betreffend Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Amtsgericht München (Deutschland) mit Entscheidungen vom 21. Dezember 2021, beim Gerichtshof eingegangen am 7. Januar 2022, in den Verfahren
unter Mitwirkung des Kammerpräsidenten C. Lycourgos, der Richterin O. Spineanu-Matei, der Richter J.-C. Bonichot und S. Rodin sowie der Richterin L. S. Rossi (Berichterstatterin),
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 29. Februar 2024,
aufgrund des nach Anhörung des Generalanwalts ergangenen Beschlusses, ohne Schlussanträge über die Rechtssache zu entscheiden,
Mit seinen Vorlagefragen, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f DSGVO dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten, die darin besteht, auf Anfrage eines Gesellschafters eines als Publikumspersonengesellschaft organisierten Investmentfonds Informationen über alle Gesellschafter, die durch Treuhandgesellschaften mittelbar an diesem Investmentfonds beteiligt sind, unabhängig vom Umfang ihrer Beteiligung am Kapital dieses Fonds weiterzugeben, damit mit ihnen Kontakt aufgenommen werden kann, um mit ihnen über den Abkauf ihrer Gesellschaftsanteile zu verhandeln oder um sich mit ihnen zur gemeinsamen Willensbildung im Rahmen von Gesellschafterbeschlüssen abzustimmen, im Sinne von Buchst. b als für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffenen Personen sind, oder im Sinne von Buchst. f zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten als erforderlich angesehen werden kann.
Die Vorabentscheidungsersuchen lassen erkennen, dass das vorlegende Gericht wissen möchte, ob die Pflicht zur Weitergabe solcher Daten, die sich im deutschen Recht aus der Rechtsprechung der nationalen Gerichte ergibt, mit der DSGVO vereinbar ist. Daher sind die Vorlagefragen so umzuformulieren, dass sie sich auf die Auslegung von Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO erstrecken, und es ist davon auszugehen, dass das vorlegende Gericht mit seinen Fragen auch wissen möchte, ob eine solche Weitergabe als zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich angesehen werden kann.
Zur Beantwortung dieser Fragen ist einleitend darauf hinzuweisen, dass das Ziel der DSGVO, wie aus ihrem Art. 1 sowie aus ihren Erwägungsgründen 1 und 10 hervorgeht, insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art. 8 Abs. 1 der Charta und in Art. 16 Abs. 1 AEUV verankerten Rechts auf Privatleben bei der Verarbeitung personenbezogener Daten – zu gewährleisten (Urteil vom 7. März 2024, IAB Europe,C-604/22, EU:C:2024:214, Rn. 53 und die dort angeführte Rechtsprechung).
Im Einklang mit diesem Ziel muss jede Verarbeitung personenbezogener Daten u. a. mit den in Art. 5 DSGVO aufgestellten Grundsätzen der Verarbeitung solcher Daten im Einklang stehen und die in Art. 6 DSGVO aufgezählten Rechtmäßigkeitsvoraussetzungen erfüllen (vgl. in diesem Sinne Urteile vom 6. Oktober 2020, La Quadrature du Net u. a.,C-511/18, C-512/18 und C-520/18, EU:C:2020:791, Rn. 208, sowie vom 11. Juli 2024, Meta Platforms Ireland [Verbandsklage], C-757/22, EU:C:2024:598, Rn. 49).
Nach Art. 5 Abs. 1 Buchst. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.
Was insbesondere die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung angeht, enthält, wie der Gerichtshof bereits entschieden hat, Art. 6 Abs. 1 Unterabs. 1 DSGVO eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 90).
In Anbetracht der Besonderheiten der Ausgangsverfahren ist außerdem festzustellen, dass Art. 6 Abs. 1 Unterabs. 1 DSGVO an sich keine Verpflichtung aufstellt, sondern lediglich ausdrückt, dass in den dort aufgeführten Fällen eine Verarbeitung personenbezogener Daten vorgenommen werden darf (vgl. entsprechend Urteil vom 4. Mai 2017, Rīgas satiksme,C-13/16, EU:C:2017:336, Rn. 26).
Nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn und soweit die betroffene Person ihre Einwilligung dazu für einen oder mehrere bestimmte Zwecke gegeben hat. Liegt keine solche Einwilligung vor oder wurde die Einwilligung nicht freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO gegeben, ist eine solche Verarbeitung gleichwohl gerechtfertigt, wenn sie aus einem der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO genannten Gründe erforderlich ist.
In diesem Zusammenhang sind die in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 93 und die dort angeführte Rechtsprechung).
Außerdem braucht nach der Rechtsprechung des Gerichtshofs, wenn festgestellt werden kann, dass eine Verarbeitung personenbezogener Daten aus einem der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Gründe erforderlich ist, nicht geprüft zu werden, ob diese Verarbeitung auch unter einen anderen dieser Gründe fällt (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 94 und die dort angeführte Rechtsprechung).
Der Gerichtshof hat auch entschieden, dass nach Art. 5 DSGVO der Verantwortliche die Beweislast dafür trägt, dass die Daten u. a. für festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Außerdem obliegt es nach Art. 13 Abs. 1 Buchst. c dieser Verordnung, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, dem Verantwortlichen, diese Person über die Zwecke, für die diese Daten verarbeitet werden sollen, sowie über die Rechtsgrundlage für die Verarbeitung zu informieren (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 95).
Vorliegend geht aus den dem Gerichtshof vorliegenden Akten hervor, dass die Gesellschafter, die über Treuhandgesellschaften mittelbar an den betreffenden Investmentfonds beteiligt sind, keine Einwilligung im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO dazu gegeben haben, dass die Beklagten der Ausgangsverfahren die sie betreffenden personenbezogenen Daten an Dritte, insbesondere an HTB und an Ökorenta, weitergeben.
Unter diesen Umständen ist zur Beantwortung der gestellten Fragen zu prüfen, ob die Bestimmungen von Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f DSGVO, auf die sich die Vorabentscheidungsersuchen speziell beziehen, herangezogen werden können, um die etwaige Weitergabe solcher Daten an diese Dritten zu rechtfertigen.
Als Erstes ist zu Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO festzustellen, dass eine Verarbeitung personenbezogener Daten danach rechtmäßig ist, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“.
Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, muss sie, wie der Gerichtshof bereits entschieden hat, objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 98).
Entscheidend für die Anwendung des in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO genannten Rechtfertigungsgrundes ist nämlich, wie der Gerichtshof ebenfalls entschieden hat, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 99).
Vorliegend geht aus den Vorlageentscheidungen hervor, dass die in den Ausgangsverfahren fraglichen Beteiligungs- und Treuhandverträge, auf deren Grundlage mittelbare Beteiligungen an den betreffenden Investmentfonds erworben wurden, es ausdrücklich verbieten, die Daten betreffend die mittelbaren Anleger anderen Anteilseignern mitzuteilen.
Das wesentliche Merkmal des Erwerbs einer mittelbaren Beteiligung an einer Publikumsfondsgesellschaft über eine Treuhandgesellschaft besteht gerade in der Anonymität der Gesellschafter, auch im Verhältnis der Gesellschafter untereinander. Mit anderen Worten entscheiden sich die betreffenden Personen unter Berücksichtigung der vertraulichen Behandlung ihrer Daten durch den Investmentfonds für eine Kapitalanlage in einen solchen Fonds in Form einer Beteiligung, die über eine treuhänderische Beteiligungsgesellschaft gehalten wird.
Vorbehaltlich einer Überprüfung durch das vorlegende Gericht ist daher eine Verarbeitung personenbezogener Daten, die in der Weitergabe von Informationen in Bezug auf Gesellschafter besteht, die über eine Treuhandgesellschaft mittelbar an einer Publikumsfondsgesellschaft beteiligt sind, nicht als im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO „für die Erfüllung eines Vertrags … erforderlich“ anzusehen, wenn der Vertrag, der dem Erwerb einer solchen Beteiligung zugrunde liegt, die Weitergabe dieser Daten an Mitanteilseigner ausdrücklich ausschließt.
Als Zweites ist zu Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO festzustellen, dass eine Verarbeitung personenbezogener Daten danach rechtmäßig ist, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz dieser Daten erfordern, überwiegen.
Wie der Gerichtshof bereits entschieden hat, ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 106 und die dort angeführte Rechtsprechung).
Was erstens die Voraussetzung der Wahrnehmung eines „berechtigten Interesses“ betrifft, ist in Ermangelung einer Definition dieses Begriffs durch die DSGVO festzustellen, dass, wie der Gerichtshof bereits entschieden hat, ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten kann (Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C-26/22 und C-64/22, EU:C:2023:958, Rn. 76).
Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses angeht, so verlangt diese vom vorlegenden Gericht, zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen (Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C-26/22 und C-64/22, EU:C:2023:958, Rn. 77 und die dort angeführte Rechtsprechung).
In diesem Zusammenhang ist auch darauf hinzuweisen, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten Grundsatz der „Datenminimierung“ zu prüfen ist, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 109 und die dort angeführte Rechtsprechung).
Was schließlich drittens die Voraussetzung betrifft, dass die Interessen oder Grundfreiheiten und Grundrechte der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, so hat der Gerichtshof bereits entschieden, dass diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des vorlegenden Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 110 und die dort angeführte Rechtsprechung).
Außerdem können nach dem 47. Erwägungsgrund der DSGVO die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 112).
Letztlich ist es Sache des vorlegenden Gerichts, zu beurteilen, ob im Hinblick auf die Verarbeitung personenbezogener Daten, um die es in den Ausgangsverfahren geht, die drei in Rn. 49 des vorliegenden Urteils genannten Voraussetzungen erfüllt sind; der Gerichtshof kann dem nationalen Gericht auf dessen Vorabentscheidungsersuchen hin jedoch sachdienliche Hinweise für diese Prüfung geben (Urteile vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 96, und vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C-26/22 und C-64/22, EU:C:2023:958, Rn. 81 und die dort angeführte Rechtsprechung).
Was vorliegend erstens die Voraussetzung angeht, dass der Verantwortliche oder ein Dritter ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO wahrnimmt, verweist das vorlegende Gericht auf das Interesse eines Dritten, nämlich das Interesse eines Gesellschafters, der an einem als Publikums-Kommanditgesellschaft organisierten Investmentfonds mittelbar beteiligt ist, personenbezogene Daten über andere mittelbare Gesellschafter dieser Gesellschaft zu erhalten, um mit ihnen Kontakt aufzunehmen, um mit ihnen über den Abkauf ihrer Gesellschaftsanteile zu verhandeln oder um sich mit ihnen zur gemeinsamen Willensbildung im Rahmen von Gesellschafterbeschlüssen abzustimmen.
Es ist festzustellen, dass ein solches Interesse grundsätzlich ein berechtigtes Interesse an der Offenlegung personenbezogener Daten im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO darstellen kann, insbesondere unter Berücksichtigung des Status einer solchen Gesellschaft, wie er sich aus dem nationalen Recht des betreffenden Mitgliedstaats ergibt, und unabhängig von der Höhe der Beteiligung an der und der Befugnisse innerhalb der Gesellschaft, über die der Gesellschafter, der um die Offenlegung ersucht hat, verfügt. Es ist jedoch Sache des vorlegenden Gerichts, das Bestehen eines solchen Interesses im Einzelfall unter Berücksichtigung des anwendbaren Rechtsrahmens und aller Umstände der Rechtssache zu beurteilen.
Sollte ein solches berechtigtes Interesse bestehen, müsste der Verantwortliche zudem allen anderen ihm obliegenden Pflichten aus der DSGVO nachkommen, damit die Wahrnehmung dieses Interesses eine Verarbeitung personenbezogener Daten gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gestatten kann.
Was zweitens die Voraussetzung der Erforderlichkeit dieser Verarbeitung zur Verwirklichung des betreffenden Interesses angeht und insbesondere das Vorliegen von Mitteln, die ebenso geeignet sind und weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, ist festzustellen, dass es dem Gesellschafter eines Investmentfonds, der Informationen über einen anderen, an diesem Fonds über eine Treuhandgesellschaft mittelbar beteiligten Anteilseigner erhalten möchte, insbesondere möglich wäre, diesen Fonds oder diese Gesellschaft unmittelbar aufzufordern, seine Anfrage an den betreffenden Gesellschafter weiterzuleiten, um ihn kennenzulernen oder sich mit ihm auszutauschen. Dieser könnte dann frei entscheiden, ob er mit dem Gesellschafter, der die Anfrage gestellt hat, Kontakt aufnehmen möchte oder ob er es vorzieht, einer solchen Anfrage nicht nachzukommen und anonym zu bleiben. Eine solche Lösung könnte auch in dem Fall angewandt werden, in dem der anfragende Gesellschafter mit einem anderen Gesellschafter Verhandlungen über den Kauf von dessen Anteilen aufnehmen oder sich mit ihm zur gemeinsamen Willensbildung im Rahmen von Gesellschafterbeschlüssen abstimmen möchte.
Diese Lösung würde es im Übrigen dem von dem Auskunftsersuchen betroffenen Gesellschafter ermöglichen, im Einklang mit dem in Rn. 52 des vorliegenden Urteils genannten Grundsatz der Datenminimierung die Kontrolle über die Verarbeitung seiner personenbezogenen Daten zu behalten und so ihre Weitergabe an einen anderen Gesellschafter auf das zu beschränken, was für die Zwecke, zu denen diese Daten angefordert und verarbeitet werden, tatsächlich erforderlich und relevant ist.
Es ist daher nicht auszuschließen, dass ein Verfahren wie das in der vorstehenden Randnummer des vorliegenden Urteils beschriebene als Maßnahme angesehen werden kann, die einen geringeren Eingriff in das Recht der betroffenen Person auf Schutz der Vertraulichkeit ihrer personenbezogenen Daten darstellt und es dem Verantwortlichen dabei erlaubt, das berechtigte Interesse des betroffenen Dritten ebenso wirksam wahrzunehmen; dies zu prüfen ist jedoch Sache des vorlegenden Gerichts.
Drittens muss das vorlegende Gericht bei der Abwägung der Interessen, die es im Hinblick auf die besonderen Umstände des Einzelfalls vorzunehmen hat, insbesondere die vernünftigen Erwartungen der betroffenen Person sowie den Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person berücksichtigen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 116).
Daraus folgt, dass im Rahmen einer solchen Abwägung zum einen grundsätzlich nicht ausgeschlossen werden kann, dass die Weitergabe der personenbezogenen Daten der – auch mittelbaren – Gesellschafter einer Personengesellschaft an Mitgesellschafter gegebenenfalls den wirtschaftlichen Interessen jedes einzelnen von ihnen und damit auch den Interessen der mittelbaren Gesellschafter, zu deren persönlichen Daten ein anderer Gesellschafter Zugang begehrt, dienen kann.
Zum anderen kann aber auch nicht ausgeschlossen werden, dass das Interesse der mittelbar an einem Investmentfonds beteiligten Gesellschafter daran, dass ihre personenbezogenen Daten vertraulich bleiben, Vorrang vor dem Interesse der Mitgesellschafter, die ihre Kontaktdaten erhalten möchten, haben kann. Unter diesem Aspekt ist dem Umstand besondere Bedeutung beizumessen, dass es insbesondere in Anbetracht der in Rn. 45 des vorliegenden Urteils genannten Vertragsbestimmungen wahrscheinlich ist, dass die mittelbaren Gesellschafter eines solchen Investmentfonds zum Zeitpunkt der Erhebung ihrer personenbezogenen Daten vernünftigerweise nicht erwarten konnten, dass diese an Dritte, vorliegend an andere mittelbare Gesellschafter dieses Investmentfonds, weitergegeben werden.
Nach den gesamten vorstehenden Erwägungen und vorbehaltlich der Beurteilung durch das vorlegende Gericht erscheint es zweifelhaft, ob eine Verarbeitung personenbezogener Daten wie die Weitergabe der von den Klägerinnen der Ausgangsverfahren begehrten Informationen mit einem berechtigten Interesse im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gerechtfertigt werden kann.
Was als Drittes Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO betrifft, so ist nach dieser Bestimmung die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt.
Art. 6 Abs. 3 DSGVO bestimmt insoweit u. a., dass die Verarbeitung auf dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, beruhen muss und dass die betreffende Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 128).
Wenn, wie im 41. Erwägungsgrund der DSGVO ausgeführt wird, in dieser Verordnung auf eine Rechtsgrundlage oder eine Gesetzgebungsmaßnahme Bezug genommen wird, erfordert dies im Übrigen nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt; davon unberührt bleiben Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats. Die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme sollte jedoch klar und präzise sein und ihre Anwendung sollte für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar sein.
Vorliegend sieht zum einen das Unionsrecht keine Verpflichtung für Investmentfonds oder Treuhandgesellschaften wie die in den Ausgangsverfahren vor, personenbezogene Daten der Gesellschafter, die mittelbar an diesen Fonds beteiligt sind, offenzulegen.
Zum anderen ergibt sich aus den Vorabentscheidungsersuchen, dass eine solche Verpflichtung vorbehaltlich der vom vorlegenden Gericht insoweit vorzunehmenden Prüfungen gleichwohl der Rechtsprechung des Bundesgerichtshofs und des Oberlandesgerichts München entnommen werden könnte. Nach dieser Rechtsprechung seien Vertragsbestimmungen, die die Vertraulichkeit der Kontaktdaten der mittelbaren Gesellschafter einer Publikumspersonengesellschaft gewährleisteten, wie die im Ausgangsverfahren fraglichen, als nichtig anzusehen, so dass die personenbezogenen Daten der Gesellschafter, die an einem als Publikums-Kommanditgesellschaft organisierten Investmentfonds mittelbar beteiligt seien, offengelegt werden müssten.
Insoweit ist darauf hinzuweisen, dass nach den Ausführungen in Rn. 68 des vorliegenden Urteils nicht ausgeschlossen werden kann, dass „das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt“, im Sinne von Art. 6 Abs. 3 Buchst. b DSGVO auch die nationale Rechtsprechung umfasst.
Wie sich aus dem 41. Erwägungsgrund der DSGVO ergibt, muss eine solche Rechtsprechung jedoch klar und präzise und ihre Anwendung für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs vorhersehbar sein.
Des Weiteren muss diese Rechtsprechung gemäß der in Rn. 67 des vorliegenden Urteils wiedergegebenen Rechtsprechung zudem eine Rechtsgrundlage darstellen, die ein im öffentlichen Interesses liegendes Ziel verfolgt und zu diesem in einem angemessenen Verhältnis steht, und die betreffende Verarbeitung muss in den Grenzen des absolut Notwendigen erfolgen; dies zu prüfen, ist Sache des vorlegenden Gerichts (vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, EU:C:2023:537, Rn. 134 und 138).
Es wird daher Aufgabe dieses Gerichts sein, insbesondere festzustellen, ob es nicht Maßnahmen gibt, die es ermöglichen, die Transparenz unter den Gesellschaftern von Personengesellschaften, wie sie sich entsprechend den Ausführungen in den Rn. 18 bis 22 des vorliegenden Urteils aus dem deutschen Recht zu ergeben scheint, zu gewährleisten, und dabei den Schutz der vertraulichen personenbezogenen Daten der mittelbaren Gesellschafter von Publikumspersonengesellschaften weniger beeinträchtigen als die Pflicht, diese Daten an jeden anderen Gesellschafter weiterzugeben, der darum ersucht.
Nach alledem ist auf die gestellten Fragen zu antworten, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten, die darin besteht, auf Anfrage eines Gesellschafters eines als Publikumspersonengesellschaft organisierten Investmentfonds Informationen über alle Gesellschafter, die durch Treuhandgesellschaften an diesem Investmentfonds mittelbar beteiligt sind, unabhängig vom Umfang ihrer Beteiligung am Kapital dieses Fonds weiterzugeben, damit mit ihnen Kontakt aufgenommen werden kann, um mit ihnen über den Abkauf ihrer Gesellschaftsanteile zu verhandeln oder um sich mit ihnen zur gemeinsamen Willensbildung im Rahmen von Gesellschafterbeschlüssen abzustimmen, nur dann im Sinne dieser Bestimmung als für die Erfüllung des Vertrags, auf dessen Grundlage diese Gesellschafter solche Beteiligungen erworben haben, erforderlich angesehen werden kann, wenn diese Verarbeitung objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für dieselben Gesellschafter bestimmten Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte. Dies ist nicht der Fall, wenn dieser Vertrag die Weitergabe dieser personenbezogenen Daten an andere Anteilseigner ausdrücklich ausschließt.
Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ist dahin auszulegen, dass eine solche Verarbeitung nur dann als zur Wahrung der berechtigten Interessen eines Dritten erforderlich im Sinne dieser Bestimmung angesehen werden kann, wenn sie zur Verwirklichung eines solchen berechtigten Interesses absolut notwendig ist und unter Würdigung aller relevanten Umstände die Interessen oder Grundrechte und Grundfreiheiten der betreffenden Gesellschafter gegenüber diesem berechtigten Interesse nicht überwiegen.
Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO ist dahin auszulegen, dass die betreffende Verarbeitung personenbezogener Daten nach dieser Bestimmung gerechtfertigt ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche gemäß dem Recht des betreffenden Mitgliedstaats unterliegt, wie es durch die Rechtsprechung dieses Mitgliedstaats präzisiert wurde, sofern diese Rechtsprechung klar und präzise ist, ihre Anwendung für die Rechtsunterworfenen vorhersehbar ist und sie ein im öffentlichen Interesse liegendes Ziel verfolgt, zu dem sie in einem angemessenen Verhältnis steht.
Verkündet in öffentlicher Sitzung in Luxemburg am 12. September 2024.
C. Lycourgos
