auf deren Inhalt bezieht. Folglich kann sie nicht dahin ausgelegt werden, dass sie irgendeine Verpflichtung zur Offenlegung von Daten auferlegt, deren Offenlegung weder durch andere Bestimmungen des Unionsrechts noch durch das Recht des betreffenden Mitgliedstaats vorgeschrieben ist, die aber in einer Urkunde enthalten sind, die der Offenlegungspflicht nach dieser Richtlinie (
5
) unterliegt. Somit erlegt diese Bestimmung einem Mitgliedstaat keine Verpflichtung auf, die Offenlegung eines Gesellschaftsvertrags im Handelsregister zuzulassen, der der Offenlegungspflicht nach dieser Richtlinie unterliegt und der über die erforderlichen personenbezogenen Mindestdaten hinaus weitere personenbezogene Daten enthält, deren Offenlegung nach dem Recht dieses Mitgliedstaats nicht vorgeschrieben ist.
Als Zweites stellt der Gerichtshof fest, dass die für die Führung des Handelsregisters eines Mitgliedstaats zuständige Stelle, die darin die personenbezogenen Daten veröffentlicht, die in einem Gesellschaftsvertrag enthalten sind, der der Offenlegungspflicht nach der Richtlinie 2017/1132 unterliegt und im Rahmen eines Antrags auf Eintragung der Gesellschaft in das Register übermittelt wurde, sowohl „Empfänger“ dieser Daten als auch – insbesondere indem sie diese der Öffentlichkeit zugänglich macht – für die Verarbeitung dieser Daten „Verantwortlicher“ (
6
) ist, selbst wenn dieser Vertrag Daten enthält, die nach dieser Richtlinie oder dem Recht dieses Mitgliedstaats nicht vorgeschrieben sind.
In diesem Zusammenhang weist der Gerichtshof darauf hin, dass es nach der Richtlinie 2017/1132 Sache der Mitgliedstaaten ist, unter Beachtung des Unionsrechts u. a. festzulegen, welche Kategorien von Informationen über die mit den Gesellschaften verbundenen Personen und insbesondere welche Arten von personenbezogenen Daten der Pflicht zur Offenlegung unterliegen.
Ferner führt der Gerichtshof aus, dass die mit der Führung des Registers betraute Stelle, indem sie die personenbezogenen Daten, die sie im Zusammenhang mit einem Antrag auf Eintragung einer Gesellschaft in das Handelsregister eines Mitgliedstaats erhalten hat, in das Register einträgt, sie darin aufbewahrt, sie gegebenenfalls auf Antrag an Dritte übermittelt und sie im nationalen Amtsblatt oder durch eine Maßnahme gleicher Wirkung veröffentlicht, eine Verarbeitung personenbezogener Daten vornimmt, für die sie „Verantwortlicher“ ist. Diese Verarbeitungen personenbezogener Daten unterscheiden sich nämlich von der bei dieser Stelle eingehenden Übermittlung der personenbezogenen Daten durch die Person, die die Eintragung beantragt, und folgen dieser Übermittlung zeitlich nach. Außerdem werden sie allein von dieser Stelle gemäß den Zwecken und Modalitäten vorgenommen, die in der Richtlinie 2017/1132 und in den Rechtsvorschriften des Mitgliedstaats zur Umsetzung dieser Richtlinie festgelegt sind.
Was als Drittes das etwaige Recht der betroffenen Person auf Löschung (
7
) anbelangt, prüft der Gerichtshof in einem ersten Schritt, aus welchen Rechtmäßigkeitsgründen die Verarbeitung ihrer personenbezogenen Daten möglicherweise erfolgt.
Was zum Einen die Frage betrifft, ob diese Verarbeitung erforderlich ist, um eine rechtliche Verpflichtung zu erfüllen, die sich aus dem Unionsrecht oder dem Recht eines Mitgliedstaats ergibt, dem der für die Verarbeitung Verantwortliche unterliegt (
8
), stellt der Gerichtshof fest, dass die Richtlinie 2017/1132 nicht die systematische Verarbeitung aller personenbezogenen Daten vorschreibt, die in einer Urkunde enthalten sind, die der in dieser Richtlinie vorgesehenen Offenlegungspflicht unterliegt. Vielmehr muss jede Verarbeitung personenbezogener Daten im Zusammenhang mit dieser Richtlinie den sich aus der DSGVO ergebenden Anforderungen vollständig entsprechen. Somit obliegt es den Mitgliedstaaten, darauf zu achten, die Ziele der Rechtssicherheit und des Schutzes der Interessen Dritter, die mit der Richtlinie 2017/1132 verfolgt werden, und die in der DSGVO verankerten Rechte miteinander in Einklang zu bringen.
Daher ist die durch Online-Bereitstellung im Handelsregister bewirkte öffentliche Zugänglichmachung nach der Richtlinie 2017/1132 oder den im Ausgangsverfahren in Rede stehenden nationalen Rechtsvorschriften nicht erforderlicher personenbezogener Daten, die in einem Gesellschaftsvertrag enthalten sind, der der in dieser Richtlinie vorgesehenen Offenlegungspflicht unterliegt und der Agentur übermittelt wurde, nicht durch das Erfordernis gerechtfertigt, die Offenlegung der in dieser Richtlinie genannten Urkunden zu gewährleisten, und ergibt sich somit nicht aus einer im Unionsrecht vorgesehenen rechtlichen Verpflichtung. Zudem dürfte die Rechtmäßigkeit der betreffenden Verarbeitung – vorbehaltlich der Prüfung durch das vorlegende Gericht – auch nicht auf einer rechtlichen Verpflichtung nach dem nationalen Recht beruhen.
Zum Anderen stellt der Gerichtshof zur Erforderlichkeit der betreffenden Verarbeitung für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe (
9
) fest, dass die Verarbeitung zwar offenbar anlässlich einer solchen Aufgabe erfolgte. Jedoch scheint sie über das hinauszugehen, was zur Erreichung der verfolgten im allgemeinen Interesse liegenden Ziele erforderlich ist.
Insofern weist der Gerichtshof darauf hin, dass das Erfordernis, die Integrität und Zuverlässigkeit der nach der Richtlinie 2017/1132 offenlegungspflichtigen Urkunden der Gesellschaften zu wahren, das die Veröffentlichung dieser Urkunden in der Form gebietet, in der sie den für die Führung des Handelsregisters zuständigen Stellen übermittelt worden sind, nicht systematisch Vorrang vor dem Recht auf Schutz personenbezogener Daten haben kann, weil dessen Schutz andernfalls illusorisch wäre. Insbesondere kann dieses Erfordernis es nicht gebieten, personenbezogene Daten, die weder nach dieser Richtlinie noch nach nationalem Recht erforderlich sind, in diesem Register online öffentlich zugänglich zu halten, obwohl die Agentur eine nach diesem Recht vorgesehene, um nicht erforderliche Daten bereinigte Kopie der Urkunde der betreffenden Gesellschaft im Hinblick auf diese Bereitstellung selbst erstellen könnte.
In einem zweiten Schritt weist der Gerichtshof darauf hin, dass, falls das vorlegende Gericht nach seiner Beurteilung zu dem Ergebnis gelangen sollte, dass die betreffende Verarbeitung rechtswidrig war, die Agentur als Verantwortlicher die betreffenden Daten unverzüglich zu löschen hätte.
Sollte dieses Gericht jedoch zu dem Schluss kommen, dass die Verarbeitung tatsächlich zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist, insbesondere weil die durch Online-Bereitstellung im Handelsregister bewirkte öffentliche Zugänglichmachung nach der Richtlinie 2017/1132 oder den nationalen Rechtsvorschriften nicht erforderlicher personenbezogener Daten notwendig war, um eine Verzögerung der Eintragung der betroffenen Gesellschaft im Interesse des Schutzes Dritter zu vermeiden, wäre zu prüfen, ob zwingende schutzwürdige Gründe (
10
) vorliegen, die möglicherweise die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen und dem Löschungsantrag entgegenstehen könnten.
Daher hat der Gerichtshof festgestellt, dass die Richtlinie 2017/1132 und die DSGVO dahin auszulegen sind, dass sie einer Regelung oder Praxis eines Mitgliedstaats entgegenstehen, die dazu führt, dass die mit der Führung des Handelsregisters dieses Mitgliedstaats betraute Stelle jeden Antrag auf Löschung von nach dieser Richtlinie oder dem Recht dieses Mitgliedstaats nicht erforderlichen personenbezogenen Daten ablehnt, die in einem in diesem Register offengelegten Gesellschaftsvertrag enthalten sind, wenn dieser Stelle entgegen den in dieser Regelung vorgesehenen Verfahrensmodalitäten keine Kopie dieses Vertrags vorgelegt wurde, in der diese Daten unkenntlich gemacht wurden.
Schließlich hat der Gerichtshof – im Zuge seiner Ausführungen zur Haftungsregelung nach der DSGVO und konkreter zur Wirkung einer von der Aufsichtsbehörde eines Mitgliedstaats abgegebenen Stellungnahme in diesem Rahmen – darauf hingewiesen, dass nach der DSGVO (
11
) die Abgabe einer solchen Stellungnahme zu den beratenden Befugnissen und nicht zu den Genehmigungsbefugnissen der Aufsichtsbehörde gehört. Außerdem weisen die verwendeten Begriffe darauf hin, dass eine solche Stellungnahme nach dem Unionsrecht rechtlich nicht bindend ist. Somit kann die betreffende Stellungnahme für sich genommen kein Nachweis dafür sein, dass der Verantwortliche selbst nicht für den Schaden verantwortlich ist, und reicht daher nicht aus, ihn von der Haftung nach der DSGVO zu befreien. Folglich reicht eine solche Stellungnahme nicht aus, um die mit der Führung des Handelsregisters eines Mitgliedstaats betraute Stelle, die Verantwortlicher ist, von der Haftung zu befreien.
(
1
)	Richtlinie (EU) 2017/1132 des Europäischen Parlaments und des Rates vom 14. Juni 2017 über bestimmte Aspekte des Gesellschaftsrechts (ABl. 2017, L 169, S. 46).
(
2
)	Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
(
3
)	Nach Art. 82 DSGVO.
(
4
)	Art. 21 Abs. 2 der Richtlinie 2017/1132.
(
5
)	Art. 14 der Richtlinie 2017/1132.
(
6
)	Im Sinne von Art. 4 Nr. 7 bzw. Art. 4 Nr. 9 DSGVO.
(
7
)	Nach Art. 17 DSGVO.
(
8
)	Rechtmäßigkeitsgrund nach Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO.
(
9
)	Rechtmäßigkeitsgrund nach Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO.
(
10
)	Nach Art. 17 Abs. 1 Buchst. c in Verbindung mit Art. 21 Abs. 1 DSGVO.
(
11
)	Art. 58 Abs. 3 Buchst. b DSGVO.