1.

Anmodningen om præjudiciel afgørelse fra Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager, Tyskland) vedrører fortolkningen og gyldigheden af artikel 38, stk. 3, andet punktum, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) ( 2 ).

2.

Anmodningen er blevet indgivet i forbindelse med en tvist mellem LH og hendes arbejdsgiver, Leistritz AG, vedrørende opsigelsen af hendes ansættelsesforhold begrundet i en omstrukturering af virksomhedens afdelinger, selv om LH i henhold til gældende tysk ret, som følge af, at hun er udpeget som databeskyttelsesrådgiver, kun kan opsiges af en vægtig grund, uden at opsigelsesfristen overholdes.

3.

Jeg vil i dette forslag til afgørelse redegøre for grundene til, at jeg er af den opfattelse, at forbuddet mod afskedigelse af databeskyttelsesrådgiveren i henhold til artikel 38, stk. 3, andet punktum, i forordning 2016/679 ikke følger af en harmonisering af materielle arbejdsretlige regler, hvilket åbner mulighed for, at medlemsstaterne i overensstemmelse med det mål, der forfølges med denne forordning, i deres nationale ordninger kan styrke beskyttelsen af databeskyttelsesrådgiveren på forskellige områder.

4.

Følgende fremgår af 10., 13. og 97. betragtning til forordning 2016/679:

[…]

[…]

5.

Denne forordnings artikel 1 med overskriften »Genstand og formål« bestemmer i stk. 1:

»I denne forordning fastsættes regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af personoplysninger.«

6.

Nævnte forordnings artikel 37 med overskriften »Udpegelse af en databeskyttelsesrådgiver« er i stk. 1 og 4-6 affattet som følger:

»1.   Den dataansvarlige og databehandleren udpeger altid en databeskyttelsesrådgiver, når:

[…]

4.   I andre tilfælde end de i stk. 1 omhandlede kan eller, når det kræves i henhold til EU-retten eller medlemsstaternes nationale ret, skal den dataansvarlige eller databehandleren eller sammenslutninger og andre organer, som repræsenterer kategorier af dataansvarlige eller databehandlere, udpege en databeskyttelsesrådgiver. Databeskyttelsesrådgiveren kan handle på vegne af sådanne sammenslutninger og andre organer, som repræsenterer dataansvarlige eller databehandlere.

5.   Databeskyttelsesrådgiveren udpeges på grundlag af sine faglige kvalifikationer, navnlig ekspertise inden for databeskyttelsesret og -praksis samt evne til at udføre de opgaver, der er omhandlet i artikel 39.

6.   Databeskyttelsesrådgiveren kan være den dataansvarliges eller databehandlerens medarbejder eller kan udføre hvervet på grundlag af en tjenesteydelseskontrakt.«

7.

Af denne forordnings artikel 38 med overskriften »Databeskyttelsesrådgiverens stilling« fremgår følgende:

»1.   Den dataansvarlige og databehandleren sikrer, at databeskyttelsesrådgiveren inddrages tilstrækkeligt og rettidigt i alle spørgsmål vedrørende beskyttelse af personoplysninger.

[…]

3.   Den dataansvarlige og databehandleren sikrer, at databeskyttelsesrådgiveren ikke modtager instrukser vedrørende udførelsen af disse opgaver. Den pågældende må ikke afskediges eller straffes af den dataansvarlige eller databehandleren for at udføre sine opgaver. Databeskyttelsesrådgiveren rapporterer direkte til det øverste ledelsesniveau hos den dataansvarlige eller databehandleren.

4.   Registrerede kan kontakte databeskyttelsesrådgiveren angående alle spørgsmål om behandling af deres oplysninger og om udøvelse af deres rettigheder i henhold til denne forordning.

5.   Databeskyttelsesrådgiveren er underlagt tavshedspligt eller fortrolighed vedrørende udførelsen af sine opgaver i overensstemmelse med EU-retten eller medlemsstaternes nationale ret.

6.   Databeskyttelsesrådgiveren kan udføre andre opgaver og have andre pligter. Den dataansvarlige eller databehandleren sikrer, at sådanne opgaver og pligter ikke medfører en interessekonflikt.«

8.

I artikel 39 i forordning 2016/679 fastlægges databeskyttelsesrådgiverens vigtigste opgaver.

9.

§ 6 i Bundesdatenschutzgesetz (forbundslov om databeskyttelse, Tyskland) af 20. december 1990 ( 3 ), i den affattelse, der var gældende fra den 25. maj 2018 til den 25. november 2019 ( 4 ), hvilken bestemmelse har overskriften »Stillingen«, fastsætter i stk. 4:

»Afskedigelse af databeskyttelsesrådgiveren er kun tilladt ved analog anvendelse af § 626 i Bürgerliches Gesetzbuch [(borgerlig lovbog)]. Det er ulovligt at opsige ansættelsesforholdet, medmindre der foreligger omstændigheder, som begrunder, at det offentlige organ kan opsige det af en vægtig grund, uden at opsigelsesfristen overholdes. Efter ophøret af arbejdet som databeskyttelsesrådgiver er det ulovligt at opsige ansættelsesforholdet inden for et år, medmindre det offentlige organ er berettiget til at opsige ansættelsesforholdet af en vægtig grund, uden at opsigelsesfristen overholdes.«

10.

I BDSG’s § 38 med overskriften »Databeskyttelsesrådgiver for ikke-offentlige organer« bestemmes følgende:

»(1)   Som supplement til artikel 37, stk. 1, litra b) og c), i forordning […] 2016/679 udpeger den dataansvarlige og databehandleren en databeskyttelsesrådgiver, for så vidt som de som regel fast beskæftiger mindst ti personer[ ( 5 )] med automatiseret behandling af personoplysninger. […]

(2)   § 6, stk. 4, § 6, stk. 5, andet punktum, og § 6, stk. 6, finder anvendelse, idet § 6, stk. 4, dog kun finder anvendelse, når udpegelsen af en databeskyttelsesrådgiver er obligatorisk.«

11.

§ 134 i den borgerlige lovbog, i den affattelse, der blev bekendtgjort den 2. januar 2002 ( 6 ), hvilken bestemmelse har overskriften »Lovbestemt forbud«, har følgende ordlyd:

»En retshandel, der er i strid med et lovbestemt forbud, er ugyldig, medmindre andet følger af loven.«

12.

Af den borgerlige lovbogs § 626 med overskriften »Opsigelse uden varsel af en vægtig grund« fremgår følgende:

»(1)   Tjenesteforholdet kan opsiges af begge parter af en vægtig grund, uden at opsigelsesfristen overholdes, når der foreligger omstændigheder, på grund af hvilke det under hensyntagen til alle omstændighederne i det enkelte tilfælde og efter en afvejning af begge parters interesser ikke kan kræves af den opsigende part, at tjenesteforholdet fortsættes indtil udløbet af opsigelsesfristen eller indtil det aftalte tidspunkt for tjenesteforholdets ophør.

(2)   Opsigelsen kan kun ske inden for to uger. Fristen begynder at løbe på det tidspunkt, hvor den opsigelsesberettigede får kendskab til de omstændigheder, der er afgørende for opsigelsen. […]«

13.

Leistritz er en privatretligt organiseret virksomhed, der i henhold til tysk lovgivning er forpligtet til at udpege en databeskyttelsesrådgiver. LH arbejdede fra den 15. januar 2018 i denne virksomhed som teamleder for den juridiske afdeling (»Teamleiter Recht«) og var fra den 1. februar 2018 desuden virksomhedens interne databeskyttelsesrådgiver.

14.

Ved skrivelse af 13. juli 2018 opsagde Leistritz LH’s ansættelsesforhold ordinært med virkning fra den 15. august 2018 og påberåbte sig derved en omstrukturering af virksomheden, i forbindelse med hvilken virksomhedens interne juridiske funktioner såvel som området for databeskyttelse blev udliciteret.

15.

De tidligere instanser, for hvilke LH havde gjort gældende, at opsigelsen var ugyldig, fastslog, at LH som databeskyttelsesrådgiver i henhold til BDSG’s § 38, stk. 2, sammenholdt med samme lovs § 6, stk. 4, andet punktum, kun kunne opsiges ekstraordinært af en vægtig grund (»aus wichtigem Grund«) Den af Leistritz beskrevne omstrukturering udgør imidlertid ikke en vægtig grund for en ekstraordinær opsigelse.

16.

Den forelæggende ret, som behandler den af Leistritz indgivne revisionsanke, har påpeget, at opsigelsen af LH i medfør af tysk lovgivning er ugyldig i henhold til disse bestemmelser og den borgerlige lovbogs § 134 ( 7 ). Den nævnte ret har dog anført, at spørgsmålet, om sådanne bestemmelser finder anvendelse, afhænger af, om en ordning i en medlemsstat, hvorefter en opsigelse af en databeskyttelsesrådgivers ansættelsesforhold er knyttet til strengere betingelser end i henhold til EU-retten, er tilladt i henhold til EU-retten, navnlig artikel 38, stk. 3, andet punktum, i forordning 2016/679. Såfremt dette ikke er tilfældet, påhviler det den forelæggende ret at tage revisionsanken til følge.

17.

Under disse omstændigheder har Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

18.

LH, Leistritz, den tyske og den rumænske regering såvel som Europa-Parlamentet, Rådet for Den Europæiske Union og Europa-Kommissionen har indgivet skriftlige indlæg. Disse parter, med undtagelse af den tyske og den rumænske regering, har afgivet mundtlige indlæg i retsmødet, som blev afholdt den 18. november 2021.

19.

Den forelæggende ret ønsker med det første spørgsmål nærmere bestemt oplyst, om artikel 38, stk. 3, andet punktum, i forordning 2016/679 skal fortolkes således, at denne bestemmelse er til hinder for en national ordning, som fastsætter, at en databeskyttelsesrådgivers arbejdsgiver kun kan opsige denne af en vægtig grund, selv når opsigelsen ikke er forbundet med databeskyttelsesrådgiverens udførelse af sine opgaver.

20.

Besvarelsen af dette spørgsmål forudsætter for det første, at det præciseres, hvad formuleringen »afskediges […] for at udføre sine opgaver«, som EU-lovgiver har anvendt i artikel 38, stk. 3, andet punktum, i forordning 2016/679, dækker over. For det andet skal det fastlægges, hvorvidt medlemsstaterne har mulighed for at udvide de garantier, som databeskyttelsesrådgiveren er omfattet af i henhold til denne bestemmelse.

21.

Artikel 38 i forordning 2016/679 optræder i denne forordnings kapitel IV om »[den] [d]ataansvarlige og databehandler[en]«, specifikt i afdeling 4 med overskriften »Databeskyttelsesrådgiver«. Denne afdeling indeholder tre artikler, der omhandler henholdsvis udpegelse af en databeskyttelsesrådgiver ( 8 ), dennes stilling ( 9 ) og dennes opgaver, som i det væsentlige består i at give personlig rådgivning om databehandling og at overvåge overholdelsen af databeskyttelsesreglerne ( 10 ).

22.

Med henblik på fortolkningen af artikel 38, stk. 3, andet punktum, i forordning 2016/679 skal der ifølge Domstolens faste praksis ikke blot tages hensyn til denne bestemmelses ordlyd, men også til den sammenhæng, hvori den indgår, og til de mål, der forfølges med den lovgivning, som den er en del af ( 11 ).

23.

Hvad angår ordlyden af artikel 38, stk. 3, andet punktum, i forordning 2016/679 noterer jeg, at der heri kommer en negativt formuleret forpligtelse til udtryk. Det fastsættes nemlig heri, at »[databeskyttelsesrådgiveren] [ikke] må […] afskediges eller straffes af den dataansvarlige eller databehandleren for at udføre sine opgaver« ( 12 ).

24.

Denne bestemmelse fastsætter således den ydre afgrænsning vedrørende beskyttelsen af databeskyttelsesrådgiveren. Sidstnævnte er for det første beskyttet mod enhver afgørelse, hvorved den pågældendes hverv ville blive bragt til ophør, eller hvorved den pågældende ville blive påført en ulempe, når for det andet en sådan afgørelse indtræffer i forbindelse med den pågældendes udførelse af sine opgaver.

25.

For så vidt angår sondringen mellem den foranstaltning, der består i afskedigelse af databeskyttelsesrådgiveren, og den, hvorved den pågældende straffes, konstaterer jeg for det første, at der ikke er nogen bestemmelse i forordning 2016/679, som udtrykkeligt eller stiltiende definerer disse foranstaltninger ( 13 ).

26.

Det kan efter en sammenlignende undersøgelse af andre sprogversioner fastslås, at der i artikel 38, stk. 3, andet punktum, i forordning 2016/679 er omhandlet to slags foranstaltninger, nærmere bestemt foranstaltninger, hvorved databeskyttelsesrådgiverens hverv bringes til ophør, og foranstaltninger, der, uanset hvilken sammenhæng de indgår i, udgør sanktioner eller stiller databeskyttelsesrådgiveren ugunstigt. Disse definitioner kan følgelig omfatte opsigelser, hvorved arbejdsgiveren bringer et ansættelsesforhold til ophør ( 14 ).

27.

Resultaterne af min søgning vedrørende den lovgivningsmæssige tilblivelseshistorie for artikel 38 i forordning 2016/679, som jeg har kunnet få adgang til, gør det i mangel af detaljerede oplysninger ikke muligt at bringe klarhed over EU-lovgivers nøjagtige hensigt hvad angår rækkevidden af formuleringen »afskediges«. Det kan alene konstateres, at den redaktionelle tilføjelse med hensyn til afskedigelse indtraf sent i den lovgivningsproces ( 15 ), under hvilken der samtidig blev fjernet følgende sætningsled, som optrådte efter »[d]en dataansvarlige [og] databehandleren sikrer, at databeskyttelsesrådgiveren«: »kan handle på uafhængig vis under udførelsen af sine opgaver« ( 16 ). Det kunne heraf udledes, at EU-lovgiver har ønsket at tydeliggøre forpligtelsen til ikke at afskedige databeskyttelsesrådgiveren for at udføre sine opgaver.

28.

Jeg noterer ligeledes, at EU-lovgiver har valgt at gengive den nøjagtige ordlyd af artikel 38, stk. 3, andet punktum, i forordning 2016/679 i artikel 44, stk. 3, andet punktum, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF ( 17 ). Der kan imidlertid ikke af dokumentationen om udarbejdelsen af forordning 2018/1725 udledes nærmere angivelser, hvilket efter min opfattelse er begrundet ved indføjelsen i artikel 44, stk. 8, af en væsentlig garanti, der gives databeskyttelsesrådgiveren, nemlig at denne »[kun] kan […] afskediges af den eller det af Unionens institutioner eller organer, som udpegede vedkommende, hvis den pågældende ikke længere opfylder de krav, der stilles for udførelsen af vedkommendes opgaver, og kun med samtykke fra Den Europæiske Tilsynsførende for Databeskyttelse«.

29.

For det andet noterer jeg, at der i artikel 38, stk. 3, andet punktum, i forordning 2016/679 ikke sondres i forhold til, hvorvidt databeskyttelsesrådgiveren er eller ikke er den dataansvarliges eller databehandlerens medarbejder ( 18 ). Denne forordning indeholder nemlig ingen bestemmelse om det indbyrdes forhold mellem beslutninger, som arbejdsgiveren træffer inden for rammerne af tjenesteforholdet, og beslutninger, der er knyttet til databeskyttelsesrådgiverens hverv. Den eneste afgrænsning vedrører grundene til, at databeskyttelsesrådgiverens hverv ikke kan bringes til ophør, dvs. enhver grund, der er knyttet til den pågældendes udførelse af sine opgaver.

30.

Hvad angår det mål, som EU-lovgiver har forfulgt, begrunder dette den generelle formulering, der præger affattelsen af artikel 38, stk. 3, andet punktum, i forordning 2016/679, såvel som valget af denne afgrænsning.

31.

Det præciseres nemlig i udkastet til Rådets begrundelse, at formålet med at udpege en databeskyttelsesrådgiver er at forbedre overholdelsen af forordning 2016/679 ( 19 ). Det er af denne grund, at der i denne forordnings artikel 38, stk. 3, andet punktum, fastsættes en række forpligtelser, der er egnede til at sikre databeskyttelsesrådgiverens uafhængighed. Således fremgår det af samme artikel, at databeskyttelsesrådgiveren ikke må modtage instrukser vedrørende udførelsen af sine opgaver, og at den pågældende skal rapportere direkte til det øverste ledelsesniveau hos den dataansvarlige eller databehandleren ( 20 ). Databeskyttelsesrådgiveren er ligeledes underlagt tavshedspligt eller fortrolighed ( 21 ).

32.

Der er på denne måde lagt vægt på at sætte strenge rammer for databeskyttelsesrådgiverens hverv, hvilket er særligt begrundet, når databeskyttelsesrådgiveren udpeges af en dataansvarlig, som er dennes arbejdsgiver. Gennem forbuddet i artikel 38, stk. 3, andet punktum, i forordning 2016/679 sikres følgelig bestemte beføjelser, der tildeles databeskyttelsesrådgiveren med henblik på dennes udførelse af sine opgaver, men som i visse tilfælde kan være vanskelige at forene med de beføjelser, som arbejdsgiveren fastlægger inden for rammerne af tjenesteforholdet.

33.

Den analyse, hvorefter denne bestemmelse alene har til formål at sætte databeskyttelsesrådgiveren i stand til at udføre sit hverv på uafhængig vis, bestyrkes af den sammenhæng, hvori bestemmelsen blev vedtaget.

34.

Det skal i denne henseende fremhæves, at genstanden for forordning 2016/679 i henhold til artikel 1 heri er at fastsætte regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af personoplysninger. Forordningen blev således vedtaget på grundlag af artikel 16, stk. 2, TEUF ( 22 ), hvilket, således som jeg har redegjort for i et tidligere forslag til afgørelse, fører til den antagelse, at den harmonisering, der foretages i denne forordning – selv om beskyttelsen af personoplysninger efter sin karakter er tværgående – begrænser sig til de aspekter, der er specifikt omfattet af den nævnte forordning på dette område ( 23 ).

35.

Af samtlige disse grunde hersker der efter min opfattelse ingen tvivl om, at den specifikke beskyttelse af databeskyttelsesrådgiveren i henhold til artikel 38, stk. 3, andet punktum, i forordning 2016/679 er særegen for genstanden for denne forordning, for så vidt som denne beskyttelse styrker databeskyttelsesrådgiverens autonomi. Den falder dermed ikke ind under det bredere område vedrørende beskyttelse af arbejdstagere ( 24 ).

36.

Som følge heraf melder sig atter spørgsmålet om, hvorvidt medlemsstaterne, ud over de specifikke aspekter, der er omfattet af forordning 2016/679, frit kan fastsætte regler under forudsætning af, at indholdet og formålene med denne forordning ikke derved berøres ( 25 ).

37.

Det formål med forordning 2016/679, der fremgår af 13. betragtning hertil, og i overensstemmelse med hvilket EU-lovgiver i denne forordnings artikel 38, stk. 3, andet punktum ( 26 ) har sikret databeskyttelsesrådgiverens uafhængighed generelt, begrunder efter min opfattelse, at det skal være muligt for en medlemsstat at træffe enhver yderligere foranstaltning, som sigter mod at styrke databeskyttelsesrådgiverens autonomi under dennes udførelse af sine opgaver.

38.

Denne analyse er hverken i modstrid med virkningerne af en forordning, således som disse er defineret i artikel 288, stk. 2, TEUF, eller med den deraf følgende forpligtelse for medlemsstaterne til ikke at fravige en forordning, der er bindende i alle enkeltheder, og som gælder umiddelbart, eller supplere den, medmindre den pågældende forordning indeholder bestemmelser, hvorved medlemsstaterne indrømmes en manøvremargin, som disse alt efter omstændighederne kan eller skal gøre brug af under de forudsætninger og inden for de begrænsninger, som fremgår af disse bestemmelser ( 27 ).

39.

Jeg gentager derfor min opfattelse, hvorefter omfanget af den harmonisering, der foretages i forordning 2016/679, er forskelligt alt afhængigt af, hvilke bestemmelser der er tale om. Fastlæggelsen af denne forordnings normative rækkevidde kræver således en undersøgelse i hvert enkelt tilfælde ( 28 ).

40.

Jeg noterer i denne henseende, at der i artikel 38, stk. 3, andet punktum, i forordning 2016/679 fastsættes et forbud mod afskedigelse af databeskyttelsesrådgiveren, alene for så vidt som afskedigelsen er forbundet med databeskyttelsesrådgiverens – antageligvis korrekte – udførelse af sine opgaver ( 29 ), uden at der indføres en angivelse af grovheden med hensyn til den påberåbte grund, eller at der tages højde for de forskellige aspekter af underordnelsesforholdet til arbejdsgiveren, der kan indvirke på udpegelsen af den pågældende. Der er således f.eks. ikke taget højde for ansættelsesforholdets varighed eller for en personlig eller økonomisk begrundelse for opsigelsen heraf, som i givet fald vil kunne være genstand for forhandling, og ej heller for en afbrydelse af tjenesteforholdet på grund af sygdom, efter- eller videreuddannelse, årlig ferie eller længerevarende orlov.

