–

der Deutschen Post AG, vertreten durch Rechtsanwalt U. Möllenhoff,

–

des Hauptzollamts Köln, vertreten durch W. Liebe, M. Greve-Giesow und M. Hageroth als Bevollmächtigte,

–

der spanischen Regierung, vertreten durch S. Jiménez García und V. Ester Casas als Bevollmächtigte,

–

der italienischen Regierung, vertreten durch G. Palmieri als Bevollmächtigte im Beistand von G. Albenzio, avvocato dello Stato,

–

der ungarischen Regierung, vertreten durch M. Z. Fehér, G. Koós und R. Kissné Berta als Bevollmächtigte,

–

der Europäischen Kommission, vertreten durch B.‑R. Killmann und F. Clotuche-Duvieusart als Bevollmächtigte,

1

Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung (EU) 2015/2447 der Kommission vom 24. November 2015 mit Einzelheiten zur Umsetzung von Bestimmungen der Verordnung (EU) Nr. 952/2013 des Europäischen Parlaments und des Rates zur Festlegung des Zollkodex der Union (ABl. 2015, L 343, S. 558).

2

Es ergeht im Rahmen eines Rechtsstreits zwischen der Deutschen Post AG und dem Hauptzollamt Köln (Deutschland) (im Folgenden: Hauptzollamt) über die Art und den Umfang der personenbezogenen Daten Dritter, die vorzulegen sind, damit einem Unternehmen der in Art. 39 der Verordnung (EU) Nr. 952/2013 des Europäischen Parlaments und des Rates vom 9. Oktober 2013 zur Festlegung des Zollkodex der Union (ABl. 2013, L 269, S. 1, im Folgenden: Zollkodex) vorgesehene Status eines zugelassenen Wirtschaftsbeteiligten bewilligt werden kann.

3

Titel I des Zollkodex enthält in Kapitel 2 („Rechte und Pflichten von Personen nach den zollrechtlichen Vorschriften“) einen Abschnitt 4 („Zugelassener Wirtschaftsbeteiligter“, im Folgenden: AEO), zu dem die Art. 38 bis 41 gehören.

4

Art. 38 des Zollkodex sieht vor:

„(1)   Ein im Zollgebiet der Union ansässiger Wirtschaftsbeteiligter, der die Kriterien des Artikels 39 erfüllt, kann beantragen, dass ihm der Status eines [AEO] bewilligt wird.

Die Zollbehörden bewilligen, gegebenenfalls nach Rücksprache mit den anderen zuständigen Behörden, diesen Status, der einer Überwachung unterliegt.

(2)   Der Status eines [AEO] besteht aus den folgenden Arten von Bewilligungen:

…

(5)   Sofern die in den zollrechtlichen Vorschriften vorgesehenen Voraussetzungen für eine bestimmte Art der Vereinfachung erfüllt sind, bewilligen die Zollbehörden dem [AEO] für zollrechtliche Vereinfachungen aufgrund der Anerkennung seines Status die Inanspruchnahme dieser Vereinfachung. Die Kriterien, die bei der Bewilligung des Status eines [AEO] bereits geprüft wurden, werden nicht erneut von den Zollbehörden geprüft.

(6)   Der [AEO] gemäß Absatz 2 genießt gegenüber anderen Wirtschaftsbeteiligten je nach Art der Bewilligung Begünstigungen in Bezug auf Zollkontrollen, dies schließt ein, dass weniger häufig eine Prüfung von Waren oder Unterlagen vorgenommen wird.

…“

5

Art. 39 des Zollkodex bestimmt:

„Für die Bewilligung des Status eines [AEO] sind folgende Voraussetzungen zu erfüllen:

…“

6

Art. 41 Abs. 1 des Zollkodex lautet:

„Die Kommission erlässt im Wege von Durchführungsrechtsakten die Einzelheiten der Anwendung der Voraussetzungen gemäß Artikel 39.“

7

Titel I der Durchführungsverordnung 2015/2447 enthält in Kapitel 2 („Rechte und Pflichten in Bezug auf die zollrechtlichen Vorschriften“) einen Abschnitt 3 („Zugelassener Wirtschaftsbeteiligter [AEO]“), zu dem die Art. 24 bis 35 gehören.

8

Art. 24 Abs. 1 Unterabs. 2 dieser Verordnung lautet:

„Ist der Antragsteller keine natürliche Person, gilt die Voraussetzung des Artikels 39 Buchstabe a des Zollkodex als erfüllt, wenn keine der folgenden Personen in den letzten drei Jahren einen schwerwiegenden Verstoß oder wiederholte Verstöße gegen die zoll- oder steuerrechtlichen Vorschriften oder eine schwere Straftat im Rahmen ihrer Wirtschaftstätigkeit begangen hat:

9

Der neunte Erwägungsgrund der Delegierten Verordnung (EU) 2016/341 der Kommission vom 17. Dezember 2015 zur Ergänzung der Verordnung Nr. 952/2013 hinsichtlich der Übergangsbestimmungen für bestimmte Vorschriften des Zollkodex der Union, für den Fall, dass die entsprechenden elektronischen Systeme noch nicht betriebsbereit sind, und zur Änderung der Delegierten Verordnung (EU) 2015/2446 (ABl. 2016, L 69, S. 1) lautet:

„Da das elektronische System, das für die Anwendung der Bestimmungen des Zollkodex über die Beantragung und die Bewilligung des Status eines [AEO] erforderlich ist, noch verbessert werden muss, müssen die derzeit verwendeten Mittel in Papierform und in elektronischer Form bis zu dieser Verbesserung weiter verwendet werden.“

10

Art. 1 dieser Verordnung bestimmt:

„1.   Diese Verordnung enthält Übergangsmaßnahmen für die Mittel zum Austausch und zur Speicherung von Daten gemäß Artikel 278 des Zollkodex, bis die elektronischen Systeme, die für die Anwendung der Bestimmungen des Zollkodex erforderlich sind, in Betrieb sind.

2.   Die Datenanforderungen, Formate und Codes, die während der Übergangszeiträume gemäß der vorliegenden Verordnung, der Delegierten Verordnung (EU) 2015/2446 [der Kommission vom 28. Juli 2015 zur Ergänzung der Verordnung Nr. 952/2013 mit Einzelheiten zur Präzisierung von Bestimmungen des Zollkodex der Union (ABl. 2015, L 343, S. 1)] und der Durchführungsverordnung … 2015/2447 anzuwenden sind, sind in den Anhängen der vorliegenden Verordnung festgelegt.“

11

Die Delegierte Verordnung 2016/341 enthält in Kapitel 1 („Allgemeine Bestimmungen“) einen Abschnitt 3 („Beantragung des Status eines AEO“), in dem Art. 5 vorsieht:

„1.   Die Zollbehörden können erlauben, dass bis zum Zeitpunkt der Anpassung des AEO-Systems gemäß dem Anhang des Durchführungsbeschlusses 2014/255/EU [der Kommission vom 29. April 2014 zur Erstellung des Arbeitsprogramms zum Zollkodex der Union (ABl. 2014, L 134, S. 46)] andere Mittel als die der elektronischen Datenverarbeitung für Anträge und Entscheidungen in Bezug auf AEO und für alle nachfolgenden Ereignisse, die den ursprünglichen Antrag oder die ursprüngliche Entscheidung betreffen können, verwendet werden.

2.   In den in Absatz 1 genannten Fällen gilt Folgendes:

…“

12

Anhang 6 dieser Verordnung enthält einen Abschnitt mit dem Titel „Erläuterungen“. In Nr. 19 dieser Erläuterungen, die Name, Datum und Unterschrift des Antragstellers betrifft, heißt es:

„…

Zahl der Anlagen: Der Antragsteller muss die folgenden allgemeinen Auskünfte erteilen:

…

…“

13

Art. 2 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) sah vor:

„Im Sinne dieser Richtlinie bezeichnet der Ausdruck

…“

14

Art. 6 dieser Richtlinie lautete auszugsweise:

„(1)   Die Mitgliedstaaten sehen vor, dass personenbezogene Daten

…

(2)   Der für die Verarbeitung Verantwortliche hat für die Einhaltung der Bestimmungen des Absatzes 1 zu sorgen.“

15

In Art. 7 der Richtlinie hieß es:

„Die Mitgliedstaaten sehen vor, dass die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist:

…

…“

16

Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1) trat am 24. Mai 2016 in Kraft. Durch sie wurde die Richtlinie 95/46 mit Wirkung vom 25. Mai 2018 aufgehoben.

17

Art. 4 dieser Verordnung enthält u. a. folgende Begriffsbestimmungen:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

…“

18

Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) der Verordnung sieht vor:

„(1)   Personenbezogene Daten müssen

…

(2)   Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“

19

Art. 6 („Rechtmäßigkeit der Verarbeitung“) der Verordnung bestimmt:

„(1)   Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…

…

(3)   Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt … sein … Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und ‑verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten [muss] ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

…“

20

§ 139a Abs. 1 der Abgabenordnung (im Folgenden: AO) sieht in der auf den Ausgangsrechtsstreit anwendbaren Fassung vor:

„Das Bundeszentralamt für Steuern teilt jedem Steuerpflichtigen zum Zwecke der eindeutigen Identifizierung in Besteuerungsverfahren ein einheitliches und dauerhaftes Merkmal (Identifikationsmerkmal) zu; das Identifikationsmerkmal ist vom Steuerpflichtigen oder von einem Dritten, der Daten dieses Steuerpflichtigen an die Finanzbehörden zu übermitteln hat, bei Anträgen, Erklärungen oder Mitteilungen gegenüber Finanzbehörden anzugeben. Es besteht aus einer Ziffernfolge, die nicht aus anderen Daten über den Steuerpflichtigen gebildet oder abgeleitet werden darf; die letzte Stelle ist eine Prüfziffer. …“

21

§ 139b („Identifikationsnummer“) AO bestimmt:

„(1)   Eine natürliche Person darf nicht mehr als eine Identifikationsnummer erhalten. …

(2)   Die Finanzbehörden dürfen die Identifikationsnummer nur erheben und verwenden, soweit dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist oder eine Rechtsvorschrift die Erhebung oder Verwendung der Identifikationsnummer ausdrücklich erlaubt oder anordnet. Andere öffentliche oder nicht öffentliche Stellen dürfen

…“

22

In § 38 Abs. 1 und 3 des Einkommensteuergesetzes (im Folgenden: EStG) heißt es in der auf den Ausgangsrechtsstreit anwendbaren Fassung:

„(1)   Bei Einkünften aus nichtselbständiger Arbeit wird die Einkommensteuer durch Abzug vom Arbeitslohn erhoben (Lohnsteuer), soweit der Arbeitslohn von einem Arbeitgeber gezahlt wird …

…

(3)   Der Arbeitgeber hat die Lohnsteuer für Rechnung des Arbeitnehmers bei jeder Lohnzahlung vom Arbeitslohn einzubehalten. …“

23

Nach § 39 („Lohnsteuerabzugsmerkmale“) Abs. 1 EStG gilt:

„Für die Durchführung des Lohnsteuerabzugs werden auf Veranlassung des Arbeitnehmers Lohnsteuerabzugsmerkmale gebildet …“

24

§ 39e („Verfahren zur Bildung und Anwendung der elektronischen Lohnsteuerabzugsmerkmale“) EStG besagt:

„(1)   Das Bundeszentralamt für Steuern bildet für jeden Arbeitnehmer grundsätzlich automatisiert die Steuerklasse und für die bei den Steuerklassen I bis IV zu berücksichtigenden Kinder die Zahl der Kinderfreibeträge … als Lohnsteuerabzugsmerkmale (§ 39 Absatz 4 Satz 1 Nummer 1 und 2) … Soweit das Finanzamt Lohnsteuerabzugsmerkmale nach § 39 bildet, teilt es sie dem Bundeszentralamt für Steuern zum Zweck der Bereitstellung für den automatisierten Abruf durch den Arbeitgeber mit. …

(2)   Das Bundeszentralamt für Steuern speichert zum Zweck der Bereitstellung automatisiert abrufbarer Lohnsteuerabzugsmerkmale für den Arbeitgeber die Lohnsteuerabzugsmerkmale unter Angabe der Identifikationsnummer sowie für jeden Steuerpflichtigen folgende Daten zu den in § 139b Absatz 3 [AO] genannten Daten hinzu:

…

(4)   Der Arbeitnehmer hat jedem seiner Arbeitgeber bei Eintritt in das Dienstverhältnis zum Zweck des Abrufs der Lohnsteuerabzugsmerkmale mitzuteilen,

…

Der Arbeitgeber hat bei Beginn des Dienstverhältnisses die elektronischen Lohnsteuerabzugsmerkmale für den Arbeitnehmer beim Bundeszentralamt für Steuern durch Datenfernübertragung abzurufen und sie in das Lohnkonto für den Arbeitnehmer zu übernehmen. …“

25

Die Deutsche Post war Inhaberin des Status eines zugelassenen Empfängers, des Status eines zugelassenen Versenders sowie einer Bewilligung der Inanspruchnahme einer Gesamtbürgschaft, woraus sich Vereinfachungen im Rahmen des zollrechtlichen Systems der Union ergaben.

26

Nachdem durch den Zollkodex die individuellen Voraussetzungen für die Erteilung zollrechtlicher Bewilligungen geändert worden waren, forderte das Hauptzollamt die Deutsche Post mit Schreiben vom 19. April 2017 auf, einen Fragenkatalog zur Selbstbewertung zu beantworten. Darin sollte sie die Mitglieder von Beiräten und Aufsichtsräten, ihre wichtigsten Führungskräfte (geschäftsführende Direktoren, Abteilungsleiter, Leiter der Buchhaltung, Leiter der Zollabteilung usw.) und die für die Organisation der Zollangelegenheiten verantwortlichen Personen oder die Personen, die Zollangelegenheiten bearbeiten, genau benennen und dabei für jede dieser natürlichen Personen u. a. die Steueridentifikationsnummer und das zuständige Finanzamt angeben.

27

Das Hauptzollamt wies die Deutsche Post darauf hin, dass ohne die erforderlichen Mitwirkungshandlungen die Feststellung der Bewilligungsvoraussetzungen nach dem Zollkodex nicht möglich sei. Falls die Mitwirkung unterbleibe oder diese Voraussetzungen nicht mehr vorlägen, werde es die der Deutschen Post erteilten Bewilligungen widerrufen.

28

Mit ihrer Klage vor dem vorlegenden Gericht, dem Finanzgericht Düsseldorf (Deutschland), macht die Deutsche Post geltend, sie sei nicht verpflichtet, dem Hauptzollamt die Steueridentifikationsnummern der betreffenden Personen mitzuteilen und die für sie zuständigen Finanzämter zu benennen.

29

Der Kreis der in ihrem Unternehmen von den Fragen des Hauptzollamts betroffenen Personen sei sehr groß, und ein Teil von ihnen sei nicht bereit, der Weitergabe sie betreffender personenbezogener Daten zuzustimmen. Dieser Personenkreis gehe über den Kreis der in Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 genannten Personen hinaus. Zudem seien die einkommensteuerlichen Verhältnisse ihrer Arbeitnehmer für die Beurteilung der Frage, ob schwerwiegende oder wiederholte Verstöße gegen zoll- oder steuerrechtliche Vorschriften oder schwere Straftaten im Rahmen ihrer Wirtschaftstätigkeit begangen worden seien, unerheblich. Die Erhebung der Steueridentifikationsnummern sei zur Feststellung ihrer zollrechtlichen Zuverlässigkeit weder erforderlich noch geeignet. Überdies sei es im Hinblick auf dieses Ziel unverhältnismäßig, die persönliche steuerliche Situation sämtlicher betroffener Personen zu überprüfen.

30

Das Hauptzollamt beantragt, die Klage abzuweisen. Es macht in erster Linie geltend, die Übermittlung der Steueridentifikationsnummern sei erforderlich, damit die betreffenden Personen eindeutig identifiziert werden könnten, wenn es das zuständige Finanzamt um Auskunft ersuche. Ein Austausch von Informationen sei nur vorgesehen, wenn dem Finanzamt im Einzelfall Erkenntnisse über schwere oder wiederholte Verstöße gegen steuerrechtliche Vorschriften vorlägen, wobei eingestellte Straf- oder Bußgeldverfahren nicht berücksichtigt würden. Wiederholte Verstöße gegen diese Vorschriften würden nur bei einer Häufung berücksichtigt, die in keinem angemessenen Verhältnis zu Art und Umfang der Geschäftstätigkeit des Antragstellers stehe. Der Kreis der von den Fragen betroffenen Personen stehe im Einklang mit dem Zollrecht der Union.

31

Das vorlegende Gericht führt aus, die Entscheidung des Ausgangsrechtsstreits hänge davon ab, wie Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 auszulegen sei, wobei die Auslegung im Licht von Art. 8 der Charta der Grundrechte der Europäischen Union sowie der Verordnung 2016/679 erfolgen müsse, da es sich bei den Steueridentifikationsnummern der betreffenden Personen und der Angabe der für sie zuständigen Finanzämter um personenbezogene Daten handle.

32

Fraglich sei zum einen, ob die Übermittlung solcher Daten eine nach der Durchführungsverordnung 2015/2447 zulässige Verarbeitung sei. Zum anderen sei zweifelhaft, ob es erforderlich sei, auf die zum Zweck der Erhebung der Einkommensteuer in Gestalt des Lohnsteuerabzugs erhobenen personenbezogenen Daten der Arbeitnehmer und Aufsichtsratsmitglieder der Deutschen Post zurückzugreifen.

33

Die personenbezogenen Daten dieser Arbeitnehmer stünden in keiner direkten Verbindung zur Beurteilung der zollrechtlichen Zuverlässigkeit der Deutschen Post und hätten keinen Bezug zu deren wirtschaftlicher Tätigkeit.

34

Es stelle sich die Frage, ob die Zollverwaltung in Anbetracht von Art. 8 Abs. 1 der Grundrechtecharta und des Grundsatzes der Verhältnismäßigkeit personenbezogene Daten wie die Steueridentifikationsnummern der betreffenden Personen und die für deren Veranlagung zur Einkommensteuer zuständigen Finanzämter abfragen dürfe. Die Mitglieder des Aufsichtsrats würden in Anhang 6 der Delegierten Verordnung 2016/341 nicht erwähnt und seien, ebenso wie die Abteilungsleiter und die Leiter der Buchhaltung, nicht mit der Bearbeitung zollrechtlicher Fragen befasst.

35

Unter diesen Umständen hat das Finanzgericht Düsseldorf das Verfahren ausgesetzt und dem Gerichtshof folgende Frage zur Vorabentscheidung vorgelegt:

Ist Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 dahin auszulegen, dass es der Zollbehörde hiernach gestattet ist, den Antragsteller aufzufordern, die vom deutschen Bundeszentralamt für Steuern für die Erhebung der Einkommensteuer zugeteilten Steueridentifikationsnummern und die für die Veranlagung zur Einkommensteuer zuständigen Finanzämter hinsichtlich der Mitglieder des Aufsichtsrats des Antragstellers und der bei diesem tätigen geschäftsführenden Direktoren, Abteilungsleiter, Leiter der Buchhaltung, Leiter der Zollabteilung sowie der für Zollangelegenheiten verantwortlichen Personen und der Personen, die Zollangelegenheiten bearbeiten, mitzuteilen?

36

Mit Ausnahme der Kommission stützen sich die Beteiligten in ihren Ausführungen zur vorgelegten Frage auf die Verordnung 2016/679, auf die auch das vorlegende Gericht Bezug nimmt.

37

Die Kommission macht insoweit geltend, da sich der Sachverhalt des Ausgangsverfahrens im April 2017 abgespielt habe, sei bei der Entscheidung des Ausgangsrechtsstreits die Richtlinie 95/46 anzuwenden.

38

Da es sich bei der Klage vor dem nationalen Gericht um eine Feststellungsklage handelt, ist nicht ausgeschlossen, dass bei der Entscheidung des Ausgangsrechtsstreits die Verordnung 2016/679 zeitlich anwendbar ist. In der mündlichen Verhandlung konnte dies nicht geklärt werden.

39

Daher ist die vorgelegte Frage sowohl anhand der Richtlinie 95/46 als auch anhand der Verordnung 2016/679 zu beantworten.

40

Mit seiner Frage möchte das vorlegende Gericht wissen, ob Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 im Licht der Richtlinie 95/46 und der Verordnung 2016/679 dahin auszulegen ist, dass die Zollbehörden von einem Unternehmen, das die Bewilligung des Status eines AEO beantragt, verlangen können, dass es die für die Erhebung der Einkommensteuer zugeteilten Steueridentifikationsnummern der Mitglieder seines Aufsichtsrats und der bei ihm tätigen geschäftsführenden Direktoren, Abteilungsleiter, Leiter der Buchhaltung und Leiter der Zollabteilung einschließlich der für Zollangelegenheiten verantwortlichen Personen und der Personen, die Zollangelegenheiten bearbeiten, mitteilt sowie für alle diese Personen Angaben zu den zuständigen Finanzämtern macht.

41

Erstens ist hervorzuheben, dass nach Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447, wenn der Antragsteller keine natürliche Person ist, die in Art. 39 Buchst. a des Zollkodex aufgestellte Voraussetzung als erfüllt gilt, wenn keine der in der erstgenannten Vorschrift aufgezählten Personen in den letzten drei Jahren einen schwerwiegenden Verstoß oder wiederholte Verstöße gegen die zoll- oder steuerrechtlichen Vorschriften oder eine schwere Straftat im Rahmen ihrer Wirtschaftstätigkeit begangen hat.

42

Dabei handelt es sich neben dem Antragsteller nur um die Person, die für das antragstellende Unternehmen verantwortlich ist oder die Kontrolle über seine Leitung ausübt, und den Beschäftigten des Antragstellers, der für dessen Zollangelegenheiten zuständig ist. Nach dem Wortlaut der Vorschrift ist diese Aufzählung offenbar abschließend.

43

Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 darf daher nicht dahin ausgelegt werden, dass er andere natürliche Personen erfasst als die, die für das antragstellende Unternehmen verantwortlich sind, die Kontrolle über seine Leitung ausüben oder für seine Zollangelegenheiten zuständig sind. Nicht von dieser Vorschrift betroffen sind also die Mitglieder von Beiräten und Aufsichtsräten einer juristischen Person, die Abteilungsleiter – gegebenenfalls mit Ausnahme derjenigen, die für die Zollangelegenheiten des Antragstellers zuständig sind –, die Leiter der Buchhaltung und die Zollsachbearbeiter.

44

Von den geschäftsführenden Direktoren kann die Erfüllung der in der genannten Vorschrift aufgestellten Anforderungen hingegen verlangt werden, wenn in einer Situation wie der des Ausgangsverfahrens davon auszugehen ist, dass sie für das antragstellende Unternehmen verantwortlich sind oder die Kontrolle über seine Leitung ausüben.

45

Die Delegierte Verordnung 2016/341 sieht zwar in Nr. 19 der in ihrem Anhang 6 enthaltenen Erläuterungen vor, dass der Antragsteller in den Anlagen zu dem von ihm ausgefüllten Formblatt für den Antrag auf eine AEO-Bewilligung die Namen und Positionen einer größeren Zahl von Mitarbeitern innerhalb seiner Organisation als der in Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 aufgeführten natürlichen Personen angibt.

46

Insoweit genügt jedoch die Feststellung, dass die Delegierte Verordnung 2016/341 nicht dahin ausgelegt werden darf, dass sie eine Abweichung von Art. 41 Abs. 1 des Zollkodex bezweckt oder bewirkt, der vorsieht, dass die Kommission im Wege von Durchführungsrechtsakten die Einzelheiten der Anwendung der Voraussetzungen gemäß Art. 39 des Zollkodex erlässt, die zu prüfen sind, um festzustellen, ob einem Antragsteller der Status eines AEO bewilligt werden kann.

47

Folglich kann die Delegierte Verordnung 2016/341 keinen Einfluss auf den Regelungsumfang von Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 haben.

48

Im Übrigen kann der Umstand, dass nach dieser Vorschrift „die Person“, die für das antragstellende Unternehmen verantwortlich ist oder die Kontrolle über seine Leitung ausübt, und „der Beschäftigte“ des Antragstellers, der für dessen Zollangelegenheiten verantwortlich ist, die darin genannten Erfordernisse einhalten muss, nicht zu der Annahme führen, dass diese Erfordernisse nur eine einzige Person betreffen, die für das antragstellende Unternehmen verantwortlich ist oder die Kontrolle über seine Leitung ausübt, und nur einen einzigen Beschäftigten des Antragstellers, der für dessen Zollangelegenheiten zuständig ist.

49

Es ist nämlich nicht auszuschließen, dass nach der Organisationsstruktur eines Unternehmens mehrere natürliche Personen gemeinsam für das Unternehmen verantwortlich sind oder gemeinsam die Kontrolle über seine Leitung ausüben und dass mehrere andere natürliche Personen für seine Zollangelegenheiten zuständig sind, etwa in Form einer gebietsmäßigen Aufteilung.

50

Folglich werden von Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 alle natürlichen Personen erfasst, die in der Organisation des antragstellenden Unternehmens für dieses Unternehmen verantwortlich sind oder die Kontrolle über seine Leitung ausüben, sowie alle für dessen Zollangelegenheiten zuständigen Personen.

51

Zweitens impliziert diese Vorschrift, dass es den Zollbehörden, damit sie einen Antrag auf Bewilligung des AEO-Status bescheiden können, gestattet sein muss, auf die Daten zuzugreifen, anhand deren festgestellt werden kann, dass keine der in der Vorschrift genannten natürlichen Personen einen schwerwiegenden Verstoß oder wiederholte Verstöße gegen die zoll- oder steuerrechtlichen Vorschriften oder eine schwere Straftat im Rahmen ihrer Wirtschaftstätigkeit begangen hat.

52

Im vorliegenden Fall verlangen die deutschen Zollbehörden, dass ihnen die Steueridentifikationsnummern der in Rn. 50 des vorliegenden Urteils genannten natürlichen Personen mitgeteilt und Angaben zu den für diese Personen zuständigen Finanzämtern gemacht werden.

53

In einem solchen Fall müssen, soweit das Vorgehen dieser Behörden eine Verarbeitung personenbezogener Daten im Sinne von Art. 2 Buchst. a der Richtlinie 95/46 bzw. Art. 4 Nr. 2 der Verordnung 2016/679 impliziert, die unionsrechtlichen Vorschriften über den Schutz dieser Daten eingehalten werden.

54

Diesen Vorschriften liegt der Gedanke zugrunde, dass sich die Achtung des Privatlebens hinsichtlich der Verarbeitung personenbezogener Daten auf jede Information erstreckt, die eine bestimmte oder bestimmbare natürliche Person betrifft (vgl. in diesem Sinne Urteile vom 9. November 2010, Volker und Markus Schecke und Eifert, C‑92/09 und C‑93/09, EU:C:2010:662, Rn. 52, sowie vom 17. Oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, Rn. 26).

55

Aus der Rechtsprechung des Gerichtshofs geht ferner hervor, dass Steuerdaten „personenbezogene Daten“ im Sinne von Art. 2 Buchst. a der Richtlinie 95/46 sind (vgl. in diesem Sinne Urteile vom 1. Oktober 2015, Bara u. a., C‑201/14, EU:C:2015:638, Rn. 29, sowie vom 27. September 2017, Puškár, C‑73/16, EU:C:2017:725, Rn. 41).

56

Steueridentifikationsnummern stellen schon ihrer Natur nach Steuerdaten dar, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen, und sind damit personenbezogene Daten. Zudem müssen aufgrund der von den Zollbehörden hergestellten Verknüpfung der Steueridentifikationsnummer einer genau bestimmten Person mit den Informationen über das für diese Person zuständige Finanzamt auch diese Informationen als personenbezogene Daten angesehen werden.

57

Jede Verarbeitung personenbezogener Daten muss aber mit den in Art. 6 der Richtlinie 95/46 bzw. Art. 5 der Verordnung 2016/679 aufgestellten Grundsätzen in Bezug auf die Qualität der Daten und mit einem der in Art. 7 der Richtlinie bzw. Art. 6 der Verordnung aufgeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten im Einklang stehen (vgl. in diesem Sinne Urteile vom 20. Mai 2003, Österreichischer Rundfunk u. a., C‑465/00, C‑138/01 und C‑139/01, EU:C:2003:294, Rn. 65, sowie vom 13. Mai 2014, Google Spain und Google, C‑131/12, EU:C:2014:317, Rn. 71).

58

Insbesondere müssen personenbezogene Daten nach Art. 6 Abs. 1 Buchst. b und c der Richtlinie 95/46 bzw. Art. 5 Abs. 1 Buchst. b und c der Verordnung 2016/679 für festgelegte, eindeutige und legitime Zwecke erhoben werden und müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Ihre Verarbeitung ist nach Art. 7 Buchst. c der Richtlinie bzw. Art. 6 Abs. 1 Buchst. c der Verordnung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt.

59

Zudem ist darauf hinzuweisen, dass das in Art. 6 der Richtlinie 95/46 bzw. Art. 5 der Verordnung 2016/679 vorgesehene Erfordernis der Verarbeitung personenbezogener Daten nach Treu und Glauben die Verpflichtung impliziert, die betroffenen Personen davon zu unterrichten, dass die Zollbehörden diese Daten erheben, um sie anschließend zu verarbeiten (vgl. in diesem Sinne Urteil vom 1. Oktober 2015, Bara u. a., C‑201/14, EU:C:2015:638, Rn. 34).

60

In dem Fall, der Gegenstand des Ausgangsverfahrens ist, wurden die Steueridentifikationsnummern der natürlichen Personen offenbar zunächst von ihrem Arbeitgeber erhoben, um den einkommensteuerrechtlichen Vorschriften Genüge zu tun und insbesondere der Verpflichtung nachzukommen, die anhand der Einkünfte aus nicht selbständiger Arbeit jeder dieser natürlichen Personen berechnete Steuer im Wege des Lohnsteuerabzugs zu erheben.

61

Die anschließende Erhebung dieser personenbezogenen Daten durch die Zollbehörden zwecks Bescheidung eines Antrags auf Bewilligung des AEO-Status erscheint notwendig, um eine rechtliche Verpflichtung zu erfüllen, der diese Behörden nach Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 unterliegen, und um die Voraussetzungen einzuhalten, die darin für die Bewilligung dieses Status aufgestellt werden. Insofern werden diese Daten für festgelegte, eindeutige und legitime Zwecke erhoben und somit verarbeitet.

62

Dasselbe gilt, soweit die Zollbehörden die Angaben zu den für die einkommensteuerliche Veranlagung dieser natürlichen Personen zuständigen Finanzämter erheben, da eine solche Datenerhebung ebenfalls dem Zweck dient, diesen Behörden die Bescheidung eines Antrags auf Bewilligung des AEO-Status zu ermöglichen.

63

Allerdings müssen in einem Fall wie dem des Ausgangsverfahrens die von den Zollbehörden erhobenen Daten, d. h. die Steueridentifikationsnummern natürlicher Personen und die Angaben zu den für ihre einkommensteuerliche Veranlagung zuständigen Finanzämter, wie aus Rn. 58 des vorliegenden Urteils hervorgeht, dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Erhebung dieser personenbezogenen Daten notwendige Maß beschränkt sein.

64

Wie der Generalanwalt in Nr. 66 seiner Schlussanträge ausgeführt hat, ist die von den Zollbehörden erteilte Bewilligung des AEO-Status an einen Wirtschaftsbeteiligten in der Sache gleichbedeutend mit einer Delegierung gewisser zollamtlicher Überwachungsaufgaben an ihn. Daher müssen die Zollbehörden, bevor sie diesen Status bewilligen, über Informationen zur zollrechtlichen Zuverlässigkeit des Antragstellers und zur Zuverlässigkeit der in Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 genannten natürlichen Personen bezüglich der Einhaltung der sie betreffenden zoll- und steuerrechtlichen Vorschriften verfügen.

65

Folglich stellt die Erhebung der Steueridentifikationsnummern allein der in diesem Artikel genannten natürlichen Personen sowie der Angaben zu den für sie zuständigen Finanzämtern eine Maßnahme dar, die angemessen und erheblich ist, um den Zollbehörden die Prüfung zu ermöglichen, ob von einer dieser Personen einer der in diesem Artikel genannten Verstöße begangen wurde.

66

Die von den Zollbehörden auf diese Weise erhobenen personenbezogenen Daten sind auch auf das zur Erreichung des Zwecks von Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 notwendige Maß beschränkt, da sie begrenzten Umfang haben und für sich genommen den Zollbehörden keine sensiblen Informationen über die persönliche Situation – etwa den Familienstand oder die Religionszugehörigkeit – oder die Einkünfte der betroffenen natürlichen Personen verschaffen.

67

Die Erhebung der Steueridentifikationsnummern der in diesem Artikel aufgezählten natürlichen Personen sowie der Angaben zu den für sie zuständigen Finanzämtern kann es den Zollbehörden zwar, wie das vorlegende Gericht ausführt, grundsätzlich ermöglichen, auf personenbezogene Daten zuzugreifen, die in keinem Zusammenhang mit der Wirtschaftstätigkeit des Unternehmens stehen, das den AEO-Status beantragt. Die in diesem Artikel genannten Verstöße gegen steuerrechtliche Vorschriften sind jedoch nicht auf solche beschränkt, die im Rahmen der Wirtschaftstätigkeit des antragstellenden Unternehmens begangen wurden.

68

Insoweit erscheint es gerechtfertigt, dass die Zollbehörden, bevor sie einem Antragsteller diesen Status bewilligen – was, wie aus Rn. 64 des vorliegenden Urteils hervorgeht, einer Delegierung zollamtlicher Aufgaben an ihn gleichkommt –, in der Lage sein müssen, nicht nur zu prüfen, ob er die zollrechtlichen Vorschriften einhält, sondern auch, ob die in Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 genannten natürlichen Personen angesichts des Umfangs ihrer Verantwortung innerhalb der Organisationsstruktur des Antragstellers ihrerseits einen schwerwiegenden Verstoß oder wiederholte Verstöße gegen die zoll- oder steuerrechtlichen Vorschriften begangen haben, unabhängig davon, ob diese Verstöße im Rahmen der Wirtschaftstätigkeit des Antragstellers begangen wurden oder nicht.

69

Folglich dürfen die Zollbehörden die Steueridentifikationsnummern der in Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 abschließend aufgezählten natürlichen Personen sowie die Angaben zu den für sie zuständigen Finanzämtern nur erheben, soweit diese Daten es ihnen ermöglichen, Informationen über schwerwiegende oder wiederholte Verstöße gegen zoll- oder steuerrechtliche Vorschriften oder schwere Straftaten zu erlangen, die von diesen natürlichen Personen im Zusammenhang mit ihrer Wirtschaftstätigkeit begangen wurden.

70

Nach alledem ist auf die vorgelegte Frage zu antworten, dass Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung 2015/2447 im Licht der Richtlinie 95/46 und der Verordnung 2016/679 dahin auszulegen ist, dass die Zollbehörden von einem Unternehmen, das die Bewilligung des Status eines AEO beantragt, allein in Bezug auf die natürlichen Personen, die für das antragstellende Unternehmen verantwortlich sind oder die Kontrolle über seine Leitung ausüben, und diejenigen, die für dessen Zollangelegenheiten zuständig sind, verlangen können, dass das Unternehmen die für die Erhebung der Einkommensteuer zugeteilten Steueridentifikationsnummern mitteilt sowie für alle diese Personen Angaben zu den zuständigen Finanzämtern macht, soweit diese Daten es den Zollbehörden ermöglichen, Informationen über schwerwiegende oder wiederholte Verstöße gegen zoll- oder steuerrechtliche Vorschriften oder schwere Straftaten zu erlangen, die von diesen natürlichen Personen im Zusammenhang mit ihrer Wirtschaftstätigkeit begangen wurden.

71

Für die Parteien des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem beim vorlegenden Gericht anhängigen Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Dritte Kammer) für Recht erkannt:

Art. 24 Abs. 1 Unterabs. 2 der Durchführungsverordnung (EU) 2015/2447 der Kommission vom 24. November 2015 mit Einzelheiten zur Umsetzung von Bestimmungen der Verordnung (EU) Nr. 952/2013 des Europäischen Parlaments und des Rates zur Festlegung des Zollkodex der Union ist im Licht der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr und der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) dahin auszulegen, dass die Zollbehörden von einem Unternehmen, das die Bewilligung des Status eines zugelassenen Wirtschaftsbeteiligten beantragt, allein in Bezug auf die natürlichen Personen, die für das antragstellende Unternehmen verantwortlich sind oder die Kontrolle über seine Leitung ausüben, und diejenigen, die für dessen Zollangelegenheiten zuständig sind, verlangen können, dass das Unternehmen die für die Erhebung der Einkommensteuer zugeteilten Steueridentifikationsnummern mitteilt sowie für alle diese Personen Angaben zu den zuständigen Finanzämtern macht, soweit diese Daten es den Zollbehörden ermöglichen, Informationen über schwerwiegende oder wiederholte Verstöße gegen zoll- oder steuerrechtliche Vorschriften oder schwere Straftaten zu erlangen, die von diesen natürlichen Personen im Zusammenhang mit ihrer Wirtschaftstätigkeit begangen wurden.