Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten

Rechtssache C-798/24 [Jautiva] ()

A u. a.,

Beteiligte:

Latvijas Republikas Saeima

(Vorabentscheidungsersuchen der Latvijas Republikas Satversmes tiesa [Verfassungsgericht, Lettland])

I. Einleitung

1. Das vorliegende Vorabentscheidungsersuchen der Latvijas Republikas Satversmes tiesa (Verfassungsgericht, Lettland) () betrifft die Verpflichtung nach lettischem Recht, bestimmte einzeln aufgeführte Informationen zu den Aktionären () von Aktiengesellschaften () lettischen Rechts der breiten Öffentlichkeit zugänglich zu machen. Die in Rede stehenden Informationen können von „nicht identifizierten Nutzern“ auf der Internetseite des Unternehmensregisters eingesehen werden (). Daraus folgt, dass die Mitglieder der Öffentlichkeit kein berechtigtes Interesse an der Erlangung solcher Informationen nachweisen müssen.

2. Das vorlegende Gericht möchte wissen, ob die Verpflichtung, die in Rede stehenden Informationen zur Verfügung zu stellen, unionsrechtlich geboten ist. Daher fragt es den Gerichtshof, ob sich der Begriff der Personen, die „an der Verwaltung, Beaufsichtigung oder Kontrolle der Gesellschaft teilnehmen“ in Art. 14 Buchst. d Ziff. ii der Richtlinie (EU) 2017/1132 des Europäischen Parlaments und des Rates vom 14. Juni 2017 über bestimmte Aspekte des Gesellschaftsrechts () auf sämtliche Aktionäre einer Aktiengesellschaft bezieht und ob ein Mitgliedstaat verpflichtet ist, bestimmte Informationen zu jedem einzelnen Aktionär einer solchen Gesellschaft nach Art. 16 Abs. 3 dieser Richtlinie öffentlich zugänglich zu machen. Falls diese Informationen nach der Richtlinie 2017/1132 öffentlich zugänglich zu machen sind, soll geklärt werden, ob Art. 14 Buchst. d Ziff. ii dieser Richtlinie im Licht des durch Art. 7 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) gewährleisteten Rechts auf Achtung des Privat- und Familienlebens und des durch Art. 8 der Charta gewährleisteten Rechts auf Schutz personenbezogener Daten gültig ist.

3. Außerdem fragt die Latvijas Republikas Satversmes tiesa (Verfassungsgericht), ob Art. 5 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) () (im Folgenden: DSGVO) dahin auszulegen ist, dass er den Zugang der Öffentlichkeit zu diesen Informationen ohne den verpflichtenden Nachweis eines berechtigten Interesses an der Erlangung solcher Daten zur Erreichung bestimmter Zwecke zulässt, nämlich i) zur Gewährleistung eines transparenten Unternehmensklimas und zum Schutz der Interessen Dritter, ii) zur Verhinderung von Geldwäsche sowie von Terrorismus- und Proliferationsfinanzierung () und iii) zur Bereitstellung von Informationen, die zur Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der Europäischen Union benötigt werden. Insoweit stellt sich dem vorlegenden Gericht die Frage, ob diese Ziele vernünftigerweise nicht ebenso wirksam mit dem im lettischen Recht vorgesehenen Verfahren zur Beantragung des Zugangs zu eingeschränkt zugänglichen Informationen erreicht werden können ().

4. Außerdem stellt sich dem vorlegenden Gericht die Frage, ob die Erwägungen im Urteil Luxembourg Business Registers () – in dem der Gerichtshof entschieden hat, dass das unionsrechtliche Erfordernis, wonach die Mitgliedstaaten sicherstellen, dass die Informationen zu den wirtschaftlichen Eigentümern der in ihrem Gebiet eingetragenen Gesellschaften oder anderen juristischen Personen in allen Fällen für alle Mitglieder der Öffentlichkeit zugänglich sind, ungültig ist – auf die Offenlegung von Informationen zu allen Aktionären einer Aktiengesellschaft ungeachtet dessen übertragen werden können, dass der Umfang der Informationen und der Zweck der Offenlegung in beiden Sachverhalten unterschiedlich sind.

II. Rechtlicher Rahmen

A. Unionsrecht

5. Die Art. 7 und 8 und sowie Art. 52 Abs. 1 der Charta, die Erwägungsgründe 3, 7 und 8 sowie die Art. 14 und 16 der Richtlinie 2017/1132 sowie die Art. 5 und 6 DSGVO sind für die vorliegende Rechtssache von besonderem Belang.

B. Lettisches Recht

6. Art. 8 des Komerclikums (Handelsgesetzbuch) () trägt die Überschrift „Inhalt der Eintragungen im Handelsregister“. Art. 8 Abs. 3 Nrn. 3 und 4 bestimmt: „(3) Folgende Angaben zu einer Kapitalgesellschaft sind in das Handelsregister einzutragen: … 3) Vorname, Nachname, persönliche Identifizierungsnummer (in Ermangelung einer persönlichen Identifizierungsnummer: Geburtsdatum, Nummer und Ausstellungsdatum des Ausweises, Land und ausstellende Behörde) sowie die Stellung der Mitglieder des Vorstands der Kapitalgesellschaft und ihres Aufsichtsrats (sofern die Kapitalgesellschaft über einen solchen verfügt); 4) die Befugnis der Mitglieder des Vorstands, die Gesellschaft einzeln oder gemeinschaftlich zu vertreten“.

7. Art. 12 des Handelsgesetzbuchs („Veröffentlichung im Handelsregister“) sieht vor: „(1) Eintragungen im Handelsregister werden gegenüber Dritten im Zeitpunkt ihrer Veröffentlichung wirksam. … …“

8. In Art. 235 des Handelsgesetzbuchs („In das Aktionärsverzeichnis einzutragende Angaben“) heißt es: „(1) Jeder Eintrag in das Aktionärsverzeichnis gibt den Namen der Gesellschaft, die Registriernummer und den Rechtssitz an und enthält gegebenenfalls Angaben darüber, ob für die Gesellschaft ein Liquidations- oder Insolvenzverfahren eingeleitet worden ist, darüber hinaus enthält er die Überschrift ‚Eintrag im Aktionärsverzeichnis‘ und folgende Angaben: 1) das Aktenzeichen und das Eintragungsdatum; 2) die Eintragungsnummer unter Verwendung einer fortlaufenden Nummerierung, beginnend mit dem ersten Eintrag in das Aktionärsverzeichnis; 3) die Eintragungsnummern der Aktien; 4) Angaben über die Aktionäre: a) bei natürlichen Personen Vorname, Nachname, persönliche Identifizierungsnummer (in Ermangelung einer persönlichen Identifizierungsnummer: Geburtsdatum, Nummer und Ausstellungsdatum des Ausweises, Land und ausstellende Behörde) und Kontaktadresse, b) bei juristischen Personen und Personengesellschaften Name, Eintragungsnummer und Rechtssitz; 5) die E-Mail-Adresse des Aktionärs, sofern er darum ersucht hat, dass die Gesellschaft sie verwendet, um mit ihm zu kommunizieren; 6) die Kategorie, die Anzahl und den Nennwert der Aktien sämtlicher Aktionäre sowie die Anzahl der mit den Aktien verbundenen Stimmrechte; 7) den Status in Bezug auf die Bezahlung der Aktien; 8) den gemäß dem Verfahren nach Art. 157 des Handelsgesetzbuchs ernannten gemeinsamen Vertreter der Aktionäre mit den Angaben gemäß Abs. 1 Nrn. 4 und 5 dieses Artikels; 9) Angaben über die von der Gesellschaft selbst erworbenen Aktien unter Nennung der Gründe für den Erwerb. …“

9. Art. 4.10 Abs. 5, Art. 4.11 Abs. 1 Nr. 2, Art. 4.15 Abs. 1 Nr. 2 Buchst. b, Art. 4.15 Abs. 1 Nr. 3 Buchst. a, sowie Art. 4.15 Abs. 2, 3 und 4 des Likums „Par Latvijas Republikas Uzņēmumu reģistru“ (Gesetz über das Unternehmensregister der Republik Lettland) () (im Folgenden: Gesetz über das Unternehmensregister) bestimmen: „Art. 4.10 Recht auf Zugang zu Informationen im Unternehmensregister … Das Unternehmensregister stellt die in dem öffentlich zugänglichen Teil der Registerakte enthaltenen Angaben und Urkunden (Art. 4.15 Abs. 1) kostenlos im Wege der der Online-Datenübertragung (einschließlich Massendownload) zur Verfügung. … Art. 4.11 Auf der Internetseite des Unternehmensregisters zu veröffentlichende Informationen Das Unternehmensregister stellt sicher, dass nicht identifizierte Nutzer auf seiner Internetseite öffentlichen Zugang zu folgenden neuesten (aktuellen) Informationen zu juristischen Personen und zu in den vom Unternehmensregister geführten Registern eingetragenen rechtlichen Sachverhalten haben: … 2) weiteren im Register eingetragenen Angaben. … Art. 4.15 Öffentlich und nicht öffentlich zugängliche Teile der Registerakte Der öffentlich zugängliche Teil der Registerakte enthält: … 2) weitere im Register eingetragene Informationen: … b) Informationen, die sich aus der Eintragung der Gesellschafter (Aktionäre) einer Kapitalgesellschaft in das Verzeichnis der Gesellschafter (Aktionäre) zu den Gesellschaftern (Aktionären) dieser Gesellschaft ergeben … … 3) folgende Urkunden, die Teil der Registerakte sind: a) im Handelsregister – … den Eintrag im Verzeichnis der Gesellschafter (Aktionäre) … … Die Urkunden und Informationen, die Teil der Registerakte und nicht in Abs. 1 dieser Vorschrift genannt sind, gehören zum nicht öffentlich zugänglichen Teil der Registerakte. Wurde ein Eintrag im Register oder eine eingetragene Information als eingeschränkt zugängliche Information eingestuft oder wurde die Verfügbarkeit des Eintrags oder der eingetragenen Information für die Öffentlichkeit durch Rechtsvorschriften eingeschränkt, wird er bzw. sie in den nicht öffentlichen Teil der Registerakte aufgenommen. Bei den Informationen und Urkunden, die zum nicht öffentlichen Teil der Registerakte gehören (Abs. 2 und 3 dieses Artikels), handelt es sich um eingeschränkt zugängliche Informationen. Strafverfolgungsbehörden können sie zur Durchführung von in Rechtsvorschriften genannten Aufgaben erhalten, der Finanšu izlūkošanas dienests [(Dienst für die Aufklärung und Bekämpfung von Geldwäsche)] kann diese Informationen ohne Einschränkung erhalten, ebenso wie Aufsichts- und Kontrollbehörden im Bereich der Verhinderung von Geldwäsche sowie von Terrorismus- und Proliferationsfinanzierung; andere Behörden haben einen begründeten Antrag zu stellen. Einzelpersonen beantragen Zugang zu den im nicht öffentlich zugänglichen Teil der Registerakte enthaltenen Informationen und Urkunden gemäß den Vorschriften über das Verfahren zur Beantragung eingeschränkt zugänglicher Informationen nach dem Informācijas atklātības likums [(Informationsfreiheitsgesetz)].“

III. Ausgangsverfahren und Vorlagefragen

10. Die Beschwerdeführer in dem Verfahren vor der Latvijas Republikas Satversmes tiesa (Verfassungsgericht) sind 17 Minderheitsaktionäre einer Aktiengesellschaft. Sie sind der Auffassung, Art. 4.15 Abs. 2 Buchst. b des Gesetzes über das Unternehmensregister (im Folgenden: beanstandete Bestimmung) sei unvereinbar mit Art. 96 der Latvijas Republikas Satversme (Verfassung der Republik Lettland, im Folgenden: lettische Verfassung), wonach „[j]ede Person … das Recht auf Achtung ihres Privatlebens, ihrer Wohnung und ihres Briefverkehrs [hat]“.

11. Der lettische Gesetzgeber habe die Erforderlichkeit der Offenlegung von Informationen zu Aktionären sowie der Behandlung dieser Informationen als allgemein zugängliche Informationen nicht geprüft und gerechtfertigt. Sobald die Informationen der Öffentlichkeit zugänglich gemacht würden, gebe es keine Beschränkung hinsichtlich ihrer künftigen Verwendung. Es bestehe daher die nicht unbedeutende Gefahr, dass die betreffenden Informationen für unredliche Zwecke wie Betrug, Nötigung oder Erpressung verwendet würden. Die Verfassungsmäßigkeit der beanstandeten Bestimmung sei im Licht des Urteils Luxembourg Business Registers zu beurteilen, das den Zugang der breiten Öffentlichkeit zu Informationen über die wirtschaftlichen Eigentümer von Gesellschaften betroffen habe. Da der Gerichtshof in jener Rechtssache festgestellt habe, dass ähnliche Daten zu den wirtschaftlichen Eigentümern nicht einer breiten Öffentlichkeit zugänglich gemacht werden dürften, sei der Zugang der breiten Öffentlichkeit zu personenbezogenen Daten von Aktionären umso ungerechtfertigter und unverhältnismäßiger. In ihrer Eigenschaft als Minderheitsaktionäre seien die Beschwerdeführer weder wirtschaftliche Eigentümer der Aktiengesellschaft noch die für das Leitungsgremium oder das Aufsichtsorgan der Aktiengesellschaft verantwortlichen Personen. Sie hätten weder das Recht noch die Möglichkeit, eine Kontrolle über diese Gesellschaft auszuüben.

12. Die Saeima (lettisches Parlament) macht geltend, die beanstandete Bestimmung sei mit Art. 96 der lettischen Verfassung vereinbar. Die Einschränkung der Grundrechte sei rechtmäßig, um ein transparentes Unternehmensklima zu gewährleisten und die Interessen Dritter zu schützen, um Geldwäsche, Terrorismus- und Proliferationsfinanzierung zu bekämpfen und um jedermann die Erfüllung seiner Pflichten nach dem Starptautisko un Latvijas Republikas nacionālo sankciju likums (Gesetz über internationale und nationale Sanktionen der Republik Lettland) zu ermöglichen. Zur Erreichung dieser Ziele sei es erforderlich, die in Rede stehenden Informationen jedermann unverzüglich und ohne eine Verpflichtung zum Nachweis eines berechtigten Interesses am Zugang zu diesen Informationen zur Verfügung zu stellen. Die Erwägungen im Urteil Luxembourg Business Registers, das sich auf nur ein berechtigtes Interesse bezogen habe – die Verhinderung von Geldwäsche und Terrorismusfinanzierung –, seien auf die vorliegende Rechtssache nicht übertragbar, da die in Rede stehende lettische Regelung mehrere unterschiedliche rechtmäßige Ziele verfolge, die die Einschränkung von Grundrechten rechtfertigten.

13. Die Datu valsts inspekcija (Datenschutzbehörde, Lettland), die in dem Verfahren vor dem vorlegenden Gericht als amicus curiae aufgetreten ist, ist der Ansicht, dass im Gesetz über das Unternehmensregister – im Gegensatz zu dem in DSGVO verankerten Grundsatz der Transparenz – kein konkreter Zweck angegeben sei, zu dem die Verarbeitung dieser personenbezogenen Daten der Aktionäre einer Aktiengesellschaft erforderlich sei. Der Umfang der zu verarbeitenden Daten und die Frage, ob sich der Zweck der Datenverarbeitung nicht durch eine weniger umfangreiche Verarbeitung der Daten erreichen lasse, seien im Licht des Grundsatzes der Datenminimierung zu beurteilen. Ohne einen spezifisch angegebenen Zweck lasse sich die Verhältnismäßigkeit des Umfangs der Verarbeitung personenbezogener Daten nicht beurteilen. Folglich seien die Grundsätze der Zweckbindung und der Datenminimierung nicht beachtet worden.

14. Der Dienst für die Aufklärung und Bekämpfung von Geldwäsche, der im Ausgangsverfahren ebenfalls als amicus curiae aufgetreten ist, ist der Auffassung, dass die in Rede stehenden Informationen Dritten zugänglich sein müssten, damit diese prüfen könnten, ob gegen einen Geschäftspartner auf internationaler oder nationaler Ebene Sanktionen verhängt worden seien.

15. Das vorlegende Gericht bittet um Klärung, ob es sich bei den Aktionären von Aktiengesellschaften um Personen handelt, die im Sinne von Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132 an der Verwaltung, Beaufsichtigung oder Kontrolle der Gesellschaft teilnehmen, und ob es daher nach dieser Richtlinie erforderlich ist, Informationen zu den Aktionären solcher Gesellschaften offenzulegen. Sollte der Gerichtshof entscheiden, dass diese Aktionäre in den Anwendungsbereich von Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132 fallen und dass Informationen zu ihnen nach Art. 16 Abs. 3 dieser Richtlinie öffentlich zugänglich zu machen sind, möchte das vorlegende Gericht u. a. wissen, ob Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132 im Licht der Art. 7 und 8 der Charta gültig ist.

16. Darüber hinaus stellt sich dem vorlegenden Gericht die Frage, ob die Verarbeitung personenbezogener Daten der Aktionäre von Aktiengesellschaften im Licht der in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätze und insbesondere des aus dem Grundsatz der Verhältnismäßigkeit folgenden Grundsatzes der „Datenminimierung“ rechtmäßig ist. Dieser Grundsatz stehe einer Zugänglichmachung personenbezogener Daten für die Öffentlichkeit nicht entgegen, wenn sie nach Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO zur Erfüllung einer rechtlichen Verpflichtung erforderlich sei, der der für die Verarbeitung Verantwortliche unterliege. Allerdings müssten Einschränkungen der Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten nach Art. 52 Abs. 1 der Charta gesetzlich vorgesehen sein, den Wesensgehalt der Grundrechte achten und den Grundsatz der Verhältnismäßigkeit wahren.

17. Das vorlegende Gericht möchte insbesondere wissen, ob Art. 5 Abs. 1 Buchst. b DSGVO im Licht u. a. der Urteile Luxembourg Business Registers und Manni () dahin auszulegen ist, dass die Verarbeitung personenbezogener Daten von Aktionären einer Aktiengesellschaft dem Schutz der Interessen Dritter dienen kann. Auch wirft es die Frage auf, ob die in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätze es einem Mitgliedstaat erlauben, zur Erreichung dieses Ziels eine Regelung zu erlassen, nach der jedermann personenbezogene Daten sämtlicher Aktionäre einer Aktiengesellschaft erhalten kann, ohne ein berechtigtes Interesse an der Erlangung solcher Daten nachweisen zu müssen. Zudem fragt das vorlegende Gericht, ob Art. 5 Abs. 1 Buchst. b DSGVO dahin auszulegen ist, dass mit der Verarbeitung personenbezogener Daten von Aktionären einer Aktiengesellschaft der Zweck verfolgt werden kann, Geldwäsche sowie Terrorismus- und Proliferationsfinanzierung zu verhindern. Insoweit bestehe der Zweck der Zugänglichmachung der in Rede stehenden personenbezogenen Daten für die breite Öffentlichkeit nach dem Verständnis des lettischen Gesetzgebers darin, es jedermann zu ermöglichen, so weit wie möglich zur Verhinderung dieser Tätigkeiten beizutragen.

18. Schließlich wirft das vorlegende Gericht die Frage auf, ob Art. 5 Abs. 1 Buchst. b DSGVO dahin auszulegen ist, dass mit der Verarbeitung der personenbezogenen Daten von Aktionären einer Aktiengesellschaft der Zweck verfolgt werden kann, die Informationen bereitzustellen, die zur Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der Europäischen Union benötigt werden.

19. Das vorlegende Gericht ist der Ansicht, dass die Zugänglichmachung der personenbezogenen Daten der Aktionäre einer Aktiengesellschaft für die Öffentlichkeit zur Erreichung dieser legitimen Ziele möglicherweise geeignet, erforderlich und angemessen sei. Allerdings sei es nicht möglich, zu gewährleisten, dass personenbezogene Daten, die online öffentlich zugänglich gemacht würden, den Anforderungen von Art. 5 Abs. 1 Buchst. a und b DSGVO entsprechend nach Treu und Glauben verarbeitet und nicht in einer mit den genannten Zwecken nicht zu vereinbarenden Weise weiterverarbeitet würden. Das vorlegende Gericht hegt daher erstens Zweifel, ob die in Rede stehende Offenlegung die dem Gemeinwohl dienenden Ziele einerseits und die in Rede stehenden Grundrechte andererseits angemessen gewichtet, und zweitens, ob ausreichende Garantien gegen die Gefahr von Datenmissbrauch bestehen.

20. Nach lettischem Recht müsse der Zugang zu eingeschränkt zugänglichen Informationen schriftlich beantragt werden, und der Antragsteller müsse seinen Antrag begründen und den Zweck angeben, zu dem die Informationen verwendet werden sollten. Würden eingeschränkt zugängliche Informationen übermittelt, sei der Empfänger dieser Informationen verpflichtet, sie ausschließlich zu den Zwecken zu verwenden, für die sie beantragt worden seien (). Die Mitteilung dieser Informationen könne mehrere Tage in Anspruch nehmen. Erfülle die Informationsanfrage die gesetzlichen Anforderungen und würden die Informationen ausschließlich in elektronischer Form abgefragt und bedürften keiner Weiterverarbeitung, würden die Informationen innerhalb von zehn Tagen zugänglich gemacht. Das vorlegende Gericht möchte daher wissen, ob das Verfahren zur Beantragung eingeschränkt zugänglicher Informationen als ein anderes Mittel angesehen werden kann, mit dem die genannten Ziele ebenso wirksam erreicht werden können.

21. Die Latvijas Republikas Satversmes tiesa (Verfassungsgericht) hat daher beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen: 1. Ist der in Art. 14 Buchst. d der Richtlinie 2017/1132 enthaltene Begriff der Personen, die „an der Verwaltung, Beaufsichtigung oder Kontrolle der Gesellschaft teilnehmen“, dahin auszulegen, dass er sich auf sämtliche Aktionäre einer Aktiengesellschaft bezieht und ein Mitgliedstaat daher verpflichtet ist, die Informationen zu jedem einzelnen Aktionär einer Aktiengesellschaft offenzulegen und sie gemäß Art. 16 Abs. 3 der Richtlinie 2017/1132 im Register öffentlich zugänglich zu machen? 2. Falls die erste Frage zu bejahen ist: Ist Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132, soweit er vorsieht, dass die Angaben zu jedem einzelnen Aktionär einer Aktiengesellschaft offenzulegen sind, im Licht des durch Art. 7 der Charta gewährleisteten Rechts auf Achtung des Privat- und Familienlebens und des durch Art. 8 der Charta gewährleisteten Rechts auf Schutz personenbezogener Daten gültig? 3. Ist Art. 5 Abs. 1 Buchst. b DSVGO dahin auszulegen, dass mit der Verarbeitung personenbezogener Daten der Aktionäre einer Aktiengesellschaft der Zweck verfolgt werden kann, erstens ein transparentes Unternehmensumfeld und den Schutz der Interessen Dritter zu gewährleisten, zweitens Geldwäsche sowie Terrorismus- und Proliferationsfinanzierung zu verhindern und drittens die Informationen bereitzustellen, die zur Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der Europäischen Union benötigt werden? 4. Erlauben es die Grundsätze, die in Art. 5 Abs. 1 DSGVO verankert sind, zur Erreichung der vorgenannten Zwecke eine nationale Regelung zu erlassen, nach der jedermann personenbezogene Daten sämtlicher Aktionäre einer Aktiengesellschaft erhalten kann, ohne ein berechtigtes Interesse an der Erlangung solcher Daten nachweisen zu müssen?

IV. Verfahren vor dem Gerichtshof

22. Die Beschwerdeführer A u. a., die finnische, die lettische, die norwegische, die polnische und die schwedische Regierung, das Europäische Parlament, der Rat der Europäischen Union und die Europäische Kommission haben schriftliche Erklärungen eingereicht.

23. Die Erklärungen der schwedischen Regierung (), des Parlaments und des Rates beziehen sich nur auf die erste und auf die zweite Frage des vorlegenden Gerichts.

V. Würdigung

A. Zur ersten und zur zweiten Frage

24. Mit ihrer ersten Frage möchte die Latvijas Republikas Satversmes tiesa (Verfassungsgericht) wissen, ob Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132, der sich auf Personen bezieht, die „an der Verwaltung, Beaufsichtigung oder Kontrolle der Gesellschaft teilnehmen“, dahin auszulegen ist, dass er sich auf sämtliche Aktionäre einer Aktiengesellschaft () bezieht, und die Mitgliedstaaten daher verpflichtet sind, die Informationen zu jedem einzelnen Aktionär einer solchen Gesellschaft offenzulegen und sie gemäß Art. 16 Abs. 3 der Richtlinie 2017/1132 im Register öffentlich zugänglich zu machen.

25. Nach Art. 14 Buchst. d der Richtlinie 2017/1132 müssen die Mitgliedstaaten die erforderlichen Maßnahmen treffen, damit sich die Pflicht zur Offenlegung durch Gesellschaften auf die Bestellung, das Ausscheiden sowie die Personalien derjenigen erstreckt, die als gesetzlich vorgesehenes Gesellschaftsorgan oder als Mitglieder eines solchen Organs befugt sind, die betreffende Gesellschaft gerichtlich und außergerichtlich zu vertreten, oder die an der Verwaltung, Beaufsichtigung oder Kontrolle dieser Gesellschaft teilnehmen. Alle Parteien und Beteiligten, die schriftliche Erklärungen eingereicht haben, sind der Auffassung, dass Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132 nicht dahin ausgelegt werden könne, dass er sich auf sämtliche Aktionäre einer Aktiengesellschaft beziehe.

26. Es ist zu betonen, dass das Ausgangsverfahren vor dem vorlegenden Gericht ein Verfahren betrifft, das 17 Minderheitsgesellschafter angestrengt haben. Ich werde meine Würdigung daher auf diesen Sachverhalt beschränken. Nach ständiger Rechtsprechung sind bei der Auslegung einer Bestimmung des Unionsrechts nicht nur ihr Wortlaut, sondern auch ihr Zusammenhang und die Ziele zu berücksichtigen, die mit der Regelung, zu der sie gehört, verfolgt werden ().

27. Art. 14 Buchst. d der Richtlinie 2017/1132 nimmt weder auf Aktionäre noch auf die Hauptversammlung Bezug (). Überdies wird der Begriff „an der Verwaltung, Beaufsichtigung oder Kontrolle der Gesellschaft teilnehmen“ in Art. 14 Buchst. d Ziff. ii dieser Richtlinie nicht definiert (), und der Gerichtshof hat diese Bestimmung nicht ausgelegt. Trotz des Fehlens einer solchen Definition oder solcher Definitionen geht u. a. aus den Art. 60 und 64 der Richtlinie 2017/1132 hervor, dass für die Zwecke dieser Richtlinie zwischen dem Verwaltungs- oder Leitungsorgan einer Gesellschaft einerseits und der Hauptversammlung ihrer Aktionäre andererseits unterschieden wird. Diese Unterscheidung gilt meines Erachtens erst recht für die einzelnen Gesellschafter.

28. Zudem stehen die Begriffe „Bestellung“ und „Ausscheiden“ in Art. 14 Buchst. d der Richtlinie 2017/1132 im Widerspruch zu der Stellung von Aktionären einer Aktiengesellschaft als solcher. Zwar können bestimmte Aktionäre zu den Organen bestellt werden und die in Art. 14 Buchst. d der Richtlinie 2017/1132 genannten Aufgaben wahrnehmen, doch ist die verpflichtende Offenlegung u. a. der Personalien und der personenbezogenen Daten eines Aktionärs in diesem Zusammenhang untrennbar mit seiner Bestellung zu einem betreffenden Organ oder mit seinem Ausscheiden sowie mit seiner Befugnis, bestimmte Aufgaben wahrzunehmen, verbunden und nicht mit seiner Stellung als Anteilseigner (). Hingegen kommen den Aktionären diese Stellung und die damit verbundenen Rechte und Pflichten einschließlich des Rechts, die Hauptversammlung einer Gesellschaft zu besuchen und dort abzustimmen, allein aufgrund ihres Eigentums an Aktien der Gesellschaft zu und nicht aufgrund der „Bestellung“ zu einem „Organ“ der Gesellschaft. Die Begriffe „Bestellung“ und „Ausscheiden“, die eine konkrete Aufgabe oder verantwortliche Stellung () innerhalb einer Gesellschaft voraussetzen, entsprechen daher nicht der Stellung des Aktionärs an sich oder den mit dieser Stellung verbundenen Rechten und Pflichten im Rahmen von Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132.

29. Folglich ergibt sich aus dem Wortlaut und aus dem Zusammenhang, in dem Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132 in dieser Richtlinie steht, dass er nicht per se auf Aktionäre anwendbar ist.

30. Was die Ziele der Richtlinie 2017/1132 anbelangt, so sieht ihr Art. 1 zweiter Gedankenstrich vor, dass die Richtlinie Vorschriften festlegt für die „Koordinierung der Schutzbestimmungen, die in den Mitgliedstaaten den Gesellschaften im Sinne des Artikels 54 Absatz 2 [AEUV] im Interesse der Gesellschafter sowie Dritter für die Offenlegung, die Wirksamkeit eingegangener Verpflichtungen von Aktiengesellschaften, Kommanditgesellschaften auf Aktien oder Gesellschaften mit beschränkter Haftung sowie für die Nichtigkeit dieser Gesellschaften vorgeschrieben sind, um diese Bestimmungen gleichwertig zu gestalten“ (). Art. 14 der Richtlinie 2017/1132 führt die Urkunden und Angaben auf, die die betreffenden Gesellschaften mindestens () offenzulegen haben. Diese Urkunden und Angaben müssen gemäß Art. 16 Abs. 3 bis 5 dieser Richtlinie in der Akte hinterlegt oder in das Register eingetragen werden, auf Antrag durch Erhalt einer vollständigen oder auszugsweisen Kopie zugänglich sein und entweder in Form einer vollständigen oder auszugsweisen Wiedergabe oder in Form eines Hinweises im nationalen Amtsblatt oder in anderer ebenso wirksamer Form bekannt gemacht werden ().

31. Da das Ziel der Richtlinie 2017/1132 und insbesondere ihres Art. 14 Buchst. d darin besteht, die Interessen der Aktionäre einer Gesellschaft und Dritter zu schützen, indem die Offenlegung von Informationen zu bestimmten Personen vorgeschrieben wird, deren Aufgaben oder Befugnisse zulasten dieser Interessen ausgeübt werden können (), vermag ich nicht zu erkennen, inwiefern eine erhöhte Transparenz hinsichtlich der Personalien jedes einzelnen Aktionärs, insbesondere von Minderheitsaktionären, die keine besondere Aufgabe oder Befugnis innerhalb eines Unternehmens haben (), diesem Zweck dienen soll.

32. Insoweit hat der Gerichtshof im Urteil Manni () hervorgehoben, dass die u. a. nach Art. 2 Abs. 1 Buchst. d der Richtlinie 68/151 – der Art. 14 Buchst. d der Richtlinie 2017/1132 entspricht – offengelegten Daten ihrer Art nach begrenzt sind (). Eine Auslegung von Art. 14 Buchst. d der Richtlinie 2017/1132, wonach Informationen zu jedem einzelnen Aktionär umfasst wären, ist offensichtlich nicht begrenzter Art (). Den Erwägungsgründen 3, 7 und 8 der Richtlinie 2017/1132 lässt sich entnehmen, dass diese Richtlinie nur ein Mindestmaß an Gleichwertigkeit und Koordinierung „bestimmter Aspekte“ () des Gesellschaftsrechts sicherstellt, um Aktionäre, Gläubiger und Dritte zu schützen. Die Mitgliedstaaten dürfen folglich in den Grenzen des Unionsrechts (), insbesondere der DSGVO () und des Grundsatzes der Verhältnismäßigkeit, im Bereich des Gesellschaftsrechts strengere Vorschriften erlassen oder beibehalten.

33. Ich bin daher der Ansicht, dass der in Art. 14 Buchst. d der Richtlinie 2017/1132 verwendete Begriff der Personen, die „an der Verwaltung, Beaufsichtigung oder Kontrolle der Gesellschaft teilnehmen“ nicht dahin ausgelegt werden kann, dass er sich auf sämtliche Aktionäre einer Aktiengesellschaft bezieht. Ein Mitgliedstaat ist nicht verpflichtet, Informationen zu jedem einzelnen Aktionär einer Aktiengesellschaft offenzulegen und sie gemäß Art. 16 Abs. 3 der Richtlinie 2017/1132 im Register öffentlich zugänglich zu machen.

34. Da die zweite Frage des vorlegenden Gerichts nur für den Fall gestellt ist, dass die erste Frage bejaht wird, ist die zweite Frage zur Gültigkeit von Art. 14 Buchst. d Ziff. ii der Richtlinie 2017/1132 im Licht der Art. 7 und 8 der Charta meines Erachtens irrelevant.

B. Zur dritten und zur vierten Vorlagefrage

35. Mit seiner dritten und seiner vierten Frage () möchte das vorlegende Gericht wissen, ob Art. 5 Abs. 1 DSGVO dahin auszulegen ist, dass er die Verarbeitung bestimmter personenbezogener Daten der Aktionäre einer Aktiengesellschaft durch Zugänglichmachung für jedermann, ohne dass ein berechtigtes Interesse an der Erlangung dieser Daten nachgewiesen werden muss, zu folgenden Zwecken zulässt: i) Gewährleistung eines transparenten Unternehmensklimas und Schutz der Interessen Dritter, ii) Verhinderung von Geldwäsche sowie von Terrorismus- und Proliferationsfinanzierung und iii) Bereitstellung von Informationen, die zur Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der Europäischen Union benötigt werden. Insoweit fragt die Latvijas Republikas Satversmes tiesa (Verfassungsgericht), ob die Grundsätze der „Zweckbindung“ und der „Datenminimierung“ in Art. 5 Abs. 1 Buchst. b und c DSGVO () gewahrt sind ().

36. Aus den dem Gerichtshof vorliegenden Akten geht hervor, dass die Verpflichtung nach lettischem Recht, bestimmte einzeln aufgeführte Informationen zu den Aktionären von Aktiengesellschaften lettischen Rechts der breiten Öffentlichkeit zugänglich zu machen, in den sachlichen Anwendungsbereich der DSGVO fällt. Die DSGVO gilt nach ihrem Art. 2 Abs. 1 für „die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“, ohne danach zu unterscheiden, wer der Urheber der betreffenden Verarbeitung ist. Daraus folgt, dass die DSGVO vorbehaltlich der in ihrem Art. 2 Abs. 2 und 3 genannten Fälle sowohl für Verarbeitungsvorgänge gilt, die von Privatpersonen vorgenommen werden, als auch für Verarbeitungsvorgänge, die durch Behörden erfolgen ().

37. Während die Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV über die Gemeinsame Außen- und Sicherheitspolitik fallen, vom sachlichen Anwendungsbereich der DSGVO ausgenommen ist, findet diese Verordnung meines Erachtens auf die Verarbeitung personenbezogener Daten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich von Art. 215 AEUV fallen, Anwendung (). Es ist jedoch darauf hinzuweisen, dass bestimmte Rechte der betroffenen Person nach der DSGVO gemäß deren Art. 23 beschränkt werden können. So sieht beispielweise Art. 23 Abs. 1 Buchst. a DSGVO vor, dass Beschränkungen unter bestimmten Umständen zur Sicherstellung der nationalen Sicherheit auferlegt werden können.

38. In der vorliegenden Rechtssache ist unstreitig, dass es sich bei der nach lettischem Recht () bestehenden Verpflichtung, Informationen zu Aktionären einer Aktiengesellschaft nach lettischem Recht – bei denen es sich um natürliche Personen handelt – einschließlich ihres Vornamens, ihres Nachnamens, ihrer persönlichen Identifizierungsnummer, ihrer Kontakt- oder E-Mail-Adresse, der Anzahl und des Nominalwerts ihrer Aktien sowie der Anzahl der mit diesen Aktien verbundenen Stimmrechte für die breite Öffentlichkeit zugänglich zu machen, um die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nrn. 1 und 2 DSGVO handelt ().

39. Da die in Rede stehenden nationalen Bestimmungen die Verarbeitung personenbezogener Daten, die dem Anwendungsbereich der DSGVO unterliegen, voraussetzen, ist die Republik Lettland insbesondere verpflichtet, die DSGVO durchzuführen. Daher berührt der Zugang von allen Mitgliedern der Öffentlichkeit zu diesen Daten das durch Art. 7 der Charta garantierte Grundrecht der Betroffenen auf Achtung des Privatlebens. Außerdem handelt es sich bei der Zugänglichmachung dieser Daten für die breite Öffentlichkeit um eine Verarbeitung personenbezogener Daten im Sinne von Art. 8 der Charta. Überdies stellt die Zurverfügungstellung dieser personenbezogenen Daten an Dritte unabhängig von der späteren Verwendung der übermittelten Informationen einen Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte dar. Der Gerichtshof hat jedoch darauf hingewiesen, dass eine Verarbeitung personenbezogener Daten, soweit die Bedingungen für ihre rechtmäßige Verarbeitung nach der genannten Verordnung erfüllt sind, grundsätzlich als den in den Art. 7 und 8 der Charta festgelegten Anforderungen entsprechend gilt ().

40. Art. 1 Abs. 2 DSGVO in Verbindung mit den Erwägungsgründen 4 und 10 der DSGVO ist zu entnehmen, dass diese Verordnung u. a. zum Ziel hat, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten ().

41. Die DSGVO stellt eine unionsweit gleichmäßige und einheitliche Anwendung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten sicher. Bei jeder Verarbeitung personenbezogener Daten müssen, vorbehaltlich der nach Art. 23 DSGVO zulässigen Ausnahmen (), die in ihrem Kapitel II aufgestellten Grundsätze für die Verarbeitung personenbezogener Daten sowie die in ihrem Kapitel III geregelten Rechte der betroffenen Person beachtet werden. Insbesondere muss jede Verarbeitung personenbezogener Daten erstens mit den Grundsätzen des Art. 5 DSGVO im Einklang stehen und zweitens die Voraussetzungen für ihre Rechtmäßigkeit gemäß Art. 6 DSGVO erfüllen (). Ferner müssen die in den Art. 12 bis 22 DSGVO genannten Rechte der betroffenen Person beachtet werden ().

42. Nach Art. 5 Abs. 1 DSGVO müssen personenbezogene Daten im Einklang mit einer Reihe festgelegter Grundsätze verarbeitet werden. Danach müssen personenbezogene Daten insbesondere auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet () und für festgelegte, eindeutige und legitime Zwecke erhoben werden (), dem Zweck angemessen und erheblich sowie auf das für diese Zwecke notwendige Maß beschränkt sein (), sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein (), in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist (), und in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet (). Diese Grundsätze für die Verarbeitung personenbezogener Daten gelten kumulativ ().

43. Art. 6 Abs. 1 Unterabs. 1 DSGVO enthält eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann (). Daher muss eine Verarbeitung unter einen der in Art. 6 Abs. 1 DSGVO vorgesehenen Fälle subsumierbar sein, um rechtmäßig zu sein (). Auch wenn die Latvijas Republikas Satversmes tiesa (Verfassungsgericht) nicht ausdrücklich darauf hinweist, dass die Verarbeitung der in der vorliegenden Rechtssache in Rede stehenden Daten auf Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO beruht, ist dies der einzige Fall in Art. 6 Abs. 1 Unterabs. 1 DSGVO, auf den das vorlegende Gericht in seinem Vorabentscheidungsersuchen Bezug nimmt (). Da die in Rede stehende Verarbeitung speziell auf einer nationalen Regelung () beruht und durch diese vorgeschrieben ist und nicht „für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“ (), bin ich der Auffassung, dass diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO beruht, da sie zur Erfüllung einer im Recht eines Mitgliedstaats – im vorliegenden Fall im lettischen Recht – vorgeschriebenen rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich ist (). Die mit der Führung des Handelsregisters eines Mitgliedstaats betraute Stelle, die in diesem Register die personenbezogenen Daten offenlegt, die der Offenlegungspflicht nach der Richtlinie 2017/1132 unterliegen, ist insoweit „Verantwortlicher“ für diese Daten, insbesondere indem sie die Daten öffentlich zugänglich macht ().

44. Art. 6 Abs. 3 DSGVO bestimmt u. a. in Bezug auf die Fälle, in denen die Verarbeitung gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO rechtmäßig ist (), dass der Zweck der Verarbeitung „in dieser Rechtsgrundlage festgelegt“ () sein muss und dass die betreffende Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss ().

45. Aus den dem Gerichtshof vorliegenden Akten geht nicht klar hervor, ob das Erfordernis, dass der Zweck bzw. die Zwecke der Verarbeitung „in dieser Rechtsgrundlage festgelegt“ sein muss bzw. sein müssen, im vorliegenden Fall erfüllt worden ist. In ihren Erklärungen vor dem vorlegenden Gericht hat die Datenschutzbehörde ausgeführt, dass das Gesetz über das Unternehmensregister nicht den Zweck bzw. die Zwecke angebe, zu dem die Verarbeitung der personenbezogenen Daten von Aktionären einer Aktiengesellschaft erforderlich sei. Es ist daher Sache des vorlegenden Gerichts, zu prüfen, ob dieses nach Art. 6 Abs. 3 DSGVO vorgesehene Erfordernis in Bezug auf die drei fraglichen Zwecke erfüllt worden ist. Die Nichterfüllung des in Rede stehenden Erfordernisses führt dazu, dass die Verarbeitung personenbezogener Daten gegen Art. 6 Abs. 3 DSGVO verstößt (). In Anbetracht der unterschiedlichen Rechtsetzungstechniken in den 27 Mitgliedstaaten halte ich es für ausreichend, dass sich der in Rede stehende Zweck bzw. die in Rede stehenden Zwecke mit „hinreichender Bestimmtheit“ anhand des Wortlauts der Rechtsvorschrift oder des Regelungszusammenhangs bestimmen lässt bzw. lassen ().

46. Die sich aus Art. 6 Abs. 3 DSGVO ergebenden Anforderungen, wonach mit der Verarbeitung ein im öffentlichen Interesse liegendes Ziel verfolgt werden und sie in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss, sind Ausfluss der Vorgaben, die sich aus Art. 52 Abs. 1 der Charta ergeben, und sind im Licht dieser zuletzt genannten Bestimmung auszulegen. Der Gerichtshof hat insoweit ausgeführt, dass die in den Art. 7 und 8 der Charta verbürgten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden müssen. Somit können Einschränkungen vorgesehen werden, sofern sie gemäß Art. 52 Abs. 1 der Charta gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Nach ständiger Rechtsprechung verlangt die Verhältnismäßigkeit der Maßnahmen, aus denen sich ein Eingriff in die in den Art. 7 und 8 der Charta garantierten Grundrechte ergibt, dass nicht nur die Anforderungen an die Geeignetheit und Erforderlichkeit (), sondern auch die Anforderung an die Verhältnismäßigkeit im engeren Sinne dieser Maßnahmen im Hinblick auf das verfolgte Ziel erfüllt sein müssen (). Daher ist zu prüfen, ob die in Rede stehende nationale Regelung einen gerechten Ausgleich zwischen dem Interesse bzw. den Interessen, das bzw. die der Mitgliedstaat verfolgt, und dem Interesse bzw. den Interessen der belasteten Personen herstellt (). Folglich ist die Schwere des Eingriffs in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten zu ermitteln und zu prüfen, ob die Bedeutung der dem Gemeinwohl dienenden Zielsetzung im Verhältnis zu dieser Schwere steht ().

47. Bei der Beurteilung der Schwere des Eingriffs ist u. a. der Art der in Rede stehenden personenbezogenen Daten Rechnung zu tragen, vor allem der möglicherweise sensiblen Natur dieser Daten, sowie der Art und den konkreten Modalitäten ihrer Verarbeitung, insbesondere der Zahl der Personen, die Zugang zu diesen Daten haben, und den Zugangsmodalitäten ().

48. Es ist unstreitig, dass die der breiten Öffentlichkeit zugänglich gemachten Informationen zu einem Aktionär, bei dem es sich um eine natürliche Person handelt, seinen Vornamen, seinen Nachnamen, seine persönliche Identifizierungsnummer, die Anschrift, unter der er zu erreichen ist, seine E-Mail-Adresse (), die Kategorie, die Anzahl und den Nominalwert der von ihm gehaltenen Aktien sowie die Anzahl der mit den Aktien verbundenen Stimmrechte umfassen (). Anhand dieser Informationen lässt sich ein Profil erstens zu bestimmten persönlichen Identifizierungsdaten und zweitens – zumindest in gewissem Umfang – zur Vermögenslage des Betroffenen in Lettland sowie zu den Wirtschaftssektoren und spezifischen Unternehmen, in die er investiert hat, erstellen. Die in Rede stehenden Informationen sind einer potenziell unbegrenzten Zahl von Personen leicht zugänglich, was insbesondere darauf zurückzuführen ist, dass sie auf der Internetseite des Unternehmensregisters eingesehen werden können. Auf sie kann aus Gründen, die nicht auf die mit der in Rede stehenden nationalen Regelung verfolgten Ziele () zurückzuführen sind, frei zugegriffen werden, und sie können gespeichert, verbreitet und weiterverarbeitet werden. Der leichte Zugang der breiten Öffentlichkeit zu den in Rede stehenden Informationen setzt die Betroffenen dem möglichen Missbrauch ihrer personenbezogenen Daten aus, was es ihnen erschwert oder sogar unmöglich macht, sich wirksam gegen Missbräuche zur Wehr zu setzen. Bei dem in Rede stehenden Zugang handelt es sich somit um einen schwerwiegenden Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte ().

1. Zum Vorliegen einer von der Union anerkannten dem Gemeinwohl dienenden Zielsetzung

49. Die drei vom vorlegenden Gericht angeführten Ziele () der in Rede stehenden nationalen Regelung dienen grundsätzlich dem Gemeinwohl der Union und sind daher rechtmäßig (). Sie können auch schwere Eingriffe in die in den Art. 7 und 8 der Charta verankerten Grundrechte rechtfertigen, sofern der Grundsatz der Verhältnismäßigkeit gewahrt wird ().

50. Was das Ziel der Gewährleistung eines transparenten Unternehmensklimas und des Schutzes der Interessen Dritter betrifft, so bin ich der Ansicht, dass die Gewährleistung eines transparenten Unternehmensklimas allein ein eher ungenaues und unbestimmtes Ziel darstellt, das daher für sich genommen kein legitimer Zweck sein kann. Um jeden Zweifel auszuschließen, gehe ich daher – vorbehaltlich der Überprüfung durch das vorlegende Gericht – davon aus, dass der entsprechende Zweck der lettischen Regelung die Gewährleistung eines transparenten Unternehmensklimas zum Schutz der Interessen Dritter ist. Vor dem Hintergrund von Art. 50 Abs. 2 Buchst. g AEUV (), der im Wesentlichen auf den Schutz von Aktionären und Dritten Bezug nimmt (), bin ich der Auffassung, dass der in Rede stehende Zweck eine von der Union anerkannte dem Gemeinwohl dienende Zielsetzung darstellt.

51. Im Urteil Luxembourg Business Registers () hat der Gerichtshof ausgeführt, dass es sich bei der Verhinderung von Geldwäsche und Terrorismusfinanzierung, indem der breiten Öffentlichkeit Zugang zu den Informationen zu den wirtschaftlichen Eigentümern ermöglicht wird, um eine dem Gemeinwohl dienende Zielsetzung handelt, die geeignet ist, sogar schwerwiegende Eingriffe in die in den Art. 7 und 8 der Charta verankerten Grundrechte zu rechtfertigen (). Die diesem Urteil zugrunde liegende Logik kann meines Erachtens auch auf die vorliegende Rechtssache angewandt werden.

52. Was die Offenlegung von Informationen betrifft, die für die Durchsetzung von Sanktionen benötigt werden, so hat der Gerichtshof ausgeführt, dass die freie Berufsausübung und die Ausübung des Eigentumsrechts restriktiven Maßnahmen unterworfen werden können. Diese Maßnahmen müssen dem Gemeinwohl dienenden Zielen – wie den in Art. 21 EUV genannten Zielen des auswärtigen Handelns der Union – entsprechen und dürfen keinen im Hinblick auf den verfolgten Zweck unverhältnismäßigen und nicht tragbaren Eingriff darstellen, der die so gewährleisteten Rechte in ihrem Wesensgehalt antasten würde (). Ich bin der Auffassung, dass auch die Durchsetzung solcher restriktiver Maßnahmen einschließlich des Erlasses von Maßnahmen, durch die der Zugang zu Informationen bereitgestellt wird, die für die Gewährleistung dieser Durchsetzung erforderlich sind, eine von der Union anerkannte dem Gemeinwohl dienende Zielsetzung darstellt.

2. Zur Geeignetheit, Erforderlichkeit und Verhältnismäßigkeit im engeren Sinne des fraglichen Eingriffs

a) Zum Ziel der Gewährleistung eines transparenten Unternehmensklimas zum Schutz der Interessen Dritter

53. Aus den Gründen, die ich in Nr. 31 der vorliegenden Schlussanträge dargelegt habe, bin ich nicht der Auffassung, dass die in Rede stehende Verpflichtung nach lettischem Recht, die für jeden einzelnen Aktionär einer Aktiengesellschaft gilt, unabhängig davon, ob ihm innerhalb der Gesellschaft eine besondere Aufgabe oder Befugnis zukommt, das Ziel der Gewährleistung eines transparenten Unternehmensklimas zum Schutz der Interessen Dritter fördert oder begünstigt. Im Übrigen gibt es – auch wenn die Richtlinie 2017/1132 keinen abschließenden Charakter haben soll und nur bestimmte Aspekte des Gesellschaftsrechts harmonisiert und koordiniert – in den dem Gerichtshof vorliegenden Akten keinen Hinweis darauf, dass sich diese Richtlinie () als unzureichend erwiesen hätte, um ein transparentes Unternehmensklima zum Schutz der Interessen Dritter zu gewährleisten, weshalb die Verabschiedung der in Rede stehenden nationalen Regelung erforderlich gewesen wäre (). Ich halte den Eingriff daher weder für geeignet noch für erforderlich. Auch bin ich der Ansicht, dass diese Regelung nicht verhältnismäßig im engeren Sinne ist, da sie keinen gerechten Ausgleich zwischen den vom lettischen Gesetzgeber verfolgten Interessen und den Interessen der Aktionäre herstellt.

b) Zum Ziel der Schaffung eines Umfelds, das die Verhinderung von Geldwäsche sowie von Terrorismus- und Proliferationsfinanzierung und die Verfügbarkeit der für die Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der Union benötigten Informationen fördert

54. Die Verpflichtung nach lettischem Recht, bestimmte einzeln aufgeführte Informationen zu den Aktionären von Aktiengesellschaften lettischen Rechts der breiten Öffentlichkeit zugänglich zu machen, und das Fehlen einer entsprechenden Regelung im Hinblick auf den Nachweis eines berechtigten Interesses an der Erlangung dieser Informationen sind meines Erachtens zur Erreichung der dem Gemeinwohl dienenden Zielsetzung geeignet, ein Umfeld zu schaffen, das die Verhinderung von Geldwäsche, Terrorismus- und Proliferationsfinanzierung sowie die Verfügbarkeit der für die Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der Union benötigten Informationen fördert und begünstigt. In Analogie zum Urteil Luxembourg Business Registers bin ich der Auffassung, dass der öffentliche Charakter des in Rede stehenden Zugangs und die daraus resultierende erhöhte Transparenz, die einen größeren Einblick der Öffentlichkeit in die Eigentumsverhältnisse an einer Aktiengesellschaft ermöglicht, zur Verwirklichung dieser dem Gemeinwohl dienenden Zielsetzung beiträgt ().

55. Es ist daher zu prüfen, ob diese beiden Zwecke vernünftigerweise nicht ebenso wirksam mit anderen Mitteln erreicht werden können, die die den Aktionären der betreffenden Aktiengesellschaften garantierten Rechte () weniger beeinträchtigen, und ob der fragliche Eingriff in Bezug auf die betreffenden Ziele unverhältnismäßig im engeren Sinne ist, was insbesondere eine Abwägung der Bedeutung dieser Ziele und der Schwere dieses Eingriffs erfordert.

56. Was das Ziel der Schaffung eines Umfelds betrifft, das die Verhinderung von Geldwäsche sowie Terrorismus- und Proliferationsfinanzierung fördert und begünstigt, so ist das vorlegende Gericht der Ansicht, dass andere Personen als die in Art. 2 der Richtlinie 2015/849 aufgeführten Verpflichteten ()„auch … ein berechtigtes Interesse daran haben [können], von sich aus einen Kunden zu überprüfen“. Zudem obliege die Verpflichtung, verdächtige Transaktionen unverzüglich zu melden, nach Art. 3.1 des Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likums (Gesetz zur Verhinderung der Geldwäsche sowie der Terrorismus- und Proliferationsfinanzierung) neben den Verpflichteten auch anderen Personen.

57. Im Bereich der Durchsetzung von Sanktionen erlässt der Rat der Europäischen Union nach Auffassung des vorlegenden Gerichts Verordnungen, die häufig finanzielle restriktive Maßnahmen folgender Art umfassen: (i) das Einfrieren von Geldern und wirtschaftlichen Ressourcen benannter Personen und Organisationen und (ii) das Verbot, solchen Personen und Organisationen Gelder und wirtschaftliche Ressourcen zur Verfügung zu stellen (). Darüber hinaus könne der Zugang zu Informationen zu allen Aktionären einer Aktiengesellschaft deshalb erforderlich sein, weil nach Art. 2 Abs. 2 des Gesetzes über internationale und nationale Sanktionen der Republik Lettland () jedermann verpflichtet sei, internationale und nationale Sanktionen zu beachten und umzusetzen.

58. Es erscheint mir sinnvoll, darauf hinzuweisen, dass der Gerichtshof im Urteil Luxembourg Business Registers () ausgeführt hat, dass die Bekämpfung der Geldwäsche und der Terrorismusfinanzierung vorrangig den Behörden sowie Einrichtungen wie etwa Kreditinstituten oder Finanzinstituten obliegt, denen aufgrund ihrer Tätigkeiten spezifische Pflichten in diesem Bereich auferlegt sind. Jedenfalls stellt Art. 30 Abs. 5 der Richtlinie 2015/849 sicher, dass nicht nur die zuständigen Behörden, die zentralen Meldestellen der Union () und die Verpflichteten, sondern auch alle Personen oder Organisationen, die ein berechtigtes Interesse nachweisen können, Zugang zu Angaben zu den wirtschaftlichen Eigentümern () u. a. von Gesellschaften haben ().

59. Was restriktive Maßnahmen betrifft, so wird – wie ich in meinen Schlussanträgen in der Rechtssache Čiekuri-Shishki () ausgeführt habe – eine Verordnung, die diese Maßnahmen vorsieht, hauptsächlich von staatlichen Einrichtungen mit besonderer Fachkompetenz im Bereich der Finanzaufsicht umgesetzt. Diese Einrichtungen verfügen über die erforderlichen Mittel und sind daher befugt, die vorgesehenen finanziellen Sanktionen wie etwa das Einfrieren von Vermögenswerten oder das Verbot, bestimmten Personen oder Organisationen Kredite zu gewähren oder Zahlungen an sie zu leisten, umsetzen. Sie sind dafür verantwortlich, konkrete Maßnahmen gegenüber den in der Verordnung gelisteten Personen und Organisationen anzuordnen.

60. Dennoch sind, wie in den Leitlinien zum vorbildlichen Verfahren () ausgeführt wird, „[a]lle dem Unionsrecht unterliegenden Personen und Organisationen … verpflichtet, den zuständigen Behörden alle ihnen zur Verfügung stehenden Angaben zu übermitteln, die das Einfrieren von Vermögenswerten erleichtern können“ (). Außerdem verbieten es Verordnungen, die restriktive Maßnahmen vorsehen, den betroffenen Personen oder Gesellschaften Gelder oder wirtschaftliche Ressourcen unmittelbar oder mittelbar zur Verfügung zu stellen (). Ich meine, dass die Umsetzung dieser Verpflichtung durch andere Mittel als durch den freien Zugang zu personenbezogenen Daten zu allen Aktionären erfolgen kann, beispielsweise durch eine einzelfallbezogene Beantragung des Zugangs zu Informationen zu Aktionären (). Insbesondere in Fällen, in denen jemand einen begründeten Verdacht hat, möglicherweise betroffenen Personen oder Gesellschaften unmittelbar oder mittelbar Gelder oder wirtschaftliche Ressourcen zur Verfügung zu stellen, hat er ein offenkundiges berechtigtes Interesse daran, insoweit Zugang zu den im Unternehmensregister eingetragenen Informationen zu beantragen. Hervorzuheben ist zudem, dass es ohne das Vorliegen eines berechtigten Interesses zu aufwendig und unverhältnismäßig wäre, jedermann die Verpflichtung aufzuerlegen, jederzeit die Personalien jedes einzelnen Aktionärs all seiner Geschäftspartner () zu überprüfen. Dies ist umso offensichtlicher, als die Aktionäre einer Aktiengesellschaft häufig wechseln können.

61. Auch wenn der freie Zugang der breiten Öffentlichkeit zu Informationen zu Aktionären einer Aktiengesellschaft nach der in Rede stehenden lettischen Regelung zumindest in gewissem begrenzten Umfang zur Bekämpfung von Geldwäsche, Terrorismus- und Proliferationsfinanzierung sowie zur Durchsetzung nationaler und internationaler Sanktionen sowie von Sanktionen der Union beitragen kann, bin ich daher entsprechend dem Urteil Luxembourg Business Registers () der Auffassung, dass der Zugang für diese Zwecke nicht unbedingt erforderlich ist. Darüber hinaus kompensieren die potenziellen Vorteile nicht den schwerwiegenden Eingriff in die durch die Art. 7 und 8 der Charta garantierten Grundrechte ().

62. Ferner möchte ich betonen, dass die Erwägungen des Gerichtshofs im Urteil Luxembourg Business Registers angesichts des Umstands, dass es sich bei dem wirtschaftlichen Eigentümer einer Gesellschaft nach Art. 3 Nr. 6 der Richtlinie 2015/849 um die natürliche(n) Person(en) handelt, die u. a. einen Aktienanteil von 25 % zuzüglich einer Aktie hält (halten), erst recht auf die im vorliegenden Verfahren in Rede stehende lettische Regelung anwendbar sind, wonach die Offenlegung von Informationen zu jedem einzelnen Aktionär einer Aktiengesellschaft unabhängig von der Frage erforderlich ist, ob der Aktionär eine Kontrollbeteiligung hält oder nicht.

63. Das vorlegende Gericht möchte ferner wissen, ob das Verfahren zur Beantragung eingeschränkt zugänglicher Informationen nach dem Informationsfreiheitsgesetz als ein anderes Mittel angesehen werden kann, mit dem die in Rede stehenden Ziele ebenso wirksam erreicht werden könnten. Nach Art. 11 Abs. 4 und Art. 14 Abs. 1 Nr. 1.1 des Informationsfreiheitsgesetzes kann eine Person offenbar () Zugang zu Informationen zu Aktionären erhalten (), sofern sie einen schriftlichen Antrag stellt, ihren Antrag begründet und den Zweck angibt, zu dem die Informationen verwendet werden sollen. Der Empfänger dieser Informationen ist verpflichtet, sie ausschließlich zu den Zwecken zu verwenden, für die sie beantragt wurden. Erfüllt die Informationsanfrage die gesetzlichen Anforderungen und werden die Informationen ausschließlich in elektronischer Form abgefragt und bedürfen keiner Weiterverarbeitung, werden die Informationen innerhalb von zehn Tagen zugänglich gemacht. Das vorlegende Gericht hat jedoch ausgeführt, dass „[d]as Unternehmensregister als für die Verarbeitung personenbezogener Daten Verantwortlicher und Ausgeber der Informationen … nicht in der Lage [ist], zu prüfen, ob die Person, die die Informationen anfordert, tatsächlich ein berechtigtes Interesse an der Erlangung der angeforderten Informationen hat. In diesem Fall ist das Erfordernis, ein berechtigtes Interesse anzugeben, als formelles Hindernis für die Erlangung der Informationen anzusehen“ ().

64. An dieser Stelle sei nur darauf hingewiesen, dass nach dem Informationsfreiheitsgesetz die Verarbeitung personenbezogener Daten zur Bekämpfung von Geldwäsche und Terrorismus- und Proliferationsfinanzierung () sowie zur Durchsetzung von Sanktionen mit dem Unionsrecht im Einklang stehen muss, insbesondere mit der DSGVO und dem Grundsatz der Verhältnismäßigkeit. Da es nach Art. 30 Abs. 5 der Richtlinie 2015/849 erforderlich ist, dass die Informationen zu den wirtschaftlichen Eigentümern nicht nur u. a. für die zuständigen Behörden und die Verpflichteten zugänglich sind, sondern auch für alle Personen oder Organisationen, die ein berechtigtes Interesse nachweisen können, ist die Feststellung des vorlegenden Gerichts, das Unternehmensregister sei möglicherweise nicht in der Lage, zu prüfen, ob eine Person ein solches Interesse habe (), in Anbetracht der den Mitgliedstaaten nach dieser Bestimmung obliegenden Verpflichtung etwas verblüffend ().

65. Jedenfalls scheint das in den Nrn. 20 und 63 der vorliegenden Schlussanträge dargestellte Verfahren für den Zugang zu Informationen zu Aktionären nach Art. 11 Abs. 4 und Art. 14 Abs. 1 Nr. 1.1 des Informationsfreiheitsgesetzes () nicht übermäßig aufwendig oder langwierig zu sein, und mit diesem Verfahren sollen die verschiedenen Interessen konkret miteinander in Einklang gebracht werden. Das in Rede stehende nationale Verfahren scheint daher () ein Mittel zu sein, mit dem die fragliche Zielsetzung ebenso wirksam erreicht werden kann.

66. Meiner Ansicht nach () sind daher die Verpflichtung nach lettischem Recht, zur Schaffung eines Umfelds, das die Verhinderung von Geldwäsche, Terrorismus- und Proliferationsfinanzierung sowie die Verfügbarkeit der für die Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der Union benötigten Informationen fördert und begünstigt, bestimmte einzeln aufgeführte Informationen zu den Aktionären von Aktiengesellschaften lettischen Rechts der breiten Öffentlichkeit zugänglich zu machen, und das entsprechende Fehlen einer Verpflichtung, ein berechtigtes Interesse an der Erlangung dieser Informationen nachzuweisen, nicht verhältnismäßig im engeren Sinne.

VI. Ergebnis

67. Nach alledem schlage ich dem Gerichtshof vor, die von der Latvijas Republikas Satversmes tiesa (Verfassungsgericht, Lettland) vorgelegten Fragen wie folgt zu beantworten: 1. Art. 14 Buchst. d und Art. 16 Abs. 3 der Richtlinie (EU) 2017/1132 des Europäischen Parlaments und des Rates vom 14. Juni 2017 über bestimmte Aspekte des Gesellschaftsrechts sind dahin auszulegen, dass der in Art. 14 Buchst. d der Richtlinie 2017/1132 verwendete Begriff der Personen, die „an der Verwaltung, Beaufsichtigung oder Kontrolle der Gesellschaft teilnehmen“, nicht dahin ausgelegt werden kann, dass er sich auf sämtliche Aktionäre einer Aktiengesellschaft bezieht. Ein Mitgliedstaat ist nicht verpflichtet, Informationen zu jedem einzelnen Aktionär einer Aktiengesellschaft offenzulegen und sie gemäß Art. 16 Abs. 3 der Richtlinie 2017/1132 im Register öffentlich zugänglich zu machen. 2. Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), insbesondere ihre Art. 5 und 6, ist dahin auszulegen, dass sie einer nationalen Regelung entgegensteht, die zur Gewährleistung eines transparenten Unternehmensklimas zum Schutz der Interessen Dritter, zur Verhinderung von Geldwäsche sowie von Terrorismus- und Proliferationsfinanzierung und zur Bereitstellung von Informationen, die zur Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der Europäischen Union benötigt werden, die Verarbeitung bestimmter persönlicher Daten der Aktionäre einer Aktiengesellschaft vorsieht, indem sie jedermann zugänglich gemacht werden, ohne dass ein berechtigtes Interesse an der Erlangung dieser Daten nachgewiesen werden muss.