41.

EU-lovgivers hensigt om at overlade til medlemsstaterne at supplere bestemmelserne til beskyttelse af databeskyttelsesrådgiverens uafhængighed på grundlag af nogle lovgivningsmæssige rammer, der med hensyn til databeskyttelsesrådgiverens udførelse af sine opgaver er minimale, og som fastlægges ud fra formålene med forordning 2016/679, kommer derudover ligeledes til udtryk ved, at der ikke er nogen forskrift om varigheden af databeskyttelsesrådgiverens hverv – i modsætning til i artikel 44, stk. 8, første punktum, i forordning 2018/1725 – ( 30 ) eller, som i den foreliggende sag, om det tilfælde, hvor en omstrukturering af en virksomhed bevirker, at databeskyttelsesrådgiverens funktioner udliciteres af grunde, der ikke er forbundet med dennes udførelse af sit hverv.

42.

Som følge heraf kan medlemsstaterne beslutte at styrke databeskyttelsesrådgiverens uafhængighed, for så vidt som databeskyttelsesrådgiveren bidrager til at gennemføre formålene med forordning 2016/679, mere specifikt vedrørende opsigelse, eftersom der ikke findes nogen EU-retlig bestemmelse, der kan tjene som grundlag for en særlig, konkret beskyttelse af databeskyttelsesrådgiveren mod opsigelse af en grund, der er uafhængig af dennes udførelse af sine opgaver, selv om opsigelsen af tjenesteforholdet nødvendigvis bevirker, at disse opgaver bringes til ophør.

43.

Der erindres i denne henseende om, at det på området for beskyttelse af arbejdstagere ved ophævelse af en arbejdskontrakt i artikel 153, stk. 1, litra d), TEUF præciseres, at Unionen støtter og supplerer medlemsstaternes indsats, og om, at Unionen og medlemsstaterne, mere generelt, i medfør af artikel 4, stk. 2, litra b), TEUF på området for social- og arbejdsmarkedspolitik for så vidt angår de aspekter, der er fastlagt i EUF-traktaten, deler kompetence i den forstand, hvori udtrykket er anvendt i artikel 2, stk. 2, TEUF.

44.

Under disse omstændigheder kan den enkelte medlemsstat frit fastsætte særlige bestemmelser vedrørende opsigelse af databeskyttelsesrådgiveren, forudsat at disse bestemmelser er forenelige med den ordning til beskyttelse af databeskyttelsesrådgiveren, som er fastsat i forordning 2016/679 ( 31 ).

45.

Som det fremgår af den kortfattede gennemgang af medlemsstaternes lovgivning, som jeg har kunnet foretage ( 32 ), har de fleste medlemsstater ikke vedtaget særlige bestemmelser om opsigelse, idet de har begrænset sig til forbuddet i artikel 38, stk. 3, andet punktum, i forordning 2016/679, som gælder umiddelbart ( 33 ).

46.

Andre medlemsstater har imidlertid valgt at supplere den omhandlede bestemmelse ( 34 ).

47.

Jeg gør i denne forbindelse opmærksom på, at »Artikel 29-gruppen« har påpeget, at, »[s]om det gælder for en normal lederstilling, og som det ville være tilfældet for enhver anden medarbejder eller kontrahent under og underlagt gældende national kontrakt-, arbejds- eller strafferet, kan en databeskyttelsesrådgiver stadig afskediges legitimt af andre grunde end udførelsen af opgaverne som databeskyttelsesrådgiver (f.eks. i tilfælde af tyveri, fysisk, psykologisk eller seksuel chikane eller lignende grov forseelse)« ( 35 ).

48.

Uafhængigt af medlemsstaternes valg bidrager det administrative eller judicielle organ, som i hver enkelt af disse har til opgave at efterprøve, om begrundelsen for at afskedige databeskyttelsesrådgiveren er lovlig, efter min opfattelse ligeledes til at sikre databeskyttelsesrådgiverens uafhængighed.

49.

Da det i høj grad er sandsynligt, at det ikke fremgår udtrykkeligt af beslutningen om at afskedige databeskyttelsesrådgiveren, at afskedigelsen er forbundet med den pågældendes tilfredsstillende udførelse af sine opgaver ( 36 ), kan det således komme på tale med en generel beskyttelse, der alene følger af hvervet som databeskyttelsesrådgiver. Det fremgår i det foreliggende tilfælde af den forelæggende rets forklaringer, at det er begrebet »vægtig grund« (»wichtiger Grund«), således som dette er fortolket i tysk ret, der fører til den antagelse, at databeskyttelsesrådgiverens hverv af hensyn til en supplerende beskyttelse ikke kan bringes til ophør i tilfælde af omstrukturering ( 37 ). I samme retning kunne det i øvrigt antages, at databeskyttelsesrådgiverens opgaver i tilfælde af, at en virksomhed, der er forpligtet til at udpege en databeskyttelsesrådgiver, og som med henblik herpå har valgt en af sine medarbejdere, oplever økonomiske vanskeligheder – i betragtning af formålet med forordning 2016/679 og databeskyttelsesrådgiverens bidrag til opfyldelsen heraf – bør vedblive med at blive udført, så længe arbejdsgiverens aktivitet varer ved.

50.

Forbuddet i artikel 38, stk. 3, andet punktum, i forordning 2016/679 har imidlertid nødvendigvis nogle begrænsninger, når der i forbindelse med databeskyttelsesrådgiverens udførelse af sine opgaver er tale om objektive utilstrækkeligheder under hensyntagen til dennes forpligtelser. Disse begrænsninger skal fastlægges i overensstemmelse med det mål, der forfølges med denne forordning ( 38 ).

51.

En fortolkning, der på tilsvarende vis er i overensstemmelse med formålet med forordning 2016/679, bør således efter min opfattelse føre til en anerkendelse af, at en databeskyttelsesrådgiver kan afskediges, såfremt den pågældende ikke længere opfylder de nødvendige egnethedskriterier for udførelsen af sine opgaver, såsom de kriterier, der er omhandlet i denne forordnings artikel 37, stk. 5, eller ikke opfylder de forpligtelser, der fremgår af den nævnte forordnings artikel 38, stk. 3, første og tredje punktum, og artikel 38, stk. 5 og 6 ( 39 ), eller endvidere såfremt den pågældendes ekspertiseniveau viser sig at være utilstrækkeligt ( 40 ).

52.

Jeg er følgelig af den opfattelse, at artikel 38, stk. 3, andet punktum, i forordning 2016/679 skal fortolkes således, at denne bestemmelse ikke er til hinder for en national ordning, som fastsætter, at en databeskyttelsesrådgivers arbejdsgiver kun kan opsige denne af en vægtig grund, selv når opsigelsen ikke er forbundet med databeskyttelsesrådgiverens udførelse af sine opgaver.

53.

Såfremt Domstolen imidlertid ikke er enig i denne opfattelse og beslutter at besvare den forelæggende rets første spørgsmål bekræftende, vil de to øvrige præjudicielle spørgsmål skulle besvares.

54.

Med det andet spørgsmål ønsker den forelæggende ret oplyst, om artikel 38, stk. 3, andet punktum, i forordning 2016/679 er til hinder for en national ordning, hvorefter arbejdsgiverens opsigelse af databeskyttelsesrådgiveren er ulovlig uden en vægtig grund, selv når opsigelsen ikke er forbundet med den pågældendes udførelse af sine opgaver, såfremt udpegelsen af databeskyttelsesrådgiveren ikke er obligatorisk i henhold til denne forordnings artikel 37, stk. 1, men kun i henhold til national ret, således som det fremgår af den nævnte forordnings artikel 37, stk. 4.

55.

Jeg noterer, at der hverken i artikel 38, stk. 3, i forordning 2016/679 eller i de øvrige bestemmelser i denne forordnings afdeling 4, som omhandler databeskyttelsesrådgiveren, sondres i forhold til, om udpegelsen af databeskyttelsesrådgiveren er obligatorisk eller frivillig.

56.

Følgelig skal den forelæggende rets spørgsmål efter min opfattelse besvares med, at artikel 38, stk. 3, andet punktum, i forordning 2016/679 finder anvendelse, uden at der skal sondres i forhold til, om databeskyttelsesrådgiveren er obligatorisk udpeget i henhold til EU-retten eller i henhold til national ret.

57.

Med det tredje spørgsmål har den forelæggende ret udtrykt tvivl med hensyn til gyldigheden af artikel 38, stk. 3, andet punktum, i forordning 2016/679 og særligt med hensyn til, hvorvidt denne bestemmelse hviler på et tilstrækkeligt retsgrundlag, navnlig for så vidt som den omfatter databeskyttelsesrådgivere, der står i et ansættelsesforhold til den dataansvarlige.

58.

Jeg foreslår Domstolen at lægge til grund, at artikel 38, stk. 3, andet punktum, i forordning 2016/679 hviler på et tilstrækkeligt retsgrundlag, for så vidt som denne bestemmelse alene har til formål at beskytte databeskyttelsesrådgiveren mod enhver hindring i forbindelse med dennes udførelse af sine opgaver, og da denne garanti uden hensyntagen til, om der består et tjenesteforhold, bidrager til den effektive gennemførelse af formålene med denne forordning.

59.

For det første udgør artikel 16 TEUF nemlig det retsgrundlag, som den nævnte forordning er støttet på, således som jeg har redegjort for inden for rammerne af min bedømmelse af det første præjudicielle spørgsmål ( 41 ). Domstolen har endvidere fastslået, at denne bestemmelse, med forbehold af artikel 39 TEU, udgør et passende retsgrundlag, når beskyttelsen af personoplysninger er et af de væsentlige formål med eller led i de af EU-lovgiver vedtagne regler ( 42 ).

60.

For det andet er én af disse betingelser med hensyn til databeskyttelsesrådgiverens rolle og rammerne herfor, som fastlagt i forordning 2016/679, efter min opfattelse fuldt ud opfyldt. Den garanti for databeskyttelsesrådgiverens funktionelle uafhængighed, som har til formål at sikre et højt niveau med hensyn til overholdelsen af de grundlæggende rettigheder, der gælder for de registrerede, der er berørt af behandlingen af personoplysninger ( 43 ), kommer i denne forordnings artikel 38, stk. 3, andet punktum, til udtryk ved formuleringen af et forbud mod at bringe databeskyttelsesrådgiverens hverv til ophør af grunde, der er uadskilleligt forbundne med dennes opgaver. Da der i denne bestemmelse på ingen måde pålægges en harmonisering på det arbejdsretlige område, har EU-lovgiver ikke overskredet de normative beføjelser, som denne er tildelt ved artikel 16, stk. 2, TEUF.

61.

Hvad angår overholdelsen af subsidiaritetsprincippet og proportionalitetsprincippet, som den forelæggende ret ligeledes har udtrykt tvivl om, vil jeg for det første anføre, at intensiveringen af den grænseoverskridende behandling af personoplysninger begrunder, at beskyttelsen af disse oplysninger med hensyn til de grundlæggende rettigheder gennemføres på EU-plan ( 44 ), idet der bl.a. sikres beføjelser til databeskyttelsesrådgiveren, som anses for en »central aktør« i forbindelse med denne beskyttelse ( 45 ). For det andet går artikel 38, stk. 3, andet punktum, i forordning 2016/679 efter min opfattelse ikke ud over, hvad der er nødvendigt for at sikre databeskyttelsesrådgiverens funktionelle uafhængighed. Den garanti for ikke at blive afskediget, som er fastsat i denne bestemmelse, har ganske vist nødvendigvis en indvirkning på tjenesteforholdet. Denne indvirkning har imidlertid alene til formål at beskytte den effektive virkning af databeskyttelsesrådgiverens stilling.

62.

Følgelig skal den forelæggende rets spørgsmål efter min opfattelse besvares med, at der ved undersøgelsen af det tredje præjudicielle spørgsmål ikke er blevet klarlagt noget forhold, som kan påvirke gyldigheden af artikel 38, stk. 3, andet punktum, i forordning 2016/679.

63.

Henset til samtlige ovenstående betragtninger foreslår jeg Domstolen at besvare de af Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager, Tyskland) forelagte præjudicielle spørgsmål som følger:

»Principalt:

Subsidiært, såfremt Domstolen besvarer det første spørgsmål bekræftende: