–

Leistritz AG, vertegenwoordigd door O. Seeling en C. Wencker, Rechtsanwälte,

–

LH, vertegenwoordigd door S. Lohneis, Rechtsanwalt,

–

de Duitse regering, vertegenwoordigd door J. Möller en S. K. Costanzo als gemachtigden,

–

de Roemeense regering, vertegenwoordigd door E. Gane als gemachtigde,

–

het Europees Parlement, vertegenwoordigd door O. Hrstková Šolcová, P. López-Carceller en B. Schäfer als gemachtigden,

–

de Raad van de Europese Unie, vertegenwoordigd door T. Haas en K. Pleśniak als gemachtigden,

–

de Europese Commissie, vertegenwoordigd door K. Herrmann, H. Kranenborg en D. Nardi als gemachtigden,

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging en de geldigheid van artikel 38, lid 3, tweede volzin, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).

2

Dit verzoek is ingediend in het kader van een geding tussen Leistritz AG en LH, die de positie van functionaris voor gegevensbescherming had in deze onderneming, over de beëindiging van haar arbeidsovereenkomst wegens een reorganisatie van de diensten van deze onderneming.

3

De overwegingen 10 en 97 AVG luiden als volgt:

[...]

4

Artikel 37 AVG, met als opschrift „Aanwijzing van de functionaris voor gegevensbescherming”, bepaalt:

„1.   De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor gegevensbescherming aan in elk geval waarin:

[...]

6.   De functionaris voor gegevensbescherming kan een personeelslid van de verwerkingsverantwoordelijke of de verwerker zijn, of kan de taken op grond van een dienstverleningsovereenkomst verrichten.

[...]”

5

Artikel 38 AVG heeft als opschrift „Positie van de functionaris voor gegevensbescherming” en bepaalt in de leden 3 en 5:

„3.   De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor gegevensbescherming geen instructies ontvangt met betrekking tot de uitvoering van die taken. Hij wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de uitvoering van zijn taken. De functionaris voor gegevensbescherming brengt rechtstreeks verslag uit aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke of de verwerker.

[...]

5.   De functionaris voor gegevensbescherming is met betrekking tot de uitvoering van zijn taken overeenkomstig het Unierecht of het lidstatelijke recht tot geheimhouding of vertrouwelijkheid gehouden.”

6

Artikel 39 AVG, „Taken van de functionaris voor gegevensbescherming”, bepaalt in lid 1, onder b):

„De functionaris voor gegevensbescherming vervult ten minste de volgende taken:

[...]

7

§ 6 van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming) van 20 december 1990 (BGBl. 1990 I, blz. 2954), in de van 25 mei 2018 tot en met 25 november 2019 geldende versie (BGBl. 2017 I, blz. 2097) (hierna: „BDSG”), heeft als opschrift „Positie” en bepaalt in lid 4:

„De functionaris voor gegevensbescherming mag uitsluitend worden ontslagen met overeenkomstige toepassing van § 626 van het Bürgerliche Gesetzbuch [(burgerlijk wetboek), in de op 2 januari 2002 gepubliceerde versie (BGBl. 2002 I, blz. 42, met rectificatie in BGBl. 2002 I, blz. 2909, en BGBl. 2003 I, blz. 738)]. Beëindiging van de arbeidsverhouding is niet toegestaan tenzij er sprake is van feiten op grond waarvan het overheidsorgaan gerechtigd is de arbeidsverhouding om gewichtige redenen te beëindigen zonder inachtneming van een opzeggingstermijn. Het is niet toegestaan om de arbeidsverhouding binnen een jaar na afloop van de activiteiten als functionaris voor gegevensbescherming te beëindigen, tenzij het overheidsorgaan gerechtigd is de arbeidsverhouding om gewichtige redenen te beëindigen zonder inachtneming van een opzeggingstermijn.”

8

§ 38 BDSG, met als opschrift „Functionarissen voor gegevensbescherming die niet bij overheidsorganen in dienst zijn”, bepaalt:

„(1)   In aanvulling op artikel 37, lid 1, onder b) en c), [AVG] wijzen de verwerkingsverantwoordelijke en de verwerker een functionaris voor gegevensbescherming aan, indien zij in de regel ten minste tien personen in dienst hebben die zich doorlopend bezighouden met de geautomatiseerde verwerking van persoonsgegevens. [...]

(2)   § 6, lid 4, lid 5, tweede volzin, en lid 6 is van toepassing, met dien verstande dat § 6, lid 4, slechts van toepassing is wanneer de aanwijzing van een functionaris voor gegevensbescherming verplicht is.”

9

§ 134 van het burgerlijk wetboek, in de versie die is bekendgemaakt op 2 januari 2002 (hierna: „BW”), heeft als opschrift „Wettelijk verbod” en luidt:

„Een rechtshandeling die een wettelijk verbod schendt, is nietig tenzij de wet anders bepaalt.”

10

§ 626 BW, „Opzegging om gewichtige redenen zonder inachtneming van een opzeggingstermijn”, luidt als volgt:

„(1)   De arbeidsverhouding kan door elk van de contractpartijen om gewichtige redenen worden opgezegd zonder inachtneming van een opzeggingstermijn indien er sprake is van feiten op grond waarvan, rekening houdend met alle omstandigheden van het concrete geval en na afweging van de belangen van beide contractpartijen, redelijkerwijs niet van de opzeggende partij kan worden verwacht dat zij de arbeidsverhouding voortzet tot het verstrijken van de opzeggingstermijn of tot de contractueel overeengekomen beëindiging van de arbeidsverhouding.

(2)   Opzegging is uitsluitend mogelijk binnen twee weken. De termijn begint te lopen vanaf het tijdstip waarop de tot opzegging van de overeenkomst gerechtigde partij kennis krijgt van de voor de opzegging relevante feiten. [...]”

11

Leistritz is als privaatrechtelijke vennootschap volgens het Duitse recht verplicht om een functionaris voor gegevensverwerking aan te wijzen. LH werkte daar vanaf 15 januari 2018 als „hoofd van de dienst juridische zaken” en vanaf 1 februari 2018 als functionaris voor gegevensbescherming.

12

Bij brief van 13 juli 2018 heeft Leistritz de arbeidsverhouding met LH met ingang van 15 augustus 2018 beëindigd met inachtneming van een opzeggingstermijn, waarbij zij zich beriep op een herstructureringsmaatregel van de vennootschap, in het kader waarvan de werkzaamheden op het gebied van juridische advisering en gegevensbescherming werden uitbesteed.

13

Volgens de feitenrechters bij wie LH haar ontslag heeft aangevochten, is dat ontslag ongeldig omdat zij als functionaris voor gegevensbescherming volgens § 38, lid 2, juncto § 6, lid 4, tweede volzin, BDSG, alleen maar om gewichtige redenen kan worden ontslagen, zonder inachtneming van een opzeggingstermijn. De door Leistritz beschreven herstructureringsmaatregel vormt echter geen gewichtige reden.

14

De verwijzende rechter, die moet beslissen op het door Leistritz ingestelde beroep in Revision, merkt op dat het ontslag van LH naar Duits recht nietig is op grond van die bepalingen en § 134 BW. Hij wijst er evenwel op dat § 38, lid 2, en § 6, lid 4, tweede volzin, BDSG enkel van toepassing zijn indien het Unierecht, en met name artikel 38, lid 3, tweede volzin, AVG, een regeling van een lidstaat toestaat die het ontslag van een functionaris voor gegevensbescherming onderwerpt aan strengere voorwaarden dan die welke worden gesteld in het Unierecht. Indien dat niet het geval is, moet hij het beroep in Revision toewijzen.

15

De verwijzende rechter verduidelijkt dat hij vooral twijfelt omdat de nationale rechtsleer hierover uiteenloopt. Volgens de meerderheidsopvatting is de speciale ontslagbescherming waarin § 38, lid 2, juncto § 6, lid 4, tweede volzin, BDSG voorziet, een materiële regel van arbeidsrecht, waarvoor de Unie geen wetgevende bevoegdheid heeft, zodat deze bepalingen niet in strijd kunnen zijn met artikel 38, lid 3, tweede volzin, AVG. Volgens de minderheidsopvatting is de koppeling van die bescherming aan de positie van functionaris voor gegevensbescherming in strijd met het Unierecht en creëert die koppeling een economische druk om te blijven vasthouden aan een functionaris voor gegevensbescherming wanneer deze eenmaal is aangewezen.

16

In die omstandigheden heeft het Bundesarbeitsgericht (hoogste federale rechter in arbeidszaken, Duitsland) de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

17

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 38, lid 3, tweede volzin, AVG aldus moet worden uitgelegd dat dit voorschrift zich verzet tegen een nationale regeling waarbij een functionaris voor gegevensbescherming die in dienst is bij een verwerkingsverantwoordelijke of een verwerker, door laatstgenoemden alleen om een gewichtige reden kan worden ontslagen, ook al houdt het ontslag geen verband met de uitvoering van zijn taken.

18

Volgens vaste rechtspraak moet voor de uitlegging van een bepaling van Unierecht niet alleen rekening worden gehouden met de bewoordingen van deze bepaling in overeenstemming met de in de omgangstaal gebruikelijke betekenis ervan, maar ook met de context en met de doelstellingen die de regeling waarvan zij deel uitmaakt, nastreeft (arrest van 22 februari 2022, Stichting Rookpreventie Jeugd e.a., C‑160/20, EU:C:2022:101, punt 29 en aldaar aangehaalde rechtspraak).

19

Wat in de eerste plaats de bewoordingen van de betrokken bepaling betreft, zij eraan herinnerd dat artikel 38, lid 3, AVG in de tweede volzin bepaalt dat „[de functionaris voor gegevensbescherming] door de verwerkingsverantwoordelijke of de verwerker niet [wordt] ontslagen of gestraft voor de uitvoering van zijn taken”.

20

Meteen moet worden opgemerkt dat de AVG geen definitie geeft van de begrippen „ontslagen”, „gestraft” en „voor de uitvoering van zijn taken”, die in artikel 38, lid 3, tweede volzin, worden gehanteerd.

21

Niettemin is het ten eerste zo dat het verbod voor de verwerkingsverantwoordelijke of de verwerker om een functionaris voor gegevensbescherming te ontslaan of te straffen, in de omgangstaal betekent dat de functionaris beschermd moet zijn tegen elke beslissing die aan zijn positie een einde maakt, die hem nadeel toebrengt of waarbij een sanctie wordt opgelegd, zoals de advocaat-generaal in wezen heeft opgemerkt in de punten 24 en 26 van zijn conclusie.

22

Een beslissing van een werkgever om zijn functionaris voor gegevensbescherming te ontslaan, waarmee een einde wordt gemaakt aan hun arbeidsverhouding en dus ook aan de positie van functionaris voor gegevensbescherming binnen de betrokken onderneming, kan een dergelijke beslissing zijn.

23

Ten tweede moet worden geconstateerd dat artikel 38, lid 3, tweede volzin, AVG geen onderscheid maakt naargelang de functionaris voor gegevensbescherming een personeelslid is van de verwerkingsverantwoordelijke of de verwerker dan wel zijn taken verricht op grond van een met hen gesloten dienstverleningsovereenkomst als bedoeld in artikel 37, lid 6, AVG.

24

Bijgevolg is artikel 38, lid 3, tweede volzin, AVG van toepassing op de verhouding tussen functionarissen voor gegevensbescherming en verwerkingsverantwoordelijken of verwerkers, ongeacht de aard van de tussen hen bestaande arbeidsverhouding.

25

Ten derde zij erop gewezen dat in deze bepaling een beperking wordt gesteld, namelijk dat, zoals de advocaat-generaal in punt 29 van zijn conclusie in essentie heeft beklemtoond, een functionaris voor gegevensbescherming niet kan worden ontslagen voor een reden die met de uitvoering van zijn taken te maken heeft. Een van die taken is volgens artikel 39, lid 1, onder b), AVG het toezien op de naleving van de Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens.

26

Wat in de tweede plaats de doelstelling van artikel 38, lid 3, tweede volzin, AVG betreft, moet om te beginnen worden benadrukt dat functionarissen voor gegevensbescherming volgens overweging 97 van deze verordening hun taken en verplichtingen onafhankelijk moeten kunnen vervullen, ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke. Die onafhankelijkheid moet hen noodzakelijkerwijs in staat stellen hun taken te vervullen in overeenstemming met de doelstelling van de AVG, die, zoals uit overweging 10 ervan blijkt, met name een consistent en hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen en daartoe een coherente en homogene toepassing van de regels inzake bescherming van de fundamentele vrijheden en de grondrechten van deze personen in verband met de verwerking van persoonsgegevens binnen de gehele Unie wil verzekeren (arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 207 en aldaar aangehaalde rechtspraak).

27

Voorts komt de doelstelling om de functionele onafhankelijkheid van de functionaris voor gegevensbescherming te waarborgen, die blijkt uit artikel 38, lid 3, tweede volzin, AVG, ook tot uiting in de eerste en de derde volzin van dit lid, waarin staat dat de functionaris geen instructies mag ontvangen met betrekking tot de uitvoering van zijn taken en rechtstreeks verslag uitbrengt aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke of de verwerker, alsook in lid 5 van dit artikel, dat luidt dat de functionaris met betrekking tot die uitvoering tot geheimhouding of vertrouwelijkheid is gehouden.

28

Artikel 38, lid 3, tweede volzin, AVG, waarbij de functionaris voor gegevensbescherming wordt beschermd tegen elke beslissing die een einde maakt aan zijn positie, hem nadeel toebrengt of waarbij een sanctie wordt opgelegd en die verband houdt met de uitoefening van zijn taken, moet dan ook worden geacht hoofdzakelijk te zijn bedoeld om de functionele onafhankelijkheid van de functionaris te vrijwaren en dus om de nuttige werking van de AVG-voorschriften te verzekeren. Deze bepaling heeft daarentegen niet tot doel de arbeidsverhoudingen tussen de verwerkingsverantwoordelijke of de verwerker en hun personeelsleden algemeen te regelen: die verhoudingen worden slechts bijkomend beoogd, voor zover dat strikt noodzakelijk is om deze doelstellingen te verwezenlijken.

29

Deze uitlegging wordt in de derde plaats bevestigd door de context van deze bepaling en in het bijzonder door de rechtsgrond waarop de Uniewetgever de AVG heeft vastgesteld.

30

Volgens de preambule van de AVG is deze verordening namelijk vastgesteld op grond van artikel 16 VWEU, waarvan lid 2 bepaalt dat het Europees Parlement en de Raad van de Europese Unie volgens de gewone wetgevingsprocedure de voorschriften vaststellen betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie, alsook door de lidstaten, bij de uitoefening van activiteiten die binnen het toepassingsgebied van het recht van de Unie vallen, alsmede de voorschriften betreffende het vrije verkeer van die gegevens.

31

Met uitzondering van de specifieke bescherming van de functionaris voor gegevensbescherming waarin artikel 38, lid 3, tweede volzin, AVG voorziet, is het vaststellen van voorschriften ter bescherming tegen ontslag van een functionaris voor gegevensbescherming die bij een verwerkingsverantwoordelijke of verwerker in dienst is, echter geen kwestie van bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens of van het vrije verkeer van die gegevens, maar van sociaal beleid.

32

In dit verband zij er ten eerste aan herinnerd dat de Unie en de lidstaten krachtens artikel 4, lid 2, onder b), VWEU op het gebied van sociaal beleid, voor de in het VWEU genoemde aspecten, over een gedeelde bevoegdheid beschikken in de zin van artikel 2, lid 2, VWEU. Ten tweede bepaalt artikel 153, lid 1, onder d), VWEU dat het optreden van de lidstaten op het gebied van bescherming van werknemers bij beëindiging van de arbeidsovereenkomst, door de Unie wordt ondersteund en aangevuld (zie naar analogie arrest van 19 november 2019, TSN en AKT, C‑609/17 en C‑610/17, EU:C:2019:981, punt 47).

33

Uit artikel 153, lid 2, onder b), VWEU blijkt dat het Parlement en de Raad op dit gebied door middel van richtlijnen minimumvoorschriften kunnen vaststellen, die volgens de rechtspraak van het Hof in het licht van artikel 153, lid 4, VWEU een lidstaat niet beletten om maatregelen met een hogere graad van bescherming te handhaven of in te voeren die met de Verdragen verenigbaar zijn (zie in die zin arrest van 19 november 2019, TSN en AKT, C‑609/17 en C‑610/17, EU:C:2019:981, punt 48).

34

Zoals de advocaat-generaal in wezen heeft benadrukt in punt 44 van zijn conclusie, staat het de lidstaten dan ook vrij om in de uitoefening van de bevoegdheid die zij hebben behouden, bijzondere bepalingen vast te stellen die op het gebied van ontslag van de functionaris voor gegevensbescherming een grotere bescherming bieden, zolang die bepalingen verenigbaar zijn met het Unierecht en met name met de AVG, meer bepaald artikel 38, lid 3, tweede volzin, ervan.

35

Die verhoogde bescherming mag met name niet de verwezenlijking van de doelstellingen van de AVG ondermijnen, wat het geval zou zijn indien zij zou verhinderen dat een verwerkingsverantwoordelijke of verwerker een functionaris voor gegevensbescherming ontslaat die niet meer beschikt over de voor de uitvoering van zijn taken noodzakelijke professionele kwaliteiten of die zijn taken niet overeenkomstig de AVG uitvoert, zoals de advocaat-generaal in de punten 50 en 51 van zijn conclusie heeft opgemerkt.

36

Gelet op het voorgaande dient op de eerste vraag te worden geantwoord dat artikel 38, lid 3, tweede volzin, AVG aldus moet worden uitgelegd dat dit voorschrift zich niet verzet tegen een nationale regeling waarbij een functionaris voor gegevensbescherming die in dienst is bij een verwerkingsverantwoordelijke of een verwerker, door laatstgenoemden alleen om een gewichtige reden kan worden ontslagen, ook al houdt het ontslag geen verband met de uitvoering van zijn taken, op voorwaarde dat die regeling de verwezenlijking van de doelstellingen van de AVG niet ondermijnt.

37

Gelet op het antwoord op de eerste vraag hoeven de tweede en de derde vraag niet te worden beantwoord.

38

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Eerste kamer) verklaart voor recht:

Artikel 38, lid 3, tweede volzin, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moet aldus worden uitgelegd dat dit voorschrift zich niet verzet tegen een nationale regeling waarbij een functionaris voor gegevensbescherming die in dienst is bij een verwerkingsverantwoordelijke of een verwerker, door laatstgenoemden alleen om een gewichtige reden kan worden ontslagen, ook al houdt het ontslag geen verband met de uitvoering van zijn taken, op voorwaarde dat die regeling de verwezenlijking van de doelstellingen van die verordening niet ondermijnt.