–

Deutsche Wohnen SE, vertegenwoordigd door O. Geiss, K. Mertens, N. Venn en T. Wybitul, Rechtsanwälte,

–

de Duitse regering, vertegenwoordigd door J. Möller en P.‑L. Krüger als gemachtigden,

–

de Estse regering, vertegenwoordigd door M. Kriisa als gemachtigde,

–

de Nederlandse regering, vertegenwoordigd door C. S. Schillemans als gemachtigde,

–

de Noorse regering, vertegenwoordigd door L.‑M. Moen Jünge, M. Munthe-Kaas en T. Westhagen Edell als gemachtigden,

–

het Europees Parlement, vertegenwoordigd door G. C. Bartram en P. López-Carceller als gemachtigden,

–

de Raad van de Europese Unie, vertegenwoordigd door J. Bauerschmidt en K. Pleśniak als gemachtigden,

–

de Europese Commissie, vertegenwoordigd door A. Bouchagiar, F. Erlbacher, H. Kranenborg en G. Meessen als gemachtigden,

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 83, leden 4 tot en met 6, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).

2

Dit verzoek is ingediend in het kader van een geding tussen Deutsche Wohnen SE (hierna: „DW”) en de Staatsanwaltschaft Berlin (openbaar ministerie Berlijn, Duitsland) over een administratieve geldboete die op grond van artikel 83 AVG aan DW is opgelegd wegens schending van artikel 5, lid 1, onder a), c) en e), artikel 6 en artikel 25, lid 1, van deze verordening.

3

De overwegingen 9, 10, 11, 13, 74, 129 en 150 van de AVG luiden:

[…]

[…]

[…]

[…]

4

Artikel 4 AVG bepaalt:

„Voor de toepassing van deze verordening wordt verstaan onder:

[…]

[…]

[…]”

5

Artikel 58 van deze verordening, met als opschrift „Bevoegdheden”, bepaalt in de leden 2 en 4:

„2.   Elke toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende maatregelen:

[…]

[…]

[…]

[…]

4.   Op de uitoefening van de bevoegdheden die uit hoofde van dit artikel aan de toezichthoudende autoriteit worden verleend, zijn passende waarborgen van toepassing, daaronder begrepen een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling, zoals overeenkomstig het [Handvest van de grondrechten van de Europese Unie] vastgelegd in het Unierecht en het lidstatelijke recht.”

6

Artikel 83 AVG draagt als opschrift „Algemene voorwaarden voor het opleggen van administratieve geldboeten” en bepaalt:

1.   Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.

2.   Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:

3.   Indien een verwerkingsverantwoordelijke of een verwerker opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, is de totale geldboete niet hoger dan die voor de zwaarste inbreuk.

4.   Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 10000000 EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt:

[…]

5.   Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 20000000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt:

6.   Niet-naleving van een bevel van de toezichthoudende autoriteit als bedoeld in artikel 58, lid 2, is overeenkomstig lid 2 van dit artikel onderworpen aan administratieve geldboeten tot 20000000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt.

7.   Onverminderd de bevoegdheden tot het nemen van corrigerende maatregelen van de toezichthoudende autoriteiten overeenkomstig artikel 58, lid 2, kan elke lidstaat regels vaststellen betreffende de vraag of en in hoeverre administratieve geldboeten kunnen worden opgelegd aan in die lidstaat gevestigde overheidsinstanties en overheidsorganen.

8.   De uitoefening door de toezichthoudende autoriteit van haar bevoegdheden uit hoofde van dit artikel is onderworpen aan passende procedurele waarborgen overeenkomstig het Unierecht en het lidstatelijke recht, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.

[…]”

7

§ 41, lid 1, eerste volzin, van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming) van 30 juni 2017 (BGBl. 2017 I, blz. 2097) bepaalt dat, tenzij deze wet anders bepaalt, het Gesetz über Ordnungswidrigkeiten (wet betreffende bestuursrechtelijk bestrafte gedragingen) van 24 mei 1968 (BGBl. 1968 I, blz. 481), in de op 19 februari 1987 bekendgemaakte versie ervan (BGBl. 1987 I, blz. 602), zoals gewijzigd bij wet van 19 juni 2020 (BGBl. 2020 I, blz. 1350; hierna: „OWiG”), van toepassing is op de in artikel 83, leden 4 tot en met 6, AVG bedoelde inbreuken.

8

§ 30 OWiG, met als opschrift „Administratieve geldboeten die worden opgelegd aan rechtspersonen en verenigingen van personen”, bepaalt:

„(1)   Wanneer iemand

een strafbaar feit heeft gepleegd of een bestuursrechtelijk te bestraffen gedraging heeft verricht waardoor de verplichtingen van de rechtspersoon of de vereniging van personen niet zijn nagekomen of waardoor deze rechtspersoon of vereniging van personen zich heeft verrijkt of geacht wordt zich te hebben verrijkt, kan aan die rechtspersoon of vereniging van personen een administratieve geldboete worden opgelegd.

[…]

(4)   Indien het strafbare feit of de bestuursrechtelijk te bestraffen gedraging geen aanleiding geeft tot de inleiding van een strafrechtelijke procedure of een bestuursrechtelijke sanctieprocedure, dan wel indien deze procedure wordt stopgezet of indien geen enkele straf wordt opgelegd, kan de administratieve geldboete autonoom worden opgelegd. De wet kan ook in andere gevallen voorzien in de mogelijkheid om autonoom een administratieve geldboete op te leggen. Het is evenwel uitgesloten om aan de rechtspersoon of de vereniging van personen autonoom een administratieve geldboete op te leggen wanneer het strafbare feit of de bestuursrechtelijk te bestraffen gedraging om juridische redenen niet kan worden vervolgd; […].

