Voorlopige editie

CONCLUSIE VAN ADVOCAAT-GENERAAL

M. CAMPOS SÁNCHEZ-BORDONA

van 27 april 2023 (1)

Zaak C‑807/21

Deutsche Wohnen SE

tegen

Staatsanwaltschaft Berlin

[verzoek van het Kammergericht Berlin (hoogste rechterlijke instantie van de deelstaat Berlijn, Duitsland) om een prejudiciële beslissing]

„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Inbreuken – Toerekening aan een onderneming van een inbreuk die door haar personeelsleden is begaan – Mogelijke aansprakelijkheid zonder schuld – Omzetting van begrippen van het mededingingsrecht”

1.        Deze prejudiciële verwijzing biedt het Hof de gelegenheid zich uit te spreken over de voorwaarden waaronder aan een rechtspersoon een administratieve geldboete kan worden opgelegd wegens inbreuken op verordening (EU) 2016/679(2).

2.        Met name moet worden bepaald:

–      of aan de rechtspersoon een sanctie kan worden opgelegd zonder dat eerst de aansprakelijkheid van een natuurlijke persoon moet worden vastgesteld,

–      of de te bestraffen inbreuk in ieder geval opzettelijk of uit nalatigheid moet zijn begaan dan wel louter de objectieve niet-nakoming van een verplichting volstaat.

I.      Toepasselijke bepalingen

A.      Unierecht. AVG

3.        In overweging 74 wordt verklaard:

„De verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaald dient de verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen.”

4.        In overweging 150 staat te lezen:

„Teneinde de administratieve straffen tegen inbreuken op deze verordening te versterken en te harmoniseren dient iedere toezichthoudende autoriteit bevoegd te zijn om administratieve geldboeten op te leggen. In deze verordening dienen inbreuken te worden benoemd, evenals maxima en criteria voor de vaststelling van de daaraan verbonden administratieve geldboeten, die per afzonderlijk geval dienen te worden bepaald door de bevoegde toezichthoudende autoriteit, rekening houdend met alle relevante omstandigheden van de specifieke situatie, met inachtneming van met name de aard, de ernst en de duur van de inbreuk en van de gevolgen ervan en de maatregelen die zijn genomen om naleving van de verplichtingen uit hoofde van deze verordening te waarborgen en de gevolgen van de inbreuk te voorkomen of te beperken. Wanneer de administratieve geldboeten worden opgelegd aan een onderneming, moet een onderneming in die context worden gezien als een onderneming overeenkomstig de artikelen 101 en 102 [...] VWEU. [...] Het coherentiemechanisme kan ook worden gebruikt ter bevordering van een consequente toepassing van administratieve geldboeten. [...]”

5.        In artikel 4 („Definities”) wordt bepaald:

„Voor de toepassing van deze verordening wordt verstaan onder:

[...]

7)      ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;

8)      ,verwerker’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt;

[...]

18)      ‚onderneming’: een natuurlijke persoon of rechtspersoon die een economische activiteit uitoefent, ongeacht de rechtsvorm ervan, met inbegrip van maatschappen en persoonsvennootschappen of verenigingen die regelmatig een economische activiteit uitoefenen;

[...]”

6.        Artikel 58 („Bevoegdheden”), lid 2, schrijft voor:

„Elke toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende maatregelen:

a)      de verwerkingsverantwoordelijke of de verwerker waarschuwen dat met de voorgenomen verwerkingen waarschijnlijk inbreuk op bepalingen van deze verordening wordt gemaakt;

b)      de verwerkingsverantwoordelijke of de verwerker berispen wanneer met verwerkingen inbreuk op bepalingen van deze verordening is gemaakt;

c)      de verwerkingsverantwoordelijke of de verwerker gelasten de verzoeken van de betrokkene tot uitoefening van zijn rechten uit hoofde van deze verordening in te willigen;

d)      de verwerkingsverantwoordelijke of de verwerker gelasten, waar passend, op een nader bepaalde manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met de bepalingen van deze verordening;

[...]

i)      naargelang de omstandigheden van elke zaak, naast of in plaats van de in dit lid bedoelde maatregelen, een administratieve geldboete opleggen op grond van artikel 83; [...]

[...]”

7.        Artikel 83 („Algemene voorwaarden voor het opleggen van administratieve geldboeten”) luidt:

„1.      Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.

2.      Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:

a)      de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;

b)      de opzettelijke of nalatige aard van de inbreuk;

c)      de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;

d)      de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32;

e)      eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;

f)      de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;

g)      de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;

h)      de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;

i)      de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;

j)      het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en

k)      elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.

3.      Indien een verwerkingsverantwoordelijke of een verwerker opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, is de totale geldboete niet hoger dan die voor de zwaarste inbreuk.

4.      Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 10 000 000 EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt:

[...]

5.      Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 20 000 000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt:

[...]

6.      Niet-naleving van een bevel van de toezichthoudende autoriteit als bedoeld in artikel 58, lid 2, is overeenkomstig lid 2 van dit artikel onderworpen aan administratieve geldboeten tot 20 000 000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt.

[...]

8.      De uitoefening door de toezichthoudende autoriteit van haar bevoegdheden uit hoofde van dit artikel is onderworpen aan passende procedurele waarborgen overeenkomstig het Unierecht en het lidstatelijke recht, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.

[...]”

B.      Nationaal recht. Ordnungswidrigkeitengesetz

8.        In § 9, lid 1, van het Ordnungswidrigkeitengesetz(3) wordt bepaald dat wanneer een persoon optreedt als a) orgaan (of lid van dat orgaan) dat bevoegd is om een rechtspersoon te vertegenwoordigen, b) vennoot die bevoegd is om een rechtsbevoegde personenvennootschap te vertegenwoordigen, of c) wettelijke vertegenwoordiger van een derde, wetten op hem van toepassing zijn op grond waarvan bijzondere persoonlijke eigenschappen, betrekkingen of omstandigheden een mogelijke sanctie rechtvaardigen wanneer die omstandigheden zich niet bij hem, maar bij de vertegenwoordigde persoon voordoen.

9.        Volgens § 9, lid 2, is het voorgaande ook van toepassing op de eigenaar van een bedrijf (onderneming) die het beheer van dat bedrijf, of de vervulling – op eigen verantwoordelijkheid – van op de eigenaar rustende taken geheel of gedeeltelijk toevertrouwt aan een andere persoon.

10.      Krachtens § 30, lid 1, kan aan een rechtspersoon een administratieve geldboete worden opgelegd wanneer de natuurlijke persoon die de rechtspersoon vertegenwoordigt, of die er leiding aan geeft of verantwoordelijk is voor het beheer ervan, een strafbaar feit heeft begaan of op die rechtspersoon rustende verplichtingen niet is nagekomen.

11.      Volgens § 30, lid 4, kan een boete slechts rechtstreeks aan een rechtspersoon worden opgelegd indien tegen het lid van het orgaan of de vertegenwoordiger van de rechtspersoon geen procedure is ingeleid of, indien toch een procedure is ingeleid, deze is geschorst of beëindigd.

12.      Volgens § 130, lid 1, begaat een persoon die als eigenaar van een bedrijf of onderneming opzettelijk of uit nalatigheid verzuimt de nodige toezichtmaatregelen te nemen om binnen het bedrijf of de onderneming te voorkomen dat de verplichtingen waaraan de eigenaar is onderworpen en waarvan de niet-nakoming wordt bestraft met een sanctie of een geldboete, niet worden nagekomen, een administratieve overtreding indien die niet-naleving had kunnen worden voorkomen of verhinderd door adequate toezichtmaatregelen, waaronder de benoeming en zorgvuldige selectie van en controle op de toezichthoudende personen.

II.    Feiten, geding en prejudiciële vragen

13.      Deutsche Wohnen SE (hierna: „Deutsche Wohnen”) is een beursgenoteerde vastgoedonderneming met zetel in Berlijn (Duitsland). Deutsche Wohnen bezit indirecte deelnemingen in circa 163 000 woningen en 3 000 commerciële eenheden.

14.      De eigenaars van die onroerende goederen zijn met Deutsche Wohnen verbonden dochterondernemingen (hierna: „houdstermaatschappijen”) die verantwoordelijk zijn voor de dagelijkse bedrijfsvoering, terwijl Deutsche Wohnen de centrale leiding over de groep uitoefent. De houdstermaatschappijen verhuren de woningen en de commerciële eenheden, die worden beheerd door andere maatschappijen van de groep, de zogenoemde „werkmaatschappijen”.

15.      In het kader van hun bedrijfsactiviteiten verwerken Deutsche Wohnen en de overige maatschappijen van de groep persoonsgegevens van huurders van de onroerende goederen. Tot die gegevens behoren met name identiteitsbewijzen, belasting-, socialezekerheids- en ziekteverzekeringsgegevens en informatie over eerdere huurbetrekkingen.

16.      Op 23 juni 2017 heeft de Berliner Beauftragte für den Datenschutz (bevoegde autoriteit voor gegevensbescherming Berlijn, Duitsland; hierna: „gegevensbeschermingsautoriteit”) Deutsche Wohnen er in het kader van een inspectie ter plaatse op gewezen dat maatschappijen van de groep persoonsgegevens van huurders opsloegen in een elektronisch archiveringssysteem dat geen mogelijkheid bood om na te gaan of de opslag noodzakelijk was en of gewaarborgd was dat gegevens die niet langer noodzakelijk waren, werden verwijderd.

17.      De gegevensbeschermingsautoriteit heeft Deutsche Wohnen vervolgens gelast om vóór eind 2017 bepaalde documenten uit het elektronische archiveringssysteem te verwijderen.

18.      Dit is door Deutsche Wohnen geweigerd met het argument dat zulks om technische en juridische redenen niet mogelijk was. Dit bezwaar werd besproken tijdens een vergadering tussen Deutsche Wohnen en de gegevensbeschermingsautoriteit, waarin deze laatste erop wees dat er technische oplossingen bestonden voor het wissen van de gegevens. De gesprekken werden voortgezet en Deutsche Wohnen kondigde aan de invoering van een nieuw systeem te overwegen ter vervanging van het systeem dat door de gegevensbeschermingsautoriteit was afgewezen.

19.      Op 5 maart 2020 heeft de gegevensbeschermingsautoriteit in het hoofdkantoor van de groep een inspectie uitgevoerd waarbij in totaal 16 steekproeven uit het gegevensbestand werden genomen. Tegelijkertijd deelde Deutsche Wohnen de gegevensbeschermingsautoriteit mee dat het litigieuze archiveringssysteem reeds buiten gebruik was gesteld en dat de migratie van de gegevens naar het nieuwe systeem ophanden was.

20.      Op 30 oktober 2020 heeft de gegevensbeschermingsautoriteit Deutsche Wohnen verschillende sancties opgelegd op grond dat zij:

–      in de periode van 25 mei 2018 tot en met 5 maart 2019 opzettelijk had verzuimd om de nodige maatregelen te treffen teneinde ervoor te zorgen dat huurdersgegevens die niet langer hoefden te worden opgeslagen of die om andere redenen onrechtmatig werden bewaard, periodiek konden worden verwijderd, en

–      persoonsgegevens van ten minste 15 bij name genoemde huurders was blijven bewaren in de wetenschap dat dit niet of niet meer noodzakelijk was.

21.      De opgelegde geldboeten bedroegen 14 385 000 EUR voor de opzettelijke inbreuk op artikel 25, lid 1, en artikel 5, lid 1, onder a), c) en e), AVG en tussen 3 000 en 17 000 EUR voor de 15 inbreuken op artikel 6, lid 1, AVG.

22.      Deutsche Wohnen heeft tegen deze sancties beroep ingesteld bij het Landgericht Berlin (rechter in eerste aanleg Berlijn, Duitsland), dat het beroep heeft toegewezen.

23.      De Staatsanwaltschaft Berlin (openbaar ministerie Berlijn, Duitsland) is tegen de beslissing van de rechter in eerste aanleg opgekomen bij het Kammergericht Berlin (hoogste rechterlijke instantie van de deelstaat Berlijn, Duitsland), dat het Hof heeft verzocht om een prejudiciële beslissing over de volgende vragen:

„1)      Dient artikel 83, leden 4 tot en met 6, [AVG] aldus te worden uitgelegd dat hierdoor het uit de artikelen 101 en 102 VWEU afgeleide functionele ondernemingsbegrip en het beginsel van de functionele entiteit (Funktionsträgerprinzip) worden opgenomen in het nationale recht met als gevolg dat bij uitbreiding van het beginsel van de juridische entiteit (Rechtsträgerprinzip) dat ten grondslag ligt aan § 30 [OWiG] een procedure tot oplegging van een geldboete rechtstreeks tegen een onderneming kan worden gevoerd en dat voor de oplegging van de boete niet vereist is dat wordt vastgesteld dat een geïdentificeerde natuurlijke persoon een bestuursrechtelijke overtreding heeft begaan waarbij in voorkomend geval is voldaan aan alle subjectieve en objectieve bestanddelen van een dergelijke overtreding?

2)      Indien de eerste vraag bevestigend wordt beantwoord: dient artikel 83, leden 4 tot en met 6, [AVG] aldus te worden uitgelegd dat de onderneming schuld moet dragen voor een door een personeelslid begane inbreuk [(zie artikel 23 van verordening (EG) nr. 1/2003^[(4)^])],of volstaat het in beginsel reeds dat de onderneming verplichtingen objectief niet is nagekomen (strict liability) om haar een boete op te leggen?”

III. Procedure bij het Hof

24.      Het verzoek om een prejudiciële beslissing is op 23 december 2021 ingekomen ter griffie van het Hof.

25.      Deutsche Wohnen, de Duitse, de Estse en de Noorse regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend.

26.      Op 9 november 2022 heeft het Hof de verwijzende rechter overeenkomstig artikel 101, lid 1, van zijn Reglement voor de procesvoering verzocht om nadere toelichtingen betreffende:

–      de eventuele relevantie van § 130 OWiG voor de beantwoording van de eerste prejudiciële vraag,

–      de redenen waarom hij beantwoording van de tweede prejudiciële vraag nodig acht, aangezien de sancties volgens de verwijzingsbeslissing zijn opgelegd voor een opzettelijke inbreuk op verschillende bepalingen van de AVG.

27.      De desbetreffende toelichtingen zijn op 11 januari 2023 ingekomen ter griffie van het Hof.

28.      Bij de op 17 januari 2023 gehouden mondelinge behandeling zijn, behalve de interveniënten die schriftelijke opmerkingen hebben ingediend, de Nederlandse regering, het Europees Parlement en de Raad van de Europese Unie verschenen.

IV.    Beoordeling

A.      Eerste prejudiciële vraag

1.      Inleidende opmerkingen

29.      Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of een rechtspersoon volgens het Unierecht kan worden bestraft voor een inbreuk op de AVG zonder dat die inbreuk eerst moet worden toegerekend aan een natuurlijke persoon.

30.      De verwijzende rechter heeft echter enkele complicerende elementen opgenomen in zijn vraag:

–      Hij wijst artikel 83, leden 4 tot en met 6, AVG aan als de regel waarvan de uitlegging zijn vraag zou kunnen beantwoorden.

–      Hij wijst op wat hij noemt het „uit de artikelen 101 en 102 VWEU afgeleide functionele ondernemingsbegrip en het beginsel van de functionele entiteit”.

31.      De verwijzende rechter merkt op dat de nationale wetgeving het opleggen van geldboeten aan een onderneming slechts toestaat voor zover haar bepaalde overtredingen kunnen worden toegerekend die (uitsluitend) door haar als vertegenwoordigers aangewezen leidinggevend personeel zijn begaan.(5)

32.      Deutsche Wohnen en de Duitse regering zijn het niet eens met deze opvatting. Volgens hen moet § 30 OWiG worden uitgelegd in combinatie met § 9 en § 130 OWiG, waarmee die paragraaf een samenhangend stelsel van sancties vormt. In het kader van dit stelsel kunnen aan een onderneming administratieve sancties worden opgelegd zonder dat er eerst een procedure moet worden ingeleid tegen de natuurlijke persoon die voor haar rekening heeft gehandeld.(6)

33.      Op het verzoek van het Hof om zich uit te spreken over de eventuele relevantie van § 130 OWiG, heeft de verwijzende rechter geantwoord dat die paragraaf niet relevant is voor de beantwoording van de eerste vraag. Ter onderbouwing van zijn standpunt voert hij aan:

–      § 130 OWiG staat, samen met § 9 en § 30 OWiG, weliswaar toe dat geldboeten aan een onderneming worden opgelegd, maar biedt een zeer beperkte bescherming van rechtsgoederen in vergelijking met de aansprakelijkheidsregeling van de artikelen 101 en 102 VWEU.

–      De adressaat van § 130 OWiG is de eigenaar van een onderneming die een toezichtverplichting niet is nagekomen. Het bewijs van de aan de eigenaar van de onderneming toe te rekenen niet-nakoming van verplichtingen gaat verder dan de vaststelling van een inbreuk op rechtsbelangen die vanuit diezelfde onderneming zijn begaan. De bewijsverkrijging vereist dat (algemene en specifieke) interne structuren en procedures worden onderzocht en verduidelijkt, die niet alleen in deze zaak, maar in elke zaak waar het gaat om groepen, uiterst complex zijn, waardoor de bewijsvoering vaak onmogelijk zal blijken. In dit verband is het de vraag of groepen wel kunnen worden aangemerkt als ondernemingen of eigenaars van ondernemingen in de zin van § 130 OWiG.

34.      Uit die toelichtingen blijkt dat de eerste prejudiciële vraag van de verwijzende rechter teruggaat op een opvatting van het nationale recht die, anders dan de Duitse regering voorstaat, een aansprakelijkheidsregeling voor rechtspersonen aanvaardt die, gelet op de kenmerken ervan, mogelijkerwijs onverenigbaar is met het Unierecht.

35.      Het Hof moet zich houden aan het nationale rechtskader zoals beschreven door de verwijzende rechter(7), die de bevoegde vertolker van zijn interne recht is. De vragen die een nationale rechter stelt over de uitlegging van het Unierecht moeten worden beantwoord in het licht van het feitelijke en juridische kader dat hij onder zijn verantwoordelijkheid heeft geschetst en waarvan de beoordeling van de juistheid niet aan het Hof staat.(8)

36.      Op basis van deze premissen zal ik de analyse van de eerste prejudiciële vraag aanvatten.

2.      Rechtspersonen als adressaten van een sanctie volgens de AVG

37.      Het Unierecht verzet zich er geenszins tegen dat Deutsche Wohnen wordt beschouwd als de persoon die de inbreuk heeft begaan en als de adressaat van de opgelegde sancties. Deze mogelijkheid is in abstracto vervat in de AVG en is in concreto toegepast in de onderhavige zaak:

–      Abstract is, zoals ik hieronder zal uiteenzetten, de mogelijkheid om een rechtspersoon rechtstreeks te bestraffen voor inbreuken op het gebied van gegevensbescherming niet alleen in diverse bepalingen van de AVG opgenomen, maar vormt zij feitelijk een van de sleutelmechanismen om de doeltreffendheid van deze verordening te waarborgen.

–      Concreet zijn de litigieuze geldboeten volgens de verwijzingsbeslissing aan Deutsche Wohnen opgelegd wegens een reeks inbreuken op de AVG die aan die vennootschap als verwerkingsverantwoordelijke kunnen worden toegeschreven.(9) Het verzoek van de gegevensbeschermingsautoriteit was aan haar gericht en zij heeft daar in de reeds uiteengezette zin op geantwoord, om vervolgens te volharden in het handelen dat die autoriteit haar verweet. De adressaat van de sancties kon derhalve zonder problemen worden geïdentificeerd.(10)

38.      Wat de abstracte benadering betreft, zijn er niet al te veel overwegingen nodig ter bevestiging van het postulaat dat een rechtspersoon rechtstreeks een sanctie kan worden opgelegd als de pleger van een inbreuk op de AVG. Dat postulaat kan zonder hermeneutische moeilijkheden worden afgeleid uit de bewoordingen van de artikelen 4, 58 en 83 AVG:

–      In de definitie van het begrip „verwerkingsverantwoordelijke” in artikel 4 wordt uitdrukkelijk bepaald dat dit rechtspersonen kunnen zijn.(11)

–      Artikel 58, lid 2, verleent toezichthoudende autoriteiten een aantal „bevoegdheden tot het nemen van corrigerende maatregelen” jegens verwerkingsverantwoordelijken of verwerkers (waaronder ook jegens rechtspersonen). Een van die corrigerende maatregelen is het opleggen van „een administratieve geldboete” [punt i)].

–      De opsomming van criteria voor het vaststellen van de hoogte van administratieve geldboeten in artikel 83 AVG omvat factoren die moeiteloos bestanddelen van het handelen van rechtspersonen kunnen vormen.

39.      Uit het geheel van die bepalingen volgt, op volstrekt vanzelfsprekende wijze, dat administratieve geldboeten die voortvloeien uit inbreuken op de AVG als rechtstreekse adressaat een rechtspersoon(12) kunnen hebben. Van die vanzelfsprekendheid is ook uitgegaan door de op dit gebied bevoegde nationale autoriteiten, die niet hebben geaarzeld om overtredingen door rechtspersonen op de AVG te bestraffen met – soms hoge – geldboeten.(13)

40.      Wat de concrete benadering betreft, wil ik herhalen dat de gegevensbeschermingsautoriteit zich tot Deutsche Wohnen, in haar hoedanigheid van verwerkingsverantwoordelijke, heeft gewend met het dwingende verzoek om bepaalde persoonsgegevens van huurders uit haar bestanden te verwijderen, welk verzoek door die onderneming gedurende bepaalde tijd werd genegeerd, tot zij haar opslagsystemen wijzigde.

3.      Noodzaak van voorafgaande toerekening aan een natuurlijke persoon?

41.      Volgens de verwijzende rechter vereist het nationale recht dat, om een onderneming rechtstreeks een sanctie te kunnen opleggen voor een inbreuk op de AVG, eerst de aansprakelijkheid van een natuurlijke persoon moet worden vastgesteld. Dit vloeit volgens hem voort uit § 30 OWiG: aan een onderneming kan uitsluitend een geldboete worden opgelegd voor zover haar bepaalde inbreuken kunnen worden toegerekend die zijn begaan door leidinggevend personeel dat haar vertegenwoordigt. Daartoe is vereist dat de vertegenwoordiger, door de constitutieve elementen van het inbreukmakende feit te vervullen, de desbetreffende bepaling onrechtmatig en opzettelijk heeft overtreden.(14)

42.      Het bezwaar van de Duitse regering, die zich voor haar betwisting van de uitlegging door de verwijzende rechter beroept op § 130 OWiG, is door die rechter weersproken in de bewoordingen die ik reeds heb weergegeven bij het uiteenzetten van zijn antwoord aan het Hof.(15) Resumerend stelt hij dat die bepaling een zeer beperkte bescherming van rechtsgoederen biedt in vergelijking met de aansprakelijkheidsregeling van de artikelen 101 en 102 VWEU.

43.      De door de verwijzende rechter aangevoerde regel dat eerst de natuurlijke persoon aansprakelijk moet zijn gesteld, zou echter niet van toepassing zijn indien artikel 83, leden 4 tot en met 6, AVG het voor de artikelen 101 en 102 VWEU kenmerkende „functionele ondernemingsbegrip” heeft overgenomen en in het nationale recht heeft opgenomen.

a)      Invloed van het in de artikelen 101 en 102 VWEU gebruikte begrip

44.      Artikel 83, leden 4 tot en met 6, AVG heeft betrekking op de berekening van de hoogte van de geldboeten voor de in dat artikel vermelde inbreuken op de AVG. Die drie leden voorzien uitdrukkelijk in de mogelijkheid dat de beboete persoon een „onderneming” is.

45.      De verwijzing in overweging 150 AVG naar het begrip „onderneming” overeenkomstig de artikelen 101 en 102 VWEU moet in die context worden begrepen. Ik wil eraan herinneren dat volgens het Hof „het mededingingsrecht van de Unie ziet op de activiteiten van ondernemingen en [...] het begrip ‚onderneming’ elke entiteit omvat die een economische activiteit uitoefent, ongeacht de rechtsvorm van die entiteit en de wijze waarop zij wordt gefinancierd”.(16)

46.      Aangezien het maximumbedrag van de geldboeten voor inbreuken op de AVG voor ondernemingen die de verwerkingsverantwoordelijke of de verwerker zijn, is vastgesteld op een percentage van de „totale wereldwijde jaaromzet in het voorgaande boekjaar”, kan de referentie voor het vaststellen van dat bedrag niet de formele rechtspersoonlijkheid van een vennootschap zijn, maar moet dat de „economische eenheid” in de eerder vermelde zin zijn.

47.      Volgens artikel 83, lid 1, AVG moeten de in de leden 4 tot en met 6 ervan bedoelde administratieve geldboeten immers „doeltreffend, evenredig en afschrikkend” zijn. Deze drie kenmerken kunnen alleen worden toegeschreven aan een geldboete waarvan het bedrag wordt bepaald op basis van de reële of materiële economische draagkracht van de adressaat. Dat verklaart de noodzaak om voor de berekening van de sanctie eerder een materiële of economische opvatting van het begrip „onderneming” te hanteren dan een strikt formele opvatting.

48.      Het is dus de reële of materiële definitie van „onderneming” die kenmerkend is voor het mededingingsrecht(17), die door de Uniewetgever wordt toegepast om het bedrag van de geldboeten wegens inbreuken op de AVG te bepalen. Ik wil echter beklemtonen dat dit concept in de AVG alleen voor dat doel wordt gebruikt.

49.      In casu zou het begrip „onderneming” zoals bedoeld in de artikelen 101 en 102 VWEU derhalve relevant kunnen zijn voor de kwantificering van de aan Deutsche Wohnen op te leggen geldboete. Of deze laatste als bestrafte entiteit (beter gezegd: pleger van de inbreuk) moet worden beschouwd, hangt strikt genomen niet af van de toepassing van die twee artikelen van het VWEU.

50.      Het voorgaande staat er niet aan in de weg dat, naar analogie, de algemene beginselen van de sanctieregeling van het mededingingsrecht (die veelvuldig door het Hof is uitgelegd) mutatis mutandis worden toegepast op de aansprakelijkheid van rechtspersonen voor inbreuken die zij begaan tegen voorschriften ter bescherming van persoonsgegevens.(18)

b)      Rechtstreekse toerekening aan een rechtspersoon

51.      Is een nationale regeling die de oplegging van administratieve sancties aan rechtspersonen afhankelijk stelt van de voorwaarde dat eerst een natuurlijke persoon aansprakelijk is gesteld, verenigbaar met de AVG?

52.      Volgens artikel 288 VWEU heeft de AVG een algemene strekking en is zij bovendien verbindend en rechtstreeks toepasselijk in elke lidstaat. Die kenmerken zouden hun betekenis verliezen indien de lidstaten zouden kunnen afwijken van de definitieve vorm van de verplichtingen die de Uniewetgever in de AVG heeft opgelegd.

53.      Opgemerkt zij dat een aantal bepalingen van de AVG, juist vanwege het unieke karakter en de kenmerken van het voorwerp ervan, de lidstaten een zekere manoeuvreerruimte laat om nationale regels te handhaven of vast te stellen teneinde sommige van die bepalingen nader te specificeren. Dat geldt bijvoorbeeld voor:

–      de verwerking van persoonsgegevens voor het vervullen van een wettelijke verplichting, voor het vervullen van een taak van algemeen belang of bij de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend(19);

–      de verwerking van bijzondere categorieën persoonsgegevens, aangezien de AVG niet uitsluit dat lidstaten specifieke situaties op het gebied van gegevensverwerking nader omschrijven, meer bepaald door nauwkeuriger te bepalen in welke gevallen verwerking van persoonsgegevens rechtmatig geschiedt.(20)

54.      Deze beoordelingsmarge van de staat, waarover ter terechtzitting standpunten zijn uitgewisseld, kan zich mijns inziens niet zo ver uitstrekken dat de mogelijkheid om inbreuken toe te rekenen aan een rechtspersoon wordt beperkt, zoals volgens de verwijzende rechter voortvloeit uit § 30 OWiG.

55.      Een dergelijke opvatting van de aansprakelijkheidsregeling voor rechtspersonen zou impliceren dat inbreuken die volgens de AVG moeten worden toegerekend aan een rechtspersoon voor zover deze de hoedanigheid van verwerkingsverantwoordelijke of verwerker heeft, buiten de werkingssfeer van het sanctiestelsel van die verordening kunnen worden gehouden. Die mogelijkheid zou zich kunnen voordoen wanneer aan die inbreuken niet is deelgenomen door natuurlijke personen die leidinggeven aan de rechtspersoon, deze vertegenwoordigen of het beheer erover voeren.

56.      Aangezien een rechtspersoon, zoals ik al heb uiteengezet, een verwerkingsverantwoordelijke en – in die hoedanigheid – de pleger van aan hem toe te rekenen inbreuken op de AVG kan zijn, zou de toepassing van § 30 OWiG kunnen leiden tot een ongerechtvaardigde verzwakking of inperking van het spectrum aan strafbare gedragingen, die zich niet verdraagt met dat wat de AVG algemeen bepaalt.

57.      Een rechtspersoon die kan worden aangemerkt als verwerkingsverantwoordelijke of verwerker moet de consequenties, in de vorm van sancties, ondervinden van inbreuken op de AVG die zijn gepleegd, niet alleen door zijn vertegenwoordigers, leidinggevenden of beheerders, maar ook door natuurlijke personen (personeelsleden in ruime zin) die handelen in het kader van de bedrijfsactiviteiten van die rechtspersoon en onder het toezicht van eerstgenoemden.

58.      In werkelijkheid vormen en bepalen die natuurlijke personen de wil van de rechtspersoon, die zij tot uitdrukking brengen door middel van specifieke en concrete handelingen – specifieke handelingen die, als concrete uitdrukking van die wil, in laatste instantie kunnen worden toegerekend aan de rechtspersoon zelf.

59.      Kort gezegd, gaat het om natuurlijke personen die, zonder zelf vertegenwoordiger van een rechtspersoon te zijn, handelen onder het gezag van personen die, als vertegenwoordigers van die rechtspersoon, onvoldoende toezicht of controle op die natuurlijke personen hebben uitgeoefend. Uiteindelijk leidt de toerekenbaarheid naar de rechtspersoon zelf, aangezien de inbreuk door het personeelslid dat handelt onder het gezag van diens leidinggevende organen het gevolg is van een tekortkoming van het controle- en toezichtsysteem, waarvoor die laatste rechtstreeks verantwoordelijk zijn.

60.      Dit alles komt overeen met de lezing die de verwijzende rechter geeft van zijn interne recht. De Duitse regering betoogt daarentegen dat door de gecombineerde toepassing van de §§ 9, 30 en 130 OWiG een stelsel ontstaat waarin aan een rechtspersoon toegerekende inbreuken, gepleegd door natuurlijke personen die geen leidinggevende of vertegenwoordigende functies binnen die rechtspersoon bekleden, kunnen worden bestraft zonder dat die natuurlijke personen eerst moeten worden geïdentificeerd.(21)

61.      Zoals ik hierboven reeds heb opgemerkt, staat het aan de verwijzende rechter om de bepalingen van zijn nationale recht uit te leggen. De vraag of die bepalingen volgens de door de Duitse regering ingeroepen nationale rechtspraak en rechtsopvattingen(22) ruimte bieden voor een uitlegging van het interne recht die strookt met de vereisten van het Unierecht, moet door de nationale rechterlijke instanties worden beantwoord.

62.      Indien die uitlegging contra legem is en de voorschriften van de AVG op dit gebied als gevolg van de bijzondere structuur van het nationale sanctiestelsel onmogelijk volledige toepassing kunnen vinden, zou de verwijzende rechter de met het Unierecht onverenigbare nationale regel buiten toepassing moeten laten teneinde de voorrang van de AVG te waarborgen.

B.      Tweede prejudiciële vraag

63.      De verwijzende rechter wenst te vernemen of volgens artikel 83, leden 4 tot en met 6, AVG, „de onderneming schuld moet dragen voor een door een personeelslid begane inbreuk”, dan wel „het in beginsel reeds [volstaat] dat de onderneming verplichtingen objectief niet is nagekomen (strict liability) om haar een boete op te leggen”.(23)

64.      Zoals de vraag is geformuleerd, is zij hypothetisch, waardoor zij om twee redenen niet-ontvankelijk is.

65.      In de eerste plaats is de geldboete aan Deutsche Wohnen volgens de verwijzingsbeslissing opgelegd voor een opzettelijke (doelbewuste) gedraging en niet voor louter een „objectieve schending” van de AVG. Uit het feitenrelaas hierboven blijkt duidelijk dat die onderneming bewust en opzettelijk niet aan het verzoek van de gegevensbeschermingsautoriteit heeft voldaan en heeft volhard in de verweten gegevensverwerking. Voor die kwalificatie is het irrelevant dat zij zich beroept op een reeks technische en juridische moeilijkheden bij het wijzigen van haar gegevensverwerkingssystemen.

66.      In de tweede plaats heeft de verwijzende rechter, nadat het Hof hem had verzocht de vraag te verduidelijken, verklaard dat de rechter in eerste aanleg niet is gebonden aan de vaststellingen in de boetebeschikking en zich in de toekomst, met betrekking tot de gronden van het beroep, zou kunnen uitspreken tegen de geldboete. Indien hij tot de overtuiging zou komen dat de inbreuk heeft plaatsgevonden, zal moeten worden vastgesteld welk type overtreding zich heeft voorgedaan, hetgeen zal afhangen van het antwoord op deze tweede prejudiciële vraag.

67.      Op basis van deze verduidelijking blijkt opnieuw dat de tweede prejudiciële vraag hypothetisch is: het oordeel over de kwalificatie van de gedraging is niet essentieel voor de beslechting van het bij de verwijzende rechter aanhangige geding, maar is dat pas, in voorkomend geval, na terugverwijzing naar de rechter in eerste aanleg, opdat die rechter in de toekomst uitspraak kan doen.

68.      Mocht het Hof toch besluiten deze vraag ten gronde te behandelen, dan is het antwoord erop mijns inziens niet afhankelijk van de uitlegging van artikel 83, leden 4 tot en met 6, AVG, dat ziet op de berekening van administratieve geldboeten.

69.      De verwijzende rechter maakt een onderscheid tussen: a) de door het personeelslid van een rechtspersoon begane inbreuk, en b) het opzettelijk of nalatig handelen door de rechtspersoon bij die inbreuk.

70.      Naar mijn mening is de „door het personeelslid [...] begane inbreuk” in wezen, en op grond van alles wat is uiteengezet in verband met de eerste vraag, een inbreuk die is begaan door de rechtspersoon onder wiens gezag dat personeelslid heeft gehandeld.

71.      Correct geformuleerd ziet de vraag dus op de mogelijkheid dat een rechtspersoon wordt bestraft voor de objectieve niet-nakoming (zonder schuld) van verplichtingen die op hem rusten als de persoon die verantwoordelijk is voor of belast is met de gegevensverwerking.

72.      Voor de beantwoording van deze vraag kan het nuttig zijn om te verwijzen naar de rechtspraak van het Europees Hof voor de Rechten van de Mens (EHRM) ter zake van het legaliteitsbeginsel in strafzaken, dat wordt gewaarborgd door artikel 7 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM).

73.      Zolang de Unie niet tot het EVRM is toegetreden, is dit verdrag geen formeel in haar rechtsorde opgenomen rechtsinstrument, maar de daarin gegarandeerde grondrechten maken als algemene beginselen niettemin deel uit van het Unierecht (artikel 6, lid 3, VEU).

74.      Volgens het Hof „beoogt artikel 52, lid 3, van het Handvest [van de grondrechten van de Europese Unie (hierna: „Handvest”)] – waarin is bepaald dat rechten uit dit Handvest die corresponderen met rechten die zijn gegarandeerd door het EVRM, dezelfde inhoud en reikwijdte hebben als die welke er door dat verdrag aan worden toegekend – te zorgen voor de nodige samenhang tussen deze respectieve rechten, zonder dat dit de autonomie van het Unierecht of van het [Hof] aantast”.(24)

75.      De rechtspraak van het EHRM inzake de uitlegging van artikel 7 EVRM bevat echter enigszins tegenstrijdige nuances:

–      Enerzijds wordt het morele verband tussen het materiële element van het strafbare feit en de persoon die voor de pleger ervan wordt gehouden in dat artikel weliswaar niet uitdrukkelijk vermeld, maar monden de logica van de sanctie en het begrip „schuld” zelf uit in de uitlegging dat die bepaling, als voorwaarde voor de sanctie, vereist dat er sprake is van een verband van intellectuele aard (geweten en wil) dat het mogelijk maakt om een element van aansprakelijkheid in de gedraging van de materiële pleger van de inbreuk vast te stellen.(25)

–      Anderzijds wijst het EHRM, zoals de Noorse regering ter terechtzitting heeft opgemerkt, de strafbaarheid van objectieve feiten niet af. In zijn arrest van 7 oktober 1988, Salabiaku tegen Frankrijk(26), heeft het verklaard dat een dergelijke strafbaarheid slechts „in beginsel en onder bepaalde voorwaarden” kan worden aanvaard, omdat het EVRM zich weliswaar niet verzet tegen vermoedens, maar „het de verdragsluitende staten verplicht om in strafzaken binnen bepaalde grenzen te blijven”.(27)

76.      In werkelijkheid levert het importeren van dogmatische categorieën van het strafrecht (nulla poena sine culpa) met het oog op toepassing ervan op het bestuurlijk strafrecht aanzienlijke hermeneutische moeilijkheden op. Gevallen van gewone niet-naleving van een wettelijke bepaling kunnen onder het begrip schuld (in de vorm van nalatigheid) worden geschaard wanneer de pleger diende te weten welke gedraging van hem werd vereist.

77.      Vanuit dit oogpunt zouden de verschillende vormen van schuld, met inbegrip van de minder ernstige, en de verschillende gronden voor toerekening (culpa in vigilando of in eligendo, bijvoorbeeld) kunnen worden toegepast op gedragingen die door sommige rechtbanken, vanuit een andere invalshoek, zouden worden gekwalificeerd als gevallen van objectieve aansprakelijkheid. De grenzen tussen de ene en de andere categorie zijn in het bestuurlijk strafrecht dus niet zo scherp getrokken als uit de verwijzingsbeslissing lijkt te kunnen worden afgeleid.

78.      Wat het Unierecht aangaat, heeft het Hof in enkele gevallen een sanctieregeling aanvaard die het indeelt als een regeling van objectieve aansprakelijkheid. Dat heeft het bijvoorbeeld gedaan in het arrest van 22 maart 2017, Euro-Team en Spirál-Gép, in de volgende bewoordingen:

–      „Wat [...] de vraag betreft of invoering van een objectieve aansprakelijkheid verenigbaar is met het evenredigheidsbeginsel, moet worden geconstateerd dat het Hof reeds meermaals heeft geoordeeld dat een dergelijk stelsel ter bestraffing van inbreuken op het Unierecht op zich niet onverenigbaar is met dat recht”.

–      „[D]e invoering van een stelsel van objectieve aansprakelijkheid [is] immers niet onevenredig aan de nagestreefde doelstellingen, wanneer dit stelsel voor de betrokkenen een stimulans kan vormen om een bepaalde regeling na te leven en de nagestreefde doelstellingen een algemeen belang vertegenwoordigen dat de invoering van een dergelijk stelsel kan rechtvaardigen”.(28)

79.      Deze rechtspraak is echter ontwikkeld ten aanzien van andere sectoren dan die van de gegevensbescherming, in verband met de niet-nakoming van positieve verplichtingen met connotaties die in de eerste plaats formeel zijn: het ging om geldboeten die waren opgelegd wegens het gebruik van een gedeelte van de snelweg zonder dat het verschuldigde tolgeld was betaald(29) of wegens een inbreuk op de voorschriften inzake het gebruik van het registratieblad van het controleapparaat van een vrachtwagen.(30)

80.      In het geval van de door de AVG opgelegde verplichtingen – waaronder die betreffende de voorwaarden voor de verwerking van gegevens (artikel 5) en de rechtmatigheid van de verwerking (artikel 6) – impliceert de beantwoording van de vraag of deze zijn nageleefd een complex evaluatie- en beoordelingsproces dat verder gaat dan enkel de vaststelling van een formele niet-nakoming.

81.      In ieder geval ben ik van mening dat artikel 83 AVG de uitsluiting van een regeling van objectieve aansprakelijkheid (zonder schuld) in het sanctierecht bevestigt, dat wil zeggen een element van opzet of nalatigheid in de strafbare gedraging vereist. Dit blijkt mijns inziens duidelijk uit verschillende leden ervan:

–      Krachtens lid 1 moet ervoor worden gezorgd dat de geldboeten „evenredig” zijn. Het beginsel van de evenredigheid van sancties wordt gewaarborgd door artikel 49 van het Handvest en, bij uitbreiding, door de rechtspraak van het EHRM waarnaar ik eerder heb verwezen.

–      In lid 2, onder b), wordt „de opzettelijke of nalatige aard van de inbreuk” uitdrukkelijk genoemd als een van de elementen die bepalend zijn voor de oplegging van een administratieve geldboete en het vaststellen van de hoogte daarvan.(31) De overige onder a) tot en met k) van datzelfde lid opgesomde factoren preciseren de omstandigheden die relevant zijn voor elk geval, en verscheidene daarvan dragen een subjectieve component in zich(32), terwijl de objectiviteit van de inbreuk niet als factor in die lijst is opgenomen.

–      Lid 3 bepaalt dat de totale geldboete die wordt opgelegd voor „opzettelijk of uit nalatigheid” door een verwerkingsverantwoordelijke of een verwerker begane inbreuken op meerdere bepalingen van de AVG (samenloop van inbreuken) niet hoger mag zijn dan die voor de zwaarste inbreuk. Daarbij wordt er dus van uitgegaan dat inbreuken van zuiver objectieve aard irrelevant zijn voor de oplegging van sancties, voor zover er geen samenloop is met opzettelijk of uit nalatigheid begane inbreuken.

82.      Het betoog dat ik zojuist naar voren heb gebracht, zou geen hout snijden indien, zoals enkele interveniërende regeringen verdedigen, het ontbreken van uitdrukkelijke bepalingen inzake dit punt in de AVG betekent dat de lidstaten kunnen kiezen voor een systeem van subjectieve aansprakelijkheid (opzet of nalatigheid) of voor een systeem dat ook objectieve aansprakelijkheid omvat.

83.      Ik geef toe dat bepaalde argumenten voor het standpunt van deze regeringen spreken. Aangezien in artikel 83, lid 2, AVG opzet en nalatigheid worden genoemd als factoren voor de vaststelling van de hoogte van de geldboete, en niet als noodzakelijke (wezenlijke) elementen van de inbreukmakende gedraging zelf, zou die bepaling de lidstaten de mogelijkheid bieden om die wezenlijke elementen van de inbreuk naar eigen goeddunken te definiëren.

84.      Net als de Commissie ben ik echter van mening dat een juiste lezing van het sanctiestelsel dat is ingevoerd door de AVG, die onmiskenbaar rechtstreeks toepasselijk is, pleit voor een uniforme en coherente oplossing(33) voor alle lidstaten, en niet voor een oplossing waarbij elke individuele lidstaat zelf kan besluiten of de strafbare inbreuken zich al dan niet moeten uitstrekken tot die welke opzettelijk of uit nalatigheid zijn begaan.

85.      Mijns inziens bevestigen de door de verwijzende rechter in zijn prejudiciële verwijzing geciteerde overwegingen van de AVG – waarin wordt onderstreept dat inbreuken moeten worden bestraft met gelijkwaardige sancties – dat de unitaire oplossing de juiste is (en dat de gefragmenteerde oplossing niet kan worden gevolgd).(34) Die gelijkwaardigheid zou niet tot stand komen indien elke lidstaat een eigen omschrijving van inbreuken zou hanteren en daar ook louter objectieve niet-nakomingen, die geen enkel element van opzet of nalatigheid in zich dragen, in zou opnemen.

V.      Conclusie

86.      Gelet op het voorgaande geef ik het Hof in overweging om het Kammergericht Berlin te antwoorden als volgt:

„Artikel 58, lid 2, onder i), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), junctis artikel 4, punt 7, en artikel 83 van die verordening,

moet aldus worden uitgelegd dat

de oplegging van een administratieve geldboete aan een rechtspersoon die verantwoordelijk is voor de verwerking van persoonsgegevens niet gebonden is aan de voorwaarde dat voorafgaandelijk wordt vastgesteld dat een of meer individuele natuurlijke personen in dienst van die rechtspersoon een inbreuk hebben begaan.

Om op grond van verordening 2016/679 een administratieve geldboete te kunnen opleggen, moeten de gedragingen die de te bestraffen inbreuk opleveren een opzettelijk of nalatig karakter hebben.”

1      Oorspronkelijke taal: Spaans.

2      Verordening van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).

3      Wet van 24 mei 1968 betreffende bestuursrechtelijke overtredingen (BGBl. I 481; III 454‑1), in de versie van 19 februari 1987 (BGBl. I, blz. 602), zoals gewijzigd bij de wet van 19 juni 2020 (BGBl. I, blz. 1328) (hierna: „OWiG”).

4      Verordening van de Raad van 16 december 2002 betreffende de uitvoering van de mededingingsregels van de artikelen 81 en 82 van het Verdrag (PB 2003, L 1, blz. 1).

5      Rechtsgrond II, punt 1, van de verwijzingsbeslissing. Zie de punten 41 e.v. van deze conclusie.

6      Punt 45 van de schriftelijke opmerkingen van Deutsche Wohnen en punten 24 en 25 van de schriftelijke opmerkingen van de Duitse regering.

7      In het kader van een procedure uit hoofde van artikel 267 VWEU, die op een duidelijke afbakening van de taken van de nationale rechterlijke instanties en van het Hof berust, is de nationale rechter bij uitsluiting bevoegd om de feiten van het hoofdgeding vast te stellen en te beoordelen en het nationale recht uit te leggen en toe te passen. Arrest van 26 april 2017, Farkas (C‑564/15, EU:C:2017:302, punt 37).

8      Het Hof kan slechts weigeren uitspraak te doen over een prejudiciële vraag wanneer de verlangde uitlegging van het Unierecht duidelijk geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het probleem hypothetisch is of wanneer het Hof niet beschikt over de feitelijke en juridische gegevens die het nodig heeft om een nuttig antwoord op de gestelde vragen te kunnen geven (zie onder meer arrest van 27 september 2017, Puškár, C‑73/16, EU:C:2017:725, punt 50). In de onderhavige zaak doet geen van deze omstandigheden zich voor.

9      Deutsche Wohnen toonde zich tijdens de openbare terechtzitting aarzelend om die hoedanigheid te aanvaarden, maar haar profiel voldoet zonder meer aan de definitie van „verwerkingsverantwoordelijke” zoals neergelegd in artikel 4 AVG, ongeacht de aansprakelijkheid die daadwerkelijk op haar rust voor de inbreuken die haar, als de „verwerkingsverantwoordelijke”, worden verweten.

10      Een andere kwestie is dat, bij het vaststellen van de hoogte van de desbetreffende geldboeten, in voorkomend geval rekening moet worden gehouden met de mogelijkheid dat Deutsche Wohnen en haar dochterondernemingen deel uitmaken van een hogere economische eenheid. Op het eerste gezicht kan het anders lijken, maar de klassieke problemen van toerekening van aansprakelijkheid tussen moedermaatschappijen en dochterondernemingen of groepen van ondernemingen zijn in deze prejudiciële verwijzing niet aan de orde.

11      In artikel 4, punt 7, AVG wordt „verwerkingsverantwoordelijke”, voor wat hier van belang is, gedefinieerd als „een [...] rechtspersoon [...] [die], alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”; in punt 8 van datzelfde artikel wordt de „verwerker” gekarakteriseerd als „een [...] rechtspersoon [...] [die] ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt”.

12      Die uiteraard ook recht heeft op een doeltreffende voorziening in rechte tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit (artikel 78, lid 1, AVG), en dus eveneens tegen eventuele administratieve geldboeten die hem worden opgelegd.

13      Zo heeft bijvoorbeeld de Ierse gegevensbeschermingsautoriteit op 31 december 2022 geldboeten van 210 miljoen EUR en 180 miljoen EUR opgelegd aan respectievelijk Facebook en Instagram.

14      Rechtsgrond II, punt 1, van de verwijzingsbeslissing.

15      Zie punt 32 van deze conclusie.

16      Arrest van 27 april 2017, Akzo Nobel e.a./Commissie (C‑516/15 P, EU:C:2017:314, punt 47).

17      Zie onder meer arrest van 10 april 2014, Areva e.a./Commissie (C‑247/11 P en C‑253/11 P, EU:C:2014:257, punt 123).

18      Zoals ik reeds heb opgemerkt, vallen de problemen in verband met de betrekkingen tussen moedermaatschappijen en dochterondernemingen, wat het opleggen van sancties betreft, buiten het bereik van deze prejudiciële procedure. Ook zijn in de prejudiciële verwijzing geen vragen over de bewijslast in verband met de verweten feiten opgeworpen.

19      Overweging 10 AVG.

20      Ibid.

21      Punt 25 van de schriftelijke opmerkingen van de Duitse regering. Tegen dit argument brengt de verwijzende rechter in de hierboven weergegeven bewoordingen in dat de door het interne recht geboden bescherming van rechtsgoederen ook in combinatie met de §§ 9 en 30 OWiG zeer beperkt is in vergelijking met de uit de artikelen 101 en 102 VWEU voortvloeiende aansprakelijkheidsregeling.

22      Punt 25 van de schriftelijke opmerkingen van de Duitse regering, voetnoten 16‑18.

23      Het syntagma strict liability komt in de Engelse vertalingen van de arresten van het Hof gewoonlijk overeen met de uitdrukkingen responsabilidad objetiva (Spaanse taalversie), responsabilité objective (Franse taalversie), responsabilità oggettiva (Italiaanse taalversie), responsabilidade objetiva (Portugese taalversie); objektiven Verantwortlichkeit (Duitse taalversie) en objectieve aansprakelijkheid (Nederlandse taalversie).

24      Zie onder meer arrest van 2 februari 2021, Consob (C‑481/19, EU:C:2021:84, punt 36).

25      Arrest EHRM van 20 januari 2009, Sud Fondi e.a. tegen Italië (CE:ECHR:2009:0120JUD007590901, § 116).

26      CE:ECHR:1988:1007JUD001051983.

27      Arrest EHRM van 7 oktober 1988, Salabiaku tegen Frankrijk (CE:ECHR:1988:1007JUD001051983, §§ 27 en 28).

28      Arrest van 22 maart 2017, Euro-Team en Spirál-Gép (C‑497/15 en C‑498/15, EU:C:2017:229, punten 53 en 54), met verwijzing naar het arrest van 9 februari 2012, Urbán (C‑210/10, EU:C:2012:64, punten 47 en 48 respectievelijk).

29      Arrest van 22 maart 2017, Euro-Team en Spirál-Gép (C‑497/15 en C‑498/15, EU:C:2017:229).

30      Arrest van 9 februari 2012, Urbán (C‑210/10, EU:C:2012:64).

31      Zie evenwel de punten 82 en 83 van deze conclusie.

32      Zo ziet punt a) op het doel van de verwerking, punt c) op de maatregelen die zijn genomen om de schade te beperken, punt d) op de mate van verantwoordelijkheid gezien de maatregelen die hij heeft uitgevoerd, en punt f) op de mate waarin er met de toezichthoudende autoriteit is samengewerkt.

33      In overweging 150 AVG wordt gesproken van de consequente toepassing van administratieve geldboeten door de lidstaten. De lidstaten kunnen daarentegen wel bepalen „of en in hoeverre overheidsinstanties aan administratieve geldboeten moeten zijn onderworpen”. Dit doet geen afbreuk aan de specifieke bepalingen voor Denemarken en Estland waarnaar in overweging 151 wordt verwezen, noch aan de in overweging 152 bedoelde gevallen.

34      In overweging 10 AVG wordt het doel van „een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens” geformuleerd. In overweging 11 wordt verklaard dat inbreuken moeten worden bestraft met vergelijkbare sancties, een tekstuele uitdrukking die in overweging 13 wordt herhaald.