1.

Den tyska tullmyndigheten efterfrågar vissa personuppgifter rörande personer i ledningen och anställda i företag som vill beviljas eller behålla status som godkänd ekonomisk aktör, vilket innebär att de får en förmånligare behandling än övriga importörer eller exportörer.

2.

Tolkningsfrågan handlar om de gränser som unionsrätten föreskriver för dessa efterfrågningar, antingen inom det rent tullrättsliga området eller inom området skydd av personuppgifter.

3.

I artikel 38 i förordning nr 952/2013 ( 2 ) föreskrivs följande:

”1.   En ekonomisk aktör som är etablerad i unionens tullområde och uppfyller kriterierna i artikel 39 får ansöka om status som godkänd ekonomisk aktör.

…

2.   Status som godkänd ekonomisk aktör ska beviljas genom följande typer av tillstånd:

…”

4.

I artikel 39 a föreskrivs följande:

”Kriterierna för att bevilja status som ’godkänd ekonomisk aktör’ ska innefatta följande:

…”

5.

I artikel 24.1 föreskrivs följande:

”…

När den sökande inte är en fysisk person ska kriteriet i artikel 39 a i kodexen anses vara uppfyllt om ingen av nedanstående personer under de tre senaste åren har begått några allvarliga eller upprepade överträdelser av tullagstiftningen och skattereglerna och inte heller har dömts för några allvarliga brott som rör deras ekonomiska verksamhet:

6.

I artikel 1 föreskrivs följande:

”1.   I denna förordning anges övergångsregler för de metoder för utbyte och lagring av uppgifter som avses i artikel 278 i kodexen till dess att de elektroniska system som krävs för tillämpning av kodexens bestämmelser är i funktion.

2.   I bilagorna till denna förordning anges de uppgiftskrav, format och koder som ska tillämpas under de övergångsperioder som anges i den här förordningen, delegerad förordning (EU) 2015/2446 och genomförandeförordning (EU) 2015/2447.”

7.

I artikel 5 föreskrivs följande:

”1.   Till den dag då det system för godkända ekonomiska aktörer som avses i bilagan till genomförandebeslut 2014/255/EU uppgraderas, får tullmyndigheterna tillåta att andra metoder än elektronisk databehandlingsteknik används för ansökningar och beslut som avser godkända ekonomiska aktörer eller för alla påföljande händelser som kan inverka på en ursprunglig ansökan eller ett ursprungligt beslut.

2.   I de fall som avses i punkt 1 ska följande gälla:

8.

Punkt 19 i de förklarande anmärkningarna i bilaga 6 handlar om innehållet i formuläret för ansökan om status som godkänd ekonomisk aktör:

”Namnförtydligande, datum och den sökandes underskrift:

Underskrift ange även befattning. Den som undertecknar bör alltid vara den person som företräder den sökande som helhet.

Namnförtydligande: den sökandes namn och stämpel.

…

…”

9.

Artikel 4 har följande lydelse:

”I denna förordning avses med

…”

10.

I artikel 5 föreskrivs följande:

”Vid behandling av personuppgifter ska följande gälla:

…”

11.

Artikel 6 har följande lydelse:

”1.   Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

…

…

…

2.   Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.

3.   Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. … Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

4.   Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:

12.

Artikel 23.1 e har följande lydelse:

”Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa

…

13.

I den version som är tillämplig på de faktiska omständigheterna i målet föreskrivs följande i 139a § stycke 1:

”Den centrala tyska skattemyndigheten (Bundeszentralamt für Steuern) tilldelar varje skattskyldig person en enhetlig och permanent referens (identifieringsreferens). Denna referens ska anges av den skattskyldige eller av en tredje man som överför uppgifter om denna skattskyldiga person till skattekontoren vid ansökningar, förklaringar eller meddelanden till skattekontoren. Den består av en siffersekvens som inte får bildas av eller härledas från andra uppgifter om den skattskyldige. Den sista siffran utgör en kontrollsiffra …”

14.

139b § har följande lydelse:

”(1)   En fysisk person får inte erhålla mer än ett identifieringsnummer …

(2)   Skattekontoren får endast samla in och använda identifieringsnumret såvitt detta är nödvändigt för att uppfylla deras uppgifter enligt lag eller om det föreligger en lagbestämmelse enligt vilken insamling och användning av identifieringsnumret uttryckligen är tillåten eller påkallad. Andra offentliga myndigheter eller privata parter får

(3)   Den centrala skattemyndigheten ska lagra följande uppgifter avseende fysiska personer:

…

…

(4)   De uppgifter som anges i tredje stycket lagras för att

15.

I 38 § stycke 1 och 3, i den version som var tillämplig vid tidpunkten för de faktiska omständigheterna, föreskrivs följande:

”(1)   Vid inkomster på grund av tjänst ska inkomstskatten dras av från lönen (skatt på inkomst av tjänst), i den mån lön betalas av en arbetsgivare …

…

(3)   Arbetsgivaren ska innehålla inkomstskatten för arbetstagarens räkning vid varje löneutbetalning …”

16.

I 39 § stycke 1 och 4 föreskrivs följande:

”(1)   Vid genomförande av avdraget av inkomstskatten ska rekvisit för inkomstskatteavdraget fastställas på arbetsgivarens initiativ …

…

(4)   Rekvisiten för inkomstskatteavdrag är följande:

…”.

17.

39e § har följande lydelse:

”(1)   Den centrala skattemyndigheten fastställer i princip automatiskt skatteklass för varje arbetstagare och skatteavdrag för de barn som ska beaktas vid skatteklasserna I till IV … som rekvisit för avdrag för skatt på inkomst av tjänst (39 § stycke 4 första meningen punkterna 1 och 2) … Såvitt skattekontoren fastställer rekvisit för avdrag för skatt på inkomst av tjänst enligt 39 § ska de meddela detta till den centrala skattemyndigheten i syfte att tillgängliggöra dem för automatisk sökning från arbetsgivaren …

(2)   Den centrala skattemyndigheten lagrar rekvisit för avdrag för skatt på inkomst av tjänst i syfte att tillgängliggöra dem för automatisk sökning för arbetsgivaren med uppgift om identifieringsnummer. Dessutom ska följande uppgifter lagras för varje skattskyldig utöver de uppgifter som anges i 139b § stycke 3 Abgabenordning:

…

(4)   Arbetstagaren ska när anställningsförhållandet påbörjas i syfte att möjliggöra en sökning av rekvisit för avdrag för skatt på inkomst av tjänst meddela samtliga arbetsgivare,

…

Arbetsgivaren ska när anställningsförhållandet påbörjas söka arbetstagarens elektroniska rekvisit för avdrag för skatt på inkomst av tjänst vid den centrala skattemyndigheten och överföra dem till arbetstagarens lönekonto. …

…”

18.

Deutsche Post innehade tullrättsliga tillstånd som bolaget beviljats på grundval av förordning (EEG) nr 2913/92 ( 6 ) och förordning (EEG) nr 2454/93, ( 7 ) bland annat tillstånd som godkänd mottagare och som godkänd avsändare. Deutsche Post hade även beviljats en samlad garanti som förenkling i förfarandet för unions- respektive gemenskapstransitering samt, sedan tullkodexen blev fullt tillämplig, tillstånd för en anläggning för tillfällig lagring.

19.

Hauptzollamt bad genom skrivelse av den 19 april 2017 Deutsche Post att besvara det på internet tillgängliga frågeformuläret för självbedömning del I – information om företaget – innan den 19 maj 2017. Det formuläret innehöll bland annat följande frågor:

”1.1.2 Ange, om det är tillämpligt för företagets bolagsform,

…

1.1.6 Ange namnen på personerna i ledningen (verkställande direktörer, avdelningschefer, redovisningschefer, chefer för tullavdelningen och så vidare) och beskriv de aktuella reglerna för företrädande. Obligatoriska uppgifter är förnamn, efternamn, födelsedatum, skatteidentifieringsnummer och behörigt skattekontor.

…

1.3.1 Ange de personer som är ansvariga för tullärenden i er organisation eller de personer som hanterar tullfrågor (till exempel tullhandläggare, chefer för tullavdelningen) med uppgifter om förnamn, efternamn, födelsedatum, skatteidentifieringsnummer, behörigt skattekontor och ställning i organisationen.”

20.

Hauptzollamt underrättade Deutsche Post om att det vid underlåten medverkan inte skulle gå att fastställa om villkoren för tillståndet enligt tullkodexen var uppfyllda. Om Deutsche Post inte medverkade eller villkoren för tillståndet inte längre var uppfyllda skulle myndigheten återkalla de obegränsade tillstånden.

21.

Deutsche Post väckte talan vid den hänskjutande domstolen och invände mot skyldigheten att informera Hauptzollamt om skatteidentifieringsnummer och behörigt skattekontor för de personer som anges i formuläret för självbedömning. Deutsche Post yrkade att den hänskjutande domstolen skulle slå fast att bolaget inte har någon skyldighet att besvara den delen av formuläret.

22.

Som stöd för sin talan anförde Deutsche Post följande:

23.

Hauptzollamt invände mot Deutsche Posts argument och anförde att efterfrågningen av skatteidentifieringsnummer är nödvändig för att entydigt kunna identifiera den aktuella personen inom ramen för en förfrågning till skattekontoren. Ett utbyte av information föreskrivs emellertid först om skattemyndigheten får kännedom om allvarliga eller upprepade överträdelser av skattereglerna. Därvid beaktas inte avslutade förfaranden för straffrättsliga eller administrativa sanktioner. Upprepade åsidosättanden av skatteregler beaktas endast vid en koncentration som inte står i rimlig proportion till arten eller omfattningen av sökandens affärsverksamhet.

24.

Enligt Hauptzollamt överensstämmer den personkrets som omfattas av frågorna med artikel 24.1 andra stycket i genomförandeförordningen och kommissionens riktlinjer för godkända ekonomiska aktörer. Det görs en riskbedömning i det enskilda fallet för att fastställa för vilka personer ett konkret utbyte av information med skattemyndigheten ska genomföras. Med avseende på de personer som hanterar tullfrågor, begränsas efterfrågningen vid större tullavdelningar till ledningen och ledande anställda.

25.

Finanzgericht Düsseldorf (skattedomstol i Düsseldorf, Tyskland) hyser tvivel om huruvida efterfrågningen av personuppgifter (i form av skatteidentifieringsnummer och uppgifter om vilket skattekontor som är behörigt att fastställa inkomstskatt med avseende på de personer som anges i punkterna 1.1.2 c, 1.1.6 och 1.3.1 i frågeformuläret), utgör en tillåten behandling av dessa uppgifter för bestämda ändamål i den mening som avses i dataskyddsförordningen och i artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

26.

Den hyser även tvivel om huruvida det är nödvändigt att beakta personuppgifter för arbetstagare och styrelsemedlemmar från klaganden som samlats in för uppbörd av inkomstskatt, eftersom de inte har någon direkt koppling till bedömningen av deras lämplighet i tullrättsligt hänseende eller till Deutsche Posts ekonomiska verksamhet.

27.

Mot denna bakgrund har den nationella domstolen hänskjutit följande fråga till EU-domstolen med begäran om förhandsavgörande:

”Ska artikel 24.1 andra stycket i kommissionens genomförandeförordning (EU) 2015/2447 av den 24 november 2015 om närmare regler för genomförande av vissa bestämmelser i Europaparlamentets och rådets förordning (EU) nr 952/2013 om fastställande av en tullkodex för unionen tolkas så, att tullmyndigheten får kräva att sökanden meddelar dels de skatteidentifieringsnummer som den centrala tyska skattemyndigheten (Bundeszentralamt für Steuern), med avseende på uppbörd av inkomstskatt, tilldelat sökandens styrelseledamöter samt de hos sökanden verksamma verkställande direktörer, avdelningschefer, redovisningschefer, chefer för tullavdelningen, personer ansvariga för tullfrågor och personer som hanterar tullfrågor, dels vilka skattekontor som är behöriga att fastställa dessa personers inkomstskatt?”

28.

Skriftliga yttranden har getts in av Deutsche Post, Hauptzollamt, den spanska, den ungerska och den italienska regeringen, samt kommissionen. Vid förhandlingen den 5 juli 2018 medverkade Deutsche Post, Hauptzollamt och kommissionen.

29.

Innan en bedömning görs i sak, ska det klargöras vilka unionsrättsliga bestämmelser om personuppgiftsskydd som är tillämpliga i förevarande mål.

30.

Begäran om uppgifter skickades till Deutsche Post den 19 april 2017, således innan dataskyddsförordningen trädde i kraft (den 25 maj 2018). Vid den tidpunkten gällde fortfarande direktiv 95/46/EG, ( 8 ) men trots det har såväl den hänskjutande domstolen som parterna i detta mål om förhandsavgörande, med undantag av kommissionen, förutsatt att förordningen ska tillämpas.

31.

Förklaringen till denna skenbara anomali kan finnas i det ursprungliga nationella målets karaktär. Såsom framkom vid förhandlingen hade Deutsche Post inte väckt en talan om ogiltigförklaring (Anfechtungsklage) som domstolen skulle pröva enligt den lagstiftning som gällde vid tidpunkten för de faktiska omständigheterna, utan en fastställelsetalan (Feststellungsklage) ( 9 ) som skulle prövas mot bakgrund av den rättsliga situation som gällde vid tidpunkten för förhandlingen och domen.

32.

Det ankommer på den hänskjutande domstolen att tolka sin nationella lagstiftning och EU-domstolen uttalar sig inte om den. Det innebär att om den hänskjutande domstolen mot bakgrund av den nationella lagstiftningen finner att tvisten av tidsmässiga skäl ska prövas med tillämpning av dataskyddsförordningen och inte av direktiv 95/46, ska EU-domstolen tolka förordningen och inte direktivet. ( 10 )

33.

Begäran om förhandsavgörande avser tolkningen, och inte en eventuell ogiltigförklaring, av artikel 24.1 i genomförandeförordningen, och för detta ska dataskyddsförordningen och artiklarna 7 och 8 i stadgan beaktas. ( 11 ) Den hänskjutande domstolen undrar som sagt inte huruvida den artikeln är ogiltig. I artikeln fastställs bara villkoren för att beviljas status som ”godkänd ekonomisk aktör” och den kräver inte i sig att personuppgifter överförs eller behandlas av en tredje part.

34.

Status som godkänd ekonomisk aktör ger fördelar ( 12 ) för de ekonomiska aktörer som i samband med sina tullförfaranden anses pålitliga inom hela unionen (artikel 5.5 i tullkodexen). Enligt artikel 38.6 i tullkodexen ska de bland annat behandlas på ett mer förmånligt sätt än andra ekonomiska aktörer när det gäller tullkontroller. Beroende på vilken typ av tillstånd som beviljas underkastas en godkänd ekonomisk aktör färre fysiska och dokumentbaserade kontroller.

35.

Eftersom en godkänd ekonomisk aktörs pålitlighet och rykte ska kontrolleras, måste denne uppfylla de villkor som föreskrivs i artikel 39 i tullkodexen ( 13 ) för att beviljas sådan status. Dessa villkor är följande:

36.

Dessa villkor ska samtliga aktörer som ansöker om status som godkänd ekonomisk aktör uppfylla, oavsett om de är juridiska eller fysiska personer. Eftersom Deutsche Post är en juridisk person, omfattar i förevarande mål kravet att inte ha gjort sig skyldig till allvarliga överträdelser eller upprepade överträdelser av tullagstiftningen och skattereglerna och att inte vara dömd för allvarliga brott som rör dess ekonomiska verksamhet vissa av dess anställda (de som har de mest relevanta arbetsuppgifterna som därefter anges). ( 14 ) Detta föreskrivs i artikel 24 i genomförandeförordningen, vilken antagits med stöd av artikel 39 a i tullkodexen. ( 15 )

37.

Dessa villkor omfattar enligt artikel 24 i genomförandeförordningen ”den person som leder den sökandes verksamhet eller utövar kontroll över dess ledning” och ”den anställde som har hand om den sökandes tullfrågor”. ( 16 )

38.

I artikel 24 i genomförandeförordningen anges de gränser som tullmyndigheterna inte får överskrida då de efterfrågar information om de personer som får utredas. Artikel 24 ska även iakttas när det gäller syftet med sammanställningen av uppgifter om dessa personer.

39.

Logiken i artikel 24 i genomförandeförordningen är att tullmyndigheterna för att kunna bevilja ( 17 ) status som godkänd ekonomisk aktör, måste ha tillgång till vissa uppgifter om personerna i företagens ledning och om de fysiska personer som ansvarar för deras tullverksamhet. ( 18 )

40.

Lydelsen av artikel 24 i genomförandeförordningen är restriktiv: där nämns enbart den person som leder den sökandes verksamhet eller utövar kontroll över dess ledning och den anställde som har hand om den sökandes tullfrågor. I bestämmelsen används singularform, vilket innebär att den ska tolkas restriktivt. För detta talar även den omständigheten att informationen som lämnas utgörs av personuppgifter. En sekundärrättslig bestämmelse som är hierarkiskt underordnad artikel 24 i genomförandeförordningen, vilket är fallet med bilaga 6 i delegerad förordning 2016/341, kan inte utvidga den personkrets på vilken förordningen är tillämplig.

41.

Det innebär att tullmyndigheten bara får samla in personuppgifter om

42.

Mot bakgrund av detta instämmer jag med den hänskjutande domstolens uppfattning. Den anser att ett krav på personuppgifter rörande ett företags styrelsemedlemmar eller medlemmar i rådgivande organ, saknar stöd i artikel 24 i genomförandeförordningen. I linje med detta kan den bestämmelsen inte heller ligga till grund för ett krav på uppgifter om chefer för andra avdelningar och redovisningschefer, såvida inte dessa personer även har den yttersta beslutanderätten i företaget eller har hand om dess tullfrågor.

43.

Enligt artikel 24 i genomförandeförordningen får det som sagt bara samlas in sådan information som är nödvändig för att kontrollera att det inte har begåtts några ”allvarliga eller upprepade överträdelser av tullagstiftningen och skattereglerna” och att personerna i fråga inte heller har dömts för några ”allvarliga brott som rör deras ekonomiska verksamhet”.

44.

Detta är således det enda syfte som tullmyndigheternas insamling av information får ha. I bestämmelsen anges det dock inte närmare vilken typ av uppgifter som är ägnade att uppnå syftet med den. Det ankommer på medlemsstaterna att fastställa dessa, under förutsättning att det endast rör sig om de uppgifter som är nödvändiga för att försäkra sig om att det inte har begåtts några handlingar som påverkar företagsledningens pålitlighet.

45.

För att pröva huruvida de ovannämnda anställda vid det företag som ansöker om status som godkänd ekonomisk aktör uppvisar den redbarhet som krävs för att åtnjuta tullmyndigheternas förtroende, nämns i artikel 24 i genomförandeförordningen tre kategorier av överträdelser:

46.

Vilka uppgifter får tullmyndigheterna enligt artikel 24 i genomförandeförordningen samla in för att uppdaga överträdelser då de prövar ansökningar om beviljande av status som godkänd ekonomisk aktör?

47.

Hauptzollamt har gjort gällande att den behöver få tillgång till skatteidentifieringsnummer och uppgifter om behörigt skattekontor för de chefer och anställda vid Deutsche Post som ansvarar för tullfrågor. Enligt Hauptzollamt är det bara på det sättet som myndigheten kan få reda på om dessa har gjort sig skyldiga till allvarliga eller upprepade överträdelser av skattelagstiftningen, eftersom många skatter handhas av de regionala myndigheterna i Tyskland. Skatteidentifieringsnumret är enligt Hauptzollamt den uppgift som ligger till grund för framställningar till de regionala myndigheterna om nödvändig information om dessa personer.

48.

Deutsche Post har däremot gjort gällande att den situation bolagets anställda befinner sig i med avseende på inkomstskatt saknar betydelse för bedömningen av huruvida de har begått några allvarliga eller upprepade överträdelser av skattereglerna. Det är enligt Deutsche Post varken lämpligt eller nödvändigt att samla in deras skatteidentifieringsnummer för att pröva deras pålitlighet i tullrättsligt hänseende.

49.

Av de skriftliga yttrandena och av de förklaringar som lämnades vid förhandlingen framgår att skatteidentifieringsnumret är en personlig identifieringsuppgift som används i kontakterna mellan fysiska personer och den tyska skattemyndigheten i olika sammanhang. Det råder enighet om att det främst används för uppbörden av inkomstskatten, vilket förklarar kopplingen i det nationella målet till de skattekontor som är behöriga att fastställa inkomstskatt.

50.

Det ankommer inte på EU-domstolen att tolka den tyska lagstiftningen utan på den hänskjutande domstolen. Den hänskjutande domstolen hävdar att de skatteidentifieringsnummer som den centrala tyska skattemyndigheten tilldelar Deutsche Posts anställda (139a § stycke 1 första meningen skattelagen) bara får samlas in och lagras för uppbörd av inkomstskatt, genom att göra avdrag från lönen för den skatten (39e § stycke 4 första meningen punkt 1 inkomstskattelagen).

51.

De personuppgifter för Deutsche Posts anställda som samlats in för det ovannämnda ändamålet, har enligt den hänskjutande domstolen inte någon direkt koppling till företagets ekonomiska verksamhet och de är därför inte relevanta för att bedöma deras pålitlighet i tullrättsligt hänseende. ( 23 )

52.

Jag anser emellertid att det i tullrättsligt hänseende inte finns något som hindrar att de tyska myndigheterna efterfrågar skatteidentifieringsnummer (och uppgifter om vilket skattekontor som är behörigt för att fastställa inkomstskatten) för de personer som ingår i ledningen och de personer som ansvarar för tullfrågor i ett företag som ansöker om status som godkänd ekonomisk aktör. Med förbehåll för vad som nedan anges rörande skyddet av dessa personuppgifter, kan de användas för att kontrollera att de personerna inte har gjort sig skyldiga till några överträdelser.

53.

Den hänskjutande domstolens argument hade kunnat vara relevant om de uppgifter som kan inhämtas med hjälp av skatteidentifieringsnumret, och som måste avse varje fysisk person, hade varit frikopplade (vilket den hänskjutande domstolen tycks anse) från företagets verksamhet. Inhämtandet av dessa uppgifter handlar emellertid just om att kontrollera huruvida de två personer som har relevanta befattningar i det företag som ansöker om status som godkänd ekonomisk aktör, under de tre senaste åren själva (alltså inte företaget) har begått handlingar som minskar deras pålitlighet och som så att säga smittar av sig – om påföljder tidigare har ålagts – på det företag vars allmänna ledning och tullfrågor de ansvarar för.

54.

Liksom andra motsvarande skatteuppgifter som domstolen har betecknat på det sättet ( 24 ) är skatteidentifieringsnumret en personuppgift i den mening som avses i artikel 4.1 i dataskyddsförordningen, eftersom det rör sig om upplysningar som avser en identifierad eller identifierbar person. ( 25 )

55.

Uppgiften om vilket skattekontor som är behörigt att fastställa inkomstskatt för en viss person, framstår i beslutet att begära förhandsavgörande som nära knuten till skatteidentifieringsnumret till följd av det tyska skattesystemets federala uppbyggnad. Den kan i detta sammanhang, på ett underordnat sätt, betraktas som en skatteuppgift som avser en identifierad eller identifierbar person.

56.

Såsom den hänskjutande domstolen har påpekat gör en automatisk sökning på skatteidentifieringsnummer det möjligt att få tillgång till särskilt känsliga uppgifter. ( 26 ) Det är således ett instrument som myndigheterna förfogar över och som gör det möjligt att identifiera den person som tilldelats numret och få fram viss information om hans eller hennes privatliv och familjeliv.

57.

Den verksamhet som bedrivs kring skatteidentifieringsnumren i förbindelserna mellan tullmyndigheterna och de företag som ansöker om status som godkänd ekonomisk aktör, kan betecknas som insamling eller utlämning genom överföring. I båda fallen sker det en behandling av personuppgifter i den mening som avses i artikel 4.2 i dataskyddsförordningen. De tyska tullmyndigheterna begär in skatteidentifieringsnummer, strukturerar dem och använder dem för att begära information från de behöriga skattekontoren om huruvida dessa personer har begått allvarliga eller upprepade överträdelser av skattelagstiftningen. Enbart inhämtandet av dessa uppgifter innebär en behandling och det gör i än högre grad struktureringen och den efterföljande användningen av dem för att få information om personerna. ( 27 )

58.

Domstolen har också slagit fast att det föreligger behandling av personuppgifter när uppgifter överförs från ett offentligt organ till ett annat ( 28 ) och även när en arbetsgivare skickar personuppgifter till en nationell myndighet. ( 29 ) Deutsche Posts överföring av personuppgifter rörande personer i ledningen och anställda till Hauptzollamt utgör således ”behandling av uppgifter” i den mening som avses i dataskyddsförordningen.

59.

Enligt artikel 5.1 b i dataskyddsförordningen är den styrande principen för behandling av personuppgifter att den endast får ske för vissa ändamål. Där anges att ”de ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.” ( 30 )

60.

Det är således nödvändigt att avgöra huruvida de tyska tullmyndigheternas användning av skatteidentifieringsnumren för personer i ledningen och personer som ansvarar för tullfrågor hos Deutsche Post, är förenlig med syftet med att samla in dessa personuppgifter enligt den nationella lagstiftningen.

61.

Den hänskjutande domstolen hyser tvivel rörande detta ( 31 ) och anser inte att det finns någon direkt koppling mellan skatteidentifieringsnumren och de skattekontor som är behöriga att fastställa inkomstskatten för personer i ledningen och anställda, å ena sidan, och Deutsche Posts tullverksamhet, å den andra. Såsom framkom vid förhandlingen och som jag har redogjort för tidigare, föreskrivs det i tysk rätt att dessa skatteuppgifter får användas, i första hand men inte uteslutande, i anställningsförhållandet mellan arbetsgivare och arbetstagare för uppbörd av inkomstskatt.

62.

Skatteidentifieringsnummer (och, på ett underordnat sätt, uppgifter om behöriga skattekontor för fastställande av inkomstskatt) är således personuppgifter som inte har varit avsedda att användas inom ramen för förbindelserna mellan ett företag och de tyska tullmyndigheterna för att beviljas eller bibehålla status som godkänd ekonomisk aktör. Det rör sig således om en behandling av personuppgifter som i princip inte sker för det ändamål för vilket de samlades in, vilket strider mot regeln i artikel 5.1 b i dataskyddsförordningen.

63.

En behandling av personuppgifter av det här slaget skulle dock i princip kunna vara motiverad. Det är till exempel tillräckligt att de berörda fysiska personerna lämnar sitt samtycke, enligt artikel 6.1 a i dataskyddsförordningen. Av handlingarna i målet framgår emellertid att de anställda vid Deutsche Post motsätter sig behandlingen, vilket utesluter en sådan lösning.

64.

Andra situationer när det kan vara motiverat anges i artikel 6.1, ( 32 ) enligt vilken en behandling av personuppgifter är laglig om den är nödvändig ”för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige” (6.1 c) eller ”för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning” (6.1 e). ( 33 ) I båda fallen föreskrivs det i artikel 6.3 i dataskyddsförordningen att grunden för behandlingen ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

65.

Lagligheten av begäran och behandlingen av de personuppgifter som tullförvaltningen riktar till Deutsche Post, bygger på den rättsliga förpliktelse ( 34 ) som dessa myndigheter har att kontrollera att endast företag vars personer i ledningen och personer som ansvarar för tullfrågor inte har gjort sig skyldiga till de ovannämnda överträdelserna, beviljas status som godkänd ekonomisk aktör. Denna rättsliga förpliktelse bygger ytterst på artikel 24 i genomförandeförordningen. Jag anser således att den motivering som avses i artikel 6.1 c i dataskyddsförordningen gör sig gällande här.

66.

Behandlingen av skatteidentifieringsnummer för personer i ledningen och för den ansvariga personen för tullfrågor i ett företag, i samband med prövningen av en ansökan om status som godkänd ekonomisk aktör, kan även vara laglig på grund av att den utgör ”ett led i den personuppgiftsansvariges myndighetsutövning” (artikel 6.1 e i dataskyddsförordningen), ( 35 ) eftersom den är nödvändig för att tullmyndigheterna ska kunna utöva den offentliga makt som de har tilldelats för att kontrollera de företag som har status som godkänd ekonomisk aktör. Denna status innebär en viss delegering av tullkontrolluppgifter till de godkända ekonomiska aktörerna, vilken uppvägs av en omfattande befogenhet för tullmyndigheterna att kontrollera och övervaka aktörernas pålitlighet.

67.

Efterfrågningen och behandlingen av de uppgifter som tvisten avser, vilka är lagliga genom att de grundar sig på artikel 6.1. c och e, kan medföra vissa begränsningar av de rättigheter som artiklarna 12–22 i dataskyddsförordningen tillerkänner de personer som personuppgifterna avser. Det ankommer på den hänskjutande domstolen att avgöra huruvida Hauptzollamt då den behandlar dessa uppgifter, begränsar någon av de berörda personernas rättigheter, till exempel rätten till tillgång, rättelse eller radering eller rätten att göra invändningar.

68.

Sådana begränsningar, om de föreligger, skulle kunna motiveras av något av ”unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet” (artikel 23.1 c i dataskyddsförordningen). Den åtgärd genom vilka begränsningarna införs måste dessutom respektera ”andemeningen i de grundläggande rättigheterna och friheterna” och vara ”nödvändig och proportionell i ett demokratiskt samhälle”. ( 36 )

69.

Jag anser att syftet att säkerställa att personerna i ledningen och den person som ansvarar för tullfrågor i ett företag är pålitliga i tullrättsligt hänseende, för att bevilja företaget status som godkänd ekonomisk aktör, är ett mål av generellt allmänt intresse för unionen och för den tyska staten i ekonomiskt hänseende eller i budget- eller skattehänseende. En kontroll av de godkända ekonomiska aktörernas pålitlighet gynnar uppbörden av de tullar, vilka utgör unionens egna medel, som medlemsstaterna betalar in och överför till unionens budget, efter avdrag av en procentuell andel för den administrativa förvaltningen.

70.

Bristande redbarhet hos personerna i företagets ledning och hos den person som ansvarar för tullfrågor, är faktorer som kan påverka företagets pålitlighet i tullrättsligt hänseende, vilket indirekt påverkar möjligheten att beviljas status som godkänd ekonomisk aktör. ( 37 ) Som jag påpekade i mitt förslag till avgörande i målet Impresa di Costruzioni Ing. E. Mantovani och Guerrato, ( 38 ) är det logiskt att företagets pålitlighet bedöms mot bakgrund av de brottsliga handlingar som har begåtts av personer som ansvarar för dess ledning.

71.

Denna omständighet innebär att tullförvaltningen får granska företagsledningens skattehistorik, vilket innefattar deras historik avseende inkomstskatt. Om personer i företagets ledning eller den person som ansvarar för tullfrågor där har gjort sig skyldiga till överträdelser rörande uppbörden av sådan, eller någon annan, skatt, anser jag att tullmyndigheterna ska kunna inhämta information om dessa.

72.

I enlighet med detta är sammanställning och användning av sådana uppgifter medel som är proportionella mot det mål som föreskrivs i artikel 24.1 i genomförandeförordningen. ( 39 ) Enligt de uppgifter som den centrala skattemyndigheten lämnade vid förhandlingen finns det i den tyska lagstiftningen inte några andra alternativa åtgärder som är mindre ingripande, eftersom den tyska statens federala uppbyggnad medför att vissa skatter, till exempel inkomstskatten, handhas av de regionala myndigheterna. Skatteidentifieringsnumret är det medel som är mest lämpat för att (de federala) tullmyndigheterna ska kunna inhämta skatteuppgifter från flera olika regionala myndigheter. ( 40 )

73.

Två preciseringar bör göras.

74.

Mot bakgrund av vad som ovan anförts föreslår jag att domstolen besvarar tolkningsfrågan från Finanzgericht Düsseldorf (skattedomstol i Düsseldorf, Tyskland) på följande vis: