–

Leistritz AG, genom O. Seeling och C. Wencker, Rechtsanwälte,

–

LH, genom S. Lohneis, Rechtsanwalt,

–

Tysklands regering, genom J. Möller och S.K. Costanzo, båda i egenskap av ombud,

–

Rumäniens regering, genom E. Gane, i egenskap av ombud,

–

Europaparlamentet, genom O. Hrstková Šolcová, P. López-Carceller och B. Schäfer, samtliga i egenskap av ombud,

–

Europeiska unionens råd, genom T. Haas och K. Pleśniak, båda i egenskap av ombud,

–

Europeiska kommissionen, genom K. Herrmann, H. Kranenborg och D. Nardi, samtliga i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen och giltigheten av artikel 38.3 andra meningen i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad GDPR).

2

Begäran har framställts i ett mål mellan Leistritz AG och LH angående uppsägningen av LH:s anställningsavtal till följd av en omorganisation inom företaget. LH var dataskyddsombud hos Leistritz.

3

Skälen 10 och 97 i GDPR har följande lydelse:

…

4

Artikel 37 i GDPR, med rubriken ”Utnämning av dataskyddsombudet”, har följande lydelse:

”1.   Den personuppgiftsansvarige och personuppgiftsbiträdet ska under alla omständigheter utnämna ett dataskyddsombud om

…

6.   Dataskyddsombudet får ingå i den personuppgiftsansvariges eller personuppgiftsbiträdets personal, eller utföra uppgifterna på grundval av ett tjänsteavtal.

…”

5

Artikel 38 i GDPR har rubriken ”Dataskyddsombudets ställning”. I artikel 38.3 och 38.5 föreskrivs följande:

”3.   Den personuppgiftsansvarige och personuppgiftsbiträdet ska säkerställa att dataskyddsombudet inte tar emot instruktioner som gäller utförandet av dessa uppgifter. Han eller hon får inte avsättas eller bli föremål för sanktioner av den personuppgiftsansvarige eller personuppgiftsbiträdet för att ha utfört sina uppgifter. Dataskyddsombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå.

…

5.   Dataskyddsombudet ska, när det gäller dennes genomförande av sina uppgifter, vara bundet av sekretess eller konfidentialitet i enlighet med unionsrätten eller medlemsstaternas nationella rätt.”

6

Artikel 39 i GDPR har rubriken ”Dataskyddsombudets uppgifter”. I artikel 39.1 b föreskrivs följande:

”Dataskyddsombudet ska ha minst följande uppgifter:

…

…”

7

6 § Bundesdatenschutzgesetz (federala dataskyddslagen) av den 20 december 1990 (BGBl. 1990 I, s. 2954), i den lydelse som gällde under perioden 25 maj 2018–25 november 2019 (BGBl. 2017 I, s. 2097) (nedan kallad BDSG) har rubriken ”Uppdrag”. I 6 § stycke 4 BDSG föreskrivs följande:

”Dataskyddsombud får endast avsättas genom analog tillämpning av 626 § Bürgerliches Gesetzbuch [(civillagen)], i dess lydelse per den 2 januari 2002 (BGBl. I, s. 42, och rättelser i BGBl. I, s. 2909 och BGBl. 2003 I, s. 738) En uppsägning av anställningsförhållandet är ogiltig såvida det inte finns omständigheter som berättigar myndigheten till uppsägning av synnerliga skäl, utan att iaktta någon uppsägningstid. När uppdraget som dataskyddsombud har upphört är en uppsägning av anställningsförhållandet inom ett år ogiltig, såvida myndigheten inte är berättigad till uppsägning av synnerliga skäl, utan att iaktta någon uppsägningstid.”

8

I 38 § BDSG, med rubriken ”Dataskyddsombud i icke-offentliga organisationer”, föreskrivs följande:

”1.   Utöver vad som föreskrivs i artikel 37.1 b och c i förordning (EU) 2016/679 ska den personuppgiftsansvarige och personuppgiftsbiträdet utnämna ett dataskyddsombud om de normalt stadigvarande sysselsätter minst tio personer med automatiserad hantering av personuppgifter. …

2.   6 § styckena 4, 5 andra meningen och 6 är tillämpliga. Detta gäller emellertid endast 6 § stycke 4 om det föreligger en skyldighet att utnämna ett personuppgiftsbiträde eller ett dataskyddsombud.”

9

134 § civillagen, i dess lydelse per den 2 januari 2002 (nedan kallad civillagen), har rubriken ”Lagstadgat förbud”. Den bestämmelsen har följande lydelse:

”En rättshandling som strider mot ett lagstadgat förbud är ogiltig, såvida inget annat föreskrivs enligt lag.”

10

626 § civillagen har rubriken ”Uppsägning av anställningsavtalet utan uppsägningstid på grund av synnerliga skäl”. I den bestämmelsen föreskrivs följande:

”1.   Varje avtalspart får säga upp anställningsförhållandet av synnerliga skäl utan iakttagande av uppsägningstid om det föreligger sakförhållanden som med beaktande av samtliga omständigheter i det enskilda fallet och en avvägning mellan båda avtalsparternas intressen gör att det inte rimligen kan krävas att den uppsägande parten fortsätter anställningsförhållandet till dess att uppsägningstiden eller den avtalade perioden för anställningsförhållandet har löpt ut.

2.   Uppsägningen kan endast göras inom två veckor. Fristen börjar löpa vid den tidpunkt som den part som har rätt att säga upp anställningsförhållandet har erhållit kännedom om de avgörande omständigheterna. …”

11

Leistritz är ett privaträttsligt bolag som enligt tysk rätt är skyldigt att utse ett dataskyddsombud. LH arbetade där som ”chefsjurist” från och med den 15 januari 2018 och var från och med den 1 februari 2018 dataskyddsombud.

12

Leistritz sade genom skrivelse av den 13 juli 2018 upp LH med verkan från och med den 15 augusti 2018. Leistritz hänvisade till en omstrukturering av företaget som innebar att juridisk rådgivning och personuppgiftsskydd inte längre skulle utföras in-house, utan externaliseras.

13

LH väckte talan och ifrågasatte giltigheten av sin uppsägning. Underinstanserna fann att uppsägningen var ogiltig, då LH enligt 38 § stycke 2 och 6 § stycke 4 andra meningen BDSG, i egenskap av dataskyddsombud, endast kunde sägas upp om det förelåg synnerliga skäl. Den omstrukturering som Leistritz redogjort för utgör inte ett synnerligt skäl.

14

Leistritz överklagade till den hänskjutande domstolen som har påpekat att enligt tysk rätt är uppsägningen av LH ogiltig enligt ovannämnda bestämmelser och § 134 civillagen. Bundesarbeitsgericht (Federala arbetsdomstolen) anser att frågan huruvida 38 § stycke 2 BDSG, jämförd med 6 § stycke 4 andra meningen samma lag, är tillämplig beror på huruvida en nationell bestämmelse, genom vilken en uppsägning av dataskyddsombudet är förenad med strängare krav än enligt unionslagstiftningen, i synnerhet artikel 38.3 andra meningen i dataskyddsförordningen, är tillåten enligt unionsrätten. Om så inte är fallet, måste den hänskjutande domstolen bifalla överklagandet.

15

Den hänskjutande domstolen har preciserat att dess tvivel bland annat beror på att det föreligger motsatta åsikter i nationell doktrin. Majoritetsuppfattningen är att det förstärkta skydd mot uppsägning som föreskrivs i 38 § stycke 2 BDSG, jämförd med 6 § stycke 4 andra meningen i samma lag, utgör en materiell arbetsrättslig regel beträffande vilken unionen saknar lagstiftningsbefogenhet, vilket innebär att bestämmelserna inte strider mot artikel 38.3 andra meningen i GDPR. Minoritetsuppfattningen är att sambandet mellan detta skydd och uppdraget som dataskyddsombud strider mot unionsrätten och skapar ett ekonomiskt tryck att långsiktigt behålla ett dataskyddsombud när denne väl blivit utnämnd.

16

Mot denna bakgrund beslutade Bundesarbeitsgericht (Federala arbetsdomstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:

17

Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 38.3 andra meningen i GDPR ska tolkas så, att den utgör hinder för nationell lagstiftning enligt vilken det föreskrivs att en personuppgiftsansvarig eller ett personuppgiftsbiträde endast får säga upp ett dataskyddsombud som ingår i den ansvariges eller biträdets personal om det föreligger synnerliga skäl, även om uppsägningen inte har något samband med utförandet av ombudets uppgifter.

18

Såsom framgår av fast rättspraxis ska vid tolkningen av en unionsbestämmelse inte endast lydelsen beaktas i enlighet med dess sedvanliga betydelse i normalt språkbruk, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (dom av den 22 februari 2022, Stichting Rookpreventie Jeugd m.fl., C‑160/20, EU:C:2022:101, punkt 29 och där angiven rättspraxis).

19

Beträffande, för det första, den aktuella bestämmelsens lydelse föreskrivs det i artikel 38.3 andra meningen i GDPR att ”[ett dataskyddsombud] inte [får] avsättas eller bli föremål för sanktioner av den personuppgiftsansvarige eller personuppgiftsbiträdet för att ha utfört sina uppgifter”.

20

Domstolen konstaterar att uttrycken ”avsättas”, ”bli föremål för sanktioner” och ”för att ha utfört sina uppgifter” i artikel 38.3 andra meningen i GDPR inte definieras i GDPR.

21

Såsom generaladvokaten har funnit i punkterna 24 och 26 i förslaget till avgörande ska förbudet för den personuppgiftsansvarige eller personuppgiftsbiträdet att avsätta dataskyddsombudet eller låta ombudet bli föremål för sanktioner, i enlighet med den betydelse som dessa uttryck har i sedvanligt språkbruk, förstås så, att dataskyddsombudet ska vara skyddad mot varje beslut som innebär att vederbörande avsätts, lider en nackdel eller blir föremål för en sanktion.

22

En uppsägning av ett dataskyddsombud som vidtas av dennes arbetsgivare och som innebär att det befintliga anställningsförhållandet mellan ombudet och arbetsgivaren upphör, vilket följaktligen också innebär att uppdraget som dataskyddsombud vid det aktuella företaget upphör, kan utgöra ett sådant beslut.

23

Domstolen konstaterar att artikel 38.3 andra meningen i GDPR är tillämplig utan åtskillnad på både dataskyddsombud som ingår i den personuppgiftsansvariges eller personuppgiftsbiträdets personal och dataskyddsombud som utför uppgifterna på grundval av ett tjänsteavtal i enlighet med artikel 37.6 i GDPR.

24

Av detta följer att artikel 38.3 andra meningen i GDPR kan tillämpas på förhållandet mellan ett dataskyddsombud och en personuppgiftsansvarig eller ett personuppgiftsbiträde, oberoende av vilket slags anställningsförhållande som råder mellan ombudet och den ansvarige eller biträdet.

25

Domstolen konstaterar vidare, såsom generaladvokaten har funnit i punkt 29 i sitt förslag till avgörande, att den bestämmelsen fastställer en gräns som innebär att det är förbjudet att säga upp ett dataskyddsombud av ett skäl som är hänförligt till utförandet av ombudets uppgifter, vilka enligt artikel 39.1 b i GDPR bland annat består i att övervaka efterlevnaden av unionsbestämmelser eller nationella bestämmelser om dataskydd samt av den personuppgiftsansvariges eller personuppgiftsbiträdets interna regler för skydd av personuppgifter.

26

Beträffande, för det andra, det mål som eftersträvas med artikel 38.3 andra meningen i GDPR, påpekar domstolen för det första att det i skäl 97 i den förordningen anges att dataskyddsombud, oavsett om de är anställda av den personuppgiftsansvarige eller ej, bör kunna fullgöra sitt uppdrag och utföra sina uppgifter på ett oberoende sätt. Detta oberoende måste göra det möjligt för dataskyddsombud att utföra sina uppgifter i enlighet med ändamålet med GDPR, vilket, såsom framgår av skäl 10 i den förordningen, bland annat är att säkerställa en hög skyddsnivå för fysiska personer inom unionen och för att uppnå detta ändamål säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter i hela unionen (dom av den 6 oktober 2020, La Quadrature du Net m.fl., C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 207 och där angiven rättspraxis).

27

Syftet att garantera dataskyddsombudets funktionella oberoende, såsom detta syfte framgår av artikel 38.3 andra meningen i GDPR, framgår av även av artikel 38.3 första och tredje meningen, där det krävs att dataskyddsombudet inte får ta emot instruktioner som gäller utförandet av sina uppgifter och att dataskyddsombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå, samt av artikel 38.5, i vilken det föreskrivs att dataskyddsombudet, när det gäller dennes genomförande av sina uppgifter, ska vara bundet av sekretess eller konfidentialitet.

28

Artikel 38.3 andra meningen i GDPR skyddar således dataskyddsombudet från beslut som skulle kunna innebära att ombudets uppdrag upphör, som skulle innebära att ombudet lider en nackdel eller som skulle utgöra en sanktion – när ett sådant beslut har samband med utförandet av ombudets uppgifter. Den bestämmelsen ska således anses syfta till att i första hand värna dataskyddsombudets funktionella oberoende och således säkerställa effektiviteten hos bestämmelserna i GDPR. Bestämmelsen har däremot inte som målsättning att på ett övergripande sätt reglera anställningsförhållandet mellan en personuppgiftsansvarig eller ett personuppgiftsbiträde och individer som ingår i dennes personal, vilka endast kan påverkas accessoriskt i den utsträckning som är strängt nödvändig för att förverkliga dessa målsättningar.

29

Denna tolkning stöds, för det tredje, av det sammanhang i vilket bestämmelsen ingår och i synnerhet av den rättsliga grund med stöd av vilken unionslagstiftaren har antagit GDPR.

30

Det framgår nämligen av ingressen till GDPR att förordningen antogs med stöd av artikel 16 FEUF. I artikel 16.2 föreskrivs bland annat att Europaparlamentet och rådet i enlighet med det ordinarie lagstiftningsförfarandet ska fastställa bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter hos unionens institutioner, organ och byråer och i medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde, samt om den fria rörligheten för sådana uppgifter.

31

Med undantag för det specifika skyddet för dataskyddsombud enligt artikel 38.3 andra meningen i GDPR, ingår däremot fastställandet av regler om skydd mot uppsägning av ett dataskyddsombud som är anställt av en personuppgiftsansvarig eller ett personuppgiftsbiträde varken i skyddet för fysiska personer med avseende på behandling av personuppgifter eller i det fria flödet av sådana uppgifter, utan i det socialpolitiska området.

32

Domstolen erinrar om att unionen och medlemsstaterna enligt artikel 4.2 b FEUF har delad befogenhet, i den mening som avses i artikel 2.2 FEUF, på det socialpolitiska området i de avseenden som definieras i EUF-fördraget. Såsom anges i artikel 153.1 d FEUF ska unionen understödja och komplettera medlemsstaternas verksamhet för att skydda arbetstagarna då deras anställningsavtal slutar gälla (se, analogt, dom av den 19 november 2019, TSN och AKT, C‑609/17 och C‑610/17, EU:C:2019:981, punkt 47).

33

Såsom framgår av artikel 153.2 b FEUF är det således genom direktiv som parlamentet och rådet får anta minimikrav på detta område. Enligt domstolens praxis får sådana minimikrav emellertid inte hindra någon medlemsstat från att bibehålla eller införa mera långtgående skyddsåtgärder som är förenliga med fördragen (se, för ett liknande resonemang, dom av den 19 november 2019, TSN och AKT, C‑609/17 och C‑610/17, EU:C:2019:981, punkt 48).

34

Av detta följer, såsom generaladvokaten har funnit i punkt 44 i sitt förslag till avgörande, att varje medlemsstat vid utövandet av sina kvarstående befogenheter får anta mer långtgående specialbestämmelser angående skydd mot uppsägning av dataskyddsombud, förutsatt att dessa bestämmelser är förenliga med unionsrätten och i synnerhet med bestämmelserna i GDPR, särskilt artikel 38.3 andra meningen.

35

Såsom generaladvokaten har påpekat i punkterna 50 och 51 i sitt förslag till avgörande kan ett sådant utökat skydd i synnerhet inte äventyra förverkligandet av målen med GDPR. Detta skulle vara fallet om skyddet för dataskyddsombud innebar att det inte var möjligt för en personuppgiftsansvarig eller ett personuppgiftsbiträde att säga upp ett dataskyddsombud som inte längre har de erforderliga yrkeskvalifikationerna för att utföra sina uppgifter eller som inte utför sina uppgifter i enlighet med bestämmelserna i GDPR.

36

Mot bakgrund av det ovan anförda ska den första frågan besvaras enligt följande. Artikel 38.3 andra meningen i GDPR ska tolkas så, att den – under förutsättning att förverkligandet av målsättningarna med GDPR inte undergrävs – inte utgör hinder för en nationell lagstiftning enligt vilken det föreskrivs att en personuppgiftsansvarig eller ett personuppgiftsbiträde endast får säga upp ett dataskyddsombud som ingår i den ansvariges eller biträdets personal om det föreligger synnerliga skäl, även om uppsägningen inte har något samband med ombudets utförande av sina uppgifter.

37

Med hänsyn till svaret på den första frågan saknas anledning att besvara den andra och den tredje frågan.

38

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (första avdelningen) följande:

Artikel 38.3 andra meningen i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att den – under förutsättning att förverkligandet av målsättningarna med den allmänna dataskyddsförordningen inte undergrävs – inte utgör hinder för en nationell lagstiftning enligt vilken det föreskrivs att en personuppgiftsansvarig eller ett personuppgiftsbiträde endast får säga upp ett dataskyddsombud som ingår i den ansvariges eller biträdets personal om det föreligger synnerliga skäl, även om uppsägningen inte har något samband med ombudets utförande av sina uppgifter.