–

HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, genom M. Handlos och R. Veil, Rechtsanwälte,

–

Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, genom U. Brinkmöller, Rechtsanwalt,

–

WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH och WealthCap Investorenbetreuung GmbH, genom N. Bartmann, U. Baumgartner och A. Höder, Rechtsanwälte,

–

Europeiska kommissionen, genom A. Bouchagiar, M. Heller och H. Kranenborg, samtliga i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen av artikel 6.1 första stycket b och f i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelser i EUT L 127, 2018, s. 12 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).

2

Respektive begäran har framställts i mål mellan, för det första, HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (nedan kallat HTB) och Müller Rechtsanwaltsgesellschaft mbH (mål C‑17/22), och, för det andra, mellan, å ena sidan, Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (nedan kallat Ökorenta) och, å andra sidan, WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH och WealthCap Investorenbetreuung GmbH (mål C‑18/22).

3

Skälen 1, 10, 39, 41, 47 och 48 i dataskyddsförordningen har följande lydelse:

…

…

…

…

4

I artikel 2 i dataskyddsförordningen, med rubriken ”Syfte”, föreskrivs följande i punkt 1:

”Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.”

5

I artikel 4 i nämnda förordning föreskrivs följande:

”I denna förordning avses med

…

…

…”

6

I artikel 5 i dataskyddsförordningen, som har rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande:

”1.   Vid behandling av personuppgifter ska följande gälla:

…

2.   Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”

7

Artikel 6 i dataskyddsförordningen, med rubriken ”Laglig behandling av personuppgifter”, har följande lydelse:

”1.   Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

…

Led f i första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.

2.   Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.

3.   Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

… Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.”

8

I artikel 13.1 i förordningen föreskrivs följande:

”Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:

…

…”

9

I § 161 i Handelsgesetzbuch (handelslagen), i den lydelse som är tillämplig i förevarande mål (nedan kallad HGB), föreskrivs följande:

”1)   Ett bolag vars syfte är att bedriva näringsverksamhet under en gemensam firma är ett kommanditbolag, när en eller flera av bolagsmännens ansvar gentemot bolagets borgenärer begränsats till ett belopp som motsvarar dennes kapitalinsats (kommanditdelägare), medan de övriga delägarnas personliga ansvar inte begränsats (komplementärer).

2)   Såvitt inget annat föreskrivs i detta avsnitt tillämpas de bestämmelser som gäller för öppna handelsbolag även på kommanditbolag.”

10

I § 162 stycke 1 HGB föreskrivs följande:

”Registreringen av bolaget ska, utöver de uppgifter som anges i § 106 stycke 2 [bland annat varje bolagsmans efternamn, förnamn, födelsedatum och bostadsadress] innehålla uppgifter om kommanditdelägare och beloppet på deras respektive kapitalinsats. …”

11

I § 127a styckena 1 och 3 Aktiengesetz (aktiebolagslagen) (nedan kallad AktG), i den lydelse som är tillämplig i förevarande fall, föreskrivs följande:

”1)   Aktieägare eller sammanslutningar för aktieägare kan genom Bundesanzeigers [(Förbundsrepubliken Tysklands officiella tidning)] aktieägarforum uppmana andra aktieägare att gemensamt eller genom företrädare framställa en ansökan eller begäran enligt denna lag eller utöva sin rösträtt vid bolagsstämma.

…

3)   Uppmaningen kan innehålla en hänvisning till skälen till uppmaningen på initiativtagarens webbplats, samt till dennes e‑postadress. …”

12

I § 33 första stycket första meningen Wertpapierhandelsgesetz (lagen om handel med värdepapper, nedan kallad WpHG), i den lydelse som är tillämplig i förevarande mål, föreskrivs följande:

”Den som genom förvärv, överlåtelse eller på annat sätt uppnår, överstiger eller understiger 3 procent, 5 procent, 10 procent, 15 procent, 20 procent, 25 procent, 30 procent, 50 procent eller 75 procent av de röster som är knutna till aktier i en emittent i Förbundsrepubliken Tyskland (den anmälningsskyldige) ska omedelbart underrätta emittenten och anmäla detta till Bundesanstalt senast inom fyra dagar, med beaktande av § 34 styckena 1 och 2. …”

13

Det framgår av besluten om hänskjutande att HTB och Ökorenta är investmentbolag. Respektive bolag äger indirekt andelar i investeringsfonder genom ett förvaltningsbolag. Dessa investeringsfonder är organiserade i form av ett kommanditbolag, det vill säga ett bolag med personligt ansvar i vilket allmänheten kan förvärva andelar. Delägarskapet i kommanditbolaget är utformat som en finansiell investering. Om delägarskapet är indirekt utövar delägarna sina rättigheter genom förvaltningsbolag.

14

I förevarande fall framgår det av beslutet om hänskjutande att kärandena i de nationella målen har yrkat att svarandena, som är förvaltningsbolag, ska lämna ut namn och adress till samtliga delägare som, genom förvaltningsbolag, innehar indirekta andelar i de berörda investeringsfonderna.

15

Svarandena har motsatt sig utlämnande, eftersom de anser att de begärda uppgifterna är avsedda att tjäna kärandenas egna ekonomiska intressen, nämligen att göra reklam för sina egna investeringsprodukter, att skapa oro bland investerarna eller att köpa deras andelar till ett pris som understiger deras värde och att realisera en vinst genom att sälja dem vidare. De avtal om ägande och förvaltning i enlighet med vilka delägarna i svarandena förvärvat sina indirekta andelar i de berörda investeringsfonderna innehåller emellertid klausuler som förbjuder att dessa uppgifter kommuniceras till andra andelsinnehavare.

16

Svarandena i de nationella målen har förnekat att de har sådana avsikter och har gjort gällande sin rätt att kontakta andra kommanditdelägare som innehar andelar i de berörda investeringsfonderna, bland annat för att förhandla om förvärv av deras andelar.

17

Den hänskjutande domstolen har understrukit att enligt praxis från Bundesgerichtshof (Federala högsta domstolen, Tyskland) och Oberlandesgericht München (Münchens regionala överdomstol, Tyskland) kan det föreligga en skyldighet att lämna ut de personuppgifter som kärandena i de nationella målen har begärt. Den hänskjutande domstolen har emellertid påpekat att eftersom denna rättspraxis delvis meddelades innan dataskyddsförordningen trädde i kraft, är det möjligt att den skulle bedömas annorlunda i förevarande fall, med hänsyn till artikel 6.1 första stycket b och f i dataskyddsförordningen, vars tolkning är avgörande för utgången i det nationella målet.

18

Den hänskjutande domstolen har anfört att Bundesgerichtshof (Federala högsta domstolen, Tyskland) i sitt beslut av den 19 november 2019 (II ZR 263/18) slog fast att i bolag med personligt ansvar, såsom ett kommanditbolag, ingår en delägares rätt att få kännedom om de andra delägarnas namn och adress som ”en grundläggande rätt i kärnan i delägarnas rättigheter”. Denna rätt gäller även för kommanditdelägare som endast innehar indirekta andelar. Det är nämligen nödvändigt att känna till övriga delägare, inbegripet dem som indirekt innehar andelar, för att kunna utöva de rättigheter som varje delägare i ett bolag med personligt ansvar i vilket allmänheten kan förvärva andelar har. Utlämnandet av dessa personuppgifter till övriga delägare skulle således stämma överens med de skyldigheter som åvilar bolaget enligt det avtal som genom vilket bolaget bildats. Det enda undantaget från rätten att erhålla sådana uppgifter i tysk rätt består i ett förbud mot rättsmissbruk, enligt vilket det är förbjudet att utöva denna rätt på ett olagligt sätt eller i en skadlig avsikt.

19

Enligt Bundesgerichtshofs (Federala högsta domstolen) rättspraxis är rättsmissbruk under alla omständigheter uteslutet när en investerare försöker ta kontakt med andra investerare för att diskutera frågor som rör bolaget och, i förekommande fall, organisera en intressegemenskap mellan investerarna. Det finns inte heller anledning att vägra att lämna ut uppgifter om en delägare med motiveringen att blott en abstrakt risk föreligger för att dessa personuppgifter missbrukas. En delägare bör dessutom kunna få direkt tillgång till uppgifter om andra delägare i bolaget, utan att vara beroende av bolagets ledningsorgan.

20

Det framgår även av denna rättspraxis att en sådan rätt till information inte kan åsidosättas genom avtalsbestämmelser, utan att i praktiken avskaffa en väsentlig rättighet för delägarna, nämligen rätten att kalla till en extra bolagsstämma, eftersom en delägare som har en liten andel endast kan erhålla nödvändig beslutsförhet om han eller hon ansluter sig till andra delägare, vilket med nödvändighet förutsätter att vederbörande känner till deras namn och adress (Bundesgerichtshofs (Federala högsta domstolen) beslut av den 21 september 2009 – II ZR 264/08). Enligt Bundesgerichtshof motiverar även skäl 48 i dataskyddsförordningen att samtliga delägares personuppgifter, inom en koncern, kan överföras till en av dem för interna administrativa ändamål.

21

Enligt den hänskjutande domstolen följer det således av Bundesgerichtshofs (Federala högsta domstolen) praxis att delägarna i princip har en rätt till information som endast inskränks i fall av rättsmissbruk.

22

Den hänskjutande domstolen har även hänvisat till domen av den 16 januari 2019 från Oberlandesgericht München (Münchens regionala överdomstol, Tyskland) (7 U 342/18), enligt vilken huvudsyftet med bolagsavtalet är att utöva delägarnas rättigheter, inbegripet att stärka deras ställning i bolaget. Förvärv av bolagsandelar utgör således ett lagligt utövande av dessa rättigheter och utlämnandet av uppgifter om andra delägare för detta ändamål tillgodoser ett rimligt intresse. Utlämnandet av sådana uppgifter ska emellertid endast vägras om det inte tillgodoser ett rimligt intresse.

23

I förevarande fall hyser den hänskjutande domstolen tvivel om huruvida rättspraxis från Bundesgerichtshof (Federala högsta domstolen) och Oberlandesgericht München (Münchens regionala överdomstol) är förenlig med unionsrätten, eftersom den tillåter ett omfattande utlämnande av personuppgifter om delägare som innehar indirekta andelar i en investeringsfond, vilket i förekommande fall grundar sig på ett rent formellt påstående om att andra delägare har ett intresse av att erhålla sådana uppgifter, till exempel i syfte att förvärva andelar.

24

Den hänskjutande domstolen anser nämligen att enligt unionsrätten utgör skyddet av personuppgifter huvudregeln, vilket innebär att det undantag från denna princip som föreskrivs särskilt i artikel 6.1 första stycket b och f i dataskyddsförordningen och enligt vilket det är tillåtet att lämna ut sådana uppgifter, måste grunda sig på en ”tillräcklig motivering”. Den hänskjutande domstolen har dessutom hävdat att det i tysk rätt inte finns någon lagstadgad skyldighet att offentliggöra uppgifter om personer som innehar andelar i ett förvaltningsbolag. Den hänskjutande domstolen vill således få klarhet i huruvida en rätt att få tillgång till uppgifter om delägare inte borde vara villkorad av, för det första, innehav av en viss procentandel av andelar (i analogi med vad som föreskrivs i tysk rätt beträffande börsnoterade aktiebolag) och, för det andra av, ett konkret och tydligt skäl med koppling till det bolag vars delägares uppgifter begärs utlämnade.

25

Mot denna bakgrund beslutade Amtsgericht München (Distriktsdomstolen i München) att vilandeförklara de båda nationella målen och ställa följande identiska tolkningsfrågor till EU-domstolen:

26

Genom beslut av den 23 september 2022 vilandeförklarade domstolens ordförande målen i avvaktan på det slutliga avgörandet i mål C‑252/21.

27

I enlighet med beslutet av domstolens ordförande av den 7 juli 2023 delgav kansliet den hänskjutande domstolen domen av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, och uppmanade den hänskjutande domstolen att ange huruvida den, mot bakgrund av den domen, helt eller delvis önskade vidhålla sin begäran om förhandsavgörande.

28

Genom skrivelse av den 4 augusti 2023, som inkom till domstolens kansli samma dag, uppgav den hänskjutande domstolen att den vidhöll sin begäran om förhandsavgörande.

29

Den hänskjutande domstolen har ställt sina frågor, som ska prövas tillsammans, för att få klarhet i huruvida artikel 6.1 första stycket b och f i dataskyddsförordningen ska tolkas så, att en behandling av personuppgifter som består i att på begäran av en delägare i en investeringsfond – som bildats i form av ett bolag med personligt ansvar i vilken allmänheten kan förvärva andelar – lämna ut uppgifter om samtliga delägare som, genom förvaltningsbolag, innehar indirekta andelar i fonden oberoende av storleken på deras kapitalinsats i fonden, i syfte att kontakta dem och förhandla med dem om försäljning av deras andelar eller i syfte att samverka med dem för att uttrycka en gemensam vilja vid delägarnas beslutsfattande, kan anses nödvändig för att fullgöra ett avtal i vilket de registrerade är parter, i den mening som avses i led b, eller för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i den mening som avses i led f.

30

Det framgår av respektive begäran om förhandsavgörande att den hänskjutande domstolen vill få klarhet i huruvida den skyldighet att lämna ut sådana uppgifter som i tysk rätt följer av nationella domstolars praxis är förenlig med dataskyddsförordningen. De hänskjutna frågorna ska därför omformuleras så, att de även innefattar tolkningen av artikel 6.1 c i dataskyddsförordningen och den hänskjutande domstolen ska anses ha ställt sina frågor för att få klarhet i huruvida ett sådant utlämnande kan anses nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

31

För att besvara dessa frågor erinrar domstolen inledningsvis om att syftet med dataskyddsförordningen, såsom det framgår av artikel 1 samt skälen 1 och 10 i förordningen, bland annat består i att säkerställa en hög nivå på skyddet av fysiska personers grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privat- och familjelivet med avseende på behandling av personuppgifter, vilken är stadfäst i artikel 8.1 i stadgan och i artikel 16.1 FEUF (dom av den 7 mars 2024, IAB Europe, C‑604/22, EU:C:2024:214, punkt 53 och där angiven rättspraxis).

32

I enlighet med detta syfte ska all behandling av personuppgifter bland annat vara förenlig med de principer för behandling av sådana uppgifter som anges i artikel 5 i dataskyddsförordningen och uppfylla de villkor för laglig behandling av sådana uppgifter som räknas upp i artikel 6 i den förordningen (se, för ett liknande resonemang, dom av den 6 oktober 2020, La Quadrature du Net m.fl., C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 208, och dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan), C‑757/22, EU:C:2024:598, punkt 49).

33

Enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade.

34

Beträffande villkoren för laglig behandling av personuppgifter föreskrivs det i artikel 6.1 första stycket i dataskyddsförordningen en uttömmande och fullständig förteckning av de fall i vilka en behandling av personuppgifter kan anses laglig. För att en behandling ska anses vara laglig måste den således omfattas av något av de fall som föreskrivs i den bestämmelsen (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 90).

35

Med hänsyn till de särskilda omständigheterna i det nationella målet ska det dessutom påpekas att det i artikel 6.1 första stycket i dataskyddsförordningen inte i sig föreskrivs någon skyldighet, utan endast en möjlighet att behandla personuppgifter i de fall som räknas upp där (se, analogt, dom av den 4 maj 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punkt 26).

36

Enligt artikel 6.1 första stycket a i dataskyddsförordningen är behandling av personuppgifter laglig om och i den utsträckning som den registrerade har lämnat sitt samtycke till detta för ett eller flera särskilda ändamål. Har något sådant samtycke inte lämnats eller har samtycket inte lämnats på ett frivilligt, specifikt, informerat och otvetydigt sätt, i den mening som avses i artikel 4.11 i dataskyddsförordningen, är behandlingen trots detta laglig om den uppfyller någon av nödvändighetsgrunderna i artikel 6.1 första stycket b–f.

37

De grunder som föreskrivs i den bestämmelsen ska tolkas restriktivt, eftersom de innebär att en behandling av personuppgifter till vilken den registrerade inte har lämnat sitt samtycke blir laglig (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor) (C‑252/21, EU:C:2023:537, punkt 93 och där angiven rättspraxis).

38

Domstolen har dessutom funnit att när det går att konstatera att en behandling av personuppgifter är nödvändig enligt någon av laglighetsgrunderna i artikel 6.1 första stycket b–f i dataskyddsförordningen, så finns det inte anledning att pröva huruvida behandlingen även omfattas av någon annan laglighetsgrund (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 94 och där angiven rättspraxis).

39

Domstolen har även funnit att enligt artikel 5 i dataskyddsförordningen är det den personuppgiftsansvarige som ska kunna visa att personuppgifterna samlats in för särskilda, uttryckligt angivna och berättigade ändamål och att de behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Dessutom gäller enligt artikel 13.1 c i GDPR att den personuppgiftsansvarige, i samband med att personuppgifterna samlas in från den registrerade, ska informera vederbörande om ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 95).

40

I förevarande fall framgår det av de handlingar som getts in till domstolen att de delägare som, genom förvaltningsbolag, innehar indirekta andelar i de aktuella investeringsfonderna inte har lämnat sitt samtycke, i den mening som avses i artikel 6.1 första stycket a i dataskyddförordningen, till att svarandena i de nationella målen lämnar ut deras personuppgifter till utomstående, i synnerhet till HTB och Ökorenta.

41

Under dessa omständigheter ska det, för att besvara de frågor som ställts, prövas huruvida bestämmelserna i artikel 6.1 första stycket b och f i dataskyddsförordningen, vilka särskilt avses i begäran om förhandsavgörande, kan åberopas för att motivera att sådana uppgifter eventuellt lämnas ut till dessa utomstående.

42

I artikel 6.1 första stycket b i dataskyddsförordningen föreskrivs att en behandling av personuppgifter är laglig om ”den är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås”.

43

Domstolen har redan slagit fast att för att en behandling av personuppgifter ska anses vara nödvändig för att fullgöra ett avtal, i den mening som avses i denna bestämmelse, måste behandlingen vara objektivt oundgänglig för att uppnå ett ändamål som utgör en väsentlig beståndsdel av den tjänst som är avsedd för den registrerade. Den registeransvarige måste således kunna visa på vilket sätt avtalets huvudändamål inte skulle kunna uppnås utan den aktuella behandlingen (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 98).

44

Domstolen har nämligen även slagit fast att den avgörande faktorn vid tillämpningen av den laglighetsgrund som avses i artikel 6.1 första stycket b i dataskyddsförordningen är att den personuppgiftsansvariges behandling av personuppgifter är absolut nödvändig för det korrekta fullgörandet av det avtal som ingåtts mellan den personuppgiftsansvarige och den registrerade och, följaktligen, att det inte finns några andra praktiska lösningar som är mindre ingripande (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 99).

45

I förevarande fall framgår det av beslutet om hänskjutande att de investerings- och förvaltningsavtal som är aktuella i de nationella målen, enligt vilka indirekta andelar har förvärvats i de berörda investeringsfonderna, uttryckligen föreskriver ett förbud mot att lämna ut uppgifter om indirekta investerare till andra andelsinnehavare.

46

Domstolen påpekar härvidlag att det grundläggandet kännetecknet för förvärv, genom ett förvaltningsbolag, av indirekta andelar i en investeringsfond i vilken allmänheten kan förvärva andelar är just delägarnas anonymitet, inbegripet i förhållandena delägare emellan. Det är med andra ord med beaktande av investeringsfondens konfidentiella behandling av personuppgifter som personer väljer att placera pengar i en sådan fond i form av indirekt ägande genom ett förvaltningsbolag.

47

Med förbehåll för den hänskjutande domstolens prövning, kan följaktligen en behandling av personuppgifter, som består i utlämnande av uppgifter om delägare som, genom ett förvaltningsbolag, innehar indirekta andelar i en investeringsfond i vilken allmänheten kan förvärva andelar, inte anses vara ”nödvändig för att fullgöra ett avtal”, i den mening som avses i artikel 6.1 b i dataskyddsförordningen, när det avtal som ligger till grund för förvärvet av andelen uttryckligen förbjuder att dessa uppgifter lämnas ut till andra andelsinnehavare.

48

I artikel 6.1 första stycket f i dataskyddsförordningen föreskrivs att behandling av personuppgifter är laglig om den är ”nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn”.

49

I denna bestämmelse föreskrivs det tre kumulativa villkor för att personuppgiftsbehandling ska vara tillåten. För det första ska den personuppgiftsansvarige eller tredje part eftersträva ett berättigat intresse. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det aktuella berättigade intresset. För det tredje ska intressena eller de grundläggande fri- och rättigheterna för den person vars personuppgifter ska skyddas inte väga tyngre än den personuppgiftsansvariges eller tredje parts berättigade intresse (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 106 och där angiven rättspraxis).

50

För det första, beträffande villkoret att ett ”berättigat intresse” ska eftersträvas, ska det understrykas att detta begrepp inte definieras i dataskyddsförordningen och att, såsom domstolen redan har funnit, ett brett spektrum av intressen i princip kan anses vara berättigade (dom av den 7 december 2023,SCHUFA Holding (Skuldsanering), C‑26/22 och C‑64/22, EU:C:2023:958, punkt 76).

51

För det andra, beträffande villkoret att behandlingen måste vara nödvändig för att tillgodose det berättigade intresse som eftersträvas, innebär detta villkor att den hänskjutande domstolen ska kontrollera att det berättigade intresse som eftersträvas med behandlingen av personuppgifter inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd av personuppgifter som garanteras i artiklarna 7 och 8 i stadgan (dom av den 7 december 2023,SCHUFA Holding (Skuldsanering), C‑26/22 och C‑64/22, EU:C:2023:958, punkt 77 och där angiven rättspraxis).

52

Det ska i detta sammanhang även erinras om att villkoret om att behandlingen ska vara nödvändig ska prövas tillsammans med principen om ”uppgiftsminimering” i artikel 5.1 c i dataskyddsförordningen, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 109 och där angiven rättspraxis).

53

Beträffande, för det tredje, villkoret att den registrerades intressen och grundläggande fri- och rättigheter inte får väga tyngre än den personuppgiftsansvariges eller tredje parts berättigade intresse, har domstolen redan funnit att detta villkor innebär en avvägning mellan de aktuella rättigheter och intressen som står emot varandra, vilken i princip beror på de konkreta omständigheterna i det enskilda fallet. Det ankommer därför på den hänskjutande domstolen att bedöma dessa specifika omständigheter (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 110 och där angiven rättspraxis).

54

Det framgår dessutom av skäl 47 i dataskyddsförordningen att den registrerades intressen och grundläggande rättigheter i synnerhet kan väga tyngre än den personuppgiftsansvariges intressen när personuppgifter behandlas under omständigheter där registrerade inte rimligen kan förvänta sig någon sådan behandling (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 112).

55

Även om det således i sista hand ankommer på den nationella domstolen att avgöra huruvida de tre villkor som avses i punkt 49 ovan är uppfyllda med avseende på den behandling av personuppgifter som är i fråga i målen vid den nationella domstolen, så har EU-domstolen dock möjlighet, när den meddelar ett förhandsavgörande, att tillhandahålla klargöranden för att vägleda den nationella domstolen i dess bedömning (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 96 och dom av den 7 december 2023, SCHUFA Holding (Skuldsanering), C‑26/22 och C‑64/22, EU:C:2023:958, punkt 81 och där angiven rättspraxis).

56

Beträffande villkoret avseende ett berättigat intresse som eftersträvas av den personuppgiftsansvariges eller en tredje part, i den mening som avses i artikel 6.1 f i dataskyddsförordningen, har den hänskjutande domstolen nämnt en tredje parts intresse. Det är fråga om det intresse som en delägare till en indirekt andel i en investeringsfond i vilken allmänheten kan förvärva andelar har av att få personuppgifter avseende övriga delägare utlämnande, i syfte att kontakta dem, att förhandla med dem om förvärv av deras andelar eller att samverka med dem för att uttrycka en gemensam vilja vid delägarnas beslutsfattande.

57

Domstolen konstaterar att ett sådant intresse i princip kan utgöra ett berättigat intresse, i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen, att få personuppgifter utlämnande, bland annat med hänsyn till ett sådant bolags ställning, såsom denna följer av den berörda medlemsstatens nationella rätt, och oberoende av storleken på den andel och de befogenheter som den delägare som framställt begäran om utlämnande av uppgifterna innehar i bolaget. Det ankommer emellertid på den hänskjutande domstolen att från fall till fall bedöma huruvida ett sådant intresse föreligger med beaktande av tillämpliga bestämmelser och samtliga omständigheter i målet.

58

För det fall ett sådant berättigat intresse skulle anses föreligga krävs det dessutom för att uppnåendet av detta intresse ska innebära att behandlingen av personuppgifter är tillåten med stöd av artikel 6.1 första stycket f i dataskyddsförordningen, att den personuppgiftsansvarige iakttar övriga skyldigheter som åvilar vederbörande enligt den förordningen.

59

Beträffande villkoret att behandlingen av personuppgifter ska vara nödvändig för att tillgodose intresset i fråga och, i synnerhet huruvida det finns medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter som är lika lämpliga, konstaterar domstolen att det i synnerhet skulle vara möjligt för en delägare i en investeringsfond som vill få ut uppgifter om en annan delägare som, genom ett förvaltningsbolag, innehar en indirekt andel i fonden att direkt vända sig till fonden eller till förvaltningsbolaget och begära att fonden eller bolaget vidarebefordrar begäran till den berörda delägaren i syfte att lära känna eller utbyta synpunkter med vederbörande. Denne kan sedan fritt avgöra huruvida han eller hon vill ta kontakt med den delägare som begärt att få uppgifterna utlämnade eller om vederbörande föredrar att inte tillåta en sådan begäran och således bibehålla sin anonymitet. En sådan lösning skulle kunna tillämpas även i det fallet att den delägare som ansöker om att få uppgifterna utlämnade vill inleda förhandlingar med en annan delägare om att förvärva dennes andelar eller samverka med vederbörande för att uttrycka en gemensam vilja i delägarnas beslutsfattande.

60

Denna lösning skulle dessutom göra det möjligt för den delägare som berörs av begäran om utlämnande att, i enlighet med den ovan i punkt 52 nämnda principen om uppgiftsminimering, bibehålla kontrollen över utlämnandet av dennes personuppgifter och sålunda begränsa utlämnandet av dessa uppgifter till en annan delägare till de fall där utlämnande är faktiskt nödvändigt och relevant med hänsyn till de ändamål för vilka uppgifterna begärs och behandlas.

61

Det kan således inte uteslutas att ett sådant förfarande som det som beskrivs i föregående punkt kan anses utgöra en åtgärd som är mindre ingripande i den registrerades rätt till skydd av konfidentialiteten för personuppgifter, samtidigt som den gör det möjligt för den personuppgiftsansvarige att på ett lika effektivt sätt tillgodose det berättigade intresset hos den berörda tredje parten – något som det emellertid ankommer på den hänskjutande domstolen att kontrollera.

62

Beträffande den intresseavvägning som det ankommer på den hänskjutande domstolen att göra med hänsyn till omständigheterna i det enskilda fallet, ska den domstolen bland annat beakta den registrerades rimliga förväntningar, omfattningen av den aktuella behandlingen och dess inverkan på den registrerade (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 116).

63

Av detta följer att det vid en sådan avvägning inte kan uteslutas, för det första, att kontakter mellan delägare, även indirekta delägare, i ett bolag med personligt ansvar i förekommande fall kan tjäna respektive delägares ekonomiska intressen och således även intressena för de delägare vilkas personuppgifter en annan delägare vill få tillgång till.

64

För det andra kan det inte heller uteslutas att det intresse som delägare som innehar en indirekt andel i en investeringsfond har av att deras personuppgifter förblir konfidentiella kan väga tyngre än det intresse som andra delägare som vill få ut de förstnämnda delägarnas kontaktuppgifter har. Särskild betydelse ska ur denna synvinkel tillmätas det faktum att det – bland annat mot bakgrund av de avtalsbestämmelser som nämns i punkt 45 ovan – är troligt att de indirekta delägarna i en sådan investeringsfond inte rimligen kunde förvänta sig, vid den tidpunkt då deras personuppgifter samlades in, att dessa uppgifter skulle lämnas ut till en tredje part – i förevarande fall andra indirekta delägare i investeringsfonden.

65

Det framgår av det anförda att, med förbehåll för den slutliga bedömning som det hänskjutande domstolen ska göra i detta avseende, det är tvivelaktigt huruvida en sådan behandling av personuppgifter, såsom utlämnandet av de uppgifter som begärts av kärandena i de nationella målen, kan vara motiverad av ett berättigat intresse, i den mening som avses i artikel 6.1 första stycket f i dataskyddsförordningen.

66

Beträffande artikel 6.1 första stycket c i dataskyddsförordningen, föreskrivs det i den bestämmelsen att behandling av personuppgifter är laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

67

I artikel 6.3 i dataskyddsförordningen preciseras bland annat att behandlingen ska ske på grundval av unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, och att denna rättsliga grund ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 128).

68

Såsom anges i skäl 41 i dataskyddsförordningen innebär det inte nödvändigtvis, när det i denna förordning hänvisas till en rättslig grund eller lagstiftningsåtgärd, att det är en lagstiftningsakt antagen av ett parlament som avses, utan att detta påverkar krav som uppställs i den konstitutionella ordningen i den berörda medlemsstaten. En sådan rättslig grund eller lagstiftningsåtgärd bör dock vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med rättspraxis från EU-domstolen och Europeiska domstolen för de mänskliga rättigheterna.

69

I förevarande fall föreskrivs det, för det första, inte i unionsrätten någon skyldighet för investeringsfonder eller förvaltningsbolag, såsom de som är aktuella i de nationella målen, att lämna ut personuppgifter om delägare som innehar indirekta andelar i sådana fonder.

70

För det andra framgår det av begäran om förhandsavgörande att en sådan skyldighet, med förbehåll för de kontroller som det ankommer på den hänskjutande domstolen att göra, skulle kunna härledas ur rättspraxis från Bundesgerichtshof (Federala högsta domstolen) och Oberlandesgericht München (Münchens regionala överdomstol). Enligt denna rättspraxis ska sådana avtalsklausuler som garanterar konfidentialiteten av kontaktuppgifterna för indirekta delägare i ett bolag med personligt ansvar i vilket allmänheten kan förvärva andelar, såsom de klausuler som är aktuella i de nationella målen, anses ogiltiga. I enlighet med denna praxis ska således personuppgifter avseende delägare som innehar indirekta andelar i en investeringsfond som bildats i form av ett kommanditbolag i vilket allmänheten kan förvärva andelar lämnas ut.

71

Det ska i detta hänseende påpekas att det, i enlighet med vad som anges i punkt 68 ovan, inte kan uteslutas att ”en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av”, i den mening som avses i artikel 6.3 b dataskyddsförordningen, även innefattar nationell rättspraxis.

72

Såsom framgår av skäl 41 i dataskyddsförordningen krävs det emellertid att en sådan rättspraxis är tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med rättspraxis från EU-domstolen.

73

Enligt den rättspraxis som det erinrats om i punkt 67 ovan krävs det dessutom att denna rättspraxis utgör en rättslig grund som motsvarar ett allmänt intresse, att den är proportionerlig och att behandlingen utförs inom ramarna för vad som är strängt nödvändigt, vilket det ankommer på den hänskjutande domstolen att kontrollera (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkterna 134 och 138).

74

Det ankommer således på den hänskjutande domstolen att i synnerhet avgöra huruvida det inte finns några åtgärder vilka, samtidigt som de gör det möjligt att säkerställa kravet på öppenhet mellan delägare i bolag med personligt ansvar, såsom detta förefaller följa av tysk rätt i enlighet med vad som angetts i punkterna 18–22 ovan, skulle vara mindre ingripande i skyddet av personuppgifterna för indirekta delägare i ett kommanditbolag i vilken allmänheten kan förvärva andelar, än skyldigheten att lämna ut personuppgifterna till andra delägare som har begärt att få tillgång till dem.

75

Mot bakgrund av det anförda ska tolkningsfrågorna besvaras enligt följande. Artikel 6.1 första stycket b i dataskyddsförordningen ska tolkas så, att en behandling av personuppgifter som består i att på begäran av en delägare i en investeringsfond – som bildats i form av ett bolag med personligt ansvar i vilken allmänheten kan förvärva andelar – lämna ut uppgifter om samtliga delägare som, genom förvaltningsbolag, innehar indirekta andelar i fonden oberoende av storleken på deras kapitalinsats i fonden, i syfte att kontakta dem och förhandla med dem om försäljning av deras andelar eller i syfte att samverka med dem för att uttrycka en gemensam vilja vid delägarnas beslutsfattande, endast kan anses nödvändig, i den mening som avses i den bestämmelsen, för att fullgöra det avtal enligt vilket delägarna förvärvat sina andelar under förutsättning att behandlingen är objektivt oundgänglig för att uppnå ett ändamål som utgör en väsentlig beståndsdel av den tjänst som är avsedd för delägarna, så att avtalets huvudändamål inte skulle kunna uppnås utan den aktuella behandlingen. Detta är inte fallet om avtalet uttryckligen utesluter att personuppgifter lämnas ut till andra andelsinnehavare.

76

Artikel 6.1 första stycket f i dataskyddsförordningen ska tolkas så, att en sådan behandling endast kan anses nödvändig för ändamål som rör en tredje parts berättigade intressen, i den mening som avses i den bestämmelsen, under förutsättning att behandlingen är absolut nödvändig för att tillgodose detta berättigade intresse och att, med hänsyn till samtliga relevanta omständigheter, berörda delägares grundläggande fri- och rättigheter inte väger tyngre än det berättigade intresset.

77

Artikel 6.1 första stycket c i dataskyddförordningen ska tolkas så, att nämnda behandling av personuppgifter är laglig med stöd av den bestämmelsen, när behandlingen i fråga är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige enligt den berörda medlemsstatens nationella rätt, såsom denna förtydligats i den medlemsstatens rättspraxis, under förutsättning att denna rättspraxis är tydlig och precis, dess tillämpning är förutsägbar för personer som omfattas av den och den tillgodoser ett mål av allmänt intresse och är proportionerlig i förhållande till detta mål.

78

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (fjärde avdelningen) följande: