–

IP ved Rechtsanwältin M. Rodenhausen,

–

Quirin Privatbank AG ved Rechtsanwalt F. Buchmann,

–

Europa-Kommissionen ved A. Bouchagiar og M. Heller, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 17, 18, 79, 82 og 84 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem den fysiske person IP og selskabet Quirin Privatbank AG vedrørende IP’s påstand om, at det pålægges selskabet at undlade en ny uautoriseret videregivelse af IP’s personoplysninger til tredjemand, og om erstatning for den immaterielle skade, der angiveligt er lidt som følge af den oprindelige videregivelse af de pågældende personoplysninger.

3

1., 10., 11., 75., 85. og 146. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

[...]

[...]

[...]

4

Databeskyttelsesforordningens artikel 1 med overskriften »Genstand og formål« bestemmer i stk. 2:

»Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«

5

Forordningens artikel 4 med overskriften »Definitioner« fastsætter:

»I denne forordning forstås ved:

[...]

[...]

[...]

[...]«

6

Databeskyttelsesforordningens kapitel II med overskriften »Principper« indeholder forordningens artikel 5-11.

7

Forordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« fastsætter:

»1.   Personoplysninger skal:

[...]

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

8

Forordningens artikel 6 med overskriften »Lovlig behandling« bestemmer følgende i stk. 1:

»Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

[...]«

9

Databeskyttelsesforordningens kapitel III med overskriften »Den registreredes rettigheder« indeholder forordningens artikel 12-23.

10

Afdeling 3 med overskriften »Berigtigelse og sletning« i kapitel III indeholder forordningens artikel 17, der har overskriften »Ret til sletning (»retten til at blive glemt«)« og fastsætter følgende i stk. 1:

»Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:

[...]

[...]«

11

Afdeling 3 indeholder også forordningens artikel 18, der har overskriften »Ret til begrænsning af behandling« og bestemmer følgende i stk. 1:

»Den registrerede har ret til fra den dataansvarlige at opnå begrænsning af behandling, hvis et af følgende forhold gør sig gældende:

[...]

[...]«

12

Databeskyttelsesforordningens kapitel VIII med overskriften »Retsmidler, ansvar og sanktioner« omfatter forordningens artikel 77-84.

13

Databeskyttelsesforordningens artikel 77 har overskriften »Ret til at indgive klage til en tilsynsmyndighed«, og forordningens artikel 78 har overskriften »Adgang til effektive retsmidler over for en tilsynsmyndighed«.

14

Forordningens artikel 79 med overskriften »Adgang til effektive retsmidler over for en dataansvarlig eller databehandler« fastsætter følgende i stk. 1:

»Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 77, skal den enkelte registrerede have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med denne forordning.«

15

Databeskyttelsesforordningens artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« lyder således:

»1.   Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.

[...]

3.   En dataansvarlig eller databehandler er fritaget for erstatningsansvar i henhold til stk. 2, hvis det bevises, at den pågældende ikke er skyld i den begivenhed, der medførte skaden.

[...]«

16

Forordningens artikel 83 med overskriften »Generelle betingelser for pålæggelse af administrative bøder« bestemmer følgende i stk. 2:

»[...] Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag, tages der behørigt hensyn til følgende:

[...]

17

Forordningens artikel 84 med overskriften »Sanktioner« fastsætter i stk. 1:

»Medlemsstaterne fastsætter regler om andre sanktioner, der skal anvendes i tilfælde af overtrædelser af denne forordning, navnlig overtrædelser, som ikke er underlagt administrative bøder i henhold til artikel 83, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.«

18

Artikel 2, stk. 1, i Grundgesetz für die Bundesrepublik Deutschland (Forbundsrepublikken Tysklands forfatning) af 23. maj 1949 (BGBl. 1949 I, s. 1) i den affattelse, der finder anvendelse på tvisten i hovedsagen, har følgende ordlyd:

»Enhver har ret til fri personlig udfoldelse, såfremt vedkommende ikke krænker andres rettigheder og ikke tilsidesætter den forfatningsmæssige orden eller den offentlige sædelighed.«

19

§ 253 i Bürgerliches Gesetzbuch (borgerlig lovbog) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »BGB«), med overskriften »Immateriel skade« fastsætter:

»(1)   Der kan kun forlanges økonomisk erstatning for ikke-økonomisk skade i lovbestemte tilfælde.

(2)   Såfremt der skal betales erstatning for skade som følge af en krænkelse af legeme, sundhed, frihed eller seksuel selvbestemmelse, kan der også forlanges passende økonomisk erstatning for en ikke-økonomisk skade.«

20

§ 823 i BGB med overskriften »Erstatningspligt« bestemmer:

»(1)   Den, der forsætligt eller uagtsomt retsstridigt krænker en andens liv, legeme, sundhed, frihed, ejendom eller andre rettigheder, er forpligtet til at betale erstatning til den pågældende person for den heraf opståede skade.

(2)   Samme pligt påhviler den, der tilsidesætter en lov, som har til formål at beskytte en anden. Er det i henhold til lovens indhold også muligt at tilsidesætte loven uden culpa, indtræder erstatningspligten kun, dersom der foreligger culpa.«

21

§ 1004 i BGB med overskriften »Krav på ophør og undladelse« bestemmer i stk. 1:

»Hvis der gøres indgreb i ejendomsretten på anden måde end ved berøvelse eller tilbageholdelse af ejendele, kan ejeren kræve, at den, som forårsager indgrebet, bringer det til ophør. Hvis der frygtes yderligere indgreb, kan ejeren anlægge et søgsmål med påstand om undladelse.«

22

Ifølge forelæggelsesafgørelsen finder § 1004 i BGB i hovedsagen analog anvendelse på en tilsidesættelse af absolutte rettigheder eller på en tilsidesættelse af en lov, som har til formål at beskytte en anden, som omhandlet i henholdsvis stk. 1 og stk. 2 i lovens § 823.

23

Sagsøgeren i hovedsagen ansøgte gennem et professionelt socialt onlinenetværk om en stilling hos Quirin Privatbank, der er et tysk selskab. Efterfølgende brugte en medarbejder hos selskabet netværkets meddelelsestjeneste til at sende en tredjemand, der ikke deltog i ansøgningsprocessen, en meddelelse, der udelukkende var tiltænkt sagsøgeren i hovedsagen, hvori hun meddelte denne, at hans lønkrav var blevet afvist, og tilbød ham en anden betaling (herefter »den omhandlede meddelelse«). Den pågældende tredjemand, som kendte sagsøgeren i hovedsagen, fordi han havde arbejdet sammen med ham, videresendte meddelelsen til ham og spurgte ham, om han var ved at søge job.

24

Sagsøgeren i hovedsagen anlagde sag ved Landgericht Darmstadt (den regionale ret i første instans i Darmstadt, Tyskland) med påstand om, at det blev pålagt Quirin Privatbank dels at undlade enhver behandling af personoplysninger om ham med tilknytning til hans ansøgning, som ville gentage den uautoriserede videregivelse af disse oplysninger som følge af fremsendelsen af den omhandlede meddelelse, dels at betale ham erstatning for den immaterielle skade, som hændelsen har medført. Han gjorde i det væsentlige gældende, at skaden skyldes hans bekymring over, at mindst én anden person, som kender ham og arbejder i samme branche som ham, har fået mulighed for at give de fortrolige oplysninger videre til tidligere eller potentielle arbejdsgivere, skaffe sig en fordel i forhold til ham i en mulig konkurrencesituation i forbindelse med en ansættelse og opfatte, hvor ydmygende det var for ham, at hans lønforhandlinger mislykkedes.

25

Ved dom af 26. maj 2020 pålagde den regionale ret i første instans Quirin Privatbank at undlade de i påstanden nævnte handlinger og at betale sagsøgeren i hovedsagen en erstatning på 1000 EUR med tillæg af renter. Quirin Privatbank iværksatte appel til prøvelse af denne dom.

26

Ved dom af 2. marts 2022 omgjorde Oberlandesgericht Frankfurt (den regionale appeldomstol i Frankfurt, Tyskland) delvist den nævnte dom. Appeldomstolen fandt, at sagsøgeren i hovedsagen i henhold til databeskyttelsesforordningens artikel 17, stk. 1, har ret til at kræve, at Quirin Privatbank i fremtiden undlader at behandle hans personoplysninger på tilsvarende måde som i den omhandlede meddelelse, og at der i denne henseende er risiko for gentagelse. Appeldomstolen frifandt derimod indstævnte for påstanden om erstatning i henhold til forordningens artikel 82 med den begrundelse, at der ganske vist er sket en tilsidesættelse af reglerne om beskyttelse af personoplysninger ved videregivelsen af personoplysningerne til en udenforstående tredjemand, men at sagsøgeren i hovedsagen ikke har ført bevis for en konkret skade, og at det ikke kan kvalificeres som en immateriel skade, at han er blevet ydmyget, selv hvis dette måtte antages.

27

Sagsøgeren i hovedsagen og Quirin Privatbank har hver især iværksat revisionsanke til prøvelse af denne dom ved Bundesgerichtshof (forbundsdomstol, Tyskland), som er den forelæggende ret. Sagsøgeren i hovedsagen har for denne ret fastholdt sine oprindelige påstande, mens Quirin Privatbank har nedlagt påstand om frifindelse i det hele.

28

Den forelæggende ret er af den opfattelse, at de handlinger, som sagsøgeren i hovedsagen har anfægtet, falder ind under databeskyttelsesforordningens anvendelsesområde. Retten har anført, at de pågældende handlinger udgør en »behandling« af »personoplysninger« om »den registrerede«, og at Quirin Privatbank er »dataansvarlig«, jf. forordningens artikel 4, nr. 1), 2) og 7). Ifølge retten er det ubestridt, at de nævnte handlinger, der havde form af en uautoriseret videregivelse af sådanne oplysninger til en »tredjemand« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 10), indebar en tilsidesættelse af forordningens bestemmelser og er ulovlige i henhold til forordningens artikel 6, stk. 1, bl.a. fordi sagsøgeren i hovedsagen ikke havde givet samtykke til dem.

29

Retten er for det første i tvivl om, hvorvidt databeskyttelsesforordningen giver en person, hvis personoplysninger er blevet behandlet ulovligt, ret til at kræve, at den dataansvarlige undlader at gentage denne behandling, herunder når den pågældende ikke anmoder om sletning af sine oplysninger. Henset til national retspraksis og diskussionen i retslitteraturen herom ønsker den forelæggende ret oplyst, om den pågældende ret, der som præciseret af den forelæggende ret udøves rent forebyggende, kan følge af forordningens artikel 17 om retten til sletning, af forordningens artikel 18 om retten til begrænsning af behandling, af forordningens artikel 79 om adgang til effektive retsmidler over for den dataansvarlige eller databehandleren eller af en anden bestemmelse i forordningen.

30

Såfremt disse spørgsmål besvares bekræftende, ønsker den forelæggende ret for det andet, henset til sin egen praksis på grundlag af artikel 2 i Forbundsrepublikken Tysklands forfatning og en samlet anvendelse af §§ 823 og 1004 i BGB, dels at få fastlagt, om en sådan ret til at kræve, at den dataansvarlige undlader en ny overtrædelse af databeskyttelsesforordningen, er betinget af, at der foreligger en risiko for gentagelse, dels om der i givet fald foreligger en formodning for denne risiko i betragtning af den oprindelige overtrædelse.

31

For det tredje ønsker den forelæggende ret, hvis de to led i det første spørgsmål i modsat fald besvares benægtende, at få oplyst, om det følger af en samlet læsning af databeskyttelsesforordningens artikel 79 og 84 vedrørende henholdsvis retten til effektive retsmidler over for den dataansvarlige og sanktionerne i tilfælde af overtrædelse af forordningen, at en ret i en medlemsstat kan pålægge den dataansvarlige en sådan undladelse i henhold til national ret, samtidig med at den registrerede indrømmes de rettigheder, der er fastsat i forordningens artikel 17, 18 og 82.

32

For det fjerde er den forelæggende ret i tvivl om de betingelser, som retten til erstatning for en skade i henhold til databeskyttelsesforordningens artikel 82, stk. 1, sammenholdt med 75. og 85. betragtning til forordningen, er underlagt. Den forelæggende ret er nærmere bestemt i tvivl om, hvilke elementer der gør det muligt at lægge til grund, at der foreligger en »immateriel skade« som omhandlet i artikel 82, stk. 1, såfremt den registrerede alene påberåber sig negative følelser, der ifølge den forelæggende ret er en del af hverdagen.

33

For det femte er den forelæggende ret i tvivl om, hvorvidt der skal tages hensyn til graden af skyld hos den dataansvarlige ved fastsættelsen af størrelsen af den erstatning for en immateriel skade, der skal betales i henhold til databeskyttelsesforordningens artikel 82, stk. 1. Retten har præciseret, at økonomisk erstatning for en immateriel skade efter tysk ret kræver, at der bl.a. tages hensyn til graden af skyld hos skadevolderen, idet denne erstatning både har en funktion, der består i at kompensere for skadelidtes skade, og en funktion, der består i at give skadelidte en oprejsning, der skyldes vedkommende i overensstemmelse med retspraksis vedrørende § 253 i BGB.

34

Såfremt et af de to led i det første spørgsmål eller det tredje spørgsmål besvares bekræftende, ønsker den forelæggende ret for det sjette oplyst, om en registrerets ret til at kræve, at den dataansvarlige undlader at begå en ny overtrædelse af databeskyttelsesforordningen, udgør et relevant kriterium med henblik på at reducere eller endog udelukke erstatningen for immateriel skade i henhold til forordningens artikel 82, stk. 1, i lighed med, hvad der er muligt i henhold til tysk ret.

35

På denne baggrund har Bundesgerichtshof (forbundsdomstol) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

36

Med det første til det tredje spørgsmål, som skal behandles samlet, ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens bestemmelser skal fortolkes således, at de til fordel for den registrerede, der er berørt af en ulovlig behandling af personoplysninger, såfremt denne ikke anmoder om, at vedkommendes oplysninger bliver slettet, fastsætter et retsmiddel, der gør det muligt for den pågældende at opnå, at det som en forebyggende foranstaltning pålægges den dataansvarlige at undlade en ny ulovlig behandling i fremtiden, og om bestemmelserne i benægtende fald forhindrer medlemsstaterne i at fastsætte et sådant retsmiddel i deres respektive retsordener.

37

Det skal indledningsvis bemærkes, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og til de mål, der forfølges med den ordning, som den udgør en del af (dom af 4.10.2024, Lindenapotheke, C-21/23, EU:C:2024:846, præmis 52 og den deri nævnte retspraksis).

38

I denne henseende skal det for det første bemærkes, at databeskyttelsesforordningen er baseret på, at enhver fysisk person har ret til beskyttelse i forbindelse med behandling af sine personoplysninger. Denne beskyttelse udgør en grundlæggende rettighed, der er fastsat i chartrets artikel 8, stk. 1, som der henvises til i første betragtning til forordningen. Målsætningen om at sikre effektiviteten af denne grundlæggende rettighed, samtidig med at der sikres et højt og ensartet beskyttelsesniveau i alle medlemsstaterne, har afgørende indflydelse på anvendelsen af forordningen, således som det fremgår af dens artikel 1 og tiende betragtning (jf. i denne retning dom af 5.10.2023, Ministerstvo zdravotnictví (Covid-19-mobilapplikation), C-659/22, EU:C:2023:745, præmis 28, af 4.10.2024, Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 28, og af 3.4.2025, Ministerstvo zdravotnictví (Oplysninger om repræsentanten for en juridisk person), C-710/23, EU:C:2025:231, præmis 29).

39

I henhold til fast retspraksis skal enhver behandling af personoplysninger overholde de principper vedrørende behandling af sådanne oplysninger og rettighederne for »den registrerede« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1), som er fastsat i henholdsvis kapitel II og III i forordningen. Den skal navnlig være i overensstemmelse med de principper vedrørende behandling af sådanne oplysninger, der er fastsat i forordningens artikel 5, og opfylde de betingelser for lovlighed, der er anført i forordningens artikel 6 (jf. i denne retning dom af 19.12.2024, K GmbH (Behandling af arbejdstageres personoplysninger), C-65/23, EU:C:2024:1051, præmis 46, og af 3.4.2025, Ministerstvo zdravotnictví (Oplysninger om repræsentanten for en juridisk person), C-710/23, EU:C:2025:231, præmis 33).

40

Som generaladvokaten i det væsentlige har anført i punkt 32, 34 og 38 i forslaget til afgørelse, fastslår chartrets artikel 8 i stk. 1 retten til beskyttelse af personoplysninger, men det kræves også i stk. 2, at disse oplysninger behandles under overholdelse af visse betingelser, som er afgørende for lovligheden af den pågældende behandling. Tilsvarende er der som modstykke til forpligtelserne for den dataansvarlige i databeskyttelsesforordningens kapitel II fastsat nogle specifikke rettigheder for de registrerede i forordningen. De registrerede har således en ret til en lovlig behandling af deres personoplysninger, som er en logisk følge af den generelle forpligtelse for den dataansvarlige til ikke at behandle sådanne oplysninger på en måde, der ikke overholder kravene i forordningen.

41

For det andet har Domstolen gentagne gange fastslået, at EU-retten, og herunder chartrets bestemmelser, ikke forpligter medlemsstaterne til at indføre andre søgsmålsmuligheder end dem, som følger af national ret, medmindre det imidlertid fremgår af den omhandlede nationale retsordens opbygning, at der ikke foreligger noget retsmiddel, som giver mulighed for, selv indirekte, at sikre, at borgernes rettigheder i henhold til EU-retten overholdes (dom af 8.5.2025, Barało, C-530/23, EU:C:2025:322, præmis 99 og den deri nævnte retspraksis).

42

I det foreliggende tilfælde skal det indledningsvis understreges, at den i hovedsagen omhandlede situation ikke vedrører en national rets mulighed for at træffe foreløbige foranstaltninger, men den registreredes eventuelle mulighed for ved et søgsmål af forebyggende karakter at opnå et materielt forbud for den dataansvarlige mod at begå en ny krænkelse af disse rettigheder.

43

Det skal i denne henseende bemærkes, at databeskyttelsesforordningen ikke indeholder bestemmelser, der udtrykkeligt eller implicit fastsætter, at den registrerede – således som den forelæggende ret overvejer – har ret til gennem et søgsmål som en forebyggende foranstaltning at opnå, at det pålægges den dataansvarlige for personoplysninger i fremtiden at undlade at begå en overtrædelse af forordningens bestemmelser, nærmere bestemt i form af en gentagelse af en ulovlig behandling. Som generaladvokaten har anført i punkt 54-69 i forslaget til afgørelse, kan en sådan ret navnlig hverken udledes af forordningens artikel 17 eller af dens artikel 18.

44

Hvad angår databeskyttelsesforordningens kapitel VIII skal det bemærkes, at dette kapitel bl.a. regulerer de retsmidler, der gør det muligt at beskytte den registreredes rettigheder, når personoplysningerne vedrørende vedkommende har været genstand for en behandling, der angiveligt er i strid med forordningens bestemmelser. Beskyttelsen af disse rettigheder kan navnlig påberåbes direkte af den registrerede i henhold til forordningens artikel 77-79, der fastsætter forskellige retsmidler, som den registrerede kan anvende samtidigt og uafhængigt af hinanden (jf. i denne retning dom af 4.10.2024, Lindenapotheke, C-21/23, EU:C:2024:846, præmis 47 og den deri nævnte retspraksis, og af 30.4.2025, Inspektorat kam Visshia sadeben savet, C-313/23, C-316/23 og C-332/23, EU:C:2025:303, præmis 128 og den deri nævnte retspraksis).

45

Det fremgår af ordlyden af bestemmelserne i databeskyttelsesforordningens kapitel VIII, at ingen af dem forpligter medlemsstaterne til at fastsætte et forebyggende retsmiddel som det, der er beskrevet i denne doms præmis 42. Navnlig begrænser forordningens artikel 79, stk. 1, sig efter ordlyden til at fastsætte, at den enkelte registrerede, uden at det berører andre administrative eller udenretslige klageadgange, skal have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til forordningen er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med forordningen. Ordlyden af denne bestemmelse pålægger ikke medlemsstaterne at fastsætte et særligt retsmiddel, der gør det muligt ved et søgsmål som en forebyggende foranstaltning at opnå et undladelsespåbud som det, den forelæggende ret overvejer.

46

Henset til ordlyden af bestemmelserne i databeskyttelsesforordningens kapitel VIII og navnlig til anerkendelsen i forordningens artikel 79, stk. 1, af, at den enkelte registrerede skal have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til forordningen er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med forordningen, »uden at det berører« andre tilgængelige administrative eller udenretslige klageadgange, skal det imidlertid fastslås, at medlemsstaterne ikke er forhindret i at fastsætte et sådant forebyggende retsmiddel med henblik på at pålægge den dataansvarlige at undlade nye krænkelser af disse rettigheder (jf. i denne retning dom af 4.10.2024, Lindenapotheke, C-21/23, EU:C:2024:846, præmis 53).

47

Det skal i denne henseende understreges, at selv om databeskyttelsesforordningen har til formål at sikre en harmonisering af de nationale lovgivninger om beskyttelse af personoplysninger, som i princippet er fuldstændig, åbner flere bestemmelser i forordningen ikke desto mindre udtrykkeligt mulighed for, at medlemsstaterne kan fastsætte supplerende nationale regler, der er strengere, eller undtagelsesbestemmelser, som overlader medlemsstaterne et skøn med hensyn til, hvorledes disse bestemmelser kan gennemføres (»åbningsbestemmelser«) (dom af 4.10.2024, Lindenapotheke, C-21/23, EU:C:2024:846, præmis 57 og den deri nævnte retspraksis).

48

Bestemmelserne i databeskyttelsesforordningens kapitel VIII indeholder ganske vist ikke specifikt en sådan åbningsbestemmelse, der udtrykkeligt gør det muligt for medlemsstaterne at give den registrerede, der ønsker at forhindre den dataansvarlige i at overtræde forordningens materielle bestemmelser, mulighed for at anlægge sag med henblik på at opnå et påbud til den dataansvarlige om at undlade at handle på den måde. EU-lovgiver har imidlertid ikke haft til hensigt at foretage en udtømmende harmonisering af de retsmidler, der er til rådighed i tilfælde af overtrædelse af forordningens bestemmelser, og har navnlig ikke udelukket en sådan adgang til at anlægge sag (jf. i denne retning dom af 4.10.2024, Lindenapotheke, C-21/23, EU:C:2024:846, præmis 59 og 60).

49

Denne fortolkning støttes af de mål, der forfølges med databeskyttelsesforordningen. Forordningen har nemlig bl.a., som det fremgår af 10. betragtning, til formål at sikre et ensartet og højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger. I 11. betragtning til forordningen er det desuden særligt anført, at det for at sikre effektiv beskyttelse af disse oplysninger er nødvendigt at styrke de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af oplysninger (jf. i denne retning dom af 4.10.2024, Lindenapotheke, C-21/23, EU:C:2024:846, præmis 61).

50

Muligheden for den registrerede for at anlægge sag med henblik på, at det pålægges den dataansvarlige at undlade at overtræde de materielle bestemmelser i databeskyttelsesforordningen i fremtiden, bringer ikke disse mål i fare, men kan tværtimod styrke disse bestemmelsers effektive virkning og dermed det høje beskyttelsesniveau for de registrerede i forbindelse med behandlingen af deres personoplysninger som omhandlet i forordningen. Bestemmelserne i databeskyttelsesforordningens kapitel VIII er derfor ikke til hinder for en national lovgivning, der giver den registrerede en sådan mulighed for at anlægge et forebyggende søgsmål (jf. i denne retning dom af 4.10.2024, Lindenapotheke, C-21/23, EU:C:2024:846, præmis 62 og 73).

51

Det følger heraf, at databeskyttelsesforordningen ikke er til hinder for, at der er adgang til at anlægge sag med henblik på at opnå et påbud, der gør det muligt at forhindre en eventuel overtrædelse af forordningens materielle bestemmelser, bl.a. ved en potentiel gentagelse af en ulovlig behandling, på grundlag af bestemmelser i en medlemsstats lovgivning, der finder anvendelse ved den nationale ret, som sagen anlægges ved.

52

Henset til samtlige ovenstående betragtninger skal det første til det tredje spørgsmål besvares med, at databeskyttelsesforordningens bestemmelser skal fortolkes således, at de ikke til fordel for den registrerede, der er berørt af en ulovlig behandling af personoplysninger, såfremt denne ikke anmoder om, at vedkommendes oplysninger bliver slettet, fastsætter et retsmiddel, der gør det muligt for den pågældende at opnå, at det som en forebyggende foranstaltning pålægges den dataansvarlige at undlade en ny ulovlig behandling i fremtiden. Bestemmelserne forhindrer imidlertid ikke medlemsstaterne i at fastsætte et sådant retsmiddel i deres respektive retsordener.

53

Med det fjerde spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at begrebet »immateriel skade« i denne bestemmelse omfatter negative følelser, som den registrerede oplever som følge af en uautoriseret videregivelse af vedkommendes personoplysninger til en tredjemand, såsom frygt eller utilfredshed, der udløses af et tab af kontrol over oplysningerne, af et potentielt misbrug af oplysningerne eller af en krænkelse af vedkommendes omdømme.

54

Det bemærkes, at databeskyttelsesforordningens artikel 82, stk. 1, fastsætter, at enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.

55

Det fremgår af fast retspraksis, at da der i databeskyttelsesforordningens artikel 82, stk. 1, ikke er nogen henvisning til medlemsstaternes nationale ret, skal begrebet »immateriel skade« i denne bestemmelses forstand undergives en selvstændig og ensartet fortolkning, der er særlig for EU-retten (jf. i denne retning dom af 25.1.2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, præmis 64, og af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 139 og den deri nævnte retspraksis).

56

I denne henseende har Domstolen gentagne gange, navnlig i lyset af 75., 85. og 146. betragtning til databeskyttelsesforordningen, fastslået, at den blotte overtrædelse af denne forordning ikke er tilstrækkelig til at give ret til erstatning i henhold til forordningens artikel 82, stk. 1. De tre kumulative, nødvendige og tilstrækkelige betingelser for denne ret til erstatning er, at der foreligger en materiel eller immateriel »skade«, eller at der er »forvold[t] skade«, at forordningen er blevet overtrådt, og at der er en årsagsforbindelse mellem skaden og overtrædelsen. Den registrerede, der fremsætter et erstatningskrav vedrørende en immateriel skade på grundlag af forordningens artikel 82, stk. 1, er således forpligtet til ikke alene at godtgøre en overtrædelse af forordningen, men ligeledes, at denne overtrædelse har forvoldt vedkommende en sådan skade (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 32, 33, 37 og 42, og domme af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 140-142, og Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 24 og 25).

57

I det foreliggende tilfælde har den forelæggende ret anført, at sagsøgeren i hovedsagen med hensyn til den immaterielle skade, som han hævder at have lidt som følge af den omhandlede overtrædelse af databeskyttelsesforordningen, i det væsentlige har påberåbt sig »frygten for at oplysningerne videregives til andre i samme branche, [den omstændighed at] en person herved får kendskab til fortrolige forhold, [samt] ydmygelse som følge af tabte lønforhandlinger og andres kendskab hertil«. Den forelæggende ret ønsker oplyst, om »negative følelser som f.eks. ærgrelse, irritation, utilfredshed, bekymring og angst«, som efter dens opfattelse »hører til de almindelige problemer i tilværelsen og ofte er en del af hverdagen«, er tilstrækkelige til at fastslå, at der foreligger en »immateriel skade« som omhandlet i forordningens artikel 82, eller om den registrerede skal have lidt en skade, der går videre end disse følelser.

58

I denne henseende fremgår det for det første af Domstolens praksis, at databeskyttelsesforordningens artikel 82, stk. 1, er til hinder for en national regel eller praksis, hvorefter erstatning for en »immateriel skade« som omhandlet i den nævnte bestemmelse er betinget af, at den skade, som den registrerede har lidt, har en vis alvorsgrad. Bestemmelsen kræver ikke, at en immateriel skade, som den registrerede hævder at have lidt, skal nå en »bagatelgrænse«, for at denne skade kan erstattes (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 51, og af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 147 og 149).

59

For det andet, og som Europa-Kommissionen har anført i sit skriftlige indlæg, er situationer som dem, der er påberåbt i hovedsagen og vedrører en »skade på omdømme« som følge af et brud på persondatasikkerheden eller et »tab af kontrol« over sådanne oplysninger, udtrykkeligt blandt de eksempler på mulige skader, der er opregnet i 75. og 85. betragtning til databeskyttelsesforordningen.

60

Domstolen har navnlig fremhævet, at det fremgår af den illustrative liste i første punktum i 85. betragtning til databeskyttelsesforordningen over »skade«, som de registrerede kan lide, at EU-lovgiver havde til hensigt, at dette begreb bl.a. skulle omfatte det blotte »tab af kontrol« over de registreredes egne personoplysninger som følge af en overtrædelse af forordningen, selv om et misbrug af de omhandlede oplysninger ikke konkret har fundet sted. Et sådant tab af kontrol kan være tilstrækkeligt til at forvolde en »immateriel skade« som omhandlet i forordningens artikel 82, stk. 1, for så vidt som den registrerede godtgør, at vedkommende faktisk har lidt en sådan skade, hvor lille den end måtte være, uden at begrebet »immateriel skade« kræver, at det godtgøres, at der foreligger yderligere konkrete negative konsekvenser (jf. i denne retning dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 145, 150 og 156 og den deri nævnte retspraksis).

61

For det tredje har Domstolen allerede fastslået, at den frygt, som en registreret nærer for, at vedkommendes personoplysninger vil blive misbrugt i fremtiden som følge af en overtrædelse af databeskyttelsesforordningen, i sig selv kan udgøre en »immateriel skade« som omhandlet i forordningens artikel 82, stk. 1, forudsat at denne frygt og de negative konsekvenser heraf er behørigt bevist, hvilket det tilkommer den nationale ret at efterprøve (jf. i denne retning dom af 20.6.2024, PS (Forkert adresse), C-590/22, EU:C:2024:536, præmis 32, 35 og 36, og af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 143, 144 og 155 og den deri nævnte retspraksis).

62

Selv om de følelser, som den forelæggende ret har nævnt, navnlig frygt eller utilfredshed, i øvrigt kan høre til de almindelige problemer i tilværelsen og være en del af hverdagen, som den forelæggende ret selv har bemærket, kan sådanne negative følelser således udgøre en »immateriel skade« som omhandlet i databeskyttelsesforordningens artikel 82, stk. 1, for så vidt som den registrerede i overensstemmelse med det i denne doms præmis 56 nævnte krav om, at der er en årsagssammenhæng, godtgør, at vedkommende netop har sådanne følelser og de negative konsekvenser heraf som følge af den omhandlede overtrædelse af forordningen, såsom en uautoriseret videregivelse af vedkommendes personoplysninger til tredjemand, der medfører en risiko for misbrug af oplysningerne, hvilket det påhviler de nationale retter at vurdere.

63

For det fjerde og sidste er denne fortolkning i overensstemmelse med ordlyden af databeskyttelsesforordningens artikel 82, stk. 1, sammenholdt med 85. og 146. betragtning til forordningen, hvori der opfordres til at anlægge en bred fortolkning af begrebet »immateriel skade« som omhandlet i forordningens artikel 82, stk. 1. Den understøttes desuden af formålet med forordningen, der fremgår af dens artikel 1 og første og tiende betragtning og består i at sikre et højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger (jf. analogt dom af 14.12.2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, præmis 19 og 20, og af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 144 og 146).

64

Henset til ovenstående betragtninger skal det fjerde spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at begrebet »immateriel skade« i denne bestemmelse omfatter negative følelser, som den registrerede oplever som følge af en uautoriseret videregivelse af vedkommendes personoplysninger til en tredjemand, såsom frygt eller utilfredshed, der udløses af et tab af kontrol over oplysningerne, af et potentielt misbrug af oplysningerne eller af en krænkelse af vedkommendes omdømme, for så vidt som den registrerede godtgør, at vedkommende har sådanne følelser og de negative konsekvenser heraf som følge af den omhandlede overtrædelse af forordningen.

65

Med det femte spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at bestemmelsen tillader, at der tages hensyn til graden af skyld hos den dataansvarlige ved fastsættelsen af størrelsen af den erstatning for en immateriel skade, der skal betales i henhold til samme artikel 82, stk. 1.

66

I denne henseende fremgår det af Domstolens praksis, at eftersom databeskyttelsesforordningen ikke indeholder bestemmelser, der har til formål at fastsætte reglerne for fastsættelsen af den erstatning, der skal betales som følge af den ret til erstatning, der er fastsat i forordningens artikel 82, skal de nationale retter med henblik herpå anvende den enkelte medlemsstats nationale regler vedrørende den økonomiske erstatnings omfang, for så vidt som dette sker under overholdelse af de EU-retlige principper om ækvivalens og effektivitet (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 54 og 59, og af 4.10.2024, Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 32).

67

I det foreliggende tilfælde ønsker den forelæggende ret oplyst, om graden af skyld hos skadevolderen, som efter tysk ret er et kriterium for fastsættelsen af den økonomiske erstatning for immateriel skade, ligeledes kan finde anvendelse hvad angår erstatningen for en immateriel skade på grundlag af databeskyttelsesforordningens artikel 82.

68

Det følger af Domstolens domme, hvoraf nogle er afsagt efter indgivelsen af den foreliggende anmodning om præjudiciel afgørelse, at det femte spørgsmål skal besvares benægtende.

69

Domstolen har nemlig fastslået, at henset til den kompenserende funktion af den ret til erstatning, som er fastsat i databeskyttelsesforordningens artikel 82, er de nationale retter forpligtet til at sikre »fuld« erstatning for den skade, der er lidt, som anført i 146. betragtning til forordningen, uden at det med henblik på en sådan fuldstændig kompensation er nødvendigt at pålægge betaling af erstatning med karakter af straf (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 57 og 58, og af 4.10.2024, Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 34).

70

Til forskel fra, hvad databeskyttelsesforordningens artikel 83 fastsætter for administrative bøder, idet kriterierne herfor ikke finder tilsvarende anvendelse inden for rammerne af forordningens artikel 82, udfylder den ret til erstatning, der er fastsat i artikel 82, navnlig i tilfælde af immateriel skade, en udelukkende kompenserende funktion, og ikke en afskrækkende eller straffende funktion, da en økonomisk erstatning på grundlag af artikel 82 skal gøre det muligt fuldstændigt at kompensere den skade, der konkret er lidt på grund af overtrædelsen af den nævnte forordning (jf. i denne retning domme af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 153, og Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 39-41).

71

Det bemærkes således dels, at det er en betingelse for, at den dataansvarlige kan ifalde ansvar i henhold til databeskyttelsesforordningens artikel 82, at denne har pådraget sig skyld, hvilket formodes at være tilfældet, medmindre den dataansvarlige beviser, at den pågældende ikke er skyld i den begivenhed, der medførte skaden, dels at denne artikel 82 ikke kræver, at der tages hensyn til graden af denne skyld ved fastsættelsen af størrelsen af den erstatning, der tildeles for en immateriel skade på grundlag af den nævnte artikel (dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 154).

72

Nærmere bestemt er den udelukkende kompenserende funktion af den ret til erstatning, der er fastsat i databeskyttelsesforordningens artikel 82, stk. 1, til hinder for, at der tages hensyn til graden af alvor og den eventuelt forsætlige karakter af overtrædelsen af forordningen, som den dataansvarlige har begået, ved fastsættelsen af erstatningen på grundlag heraf. Det følger heraf, at der inden for rammerne af denne bestemmelse ikke kan tages hensyn til holdningen og begrundelsen hos den dataansvarlige med henblik på i givet fald at tildele den registrerede en erstatning, der er lavere end den skade, som den pågældende konkret har lidt, hverken med hensyn til erstatningens størrelse eller form (jf. i denne retning dom af 4.10.2024, Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 42-45 og den deri nævnte retspraksis).

73

Henset til ovenstående betragtninger skal det femte spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at bestemmelsen er til hinder for, at der tages hensyn til graden af skyld hos den dataansvarlige ved fastsættelsen af størrelsen af den erstatning for en immateriel skade, der skal betales i henhold til denne artikel.

74

Det sjette spørgsmål er stillet for det tilfælde, at Domstolen enten besvarer et af leddene i det første spørgsmål eller det tredje spørgsmål bekræftende, dvs. hvis det nærmere bestemt måtte blive fastslået, at der direkte i medfør af databeskyttelsesforordningens bestemmelser eller ved en anvendelse af nationale bestemmelser, der er tilladt i henhold til forordningen, til fordel for den registrerede anerkendes en ret til at kræve, at den dataansvarlige undlader at begå et nyt brud på persondatasikkerheden i fremtiden. Henset til det samlede svar på det første til det tredje spørgsmål, der fremgår af denne doms præmis 52, skal dette sjette spørgsmål besvares.

75

Med henblik på at præcisere formålet med det sidstnævnte spørgsmål har den forelæggende ret anført, at der i henhold til tysk ret og dens egen retspraksis kan tages hensyn til den omstændighed, at en person, der har lidt en immateriel skade, har anmodet om eller endog opnået, at det pålægges skadevolderen at undlade nye skadevoldende handlinger, med henblik på at nedsætte eller endog udelukke en økonomisk erstatning for denne skade. Den ønsker oplyst, om dette kriterium for vurderingen af erstatningen for skaden også kan anvendes inden for rammerne af databeskyttelsesforordningen, navnlig henset til det EU-retlige princip om effektivitet, og i givet fald i hvilket omfang.

76

Med sit spørgsmål ønsker den forelæggende ret således nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at den omstændighed, at den registrerede i henhold til gældende national ret har opnået et påbud om undladelse af en gentagelse af en overtrædelse af forordningen, som kan gøres gældende over for den dataansvarlige, kan tages i betragtning med henblik på at reducere omfanget af den økonomiske erstatning for en immateriel skade, der skal betales i henhold til samme artikel 82, stk. 1, eller endog træde i stedet for denne erstatning.

77

Det skal i denne henseende bemærkes, at databeskyttelsesforordningen som nævnt i denne doms præmis 66 ikke indeholder bestemmelser, der fastlægger reglerne for fastsættelsen af den erstatning, der skal betales i henhold til forordningens artikel 82, hvorfor de nationale retter med henblik herpå skal anvende den enkelte medlemsstats nationale regler vedrørende den økonomiske erstatnings omfang, forudsat at de EU-retlige principper om ækvivalens og effektivitet bliver overholdt.

78

Det skal navnlig understreges, at de kriterier, der giver mulighed for at bestemme omfanget af den erstatning, der skal betales inden for rammerne af sager til sikring af beskyttelsen af borgernes rettigheder i henhold til databeskyttelsesforordningens artikel 82, og som fastsættes i hver enkelt medlemsstats retsorden, skal gøre det muligt at sikre fuld erstatning for den skade, som den registrerede har lidt som følge af en overtrædelse af forordningen (jf. i denne retning domme af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 152, og Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 34 og den deri nævnte retspraksis).

79

Domstolen har allerede anerkendt, at der inden for de grænser, der følger af effektivitetsprincippet, er visse omstændigheder, der kan påvirke fastsættelsen af den erstatning, der skal betales i henhold til databeskyttelsesforordningens artikel 82, navnlig med henblik på at begrænse denne erstatning. Det er blevet fastslået, at når den skade, som den registrerede har lidt, ikke er alvorlig, kan en national ret tilkende vedkommende en ubetydelig erstatning, forudsat at denne beskedne erstatning gør det muligt fuldstændigt at kompensere for den skade, der er forvoldt, hvilket det tilkommer den forelæggende ret at efterprøve. På samme måde kan en undskyldning anses for at udgøre en passende erstatning for en immateriel skade på grundlag af artikel 82, bl.a. når det er umuligt at genoprette den situation, der forelå, før skaden indtraf, forudsat at denne form for erstatning, for så vidt som den er fastsat i national ret, muliggør en sådan fuldstændig kompensation for den nævnte skade (jf. i denne retning dom af 4.10.2024, Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, præmis 35-37 og den deri nævnte retspraksis).

80

I det foreliggende tilfælde ønskes det med det forelagte spørgsmål oplyst, om en national ret inden for rammerne af anvendelsesområdet for databeskyttelsesforordningens artikel 82 har mulighed for at tage hensyn til den omstændighed, at den registrerede har opnået et undladelsespåbud, med henblik på at nedsætte den erstatning, der kan tildeles vedkommende for en immateriel skade, således at retten i praksis delvist tilkender erstatningen for en sådan skade i økonomisk form og delvist i form af det pågældende påbud eller endog udelukkende i sidstnævnte form.

81

Det fremgår imidlertid af den retspraksis, der er nævnt i denne doms præmis 78 og 79, at en form for erstatning, der er fastsat i gældende national ret, kun kan anses for at være i overensstemmelse med databeskyttelsesforordningen, for så vidt som den pågældende form for erstatning overholder de EU-retlige principper om ækvivalens og effektivitet, hvilket bl.a. forudsætter, at den kan sikre fuld erstatning for den skade, som den registrerede har lidt.

82

Navnlig kan en erstatning, der skal betales i henhold til forordningens artikel 82, ikke helt eller delvist tildeles i form af et undladelsespåbud, eftersom den ret til erstatning for en skade, der er fastsat i artikel 82, udelukkende udfylder en kompenserende funktion som bemærket i denne doms præmis 70, mens et undladelsespåbud over for skadevolderen har et rent forebyggende formål. Som generaladvokaten i det væsentlige har anført i punkt 86 i forslaget til afgørelse, har et påbud af denne art nemlig til formål at forhindre gentagelse af handlinger, der har forvoldt skade, således at der ikke opstår efterfølgende skade, men det yder ikke erstatning for skade, som den registrerede allerede har lidt.

83

Henset til ovenstående betragtninger skal det sjette spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at bestemmelsen er til hinder for, at den omstændighed, at den registrerede i henhold til gældende national ret har opnået et påbud om undladelse af en gentagelse af en overtrædelse af forordningen, som kan gøres gældende over for den dataansvarlige, tages i betragtning med henblik på at reducere omfanget af den økonomiske erstatning for en immateriel skade, der skal betales i henhold til denne artikel, eller, a fortiori, træde i stedet for denne erstatning.

84

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Fjerde Afdeling) for ret: