–

za HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG: M. Handlos a R. Veil, Rechtsanwälte,

–

za Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG: U. Brinkmöller, Rechtsanwalt,

–

za WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH a WealthCap Investorenbetreuung GmbH: N. Bartmann, U. Baumgartner a A. Höder, Rechtsanwälte,

–

za Evropskou komisi: A. Bouchagiar, M. Heller a H. Kranenborg, jako zmocněnci,

1

Žádosti o rozhodnutí o předběžné otázce se týkají výkladu čl. 6 odst. 1 prvního pododstavce písm. b) a f) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2

Tyto žádosti byly předloženy v rámci sporů mezi HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (dále jen „HTB“) na straně jedné a Müller Rechtsanwaltsgesellschaft mbH na straně druhé (věc C‑17/22) a mezi Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (dále jen „Ökorenta“) na straně jedné a WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH a WealthCap Investorenbetreuung GmbH na straně druhé (věc C‑18/22).

3

Body 1, 10, 39, 41, 47 a 48 odůvodnění GDPR zní:

[…]

[…]

[…]

[…]

4

Článek 1 tohoto nařízení, nadepsaný „Předmět a cíle“, v odstavci 2 stanoví:

„Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“

5

Článek 4 uvedeného nařízení stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]“

6

Článek 5 téhož nařízení, nadepsaný „Zásady zpracování osobních údajů“, stanoví:

„1.   Osobní údaje musí být:

[…]

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

7

Článek 6 GDPR, nadepsaný „Zákonnost zpracování“, zní:

„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

[…]

První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.

2.   Členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.

3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:

[…] Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.“

8

Článek 13 odst. 1 tohoto nařízení stanoví:

„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

[…]

[…]“

9

Ustanovení § 161 Handelsgesetzbuch (obchodní zákoník), ve znění použitelném na spor v původním řízení, stanoví:

„(1)   Společnost, jejímž účelem je provozování podnikatelské činnosti pod společným obchodním jménem, je komanditní společností, pokud jeden nebo více společníků ručí za závazky společnosti do výše určitého majetkového vkladu (komanditisté) a jiní společníci ručí neomezeně (osobně ručící společníci).

(2)   Pokud není v tomto oddíle stanoveno jinak, platí pro komanditní společnosti ustanovení platná pro veřejnou obchodní společnost.“

10

Ustanovení § 162 odst. 1 tohoto zákoníku zní:

„Zápis o založení společnosti musí kromě údajů uvedených v § 106 odst. 2 [zejména příjmení, jméno, datum narození a bydliště každého společníka] obsahovat označení komanditistů a výši vkladu každého z nich. […]“

11

Ustanovení § 127a odst. 1 a 3 Aktiengesetz (zákon o akciových společnostech), ve znění použitelném na spor v původním řízení, stanoví:

„(1)   Akcionáři nebo sdružení akcionářů mohou na akcionářském fóru, které je součástí Bundesanzeiger [(německý spolkový úřední věstník)], vyzvat ostatní akcionáře, aby společně nebo v zastoupení podali návrh nebo žádost podle tohoto zákona nebo uplatnili své hlasovací právo na valné hromadě.

[…]

(3)   Výzva může odkazovat na odůvodnění uvedené na internetových stránkách autora výzvy a na jeho e-mailovou adresu. […]“

12

Ustanovení § 33 odst. 1 první věty Wertpapierhandelsgesetz (zákon o obchodování s cennými papíry), ve znění použitelném na spor v původním řízení, stanoví:

„Osoba, která nabytím, převodem nebo jiným způsobem získá, překročí 3 %, 5 %, 10 %, 15 %, 20 %, 25 %, 30 %, 50 % nebo 75 % hlasovacích práv spojených s akciemi emitenta, jehož státem původu je Spolková republika Německo, nebo jejíž podíl pod tyto hodnoty klesne (oznamovatel), je povinna tuto skutečnost neprodleně oznámit emitentovi a současně Německému spolkovému úřadu nejpozději do čtyř obchodních dnů, přičemž musí dodržet ustanovení § 34 odst. 1 a 2. […]“

13

Z předkládacích rozhodnutí vyplývá, že HTB a Ökorenta jsou investičními společnostmi, z nichž každá vlastní nepřímý podíl v investičních fondech prostřednictvím svěřenecké společnosti. Tyto investiční fondy mají formu komanditní společnosti, to znamená osobní společnosti, která nabízí investiční podíly široké veřejnosti. Podíl na těchto komanditních společnostech je koncipován jako finanční investice. Když je tato účast nepřímá, společníci vykonávají svá práva prostřednictvím svěřeneckých investičních společností.

14

Žalobkyně v původních řízeních požadují od žalovaných v původních řízeních, které jsou svěřeneckými investičními společnostmi, aby jim poskytly jména a adresy všech jejich společníků, kteří vlastní nepřímé podíly v dotčených investičních fondech prostřednictvím svěřeneckých společností.

15

Žalované v původních řízeních s tímto poskytnutím nesouhlasí, protože mají za to, že požadované údaje jsou určeny k tomu, aby sloužily vlastním hospodářským zájmům žalobkyň v původních řízeních, které spočívají v propagaci jejich vlastních investičních produktů, v zneklidnění investorů nebo v odkoupení jejich podílů za cenu, která je nižší než jejich hodnota, a v dosažení zisku z jejich dalšího prodeje. Smlouvy o nabytí podílů a o svěřenecké činnosti, na jejichž základě společníci žalovaných v původních řízeních nabyli nepřímé podíly v dotčených investičních fondech, přitom obsahují ustanovení zakazující sdělování uvedených údajů jiným držitelům podílů.

16

Žalobkyně v původních řízeních popírají, že by měly takovéto úmysly, a tvrdí, že mají právo kontaktovat ostatní komanditisty, kteří vlastní podíly v dotčených investičních fondech, zejména za účelem sjednání odkupu jejich podílů.

17

Předkládající soud v podstatě zdůrazňuje, že v souladu s judikaturou Bundesgerichtshof (Spolkový soudní dvůr, Německo) a Oberlandesgericht München (Vrchní zemský soud v Mnichově, Německo) by zpřístupnění osobních údajů požadovaných žalobkyněmi v původních řízeních mohlo být povinné. Uvádí však, že vzhledem k tomu, že tato judikatura byla zčásti vydána dříve, než vstoupilo v platnost GDPR, mohla by být v projednávaném případě posuzována odlišně s ohledem na čl. 6 odst. 1 první pododstavec písm. b) a f) tohoto nařízení, jehož výklad je rozhodující pro řešení sporů v původních řízeních.

18

Předkládající soud zejména uvádí, že z usnesení Bundesgerichtshof (Spolkový soudní dvůr) ze dne 19. listopadu 2019 (II ZR 263/18) vyplývá, že v takové osobní společnosti, jako je komanditní společnost, je právo společníka znát jméno a adresu ostatních společníků součástí „nepominutelného jádra práv společníků“. Toto právo mají i komanditisté, kteří vlastní pouze nepřímé podíly. Znalost všech ostatních společníků, včetně těch, kteří vlastní podíly nepřímo, je totiž nezbytná k tomu, aby mohli účinně využívat práv, která má každý společník osobní společnosti, která nabízí investiční podíly široké veřejnosti. Poskytnutí těchto osobních údajů ostatním společníkům by tedy bylo v souladu s povinnostmi, které pro společnost vyplývají ze společenské smlouvy, kterou byla založena. Jediná výjimka z práva na získání takovýchto údajů v německém právu spočívá v zákazu zneužití práva, který zakazuje, aby toto právo na informace bylo vykonáváno zneužívajícím nebo šikanózním způsobem.

19

Podle judikatury Bundesgerichtshof (Spolkový soudní dvůr) je zneužití práva v každém případě vyloučeno, pokud investor usiluje o kontakt s dalšími investory, aby s nimi konzultoval problémy, které se podle jeho názoru týkají společnosti, případně aby mezi investory zorganizoval zájmové společenství. Dále není namístě odmítnout poskytnutí informací týkajících se společníka z důvodu, že existuje pouze abstraktní riziko zneužití těchto osobních údajů. Kromě toho by společník měl mít možnost přístupu přímo k údajům ostatních společníků společnosti, aniž by byl závislý na řídících orgánech této společnosti.

20

Z této judikatury rovněž vyplývá, že takovéto právo na informace nelze vyloučit smluvními ustanoveními, protože jinak by bylo fakticky odstraněno základní právo společníků, a sice právo svolat mimořádnou valnou hromadu, neboť kvorum potřebné k tomuto účelu může společník s malým podílem získat pouze tehdy, pokud se spojí s ostatními společníky, což nutně předpokládá, že zná jejich jména a adresy [usnesení Bundesgerichtshof (Spolkový soudní dvůr) ze dne 21. září 2009 (II ZR 264/08)]. Podle uvedené judikatury bod 48 odůvodnění GDPR rovněž uvádí, že je odůvodněné, aby v rámci skupiny podniků mohly být osobní údaje všech společníků předány některému z nich pro vnitřní administrativní účely.

21

Podle předkládajícího soudu tak judikatura Bundesgerichtshof (Spolkový soudní dvůr) v zásadě zakotvuje existenci práva společníků na informace, které je omezeno pouze zákazem zneužitím práva.

22

Předkládající soud odkazuje rovněž na rozsudek Oberlandesgericht München (Vrchní zemský soud v Mnichově) ze dne 16. ledna 2019 (7 U 342/18), podle kterého je hlavním předmětem společenské smlouvy výkon práv společníků, včetně posílení jejich postavení v rámci společnosti. Koupě obchodních podílů tedy představuje oprávněný výkon těchto práv a poskytnutí informací týkajících se ostatních společníků za tímto účelem odpovídá opodstatněnému zájmu. Takovéto poskytnutí je přitom možné odmítnout pouze tehdy, pokud jeho cílem není uspokojit žádný opodstatněný zájem.

23

Předkládající soud má pochybnosti o slučitelnosti judikatury Bundesgerichtshof (Spolkový soudní dvůr) a Oberlandesgericht München (Vrchní zemský soud v Mnichově) s unijním právem, jestiže umožňuje úplné poskytnutí osobních údajů společníků vlastnících nepřímé podíly na investičním fondu na základě čistě formálního tvrzení o zájmu ostatních společníků na získání takovýchto údajů, například za účelem nabytí podílů.

24

Má totiž za to, že podle unijního práva představuje ochrana osobních údajů pravidlo, takže výjimka z této zásady stanovená zejména v čl. 6 odst. 1 prvním pododstavci písm. b) a f) GDPR, která umožňuje povolit zpřístupnění těchto údajů, musí být založena na „dostatečném odůvodnění“. Tento soud kromě toho tvrdí, že v německém právu neexistuje žádná zákonná povinnost zveřejňovat údaje týkající se osob, které vlastní podíly na svěřenské společnosti. Předkládající soud si tedy klade otázku, zda by právo na přístup k údajům společníků nemělo být podmíněno existencí určitého procentního podílu, analogicky tomu, co je stanoveno v německém právu, pokud jde o akciové společnosti kótované na burze, a dále konkrétním a přesným důvodem souvisejícím se společností, pokud jde o společníky, pro které jsou takovéto informace požadovány.

25

Za těchto podmínek se Amtsgericht München (Okresní soud v Mnichově, Německo) rozhodl přerušit tato dvě původní řízení a položit Soudnímu dvoru následující totožné předběžné otázky:

26

Rozhodnutím ze dne 23. září 2022 přerušil předseda Soudního dvora toto řízení až do vydání konečného rozhodnutí ve věci C‑252/21.

27

V souladu s rozhodnutím předsedy Soudního dvora ze dne 7. července 2023 soudní kancelář zaslala předkládajícímu soudu rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě) (C‑252/21, EU:C:2023:537), a vyzvala jej, aby jí sdělil, zda s ohledem na tento rozsudek zcela nebo zčásti trvá na svých žádostech o rozhodnutí o předběžné otázce.

28

Dopisem ze dne 4. srpna 2023, došlým kanceláři Soudního dvora téhož dne, tento soud uvedl, že trvá na svých žádostech o rozhodnutí o předběžné otázce.

29

Podstatou otázek předkládajícího soudu, kterými je třeba se zabývat společně, je, zda čl. 6 odst. 1 první pododstavec písm. b) a f) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů spočívající v poskytnutí, na žádost společníka investičního fondu zřízeného ve formě osobní společnosti nabízející investiční podíly široké veřejnosti, informací o všech společnících vlastnících nepřímé podíly na tomto fondu prostřednictvím svěřeneckých společností, nezávisle na velikosti jejich podílu na kapitálu uvedeného fondu, za účelem navázání kontaktu s nimi a vyjednávání o odkoupení jejich obchodních podílů nebo za účelem se s nimi koordinovat s cílem dosáhnout společného projevu vůle v rámci rozhodování společníků, lze považovat za nezbytné pro splnění smlouvy, jejíž smluvními stranami jsou subjekty údajů ve smyslu písmene b), nebo pro účely oprávněných zájmů správce či třetí strany ve smyslu písmene f).

30

Vzhledem k tomu, že z žádostí o rozhodnutí o předběžné otázce vyplývá, že se předkládající soud táže na soulad povinnosti poskytnout takovéto údaje, která v německém právu vyplývá z judikatury vnitrostátních soudů, s GDPR, je třeba přeformulovat položené otázky tak, že se vztahují i na výklad čl. 6 odst. 1 prvního pododstavce písm. c) tohoto nařízení, a vycházet z toho, že se předkládající soud svými otázkami táže i na to, zda lze u takovéhoto poskytnutí vycházet z toho, že vyplývá z právní povinnosti, která se vztahuje na správce.

31

Za účelem odpovědi na tyto otázky je třeba úvodem připomenout, že cíl sledovaný GDPR spočívá, jak vyplývá z jeho článku 1, jakož i z bodů 1 a 10 jeho odůvodnění, zejména v zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí v souvislosti se zpracováním osobních údajů, zakotveného v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU (rozsudek ze dne 7. března 2024, IAB Europe,C‑604/22, EU:C:2024:214, bod 53 a citovaná judikatura).

32

V souladu s tímto cílem musí být každé zpracování osobních údajů zejména v souladu se zásadami zpracování takovýchto údajů uvedenými v článku 5 tohoto nařízení a musí splňovat podmínky zákonnosti zpracování uvedené v článku 6 téhož nařízení [v tomto smyslu viz rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 208, a ze dne 11. července 2024, Meta Platforms Ireland (Zástupná žaloba),C‑757/22, EU:C:2024:598, bod 49].

33

V této souvislosti je třeba zdůraznit, že podle čl. 5 odst. 1 písm. a) GDPR musí být osobní údaje ve vztahu k subjektu údajů zpracovávány korektně, zákonným a transparentním způsobem.

34

Konkrétně, pokud jde o podmínky zákonnosti zpracování, Soudní dvůr rozhodl, že čl. 6 odst. 1 první pododstavec GDPR stanoví taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí tedy jít o jeden z případů stanovených v tomto ustanovení [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 90].

35

S ohledem na zvláštnosti sporů v původních řízeních je kromě toho třeba uvést, že tento čl. 6 odst. 1 první pododstavec sám o sobě neukládá povinnost, ale omezuje se na vyjádření možnosti provádět zpracování osobních údajů v případech, které vyjmenovává (obdobně viz rozsudek ze dne 4. května 2017, Rīgas satiksme,C‑13/16, EU:C:2017:336, bod 26).

36

Podle čl. 6 odst. 1 prvního pododstavce písm. a) GDPR je zpracování osobních údajů zákonné, pokud subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu. Bez takového souhlasu, nebo pokud tento souhlas nebyl udělen svobodně, konkrétně, informovaným a jednoznačným způsobem ve smyslu čl. 4 bodu 11 tohoto nařízení, je takové zpracování přesto odůvodněné, pokud splňuje jeden z požadavků nezbytnosti uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) uvedeného nařízení.

37

V této souvislosti musí být odůvodnění stanovená v posledně uvedeném ustanovení – jelikož mohou vést k tomu, že zpracování osobních údajů bude zákonné i bez souhlasu subjektu údajů – vykládána restriktivně [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 93 a citovaná judikatura].

38

Soudní dvůr mimoto judikoval, že je-li možné konstatovat, že zpracování osobních údajů je nezbytné z některého z důvodů stanovených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) GDPR, není třeba zjišťovat, zda se na toto zpracování vztahuje i nějaký další z těchto důvodů [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 94 a citovaná judikatura].

39

Soudní dvůr rovněž judikoval, že podle článku 5 GDPR je na správci, aby prokázal, že tyto údaje jsou shromažďovány zejména pro určité, výslovně vyjádřené a legitimní účely a jsou ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem. Kromě toho podle čl. 13 odst. 1 písm. c) tohoto nařízení platí, že pokud se osobní údaje získávají od subjektu údajů, je správce povinen informovat subjekt údajů o účelech zpracování, pro které jsou tyto údaje určeny, a o právním základu tohoto zpracování [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 95].

40

V projednávané věci ze spisu předloženého Soudnímu dvoru vyplývá, že společníci vlastnící nepřímé podíly v dotčených investičních fondech prostřednictvím svěřeneckých společností neposkytli svůj souhlas ve smyslu čl. 6 odst. 1 prvního pododstavce písm. a) GDPR k tomu, aby žalované ve věcech v původních řízeních poskytly jejich osobní údaje třetím stranám, zejména společnostem HTB a Ökorenta.

41

Za těchto podmínek je třeba za účelem odpovědi na položené otázky ověřit, zda se lze ustanovení čl. 6 odst. 1 prvního pododstavce písm. b) a f) tohoto nařízení, kterých se konkrétně týkají žádosti o rozhodnutí o předběžné otázce, dovolávat za účelem odůvodnění případného poskytnutí takovýchto údajů těmto třetím stranám.

42

Pokud jde zaprvé o čl. 6 odst. 1 první pododstavec písm. b) GDPR, ten stanoví, že zpracování osobních údajů je zákonné, pokud je „nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy“.

43

V této souvislosti již Soudní dvůr judikoval, že aby bylo zpracování osobních údajů považováno za nezbytné pro splnění smlouvy ve smyslu tohoto ustanovení, musí být objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí smluvního plnění určeného subjektu údajů. Správce tedy musí být schopen prokázat, proč by bez daného zpracování nemohlo být dosaženo hlavního předmětu smlouvy [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 98].

44

Jak totiž již Soudní dvůr rovněž judikoval, pro účely uplatnění odůvodnění uvedeného v čl. 6 odst. 1 prvním pododstavci písm. b) GDPR je rozhodující, že zpracování osobních údajů prováděné správcem je zásadní pro správné splnění smlouvy uzavřené mezi správcem a subjektem údajů, a tudíž neexistují jiná proveditelná a méně omezující řešení [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 99].

45

V projednávaném případě z předkládacích rozhodnutí vyplývá, že smlouvy o nabytí podílů a o svěřenecké činnosti dotčené ve věcech v původních řízeních, na základě kterých byly v dotčených investičních fondech nabyty nepřímé účasti, výslovně stanoví zákaz sdělovat údaje o nepřímých investorech ostatním držitelům podílů.

46

V této souvislosti je třeba uvést, že základní charakteristikou nabytí nepřímého podílu prostřednictvím svěřenecké společnosti v investičním fondu nabízejícím investiční podíly široké veřejnosti je právě anonymita společníků, a to i ve vztazích mezi samotnými společníky. Jinými slovy, právě s ohledem na důvěrné zacházení s jejich údaji investičním fondem se osoby rozhodly pro finanční investici do takovéhoto fondu ve formě podílu vlastněného prostřednictvím svěřeneckých společností.

47

S výhradou ověření předkládajícím soudem proto zpracování osobních údajů, které spočívá v poskytnutí informací týkajících se společníků vlastnících nepřímé podíly prostřednictvím svěřeneckých společností na investičním fondu nabízejícím investiční podíly široké veřejnosti, nelze považovat za „nezbytné pro splnění smlouvy“ ve smyslu čl. 6 odst. 1 prvního pododstavce písm. b) GDPR, pokud smlouva, na jejímž základě došlo k nabytí takovéhoto podílu, výslovně vylučuje poskytnutí těchto údajů ostatním držitelům podílů.

48

Pokud jde zadruhé o čl. 6 odst. 1 první pododstavec písm. f) GDPR, ten stanoví, že zpracování osobních údajů je zákonné, pokud je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů.

49

Jak již Soudní dvůr judikoval, toto ustanovení stanoví tři kumulativní podmínky pro to, aby bylo zpracování osobních údajů, na které se vztahuje, zákonné, a to zaprvé sledování oprávněného zájmu správce nebo třetí strany, zadruhé nezbytnost zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu a zatřetí podmínku, že před tímto zájmem nemají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 106 a citovaná judikatura].

50

Pokud jde zaprvé o podmínku týkající se sledování „oprávněného zájmu“, je třeba uvést, že vzhledem k tomu, že tento pojem není v GDPR definován, lze, jak již Soudní dvůr rozhodl, za oprávněný zájem v zásadě považovat širokou škálu zájmů [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení),C‑26/22 a C‑64/22, EU:C:2023:958, bod 76].

51

Pokud jde zadruhé o podmínku týkající se nezbytnosti zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu, ta předkládajícímu soudu ukládá, aby ověřil, že sledovaného oprávněného zájmu na zpracování údajů nemůže být rozumně dosaženo stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv a svobod subjektů údajů, zejména pak práv na respektování soukromého života a na ochranu osobních údajů, které jsou zaručeny články 7 a 8 Listiny [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení),C‑26/22 a C‑64/22, EU:C:2023:958, bod 77 a citovaná judikatura].

52

V této souvislosti je třeba rovněž připomenout, že podmínka nezbytnosti zpracování údajů musí být posuzována společně se zásadou „minimalizace údajů“ zakotvenou v čl. 5 odst. 1 písm. c) GDPR, podle kterého musí být osobní údaje „přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány“ [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 109 a citovaná judikatura].

53

Konečně, pokud jde zatřetí o podmínku, že zájmy nebo základní práva a svobody subjektu, na který se vztahuje ochrana údajů, nemají přednost před oprávněným zájmem správce nebo třetí osoby, Soudní dvůr již rozhodl, že tato podmínka zahrnuje vyvážení protichůdných práv a zájmů, které v zásadě závisí na konkrétních okolnostech každého jednotlivého případu, a je tedy na předkládajícím soudu, aby toto vyvážení provedl s přihlédnutím k těmto specifickým okolnostem [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 110 a citovaná judikatura].

54

Kromě toho, bod 47 odůvodnění GDPR uvádí, že by zájmy a základní práva subjektu údajů mohly mít přednost před zájmy správce údajů zejména tehdy, jestliže ke zpracování osobních údajů dochází za okolností, kdy subjekty údajů jejich další zpracování důvodně neočekávají [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 112].

55

Ačkoli je v konečném důsledku na předkládajícím soudu, aby posoudil, zda jsou v souvislosti se zpracováním osobních údajů, o které se jedná ve věcech v původních řízeních, splněny všechny tři podmínky připomenuté v bodě 49 tohoto rozsudku, Soudní dvůr může při rozhodování o předběžné otázce poskytnout upřesnění, která povedou tento soudu při jeho posuzování [rozsudky ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 96 a ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení),C‑26/22 a C‑64/22, EU:C:2023:958, bod 81 a citovaná judikatura].

56

Pokud jde v projednávané věci zaprvé o podmínku týkající se sledování oprávněného zájmu správcem nebo třetí osobou ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, předkládající soud odkazuje na zájem třetí strany, tedy na zájem společníka, který vlastní nepřímý podíl na investičním fondu založeném ve formě komanditní společnosti, která nabízí investiční podíly široké veřejnosti, získat osobní údaje týkající se ostatních nepřímých společníků této společnosti za účelem navázání kontaktu s těmito společníky nebo s nimi vyjednávat o odkoupení jejich obchodních podílů nebo za účelem koordinovat se s nimi s cílem dosáhnout společného projevu vůle v rámci rozhodování všech společníků.

57

Je třeba konstatovat, že takovýto zájem v zásadě může představovat oprávněný zájem na poskytnutí osobních údajů ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, zejména s ohledem na postavení takovéto společnosti, jak vyplývá z vnitrostátního práva dotyčného členského státu, a to bez ohledu na rozsahu podílu a práv, které má ve společnosti společník, který podal žádost o poskytnutí. Je však na předkládajícím soudu, aby v každém jednotlivém případě posoudil existenci takovéhoto zájmu s přihlédnutím k použitelnému právnímu rámci a všem okolnostem věci.

58

V případě existence takovéhoto oprávněného zájmu správce dále musí, aby mu sledování tohoto zájmu mohlo umožnit zpracování osobních údajů podle čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, dodržet všechny ostatní povinnosti, které pro něj vyplývají z tohoto nařízení.

59

Zadruhé, pokud jde o podmínku týkající se nezbytnosti tohoto zpracování pro uskutečnění uvedeného zájmu a zejména existenci prostředků, které méně zasahují do základních práv a svobod subjektů údajů a jsou rovněž vhodné, je třeba konstatovat, že by mimo jiné bylo možné, aby společník investičního fondu, které chce získat informace týkající se jiného společníka, který má nepřímý podíl na tomto fondu prostřednictvím svěřenecké společnosti, požádal přímo uvedený fond nebo tuto společnost o postoupení jeho žádosti dotčenému společníkovi s cílem seznámit se s ním nebo si s ním vyměnit názor. Tento posledně uvedený by se poté mohl svobodně rozhodnout, zda má zájem navázat kontakt se společníkem, který o to požádal, nebo zda upřednostňuje této žádosti nevyhovět a zachovat si svou anonymitu. Takovéto řešení by mohlo být použito i v případě, kdy si společník, který žádá o poskytnutí informací, přeje zahájit s jiným společníkem jednání o odkoupení jeho podílů nebo se s ním koordinovat s cílem dosáhnout společného projevu vůle v rámci rozhodování všech společníků.

60

Toto řešení by kromě toho umožnilo společníkovi, jehož se žádost o informace týká, v souladu se zásadou minimalizace údajů uvedenou v bodě 52 tohoto rozsudku, zachovat si kontrolu nad zpřístupněním svých osobních údajů, a omezit tak jejich poskytnutí jinému společníkovi na to, co je skutečně nezbytné a relevantní s ohledem na účely, pro které jsou uvedené údaje požadovány a zpracovávány.

61

Nelze tedy vyloučit, že takový postup, jako je ten, který je popsán v předchozím bodě, může být považován za opatření představující menší zásah do práva subjektu údajů na ochranu důvěrnosti osobních údajů a zároveň umožňuje správci, aby stejně účinně sledoval oprávněný zájem dotyčné třetí strany, což však přísluší ověřit předkládajícímu soudu.

62

Zatřetí, pokud jde o zvážení zájmů, které musí provést předkládající soud s ohledem na konkrétní okolnosti projednávané věci, tento soud musí zohlednit zejména rozumná očekávání subjektu údajů a rozsah předmětného zpracování a jeho dopad na tuto osobu [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 116].

63

Z toho vyplývá, že v rámci takovéhoto zvážení nelze na straně jedné v zásadě vyloučit, že poskytnutí osobních údajů společníků osobní společnosti, byť i nepřímých, jiným společníkům, může případně sloužit hospodářským zájmům každého z nich, a tedy i zájmům nepřímých společníků, k jejichž osobním údajům chtějí mít ostatní společníci přístup.

64

Na straně druhé však nelze vyloučit ani to, že zájem společníků vlastnících nepřímý podíl na investičním fondu na tom, aby jejich osobní údaje zůstaly důvěrné, může převážit nad zájmem ostatních společníků, kteří chtějí získat jejich kontaktní údaje. Z tohoto hlediska je třeba přiznat zvláštní význam skutečnosti, že zejména s ohledem na smluvní ustanovení, o nichž se hovoří v bodě 45 tohoto rozsudku, je pravděpodobné, že nepřímí společníci takovéhoto investičního fondu nemohli v době získání jejich osobních údajů rozumně očekávat, že tyto údaje budou poskytnuty třetím osobám, v projednávané věci dalším nepřímým společníkům tohoto investičního fondu.

65

Ze všech výše uvedených úvah a s výhradou posouzení předkládajícím soudem vyplývá, že lze pochybovat o tom, zda takové zpracování osobních údajů, jako je poskytnutí informací požadovaných žalobkyněmi v původních řízeních, může být odůvodněno oprávněným zájmem ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR.

66

Pokud jde zatřetí o čl. 6 odst. 1 první pododstavec písm. c) GDPR, ten stanoví, že zpracování osobních údajů je zákonné, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje.

67

Článek 6 odst. 3 GDPR v této souvislosti zejména upřesňuje, že zpracování musí být založeno na unijním právu nebo na právu členského státu, které se na správce vztahuje, a tento právní základ musí splňovat cíl veřejného zájmu a být přiměřený sledovanému legitimnímu cíli [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 128].

68

Kromě toho, jak je uvedeno v bodě 41 odůvodnění tohoto nařízení, odkazy v tomto nařízení na právní základ či legislativní opatření neznamenají nutně legislativní akt přijatý parlamentem, aniž jsou dotčeny požadavky vyplývající z ústavního řádu dotčeného členského státu. Tento právní základ či legislativní opatření by však měly být jasné a přesné a jejich použití by mělo být předvídatelné pro osoby, na něž se vztahují, jak to vyžaduje judikatura Soudního dvora a Evropského soudu pro lidská práva.

69

V projednávaném případě unijní právo neukládá takovým investičním fondům nebo svěřeneckým společnostem, jako jsou ty, o které se jedná ve věcech v původních řízeních, povinnost poskytnout osobní údaje společníků, kteří vlastní nepřímé podíly na těchto fondech.

70

Z žádostí o rozhodnutí o předběžné otázce dále vyplývá, že takovouto povinnost lze nicméně vyvodit, s výhradou ověření, které musí v této souvislosti provést předkládající soud, z judikatury Bundesgerichtshof (Spolkový soudní dvůr) a Oberlandesgericht München (Vrchní zemský soud v Mnichově), podle níž smluvní ujednání zaručující důvěrnost kontaktních údajů nepřímých společníků takové osobní společnosti nabízející investiční podíly široké veřejnosti, jako je ta, o kterou se jedná v původních řízeních, musí být považováno za neplatné, osobní údaje společníků vlastnících nepřímé podíly na investičním fondu zřízeném formou komanditní společnosti nabízející investiční podíly široké veřejnosti je tedy třeba poskytnout.

71

V této souvislosti je třeba uvést, že v souladu s tím, co je uvedeno v bodě 68 tohoto rozsudku, nelze vyloučit, že „právo členského státu, které se na správce vztahuje“ ve smyslu čl. 6 odst. 3 písm. b) GDPR zahrnuje rovněž vnitrostátní judikaturu.

72

Jak však vyplývá z bodu 41 odůvodnění tohoto nařízení, tato vnitrostátní judikatura musí být jasná a přesná a její použití musí být pro osoby, na něž se vztahuje, předvídatelné, jak to vyžaduje judikatura Soudního dvora.

73

Kromě toho je v souladu s judikaturou připomenutou v bodě 67 tohoto rozsudku ještě třeba, aby tato judikatura představovala právní základ odpovídající cíli veřejného zájmu, aby byla přiměřená a aby dotčené zpracování bylo prováděno v mezích toho, co je naprosto nezbytné, což přísluší ověřit předkládajícímu soudu [v tomto smyslu viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, body 134 a 138].

74

Tomuto soudu tedy přísluší zejména ověřit, zda neexistují opatření, která by, navzdory tomu, že umožňují zaručit požadavek transparentnosti mezi společníky osobních společností, který jak se zdá vyplývá z německého práva, jak bylo uvedeno v bodech 18 až 22 tohoto rozsudku, méně zasahovala do ochrany důvěrných osobních údajů nepřímých společníků komanditních společností nabízejících investiční podíly široké veřejnosti, než povinnost poskytnout tyto údaje všem ostatním společníkům, kteří o ně požádají.

75

S ohledem na výše uvedené je třeba na položené otázky odpovědět, že čl. 6 odst. 1 první pododstavec písm. b) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů spočívající v poskytnutí, na žádost společníka investičního fondu zřízeného ve formě osobní společnosti nabízející investiční podíly široké veřejnosti, informací o všech společnících vlastnících nepřímé podíly na tomto fondu prostřednictvím svěřeneckých společností, nezávisle na velikosti jejich podílu na kapitálu uvedeného fondu, za účelem navázání kontaktu s nimi a vyjednávání o odkoupení jejich obchodních podílů nebo za účelem koordinovat se s nimi s cílem dosáhnout společného projevu vůle v rámci rozhodování společníků, lze považovat za nezbytné ve smyslu tohoto ustanovení pro splnění smlouvy, na základě níž tito společníci tyto podíly získali, pouze pod podmínkou, že toto zpracování je objektivně nezbytné pro dosažení cíle, který je neoddělitelnou součástí smluvního plnění připadajícího na tyto společníky, takže bez tohoto zpracování by nebylo možné dosáhnout hlavního účelu smlouvy.Tak tomu není v případě, pokud tato smlouva výslovně vylučuje poskytnutí těchto osobních údajů ostatním držitelům podílů.

76

Článek 6 odst. 1 první pododstavec písm. f) GDPR musí být vykládán v tom smyslu, že takovéto zpracování může být považováno za nezbytné pro účely oprávněných zájmů třetí strany ve smyslu tohoto ustanovení, pouze za podmínky, že je toto zpracování nezbytně nutné k dosažení tohoto oprávněného zájmu a že s ohledem na všechny relevantní okolnosti nepřevažují zájmy nebo základní práva a svobody uvedených společníků nad tímto oprávněným zájmem.

77

Článek 6 odst. 1 první pododstavec písm. c) GDPR musí být vykládán v tom smyslu, že uvedené zpracování osobních údajů je podle tohoto ustanovení odůvodněné, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje podle práva dotčeného členského státu, tak, jak je upřesněno judikaturou tohoto členského státu, za podmínky, že tato judikatura je jasná a přesná, její použití je pro osoby, ne které se vztahuje, předvídatelné a odpovídá cíli veřejného zájmu a je v souvislosti s ním přiměřená.

78

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (čtvrtý senát) rozhodl takto: