Zaak C‑534/20

Leistritz AG

tegen

LH

(verzoek om een prejudiciële beslissing, ingediend door het Bundesarbeitsgericht)

Arrest van het Hof (Eerste kamer) van 22 juni 2022

„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 38, lid 3, tweede volzin – Functionaris voor gegevensbescherming – Verbod voor een verwerkingsverantwoordelijke of een verwerker om een functionaris voor gegevensbescherming te ontslaan of te bestraffen voor de uitvoering van zijn taken – Rechtsgrondslag – Artikel 16 VWEU – Vereiste van functionele onafhankelijkheid – Nationale regelgeving waarbij het ontslag van een functionaris voor gegevensbescherming wordt verboden indien er geen gewichtige redenen zijn”

Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Functionaris voor gegevensbescherming – Positie – Verbod voor een verwerkingsverantwoordelijke of een verwerker om een functionaris voor gegevensbescherming te ontslaan of te bestraffen voor de uitvoering van zijn taken – Nationale regeling die verbiedt dat een functionaris voor gegevensbescherming wordt ontslagen indien er geen gewichtige redenen zijn – Ontslag zonder verband met de uitvoering van zijn taken – Toelaatbaarheid – Voorwaarde – Inachtneming van de doelstellingen van die verordening

(Verordening 2016/679 van het Europees Parlement en de Raad, art. 38, lid 3, tweede volzin)

(zie punten 21‑36 en dictum)

Samenvatting

LH is op 1 februari 2018 aangesteld als functionaris voor gegevensbescherming bij de onderneming Leistritz AG, die volgens het Duitse recht verplicht is om een dergelijke functionaris aan te wijzen. In juli 2018 heeft Leistritz LH ontslagen met inachtneming van een opzeggingstermijn. Als reden voor het ontslag voerde zij aan dat de dienst gegevensbescherming in het kader van de herstructurering van haar activiteiten werd uitbesteed.

Volgens de feitenrechters tot wie LH zich daarop heeft gewend, is dat ontslag ongeldig. Ingevolge het Duitse recht kan LH als functionaris voor gegevensbescherming immers alleen maar om gewichtige redenen worden ontslagen, zonder inachtneming van een opzeggingstermijn. De herstructurering van de activiteiten van Leistritz is echter geen gewichtige reden.

Het Bundesarbeitsgericht (hoogste federale rechter in arbeidszaken, Duitsland), waarbij Leistritz beroep in Revision heeft ingesteld, vraagt zich af of de algemene verordening gegevensbescherming ( 1 ) een regeling van een lidstaat toestaat die het ontslag van een functionaris voor gegevensbescherming afhankelijk stelt van strengere voorwaarden dan die welke gelden in het Unierecht.

In zijn arrest oordeelt het Hof dat artikel 38, lid 3, tweede volzin, AVG ( 2 ) zich niet verzet tegen een nationale regeling waarbij een functionaris voor gegevensbescherming die in dienst is bij een verwerkingsverantwoordelijke of een verwerker, door laatstgenoemden alleen om een gewichtige reden kan worden ontslagen. Dat geldt ook wanneer het ontslag geen verband houdt met de uitvoering van zijn taken, op voorwaarde dat die regeling de verwezenlijking van de doelstellingen van de AVG niet in gevaar brengt.

Beoordeling door het Hof

In de eerste plaats benadrukt het Hof dat het verbod voor de verwerkingsverantwoordelijke of de verwerker om een functionaris voor gegevensbescherming te ontslaan of te straffen (artikel 38, lid 3, tweede volzin, AVG) betekent dat de functionaris moet worden beschermd tegen elke beslissing die aan zijn positie een einde maakt, die hem nadeel toebrengt of waarbij een sanctie wordt opgelegd. Het besluit van een werkgever om zijn functionaris voor gegevensbescherming te ontslaan, waarmee een einde wordt gemaakt aan de arbeidsverhouding die tussen hen bestaat, kan een dergelijke beslissing zijn. Met betrekking tot die arbeidsverhouding verduidelijkt het Hof dat artikel 38, lid 3, tweede volzin, AVG zonder onderscheid geldt voor functionarissen voor gegevensbescherming die tot het personeel van de verwerkingsverantwoordelijke of de verwerker behoren en die welke hun taken verrichten op grond van een met hen gesloten dienstverleningsovereenkomst. Deze bepaling is dus van toepassing op de verhouding tussen functionarissen voor gegevensbescherming en verwerkingsverantwoordelijken of verwerkers, ongeacht de aard van de tussen hen bestaande arbeidsverhouding. Voorts wordt in deze bepaling een beperking gesteld, namelijk dat een functionaris niet kan worden ontslagen om een reden die verband houdt met de uitvoering van zijn taken ( 3 ).

Wat in de tweede plaats het doel van artikel 38, lid 3, tweede volzin, AVG betreft, moeten functionarissen voor gegevensbescherming volgens deze verordening ( 4 ), ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke, hun taken en verplichtingen onafhankelijk kunnen vervullen, in overeenstemming met de doelstelling van de AVG ( 5 ). De doelstelling, de functionele onafhankelijkheid van de functionaris voor gegevensbescherming te waarborgen ( 6 ), impliceert dat deze geen instructies mag ontvangen met betrekking tot de uitvoering van zijn taken, rechtstreeks verslag uitbrengt aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke of de verwerker en tot geheimhouding of vertrouwelijkheid is gehouden. Artikel 38, lid 3, tweede volzin, AVG beoogt dus de onafhankelijkheid van de functionaris te vrijwaren, aangezien deze bepaling hem beschermt tegen elke beslissing in verband met de uitoefening van zijn taken die een einde maakt aan zijn positie, hem nadeel toebrengt of waarbij een sanctie wordt opgelegd. Zij heeft daarentegen niet tot doel de arbeidsverhoudingen tussen de verwerkingsverantwoordelijke of de verwerker en hun personeelsleden algemeen te regelen.

Wat in de derde en laatste plaats de context van artikel 38, lid 3, tweede volzin, AVG betreft, verduidelijkt het Hof dat de bescherming tegen ontslag van een functionaris voor gegevensbescherming die bij een verwerkingsverantwoordelijke of een verwerker in dienst is, met uitzondering van de specifieke bescherming waarin die bepaling voor een dergelijke functionaris voorziet, niet onder regels valt die op grond van de AVG kunnen worden vastgesteld ( 7 ) maar een kwestie is van sociaal beleid, op welk gebied de Unie en de lidstaten over een gedeelde bevoegdheid beschikken ( 8 ). Het optreden van de lidstaten op het gebied van bescherming van werknemers bij beëindiging van de arbeidsovereenkomst wordt immers ondersteund en aangevuld door de Unie, die dienaangaande minimumvoorschriften vaststelt. Het staat de lidstaten dan ook vrij om bij de uitoefening van hun bevoegdheid bijzondere bepalingen vast te stellen die de functionaris voor gegevensbescherming een grotere bescherming bieden tegen ontslag, voor zover die bepalingen verenigbaar zijn met de AVG. Die verhoogde bescherming mag met name niet de verwezenlijking van de doelstellingen van de AVG in gevaar brengen, wat het geval zou zijn indien zij een verwerkingsverantwoordelijke of een verwerker verhindert een functionaris voor gegevensbescherming te ontslaan die niet langer beschikt over de professionele kwaliteiten die noodzakelijk zijn voor de uitvoering van zijn taken of die deze taken niet in overeenstemming met de AVG uitvoert.

( 1 ) Zie met name artikel 38, lid 3, tweede volzin, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).

( 2 ) Volgens artikel 38, lid 3, tweede volzin, AVG kan de functionaris voor gegevensbescherming door de verwerkingsverantwoordelijke of de verwerker niet worden ontslagen of gestraft voor de uitvoering van zijn taken.

( 3 ) Volgens artikel 39, lid 1, onder b), AVG bestaat een van die taken erin toe te zien op de naleving van de Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens.

( 4 ) Met name overweging 97 AVG.

( 5 ) De AVG heeft, zoals uit overweging 10 ervan blijkt, onder meer tot doel om binnen de Unie een hoge mate van bescherming van persoonsgegevens te garanderen.

( 6 ) Zoals voortvloeit uit artikel 38, lid 3, eerste, tweede en derde volzin en artikel 38, lid 5, AVG.

( 7 ) Op basis van artikel 16, lid 2, VWEU – de rechtsgrondslag van de AVG – kunnen regels betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer ervan worden vastgesteld.

( 8 ) Krachtens artikel 4, lid 2, onder b), VWEU.