–

Deutsche Post AG, vertegenwoordigd door U. Möllenhoff, Rechtsanwalt,

–

Hauptzollamt Köln, vertegenwoordigd door W. Liebe, M. Greve-Giesow en M. Hageroth als gemachtigden,

–

de Spaanse regering, vertegenwoordigd door S. Jiménez García en V. Ester Casas als gemachtigden,

–

de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door G. Albenzio, avvocato dello Stato,

–

de Hongaarse regering, vertegenwoordigd door M. Z. Fehér, G. Koós en R. Kissné Berta als gemachtigden,

–

de Europese Commissie, vertegenwoordigd door B.‑R. Killmann en F. Clotuche-Duvieusart als gemachtigden,

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 24, lid 1, tweede alinea, van uitvoeringsverordening (EU) 2015/2447 van de Commissie van 24 november 2015 houdende nadere uitvoeringsvoorschriften voor enkele bepalingen van verordening (EU) nr. 952/2013 van het Europees Parlement en de Raad tot vaststelling van het douanewetboek van de Unie (PB 2015, L 343, blz. 558).

2

Dit verzoek is ingediend in het kader van een geding tussen Deutsche Post AG en Hauptzollamt Köln (douanehoofdkantoor Keulen, Duitsland; hierna: „douanehoofdkantoor”) betreffende de aard en omvang van de persoonsgegevens van derden die een onderneming moet indienen om aanspraak te kunnen maken op de status van geautoriseerde marktdeelnemer zoals bedoeld in artikel 39 van verordening (EU) nr. 952/2013 van het Europees Parlement en de Raad van 9 oktober 2013 tot vaststelling van het douanewetboek van de Unie (PB 2013, L 269, blz. 1; hierna: „douanewetboek”).

3

Hoofdstuk 2 van titel I van het douanewetboek heeft als opschrift „Rechten en plichten van personen in het kader van de douanewetgeving”. Afdeling 4 van dit hoofdstuk, met als opschrift „Geautoriseerde marktdeelnemer” (Authorised Economic Operator; hierna: „AEO”), bevat de artikelen 38 tot en met 41.

4

Artikel 38 van dit wetboek luidt:

„1.   Een marktdeelnemer die in het douanegebied van de Unie is gevestigd en aan de in artikel 39 gestelde criteria voldoet, kan de status van [AEO] aanvragen.

Deze status wordt door de douaneautoriteiten verleend, indien nodig na overleg met andere bevoegde autoriteiten, en is aan toezicht onderworpen.

2.   De status van [AEO] bestaat uit de volgende soorten vergunningen:

[...]

5.   De douaneautoriteiten verlenen, op grond van de erkenning van de status van [AEO] voor douanevereenvoudigingen en mits is voldaan aan de eisen voor een bepaalde vorm van bij de douanewetgeving vastgestelde vereenvoudiging, toestemming aan de betrokkene om van die vereenvoudiging gebruik te maken. Criteria die reeds onderzocht zijn bij de verlening van de status van [AEO], worden niet opnieuw door de douaneautoriteiten onderzocht.

6.   De in lid 2 bedoelde [AEO] krijgt op het vlak van douanecontroles, naargelang de verleende vergunning, een gunstiger behandeling dan andere marktdeelnemers, onder meer in de vorm van minder fysieke en op documenten gebaseerde controles.

[...]”

5

In artikel 39 van voornoemd wetboek is het volgende bepaald:

„De criteria voor de toekenning van de status van [AEO] zijn de volgende:

[...]”

6

Artikel 41, eerste alinea, van hetzelfde wetboek luidt als volgt:

„De Commissie stelt door middel van uitvoeringshandelingen de nadere bepalingen vast voor de toepassing van de in artikel 39 bedoelde criteria.”

7

Hoofdstuk 2 van titel I van uitvoeringsverordening 2015/2447 heeft als opschrift „Rechten en plichten van personen in het kader van de douanewetgeving”. Afdeling 3 van dit hoofdstuk, met als opschrift „Geautoriseerde marktdeelnemer”, bevat de artikelen 24 tot en met 35.

8

Artikel 24, lid 1, tweede alinea, van deze verordening luidt:

„Wanneer de aanvrager geen natuurlijke persoon is, wordt geacht aan het criterium in artikel 39, onder a), van het [douane]wetboek te zijn voldaan wanneer geen van de volgende personen gedurende de afgelopen drie jaar ernstige of herhaalde overtredingen op de douanewetgeving en belastingvoorschriften [heeft] begaan of een strafblad met zware misdrijven in verband met de economische activiteit [heeft] gehad:

9

In gedelegeerde verordening (EU) 2016/341 van de Commissie van 17 december 2015 tot aanvulling van verordening nr. 952/2013 met overgangsregels voor enkele bepalingen van het douanewetboek van de Unie voor de gevallen waarin de relevante elektronische systemen nog niet operationeel zijn, en tot wijziging van gedelegeerde verordening (EU) 2015/2446 van de Commissie (PB 2016, L 69, blz. 1), staat in overweging 9 het volgende te lezen:

„Aangezien de upgrade van het elektronische systeem dat vereist is voor de toepassing van de bepalingen van het wetboek betreffende zowel de aanvraag als de vergunning van de status van [AEO], nog moet plaatsvinden, moeten de huidige papieren en elektronische middelen verder worden gebruikt totdat de upgrade van het systeem heeft plaatsgevonden.”

10

In artikel 1 van deze verordening is bepaald:

„1.   Bij deze verordening worden overgangsmaatregelen vastgesteld betreffende de middelen voor de uitwisseling en de opslag van gegevens zoals bedoeld in artikel 278 van het [douane]wetboek totdat de voor de toepassing van de bepalingen van [dit] wetboek benodigde elektronische systemen operationeel zijn.

2.   De gegevensvereisten, -formaten en ‑codes die moeten worden toegepast tijdens de overgangsperioden die zijn vastgesteld in deze verordening, gedelegeerde verordening (EU) 2015/2446 [van de Commissie van 28 juli 2015 tot aanvulling van verordening nr. 952/2013 met nadere regels betreffende een aantal bepalingen van het douanewetboek (PB 2015, L 343, blz. 1)] en uitvoeringsverordening [...] 2015/2447 zijn vastgesteld in de bijlagen bij deze verordening.”

11

Hoofdstuk 1 van gedelegeerde verordening 2016/341 heeft als opschrift „Algemene bepalingen”. Afdeling 3 van dit hoofdstuk, met als opschrift „Aanvraag voor de AEO‑status”, bevat artikel 5 van deze verordening, waarin het volgende is bepaald:

„1.   Tot de datum van de upgrade van het AEO‑systeem zoals bedoeld in de bijlage bij uitvoeringsbesluit 2014/255/EU [van de Commissie van 29 april 2014 tot vaststelling van het werkprogramma voor het douanewetboek (PB 2014, L 134, blz. 46)], kunnen de douaneautoriteiten toestaan dat andere middelen dan elektronische gegevensverwerkingstechnieken worden gebruikt voor aanvragen en beschikkingen in het kader van een AEO of elke latere gebeurtenis met eventuele invloed op de oorspronkelijke aanvraag of beschikking.

2.   In de in lid 1 van dit artikel bedoelde gevallen geldt dat:

[...]”.

12

Bijlage 6 bij deze verordening bevat een passage met het opschrift „Toelichting”. In punt 19 van deze toelichting inzake de naam, datum en handtekening van de aanvrager staat het volgende vermeld:

„[...]

Aantal bijlagen: de aanvrager dient de volgende algemene informatie te verstrekken:

[...]

[...]”

13

In artikel 2 van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), was het volgende bepaald:

„In de zin van deze richtlijn wordt verstaan onder:

[...]”

14

Artikel 6 van genoemde richtlijn was als volgt verwoord:

„1.   De lidstaten bepalen dat de persoonsgegevens:

[...]

2.   Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”

15

Artikel 7 van deze richtlijn luidde:

„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:

[...]

[...]”

16

Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1), is op 24 mei 2016 in werking getreden. Bij deze verordening werd richtlijn 95/46 per 25 mei 2018 ingetrokken.

17

In artikel 4 van deze verordening zijn onder meer de volgende definities opgenomen:

„Voor de toepassing van deze verordening wordt verstaan onder:

[...]”

18

In artikel 5 van deze verordening, met als opschrift „Beginselen inzake verwerking van persoonsgegevens”, is het volgende bepaald:

„1.   Persoonsgegevens moeten:

[...]

2.   De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

19

In artikel 6 van deze verordening, met als opschrift „Rechtmatigheid van de verwerking”, is bepaald:

„1.   De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

[...]

[...]

3.   De rechtsgrond voor de in lid 1, [onder] c) en e), bedoelde verwerking moet worden vastgesteld bij:

Het doel van de verwerking wordt in die rechtsgrond vastgesteld [...]. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en ‑procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.

[...]”

20

In § 139a, lid 1, van de Abgabenordnung (belastingwet; hierna: „AO”) in de op het hoofdgeding toepasselijke versie, wordt het volgende vastgesteld:

„Met het oog op de ondubbelzinnige identificatie van belastingplichtigen in het kader van belastingheffing kent het Bundeszentralamt für Steuern (Duits federaal belastingkantoor) een eenvormig en onveranderlijk kenmerk (identificatiekenmerk) toe aan elke belastingplichtige. Dit identificatiekenmerk dient door de belastingplichtige en door derden die gehouden zijn gegevens betreffende de belastingplichtige door te geven aan de belastingdienst, te worden aangegeven in tot de belastingdienst gerichte verzoeken, aangiften en kennisgevingen. Het is samengesteld uit een reeks cijfers die niet mag zijn gevormd uit of afgeleid van andere gegevens betreffende de belastingplichtige. Het laatste cijfer is een controlecijfer. [...]”

21

In § 139b AO, met als opschrift „Identificatienummer”, wordt het volgende bepaald:

„(1)   Aan elke natuurlijke persoon mag niet meer dan één identificatienummer worden toegekend. [...]

(2)   De belastingdienst is alleen gerechtigd het identificatienummer op te vragen en te gebruiken voor zover dit noodzakelijk is om zijn wettelijke taken te kunnen vervullen of dit uitdrukkelijk is toegestaan of voorgeschreven bij een wettelijke bepaling. Andere overheidsinstanties en particuliere partijen mogen

[...]

[...]”

22

§ 38, leden 1 en 3, van het Einkommensteuergesetz (wet inzake de inkomstenbelasting; hierna: „EStG”) bepaalt, in de versie die van toepassing is op het hoofdgeding:

„(1)   Bij inkomsten uit arbeid in loondienst wordt inkomstenbelasting geheven door middel van inhouding op het arbeidsloon (loonbelasting) wanneer het arbeidsloon door een werkgever wordt uitbetaald [...]

[...]

(3)   De werkgever houdt de loonbelasting voor rekening van de werknemer in bij iedere uitbetaling van loon.”

23

In § 39, lid 1, EStG, met als opschrift „Kenmerken voor de inhouding van loonbelasting”, staat te lezen:

„Voor de uitvoering van de inhouding van loonbelasting worden op verzoek van de werknemer inhoudingskenmerken aangemaakt [...].”

24

§ 39e EStG, met als opschrift „Procedure voor de vaststelling en toepassing van de elektronische inhoudingskenmerken voor de loonbelasting”, luidt als volgt:

„(1)   Het Bundeszentralamt für Steuern maakt in beginsel voor elke werknemer automatisch de belastinggroep aan alsook, bij de belastinggroepen I tot en met IV, het aantal kinderaftrekbedragen voor de in aanmerking te nemen kinderen [...] in de vorm van inhoudingskenmerken voor de loonbelasting (§ 39, lid 4, eerste zin, punten 1 en 2) [...]. Voor zover de belastingdienst inhoudingskenmerken als bedoeld in § 39 aanmaakt, deelt hij deze mee aan het Bundeszentralamt für Steuern met het oog op de beschikbaarstelling ervan ten behoeve van de geautomatiseerde opvraging ervan door de werkgever. [...]

(2)   Het Bundeszentralamt für Steuern slaat de inhoudingskenmerken met het oog op de beschikbaarstelling ervan ten behoeve van de geautomatiseerde opvraging ervan door de werkgever op met vermelding van het identificatienummer en voegt aan de in § 139b, lid 3, [AO] bedoelde gegevens voor elke belastingplichtige de volgende gegevens toe:

[...]

(4)   De werknemer deelt elke werkgever bij indiensttreding met het oog op opvraging van de inhoudingskenmerken het volgende mee:

[...]

De werkgever vraagt bij indiensttreding de elektronische inhoudingskenmerken voor de werknemer langs elektronische weg op bij het Bundeszentralamt für Steuern en neemt deze op in de loonadministratie.”

25

Deutsche Post had de status van toegelaten geadresseerde en die van toegelaten afzender en mocht gebruikmaken van een doorlopende waarborgregeling voor vereenvoudigde toepassing van het Uniedouanestelsel.

26

Nadat de individuele voorwaarden voor toekenning van douanevergunningen waren gewijzigd, heeft het douanehoofdkantoor bij brief van 19 april 2017 aan Deutsche Post gevraagd om een vragenlijst voor zelfbeoordeling in te vullen. Daarin moest Deutsche Post nauwkeurig opgave doen van de leden van de raden van advies en de raden van commissarissen, haar voornaamste leidinggevenden (algemeen directeuren, afdelingschefs, hoofden van de boekhouding, hoofden van de afdeling douanezaken enz.) en de personen die verantwoordelijk zijn voor douanezaken dan wel deze zaken behandelen. In het bijzonder dienden de fiscale identificatienummers van elk van deze fysieke personen te worden vermeld alsook de gegevens van de belastingkantoren die voor hen bevoegd zijn.

27

Het douanehoofdkantoor heeft Deutsche Post erop gewezen dat het bij gebrek aan medewerking niet mogelijk zou zijn om te beoordelen of de in het douanewetboek voor verkrijging van een vergunning gestelde voorwaarden waren vervuld. In dat geval of indien niet langer aan deze voorwaarden werd voldaan, zou het douanehoofdkantoor de vergunningen van Deutsche Post intrekken.

28

Deutsche Post bestrijdt met het beroep dat zij bij de verwijzende rechter, het Finanzgericht Düsseldorf (belastingrechter in eerste aanleg Düsseldorf, Duitsland), heeft ingediend dat zij verplicht is de fiscale identificatienummers van de betrokken personen te verstrekken en te vermelden welke belastingkantoren voor hen bevoegd zijn.

29

Deutsche Post stelt dat de door het douanehoofdkantoor gestelde vragen betrekking hebben op een zeer groot aantal mensen binnen het bedrijf, dat een deel van deze personen niet akkoord gaat met de doorgifte van hun persoonsgegevens en dat de groep betrokken personen groter is dan de personen die genoemd worden in artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447. Volgens Deutsche Post kan op basis van de fiscale situatie met betrekking tot de inkomstenbelasting van haar personeelsleden niet worden beoordeeld of ernstige of herhaalde overtredingen op de douanewetgeving dan wel belastingvoorschriften zijn begaan noch of sprake is van een strafblad met zware misdrijven in het kader van de economische activiteit. Zij is van mening dat het voor de beoordeling van de douanerechtelijke betrouwbaarheid noch noodzakelijk noch geschikt is om de fiscale identificatienummers te verzamelen, aangezien het in het licht van dit doel onevenredig is om de persoonlijke fiscale situatie van alle personen op wie de vragen betrekking hebben te controleren.

30

Volgens het douanehoofdkantoor moet dit beroep worden verworpen. Daartoe worden hoofdzakelijk de volgende argumenten aangevoerd. Dient het douanehoofdkantoor bij het bevoegde belastingkantoor een verzoek in tot raadpleging van gegevens, dan is de doorgifte van fiscale identificatienummers noodzakelijk voor een ondubbelzinnige identificatie van de betrokkenen. De gegevens worden enkel uitgewisseld indien dit belastingkantoor voor een bepaalde zaak over gegevens beschikt waaruit ernstige en herhaalde overtredingen van belastingvoorschriften blijken. Boeteprocedures of geseponeerde strafrechtelijke vervolgingen blijven daarbij buiten beschouwing. Herhaalde overtredingen van belastingvoorschriften worden alleen in aanmerking genomen wanneer de frequentie van de overtredingen niet meer in verhouding staat tot de aard en de omvang van de bedrijfsactiviteiten van de aanvrager. Volgens het douanehoofdkantoor is de groep van personen op wie de vragen betrekking hebben in overeenstemming met de douaneregelingen van de Unie.

31

Volgens de verwijzende rechter is de oplossing van het geschil in het hoofdgeding afhankelijk van de uitlegging van artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447, gelezen in samenhang met artikel 8 van het Handvest van de grondrechten van de Europese Unie en verordening 2016/679, aangezien de fiscale identificatienummers van de betrokken personen en de vermelding van de voor hen bevoegde belastingkantoren persoonsgegevens vormen.

32

Om te beginnen wenst deze rechter te vernemen of de overdracht van dergelijke gegevens een door uitvoeringsverordening 2015/2447 toegestane verwerking is. Voorts twijfelt hij aan de noodzaak om van werknemers en leden van de raad van commissarissen van Deutsche Post persoonsgegevens op te vragen die zijn verzameld met het oog op de heffing van de inkomstenbelasting.

33

De verwijzende rechter is van oordeel dat er geen rechtstreeks verband bestaat tussen de persoonsgegevens van deze werknemers en de beoordeling hoe goed Deutsche Post de douanerechtelijke bepalingen naleeft en dat deze gegevens evenmin verband houden met de economische activiteit van Deutsche Post.

34

Hij vraagt zich af of de douaneautoriteiten, gelet op artikel 8, lid 1, van het Handvest van de grondrechten en het evenredigheidsbeginsel persoonsgegevens, mogen opvragen zoals fiscale identificatienummers van de betrokken personen en de gegevens van de belastingkantoren die bevoegd zijn voor de aanslag in de inkomstenbelasting van deze personen. Deze rechter merkt op dat de leden van de raad van commissarissen niet staan vermeld in bijlage 6 bij gedelegeerde verordening 2016/341 en dat zij, net als de afdelingschefs en hoofden van de boekhouding, geen douanevraagstukken behandelen.

35

Daarop heeft het Finanzgericht Düsseldorf de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vraag:

„Moet artikel 24, lid 1, tweede alinea, van uitvoeringsverordening [2015/2447] aldus worden uitgelegd dat de douaneautoriteiten van de aanvrager kunnen verlangen dat hij de door het Bundeszentralamt für Steuern met het oog op de heffing van inkomstenbelasting toegekende fiscale identificatienummers en de voor de aanslag in de inkomstenbelasting bevoegde belastingkantoren meedeelt zowel voor de leden van zijn raad van commissarissen en de algemeen directeuren, de afdelingschefs, het hoofd van de boekhouding en het hoofd van de afdeling douanezaken die daarbij werkzaam zijn, als voor de voor douanezaken verantwoordelijke personen en de personen die douanezaken behandelen?”

36

Op de Commissie na hebben de partijen ter beantwoording van de gestelde vraag gegevens aangevoerd die gebaseerd zijn op verordening 2016/679, waar ook de verwijzende rechter naar verwijst.

37

De Commissie betoogt in dit verband dat het geschil op basis van richtlijn 95/46 moet worden opgelost, omdat de feiten in het hoofdgeding zich in april 2017 hebben voorgedaan.

38

Aangezien het beroep bij de nationale rechter een declaratoire vordering (Feststellungsklage) betreft, kan evenwel niet worden uitgesloten dat verordening 2016/679 ratione temporis van toepassing is ter oplossing van het geschil in het hoofdgeding. De terechtzitting heeft op dit punt niet tot duidelijkheid geleid.

39

Daarom moet de gestelde vraag worden beantwoord ten aanzien van zowel richtlijn 95/46 als verordening 2016/679.

40

Met zijn vraag wenst de verwijzende rechter in wezen te vernemen of artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447, gelezen in samenhang met richtlijn 95/46 en verordening 2016/679, aldus moet worden uitgelegd dat de douaneautoriteiten van de aanvrager van de AEO‑status kunnen verlangen dat hij ten eerste de fiscale identificatienummers meedeelt die met het oog op de heffing van inkomstenbelasting zijn toegekend aan de leden van zijn raad van commissarissen en de algemeen directeuren, de afdelingschefs, de hoofden van de boekhouding en de hoofden van de afdeling douanezaken met inbegrip van de personen die voor douanezaken verantwoordelijk zijn en zij die deze zaken behandelen, en ten tweede de gegevens vermeldt van de belastingkantoren die voor al deze personen bevoegd zijn.

41

In de eerste plaats moet worden benadrukt dat in artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447 is bepaald dat wanneer de aanvrager van de AEO‑status geen natuurlijke persoon is, wordt geacht aan het criterium in artikel 39, onder a), van het douanewetboek te zijn voldaan wanneer geen van de daarin genoemde personen gedurende de afgelopen drie jaar ernstige of herhaalde overtredingen op de douanewetgeving en belastingvoorschriften heeft begaan of een strafblad met zware misdrijven in verband met de economische activiteit heeft gehad.

42

Het gaat uitsluitend om de aanvrager, de persoon die voor hem verantwoordelijk is of die zeggenschap heeft over de leiding van het bedrijf en de werknemer die verantwoordelijk is voor de douanezaken van de aanvrager. Dit blijkt bij lezing van deze bepaling een uitputtende opsomming te zijn.

43

Bijgevolg kan niet worden aangenomen dat artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447 aldus kan worden uitgelegd dat deze bepaling op andere natuurlijke personen van toepassing is dan degenen die verantwoordelijk zijn voor de aanvrager, zeggenschap hebben over de leiding van het bedrijf of verantwoordelijk zijn voor de douanezaken ervan. Deze bepaling heeft dus geen betrekking op leden van raden van advies en raden van commissarissen van een rechtspersoon, de afdelingschefs (behalve wanneer zij verantwoordelijk zijn voor douanezaken van de aanvrager), hoofden van de boekhouding en de personen belast met de behandeling van douanezaken.

44

Van de algemeen directeuren kan worden verlangd dat zij aan de in deze bepaling gestelde voorwaarden voldoen indien zij in omstandigheden zoals die in het hoofdgeding moeten worden geacht de verantwoordelijken van de aanvrager te zijn of zeggenschap te hebben over de leiding van het bedrijf.

45

Het is juist dat in punt 19 van de toelichtingen in bijlage 6 bij gedelegeerde verordening 2016/341 is bepaald dat de aanvrager van de AEO‑status in bijlagen bij zijn formulier voor de aanvraag van deze status de namen en functies moet verstrekken van veel meer personen dan degenen die zijn opgenomen in artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447.

46

Hieromtrent hoeft evenwel slechts te worden vastgesteld dat uitvoeringsverordening 2016/341 tot doel noch tot gevolg heeft dat wordt afgeweken van artikel 41, eerste alinea, van het douanewetboek. Volgens die bepaling stelt de Commissie door middel van uitvoeringshandelingen de nadere bepalingen vast voor de toepassing van de in artikel 39 van dit wetboek bedoelde criteria aan de hand waarvan moet worden getoetst of een aanvrager de AEO‑status kan worden toegekend.

47

Derhalve kan gedelegeerde verordening 2016/341 geen invloed hebben op de strekking van artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447.

48

Uit de omstandigheid dat de „persoon” die verantwoordelijk is voor de aanvrager of die zeggenschap heeft over de leiding van het bedrijf en de „werknemer” die verantwoordelijk is voor de douanezaken daarvan, volgens deze bepaling aan de daarin genoemde vereisten moeten voldoen, volgt bovendien niet dat deze vereisten slechts betrekking hebben op één enkele persoon die verantwoordelijk is voor de aanvrager of die zeggenschap heeft over de leiding van het bedrijf en één enkele werknemer die verantwoordelijk is voor de douanezaken daarvan.

49

Immers kan niet worden uitgesloten dat meerdere natuurlijke personen binnen een bedrijf samen verantwoordelijk zijn voor de aanvrager of samen zeggenschap hebben over de leiding van het bedrijf en dat meerdere andere natuurlijke personen onder meer op basis van een territoriale indeling verantwoordelijk zijn voor de douanezaken ervan.

50

Met de in artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447 bedoelde personen worden dus alle personen bedoeld die binnen de bedrijfsorganisatie verantwoordelijk zijn voor de aanvrager of die zeggenschap hebben over de leiding van het bedrijf dan wel verantwoordelijk zijn voor de douanezaken ervan.

51

In de tweede plaats heeft deze bepaling tot gevolg dat de douaneautoriteiten voor de behandeling van een aanvraag voor de AEO‑status toegang moeten hebben tot de gegevens aan de hand waarvan kan worden vastgesteld dat geen van de in deze bepaling genoemde natuurlijke personen gedurende de afgelopen drie jaar ernstige of herhaalde overtredingen op de douanewetgeving en belastingvoorschriften heeft begaan of een strafblad met zware misdrijven in verband met de economische activiteit heeft gehad.

52

In casu verzoeken de Duitse douaneautoriteiten om opgave van de fiscale identificatienummers van de natuurlijke personen naar wie in punt 50 van dit arrest wordt verwezen en van de gegevens van de belastingkantoren die bevoegd zijn voor deze personen.

53

In een dergelijke situatie is het van belang dat de Unieregelgeving over bescherming van persoonsgegevens wordt nageleefd wanneer de werkzaamheden van deze autoriteiten met zich meebrengen dat deze gegevens worden verwerkt in de zin van artikel 2, onder a), van richtlijn 95/46 of artikel 4, punt 2, van verordening 2016/679.

54

In dit verband impliceert deze regelgeving dat het recht op eerbiediging van de persoonlijke levenssfeer bij de verwerking van persoonsgegevens betrekking heeft op iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (zie in die zin arresten van 9 november 2010, Volker und Markus Schecke en Eifert, C‑92/09 en C‑93/09, EU:C:2010:662, punt 52, en 17 oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, punt 26).

55

Uit de rechtspraak van het Hof volgt ook dat fiscale gegevens „persoonsgegevens” in de zin van artikel 2, onder a), van richtlijn 95/46 zijn (zie in die zin arresten van 1 oktober 2015, Bara e.a., C‑201/14, EU:C:2015:638, punt 29, en 27 september 2017, Puškár, C‑73/16, EU:C:2017:725, punt 41).

56

Een fiscaal identificatienummer vormt per definitie een fiscaal gegeven over een geïdentificeerde of identificeerbare natuurlijke persoon en derhalve een persoonsgegeven. Bovendien moet deze informatie tevens als persoonsgegeven worden aangemerkt wegens het verband dat voor de douaneautoriteiten bestaat tussen het fiscaal identificatienummer van een nauwkeurig geïdentificeerde persoon en de informatie over het ten aanzien van een dergelijke persoon bevoegde belastingkantoor.

57

Elke verwerking van persoonsgegevens moet ten eerste stroken met de in artikel 6 van richtlijn 95/46 of artikel 5 van verordening 2016/679 vermelde beginselen betreffende de kwaliteit van de gegevens en ten tweede beantwoorden aan een van de in artikel 7 van deze richtlijn of artikel 6 van deze verordening vermelde beginselen betreffende de toelaatbaarheid van gegevensverwerking (zie in die zin arresten van 20 mei 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 en C‑139/01, EU:C:2003:294, punt 65, en 13 mei 2014, Google Spain en Google, C‑131/12, EU:C:2014:317, punt 71).

58

Meer in het bijzonder moeten de persoonsgegevens volgens artikel 6, lid 1, onder b) en c), van richtlijn 95/46 of artikel 5, lid 1, onder b) en c), van verordening 2016/679 worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden alsook toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de genoemde doeleinden. Volgens artikel 7, onder c), van deze richtlijn of artikel 6, lid 1, onder c), van deze verordening is de verwerking van deze gegevens gerechtvaardigd indien deze verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust.

59

Bovendien moet eraan worden herinnerd dat persoonsgegevens volgens artikel 6 van richtlijn 95/46 of artikel 5 van verordening 2016/679 behoorlijk moeten worden verwerkt, wat impliceert dat de douaneautoriteiten de betrokkenen moeten informeren over het verzamelen van deze gegevens met het oog op de latere verwerking ervan (zie in die zin arrest van 1 oktober 2015, Bara e.a., C‑201/14, EU:C:2015:638, punt 34).

60

In de situatie die in het hoofdgeding aan de orde is, blijken de fiscale identificatienummers van de natuurlijke personen aanvankelijk door hun werkgever te zijn verzameld teneinde zeker te stellen dat de regels inzake de inkomstenbelasting in acht worden genomen. Meer in het bijzonder wilde deze werkgever zo waarborgen dat wordt voldaan aan zijn verplichting om door middel van inhouding op het arbeidsloon de door al deze natuurlijke personen verschuldigde belasting te heffen.

61

Dat deze persoonsgegevens daarna door de douaneautoriteiten worden verzameld voor de besluitvorming over een aanvraag voor de AEO‑status, lijkt noodzakelijk om te kunnen voldoen aan een wettelijke verplichting die krachtens artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447 op hen rust en aan de voorwaarden die hierin aan de toekenning van deze status worden verbonden. In zoverre worden deze gegevens verzameld en dus verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden.

62

Hetzelfde geldt voor de door de douaneautoriteiten verzamelde gegevens van de belastingkantoren die bevoegd zijn voor de aanslag in de inkomstenbelasting van de betrokken natuurlijke personen, aangezien deze autoriteiten deze gegevens eveneens verzamelen om een aanvraag voor de AEO‑status te kunnen behandelen.

63

In zoverre moeten, in een situatie zoals die in het hoofdgeding, de door de douaneautoriteiten verzamelde gegevens – namelijk de fiscale identificatienummers van natuurlijke personen en de gegevens van de voor de aanslag in de inkomstenbelasting van deze personen bevoegde belastingkantoren – echter, zoals uit punt 58 van dit arrest volgt, toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor deze persoonsgegevens worden verzameld.

64

Zoals de advocaat-generaal in punt 66 van zijn conclusie heeft opgemerkt, betekent de toekenning van de AEO‑status aan een marktdeelnemer in de praktijk dat de uit de douaneregelingen voortvloeiende controletaken gedeeltelijk aan deze marktdeelnemer worden gedelegeerd. Derhalve is het van belang dat deze autoriteiten, alvorens deze status toe te kennen, ter eerbiediging van de douaneregelingen kunnen profiteren van informatie over de betrouwbaarheid van de aanvrager van deze status en over de betrouwbaarheid van de in artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447 genoemde natuurlijke personen bij de naleving van de douanewetgeving en op hen betrekking hebbende belastingvoorschriften.

65

Bijgevolg vormt het verzamelen van de fiscale identificatienummers van uitsluitend de natuurlijke personen die in dit artikel worden vermeld en van de gegevens van de voor hen bevoegde belastingkantoren een toereikende en ter zake dienende maatregel waarmee de douaneautoriteiten kunnen nagaan of geen van deze natuurlijke personen een van de in dit artikel genoemde overtredingen heeft begaan.

66

Bovendien blijken de op die manier door deze autoriteiten verzamelde persoonsgegevens beperkt te blijven tot wat noodzakelijk is voor de doelstelling van artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447. Het gaat namelijk om een gegevensselectie waarmee de douaneautoriteiten niet de beschikking krijgen over de aan deze gegevens verbonden gevoelige informatie over de persoonlijke situatie, zoals de huwelijkse staat, lidmaatschap van een religieuze gemeenschap of het inkomen van de natuurlijke personen.

67

Door de fiscale identificatienummers van de in dit artikel genoemde natuurlijke personen en de gegevens van de ten aanzien van hen bevoegde belastingkantoren te verzamelen, krijgen de douaneautoriteiten, zoals de verwijzende rechter opmerkt, in beginsel weliswaar toegang tot persoonsgegevens die geen verband houden met de economische activiteit van de aanvrager van de AEO‑status, maar vastgesteld moet worden dat de in dit artikel opgesomde overtredingen van de belastingvoorschriften niet allemaal verband houden met de economische activiteit van de aanvrager van de AEO‑status.

68

Het lijkt dienaangaande gerechtvaardigd dat de douaneautoriteiten, alvorens die status aan een aanvrager toe te kennen, wat blijkens punt 64 van dit arrest neerkomt op delegatie van bepaalde taken van deze autoriteiten aan de aanvrager, niet alleen moeten verifiëren of deze laatste de douanewetgeving naleeft, maar tevens of de in artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447 genoemde natuurlijke personen gezien hun verantwoordelijkheden binnen diens bedrijfsorganisatie niet zelf ernstige of herhaalde overtredingen op deze wetgeving of belastingvoorschriften hebben begaan, ongeacht of deze overtredingen betrekking hadden op de economische activiteit van deze aanvrager.

69

Bijgevolg mogen de douaneautoriteiten de fiscale identificatienummers van de in artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447 limitatief opgesomde natuurlijke personen en de gegevens van de ten aanzien van hen bevoegde belastingkantoren slechts verzamelen voor zover deze autoriteiten met deze gegevens informatie kunnen verkrijgen over ernstige of herhaalde overtredingen van de douanewetgeving of belastingvoorschriften dan wel over strafbladen met zware misdrijven van deze natuurlijke personen in verband met hun economische activiteit.

70

Gelet op een en ander moet op de gestelde vraag worden geantwoord dat artikel 24, lid 1, tweede alinea, van uitvoeringsverordening 2015/2447, gelezen in samenhang met richtlijn 95/46 en verordening 2016/679, aldus moet worden uitgelegd dat de douaneautoriteiten van de aanvrager van de AEO‑status ten eerste kunnen verlangen dat hij uitsluitend de fiscale identificatienummers meedeelt die met het oog op de heffing van inkomstenbelasting zijn toegekend aan natuurlijke personen die verantwoordelijk zijn voor de aanvrager of zeggenschap hebben over de leiding van het bedrijf alsmede aan degenen die daarin verantwoordelijk zijn voor douanezaken, en ten tweede dat hij de gegevens vermeldt van de belastingkantoren die voor al deze personen bevoegd zijn, voor zover deze autoriteiten met deze gegevens informatie kunnen verkrijgen over ernstige of herhaalde overtredingen van de douanewetgeving of belastingvoorschriften dan wel over strafbladen met zware misdrijven van deze natuurlijke personen in verband met hun economische activiteit.

71

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Derde kamer) verklaart voor recht:

Artikel 24, lid 1, tweede alinea, van uitvoeringsverordening (EU) 2015/2447 van de Commissie van 24 november 2015 houdende nadere uitvoeringsvoorschriften voor enkele bepalingen van verordening (EU) nr. 952/2013 van het Europees Parlement en de Raad tot vaststelling van het douanewetboek van de Unie, gelezen in samenhang met richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), moet aldus worden uitgelegd dat de douaneautoriteiten van de aanvrager van de status van geautoriseerde marktdeelnemer ten eerste kunnen verlangen dat hij uitsluitend de fiscale identificatienummers meedeelt die met het oog op de heffing van inkomstenbelasting zijn toegekend aan natuurlijke personen die verantwoordelijk zijn voor de aanvrager of zeggenschap hebben over de leiding van het bedrijf alsmede aan degenen die daarin verantwoordelijk zijn voor douanezaken, en ten tweede dat hij de gegevens vermeldt van de belastingkantoren die voor al deze personen bevoegd zijn, voor zover deze autoriteiten met deze gegevens informatie kunnen verkrijgen over ernstige of herhaalde overtredingen van de douanewetgeving of belastingvoorschriften dan wel over strafbladen met zware misdrijven van deze natuurlijke personen in verband met hun economische activiteit.