[…]”

9

§ 130 OWiG bepaalt:

„(1)   Wie als eigenaar van een inrichting of onderneming opzettelijk of uit onachtzaamheid nalaat de toezichtmaatregelen te nemen die nodig zijn om te voorkomen dat in die inrichting of onderneming de verplichtingen worden geschonden die op de eigenaar rusten en waarvan de niet-nakoming kan leiden tot het opleggen van een straf of een administratieve geldboete, maakt zich schuldig aan een bestuursrechtelijk te bestraffen gedraging wanneer een adequaat toezicht de schending van die verplichtingen zou hebben voorkomen of aanzienlijk zou hebben bemoeilijkt. Tot de nodige toezichtmaatregelen behoren ook de aanwijzing, de zorgvuldige selectie en de controle van de met het toezicht belaste personen.

[…]

(3)   Wanneer op niet-nakoming van een verplichting een straf staat, kan de bestuursrechtelijk te bestraffen gedraging leiden tot het opleggen van een administratieve geldboete van ten hoogste 1 miljoen EUR. § 30, lid 2, derde volzin, is van toepassing. Wanneer wegens niet-nakoming van een verplichting een administratieve geldboete kan worden opgelegd, wordt het maximumbedrag van de administratieve geldboete die wegens niet-nakoming van de toezichtplicht wordt opgelegd, vastgesteld op basis van het maximumbedrag van de administratieve geldboete die wegens niet-nakoming van de betreffende verplichting kan worden opgelegd. […]”

10

DW is een vastgoedvennootschap met de rechtsvorm van een Europese vennootschap, die aan de beurs genoteerd is en die gevestigd is te Berlijn (Duitsland). Zij bezit indirecte deelnemingen in ongeveer 163000 wooneenheden en 3000 commerciële eenheden.

11

De eigenaren van deze eenheden zijn dochterondernemingen van DW, de zogenoemde vennootschappen-eigenaren, die de operationele activiteiten beheren, terwijl DW zich concentreert op de algemene leiding van de groep die zij onder meer met die dochterondernemingen vormt. De vennootschappen-eigenaren huren commerciële en wooneenheden, die worden beheerd door andere vennootschappen van die groep, de zogenoemde werkmaatschappijen.

12

In het kader van hun commerciële activiteiten verwerken DW en de ondernemingen van de door haar geleide groep persoonsgegevens van huurders van de commerciële en wooneenheden, zoals identiteitsbewijzen, fiscale, sociale en ziekteverzekeringsgegevens van deze huurders, alsmede informatie over eerdere huurovereenkomsten.

13

Op 23 juni 2017 heeft de Berliner Beauftragte für den Datenschutz (toezichthoudende autoriteit voor gegevensbescherming Berlijn, Duitsland; hierna: „toezichthoudende autoriteit”) DW er in het kader van een controle ter plaatse op gewezen dat tot haar groep behorende vennootschappen documenten met persoonsgegevens van huurders bewaarden in een elektronisch archiveringssysteem dat niet de mogelijkheid bood om na te gaan of deze bewaring noodzakelijk was, noch om te waarborgen dat niet langer noodzakelijke gegevens werden gewist.

14

De toezichthoudende autoriteit heeft DW verzocht om deze documenten uiterlijk eind 2017 uit haar elektronische archiveringssysteem te verwijderen. In antwoord op dit verzoek heeft DW opgemerkt dat schrapping – om technische en juridische redenen – niet mogelijk was.

15

Na uitwisselingen tussen DW en de toezichthoudende autoriteit over de mogelijkheid om de documenten in kwestie te verwijderen, heeft DW deze autoriteit in kennis gesteld van haar voornemen om een nieuw beschermingsstelsel in te voeren ter vervanging van het systeem dat deze documenten bevatte.

16

Op 5 maart 2019 heeft de toezichthoudende autoriteit een controle uitgevoerd op de centrale zetel van de door DW geleide groep. Ter gelegenheid van deze controle heeft DW de toezichthoudende autoriteit meegedeeld dat het litigieuze elektronische archiveringssysteem reeds buiten gebruik was gesteld en dat de migratie van de gegevens naar het nieuwe bewaringssysteem ophanden was.

17

Bij besluit van 30 oktober 2019 heeft de toezichthoudende autoriteit DW een administratieve geldboete van 14385000 EUR opgelegd wegens opzettelijke schending van artikel 5, lid 1, onder a), c) en e), en artikel 25, lid 1, AVG (hierna: „besluit in kwestie”). Bij dit besluit heeft die autoriteit DW tevens 15 andere geldboeten – voor bedragen tussen 3000 en 17000 EUR – opgelegd wegens schending van artikel 6, lid 1, AVG.

18

In het besluit in kwestie heeft de toezichthoudende autoriteit zich meer bepaald op het standpunt gesteld dat DW tussen 25 mei 2018 en 5 maart 2019 opzettelijk had nagelaten de nodige maatregelen te nemen om het regelmatig wissen mogelijk te maken van persoonsgegevens van huurders die niet langer noodzakelijk waren of die om een andere reden ten onrechte waren opgeslagen. Zij heeft eveneens opgemerkt dat DW de persoonsgegevens van ten minste 15 nauwkeuriger geïdentificeerde huurders bewaard hield zonder dat dit nodig was.

19

DW heeft tegen dat besluit beroep ingesteld bij het Landgericht Berlin (rechter in eerste aanleg Berlijn, Duitsland). Die rechter heeft de procedure stopgezet omdat het besluit in kwestie zodanig ernstige gebreken vertoonde dat dit besluit niet als grondslag voor de oplegging van een administratieve geldboete kon dienen.

20

Het Landgericht Berlin heeft met name opgemerkt dat de oplegging van een administratieve geldboete aan een rechtspersoon uitputtend wordt geregeld in § 30 OWiG, dat op grond van § 41, lid 1, van de federale wet inzake gegevensbescherming van toepassing is op de in artikel 83, leden 4 tot en met 6, AVG bedoelde inbreuken. Volgens § 30 OWiG kan een bestuursrechtelijk te bestraffen gedraging enkel worden geconstateerd jegens een natuurlijke persoon en niet jegens een rechtspersoon. Bovendien kunnen aan een rechtspersoon alleen handelingen van de leden van zijn organen of van zijn vertegenwoordigers worden toegerekend. Hoewel § 30, lid 4, OWiG onder bepaalde voorwaarden toestaat dat tegen een rechtspersoon een autonome administratieve sanctieprocedure wordt ingeleid, is ook in dat geval vereist dat er wordt geconstateerd dat leden van de organen van de betrokken rechtspersoon of zijn vertegenwoordigers zich schuldig hebben gemaakt aan een bestuursrechtelijk te bestraffen gedraging.

21

De Staatsanwaltschaft Berlin heeft tegen die beslissing hoger beroep ingesteld bij het Kammergericht Berlin (hoogste rechterlijke instantie van de deelstaat Berlijn, Duitsland), de verwijzende rechter.

22

De verwijzende rechter vraagt zich in de eerste plaats af of krachtens artikel 83 AVG aan een rechtspersoon een administratieve geldboete moet kunnen worden opgelegd zonder dat de schending van deze verordening vooraf wordt toegerekend aan een geïdentificeerde natuurlijke persoon. Wat dit betreft vraagt hij zich met name af of relevantie toekomt aan het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU.

23

In dit verband zet de verwijzende rechter uiteen dat volgens nationale rechtspraak de in het nationale recht bestaande regeling van beperkte aansprakelijkheid van rechtspersonen in strijd is met de in artikel 83 AVG neergelegde regeling van rechtstreekse aansprakelijkheid van ondernemingen. Volgens die rechtspraak blijkt onder meer uit de bewoordingen van artikel 83 AVG – dat overeenkomstig het beginsel van voorrang van het Unierecht primeert op de nationale regeling – dat aan ondernemingen administratieve geldboeten kunnen worden opgelegd. Anders dan het toepasselijke nationale recht vereist, hoeft de oplegging van administratieve geldboeten dus niet te worden gekoppeld aan een verwijtbare handeling van de organen of bestuurders van de betrokken rechtspersonen.

24

Volgens de verwijzende rechter wordt in de betreffende rechtspraak, net zoals in de meeste nationale rechtsleer, namelijk bijzonder belang gehecht aan het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU, en dus aan de gedachte dat de aansprakelijkheid wordt toegerekend aan de economische entiteit waarbinnen de ongewenste gedraging – bijvoorbeeld de mededingingsverstorende gedraging – is verricht. Volgens deze „functionele” opvatting kunnen alle handelingen van alle werknemers die bevoegd zijn om namens een onderneming op te treden, ook in het kader van administratieve sanctieprocedures worden toegerekend aan die onderneming.

25

In de tweede plaats vraagt de verwijzende rechter zich, voor het geval dat het Hof zou oordelen dat een administratieve geldboete rechtstreeks moet kunnen worden opgelegd aan een rechtspersoon, af welke criteria er gehanteerd moeten worden om vast te stellen of een rechtspersoon als onderneming aansprakelijk is voor een schending van de AVG. Hij wenst met name te vernemen of op grond van artikel 83 van deze verordening aan een rechtspersoon een administratieve geldboete kan worden opgelegd zonder dat is aangetoond dat de aan die rechtspersoon toegerekende schending van die verordening een fout oplevert.

26

In deze omstandigheden heeft het Kammergericht Berlin de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vragen gesteld:

27

Na de pleitzitting van 17 januari 2023 heeft DW, bij akte neergelegd ter griffie van het Hof op 23 maart 2023, verzocht om de heropening van de mondelinge behandeling te gelasten overeenkomstig artikel 83 van het Reglement voor de procesvoering van het Hof.

28

Ter ondersteuning van haar verzoek voert DW in wezen aan dat de antwoorden die de verwijzende rechter heeft gegeven op het overeenkomstig artikel 101 van het Reglement voor de procesvoering tot hem gerichte verzoek om verduidelijkingen, het Hof onjuiste informatie verschaffen over de toepasselijke bepalingen van het nationale recht. Een uitvoerig debat over dit onderwerp ter terechtzitting van 17 januari 2023 was volgens haar evenwel niet mogelijk, omdat partijen pas drie werkdagen vóór die terechtzitting kennis hadden genomen van die antwoorden. Een dergelijke termijn maakte het niet mogelijk om de terechtzitting grondig voor te bereiden.

29

Het is juist dat in artikel 83 van het Reglement voor de procesvoering is bepaald dat het Hof in elke stand van het geding, de advocaat-generaal gehoord, de heropening van de mondelinge behandeling kan gelasten, onder meer wanneer het zich onvoldoende voorgelicht acht of wanneer een partij na afsluiting van de mondelinge behandeling een nieuw feit aanbrengt dat mogelijkerwijs van beslissende invloed is op de beslissing van het Hof, of wanneer een zaak moet worden beslecht op basis van een argument waarover de belanghebbenden hun standpunten niet voldoende hebben kunnen uitwisselen.

30

In casu merkt het Hof evenwel op dat het over alle noodzakelijke gegevens beschikt om uitspraak te doen en dat de onderhavige zaak niet hoeft te worden beslecht op basis van argumenten waarover de belanghebbenden hun standpunten niet hebben kunnen uitwisselen. Bovendien wordt in het verzoek tot heropening van de mondelinge behandeling geen melding gemaakt van enig nieuw feit dat van beslissende invloed zou kunnen zijn op de beslissing die het Hof in deze zaak moet geven.

31

Het Hof, de advocaat-generaal gehoord, ziet dan ook geen aanleiding om de heropening van de mondelinge behandeling te gelasten.

32

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 58, lid 2, en artikel 83, leden 1 tot en met 6, AVG aldus moeten worden uitgelegd dat zij zich verzetten tegen een nationale regeling op grond waarvan aan een rechtspersoon in zijn hoedanigheid van verwerkingsverantwoordelijke wegens een in de leden 4 tot en met 6 van dat artikel 83 bedoelde inbreuk alleen een administratieve geldboete kan worden opgelegd indien deze inbreuk vooraf is toegerekend aan een geïdentificeerde natuurlijke persoon.

33

Vooraf zij opgemerkt dat de Duitse regering in haar schriftelijke opmerkingen twijfels heeft geuit over deze uitlegging van het nationale recht door de verwijzende rechter, omdat op grond van § 130 OWiG ook buiten de in § 30 OWiG bedoelde gevallen een geldboete kan worden opgelegd aan een rechtspersoon. Bovendien kan op grond van deze twee bepalingen een zogenoemde anonieme geldboete worden opgelegd in het kader van een tegen de onderneming ingeleide procedure, zonder dat de natuurlijke persoon die de inbreuk in kwestie heeft gepleegd, hoeft te worden geïdentificeerd.

34

In antwoord op een aan de verwijzende rechter gericht verzoek om verduidelijkingen dat is vermeld in punt 28 van dit arrest heeft die rechter opgemerkt dat § 130 OWiG niet van invloed is op de beantwoording van de eerste prejudiciële vraag.

35

Volgens de verwijzende rechter ziet deze bepaling namelijk op de eigenaar van een inrichting of onderneming die op verwijtbare wijze een toezichtverplichting niet is nagekomen. Het bewijs van dergelijke niet-nakoming van verplichtingen van de eigenaar van de onderneming is echter uitermate ingewikkeld en vaak onmogelijk te leveren, en over het antwoord op de vraag of een groep van ondernemingen als „onderneming” of „eigenaar van een onderneming” in de zin van die bepaling kan worden aangemerkt, bestaat er op nationaal niveau discussie. In elk geval is de eerste prejudiciële vraag ook in deze context relevant.

36

In herinnering dient te worden gebracht dat het Hof bij de uitlegging van bepalingen van de nationale rechtsorde in beginsel de kwalificaties in de verwijzingsbeslissing tot uitgangspunt dient te nemen. Volgens vaste rechtspraak is het Hof namelijk niet bevoegd om het nationale recht van een lidstaat uit te leggen (arrest van 26 januari 2021, Hessischer Rundfunk,C‑422/19 en C‑423/19, EU:C:2021:63, punt 31 en aldaar aangehaalde rechtspraak).

37

Derhalve moet bij de beantwoording van de eerste prejudiciële vraag worden uitgegaan van de premisse dat krachtens het toepasselijke nationale recht aan een rechtspersoon in zijn hoedanigheid van verwerkingsverantwoordelijke wegens een in artikel 83, leden 4 tot en met 6, AVG bedoelde inbreuk alleen een administratieve geldboete kan worden opgelegd onder de in § 30 OWiG vastgestelde voorwaarden, zoals die zijn uiteengezet door de verwijzende rechter.

38

Om deze eerste vraag te beantwoorden zij om te beginnen opgemerkt dat de in de AVG neergelegde beginselen, verboden en verplichtingen in het bijzonder gericht zijn tot de „verwerkingsverantwoordelijken”, die – zoals in overweging 74 van de AVG wordt beklemtoond – verantwoordelijk zijn voor elke door of namens hen uitgevoerde verwerking van persoonsgegevens en die daarom niet alleen passende en doeltreffende maatregelen moeten treffen, maar tevens moeten kunnen aantonen dat hun verwerkingsactiviteiten in overeenstemming zijn met de AVG, wat onder meer inhoudt dat de door hen getroffen maatregelen doeltreffend zijn om die overeenstemming te waarborgen. Wanneer een in artikel 83, leden 4 tot en met 6, van deze verordening bedoelde inbreuk is begaan, vormt deze verantwoordelijkheid de grondslag om overeenkomstig dat artikel 83 een administratieve geldboete op te leggen aan de verwerkingsverantwoordelijke.

39

In artikel 4, punt 7, AVG wordt het begrip „verwerkingsverantwoordelijke” ruim gedefinieerd als een natuurlijke of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die respectievelijk dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

40

Deze ruime definitie in artikel 4, punt 7, AVG – die uitdrukkelijk ook rechtspersonen omvat – strekt ertoe om in overeenstemming met het doel van de AVG een doeltreffende bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen en in het bijzonder een hoog niveau van bescherming van het recht van eenieder op bescherming van zijn persoonsgegevens te waarborgen (zie in die zin arresten van 29 juli 2019, Fashion ID,C‑40/17, EU:C:2019:629, punt 66, en 28 april 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, punt 73 en aldaar aangehaalde rechtspraak).

41

Het Hof heeft tevens reeds geoordeeld dat iedere natuurlijke of rechtspersoon die om hem moverende redenen invloed uitoefent op de verwerking van persoonsgegevens en bijgevolg betrokken is bij de vaststelling van het doel van en de middelen voor deze verwerking, kan worden geacht voor de verwerking verantwoordelijk te zijn (zie in die zin arrest van 10 juli 2018, Jehovan todistajat,C‑25/17, EU:C:2018:551, punt 68).

42

Uit de bewoordingen en het doel van artikel 4, punt 7, AVG volgt dus dat de Uniewetgever bij de vaststelling van de verantwoordelijkheid op grond van deze verordening geen onderscheid heeft gemaakt tussen natuurlijke personen en rechtspersonen, aangezien voor deze verantwoordelijkheid als enige voorwaarde geldt dat die personen, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststellen.

43

Derhalve is – onder voorbehoud van wat in artikel 83, lid 7, AVG is bepaald met betrekking tot overheidsinstanties en -organen – eenieder die aan die voorwaarde voldoet, ongeacht of het gaat om een natuurlijke persoon, een rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, onder meer aansprakelijk voor elke in artikel 83, leden 4 tot en met 6, bedoelde inbreuk die door die persoon, instantie, dienst of orgaan dan wel voor zijn respectievelijk haar rekening is begaan.

44

Wat rechtspersonen betreft, impliceert dit om te beginnen dat deze – zoals de advocaat-generaal in de punten 57 tot en met 59 van zijn conclusie in wezen heeft opgemerkt – niet alleen aansprakelijk zijn voor inbreuken die worden begaan door hun vertegenwoordigers, directeuren of beheerders, maar ook voor de inbreuken die worden begaan door iedere andere persoon die in het kader van de handelsactiviteiten van en voor rekening van die rechtspersonen optreedt. Daarnaast moeten de administratieve geldboeten waarin artikel 83 AVG voor dergelijke inbreuken voorziet, rechtstreeks aan rechtspersonen kunnen worden opgelegd wanneer deze kunnen worden aangemerkt als verantwoordelijk voor de verwerking in kwestie.

45

Vervolgens zij opgemerkt dat in artikel 58, lid 2, AVG nauwkeurig wordt bepaald over welke bevoegdheden de toezichthoudende autoriteiten beschikken om corrigerende maatregelen vast te stellen, zonder dat wordt verwezen naar het recht van de lidstaten of dat de lidstaten een beoordelingsmarge wordt gelaten. Deze bevoegdheden – waartoe op grond van artikel 58, lid 2, onder i), AVG de bevoegdheid om een administratieve geldboete op te leggen behoort – hebben het oog op de verwerkingsverantwoordelijke, die zowel een natuurlijke als een rechtspersoon kan zijn, zoals blijkt uit punt 39 van dit arrest. De materiële voorwaarden die een toezichthoudende autoriteit in acht moet nemen wanneer zij een dergelijke geldboete oplegt, zijn op hun beurt nauwkeurig vastgesteld in artikel 83, leden 1 tot en met 6, AVG, zonder dat de lidstaten daarbij beoordelingsruimte wordt gelaten.

46

Uit de gezamenlijke lezing van artikel 4, punt 7, artikel 83 en artikel 58, lid 2, onder i), AVG volgt dus dat een administratieve geldboete wegens een in dat artikel 83, leden 4 tot en met 6, bedoelde inbreuk ook kan worden opgelegd aan rechtspersonen die de hoedanigheid van verwerkingsverantwoordelijke hebben. Daarentegen kan er uit geen enkele bepaling van de AVG worden afgeleid dat voor de oplegging van een administratieve geldboete aan een rechtspersoon als verwerkingsverantwoordelijke de voorwaarde geldt dat voorafgaandelijk is geconstateerd dat die inbreuk is begaan door een geïdentificeerde natuurlijke persoon.

47

Het is juist dat uit artikel 58, lid 4, en artikel 83, lid 8, AVG, gelezen in het licht van overweging 129 van deze verordening, blijkt dat de uitoefening door de toezichthoudende autoriteit van de haar bij die artikelen verleende bevoegdheden onderworpen is aan passende procedurele waarborgen overeenkomstig het Unierecht en het lidstatelijke recht, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.

48

Dat de AVG aldus de lidstaten de mogelijkheid biedt om eisen te stellen aan de procedure die de toezichthoudende autoriteiten moeten volgen om een administratieve geldboete op te leggen, betekent geenszins dat zij tevens bevoegd zijn om naast dergelijke procedurele vereisten ook andere materiële voorwaarden vast te stellen dan die welke zijn neergelegd in artikel 83, leden 1 tot en met 6, van die verordening. Dat de Uniewetgever uitdrukkelijk in die mogelijkheid heeft voorzien, maar niet in de mogelijkheid om aanvullende materiële voorwaarden vast te stellen, bevestigt bovendien dat hij de lidstaten ter zake geen beoordelingsruimte heeft gelaten. Die materiële voorwaarden vallen dus uitsluitend onder het Unierecht.

49

De hierboven gegeven letterlijke uitlegging van artikel 58, lid 2, en artikel 83, leden 1 tot en met 6, AVG vindt steun in de doelstelling van deze verordening.

50

Met name blijkt uit overweging 10 van de AVG dat de bepalingen van deze verordening met name tot doel hebben natuurlijke personen een consistent en hoog niveau van bescherming van persoonsgegevens binnen de Unie te bieden en daartoe te zorgen voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van die personen in verband met de verwerking van persoonsgegevens. In de overwegingen 11 en 129 van de AVG wordt bovendien beklemtoond dat met het oog op een consequente toepassing van deze verordening moet worden gewaarborgd dat de toezichthoudende autoriteiten gelijkwaardige bevoegdheden hebben op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming, alsmede dat zij vergelijkbare sancties voor inbreuken op die verordening kunnen opleggen.

51

Het zou in strijd zijn met die doelstelling van de AVG als het de lidstaten werd toegestaan om eenzijdig als noodzakelijke voorwaarde voor de oplegging van een administratieve geldboete op grond van artikel 83 AVG aan een verwerkingsverantwoordelijke die een rechtspersoon is, te eisen dat de inbreuk in kwestie vooraf wordt toegerekend of kan worden toegerekend aan een geïdentificeerde natuurlijke persoon. Bovendien zou een dergelijk aanvullend vereiste uiteindelijk afbreuk dreigen te doen aan de doeltreffendheid en de afschrikkende werking van administratieve geldboeten die worden opgelegd aan rechtspersonen als verwerkingsverantwoordelijken, wat in strijd zou zijn met artikel 83, lid 1, AVG.

52

In dit verband zij eraan herinnerd dat artikel 288, tweede alinea, VWEU bepaalt dat een verordening van de Unie verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat, wat behoudens andersluidende bepalingen uitsluit dat de lidstaten interne bepalingen vaststellen die de draagwijdte van een dergelijke verordening aantasten. Bovendien zijn de lidstaten op grond van de uit het VWEU voortvloeiende verplichtingen gehouden om de rechtstreekse toepasselijkheid van verordeningen niet te beletten. Met name mogen zij geen handeling vaststellen waarmee de Unierechtelijke aard van een rechtsregel en de daaruit voortvloeiende gevolgen zouden worden verborgen voor de justitiabelen (arrest van 15 november 2012, Al-Aqsa/Raad en Nederland/Al-Aqsa, C‑539/10 P en C‑550/10 P, EU:C:2012:711, punten 86 en 87 en aldaar aangehaalde rechtspraak).

53

Ten slotte moet – gelet op de vragen van de verwijzende rechter – worden opgemerkt dat het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU geen invloed heeft op de beantwoording van de vraag of en onder welke voorwaarden overeenkomstig artikel 83 AVG een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke die een rechtspersoon is, aangezien deze kwestie uitputtend wordt geregeld in artikel 58, lid 2, en artikel 83, leden 1 tot en met 6, van die verordening.

54

Dat begrip is immers enkel relevant voor de vaststelling van het bedrag van de administratieve geldboete die op grond van artikel 83, leden 4 tot en met 6, AVG aan een verwerkingsverantwoordelijke wordt opgelegd.

55

Zoals de advocaat-generaal in punt 45 van zijn conclusie heeft opgemerkt, moet de verwijzing in overweging 150 van de AVG naar het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU worden begrepen tegen die specifieke achtergrond van de berekening van de administratieve geldboeten die worden opgelegd wegens de in artikel 83, leden 4 tot en met 6, van die verordening bedoelde inbreuken.

56

In dit verband moet worden beklemtoond dat dit begrip voor de toepassing van de mededingingsregels van de artikelen 101 en 102 VWEU ziet op elke eenheid die een economische activiteit uitoefent, ongeacht haar rechtsvorm en de wijze waarop zij wordt gefinancierd. Dat begrip verwijst dus naar een economische eenheid, ook al bestaat deze economische eenheid juridisch gezien uit meerdere natuurlijke of rechtspersonen. Die economische eenheid is een unitaire organisatie van personele, materiële en immateriële elementen die op duurzame basis een bepaald economisch doel nastreeft (arrest van 6 oktober 2021, Sumal,C‑882/19, EU:C:2021:800, punt 41 en aldaar aangehaalde rechtspraak).

57

Zo blijkt uit artikel 83, leden 4 tot en met 6, AVG – dat betrekking heeft op de berekening van administratieve geldboeten die worden opgelegd wegens de in die leden genoemde inbreuken – dat, wanneer degene aan wie de administratieve geldboete wordt opgelegd een onderneming is of deel uitmaakt van een onderneming in de zin van de artikelen 101 en 102 VWEU, het maximumbedrag van de administratieve geldboete wordt berekend op basis van een percentage van de totale wereldwijde jaaromzet van de betrokken onderneming in het voorafgaande boekjaar.

58

Zoals de advocaat-generaal in punt 47 van zijn conclusie heeft opgemerkt, kan uiteindelijk alleen een administratieve geldboete waarvan het bedrag door de toezichthoudende autoriteit – aan de hand van de werkelijke of materiële economische draagkracht van degene aan wie deze geldboete wordt opgelegd – wordt vastgesteld met gebruikmaking van het begrip „economische eenheid” in de zin van de in punt 56 van het onderhavige arrest aangehaalde rechtspraak, voldoen aan de drie voorwaarden van artikel 83, lid 1, AVG, die inhouden dat de administratieve geldboete zowel doeltreffend, evenredig als afschrikkend moet zijn.

59

Wanneer een toezichthoudende autoriteit op grond van de bevoegdheden waarover zij krachtens artikel 58, lid 2, AVG beschikt, besluit om een verwerkingsverantwoordelijke die een onderneming is of die deel uitmaakt van een onderneming in de zin van de artikelen 101 en 102 VWEU, een administratieve geldboete op te leggen overeenkomstig artikel 83 AVG, moet die autoriteit zich dus krachtens laatstgenoemde bepaling, gelezen in het licht van overweging 150 van deze verordening, bij de berekening van de administratieve geldboeten wegens de in de leden 4 tot en met 6 van dat artikel 83 bedoelde inbreuken baseren op het begrip „onderneming” in de zin van die artikelen 101 en 102 VWEU.

60

Gelet op een en ander dient op de eerste prejudiciële vraag te worden geantwoord dat artikel 58, lid 2, onder i), en artikel 83, leden 1 tot en met 6, AVG aldus moeten worden uitgelegd dat zij zich verzetten tegen een nationale regeling op grond waarvan aan een rechtspersoon in zijn hoedanigheid van verwerkingsverantwoordelijke wegens een in de leden 4 tot en met 6 van dat artikel 83 bedoelde inbreuk alleen een administratieve geldboete kan worden opgelegd indien deze inbreuk vooraf is toegerekend aan een geïdentificeerde natuurlijke persoon.

61

Met zijn tweede vraag, die is gesteld voor het geval dat de eerste prejudiciële vraag bevestigend wordt beantwoord, wenst de verwijzende rechter in wezen te vernemen of artikel 83 AVG aldus moet worden uitgelegd dat krachtens deze bepaling slechts een administratieve geldboete kan worden opgelegd indien vaststaat dat de verwerkingsverantwoordelijke, die zowel een rechtspersoon als een onderneming is, opzettelijk of uit nalatigheid een in de leden 4 tot en met 6 van dat artikel bedoelde inbreuk heeft begaan.

62

In dit verband zij eraan herinnerd dat uit artikel 83, lid 1, AVG volgt dat administratieve geldboeten doeltreffend, evenredig en afschrikkend moeten zijn. In artikel 83 AVG is daarentegen niet uitdrukkelijk bepaald dat de in de leden 4 tot en met 6 van dat artikel bedoelde inbreuken slechts met een dergelijke geldboete kunnen worden bestraft indien zij opzettelijk of op zijn minst uit nalatigheid zijn begaan.

63

De Duitse, de Estse en de Noorse regering alsook de Raad van de Europese Unie leiden daaruit onder meer af dat de Uniewetgever de lidstaten enige beoordelingsruimte heeft willen laten bij de uitvoering van artikel 83 AVG, zodat zij het in voorkomend geval mogelijk kunnen maken dat op grond van deze bepaling administratieve geldboeten worden opgelegd zonder dat is aangetoond dat de met deze geldboete bestrafte inbreuk op de AVG opzettelijk of uit nalatigheid is begaan.

64

Deze uitlegging van artikel 83 AVG kan niet worden aanvaard.

65

Zoals in de punten 45 en 48 van dit arrest is geconstateerd, vallen de materiële voorwaarden die een toezichthoudende autoriteit in acht moet nemen wanneer zij een administratieve geldboete oplegt aan een verwerkingsverantwoordelijke, uitsluitend onder het Unierecht, aangezien deze voorwaarden nauwkeurig zijn vastgesteld in artikel 83, leden 1 tot en met 6, AVG, zonder dat de lidstaten daarbij beoordelingsruimte wordt gelaten (zie ook arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:XXX, punten 64‑70).

66

Ten aanzien van die voorwaarden zij opgemerkt dat artikel 83, lid 2, AVG de factoren opsomt die de toezichthoudende autoriteit in aanmerking neemt wanneer zij de verwerkingsverantwoordelijke een administratieve geldboete oplegt. Een van deze factoren – die wordt genoemd in deze bepaling, onder b) – is „de opzettelijke of nalatige aard van de inbreuk”. Daarentegen is er bij geen van de in die bepaling opgesomde factoren sprake van welke mogelijkheid ook om de verwerkingsverantwoordelijke aansprakelijk te stellen wanneer hij geen fout heeft begaan.

67

Bovendien moet artikel 83, lid 2, AVG worden gelezen in samenhang met lid 3 van datzelfde artikel, dat bepaalt welke gevolgen de cumulatie van inbreuken op die verordening heeft en dat als volgt luidt: „Indien een verwerkingsverantwoordelijke of een verwerker opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, is de totale geldboete niet hoger dan die voor de zwaarste inbreuk.”

68

Uit de bewoordingen van artikel 83, lid 2, AVG volgt dus dat krachtens deze bepaling aan de verwerkingsverantwoordelijke enkel een administratieve geldboete kan worden opgelegd wanneer hij verwijtbaar – dat wil zeggen opzettelijk of uit nalatigheid – de bepalingen van die verordening schendt.

69

Deze lezing vindt steun in de algemene opzet en het doel van de AVG.

70

Ten eerste heeft de Uniewetgever voorzien in een stelsel van sancties op grond waarvan de toezichthoudende autoriteiten de sancties kunnen opleggen die in de omstandigheden van het geval het meest geschikt zijn.

71

Artikel 58, lid 2, onder i), AVG bepaalt namelijk dat deze autoriteiten op grond van artikel 83 van deze verordening administratieve geldboeten kunnen opleggen „naast of in plaats van” de overige in artikel 58, lid 2, opgesomde corrigerende maatregelen, zoals waarschuwingen, berispingen of bevelen. Evenzo staat in overweging 148 van de AVG onder meer te lezen dat het de toezichthoudende autoriteiten is toegestaan om geen administratieve geldboete op te leggen en in plaats daarvan een berisping te geven indien er sprake is van een kleine inbreuk of indien de te verwachten administratieve geldboete een onevenredige last zou opleveren voor een natuurlijke persoon.

72

Ten tweede hebben de bepalingen van de AVG – zoals in punt 50 van dit arrest is opgemerkt – onder meer tot doel een consistent en hoog niveau van bescherming van persoonsgegevens binnen de Unie te bieden en daartoe te zorgen voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van die personen in verband met de verwerking van persoonsgegevens. Bovendien moeten de toezichthoudende autoriteiten met het oog op een consequente toepassing van de AVG beschikken over gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming, zodat zij vergelijkbare sancties kunnen opleggen voor inbreuken op die verordening.

73

Het bestaan van een sanctieregeling die het mogelijk maakt om een administratieve geldboete op grond van artikel 83 AVG op te leggen wanneer de specifieke omstandigheden van het concrete geval dit rechtvaardigen, zet verwerkingsverantwoordelijken en verwerkers ertoe aan om die verordening na te leven. Door hun afschrikkende werking dragen administratieve geldboeten bij tot de versterking van de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, zodat zij een sleutelelement vormen om de eerbiediging van de rechten van die personen te waarborgen, overeenkomstig de met de AVG nagestreefde doelstelling om natuurlijke personen een hoog niveau van bescherming te bieden in verband met de verwerking van persoonsgegevens.

74

De Uniewetgever heeft het evenwel niet noodzakelijk geacht om het – teneinde een dergelijk hoog niveau van bescherming te bieden – mogelijk te maken administratieve geldboeten op te leggen wanneer er geen fout is begaan. Gelet op het feit dat met de AVG zowel een gelijkwaardig als een homogeen beschermingsniveau wordt nagestreefd en dat deze verordening daartoe in de gehele Unie consequent moet worden toegepast, zou het in strijd met deze doelstelling zijn om de lidstaten toe te staan te voorzien in een dergelijke regeling voor de oplegging van een geldboete op grond van artikel 83 van die verordening. Een dergelijke keuzevrijheid zou bovendien de mededinging tussen de marktdeelnemers binnen de Unie kunnen vervalsen, hetgeen zou indruisen tegen de doelstellingen die de Uniewetgever onder meer in de overwegingen 9 en 13 van de AVG tot uitdrukking heeft gebracht.

75

Derhalve moet worden vastgesteld dat op grond van artikel 83 AVG geen administratieve geldboete wegens een in de leden 4 tot en met 6 van deze verordening bedoelde inbreuk kan worden opgelegd indien er niet is aangetoond dat de verwerkingsverantwoordelijke deze inbreuk opzettelijk of uit nalatigheid heeft begaan, en dat het voor de oplegging van een dergelijke geldboete een voorwaarde is dat de inbreuk in kwestie verwijtbaar is begaan.

76

In dit verband dient met betrekking tot de vraag of een inbreuk opzettelijk of uit nalatigheid is begaan en bijgevolg kan worden bestraft met een administratieve geldboete op grond van artikel 83 AVG, nog te worden gepreciseerd dat een verwerkingsverantwoordelijke wegens een binnen de werkingssfeer van deze verordening vallende gedraging kan worden gestraft wanneer hij niet onkundig kon zijn van het feit dat zijn gedraging een inbreuk opleverde, ongeacht of hij er zich van bewust was dat hij de bepalingen van de AVG schond (zie naar analogie arresten van 18 juni 2013, Schenker & Co. e.a., C‑681/11, EU:C:2013:404, punt 37 en aldaar aangehaalde rechtspraak; 25 maart 2021, Lundbeck/Commissie,C‑591/16 P, EU:C:2021:243, punt 156, en 25 maart 2021, Arrow Group en Arrow Generics/Commissie, C‑601/16 P, EU:C:2021:244, punt 97).

77

Wanneer de verwerkingsverantwoordelijke een rechtspersoon is, dient er tevens te worden gepreciseerd dat de toepassing van artikel 83 AVG geen handeling en zelfs geen kennis van het leidinggevend orgaan van die rechtspersoon vereist (zie naar analogie arresten van 7 juni 1983, Musique Diffusion française e.a./Commissie,100/80–103/80, EU:C:1983:158, punt 97, en 16 februari 2017, Tudapetrol Mineralölerzeugnisse Nils Hansen/Commissie,C‑94/15 P, EU:C:2017:124, punt 28 en aldaar aangehaalde rechtspraak).

78

Gelet op een en ander dient op de tweede prejudiciële vraag te worden geantwoord dat artikel 83 AVG aldus moet worden uitgelegd dat krachtens deze bepaling slechts een administratieve geldboete kan worden opgelegd indien vaststaat dat de verwerkingsverantwoordelijke, die zowel een rechtspersoon als een onderneming is, opzettelijk of uit nalatigheid een in de leden 4 tot en met 6 van dat artikel bedoelde inbreuk heeft begaan.

79

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Grote kamer) verklaart voor recht: