–

HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG ved Rechtsanwälte M. Handlos og R. Veil,

–

Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG ved Rechtsanwalt U. Brinkmöller,

–

WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH og WealthCap Investorenbetreuung GmbH ved Rechtsanwälte N. Bartmann, U. Baumgartner og A. Höder,

–

Europa-Kommissionen ved A. Bouchagiar, M. Heller og H. Kranenborg, som befuldmægtigede,

1

Anmodningerne om præjudiciel afgørelse vedrører fortolkningen af artikel 6, stk. 1, første afsnit, litra b) og f), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Disse anmodninger er blevet fremsat i forbindelse med tvister dels mellem HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (herefter »HTB«) og Müller Rechtsanwaltsgesellschaft mbH (sag C-17/22), dels mellem på den ene side Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (herefter »Ökorenta«) og på den anden side WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH og WealthCap Investorenbetreuung GmbH (sag C-18/22).

3

1., 10., 39., 41., 47. og 48. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

[...]

[...]

[...]

4

Denne forordnings artikel 1 med overskriften »Genstand og formål« bestemmer i stk. 2:

»Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«

5

Den nævnte forordnings artikel 4 fastsætter:

»I denne forordning forstås ved:

[...]

[...]

[...]«

6

Samme forordnings artikel 5 med overskriften »Principper for behandling af personoplysninger« bestemmer følgende:

»1.   Personoplysninger skal:

[...]

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

7

Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« har følgende ordlyd:

»1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

[...]

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

2.   Medlemsstaterne kan opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af denne forordnings bestemmelser om behandling med henblik på overholdelse af stk. 1, litra c) og e), ved at fastsætte mere præcist specifikke krav til behandling og andre foranstaltninger for at sikre lovlig og rimelig behandling, herunder for andre specifikke databehandlingssituationer som omhandlet i kapitel IX.

3.   Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:

[...] EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.«

8

Forordningens artikel 13, stk. 1, bestemmer:

»Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

[…]

[…]«

9

§ 161 i Handelsgesetzbuch (lov om handel) i den affattelse, der finder anvendelse i på tvisterne i hovedsagerne, bestemmer:

»(1)   Et selskab, hvis formål er at drive en handelsvirksomhed under fælles firma, er et kommanditselskab, hvis en eller flere af selskabsdeltagernes hæftelse over for selskabets kreditorer er begrænset til et beløb svarende til et bestemt indskud af aktiver (kommanditister), mens en sådan begrænsning af hæftelsen ikke sker for den anden del af selskabsdeltagerne (personligt hæftende selskabsdeltagere).

(2)   Medmindre andet er fastsat i dette afsnit, finder bestemmelserne for interessentskaber anvendelse på kommanditselskaber.«

10

Denne lovs § 162, stk. 1, har følgende ordlyd:

»Anmeldelsen af selskabet skal foruden de i § 106, stk. 2, fastsatte oplysninger [(bl.a. hver enkelt selskabsdeltagers efternavn, fornavn, fødselsdato og bopæl)] indeholde kommanditisternes navne og størrelsen af hver enkelt kommanditists indskud. [...]«

11

§ 127a, stk. 1 og 3, i Aktiengesetz (lov om aktieselskaber) i den affattelse, der finder anvendelse på tvisterne i hovedsagerne, bestemmer:

»(1)   Aktionærer eller aktionærforeninger kan i aktionærforummet på Bundesanzeigers [(det tyske forbundstidende)] websted opfordre andre aktionærer til i fællesskab eller ved repræsentation at fremsætte en anmodning eller et krav i henhold til denne lov eller udøve stemmeretten på en generalforsamling.

[…]

(3)   Opfordringen kan henvise til oplysninger om den opfordrendes websted og dennes elektroniske adresse. [...]«

12

§ 33, stk. 1, første punktum, i Wertpapierhandelsgesetz (lov om handel med værdipapirer) i den affattelse, der finder anvendelse på tvisterne i hovedsagerne, bestemmer følgende:

»Den, som ved køb, salg eller på anden måde opnår, overskrider eller underskrider 3%, 5%, 10%, 15%, 20%, 25%, 30%, 50% eller 75% af stemmerettighederne på grundlag af aktier tilhørende den pågældende i en udsteder, der har Forbundsrepublikken Tyskland som oprindelsesland (anmeldelsespligtig), skal omgående meddele dette til udstederen og samtidig til [den tyske tilsynsmyndighed], senest inden for fire handelsdage under overholdelse af § 34, stk. 1 og 2. [...]«

13

Det fremgår af forelæggelsesafgørelserne, at HTB og Ökorenta er investeringsselskaber, som hver især indirekte ejer en andel i en investeringsfond gennem et formueforvaltningsselskab. Denne investeringsfond er organiseret som et kommanditselskab, dvs. et personselskab med offentlig deltagelse. Deltagelsen i disse kommanditselskaber har karakter af en økonomisk pengeinvestering. Når en sådan deltagelse er indirekte, udøver selskabsdeltagerne deres rettigheder gennem formueforvaltningsselskaber.

14

Sagsøgerne i hovedsagerne har anmodet de sagsøgte i hovedsagerne, som er formueforvaltningsselskaber, om at oplyse navn og adresse på alle deres selskabsdeltagere, der gennem formueforvaltningsselskaber indirekte ejer andele i de pågældende investeringsfonde.

15

De sagsøgte i hovedsagerne har modsat sig en sådan videregivelse, idet de er af den opfattelse, at de ønskede oplysninger har til formål at tjene sagsøgerne i hovedsagernes egne økonomiske interesser for at reklamere for egne investeringsprodukter, at vække bekymring hos investorer eller at købe deres andele under værdi og opnå gevinst gennem videresalg. Investerings- og forvaltningsaftalerne, i medfør af hvilke selskabsdeltagerne i de sagsøgte selskaber i hovedsagerne indirekte har erhvervet andele i de pågældende investeringsfonde, indeholder bestemmelser, der forbyder videregivelse af de nævnte oplysninger til andre indehavere af kapitalandele.

16

Sagsøgerne i hovedsagerne har benægtet at have sådanne hensigter og har gjort gældende, at de har ret til at tage kontakt til de andre kommanditister, der ejer kapitalandele i de pågældende investeringsfonde, bl.a. med henblik på at forhandle om køb af deres andele.

17

Den forelæggende ret har i det væsentlige fremhævet, at det i overensstemmelse med praksis fra Bundesgerichtshof (forbundsdomstol, Tyskland) og Oberlandesgericht München (den regionale appeldomstol i München, Tyskland) kan være obligatorisk at videregive de personoplysninger, som sagsøgerne i hovedsagerne har anmodet om. Den forelæggende ret har imidlertid anført, at eftersom denne retspraksis delvist ligger forud for databeskyttelsesforordningens ikrafttræden, skal der muligvis anlægges en anden vurdering heraf i det foreliggende tilfælde, henset til denne forordnings artikel 6, stk. 1, første afsnit, litra b) og f), hvis fortolkning er afgørende for løsningen af tvisterne i hovedsagerne.

18

Den forelæggende ret har navnlig gjort gældende, at det af Bundesgerichtshofs (forbundsdomstol) kendelse af 19. november 2019 (II ZR 263/18) fremgår, at i et personselskab, såsom et kommanditselskab, indgår en selskabsdeltagers ret til at kende de øvrige selskabsdeltageres navn og adresse i det »uundværlige kerneområde, der udgør selskabsdeltagernes rettigheder«. Dette gælder også for kommanditister, som kun er indirekte ejere af kapitalandele. Det er nemlig nødvendigt at kende alle de andre selskabsdeltagere, herunder dem, som indirekte ejer andele, for effektivt at kunne udnytte de rettigheder, der tilkommer hver enkelt selskabsdeltager i et personselskab med offentlig deltagelse. Det er således i overensstemmelse med de forpligtelser, som påhviler selskabet i medfør af den aftale, hvorved det blev stiftet, at videregive personoplysninger til andre selskabsdeltagere. Den eneste undtagelse fra retten til at få sådanne oplysninger i tysk ret består i et forbud mod retsmisbrug, som forbyder, at denne ret til information udøves ulovligt eller i en skadelig hensigt.

19

Ifølge Bundesgerichtshofs (forbundsdomstol) praksis er retsmisbrug under alle omstændigheder udelukket, når en investor søger at komme i kontakt med andre investorer med henblik på at drøfte spørgsmål, der vedrører selskabet, og eventuelt organisere et interessefællesskab mellem investorerne. Desuden er der ikke grundlag for at nægte at give oplysninger om en selskabsdeltager med den begrundelse, at der blot foreligger en abstrakt risiko for, at disse personoplysninger vil blive misbrugt. I øvrigt bør en selskabsdeltager have direkte adgang til oplysninger om de andre selskabsdeltagere uden at være afhængig af selskabets ledende organer.

20

Det fremgår ligeledes af denne retspraksis, at en sådan ret til oplysninger ikke kan tilsidesættes ved kontraktbestemmelser, idet der ellers ville ske en faktisk ophævelse af en af selskabsdeltagernes væsentligste rettigheder, nemlig retten til at indkalde til en ekstraordinær generalforsamling for selskabsdeltagerne, eftersom det nødvendige antal stemmeberettigede i denne forbindelse kun kan opnås af en selskabsdeltager, der har en lille kapitalandel, såfremt den pågældende slår sig sammen med andre selskabsdeltagere, hvilket nødvendigvis forudsætter, at vedkommende kender deres navn og adresse (Bundesgerichtshofs (forbundsdomstol) kendelse af 21.9.2009 (II ZR 264/08)). Det fremgår af den nævnte retspraksis, at 48. betragtning til databeskyttelsesforordningen ligeledes begrunder, at personoplysninger om alle selskabsdeltagere kan videregives inden for en koncern til en af disse selskabsdeltagere til interne administrative formål.

21

Ifølge den forelæggende ret er det således i Bundesgerichtshofs (forbundsdomstol) praksis blevet fastslået, at selskabsdeltagerne principielt har en ret til information, som kun begrænses af retsmisbrug.

22

Den forelæggende ret har ligeledes henvist til dom af 16. januar 2019 afsagt af Oberlandesgericht München (den regionale appeldomstol i München) (7 U 342/18), hvorefter hovedformålet med selskabsvedtægterne er at gennemføre selskabsdeltagernes rettigheder, herunder at styrke deres stilling i selskabet. Muligheden for at købe ejerandele udgør således en lovlig udøvelse af disse rettigheder, og videregivelsen af oplysninger om de andre selskabsdeltagere i denne henseende udgør en rimelig interesse. En sådan videregivelse kan kun nægtes, hvis den ikke har til formål at opfylde en rimelig interesse.

23

Den forelæggende ret er i tvivl om, hvorvidt Bundesgerichtshofs (forbundsdomstol) og Oberlandesgericht Münchens (den regionale appeldomstol i München) praksis er forenelig med EU-retten, for så vidt som den tillader en omfattende videregivelse af personoplysninger om selskabsdeltagere, der indirekte ejer andele i en investeringsfond, baseret på et rent formelt argument om, at de andre selskabsdeltagere har en interesse i at indhente sådanne oplysninger f.eks. med henblik på erhvervelse af kapitalandele.

24

Den forelæggende ret er nemlig af den opfattelse, at beskyttelsen af personoplysninger i henhold til EU-retten er hovedreglen, således at den undtagelse til dette princip, der bl.a. er fastsat i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b) og f), der gør det muligt at tillade videregivelse af disse oplysninger, skal være baseret på en »tilstrækkelig begrundelse«. Denne ret har endvidere anført, at der i tysk ret ikke findes nogen retlig forpligtelse til at offentliggøre oplysninger om de personer, der besidder andele i et formueforvaltningsselskab. Den forelæggende ret ønsker således oplyst, om retten til indsigt i oplysninger om selskabsdeltagere er betinget af dels, at der foreligger en bestemt tærskelværdi for kapitalandelen i lighed med det, der er fastsat i tysk ret for så vidt angår børsnoterede aktieselskaber, dels at der angives en konkret og præcis begrundelse, der vedrører selskabet, med hensyn til de selskabsdeltagere, hvorom der anmodes om sådanne oplysninger.

25

Under disse omstændigheder har Amtsgericht München (byretten i München, Tyskland) besluttet at udsætte de to hovedsager og forelægge Domstolen følgende præjudicielle spørgsmål:

26

Ved afgørelse af 23. september 2022 udsatte Domstolens præsident behandlingen af den foreliggende sag, indtil der forelå en endelig afgørelse i sag C-252/21.

27

I overensstemmelse med Domstolens præsidents afgørelse af 7. juli 2023 gav Justitskontoret den forelæggende ret meddelelse om dom af 4. juli 2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk) (C-252/21, EU:C:2023:537), idet Justitskontoret opfordrede den forelæggende ret til at oplyse, om den, henset til denne dom, helt eller delvist ønskede at opretholde sine anmodninger om præjudiciel afgørelse.

28

Ved skrivelse af 4. august 2023, indleveret til Domstolens Justitskontor samme dato, har denne ret oplyst, at den opretholder sine anmodninger om præjudiciel afgørelse.

29

Den forelæggende ret ønsker med de præjudicielle spørgsmål, som skal behandles samlet, nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b) og f), skal fortolkes således, at en behandling af personoplysninger, der består i efter anmodning fra en selskabsdeltager i en investeringsfond, som er oprettet i form af et personselskab med offentlig deltagelse, at videregive oplysninger om alle de selskabsdeltagere, der indirekte ejer kapitalandele i denne fond gennem formueforvaltningsselskaber, uafhængigt af, hvor stor en andel af den nævnte fonds kapital, de ejer, med henblik på at komme i kontakt og forhandle med dem om køb af deres kapitalandele eller koordinere med dem med henblik på at anlægge en fælles holdning i forbindelse med selskabsdeltagernes beslutninger, kan anses for at være nødvendig af hensyn til opfyldelsen af en kontrakt, som de registrerede er part i, i den forstand, hvori dette udtryk er anvendt i det nævnte litra b), eller for, at den dataansvarlige eller tredjemand kan forfølge en legitim interesse som omhandlet i dette litra f).

30

Da det af anmodningerne om præjudiciel afgørelse fremgår, at den forelæggende ret er i tvivl om, hvorvidt den forpligtelse til at videregive sådanne oplysninger, der i tysk ret følger af de nationale domstoles praksis, er i overensstemmelse med databeskyttelsesforordningen, skal de forelagte spørgsmål omformuleres således, at de vedrører fortolkningen af denne forordnings artikel 6, stk. 1, første afsnit, litra c), og det lægges til grund, at den forelæggende ret med sine spørgsmål ligeledes ønsker oplyst, om en sådan videregivelse kan anses for at hidrøre fra en retlig forpligtelse, som den dataansvarlige er underlagt.

31

Med henblik på at besvare disse spørgsmål skal det indledningsvis bemærkes, at det formål, der forfølges med databeskyttelsesforordningen, som det fremgår af dens artikel 1 samt første og tiende betragtning hertil, bl.a. består i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til privatliv i forbindelse med behandlingen af personoplysninger, som er fastsat i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF (dom af 7.3.2024, IAB Europe,C-604/22, EU:C:2024:214, præmis 53 og den deri nævnte retspraksis).

32

Ifølge dette formål skal enhver behandling af personoplysninger navnlig være i overensstemmelse med de principper for behandling af sådanne oplysninger, der er fastsat i denne forordnings artikel 5, og opfylde de betingelser for lovlighed, der er anført i denne samme forordnings artikel 6 (jf. i denne retning dom af 6.10.2020, La Quadrature du Net m.fl.,C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 208, og af 11.7.2024, Meta Platforms Ireland (Gruppesøgsmål), C-757/22, EU:C:2024:598, præmis 49).

33

I denne henseende skal det bemærkes, at personoplysninger i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra a), skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede.

34

Hvad navnlig angår betingelserne for lovlig behandling fastsætter databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, således som Domstolen har fastslået, en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig. For at kunne anses for at være lovlig skal behandlingen således være omfattet af et af de tilfælde, som er omhandlet i denne bestemmelse (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 90).

35

Henset til de særlige omstændigheder i tvisterne i hovedsagerne skal det endvidere bemærkes, at nævnte artikel 6, stk. 1, første afsnit, ikke i sig selv fastsætter en forpligtelse, men kun en adgang til at foretage en behandling af oplysninger i de tilfælde, der er nævnt deri (jf. analogt dom af 4.5.2017, Rīgas satiksme,C-13/16, EU:C:2017:336, præmis 26).

36

I medfør af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a), er behandling af personoplysninger lovlig, såfremt og i det omfang den registrerede har givet samtykke til et eller flere specifikke formål. Når der ikke foreligger et sådant samtykke, eller når samtykket ikke er blevet givet frivilligt, specifikt, informeret og utvetydigt som omhandlet i denne forordnings artikel 4, nr. 11), er en sådan behandling alligevel begrundet, hvis den opfylder et af de krav om nødvendighed, der er omtalt i den nævnte forordnings artikel 6, stk. 1, første afsnit, litra b)-f).

37

I denne henseende skal de begrundelser, der er fastsat i sidstnævnte bestemmelse, fortolkes indskrænkende, for så vidt som de giver mulighed for at gøre en behandling af personoplysninger, som foretages uden den registreredes samtykke, lovlig (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 93 og den deri nævnte retspraksis).

38

Som Domstolen har fastslået, er det, når det kan fastslås, at en behandling af personoplysninger er nødvendig i lyset af en af de begrundelser, der er fastsat i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b)-f), endvidere ikke nødvendigt at afgøre, om denne behandling ligeledes henhører under en anden af disse begrundelser (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 94 og den deri nævnte retspraksis).

39

Domstolen har endvidere fastslået, at det af databeskyttelsesforordningens artikel 5 følger, at den dataansvarlige skal bevise, at disse oplysninger bl.a. indsamles med de fastlagte udtrykkelige og legitime formål, og at de behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede. I henhold til denne forordnings artikel 13, stk. 1, litra c), påhviler det endvidere den dataansvarlige, når personoplysningerne indsamles fra den registrerede, at oplyse vedkommende om formålene med den behandling, som disse oplysninger skal bruges til, og retsgrundlaget for behandlingen (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 95).

40

I det foreliggende tilfælde fremgår det af de sagsakter, der er fremlagt for Domstolen, at de selskabsdeltagere, der gennem formueforvaltningsselskaber indirekte ejer andele i de pågældende investeringsfonde, ikke har givet deres samtykke som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a), med henblik på at gøre det muligt for de sagsøgte i hovedsagerne at videregive deres personoplysninger til tredjeparter, herunder bl.a. HTB og Ökorenta.

41

Under disse omstændigheder skal det med henblik på at besvare de forelagte spørgsmål efterprøves, om bestemmelserne i denne forordnings artikel 6, stk. 1, første afsnit, litra b) og f), som er specifikt omhandlet i anmodningerne om præjudiciel afgørelse, kan påberåbes med henblik på at begrunde en eventuel videregivelse af sådanne oplysninger til tredjemand.

42

I første række bestemmer databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), at behandling af personoplysninger er lovlig, når den er »nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt«.

43

I denne henseende har Domstolen allerede fastslået, at behandlingen af personoplysninger, for at den kan anses for at være nødvendig af hensyn til opfyldelse af en kontrakt som omhandlet i denne bestemmelse, skal være objektivt uundværlig for at gennemføre et formål, som er en integrerende del af den kontraktlige ydelse til den registrerede. Den dataansvarlige skal således kunne påvise, på hvilken måde kontraktens hovedformål ikke vil kunne opfyldes uden den pågældende behandling (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 98).

44

Domstolen har nemlig endvidere fastslået, at den afgørende faktor med henblik på anvendelsen af begrundelsen i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), er, at den dataansvarliges behandling af personoplysninger er væsentlig for at kunne opfylde den kontrakt, som er indgået mellem denne og den registrerede, korrekt, og dermed at der ikke findes andre mulige og mindre indgribende løsninger (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 99).

45

I det foreliggende tilfælde fremgår det af forelæggelsesafgørelserne, at de i hovedsagerne omhandlede investerings- og forvaltningsaftaler, i medfør af hvilke der er erhvervet indirekte kapitalandele i de pågældende investeringsfonde, udtrykkeligt fastsætter et forbud mod at videregive oplysninger om de indirekte investorer til andre indehavere af kapitalandele.

46

I denne henseende skal det bemærkes, at den omstændighed, at der indirekte gennem et formueforvaltningsselskab erhverves kapitalandele i en investeringsfond, i det væsentlige netop er kendetegnet ved, at selskabsdeltagerne er anonyme, herunder i forholdet mellem selskabsdeltagerne selv. Det er med andre ord under hensyntagen til investeringsfondens fortrolige behandling af deres oplysninger, at personerne vælger at foretage en økonomisk pengeinvestering i en sådan fond i form af en kapitalandel, der ejes gennem et formueforvaltningsselskab.

47

Med forbehold for den forelæggende rets efterprøvelse kan en behandling af personoplysninger, der består i videregivelse af oplysninger om de selskabsdeltagere, der gennem et formueforvaltningsselskab indirekte ejer kapitalandele i en investeringsfond med offentlig deltagelse, derfor ikke anses for at være »nødvendig af hensyn til opfyldelse af en kontrakt« som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), i det tilfælde, hvor den aftale, der ligger til grund for erhvervelsen af en sådan andel, udtrykkeligt udelukker videregivelse af disse oplysninger til andre indehavere af kapitalandele.

48

I anden række bestemmer databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), at en behandling af personoplysninger er lovlig, når den er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af disse personoplysninger, går forud herfor.

49

Som Domstolen allerede har fastslået, fastsætter denne bestemmelse tre kumulative betingelser for, at en behandling af personoplysninger er lovlig, nemlig for det første, at den dataansvarlige eller en tredjemand forfølger en legitim interesse, for det andet, at behandlingen af personoplysninger er nødvendig for at forfølge den legitime interesse, og for det tredje betingelsen om, at den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder ikke går forud for den dataansvarliges eller tredjemands legitime interesse (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 106 og den deri nævnte retspraksis).

50

Hvad for det første angår betingelsen om, at der forfølges en »legitim interesse«, skal det – i mangel af en definition af dette begreb i databeskyttelsesforordningen – fremhæves, således som Domstolen allerede har fastslået, at en bred vifte af interesser principielt kan anses for at være legitime (dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 76).

51

Hvad for det andet angår betingelsen om, at behandlingen af personoplysninger er nødvendig for at virkeliggøre den forfulgte legitime interesse, indebærer denne, at den forelæggende ret skal efterprøve, om den legitime interesse, som forfølges med behandlingen af personoplysninger, ikke med rimelighed kan beskyttes lige så effektivt ved andre midler, som er mindre indgribende i de registreredes grundlæggende friheder og rettigheder, navnlig retten til respekt for privatlivet og beskyttelse af personoplysninger som sikret ved chartrets artikel 7 og 8 (dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 77 og den deri nævnte retspraksis).

52

Det skal i denne henseende ligeledes bemærkes, at betingelsen om behandlingens nødvendighed skal undersøges sammen med princippet om såkaldt »dataminimering« i databeskyttelsesforordningens artikel 5, stk. 1, litra c), hvorefter personoplysningerne skal være »tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles« (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 109 og den deri nævnte retspraksis).

53

Hvad for det tredje angår betingelsen om, at de interesser eller grundlæggende rettigheder og frihedsrettigheder, som tilkommer den person, der er omfattet af beskyttelsen af oplysninger, ikke går forud for den legitime interesse, som forfølges af den dataansvarlige eller tredjemand, har Domstolen allerede fastslået, at denne betingelse indebærer en afvejning af de pågældende modstående rettigheder og interesser, som principielt afhænger af de konkrete omstændigheder i det enkelte tilfælde, og at det følgelig tilkommer den forelæggende ret at foretage denne afvejning under hensyn til disse konkrete omstændigheder (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 110 og den deri nævnte retspraksis).

54

Som det fremgår af 47. betragtning til databeskyttelsesforordningen, kan den registreredes interesser og grundlæggende rettigheder navnlig gå forud for den dataansvarliges interesser, når personoplysninger behandles under omstændigheder, hvor registrerede ikke med rimelighed forventer en sådan behandling (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 112).

55

Selv om det således i sidste ende tilkommer den forelæggende ret at vurdere, om de tre betingelser, der er nævnt i denne doms præmis 49, er opfyldt med hensyn til den i hovedsagerne omhandlede behandling af personoplysninger, kan Domstolen, når den træffer afgørelse i en præjudiciel sag, give nærmere oplysninger med henblik på at vejlede den forelæggende ret i dens afgørelse (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk),C-252/21, EU:C:2023:537, præmis 96, og af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 81 og den deri nævnte retspraksis).

56

Hvad i det foreliggende tilfælde for det første angår betingelsen om, at den dataansvarlige eller tredjemand skal forfølge en legitim interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), har den forelæggende ret henvist til en tredjemands interesse, dvs. interessen hos en selskabsdeltager, der indirekte ejer en kapitalandel i en investeringsfond, som er oprettet i form af et kommanditselskab med offentlig deltagelse, i at indhente personoplysninger om andre indirekte selskabsdeltagere i dette selskab med henblik på at komme i kontakt eller forhandle med dem om køb af kapitalandele eller koordinere med dem med henblik på at anlægge en fælles holdning i forbindelse med samtlige selskabsdeltageres beslutninger.

57

Det må konstateres, at en sådan interesse i princippet kan udgøre en legitim interesse i videregivelse af personoplysninger som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), navnlig henset til et sådant selskabs status, således som denne følger af den pågældende medlemsstats nationale ret, og uanset hvor stor en andel den selskabsdeltager, der har fremsat anmodningen om oplysninger, ejer i selskabet, og uanset omfanget af de beføjelser, som den pågældende har heri. Det tilkommer imidlertid den forelæggende ret i hvert enkelt tilfælde at vurdere, om der foreligger en sådan interesse, under hensyntagen til den gældende retlige ramme og samtlige omstændigheder i sagen.

58

Såfremt der foreligger en sådan legitim interesse, skal den dataansvarlige, for at forfølgelsen af denne interesse kan gøre det muligt at foretage behandling af personoplysninger i henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), desuden overholde alle de øvrige forpligtelser, der påhviler denne i medfør af denne forordning.

59

Hvad for det andet angår betingelsen om, at denne behandling er nødvendig for at virkeliggøre den nævnte interesse, og navnlig eksistensen af midler, som er mindre indgribende i de registreredes grundlæggende rettigheder eller frihedsrettigheder, og som er lige så egnede, skal det fastslås, at det bl.a. er muligt for en selskabsdeltager i en investeringsfond, der ønsker at indhente oplysninger om en anden selskabsdeltager, som indirekte deltager i denne fond gennem et formueforvaltningsselskab, direkte at anmode den nævnte fond eller dette selskab om at videresende den pågældendes anmodning til den relevante selskabsdeltager med henblik på at få kendskab til eller udveksle oplysninger med denne. Sidstnævnte kan derefter frit beslutte, om vedkommende ønsker at tage kontakt til den selskabsdeltager, der har anmodet om oplysningerne, eller om vedkommende foretrækker ikke at efterkomme en sådan anmodning og bevare sin anonymitet. En sådan løsning kan ligeledes anvendes i det tilfælde, hvor den selskabsdeltager, der har anmodet om oplysninger, ønsker at indlede forhandlinger med en anden selskabsdeltager om køb af denne sidstnævntes kapitalandele eller koordinere med den pågældende med henblik på at anlægge en fælles holdning i forbindelse med samtlige selskabsdeltageres beslutninger.

60

Denne løsning gør det i øvrigt muligt for den selskabsdeltager, som anmodningen om oplysninger vedrører, i overensstemmelse med princippet om dataminimering, der er nævnt i denne doms præmis 52, at bevare kontrollen med behandlingen af vedkommendes personoplysninger og således begrænse videregivelsen af disse oplysninger til en anden selskabsdeltager til, hvad der faktisk er nødvendigt og relevant i forhold til de formål, der ligger til grund for anmodningen om oplysninger, og i hvilken forbindelse disse oplysninger vil blive behandlet.

61

Det kan derfor ikke udelukkes, at en procedure som den, der er beskrevet i den foregående præmis i nærværende dom, kan anses for en foranstaltning, der indebærer et mindre indgreb i den registreredes ret til beskyttelse af fortroligheden af de personoplysninger, der vedrører den pågældende, og som samtidig gør det muligt for den dataansvarlige lige så effektivt at forfølge tredjemands legitime interesser, hvilket det imidlertid tilkommer den forelæggende ret at efterprøve.

62

Hvad for det tredje angår den afvejning af interesser, som den forelæggende ret skal foretage i lyset af de konkrete omstændigheder i sagen, skal denne ret tage hensyn til bl.a. den registreredes rimelige forventninger samt til omfanget af den pågældende behandling og behandlingens indvirkning på denne person (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 116).

63

Det følger heraf, at det inden for rammerne af en sådan afvejning principielt ikke kan udelukkes, at en selv indirekte videregivelse af personoplysninger om selskabsdeltagere i et personselskab til andre selskabsdeltagere i givet fald kan tjene hver enkelt deltagers økonomiske interesser og dermed ligeledes interesserne hos de indirekte selskabsdeltagere, hvorom disse andre selskabsdeltagere ønsker at få adgang til oplysninger.

64

Det kan endvidere heller ikke udelukkes, at den interesse, som de selskabsdeltagere, der indirekte ejer kapitalandele i en investeringsfond, har i, at deres personoplysninger forbliver fortrolige, kan gå forud for interessen hos de andre selskabsdeltagere, der ønsker at opnå førstnævntes kontaktoplysninger. I denne forbindelse skal der lægges særlig vægt på den omstændighed, at det, henset til bl.a. de kontraktbestemmelser, der er nævnt i nærværende doms præmis 45, er sandsynligt, at de indirekte selskabsdeltagere i en sådan investeringsfond ikke med rimelighed på tidspunktet for indsamlingen af deres personoplysninger kunne forvente, at disse oplysninger ville blive videregivet til tredjemand, i det foreliggende tilfælde til andre indirekte selskabsdeltagere i denne investeringsfond.

65

Det fremgår af samtlige ovenstående betragtninger og med forbehold af den forelæggende rets prøvelse, at det forekommer tvivlsomt, om en behandling af personoplysninger, såsom videregivelsen af de oplysninger, som sagsøgerne i hovedsagerne har anmodet om, kan begrundes i en legitim interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f).

66

I tredje række bestemmer databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), at behandlingen af personoplysninger er lovlig, hvis den er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.

67

Databeskyttelsesforordningens artikel 6, stk. 3, præciserer bl.a. i denne henseende, at behandlingen skal ske på grundlag af EU-retten eller lovgivningen i den medlemsstat, som den dataansvarlige er underlagt, og at dette retsgrundlag skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges (dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 128).

68

Som det fremgår af 41. betragtning til denne forordning, kræver det, når denne forordning henviser til et retsgrundlag eller en lovgivningsmæssig foranstaltning, desuden ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. Et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør være forudsigelig for personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra Domstolen og Den Europæiske Menneskerettighedsdomstol.

69

I det foreliggende tilfælde fastsætter EU-retten for det første ikke nogen forpligtelse for investeringsfonde eller formueforvaltningsselskaber som dem, der er omhandlet i hovedsagerne, til at videregive personoplysninger om selskabsdeltagere, der indirekte ejer kapitalandele i disse fonde.

70

For det andet følger det af anmodningerne om præjudiciel afgørelse, at en sådan forpligtelse – med forbehold af den efterprøvelse, som det tilkommer den forelæggende ret at foretage i denne henseende – ikke desto mindre kan udledes af retspraksis fra Bundesgerichtshof (forbundsdomstol) og Oberlandesgericht München (den regionale appeldomstol i München), hvorefter kontraktvilkår, der sikrer fortroligheden af kontaktoplysningerne vedrørende indirekte selskabsdeltagere i et personselskab med offentlig deltagelse, såsom de i hovedsagerne omhandlede, skal anses for ugyldige, hvilket indebærer, at personoplysninger om de selskabsdeltagere, der ejer indirekte kapitalandele i en investeringsfond, der er oprettet i form af et kommanditselskab med offentlig deltagelse, skal videregives.

71

I denne henseende skal det bemærkes, at det i overensstemmelse med det i nærværende doms præmis 68 anførte ikke kan udelukkes, at »medlemsstaternes nationale ret, som den dataansvarlige er underlagt«, i den forstand, hvori dette udtryk er anvendt i databeskyttelsesforordningens artikel 6, stk. 3, litra b), ligeledes omfatter national retspraksis.

72

Som det fremgår af 41. betragtning til denne forordning, kræves det imidlertid, at en sådan retspraksis er klar og præcis, og at de personer, der er omfattet heraf, kan forudse dens anvendelse i overensstemmelse med Domstolens praksis.

73

I overensstemmelse med den retspraksis, der er nævnt i nærværende doms præmis 67, skal denne retspraksis desuden udgøre et retsgrundlag, der opfylder et formål i samfundets interesse, og som står i rimeligt forhold hertil, og den pågældende behandling skal holdes inden for det strengt nødvendige, hvilket det påhviler den forelæggende ret at efterprøve (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 134 og 138).

74

Det tilkommer således den forelæggende ret bl.a. at afgøre, om der ikke findes foranstaltninger, der, samtidig med at de gør det muligt at sikre gennemsigtigheden mellem selskabsdeltagerne i personselskaber, således som det synes at følge af tysk ret, og således som det er anført i denne doms præmis 18-22, ville være mindre indgribende i beskyttelsen af de fortrolige personoplysninger, der vedrører indirekte selskabsdeltagere i kommanditselskaber med offentlig deltagelse, end forpligtelsen til at videregive disse oplysninger til enhver anden selskabsdeltager, der måtte anmode herom.

75

Henset til samtlige ovenstående betragtninger skal de forelagte spørgsmål besvares med, at databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b), skal fortolkes således, at en behandling af personoplysninger, der består i efter anmodning fra en selskabsdeltager i en investeringsfond, som er oprettet i form af et personselskab med offentlig deltagelse, at videregive oplysninger om alle de selskabsdeltagere, der gennem formueforvaltningsselskaber indirekte ejer kapitalandele i denne fond, uafhængigt af, hvor stor en andel af denne fonds kapital, de ejer, med henblik på at komme i kontakt og forhandle med dem om køb af deres kapitalandele eller koordinere med dem med henblik på at anlægge en fælles holdning i forbindelse med selskabsdeltagernes beslutninger, kun kan anses for at være nødvendig i denne bestemmelses forstand for at opfylde den kontrakt, i henhold til hvilken disse selskabsdeltagere har erhvervet sådanne andele, såfremt denne behandling er objektivt uundværlig for at gennemføre et formål, som udgør en integrerende del af den kontraktlige ydelse til de samme selskabsdeltagere, således at kontraktens hovedgenstand ikke ville kunne nås uden denne behandling. Dette er ikke tilfældet, hvis denne kontrakt udtrykkeligt udelukker videregivelse af disse personoplysninger til andre indehavere af kapitalandele.

76

Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), skal fortolkes således, at en sådan behandling kun kan anses for at være nødvendig af hensyn til de legitime interesser, der forfølges af en tredjemand, i denne bestemmelses forstand, såfremt denne behandling er strengt nødvendig for at virkeliggøre en sådan legitim interesse, og såfremt de nævnte selskabsdeltageres interesser eller grundlæggende rettigheder og frihedsrettigheder, henset til samtlige relevante omstændigheder, ikke går forud for den samme legitime interesse.

77

Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), skal fortolkes således, at den nævnte behandling af personoplysninger er begrundet i henhold til denne bestemmelse, når den er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige i medfør af den pågældende medlemsstats lovgivning, således som denne er præciseret i denne medlemsstats retspraksis, forudsat at denne retspraksis er klar og præcis, at dens anvendelse er forudsigelig for de personer, der er omfattet heraf, og at den opfylder et formål i samfundets interesse og står i rimeligt forhold hertil.

78

Da sagens behandling i forhold til hovedsagernes parter udgør et led i de sager, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Fjerde Afdeling) for ret: