–

X-FAB Dresden GmbH & Co. KG, genom S. Leese, Rechtsanwalt,

–

FC, genom R. Buschmann och T. Heller, Prozessbevollmächtigte,

–

Tysklands regering, genom J. Möller, D. Klebs och P.-L. Krüger, samtliga i egenskap av ombud,

–

Europaparlamentet, genom O. Hrstková Šolcová och B. Schäfer, båda i egenskap av ombud,

–

Europeiska unionens råd, genom T. Haas och K. Pleśniak, båda i egenskap av ombud,

–

Europeiska kommissionen, genom A. Bouchagiar, K. Herrmann och H. Kranenborg, samtliga i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen och giltigheten av artikel 38.3 andra meningen i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen), samt tolkningen av artikel 38.6 i denna förordning.

2

Begäran har framställts i ett mål mellan X-FAB Dresden GmbH & Co. KG (nedan kallat X-FAB) och en av bolagets anställda, FC, och rör beslutet att avsätta FC från hans uppdrag som dataskyddsombud.

3

Skälen 10 och 97 i dataskyddsförordningen har följande lydelse:

…

4

I artikel 37 i dataskyddsförordningen, med rubriken ”Utnämning av dataskyddsombudet”, föreskrivs följande i punkterna 5 och 6:

”5.   Dataskyddsombudet ska utses på grundval av yrkesmässiga kvalifikationer och, i synnerhet, sakkunskap om lagstiftning och praxis avseende dataskydd samt förmågan att fullgöra de uppgifter som avses i artikel 39.

6.   Dataskyddsombudet får ingå i den personuppgiftsansvariges eller personuppgiftsbiträdets personal, eller utföra uppgifterna på grundval av ett tjänsteavtal.”

5

I artikel 38 i dataskyddsförordningen, med rubriken ”Dataskyddsombudets ställning”, föreskrivs följande i punkterna 3, 5 och 6:

”3.   Den personuppgiftsansvarige och personuppgiftsbiträdet ska säkerställa att dataskyddsombudet inte tar emot instruktioner som gäller utförandet av dessa uppgifter. Han eller hon får inte avsättas eller bli föremål för sanktioner av den personuppgiftsansvarige eller personuppgiftsbiträdet för att ha utfört sina uppgifter. Dataskyddsombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå.

…

5.   Dataskyddsombudet ska, när det gäller dennes genomförande av sina uppgifter, vara bundet av sekretess eller konfidentialitet i enlighet med unionsrätten eller medlemsstaternas nationella rätt.

6.   Dataskyddsombudet får fullgöra andra uppgifter och uppdrag. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska se till att sådana uppgifter och uppdrag inte leder till en intressekonflikt.”

6

Artikel 39 i dataskyddsförordningen, med rubriken ”Dataskyddsombudets uppgifter”, har följande lydelse:

”1.   Dataskyddsombudet ska ha minst följande uppgifter:

2.   Dataskyddsombudet ska vid utförandet av sina uppgifter ta vederbörlig hänsyn till de risker som är förknippade med behandling, med beaktande av behandlingens art, omfattning, sammanhang och syften.”

7

I 6 § i Bundesdatenschutzgesetz (federala dataskyddslagen), av den 20 december 1990 (BGBl. 1990 I, s. 2954), i den lydelse som gällde under perioden 25 maj 2018–25 november 2019 (BGBl. 2017 I, s. 2097) (nedan kallad BDSG), med rubriken ”Uppdrag”, föreskrivs följande i punkt 4:

”Dataskyddsombud får endast avsättas genom analog tillämpning av 626 § i Bürgerliches Gesetzbuch [(civillagen)], i dess lydelse av den 2 januari 2002 (BGBl. I, s. 42, och rättelser i BGBl. I, s. 2909 och BGBl. 2003 I, s. 738). En uppsägning av ett dataskyddsombud är ogiltig såvida det inte finns omständigheter som berättigar myndigheten till uppsägning av synnerliga skäl, utan att iaktta någon uppsägningstid. När uppdraget som dataskyddsombud har upphört är en uppsägning av anställningsförhållandet inom ett år ogiltig, såvida myndigheten inte är berättigad till uppsägning av synnerliga skäl, utan att iaktta någon uppsägningstid.”

8

I 38 § BDSG, med rubriken ”Dataskyddsombud i icke-offentliga organisationer”, föreskrivs följande:

”1)   Utöver vad som föreskrivs i artikel 37.1 b och c i förordning (EU) 2016/679 ska den personuppgiftsansvarige och personuppgiftsbiträdet utnämna ett dataskyddsombud om de normalt stadigvarande sysselsätter minst tio personer med automatiserad hantering av personuppgifter. …

2)   6 § punkterna 4, 5 andra meningen och 6 är tillämplig. 6 § punkt 4 är emellertid endast tillämplig om det är obligatoriskt att utnämna ett dataskyddsombud.”

9

I 626 § i civillagen, med rubriken ”Uppsägning av anställningsavtalet utan uppsägningstid på grund av synnerliga skäl”, föreskrivs följande:

”1)   Varje avtalspart får säga upp anställningsförhållandet på grund av synnerliga skäl utan iakttagande av uppsägningstiden om det föreligger sakförhållanden som med beaktande av samtliga omständigheter i det enskilda fallet och en avvägning mellan båda avtalsparternas intressen gör att det inte rimligen kan krävas att den uppsägande parten fortsätter anställningsförhållandet till dess att uppsägningstiden eller den avtalade perioden för anställningsförhållandet har löpt ut.

2)   Uppsägningen kan endast göras inom två veckor. Fristen börjar löpa vid den tidpunkt som den part som har rätt att säga upp anställningsförhållandet har erhållit kännedom om de avgörande omständigheterna. …”

10

FC är anställd av X-FAB sedan den 1 november 1993.

11

FC är ordförande för företagsrådet i detta bolag och är i denna egenskap delvis befriad från arbete. FC är dessutom vice ordförande i det centrala företagsrådet som har bildats för tre företag i den koncern till vilken X-FAB hör. Samtliga tre företag har sitt säte i Tyskland.

12

Med verkan från den 1 juni 2015 utsågs FC, av varje företag, till dataskyddsombud för X-FAB, dess moderbolag och övriga dotterbolag till den sistnämnda med säte i Tyskland. Enligt den hänskjutande domstolen var syftet med detta parallella utnämnande av FC till dataskyddsombud för samtliga dessa företag att säkerställa en enhetlig dataskyddsnivå i företagen.

13

På begäran av ombudet för dataskydd och informationsfrihet i Thüringen (Tyskland), avsatte X-FAB och de företag som nämns i punkt 12 ovan, genom skrivelser av den 1 december 2017, FC från uppdraget som dataskyddsombud med omedelbar verkan. Genom separata skrivelser av den 25 maj 2018 upprepade dessa företag, såsom en försiktighetsåtgärd, denna åtgärd med stöd av artikel 38.3 andra meningen i dataskyddsförordningen, som blivit tillämplig under tiden, med åberopande av skäl som hade samband med den koncern som X-FAB ingick i.

14

Den talan som FC väckt vid de tyska domstolarna syftar till att få fastställt att han fortfarande är dataskyddsombud för X-FAB. X-FAB har gjort gällande att det föreligger en risk för intressekonflikt om FC samtidigt innehar uppdraget som dataskyddsombud och uppdraget som företagsrådets ordförande, eftersom dessa två uppdrag är oförenliga. Det föreligger följaktligen synnerliga skäl som motiverar att FC avsätts från uppdraget som dataskyddsombud.

15

Domstolarna i första och andra instans biföll FC:s yrkanden. I överklagandet till den hänskjutande domstolen, Bundesarbeitsgericht (Federala arbetsdomstolen), har X-FAB yrkat att FC:s ursprungliga talan ska ogillas.

16

Den hänskjutande domstolen har påpekat att utgången av detta överklagande beror på tolkningen av unionsrätten. I synnerhet uppkommer frågan huruvida artikel 38.3 andra meningen i dataskyddsförordningen utgör hinder för att det i en medlemsstats lagstiftning uppställs strängare villkor för avsättande av ett dataskyddsombud än vad som föreskrivs i unionsrätten och, om så är fallet, huruvida denna bestämmelse har en tillräcklig rättslig grund. För det fall EU-domstolen anser att de villkor som uppställs i BDSG för avsättande är förenliga med unionsrätten, ska det fastställas huruvida uppdraget som ordförande för företagsrådet och uppdraget som dataskyddsombud för samma företag kan utövas av en och samma person eller om detta medför en intressekonflikt i den mening som avses i artikel 38.6 andra meningen i dataskyddsförordningen.

17

Mot denna bakgrund beslutade Bundesarbeitsgericht (Federala arbetsdomstolen) att vilandeförklara målet och ställa följande tolknings- och giltighetsfrågor till EU-domstolen:

Om den första frågan besvaras jakande:

Om den första frågan besvaras jakande:

Om den första frågan besvaras nekande:

18

Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 38.3 andra meningen i dataskyddsförordningen ska tolkas så, att den utgör hinder för nationell lagstiftning enligt vilken en personuppgiftsansvarig eller ett personuppgiftsbiträde endast får avsätta ett dataskyddsombud som ingår i den ansvariges eller biträdets personal om det föreligger synnerliga skäl, även om avsättandet inte har något samband med ombudets utförande av sina uppgifter.

19

Såsom framgår av fast rättspraxis ska vid tolkningen av en unionsbestämmelse inte endast lydelsen beaktas i enlighet med dess sedvanliga betydelse i normalt språkbruk, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 18 och där angiven rättspraxis).

20

För det första, beträffande den aktuella bestämmelsens lydelse föreskrivs det i artikel 38.3 andra meningen i dataskyddsförordningen att ”[ett dataskyddsombud] inte [får] avsättas eller bli föremål för sanktioner av den personuppgiftsansvarige eller personuppgiftsbiträdet för att ha utfört sina uppgifter”.

21

I domen av den 22 juni 2022, Leistritz (C‑534/20, EU:C:2022:495, punkterna 20 och 21), framhöll domstolen, efter att ha konstaterat att uttrycken ”avsättas”, ”bli föremål för sanktioner” och ”för att ha utfört sina uppgifter” i artikel 38.3 andra meningen i dataskyddsförordningen inte definieras i nämnda förordning, till att börja med att, i enlighet med den sedvanliga betydelsen av dessa uttryck i normalt språkbruk, förbudet för den personuppgiftsansvarige eller personuppgiftsbiträdet att avsätta ett dataskyddsombud eller låta ombudet bli föremål för sanktioner, innebär att dataskyddsombudet ska vara skyddad mot varje beslut som innebär att vederbörande avsätts, lider en nackdel eller blir föremål för en sanktion.

22

En åtgärd för att avsätta ett dataskyddsombud som vidtas av arbetsgivaren och som medför att dataskyddsombudet fråntas sina uppgifter hos den personuppgiftsansvarige eller personuppgiftsbiträdet kan emellertid utgöra ett sådant beslut.

23

Vidare är, såsom EU-domstolen också har påpekat, artikel 38.3 andra meningen i dataskyddsförordningen tillämplig utan åtskillnad på både dataskyddsombud, som ingår i den personuppgiftsansvariges eller personuppgiftsbiträdets personal, och dataskyddsombud, som utför uppgifterna på grundval av ett tjänsteavtal i enlighet med artikel 37.6 i dataskyddsförordningen. Detta innebär att artikel 38.3 andra meningen i dataskyddsförordningen kan tillämpas på förhållandet mellan ett dataskyddsombud och en personuppgiftsansvarig eller ett personuppgiftsbiträde, oberoende av vilket slags anställningsförhållande som råder mellan ombudet och den ansvarige eller biträdet (dom av den 22 juni 2022, DPD, EU:C:2022:495, punkterna 23 och 24).

24

Slutligen fastställs i den sistnämnda bestämmelsen en gräns som innebär att det är förbjudet att avsätta ett dataskyddsombud av ett skäl som är hänförligt till utförandet av ombudets uppgifter, vilka enligt artikel 39.1 b i dataskyddsförordningen särskilt består i att övervaka efterlevnaden av unionsbestämmelser eller nationella bestämmelser om dataskydd samt av den personuppgiftsansvariges eller personuppgiftsbiträdets strategi för skydd av personuppgifter (se, för ett liknande resonemang, dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 25).

25

För det andra, beträffande det mål som eftersträvas med artikel 38.3 andra meningen i dataskyddsförordningen, anges det, till att börja med, i förordningens skäl 97 att dataskyddsombud, oavsett om de är anställda av den personuppgiftsansvarige eller ej, bör kunna fullgöra sitt uppdrag och utföra sina uppgifter på ett oberoende sätt. Detta oberoende måste göra det möjligt för dataskyddsombud att utföra sina uppgifter i enlighet med ändamålet med dataskyddsförordningen, vilket, såsom framgår av skäl 10 i den förordningen, bland annat är att säkerställa en hög skyddsnivå för fysiska personer inom unionen och, för att uppnå detta ändamål, säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter i hela unionen (dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 26 och där angiven rättspraxis).

26

Vidare framgår syftet att garantera dataskyddsombudets funktionella oberoende, såsom det följer av artikel 38.3 andra meningen i dataskyddsförordningen, även av artikel 38.3 första och tredje meningen, där det anges att dataskyddsombudet inte får ta emot instruktioner som gäller utförandet av hans eller hennes uppgifter och att dataskyddsombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå, samt av artikel 38.5 i dataskyddsförordningen, i vilken det föreskrivs att dataskyddsombudet, när det gäller dennes genomförande av sina uppgifter, ska vara bundet av sekretess eller konfidentialitet. (dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 27)

27

Artikel 38.3 andra meningen i dataskyddsförordningen ska således anses ha som huvudsakligt syfte att bevara dataskyddsombudets funktionella oberoende och följaktligen säkerställa effektiviteten hos bestämmelserna i dataskyddsförordningen, genom att skydda dataskyddsombudet från beslut som skulle kunna innebära att ombudet avsätts, lider en nackdel eller blir föremål för en sanktion (dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 28).

28

För det tredje stöds denna tolkning, såsom domstolen också har slagit fast, av det sammanhang i vilket bestämmelsen ingår och i synnerhet av den rättsliga grund på vilken unionslagstiftaren har antagit dataskyddsförordningen (dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 29).

29

Det framgår nämligen av ingressen till dataskyddsförordningen att den antogs med stöd av artikel 16 FEUF. I artikel 16.2 FEUF föreskrivs bland annat att Europaparlamentet och rådet i enlighet med det ordinarie lagstiftningsförfarandet ska fastställa bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter hos unionens institutioner, organ och byråer och i medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde, samt om den fria rörligheten för sådana uppgifter (dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 30).

30

Fastställandet av regler om skydd mot avsättande av ett dataskyddsombud som är anställt av en personuppgiftsansvarig eller ett personuppgiftsbiträde ingår endast i skyddet för fysiska personer med avseende på behandling av personuppgifter i den mån som dessa bestämmelser syftar till att bevara dataskyddsombudets funktionella oberoende, i enlighet med artikel 38.3 andra meningen i dataskyddsförordningen (se, för ett liknande resonemang, dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 31).

31

Av detta följer att varje medlemsstat vid utövandet av sina kvarstående befogenheter får anta mer långtgående specialbestämmelser angående skydd mot avsättande av dataskyddsombud, förutsatt att dessa bestämmelser är förenliga med unionsrätten och i synnerhet med bestämmelserna i dataskyddsförordningen, särskilt artikel 38.3 andra meningen (se, för ett liknande resonemang, dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 34).

32

Ett sådant utökat skydd får i synnerhet inte äventyra förverkligandet av målen med dataskyddsförordningen. Detta skulle emellertid vara fallet om det inte var möjligt för en personuppgiftsansvarig eller ett personuppgiftsbiträde att avsätta ett dataskyddsombud som inte längre har de erforderliga yrkeskvalifikationerna för att utföra sina uppgifter, i enlighet med artikel 37.5 i dataskyddsförordningen, eller som inte utför sina uppgifter i enlighet med bestämmelserna i denna förordning (se, för ett liknade resonemang, dom av den 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punkt 35).

33

Domstolen erinrar om att dataskyddsförordningen, såsom anges i punkt 25 ovan, syftar till att säkerställa en hög skyddsnivå för fysiska personer inom unionen när det gäller behandling av personuppgifter, och att dataskyddsombudet, för att uppnå detta mål, måste kunna fullgöra sina uppgifter och uppdrag fullständigt oberoende.

34

Ett utökat skydd för dataskyddsombudet, vilket hindrar att vederbörande avsätts i en situation i vilken han eller hon inte, eller inte längre, kan utföra sina uppgifter helt självständigt på grund av att det föreligger en intressekonflikt, skulle således äventyra uppnåendet av detta mål.

35

Det ankommer på den nationella domstolen att försäkra sig om att sådana särskilda bestämmelser som de som avses i punkt 31 ovan är förenliga med unionsrätten och, i synnerhet, med bestämmelserna i dataskyddsförordningen.

36

Med beaktande av vad som anförts ovan ska den första frågan besvaras enligt följande. Artikel 38.3 andra meningen i dataskyddsförordningen ska tolkas så, att den inte utgör hinder för nationell lagstiftning enligt vilken en personuppgiftsansvarig eller ett personuppgiftsbiträde endast får avsätta ett dataskyddsombud som ingår i den ansvariges eller biträdets personal om det föreligger synnerliga skäl, även om avsättandet inte har något samband med ombudets utförande av sina uppgifter, under förutsättning att förverkligandet av målsättningarna med dataskyddsförordningen inte undergrävs genom nämnda lagstiftning.

37

Med hänsyn till svaret på den första frågan saknas anledning att besvara den andra och den tredje frågan.

38

Den hänskjutande domstolen har ställt den fjärde frågan för att få klarhet i under vilka omständigheter en ”intressekonflikt”, i den mening som avses i artikel 38.6 i dataskyddsförordningen, kan anses föreligga.

39

För det första, vad gäller lydelsen av den aktuella bestämmelsen, ska det påpekas att det i artikel 38.6 andra meningen i dataskyddsförordningen föreskrivs att ”dataskyddsombudet får fullgöra andra uppgifter och uppdrag. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska se till att sådana uppgifter och uppdrag inte leder till en intressekonflikt.”

40

Av lydelsen av denna bestämmelse följer således, till att börja med, att det enligt dataskyddsförordningen inte är principiellt oförenligt att, å ena sidan, utöva de uppgifter som åligger dataskyddsombudet och, å andra sidan, utöva andra uppgifter hos den personuppgiftsansvarige eller dennes personuppgiftsbiträde. I artikel 38.6 i denna förordning föreskrivs nämligen specifikt att dataskyddsombudet kan anförtros andra uppgifter och uppdrag än dem som åligger ombudet enligt artikel 39 i dataskyddsförordningen.

41

Icke desto mindre ska den personuppgiftsansvarige eller personuppgiftsbiträdet, se till att dessa andra uppgifter och uppdrag inte medför en ”intressekonflikt”. Mot bakgrund av betydelsen av dessa ord i vanligt språkbruk finner domstolen att dataskyddsombudet, i enlighet med det mål som eftersträvas med artikel 38.6 i dataskyddsförordningen, inte kan anförtros uppgifter och uppdrag som kan skada fullgörandet av de uppgifter som vederbörande utför i egenskap av dataskyddsombud.

42

För det andra, vad gäller detta syfte, ska det påpekas, att denna bestämmelse, i likhet med övriga bestämmelser som avses i punkt 25 ovan, huvudsakligen syftar till att bevara dataskyddsombudets funktionella oberoende och, följaktligen, att säkerställa effektiviteten hos bestämmelserna i dataskyddsförordningen.

43

För det tredje, vad gäller det sammanhang i vilket artikel 38.6 i dataskyddsförordningen ingår, ska det påpekas att enligt artikel 39.1 b i nämnda förordning har dataskyddsombudet bland annat till uppgift att övervaka efterlevnaden av denna förordning, av andra av unionens eller medlemsstaternas dataskyddsbestämmelser och av den personuppgiftsansvariges eller personuppgiftsbiträdets strategi för skydd av personuppgifter, inbegripet ansvarstilldelning, information till och utbildning av personal som deltar i behandling och tillhörande granskning.

44

Härav följer i synnerhet att ett dataskyddsombud inte kan anförtros uppgifter eller uppdrag som leder till att vederbörande fastställer ändamålen och medlen för behandlingen av personuppgifter hos den personuppgiftsansvarige eller dennes personuppgiftsbiträde. Enligt unionsrätten och medlemsstaternas lagstiftning om skydd av personuppgifter ska dataskyddsombudet nämligen utöva sin kontroll av dessa ändamål och medel självständigt.

45

Bedömningen av huruvida det föreligger en intressekonflikt, i den mening som avses i artikel 38.6 i dataskyddsförordningen, ska göras från fall till fall på grundval av en bedömning av samtliga relevanta omständigheter, bland annat den personuppgiftsansvariges eller personuppgiftsbiträdets organisatoriska struktur och mot bakgrund av den tillämpliga lagstiftningen i dess helhet, inklusive de sistnämndas eventuella strategi.

46

Mot bakgrund av det ovan anförda ska den fjärde frågan besvaras enligt följande. Artikel 38.6 i dataskyddsförordningen ska tolkas så, att det kan föreligga en ”intressekonflikt”, i den mening som avses i denna bestämmelse, när ett dataskyddsombud anförtros andra uppgifter eller uppdrag som leder till att vederbörande fastställer ändamålen och medlen för behandlingen av personuppgifter hos den personuppgiftsansvarige eller dennes personuppgiftsbiträde, vilket det ankommer på den nationella domstolen att bedöma från fall till fall, på grundval av en bedömning av samtliga relevanta omständigheter, bland annat den personuppgiftsansvariges eller personuppgiftsbiträdets organisatoriska struktur och mot bakgrund av den tillämpliga lagstiftningen i dess helhet, inklusive de sistnämndas eventuella strategi.

47

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (sjätte avdelningen) följande: