Vorläufige Fassung
SCHLUSSANTRÄGE DES GENERALANWALTS
MANUEL CAMPOS SÁNCHEZ-BORDONA
vom 10. September 2026(1)
Rechtssache C‑458/25
Gegevensbeschermingsautoriteit
gegen
Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen VZW
(Vorabentscheidungsersuchen des Hof van Cassatie [Kassationshof, Belgien])
„ Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Allgemeine Bedingungen für die Verhängung von Geldbußen – Art. 83 Abs. 7 – Befugnis der Mitgliedstaaten zum Erlass von Vorschriften, die festlegen, ob und in welchem Umfang Geldbußen gegen Behörden und öffentliche Stellen verhängt werden können – Begriffe ‚Behörde‘ und ‚öffentliche Stelle‘ – Juristische Person des Privatrechts, die subventionierten kostenfreien Unterricht erteilt – Im nationalen Recht vorgesehene Ausnahme von der Geldbuße – Verarbeitung personenbezogener Daten Minderjähriger “
1. Im Jahr 2019 verhängte die für den Schutz personenbezogener Daten zuständige belgische Behörde(2) gegen eine Körperschaft, die Trägerin einer subventionierten Bildungseinrichtung war, eine Geldbuße wegen Verstoßes gegen die Datenschutzvorschriften.
2. Art. 83 Abs. 7 der Verordnung (EU) 2016/679(3) gestattet den Mitgliedstaaten den Erlass von „Vorschriften dafür …, ob und in welchem Umfang [Geldbußen] gegen Behörden und öffentliche Stellen … verhängt werden können“, die gegen die Bestimmungen dieser Verordnung verstoßen. Der belgische Gesetzgeber hat von dieser Vorschrift Gebrauch gemacht, um Behörden von Geldbußen auszunehmen, es sei denn, es handelt sich um juristische Personen des öffentlichen Rechts, die Waren oder Dienstleistungen auf einem Markt anbieten.
3. Im vorliegenden Vorabentscheidungsersuchen geht es um die Frage, ob eine juristische Person des Privatrechts, die subventionierten freien Unterricht erteilt, eine „Behörde“ im Sinne von Art. 83 Abs. 7 DSGVO darstellt.
I. Rechtlicher Rahmen
A. Unionsrecht. DSGVO
4. Im 38. Erwägungsgrund heißt es:
„Kinder verdienen bei ihren personenbezogenen Daten besonderen Schutz, da Kinder sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind. Ein solcher besonderer Schutz sollte insbesondere die Verwendung personenbezogener Daten von Kindern für Werbezwecke oder für die Erstellung von Persönlichkeits- oder Nutzerprofilen und die Erhebung von personenbezogenen Daten von Kindern bei der Nutzung von Diensten, die Kindern direkt angeboten werden, betreffen. Die Einwilligung des Trägers der elterlichen Verantwortung sollte im Zusammenhang mit Präventions- oder Beratungsdiensten, die unmittelbar einem Kind angeboten werden, nicht erforderlich sein.“
5. Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 bestimmt:
„Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
…
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (,Datenminimierung‘);
…“
6. Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 sieht vor:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
…
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
…“
7. Art. 8 („Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft“) bestimmt:
„(1) Gilt Artikel 6 Absatz 1 Buchstabe a bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, so ist die Verarbeitung der personenbezogenen Daten des Kindes rechtmäßig, wenn das Kind das sechzehnte Lebensjahr vollendet hat. Hat das Kind noch nicht das sechzehnte Lebensjahr vollendet, so ist diese Verarbeitung nur rechtmäßig, sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.
Die Mitgliedstaaten können durch Rechtsvorschriften zu diesen Zwecken eine niedrigere Altersgrenze vorsehen, die jedoch nicht unter dem vollendeten dreizehnten Lebensjahr liegen darf.
(2) Der Verantwortliche unternimmt unter Berücksichtigung der verfügbaren Technologie angemessene Anstrengungen, um sich in solchen Fällen zu vergewissern, dass die Einwilligung vom Träger der elterlichen Verantwortung für das Kind oder mit seiner Zustimmung erteilt wurde.
…“
8. In Art. 57 („Aufgaben“) Abs. 1 heißt es:
„Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet
…
b) die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung sensibilisieren und sie darüber aufklären. Besondere Beachtung finden dabei spezifische Maßnahmen für Kinder;
…“
9. Art. 58 („Befugnisse“) Abs. 2 sieht vor:
„Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
…
d) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,
…
i) eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,
…“
10. Art. 83 („Allgemeine Bedingungen für die Verhängung von Geldbußen“) bestimmt:
„(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. …
…
(7) Unbeschadet der Abhilfebefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 2 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können.
…“
B. Belgisches Recht. Datenschutzgesetz
11. Art. 5 Datenschutzgesetz(4) sieht vor:
„Die Begriffsbestimmungen der [DSGVO] werden angewandt.
Für die Anwendung des vorliegenden Gesetzes versteht man unter ‚öffentlicher Behörde‘:
1. den Föderalstaat, die föderierten Teilgebiete und die lokalen Behörden,
2. juristische Personen des öffentlichen Rechts, die vom Föderalstaat, den föderierten Teilgebieten oder den lokalen Behörden abhängen,
3. Personen, die ungeachtet ihrer Form und Art:
– zu dem besonderen Zweck gegründet wurden, im Allgemeininteresse liegende Aufgaben nicht gewerblicher Art zu erfüllen und
– Rechtspersönlichkeit besitzen und
– deren Tätigkeit überwiegend von den in Nummer 1 oder 2 erwähnten öffentlichen Behörden oder Einrichtungen finanziert wird, deren Leitung der Aufsicht dieser Behörden oder Einrichtungen unterliegt oder deren Verwaltungs‑, Leitungs- oder Aufsichtsorgan mehrheitlich aus Mitgliedern besteht, die von diesen Behörden oder Einrichtungen ernannt worden sind,
4. Vereinigungen, die aus einer oder mehreren in Nummer 1, 2 oder 3 erwähnten öffentlichen Behörden bestehen.“
12. In Art. 221 § 2 DSG heißt es:
„Artikel 83 der [DSGVO] findet keine Anwendung auf öffentliche Behörden, ihre Angestellten oder ihre Beauftragten, es sei denn, es handelt sich um juristische Personen des öffentlichen Rechts, die Waren oder Dienstleistungen auf einem Markt anbieten.“
II. Sachverhalt, Rechtsstreit und Vorlagefrage
13. Am 22. Juli 2019 reichte der Vater eines Schülers bei der DSB eine Beschwerde gegen eine Einrichtung ein, die subventionierten freien Unterricht erteilt und zum Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen VZW (Unterrichtsgruppe der Schwestern der Christlichen Schulen Zuid-Kempen, gemeinnütziger Verein, im Folgenden: OZCS) gehört.
14. Diese Beschwerde betraf eine Umfrage über das Wohlbefinden der Schüler, die den Schülern über eine digitale Plattform vorgelegt wurde. Der Beschwerdeführer beanstandete, dass die Einrichtung:
a) die Eltern nicht vorab über die Umfrage informiert habe;
b) die Zustimmung der Eltern nicht eingeholt habe;
c) mehr Daten verarbeitet habe, als für die Zwecke der Verarbeitung erforderlich gewesen sei, und
d) zu Unrecht keine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchgeführt habe.
15. Am 16. Juni 2020 entschied die DSB, dass der OZCS für die Datenverarbeitung verantwortlich sei, und stellte vier Verstöße gegen die DSGVO fest: a) gegen Art. 6 Abs. 1, b) gegen Art. 8, c) gegen Art. 5 Abs. 1 Buchst. c und d) gegen Art. 5 Abs. 1 Buchst. a in Verbindung mit Art. 12 Abs. 1 und Art. 13.
16. Die DSB ordnete an, dass die Verarbeitung mit den verletzten Bestimmungen der DSGVO in Einklang zu bringen sei, und verhängte gegen den OZCS eine Geldbuße in Höhe von 2 000 Euro.
17. Der OZCS legte gegen die Entscheidung der DSB ein Rechtsmittel beim Marktenhof (Märktegerichtshof, Belgien) ein. Dieser entschied mit Urteil vom 18. November 2020, soweit hier von Belang, dass die Entscheidung der DSB in Bezug auf die in Art. 221 § 2 DSG vorgesehene Ausnahme nicht hinreichend begründet gewesen sei. Er wies die DSB an, die Entscheidung hinsichtlich der Geldbuße zu überprüfen und zu begründen.
18. Am 15. März 2021 entschied die DSB in Umsetzung des Urteils des Marktenhof (Märktegerichtshof), eine Geldbuße zu verhängen, da eine Einrichtung, die subventionierten freien Unterricht erteile, zwar eine Behörde im Sinne von Art. 5 Nr. 2 DSG, nicht aber eine Behörde im Sinne von Art. 83 Abs. 7 DSGVO sei. Bei dieser zweiten Gelegenheit belief sich die Geldbuße auf 1 000 Euro.
19. Nach Einlegung eines weiteren Rechtsmittels beim Marktenhof (Märktegerichtshof) entschied dieser mit Urteil vom 6. Oktober 2021, dass die DSB keine Geldbuße gegen den OZCS habe verhängen dürfen, und hob dementsprechend die angefochtene Entscheidung auf.
20. Die DSB legte Kassationsbeschwerde beim Hof van Cassatie (Kassationshof, Belgien) ein, der das Urteil vom 6. Oktober 2021 mit Urteil vom 9. Januar 2023 aufhob und die Rechtssache an den Marktenhof (Märktegerichtshof) zurückverwies.
21. Mit Urteil vom 27. Februar 2024 gab der Marktenhof (Märktegerichtshof) der Klage des OZCS statt und hob die Entscheidung der DSB mit der Begründung auf, dass sie keine Geldbuße verhängen dürfe.
22. Die DSB legte gegen das Urteil vom 27. Februar 2024 Kassationsbeschwerde beim Hof van Cassatie (Kassationshof) ein, der dem Gerichtshof folgende Frage zur Vorabentscheidung vorlegt:
Steht Art. 83 Abs. 7 DSGVO in Verbindung mit den Erwägungsgründen 38 und 58 sowie Art. 6 Abs. 1 Buchst. f, Art. 8 und Art. 57 Abs. 1 Buchst. b dieser Verordnung einer nationalen Regelung entgegen, die es der Aufsichtsbehörde nicht gestattet, gegen juristische Personen des Privatrechts, die subventionierten freien Unterricht erteilen, eine Geldbuße zu verhängen?
III. Verfahren vor dem Gerichtshof
23. Das Vorabentscheidungsersuchen ist am 11. Juli 2025 bei der Kanzlei des Gerichtshofs eingegangen.
24. Der OZCS, die DSB, die belgische und die bulgarische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen eingereicht. Mit Ausnahme des OZCS haben sie alle an der mündlichen Verhandlung vom 20. Mai 2026 teilgenommen.
IV. Würdigung
A. Vorbemerkungen
25. Das vorlegende Gericht möchte wissen, ob eine juristische Person des Privatrechts, die subventionierten freien Unterricht erteilt, eine Behörde im Sinne von Art. 83 Abs. 7 DSGVO ist, wenn man den in den Rechtsvorschriften zum Datenschutz vorgesehenen besonderen Schutz von Kindern berücksichtigt(5).
26. Diese letzte Klarstellung der Vorlagefrage verknüpft den Begriff „Behörden“ mit der Eigenschaft der Personen (im vorliegenden Fall Minderjährigen), deren Daten möglicherweise unrechtmäßig verarbeitet wurden. Deshalb nennt das vorlegende Gericht Art. 83 Abs. 7 DSGVO in Verbindung mit den Erwägungsgründen(6) bzw. Bestimmungen dieser Verordnung, die Minderjährige betreffen.
27. Wie die Kommission(7) bin ich der Ansicht, dass diese Verknüpfung für die Beantwortung des Vorabentscheidungsersuchens nicht erforderlich ist. Der Begriff „Behörden und öffentliche Stellen“ hängt nicht vom Rechtsgut ab, das im Einzelfall beeinträchtigt wird. „Behörden und öffentliche Stellen“ sind dies aufgrund ihrer Rechtsnatur und der ihnen innewohnenden Eigenschaften; nicht aufgrund der rechtswidrigen Verhaltensweisen, für die sie verantwortlich sein können, oder der Personen, deren Rechte oder Interessen verletzt worden sind. Dieser Begriff hat nur eine Bedeutung und nicht mehrere, die sich aus dem Anwendungsbereich und den Umständen ergeben, unter denen die Tätigkeit der dieser Definition entsprechenden Behörden und Stellen ausgeübt wird.
28. Ich werde mich daher im Folgenden auf die Auslegung von Art. 83 Abs. 7 DSGVO beschränken, ohne den Vorschriften über den Schutz von Minderjährigen besondere Aufmerksamkeit zu schenken, mit denen ich mich erst im letzten Teil meiner Schlussanträge befassen werde.
29. Bei dieser Auslegung werde ich besonders darauf eingehen, dass die DSGVO ein hohes Schutzniveau für (alle) natürliche(n) Personen innerhalb der Union durch Instrumente unterschiedlicher Ausprägung gewährleisten soll, zu denen auch Sanktionen gehören. Die DSGVO schafft einen Rechtsrahmen zur Umsetzung der Erfordernisse, die sich aus dem durch Art. 8 der Charta der Grundrechte der Europäischen Union geschützten Recht auf Schutz personenbezogener Daten ergeben(8).
30. Vor diesem Hintergrund stellt sich zunächst die Frage, wo der in Rede stehende Begriff anzusiedeln ist: in den nationalen Rechtsordnungen oder im Unionsrecht.
B. „Behörden und öffentliche Stellen“ als autonomer Begriff des Unionsrechts
31. Weder Art. 83 Abs. 7 noch eine andere Bestimmung der DSGVO definiert den Begriff „Behörden und öffentliche Stellen“. Aus diesem Schweigen
– folgern der OZCS und die belgische Regierung, dass es Sache der Mitgliedstaaten sei, diese Begriffe zu definieren(9);
– schließen die DSB und die Kommission umgekehrt, dass mangels eines ausdrücklichen Verweises auf das nationale Recht eine kohärente und homogene Anwendung des Unionsrechts eine einheitliche Auslegung dieser Begriffe erfordere, wie sie einem autonomen Begriff des Unionsrechts zukomme.
32. Für die Auffassung, dass der Begriff „Behörden und öffentliche Stellen“ autonom auszulegen ist, sprechen meines Erachtens überzeugendere Argumente.
33. Erstens verweist Art. 83 Abs. 7 DSGVO für die Definition dieser Begriffe nicht auf das nationale Recht(10). Nach ständiger Rechtsprechung des Gerichtshofs folgt aus den Erfordernissen sowohl der einheitlichen Anwendung des Unionsrechts als auch des Gleichheitssatzes, dass die Begriffe einer Bestimmung des Unionsrechts, die für die Ermittlung ihres Sinnes und ihrer Bedeutung nicht ausdrücklich auf das Recht der Mitgliedstaaten verweist, in der gesamten Union eine autonome und einheitliche Auslegung erhalten müssen.
34. Zweitens verweist Art. 83 Abs. 7 DSGVO auf die nationalen „Vorschriften“ nur im Zusammenhang mit der Möglichkeit, festzulegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen Geldbußen verhängt werden können. Wie die DSB erläutert, beschränkt sich das Ermessen, das diese Bestimmung den Mitgliedstaaten einräumt, allein darauf, diese Behörden und öffentlichen Stellen (ganz oder teilweise) von solchen Geldbußen auszunehmen, umfasst aber nicht die Befugnis, festzulegen, welche diese Behörden sind.
35. Drittens stand die Sanktionierung von Verstößen gegen Datenschutzvorschriften bis zum Erlass der DSGVO weitgehend im Ermessen der Mitgliedstaaten(11). Mit dem Erlass der DSGVO hat sich der Unionsgesetzgeber dafür entschieden, diese Situation zu ändern, so dass die Aufsichtsbehörden bei Verstößen gegen die DSGVO gleichwertige Sanktionen(12) verhängen.
36. Viertens ist der Begriff „Behörde“ in einer Vielzahl von Bestimmungen der DSGVO enthalten(13), was den Schluss nahelegt, dass der Unionsgesetzgeber die Definition einer im System der DSGVO so wichtigen Kategorie nicht den Mitgliedstaaten anvertrauen wollte.
37. Fünftens hat der Gerichtshof die begriffliche Autonomie anderer Schlüsselbegriffe der DSGVO festgestellt, die, wie im vorliegenden Fall, für ihre Definition nicht auf das nationale Recht verweisen. Dies gilt z. B. für den Ersatz des Schadens, der von Personen, die gegen die DSGVO verstoßen, verlangt werden kann(14).
38. Schließlich ist ein Ziel der DSGVO, dass „[d]ie Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser [natürlichen] Personen bei der Verarbeitung solcher [personenbezogenen] Daten … unionsweit gleichmäßig und einheitlich angewandt werden“(15).
39. Insbesondere wollte der Unionsgesetzgeber, wie die DSB hervorgehoben hat(16), „die verwaltungsrechtlichen Sanktionen bei Verstößen gegen diese Verordnung … vereinheitlichen und ihnen mehr Wirkung … verleihen“(17). Zu diesem Zweck hat er ein bislang in dieser Form in den meisten anderen Bereichen des Unionsrechts beispielloses Sanktionssystem eingeführt.
40. Die beabsichtigte Harmonisierung wäre weder gleichmäßig noch einheitlich, wenn es den Mitgliedstaaten gänzlich freistünde, die Tragweite des Begriffs „Behörde“ im Sinne von Art. 83 Abs. 7 DSGVO festzulegen und somit nach eigenem Ermessen und durch einen Akt reinen gesetzgeberischen Voluntarismus bestimmte Stellen von den nach der DSGVO anwendbaren Geldbußen auszunehmen. Dafür genügte es, Einrichtungen als Behörden einzustufen, die in Wahrheit nicht in eine Kategorie gehören, die mit dem Zweck der in Rede stehenden Ausnahme vereinbar ist.
41. Ich möchte daran erinnern, dass sich nach Ansicht des Gerichtshofs aus Art. 83 in Verbindung mit Art. 84 DSGVO ergibt, dass die Mitgliedstaaten nicht befugt sind, die materiellen Voraussetzungen für die Verhängung von Geldbußen festzulegen, da diese Voraussetzungen ausschließlich unter das Unionsrecht fallen(18).
42. Das Problem in diesem Fall entspricht mutatis mutandis dem Problem, mit dem sich der Gerichtshof befasst hat, als er zu klären hatte, ob der Begriff „Justizbehörde“ in Art. 6 Abs. 1 des Rahmenbeschlusses 2002/584/JI(19) ein autonomer Begriff ist oder ob seine Bedeutung und Tragweite im Ermessen der einzelnen Mitgliedstaaten liegt. Der Gerichtshof hat unmissverständlich klargestellt, dass dieser Begriff eine autonome und einheitliche Auslegung in der gesamten Union erfordert(20).
43. Im Ergebnis bin ich der Ansicht, dass der Begriff „Behörden und öffentliche Stellen“ in Art. 83 Abs. 7 DSGVO ein autonomer Begriff des Unionsrechts ist, dessen Definition sich nicht nach dem jeweiligen nationalen Recht richtet.
C. Begriff „Behörden und öffentliche Stellen“
1. Auslegung nach dem Wortlaut
44. Die Auslegung der betreffenden Wortgruppe nach ihrem Wortlaut legt nahe, dass die Verbindung des Substantivs „Behörde“ (oder Stelle) mit dem Adjektiv „öffentlich“ Einrichtungen beschreibt, die sich auf den ersten Blick dadurch auszeichnen, dass sie hoheitliche Befugnisse ausüben, d. h. besondere Rechte, die über diejenigen hinausgehen, die nach den Vorschriften für die Beziehungen zwischen Privatpersonen gelten.
45. Eine Behörde oder öffentliche Stelle kann am Wirtschaftsleben teilnehmen, ohne die ihr durch ihren privilegierten Status verliehenen Befugnisse auszuüben (d. h. als ein weiterer Akteur, für den die gleichen Bedingungen gelten wie für die übrigen Privatrechtssubjekte). Was die Ausübung öffentlicher Gewalt im engeren Sinne auszeichnet, sind – in organisatorischer und funktioneller Hinsicht – der Status und die Vorrechte oder besonderen Rechte der Behörde, die sich nach dem öffentlichen Recht richten.
46. Die Einstufung einer Einrichtung als Behörde knüpft somit an Tätigkeiten an, die in Einklang mit dem Recht ausgeübt werden, das für die staatliche Gewalt (im weiteren Sinne) kennzeichnend ist, während Tätigkeiten unberücksichtigt bleiben, die die Behörde unter den gleichen rechtlichen Bedingungen ausübt wie private Wirtschaftsteilnehmer.
47. Der Nutzen des Kriteriums der Auslegung nach dem Wortlaut ist im vorliegenden Fall jedoch begrenzt. Der gleiche oder ein ähnlicher Begriff wurde nämlich in verschiedenen Bereichen des Unionsrechts jeweils in einem unterschiedlichen Sinn verwendet, worauf ich im Folgenden eingehen werde.
2. Systematische Auslegung
48. Das Unionsrecht enthält relativ viele Definitionen der Begriffe „Behörde“, „öffentliche Stelle“, „öffentliche Einrichtung“ und ähnlicher Begriffe. Der Gerichtshof hatte diese Begriffe in unterschiedlichen Zusammenhängen auszulegen.
49. Diese Definitionen wurden unter Berücksichtigung der Merkmale der Bestimmungen, in denen die Begriffe enthalten sind, und der Ziele, denen diese Bestimmungen dienen, entwickelt. Daher bestehen je nach Rechtsbereich teilweise erhebliche Unterschiede im Hinblick darauf, ob sie weiter oder enger auszulegen sind.
50. Der Grund für diese ausgeprägten Unterschiede hinsichtlich der Grenzen derselben formalen Kategorie liegt darin, dass bei der Auslegung eines autonomen Begriffs des Unionsrechts insbesondere der Kontext, in dem er verwendet wird, sowie die Ziele, die mit der Regelung, zu der er gehört, verfolgt werden, zu berücksichtigen sind(21).
51. Ich werde im Folgenden beispielhaft auf einige dieser Bereiche eingehen. Zunächst werde ich jedoch Art. 83 Abs. 7 DSGVO in Verbindung mit anderen Bestimmungen und Erwägungsgründen dieser Verordnung auslegen, in denen die in Rede stehenden Begriffe vorkommen.
52. Der Unionsgesetzgeber setzt den Begriff „Behörden“ nicht mit dem Begriff „private Stellen, die im öffentlichen Interesse handeln“(22), gleich. In den Erwägungsgründen der DSGVO(23) spricht er von der „Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt“, woraus abzuleiten ist, dass im öffentlichen Interesse liegende Aufgaben nicht mit der Ausübung öffentlicher Gewalt zu verwechseln sind.
53. Aus dem letzten Satz des 45. Erwägungsgrundes in Verbindung mit Art. 79 Abs. 2 DSGVO(24) geht hervor, dass im öffentlichen Interesse liegende Aufgaben natürlichen oder juristischen Personen „des Privatrechts wie eine[r] Berufsvereinigung“ übertragen werden können, während Aufgaben, die unter die Ausübung öffentlicher Gewalt oder hoheitlicher Befugnisse fallen, nur von einer „Behörde oder … eine[r] andere[n] unter das öffentliche Recht fallende[n] natürliche[n] oder juristische[n] Person“ wahrgenommen werden dürfen.
54. In diesem Sinne enthält der 31. Erwägungsgrund der DSGVO Beispiele für „Behörden“, namentlich Steuer- und Zollbehörden, Finanzmarktbehörden und Finanzermittlungsstellen sowie Verwaltungsbehörden, die hoheitliche Befugnisse im engeren Sinne ausüben.
55. Daraus schließe ich, dass sich der Begriff „Behörden und öffentliche Stellen“ in Art. 83 Abs. 7 DSGVO nur auf Behörden oder Einrichtungen des öffentlichen Rechts bezieht, die mit der Wahrnehmung von Aufgaben betraut sind, die unter die Ausübung öffentlicher Gewalt oder hoheitlicher Befugnisse fallen.
56. Der Umstand, dass eine privatrechtliche Einrichtung eine im allgemeinen oder öffentlichen Interesse liegende Aufgabe wahrnimmt, reicht nicht aus, um sie als „Behörde oder öffentliche Stelle“ im Sinne von Art. 83 Abs. 7 DSGVO einzustufen. Die gegenteilige Auslegung würde es den Mitgliedstaaten ermöglichen, den Anwendungsbereich der Ausnahme übermäßig auszudehnen, und zu erheblichen Unterschieden zwischen den Mitgliedstaaten führen.
57. Dies vorausgeschickt, werde ich nun die Verwendung der hier in Rede stehenden Begriffe in anderen Vorschriften des Unionsrechts untersuchen.
a) Öffentliche Auftragsvergabe
58. Im Bereich der öffentlichen Aufträge, die unter die Richtlinie 2014/24/EU(25) fallen (und zuvor unter die Richtlinie 2004/18/EG(26) fielen), gilt eine weite Definition der Begriffe „öffentliche Auftraggeber“ und „Einrichtung des öffentlichen Rechts“.
59. In Bezug auf den Anwendungsbereich von Art. 1 Abs. 9 der Richtlinie 2004/18 hat der Gerichtshof eine ziemlich weite Auslegung vorgenommen, um sicherzustellen, dass „die im Rahmen der Vergabe öffentlicher Aufträge gebotenen Transparenz- und Nichtdiskriminierungsregeln für eine Reihe staatlicher Einrichtungen gelten, die nicht zur öffentlichen Verwaltung gehören, aber dennoch vom Staat namentlich über ihre Finanzierung oder Verwaltung kontrolliert werden“(27).
60. Der Gerichtshof arbeitet mit einem so weiten Begriff der Behörde oder öffentlichen Einrichtung, die als öffentlicher Auftraggeber handelt, dass sogar Einrichtungen als solche eingestuft werden, die in der Form eines privatrechtlichen Vereins gegründet wurden und bestimmte Tätigkeiten ausüben, die nicht zwingend öffentlichen Charakter haben(28).
b) Mehrwertsteuer
61. Nach Art. 13 Abs. 1 der Richtlinie 2006/112/EG(29) gelten „sonstige Einrichtungen des öffentlichen Rechts … nicht als Steuerpflichtige, soweit sie die Tätigkeiten ausüben oder Umsätze bewirken, die ihnen im Rahmen der öffentlichen Gewalt obliegen, auch wenn sie im Zusammenhang mit diesen Tätigkeiten oder Umsätzen Zölle, Gebühren, Beiträge oder sonstige Abgaben erheben“(30).
62. Der Gerichtshof hat entschieden, dass die dem gemeinsamen Mehrwertsteuersystem zugrunde liegende allgemeine Regel ist, dass der Anwendungsbereich dieser Steuer sehr weit dahin definiert ist, dass er alle gegen Entgelt erbrachten Dienstleistungen einschließlich derjenigen, die von Einrichtungen des öffentlichen Rechts erbracht werden, erfasst(31). Die Ausnahmen von dieser Regel sind eng auszulegen(32).
63. Die Rechtsprechung greift, wenn es darum geht, öffentliche Einrichtungen von der Eigenschaft als Mehrwertsteuerpflichtige auszunehmen, auf eine sehr enge Auslegung zurück. Die Auslegung, die im Bereich der öffentlichen Auftragsvergabe anerkannt ist, ist auf diesen Bereich nicht übertragbar, und der Ausübung hoheitlicher Befugnisse durch die Einrichtung ist eine besondere Bedeutung beizumessen(33).
c) Einrichtungen, die für die Zwecke der Anwendung der Richtlinien (im Allgemeinen) Teil des Staates sind
64. Die Kommission schlägt dem Gerichtshof vor, seine Rechtsprechung zum Ausschluss der unmittelbaren Wirkung von Richtlinien zwischen Privatpersonen heranzuziehen, um zu beurteilen, ob im vorliegenden Rechtsstreit von einer Behörde oder öffentlichen Stelle gesprochen werden kann(34).
65. Aus dieser Rechtsprechung ergebe sich, dass eine Einrichtung Teil des Staates sei, wenn: a) es sich um eine juristische Person des öffentlichen Rechts handele, die Teil des Staates im weiteren Sinne sei; oder b) sie der Aufsicht oder Kontrolle einer Behörde unterstehe; oder c) ihr eine Behörde die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe übertragen und sie hierzu mit besonderen Rechten ausgestattet habe. Der Ausgangsrechtsstreit könne unter eine der beiden letztgenannten Fallgruppen fallen.
66. Meines Erachtens sollte dieser Vorschlag, den die Beteiligten in der mündlichen Verhandlung erörtert haben, nicht als Aufforderung angesehen werden, die von der Kommission angeführte Rechtsprechung mechanisch und undifferenziert auf den vorliegenden Fall zu übertragen. Da sie in einem sehr spezifischen Rahmen (der Wirksamkeit von Richtlinien) entwickelt wurde, um eine Frage zu klären, die mit der hier zu klärenden Frage nichts zu tun hat, bezweifle ich, dass sie für den vorliegenden Rechtsstreit von Nutzen ist.
67. Die Rechtsprechung zur unmittelbaren Wirkung von Richtlinien trägt dem Erfordernis Rechnung, einem Verstoß der Mitgliedstaaten gegen ihre Verpflichtung, die ihnen durch Richtlinien auferlegten Durchführungsmaßnahmen zu erlassen, abzuhelfen. Zu diesem Zweck wird unter bestimmten Umständen und bei Vorliegen bestimmter Voraussetzungen die allgemeine Regelung über die Anwendung und Wirksamkeit einer der Quellen des Unionsrechts differenziert angewendet. Diese Rechtsprechung stellt auf ein Kriterium ab, das auf der funktionalen Integration der Einrichtungen, gegenüber denen sich der Einzelne unmittelbar auf die Bestimmungen einer Richtlinie berufen kann, in die Struktur des Staates beruht.
68. Zusätzlich zu den Einrichtungen, bei denen auf der Hand liegt, dass es sich um Behörden handelt, sieht diese Rechtsprechung Einrichtungen als Behörden an, die unabhängig von ihrer Rechtsform kraft staatlichen Rechtsakts unter staatlicher Aufsicht eine Dienstleistung im öffentlichen Interesse zu erbringen haben und die hierzu mit besonderen Rechten ausgestattet sind, die über das hinausgehen, was für die Beziehungen zwischen Privatpersonen gilt(35).
69. Es handelt sich letztlich um Einrichtungen, die funktional als Träger öffentlicher Gewalt handeln, Aufgaben von allgemeinem Interesse unter staatlicher Aufsicht wahrnehmen und hoheitliche Befugnisse ausüben. Solche Einrichtungen sind bis zu einem gewissen Grad selbst der Staat, der gegen die Verpflichtung verstoßen hat, die durch eine Richtlinie vorgeschriebenen Maßnahmen zu erlassen, was die Wirksamkeit der Richtlinie beeinträchtigt.
70. Dieses gesamte komplexe Argumentationsgebilde hat wenig mit der Bestimmung in Art. 83 Abs. 7 DSGVO zu tun, die den Mitgliedstaaten gestattet, eine qualitativ begrenzte Ausnahme von der Sanktionsregelung einzuführen. Diese Ausnahme ist nicht vergleichbar mit der – im Richterrecht entwickelten – Ausnahme, die die Wirksamkeit einer der Rechtsquellen des Unionsrechts (der Richtlinien) betrifft. Die Ausnahme ist in der DSGVO als eines von mehreren definierenden Elementen des Sanktionssystems zum Schutz personenbezogener Daten ausgestaltet. Die Begriffe „Behörde und öffentliche Stelle“ können daher nicht mit denen, die zur Abgrenzung der Wirksamkeit von Richtlinien verwendet werden, gleichgesetzt werden.
71. Im Ergebnis bedingen unterschiedliche Zusammenhänge und Zwecke einen unterschiedlichen Inhalt derselben Begriffe.
72. Sollte das systematische Kriterium Vorrang haben, bin ich jedenfalls der Ansicht, dass der Begriff „Behörden und öffentliche Stellen“ in Art. 83 Abs. 7 DSGVO eng ausgelegt werden sollte; also eher so, wie es bei der Richtlinie 2006/112 üblich ist.
73. Da Art. 83 Abs. 7 DSGVO eine (fakultative) Ausnahme von der allgemeinen harmonisierten Sanktionsregelung der DSGVO einführt, ist er eng auszulegen(36).
3. Auslegung nach dem Zusammenhang und dem Zweck
74. Die Bedeutung der Begriffe „Behörden und öffentliche Stellen“ muss anhand des Zusammenhangs und des Zwecks der Bestimmung, zu der sie gehören, präzisiert werden.
75. Was den Zusammenhang anbelangt, gehört die Regelung, wie ich bereits ausgeführt habe, zu den Regelungen über die Verhängung von Geldbußen gegen Personen, die gegen die DSGVO verstoßen. Die in Rede stehende Ausnahme verhindert den Einsatz eines Sanktionsinstruments, das sich durch seine abschreckende Wirkung auszeichnet, indem sie Behörden und öffentliche Stellen von den Geldbußen ausnimmt, die „ein Schlüsselelement [sind], um die Wahrung der Rechte dieser [natürlichen] Personen zu gewährleisten, … im Einklang mit dem Ziel der DSGVO, ein hohes Schutzniveau für solche Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten“(37).
76. Zwar gibt es neben Geldbußen auch andere Maßnahmen, die zur wirksamen Durchsetzung der DSGVO beitragen(38). Die Bedeutung der in Art. 83 Abs. 4 bis 6 DSGVO vorgesehenen Geldbußen zeugt jedoch von der Entschlossenheit des Gesetzgebers, ein schlagkräftiges System zur Sicherstellung der Wirksamkeit der Bestimmungen dieser Verordnung zu schaffen. Die abschreckende Wirkung von Geldbußen, die eine beträchtliche Höhe erreichen können, ist daher ein Schlüsselelement des Sanktionssystems.
77. Darüber hinaus waren speziell die Geldbußen Gegenstand der Harmonisierung. Dagegen gestattet Art. 84 Abs. 1 DSGVO den Mitgliedstaaten, „die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung – insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen – fest[zulegen]“.
78. Die Entstehungsgeschichte von Art. 83 Abs. 7 DSGVO verdeutlicht den Zusammenhang zwischen der wirtschaftlichen Bedeutung der dort vorgesehenen Geldbußen und der in Rede stehenden Ausnahme.
79. Der ursprüngliche Vorschlag der Kommission sah Obergrenzen für Geldbußen von zwischen 250 000 Euro und 1 Mio. Euro und bis zu 2 % des Jahresumsatzes vor(39). Auf Initiative des Rates(40) wurden diese Obergrenzen auf die derzeit in Art. 83 Abs. 4 bis 6 DSGVO vorgesehen Obergrenzen angehoben, erst dann verbunden mit der Möglichkeit für die Mitgliedstaaten, eine Ausnahme vorzusehen, die letztlich in Art. 83 Abs. 7 Eingang fand(41).
80. Wie die DSB vorträgt, kann in der in Art. 83 Abs. 7 DSGVO vorgesehenen Ausnahme ein Schutz vor einer Belastung der öffentlichen Haushalte gesehen werden. Wäre dies der Fall, so könnten, wie die DSB in Bezug auf Beschränkungen der durch den AEU-Vertrag garantierten Grundfreiheiten weiter ausführt, rein wirtschaftliche Zwecke keine zwingenden Gründe des Allgemeininteresses darstellen, die solche Beschränkungen rechtfertigen könnten.
81. Der OZCS beruft sich auf einen weiteren Grund neben dem Schutz der öffentlichen Haushalte, nämlich auf die Kontinuität der Wahrnehmung einer im Allgemeininteresse liegenden Aufgabe, auf die der belgische Verfassungsgerichtshof bei der Prüfung von Art. 221 § 2 DSG hingewiesen habe(42).
82. In bestimmten Fällen kann die Verhängung von Geldbußen gegen Behörden, die mit einer im Allgemeininteresse liegenden Aufgabe betraut sind, die Erfüllung dieser Aufgabe gefährden und somit deren Kontinuität beeinträchtigen, wenn die finanzielle Belastung durch die Geldbußen erheblich ist.
83. Es stellt sich nun also die Frage, ob es unter Berücksichtigung dieser Garantiefunktionen – für den öffentlichen Haushalt und die Kontinuität der Wahrnehmung von im Allgemeininteresse liegenden Aufgaben – gerechtfertigt ist, den Begriff „Behörden und öffentliche Stellen“ so weit auszudehnen, dass darunter auch juristische Personen des Privatrechts fallen, die freien subventionierten Unterricht erteilen.
84. Meiner Ansicht nach ist es zur Erreichung dieser beiden Ziele nicht zwingend erforderlich, auf eine Sanktionsbefugnis der für den Datenschutz zuständigen Behörden ganz zu verzichten, wenn:
– die Merkmale der Einrichtung, die den Verstoß begangen hat, sich kaum von den Merkmalen anderer Einrichtungen unterscheiden, die die gleiche materielle Tätigkeit ausüben (Sekundarschulunterricht), ohne als Behörde eingestuft zu werden;
– die Einrichtung, die den Verstoß begangen hat, sich weder in die staatlichen Strukturen einfügt noch die Voraussetzungen für die Definition öffentlicher Gewalt (Ausübung besonderer Rechte, die hoheitlichen Befugnissen entsprechen) erfüllt;
– es möglich ist, die aus dem öffentlichen Haushalt stammenden Mittel dieser Einrichtung sowie die Kontinuität ihrer im Allgemeininteresse liegenden Aufgaben zu schützen, indem die Höhe der Geldbußen unter Berücksichtigung der Umstände des Einzelfalls angepasst wird.
4. Bedeutung des Urteils Escuelas Pías(43)
85. Zur Begründung seiner Auffassung beruft sich der OZCS darauf, dass der Unterricht eine im Allgemeininteresse liegende Aufgabe sei, die in Belgien auch von durch die Behörden subventionierten privatrechtlichen Einrichtungen wahrgenommen werde. Es handele sich, wie der Gerichtshof bereits entschieden habe, um eine nicht wirtschaftliche Tätigkeit(44).
86. Im Urteil Escuelas Pías ging es um die Frage, ob bestimmte Steuerbefreiungen in Bezug auf nationale Steuern unter das Verbot des Art. 107 Abs. 1 AEUV (staatliche Beihilfen) fallen. In jenem Rechtsstreit hatte der Gerichtshof die Gelegenheit, zu prüfen, inwieweit die Begriffe „Unternehmen“ und „wirtschaftliche Tätigkeit“ sich auf die von Bildungseinrichtungen angebotenen Lehrveranstaltungen anwenden lassen, je nachdem, ob sie im Wesentlichen aus privaten Mitteln oder aus staatlichen Zuwendungen finanziert werden.
87. Das Urteil Escuelas Pías enthält folgende Feststellungen:
– Durch die Aufrechterhaltung eines staatlichen Bildungssystems, das in der Regel aus dem Staatshaushalt und nicht von den Schülern oder ihren Eltern finanziert wird, will der Staat keine entgeltlichen Tätigkeiten erbringen, sondern erfüllt seine Aufgabe auf sozialem, kulturellem und bildungspolitischem Gebiet gegenüber seinen Bürgern(45).
– In diesem Kontext ist es nicht ausgeschlossen, dass eine Einrichtung mehrere Tätigkeiten sowohl wirtschaftlicher als auch nicht wirtschaftlicher Art ausüben kann, sofern sie über eine getrennte Buchführung für die verschiedenen erhaltenen Finanzmittel verfügt, so dass jede Gefahr einer Quersubventionierung ihrer wirtschaftlichen Tätigkeiten mit den öffentlichen Geldern, die sie für ihre nicht wirtschaftlichen Tätigkeiten erhält, ausgeschlossen ist(46).
– Um das Verbot in Art. 107 Abs. 1 AEUV auf die seinerzeit in Rede stehende Befreiung anzuwenden, „hat das vorlegende Gericht … zu klären, ob die … ausgeübten pädagogischen Tätigkeiten – und, wenn ja, welche von ihnen – wirtschaftlicher Art sind“(47).
88. Aus diesen und den weiteren Feststellungen im Urteil Escuelas Pías geht jedoch nicht hervor, dass eine freie Bildungseinrichtung allein deshalb, weil sie eine staatliche Finanzierung erhält, als Behörde eingestuft werden kann.
5. Anwendung dieser Kriterien auf den Ausgangsrechtsstreit
89. Es ist Sache des vorlegenden Gerichts, anhand der ihm vorliegenden Informationen den Sachverhalt zu beurteilen und gegebenenfalls zu prüfen, inwieweit die staatliche Finanzierung der Bildungseinrichtung deren Handeln so weit beeinflusst, dass sie als Teil der staatlichen Strukturen anzusehen ist, die unter den Begriff der Behörde fallen können.
90. Vorbehaltlich dieser Beurteilung bin ich nicht der Ansicht, dass der OZCS die Merkmale einer Behörde aufweist. Er ist weder eine juristische Person, die Teil des Staates im weiteren Sinne ist, noch wurde er mit besonderen Rechten ausgestattet, die als Ausübung öffentlicher Gewalt oder hoheitlicher Befugnisse einzustufen sind(48).
91. Meines Erachtens ermöglicht gerade die Ausübung hoheitlicher Befugnisse (oder deren Fehlen) die Feststellung, ob eine Einrichtung unter den Begriff „Behörden und öffentliche Stellen“ im Sinne von Art. 83 Abs. 7 DSGVO fällt oder ob sie sich vielmehr in einer Situation befindet, die mit der von Einrichtungen vergleichbar ist, die lediglich im Allgemeininteresse liegende Aufgaben wahrnehmen oder auf einem Markt tätig sind.
92. Der Umstand, dass der OZCS hinsichtlich der Erfüllung der Mindestbildungsziele der Aufsicht der flämischen Behörde unterliegt, führt nicht dazu, dass er sich in einer ganz anderen Lage befindet als nicht subventionierte private Bildungseinrichtungen.
93. Die Möglichkeit, Schulzeugnisse auszustellen, belegt für sich genommen nicht, dass der OZCS hoheitliche Befugnisse ausübt. Die DSB hat in der mündlichen Verhandlung vorgetragen, dass diese Befugnis nach belgischem Recht auch ähnlichen privaten Einrichtungen zustehe, die keine staatlichen Zuwendungen erhielten, ohne dass diese deshalb als Behörde angesehen würden.
94. Vorbehaltlich der Prüfung durch das vorlegende Gericht scheint alles darauf hinzudeuten, dass die Befugnis zur Ausstellung von Zeugnissen in Belgien ein Indiz dafür ist, dass die Bildungseinrichtung eine im Allgemeininteresse (oder im öffentlichen Interesse) liegende Aufgabe wahrnimmt, die den allgemeinen Rechtsvorschriften für den Bildungsbereich unterliegt. Dieser Umstand allein reicht jedoch nicht aus, um zu dem Schluss zu gelangen, dass ihr hoheitliche Befugnisse zustehen.
95. Ich möchte in diesem Zusammenhang daran erinnern, dass der Gerichtshof festgestellt hat, dass die Ausübung von Lehrberufen keine unmittelbare oder mittelbare Teilnahme an der Ausübung hoheitlicher Befugnisse und an der Wahrnehmung von Aufgaben mit sich bringt, die auf die Wahrung der allgemeinen Belange des Staates oder anderer öffentlicher Körperschaften gerichtet sind(49). Diese Feststellung erstreckt sich ganz konkret auf den Bereich der Sekundarschulbildung(50).
96. Meines Erachtens ist es auch nicht gerechtfertigt, die Definition des Begriffs „Behörden und öffentliche Stellen“ so weit auszudehnen, dass darunter eine Einrichtung fällt, deren maßgebliche Verbindung zur öffentlichen Gewalt in Wirklichkeit darin besteht, staatliche Subventionen zu erhalten.
97. Wie die Kommission in der mündlichen Verhandlung eingeräumt hat, reicht der bloße Erhalt einer Subvention nicht aus, um der subventionierten Einrichtung die Eigenschaft einer „Behörde“ zu verleihen. Jedenfalls ist es nicht möglich gewesen, den Prozentsatz der öffentlichen Zuwendungen an der Finanzierung des OZCS festzustellen(51). Vielmehr hat die belgische Regierung bestätigt, dass diese Bildungseinrichtung über private Finanzierungsquellen (u. a. Beiträge von Eltern der Schüler, Schenkungen und Warenverkäufe) verfüge, die die Ausübung einer wirtschaftlichen Tätigkeit belegten, für die der OZCS sogar auf Werbung zurückgreife.
98. Wenn, wie ich bereits ausgeführt habe, das Ziel der in Art. 83 Abs. 7 DSGVO vorgesehenen Ausnahme darin besteht, die Kontinuität der Wahrnehmung der im Allgemeininteresse liegenden Aufgaben sicherzustellen, könnte dieser Zweck im Fall einer Einrichtung wie des OZCS durch Art. 83 Abs. 2 DSGVO erreicht werden.
99. Gemäß der DSGVO „[werden] Geldbußen … je nach den Umständen des Einzelfalls … verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag [werden] in jedem Einzelfall … jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall … gebührend berücksichtigt“ (Art. 83 Abs. 2 Buchst. k DSGVO).
100. Die Bestimmung in Art. 83 Abs. 2 DSGVO war daher ausreichend, um angesichts der fehlenden Gewinnerzielungsabsicht und der Ausübung einer im Allgemeininteresse liegenden Tätigkeit durch den OZCS letztlich eine Geldbuße – von 1 000 Euro – gegen ihn zu verhängen, die weit davon entfernt sein dürfte, seinen Fortbestand als Bildungseinrichtung zu gefährden.
101. Dagegen würde eine Einstufung des OZCS als Behörde dieses Ergebnis (die Kontinuität der Wahrnehmung seiner im Allgemeininteresse liegenden Aufgabe) in unverhältnismäßiger Weise gewährleisten: Bei einem Verstoß gegen die DSGVO zulasten der Rechte der Schüler könnten die belgischen Datenschutzbehörden niemals von dem wirksamsten ihnen zur Verfügung stehenden Mechanismus, nämlich der Verhängung einer Geldbuße, Gebrauch machen. Ihre Abhilfebefugnis beschränkte sich dann nach Art. 58 Abs. 2 DSGVO darauf, eine bloße Warnung oder Verwarnung auszusprechen.
102. Eine Auslegung, wie sie der OZCS und die belgische Regierung vertreten, würde bedeuten, dass alle privaten Einrichtungen, die eine im Allgemeininteresse liegende Aufgabe wahrnehmen und öffentliche Subventionen erhalten, sich potenziell auf die fakultative Ausnahme nach Art. 83 Abs. 7 DSGVO berufen könnten. Nun sind im Allgemeininteresse liegende Aufgaben ihrem Wesen nach (insbesondere in den Bereichen Gesundheit, Bildung oder Soziales) häufig mit der Verarbeitung sensibler Daten natürlicher Personen oder mit der Verarbeitung personenbezogener Daten schutzbedürftiger Personen oder von Personen, die „besonderen Schutz“ verdienen, wie dies bei Kindern der Fall ist, verbunden.
103. In diesem Zusammenhang sollte den Aufsichtsbehörden nicht kategorisch die Möglichkeit genommen werden, Geldbußen gegen eine privatrechtliche Einrichtung zu verhängen, nur weil diese im Allgemeininteresse liegende Bildungsaufgaben wahrnimmt und öffentliche Subventionen erhält. Eine solche Auslegung würde die Fähigkeit der Aufsichtsbehörden, die Einhaltung der DSGVO und den Schutz natürlicher Personen zu gewährleisten, erheblich einschränken.
V. Ergebnis
104. Nach alledem schlage ich vor, dem Hof van Cassatie (Kassationshof, Belgien) wie folgt zu antworten:
Art. 83 Abs. 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist dahin auszulegen, dass
er einer nationalen Regelung entgegensteht, die es der Aufsichtsbehörde nicht gestattet, gegen juristische Personen des Privatrechts, die freien Unterricht erteilen und zu diesem Zweck Subventionen aus öffentlichen Mitteln erhalten, eine Geldbuße zu verhängen.
1 Originalsprache: Spanisch.
2 Gegevensbeschermingsautoriteit (Datenschutzbehörde, im Folgenden: DSB).
3 Verordnung des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1), berichtigt in ABl. 2018, L 127, S. 2. Im Folgenden: DSGVO.
4 Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (Gesetz vom 30. Juli 2018 über den Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten) (Belgisch Staatsblad, 5. September 2018, S. 68.616). Im Folgenden: DSG.
5 Vorlageentscheidung, Abschnitt IV, Nr. 5.
6 Die Vorlagefrage bezieht sich auf die Erwägungsgründe 38 und 58 der DSGVO, in denen auf den Schutz von Kindern Bezug genommen wird.
7 Schriftliche Erklärungen der Kommission, Rn. 24 bis 26.
8 Urteil vom 12. Januar 2023, Österreichische Post (Informationen über die Empfänger personenbezogener Daten) (C‑154/21, EU:C:2023:3, Rn. 44).
9 Der OZCS verweist insoweit auf die Leitlinien zu den Datenschutzbeauftragten, angenommen von der gemäß Art. 29 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) gebildeten Arbeitsgruppe am 13. Dezember 2016 und überarbeitet am 5. April 2017 (16/EN, GT 243). Dort heißt es, dass der in Rede stehende Begriff „nach dem nationalen Recht zu bestimmen ist“ (Abs. 2.1.1).
10 Im Zusammenhang mit Art. 86 über die Verarbeitung von und den Zugang der Öffentlichkeit zu amtlichen Dokumenten heißt es im 154. Erwägungsgrund der DSGVO: „Die Bezugnahme auf Behörden und öffentliche Stellen sollte … sämtliche Behörden oder sonstigen Stellen beinhalten, die vom Recht des jeweiligen Mitgliedstaats über den Zugang der Öffentlichkeit zu Dokumenten erfasst werden.“ Meines Erachtens bezieht sich dieser Verweis ausschließlich auf Art. 86 DSGVO.
11 Art. 24 der Richtlinie 95/46.
12 Erwägungsgründe 11 und 129 der DSGVO.
13 Die DSB führt in Fn. 20 ihrer schriftlichen Erklärungen mehr als ein Dutzend Bestimmungen auf; so schließt z. B. Art. 6 Abs. 1 Unterabs. 2 für Behörden die Anwendung einer der Voraussetzungen für die Rechtmäßigkeit der Datenverarbeitung aus; nach Art. 37 Abs. 3 kann, wenn es sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde oder öffentliche Stelle handelt, für mehrere Behörden oder Stellen ein gemeinsamer Datenschutzbeauftragter benannt werden; Art. 86 regelt den Zugang zu personenbezogenen Daten in amtlichen Dokumenten, die sich im Besitz einer Behörde befinden.
14 Urteil vom 4. Mai 2023, Österreichische Post (C‑300/21, EU:C:2023:370, Rn. 44): „[D]er Begriff ‚Schaden‘ und im vorliegenden Fall speziell der Begriff ‚immaterieller Schaden‘ im Sinne von Art. 82 DSGVO [müssen] in Anbetracht des Fehlens jeglicher Bezugnahme auf das innerstaatliche Recht der Mitgliedstaaten eine autonome und einheitliche unionsrechtliche Definition erhalten.“ Auf derselben Linie ist im Urteil vom 22. Juni 2021, Latvijas Republikas Saeima (Strafpunkte) (C‑439/19, EU:C:2021:504, Rn. 82 bis 85), der Kategorie „Straftat“ bei der Bestimmung der Anwendbarkeit von Art. 10 DSGVO ein autonomer Charakter beigemessen worden.
15 Urteil vom 5. Dezember 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, Rn. 50). Hervorhebung nur hier.
16 Rn. 23 der schriftlichen Erklärungen der DSB.
17 150. Erwägungsgrund der DSGVO.
18 Urteil vom 5. Dezember 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, Rn. 70). Im Rahmen des vorliegenden Vorabentscheidungsersuchens geht es zwar eher um den Begriff der Behörde als um die materiellen Voraussetzungen im engeren Sinne, doch scheint mir die Auffassung zum autonomen Charakter der in Rede stehenden Begriffe im vorliegenden Fall in der Sache ebenfalls zutreffend.
19 Rahmenbeschluss des Rates vom 13. Juni 2002 über den Europäischen Haftbefehl und die Übergabeverfahren zwischen den Mitgliedstaaten (ABl. 2002, L 190, S. 1) in der durch den Rahmenbeschluss 2009/299/JI des Rates vom 26. Februar 2009 (ABl. 2009, L 81, S. 24) geänderten Fassung.
20 Urteil vom 10. November 2016, Poltorak (C‑452/16 PPU, EU:C:2016:858, Rn. 32).
21 Urteil vom 11. September 2025, Österreichische Zahnärztekammer (C‑115/24, EU:C:2025:694, Rn. 62 und die dort angeführte Rechtsprechung).
22 Erwägungsgründe 122 und 128 der DSGVO.
23 Erwägungsgründe 10 und 45 der DSGVO.
24 Die zuletzt genannte Bestimmung bezieht sich auf „eine Behörde …, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist“.
25 Richtlinie des Europäischen Parlaments und des Rates vom 26. Februar 2014 über die öffentliche Auftragsvergabe und zur Aufhebung der Richtlinie 2004/18/EG (ABl. 2014, L 94, S. 65). Nach Art. 2 Abs. 1 Nr. 1 dieser Richtlinie sind öffentliche Auftraggeber der Staat, die Gebietskörperschaften, die Einrichtungen des öffentlichen Rechts oder die Verbände, die aus einer oder mehrerer dieser Körperschaften oder Einrichtungen des öffentlichen Rechts bestehen. Die Einrichtungen des öffentlichen Rechts sind wiederum definiert als „Einrichtungen mit sämtlichen der folgenden Merkmale: a) Sie wurden zu dem besonderen Zweck gegründet, im Allgemeininteresse liegende Aufgaben nicht gewerblicher Art zu erfüllen, b) sie besitzen Rechtspersönlichkeit und c) sie werden überwiegend vom Staat, von Gebietskörperschaften oder von anderen Einrichtungen des öffentlichen Rechts finanziert oder unterstehen hinsichtlich ihrer Leitung der Aufsicht dieser Gebietskörperschaften oder Einrichtungen, oder sie haben ein Verwaltungs‑, Leitungs- beziehungsweise Aufsichtsorgan, das mehrheitlich aus Mitgliedern besteht, die vom Staat, von Gebietskörperschaften oder von anderen Einrichtungen des öffentlichen Rechts ernannt worden sind“.
26 Richtlinie des Europäischen Parlaments und des Rates vom 31. März 2004 über die Koordinierung der Verfahren zur Vergabe öffentlicher Bauaufträge, Lieferaufträge und Dienstleistungsaufträge (ABl. 2004, L 134, S. 114). Gemäß Art. 1 Abs. 9 sind „‚Öffentliche Auftraggeber‘ … der Staat, die Gebietskörperschaften, die Einrichtungen des öffentlichen Rechts und die Verbände, die aus einer oder mehreren dieser Körperschaften oder Einrichtungen des öffentlichen Rechts bestehen“.
27 Urteil vom 29. Oktober 2015, Saudaçor (C‑174/14, EU:C:2015:733; im Folgenden: Urteil Saudaçor, Rn. 46).
28 Urteil vom 3. Februar 2021, FIGC und Consorzio Ge.Se.Av. (C‑155/19 und C‑156/19, EU:C:2021:88, Rn. 48).
29 Richtlinie des Rates vom 28. November 2006 über das gemeinsame Mehrwertsteuersystem (ABl. 2006, L 347, S. 1).
30 Es sei denn, ihre Behandlung als Nichtsteuerpflichtige würde zu größeren Wettbewerbsverzerrungen führen.
31 Urteil Saudaçor (Rn. 48).
32 Urteil Saudaçor (Rn. 49).
33 Urteil Saudaçor (Rn. 46 bis 48, 69 und 70).
34 Rn. 31 der schriftlichen Erklärungen der Kommission.
35 Urteil vom 12. Juli 1990, Foster u. a. (C‑188/89, EU:C:1990:313, Rn. 20).
36 Vgl. entsprechend Urteil Saudaçor (C‑174/14, EU:C:2015:733, Rn. 47 und 48). Die in die DSGVO aufgenommenen Ausnahmen sind in folgenden Urteilen eng ausgelegt worden: vom 9. Juli 2020, Land Hessen (C‑272/19, EU:C:2020:535, Rn. 68), und vom 9. Januar 2025, Österreichische Datenschutzbehörde (Exzessive Anfragen) (C‑416/23, EU:C:2025:3, Rn. 33).
37 Urteil vom 5. Dezember 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, Rn. 73).
38 Urteil vom 4. Mai 2023, Bundesrepublik Deutschland (Elektronisches Gerichtsfach) (C‑60/22, EU:C:2023:373, Rn. 67 und 68).
39 Art. 79 des Vorschlags für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ([DSGVO]), KOM[2012] 011 endgültig – 2012/0011 [COD] C7-0025/12).
40 Standpunkt des Rates in erster Lesung im Hinblick auf den Erlass der Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG ([DSGVO]) vom 8. April 2016, 5419/1/16 REV 1 ADD 1, Rn. 9.5).
41 Von 10 Mio. auf 20 Mio. Euro und bis zu 4 % des Jahresumsatzes.
42 Rn. 13 der schriftlichen Erklärungen des OZCS. Er verweist auf das Urteil Nr. 3/2021 des belgischen Verfassungsgerichtshofs vom 14. Januar 2021. Dort heißt es in Abschnitt B.27: „Aus den Vorarbeiten zu der angefochtenen Bestimmung geht hervor, dass die Nichtanwendung von administrativen Geldbußen auf bestimmte öffentliche Verantwortliche für die Verarbeitung von Daten mit der Notwendigkeit begründet wurde, die Kontinuität des öffentlichen Dienstes zu gewährleisten und die Wahrnehmung einer Aufgabe von allgemeinem Interesse nicht zu gefährden (Parl. Dok., Kammer, 2017-2018, DOC 54-3126/001, SS. 229-230). Solche vom Gesetzgeber in diesem Bereich verfolgte Ziele können an sich als legitim angesehen werden. Es ist jedoch zu prüfen, ob die Maßnahme unter Berücksichtigung der Folgen, die sie nach sich zieht, insbesondere in Bezug auf das Recht auf den Schutz personenbezogener Daten objektiv und vernünftig gerechtfertigt ist.“
43 Urteil vom 27. Juni 2017, Congregación de Escuelas Pías Provincia Betania (C‑74/16, EU:C:2017:496). Im Folgenden: Urteil Escuelas Pías.
44 Insoweit verweist der OZCS neben dem Urteil Escuelas Pías auch auf das Urteil vom 11. September 2017, Kommission/Deutschland (C‑318/05, EU:C:2007:495, Rn. 68).
45 Urteil Escuelas Pías (Rn. 50).
46 Urteil Escuelas Pías (Rn. 51).
47 Urteil Escuelas Pías (Rn. 54).
48 Urteil vom 10. Oktober 2017, Farrell (C‑413/15, EU:C:2017:745, Rn. 34).
49 Urteil des Gerichtshofs vom 2. Juli 1996, Kommission/Luxemburg (C‑473/93, EU:C:1996:263, Rn. 31 ff.). Auch wenn sich dieses und weitere spätere Urteile auf den Begriff der öffentlichen Verwaltung im Sinne des (jetzigen) Art. 45 Abs. 4 AEUV beziehen, sind die Erwägungen in Bezug auf Stellen, die eine unmittelbare oder mittelbare Teilnahme an der Ausübung hoheitlicher Befugnisse und an den Aufgaben mit sich bringen, die auf die Wahrung der allgemeinen Belange des Staates oder anderer öffentlicher Körperschaften gerichtet sind, auf die vorliegend in Rede stehenden Begriffe übertragbar.
50 Urteil vom 27. November 1991, Bleis (C‑4/91, EU:C:1991:448, Rn. 7).
51 In der mündlichen Verhandlung ist ohne nähere Konkretisierung von „mehr als 50 %“ gesprochen worden. Der OZCS hat an der mündlichen Verhandlung nicht teilgenommen, so dass er keine konkreteren Angaben machen konnte.