Voorlopige editie

ARREST VAN HET HOF (Eerste kamer)

7 december 2023 (*)

„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 5, lid 1, onder a) – Beginsel van ‚rechtmatigheid’ – Artikel 6, lid 1, eerste alinea, onder f) – Noodzaak van de verwerking voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde – Artikel 17, lid 1, onder d) – Recht op gegevenswissing wanneer de persoonsgegevens onrechtmatig zijn verwerkt – Artikel 40 – Gedragscodes – Artikel 78, lid 1 – Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit – Door de toezichthoudende autoriteit vastgesteld besluit op een klacht – Omvang van de rechterlijke toetsing van dit besluit – Kredietinformatiebureaus – Bewaring van gegevens uit een openbaar register die betrekking hebben op de kwijtschelding van restschulden ten gunste van een persoon – Bewaartermijn”

In de gevoegde zaken C‑26/22 en C‑64/22,

betreffende verzoeken om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland), bij beslissingen van 23 december 2021 en 31 januari 2022, ingekomen bij het Hof op 11 januari en 2 februari 2022, in de procedures

UF (C‑26/22),

AB (C‑64/22)

tegen

Land Hessen,

in tegenwoordigheid van:

SCHUFA Holding AG,

wijst

HET HOF (Eerste kamer),

samengesteld als volgt: A. Arabadjiev, kamerpresident, T. von Danwitz, P. G. Xuereb, A. Kumin (rapporteur) en I. Ziemele, rechters,

advocaat-generaal: P. Pikamäe,

griffier: K. Hötzel, administrateur,

gezien de stukken en na de terechtzitting op 26 januari 2023,

gelet op de opmerkingen van:

–        UF en AB, vertegenwoordigd door R. Rohrmoser en S. Tintemann, Rechtsanwälte,

–        het Land Hessen, vertegenwoordigd door M. Kottmann en G. Ziegenhorn, Rechtsanwälte,

–        SCHUFA Holding AG, vertegenwoordigd door G. Thüsing en U. Wuermeling, Rechtsanwälte,

–        de Duitse regering, vertegenwoordigd door J. Möller en P.‑L. Krüger als gemachtigden,

–        de Portugese regering, vertegenwoordigd door P. Barros da Costa, J. Ramos en C. Vieira Guerra als gemachtigden,

–        de Europese Commissie, vertegenwoordigd door A. Bouchagiar, F. Erlbacher, H. Kranenborg en W. Wils als gemachtigden,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 16 maart 2023,

het navolgende

Arrest

1        De verzoeken om een prejudiciële beslissing betreffen de uitlegging van de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) en van artikel 6, lid 1, eerste alinea, onder f), artikel 17, lid 1, onder d), artikel 40, artikel 77, lid 1, en artikel 78, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).

2        Deze verzoeken zijn ingediend in het kader van twee gedingen tussen UF (zaak C‑26/22) en AB (zaak C‑64/22), enerzijds, en het Land Hessen (deelstaat Hessen, Duitsland), anderzijds, over de weigering van de Hessische Beauftragter für Datenschutz und Informationsfreiheit (toezichthouder voor gegevensbescherming en vrijheid van informatie, deelstaat Hessen, Duitsland; hierna: „HBDI”) om SCHUFA Holding AG (hierna: „SCHUFA”) te gelasten de bij haar bewaarde gegevens betreffende de kwijtscheldingen van restschuld ten gunste van UF en AB te verwijderen.

 Toepasselijke bepalingen

 Unierecht

 Richtlijn 2008/48

3        De overwegingen 26 en 28 van richtlijn 2008/48/EG van het Europees Parlement en de Raad van 23 april 2008 inzake kredietovereenkomsten voor consumenten en tot intrekking van richtlijn 87/102/EEG van de Raad (PB 2008, L 133, blz. 66) luiden als volgt:

„(26) [...] In de zich uitbreidende kredietmarkt is het met name belangrijk dat kredietgevers zich niet inlaten met onverantwoordelijke leningpraktijken of kredieten toestaan zonder de kredietwaardigheid vooraf te hebben beoordeeld, en de lidstaten moeten het nodige toezicht uitvoeren om dergelijk gedrag te vermijden en de noodzakelijke middelen bepalen om de kredietgever te sanctioneren wanneer dat toch het geval is. [...] [K]redietgevers [moeten] de verantwoordelijkheid hebben om de kredietwaardigheid van elke consument te beoordelen. [...]

[...]

(28)      Om de krediettoestand van een consument te beoordelen, dient de kredietgever ook de relevante gegevensbestanden te raadplegen; de wettelijke en feitelijke omstandigheden kunnen vereisen dat die raadpleging in wisselende mate plaatsvindt. Ter voorkoming van concurrentieverstoringen moeten kredietgevers toegang hebben tot private of publieke gegevensbestanden over consumenten in een lidstaat waar zij niet gevestigd zijn, onder voorwaarden die niet discriminerend zijn ten opzichte van kredietgevers in die lidstaat.”

4        Artikel 8 („Verplichting om de kredietwaardigheid van de consument te beoordelen”) van deze richtlijn bepaalt in lid 1:

„De lidstaten zorgen ervoor dat de kredietgever de kredietwaardigheid van de consument voor het sluiten van de kredietovereenkomst beoordeelt op basis van toereikende informatie die, in voorkomend geval, is verkregen van de consument en, waar nodig, op basis van een raadpleging van het desbetreffende gegevensbestand. Lidstaten van wie de wetgeving van kredietgevers vereist dat zij de kredietwaardigheid van consumenten op basis van een raadpleging van het desbetreffende gegevensbestand beoordelen, kunnen dit vereiste behouden.”

 Richtlijn 2014/17

5        De overwegingen 55 en 59 van richtlijn 2014/17/EU van het Europees Parlement en de Raad van 4 februari 2014 inzake kredietovereenkomsten voor consumenten met betrekking tot voor bewoning bestemde onroerende goederen en tot wijziging van de richtlijnen 2008/48/EG en 2013/36/EU en verordening (EU) nr. 1093/2010 (PB 2014, L 60, blz. 34) luiden als volgt:

„(55)      Het is van essentieel belang dat de capaciteit en bereidheid van een consument om een krediet terug te betalen wordt beoordeeld en geverifieerd voordat een kredietovereenkomst wordt afgesloten. Bij die kredietwaardigheidsbeoordeling moet rekening worden gehouden met alle noodzakelijke en relevante factoren die gedurende de hele looptijd van het krediet van invloed kunnen zijn op het vermogen van een consument om het krediet tijdens de looptijd af te lossen. [...]

[...]

(59)      Het raadplegen van een kredietgegevensbank is een nuttig onderdeel van de kredietwaardigheidsbeoordeling. [...]”

6        Artikel 18 („Verplichting de kredietwaardigheid van de consument te beoordelen”) van deze richtlijn bepaalt in lid 1:

„De lidstaten zien erop toe dat de kredietgever, alvorens een kredietovereenkomst te sluiten, een grondige beoordeling van de kredietwaardigheid van de consument uitvoert. Bij die beoordeling wordt naar behoren rekening gehouden met factoren die relevant zijn om na te gaan of de consument de uit de kredietovereenkomst voortvloeiende verplichtingen kan nakomen.”

7        Artikel 21 („Toegang tot gegevensbanken”) van die richtlijn bepaalt in de leden 1 en 2:

„1.      Iedere lidstaat draagt er zorg voor dat kredietgevers uit alle lidstaten toegang wordt geboden tot gegevensbanken die in de lidstaat in kwestie worden gebruikt om de kredietwaardigheid van consumenten te beoordelen, zulks uitsluitend om toe te zien op het naleven van de kredietverplichtingen tijdens de looptijd van de kredietovereenkomst. De voorwaarden voor een dergelijke toegang zijn niet-discriminerend.

2.      Lid 1 is van toepassing op gegevensbanken die worden beheerd door particuliere kredietbureaus of kredietinformatiebureaus en op openbare registers.”

 Verordening 2015/848

8        Overweging 76 van verordening (EU) 2015/848 van het Europees Parlement en de Raad van 20 mei 2015 betreffende insolventieprocedures (PB 2015, L 141, blz. 19) luidt als volgt:

„Teneinde de informatievoorziening aan de desbetreffende schuldeisers en rechters te verbeteren en te voorkomen dat parallelle insolventieprocedures worden geopend, moeten lidstaten worden verplicht om relevante informatie in grensoverschrijdende insolventiezaken openbaar te maken in een openbaar toegankelijk elektronisch register. Teneinde de toegang te vereenvoudigen tot die informatie voor schuldeisers en rechters die in andere lidstaten woonachtig of gevestigd zijn, moet deze verordening voorzien in de onderlinge koppeling van zulke insolventieregisters via het Europese e-justitieportaal. [...]”

9        Artikel 79 („Verantwoordelijkheden van de lidstaten betreffende de verwerking van persoonsgegevens in nationale insolventieregisters”) van deze verordening bepaalt in de leden 4 en 5:

„4.      Overeenkomstig richtlijn 95/46/EG [van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31)] zijn de lidstaten verantwoordelijk voor het verzamelen en bewaren van gegevens in nationale databanken en voor besluiten die worden genomen om dergelijke gegevens beschikbaar te stellen in het systeem van onderling gekoppelde insolventieregisters dat via het Europees e-justitieportaal kan worden geraadpleegd.

5.      In het kader van de informatieverstrekking aan de betrokkenen teneinde deze in staat te stellen hun rechten uit te oefenen, en met name het recht om gegevens te wissen, stellen de lidstaten de betrokkenen in kennis van de toegankelijkheidsperiode die is vastgesteld voor de in de insolventieregisters opgeslagen persoonsgegevens.”

 AVG

10      De overwegingen 10, 11, 47, 50, 98, 141 en 143 AVG luiden als volgt:

„(10)      Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]

(11)      Doeltreffende bescherming van persoonsgegevens in de gehele Unie vereist de versterking en nadere omschrijving van de rechten van betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen, alsmede gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming en vergelijkbare sancties voor overtredingen in de lidstaten.

[...]

(47)      De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, [kunnen] een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is of in dienst is van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten. [...]

[...]

(50)      De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. [...] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen.

[...]

(98)      Verenigingen en andere organen die categorieën van de verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, dienen te worden aangemoedigd om binnen de grenzen van deze verordening gedragscodes op te stellen, teneinde de doeltreffende uitvoering van deze verordening te bevorderen, rekening houdend met het specifieke karakter van de verwerkingen in sommige sectoren en de specifieke behoeften van kleine, middelgrote en micro-ondernemingen. Deze gedragscodes zouden met name het ijkpunt kunnen zijn voor de verplichtingen van verwerkingsverantwoordelijken en verwerkers, rekening houdend met de aan de verwerking verbonden risico’s voor de rechten en vrijheden van natuurlijke personen.

[...]

(141)      Iedere betrokkene dient het recht te hebben om een klacht in te dienen bij een enkele toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, en een doeltreffende voorziening in rechte in te stellen overeenkomstig artikel 47 van het Handvest indien hij meent dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening of indien de toezichthoudende autoriteit niet optreedt naar aanleiding van een klacht, een klacht gedeeltelijk of geheel verwerpt of afwijst, of indien deze niet optreedt wanneer zulk optreden noodzakelijk is ter bescherming van de rechten van de betrokkene. Het onderzoek dat naar aanleiding van een klacht wordt uitgevoerd, gaat niet verder dan in het specifieke geval passend is en kan worden onderworpen aan rechterlijke toetsing. De toezichthoudende autoriteit dient de betrokkene binnen een redelijke termijn in kennis te stellen van de voortgang en het resultaat van de klacht. [...]

[...]

(143)      [...] [I]edere natuurlijke persoon of rechtspersoon [dient] het recht te hebben om tegen een besluit van een toezichthoudende autoriteit dat ten aanzien van die persoon rechtsgevolgen heeft, voor het bevoegde nationale gerecht een doeltreffende voorziening in rechte in te stellen. Een dergelijk besluit heeft meer bepaald betrekking op de uitoefening van met onderzoek, correctie en toestemming verband houdende bevoegdheden door de toezichthoudende autoriteit, of op de afwijzing van klachten. Het recht een doeltreffende voorziening in rechte in te stellen geldt echter niet voor door de toezichthoudende autoriteiten getroffen maatregelen die niet juridisch bindend zijn, zoals adviezen. Een vordering tegen een toezichthoudende autoriteit dient te worden ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd, en dient in overeenstemming te zijn met het procesrecht van die lidstaat. Die gerechten dienen volledige rechtsmacht uit te oefenen, waaronder rechtsmacht om alle feitelijke en juridische vraagstukken in verband met het bij hen aanhangige geschil te onderzoeken.

Wordt een klacht door een toezichthoudende autoriteit afgewezen, dan kan de klager beroep instellen bij de gerechten in dezelfde lidstaat. In het kader van de rechtsbevoegdheid in verband met de toepassing van deze verordening, kunnen […] of […] moeten de nationale gerechten die van oordeel zijn dat een beslissing ter zake noodzakelijk is voor het wijzen van hun vonnis, [overeenkomstig artikel 267 VWEU] het Hof van Justitie verzoeken om een prejudiciële beslissing over de uitlegging van het Unierecht, met inbegrip van deze verordening. [...]”

11      Artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) van deze verordening is als volgt geformuleerd:

„1.      Persoonsgegevens moeten:

a)      worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);

[...]

c)      toereikend zijn, ter zake dienend [zijn] en beperkt [zijn] tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);

[...]

2.      De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

12      Artikel 6 („Rechtmatigheid van de verwerking”) van die verordening luidt:

„1.      De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

[...]

f)      de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

[...]

4.      Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

a)      ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;

b)      het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;

c)      de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;

d)      de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;

e)      het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.”

13      Artikel 17 AVG, met het opschrift „Recht op gegevenswissing (‚recht op vergetelheid’)”, bepaalt in lid 1:

„De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:

[...]

c)      de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;

d)      de persoonsgegevens zijn onrechtmatig verwerkt;

[...]”

14      Artikel 21 van deze verordening heeft als opschrift „Recht van bezwaar” en bepaalt in de leden 1 en 2:

„1.      De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), [...] met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

2.      Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing.”

15      Artikel 40 („Gedragscodes”) van die verordening bepaalt in de leden 1, 2 en 5:

„1.      De lidstaten, de toezichthoudende autoriteiten, het Comité [van de Regio’s] en de [Europese] Commissie bevorderen de opstelling van gedragscodes die, met inachtneming van de specifieke kenmerken van de diverse gegevensverwerkingssectoren en de specifieke behoeften van kleine, middelgrote en micro-ondernemingen, moeten bijdragen tot de juiste toepassing van deze verordening.

2.      Verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, kunnen gedragscodes opstellen, of die codes wijzigen of uitbreiden, teneinde de toepassing van deze verordening nader toe te lichten, zoals met betrekking tot:

a)      behoorlijke en transparante verwerking;

b)      de gerechtvaardigde belangen die door verwerkingsverantwoordelijken in een specifieke context worden behartigd;

c)      de verzameling van gegevens;

[...]

5.      De in lid 2 van dit artikel bedoelde verenigingen en andere organen die voornemens zijn een gedragscode op te stellen of een bestaande gedragscode te wijzigen of uit te breiden, leggen de ontwerpgedragscode, de wijziging of uitbreiding voor aan de overeenkomstig artikel 51 bevoegde toezichthoudende autoriteit. De toezichthoudende autoriteit brengt advies uit over de vraag of de ontwerpgedragscode, de wijziging of uitbreiding strookt met deze verordening, en keurt deze ontwerpgedragscode, die wijziging of uitbreiding goed indien zij van oordeel is dat de code voldoende passende waarborgen biedt.”

16      Artikel 51 AVG, met het opschrift „Toezichthoudende autoriteit”, bepaalt in lid 1:

„Elke lidstaat bepaalt dat één of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken (‚toezichthoudende autoriteit’).”

17      Artikel 52 („Onafhankelijkheid”) van deze verordening bepaalt in de leden 1, 2 en 4:

„1.      Elke toezichthoudende autoriteit treedt volledig onafhankelijk op bij de uitvoering van de taken en de uitoefening van de bevoegdheden die haar overeenkomstig deze verordening zijn toegewezen.

2.      Bij de uitvoering van hun taken en de uitoefening van hun bevoegdheden overeenkomstig deze verordening blijven de leden van elke toezichthoudende autoriteit vrij van al dan niet rechtstreekse externe invloed en vragen noch aanvaarden zij instructies van wie dan ook.

[...]

4.      Elke lidstaat zorgt ervoor dat elke toezichthoudende autoriteit beschikt over de personele, technische en financiële middelen, en de bedrijfsruimten en infrastructuur die nodig zijn voor het effectief uitvoeren van haar taken en uitoefenen van haar bevoegdheden, waaronder die in het kader van wederzijdse bijstand, samenwerking en deelname aan het Comité.”

18      Artikel 57 („Taken”) van die verordening bepaalt in lid 1:

„Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken:

a)      zij monitort en handhaaft de toepassing van deze verordening;

[...]

f)      zij behandelt klachten van betrokkenen, of van organen, organisaties of verenigingen overeenkomstig artikel 80, onderzoekt de inhoud van de klacht in de mate waarin dat gepast is en stelt de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is;

[...]”

19      Artikel 58 AVG, met het opschrift „Bevoegdheden”, noemt in lid 1 de onderzoeksbevoegdheden van elke toezichthoudende autoriteit, en in lid 2 de corrigerende maatregelen die deze autoriteit kan nemen.

20      Artikel 77 („Recht om een klacht in te dienen bij een toezichthoudende autoriteit”) van deze verordening luidt:

„1.      Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.

2.      De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van de voortgang en het resultaat van de klacht, alsmede van de mogelijke voorziening in rechte overeenkomstig artikel 78.”

21      Artikel 78 („Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”) van die verordening bepaalt in de leden 1 en 2:

„1.      Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.

2.      Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep heeft iedere betrokkene het recht om een doeltreffende voorziening in rechte in te stellen indien de overeenkomstig de artikelen 55 en 56 bevoegde toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt van de voortgang of het resultaat van de uit hoofde van artikel 77 ingediende klacht.”

22      Artikel 79 AVG, met het opschrift „Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker”, bepaalt in lid 1:

„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.”

 Duits recht

23      § 9, lid 1, van de Insolvenzordnung (insolventiewetboek) van 5 oktober 1994 (BGBl. 1994 I, blz. 2866, in de op de feiten van het hoofdgeding toepasselijke versie, bepaalt:

„De officiële bekendmaking vindt plaats door een centrale onlinepublicatie in alle deelstaten; zij kan geschieden in de vorm van een uittreksel. Daarbij moet de schuldenaar precies worden aangeduid, en moeten met name zijn adres en zijn bedrijfstak worden vermeld. De bekendmaking wordt geacht te zijn geschied na het verstrijken van twee dagen na de dag van de bekendmaking.”

24      § 3, leden 1 en 2, van de Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (regeling betreffende openbare bekendmakingen via het internet in insolventieprocedures) van 12 februari 2002 (BGBl. I, blz. 677; hierna: „InsoBekV”) bepaalt:

„(1)      De via een elektronisch informatie- en communicatiesysteem verrichte bekendmaking van gegevens betreffende een insolventieprocedure, met inbegrip van gegevens betreffende de opening daarvan, wordt uiterlijk zes maanden nadat de insolventieprocedure is ingetrokken of nadat de schorsing daarvan definitief is geworden, gewist. Indien de procedure niet wordt geopend, vangt de termijn aan met de opheffing van de bekendgemaakte bewarende maatregelen.

(2)      Lid 1, eerste volzin, is van toepassing op bekendmakingen in de procedure voor kwijtschelding van een restschuld, met inbegrip van de beschikking krachtens § 289 van de insolventiewet, met dien verstande dat de termijn begint te lopen vanaf de datum waarop de beschikking tot verlening van kwijtschelding van de restschuld definitief wordt.”

 Hoofdgedingen en prejudiciële vragen

25      In het kader van hen betreffende insolventieprocedures is aan UF en AB bij rechterlijke beslissingen van respectievelijk 17 december 2020 en 23 maart 2021 vervroegde kwijtschelding van de restschuld verleend. Overeenkomstig § 9, lid 1, van de Insolvenzordnung en § 3, leden 1 en 2, InsoBekV is de officiële bekendmaking van deze beslissingen op het internet verwijderd na afloop van een termijn van zes maanden te rekenen vanaf die beslissingen.

26      SCHUFA is een particulier kredietinformatiebureau dat informatie uit openbare registers, met name die over kwijtscheldingen van restschuld, in haar eigen gegevensbanken registreert en bewaart. Zij verwijdert deze laatste informatie na het verstrijken van een termijn van drie jaar na de registratie, overeenkomstig de gedragscode die in Duitsland door de vereniging van kredietinformatiebureaus is opgesteld en door de bevoegde toezichthoudende autoriteit is goedgekeurd.

27      UF en AB hebben zich tot SCHUFA gewend met het verzoek de registraties inzake de hen betreffende beslissingen tot kwijtschelding van de restschuld te wissen. Deze onderneming heeft geweigerd hun verzoeken in te willigen, nadat zij had uiteengezet dat zij bij de uitoefening van haar activiteit de AVG in acht had genomen en dat de in § 3, lid 1, InsoBekV gestelde termijn van zes maanden voor gegevenswissing niet op haar van toepassing is.

28      UF en AB hebben elk een klacht ingediend bij de HBDI als bevoegde toezichthoudende autoriteit.

29      Bij besluiten van 1 maart 2021 en 9 juli 2021 heeft de HBDI de gegevensverwerking door SCHUFA rechtmatig bevonden.

30      Zowel UF als AB heeft tegen het besluit van de HBDI beroep ingesteld bij het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland), de verwijzende rechter. Ter onderbouwing van die beroepen hebben zij aangevoerd dat de HBDI in het kader van zijn taken en bevoegdheden verplicht was om maatregelen jegens SCHUFA te nemen, teneinde haar te gelasten de hen betreffende registraties te wissen.

31      In zijn verweerschrift heeft de HBDI verzocht om de beroepen te verwerpen.

32      Ten eerste heeft de HBDI betoogd dat het in artikel 77, lid 1, AVG bedoelde recht om een klacht in te dienen louter als een petitierecht is opgevat. De rechterlijke toetsing blijft er dus toe beperkt dat wordt nagegaan of de toezichthoudende autoriteit de klacht heeft behandeld en de indiener in kennis heeft gesteld van de voortgang en het resultaat van de klacht. Het is echter niet de taak van de aangezochte rechter om te toetsen of het besluit op de klacht inhoudelijk juist is.

33      Ten tweede heeft de HBDI benadrukt dat de gegevens waartoe kredietinformatiebureaus toegang hebben, mogen worden bewaard zolang als nodig is voor de doeleinden waarvoor zij worden bewaard. Bij gebreke van een regeling door de nationale wetgever hebben de toezichthoudende autoriteiten gedragscodes vastgesteld en de door de vereniging van handelsinformatiebureaus opgestelde gedragscode schrijft voor dat deze gegevens precies drie jaar na de opneming in het bestand worden verwijderd.

34      Dienaangaande acht de verwijzende rechter het in de eerste plaats noodzakelijk de juridische aard te verduidelijken van het besluit van de toezichthoudende autoriteit op een krachtens artikel 77, lid 1, AVG bij haar ingediende klacht.

35      In het bijzonder heeft de verwijzende rechter twijfels over het betoog van de HBDI, omdat het ertoe zou leiden dat afbreuk wordt gedaan aan de doeltreffendheid van de in artikel 78, lid 1, AVG bedoelde voorziening in rechte. Voorts kunnen de artikelen 77 en 78 van deze verordening, in het licht van de doelstelling van die verordening om in het kader van de tenuitvoerlegging van de artikelen 7 en 8 van het Handvest te zorgen voor een doeltreffende bescherming van de fundamentele vrijheden en grondrechten van natuurlijke personen, niet restrictief worden uitgelegd.

36      De verwijzende rechter pleit voor een uitlegging volgens welke het inhoudelijke besluit van de toezichthoudende autoriteit is onderworpen aan een volledige rechterlijke toetsing. Deze autoriteit beschikt echter zowel over een beoordelingsmarge als over een discretionaire bevoegdheid en kan alleen tot handelen gehouden zijn wanneer er geen rechtmatige alternatieven bestaan.

37      In de tweede plaats heeft de verwijzende rechter er in tweeledig opzicht twijfels over of het rechtmatig is dat kredietinformatiebureaus gegevens over de kredietwaardigheid van een persoon bewaren die afkomstig zijn uit openbare registers, zoals het insolventieregister.

38      Ten eerste bestaat er twijfel over de vraag of het rechtmatig is dat een particuliere onderneming, zoals SCHUFA, in haar eigen gegevensbestanden gegevens bewaart die vanuit openbare registers zijn doorgegeven.

39      Om te beginnen worden deze gegevens namelijk niet vanwege een concrete aanleiding bewaard, maar voor het geval dat hun contractpartners hen verzoeken om dergelijke informatie, hetgeen uiteindelijk ertoe leidt dat die gegevens bewaard blijven, vooral wanneer zij wegens het verstrijken van de bewaartermijn reeds uit het openbaar register zijn verwijderd.

40      Voorts is gegevensverwerking, en dus gegevensbewaring, slechts toegestaan indien is voldaan aan een van de voorwaarden van artikel 6, lid 1, AVG. In het onderhavige geval komt alleen de voorwaarde van artikel 6, lid 1, eerste alinea, onder f), van deze verordening in aanmerking. Het valt echter te betwijfelen of een kredietinformatiebureau als SCHUFA een gerechtvaardigd belang in de zin van deze bepaling behartigt.

41      Ten slotte is SCHUFA slechts een van vele kredietinformatiebureaus, zodat de gegevens in Duitsland op verschillende manieren worden bewaard, hetgeen een omvangrijke inbreuk inhoudt op het grondrecht van artikel 7 van het Handvest.

42      Gesteld al dat de bewaring van gegevens uit openbare registers door particuliere ondernemingen rechtmatig zou zijn, rijst ten tweede de vraag inzake de mogelijke duur van een dergelijke bewaring.

43      In dit verband is de verwijzende rechter van oordeel dat van deze particuliere ondernemingen moet worden verlangd dat zij de in § 3 InsoBekV gestelde termijn van zes maanden voor de bewaring van beslissingen tot kwijtschelding van restschulden in het insolventieregister in acht nemen. Derhalve moeten de uit een openbaar register te verwijderen gegevens tegelijkertijd ook worden verwijderd bij alle particuliere kredietinformatiebureaus die deze gegevens hebben bewaard.

44      Bovendien rijst de vraag of een overeenkomstig artikel 40 AVG goedgekeurde gedragscode, waarin een termijn van drie jaar is vastgesteld voor het doorhalen van de registratie van de kwijtschelding van restschulden, in aanmerking moet worden genomen bij de afweging die in het kader van de beoordeling op grond van artikel 6, lid 1, eerste alinea, onder f), AVG moet worden verricht.

45      In die omstandigheden heeft het Verwaltungsgericht Wiesbaden de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

„1)      Moet artikel 77, lid 1, juncto artikel 78, lid 1, [AVG] aldus worden uitgelegd dat het resultaat dat door de toezichthoudende autoriteit aan de betrokkene wordt meegedeeld:

–        het karakter heeft van een besluit op een petitie, met als gevolg dat de rechterlijke toetsing van een besluit van de toezichthoudende autoriteit op een klacht krachtens artikel 78, lid 1, AVG in beginsel beperkt blijft tot de vraag of de toezichthoudende autoriteit de klacht in behandeling heeft genomen, het voorwerp ervan naar behoren heeft onderzocht en de klager over het resultaat van het onderzoek in kennis heeft gesteld,

dan wel

–        moet worden opgevat als een door een autoriteit vastgesteld besluit ten gronde, met als gevolg dat een besluit van de toezichthoudende autoriteit op een klacht overeenkomstig artikel 78, lid 1, AVG inhoudelijk volledig door de rechter moet worden getoetst, waarbij die autoriteit in individuele gevallen – bijvoorbeeld wanneer geen sprake meer is van enige beoordelingsruimte – door de rechter ook kan worden verplicht een concrete maatregel in de zin van artikel 58 AVG vast te stellen?

2)      Is de bewaring van gegevens bij een particulier kredietinformatiebureau, waarbij persoonsgegevens uit een openbaar register, zoals ‚nationale databanken’ in de zin van artikel 79, leden 4 en 5, van verordening [2015/848], zonder concrete aanleiding worden bewaard om in geval van een informatieverzoek te kunnen worden verstrekt, verenigbaar met de artikelen 7 en 8 van het [Handvest]?

3)      a)      Zijn private parallelle databanken (met name databanken van een kredietinformatiebureau), die naast de databanken van de overheid worden opgericht en waarin gegevens uit de databanken van de overheid (in casu bekendmakingen inzake insolventie) langer worden bewaard dan in het strikte kader van verordening [2015/848] juncto het nationale recht is geregeld, in beginsel toelaatbaar?

b)      Indien de derde vraag, onder a), bevestigend wordt beantwoord, blijkt dan uit het recht op vergetelheid krachtens artikel 17, lid 1, onder d), AVG, dat deze gegevens moeten worden gewist wanneer de in het openbare register vastgestelde verwerkingsperiode is verstreken?

4)      Voor zover artikel 6, lid 1, eerste alinea, onder f), AVG moet worden beschouwd als de enige rechtsgrondslag voor de bewaring bij particuliere kredietinformatiebureaus van gegevens die eveneens in openbare registers worden bewaard, heeft het kredietinformatiebureau dan reeds een gerechtvaardigd belang wanneer het zonder concrete aanleiding gegevens uit het openbare register overneemt teneinde deze op verzoek beschikbaar te kunnen stellen?

5)      Mogen gedragscodes die door de toezichthoudende autoriteiten overeenkomstig artikel 40 AVG zijn goedgekeurd en voorzien in onderzoekstermijnen en termijnen voor gegevenswissing die langer zijn dan de bewaartermijnen van openbare registers, de krachtens artikel 6, lid 1, eerste alinea, onder f), AVG vereiste belangenafweging opschorten?”

46      Bij beschikking van de president van het Hof van 11 februari 2022 zijn de zaken C‑26/22 en C‑64/22 gevoegd voor de schriftelijke en de mondelinge behandeling alsmede voor het arrest.

 Beantwoording van de prejudiciële vragen

 Eerste vraag

47      Met zijn eerste vraag wenst de verwijzende rechter in essentie te vernemen of artikel 78, lid 1, AVG aldus moet worden uitgelegd dat de rechterlijke toetsing van een besluit van een toezichthoudende autoriteit op een klacht beperkt is tot de vraag of deze autoriteit de klacht heeft behandeld, de inhoud ervan naar behoren heeft onderzocht en de klager in kennis heeft gesteld van het resultaat van het onderzoek, dan wel of dit besluit is onderworpen aan een volledige rechterlijke toetsing, waarbij de aangezochte rechter de toezichthoudende autoriteit kan verplichten een concrete maatregel te nemen.

48      Voor de beantwoording van deze vraag moet er vooraf aan worden herinnerd dat bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met de context ervan en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt (arrest van 22 juni 2023, Pankki S, C‑579/21, EU:C:2023:501, punt 38 en aldaar aangehaalde rechtspraak).

49      Wat de bewoordingen van artikel 78, lid 1, AVG betreft, deze bepaling schrijft voor dat onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, iedere natuurlijke persoon of rechtspersoon het recht heeft om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.

50      Dienaangaande moet meteen worden opgemerkt dat in casu de door de HBDI vastgestelde besluiten juridisch bindende besluiten vormen in de zin van artikel 78, lid 1, AVG. Nadat deze autoriteit de gegrondheid van de bij hem ingediende klachten had onderzocht, heeft zij namelijk vastgesteld dat de door verzoekers in de hoofdgedingen betwiste verwerking van persoonsgegevens volgens de AVG rechtmatig is. Het juridisch bindende karakter van deze besluiten wordt overigens bevestigd door overweging 143 van deze verordening, volgens welke de weigering of de afwijzing van een klacht door een toezichthoudende autoriteit een besluit vormt waaraan voor de indiener van de klacht rechtsgevolgen zijn verbonden.

51      Tevens zij opgemerkt dat uit deze bepaling, gelezen in het licht van overweging 141 van deze verordening, uitdrukkelijk blijkt dat iedere betrokkene het recht heeft een „doeltreffende” voorziening in rechte in te stellen overeenkomstig artikel 47 van het Handvest.

52      Zo heeft het Hof reeds geoordeeld dat uit artikel 78, lid 1, AVG, gelezen in het licht van overweging 143 van deze verordening, volgt dat de rechterlijke instanties waarbij een beroep is ingesteld tegen een besluit van een toezichthoudende autoriteit, volledige rechtsmacht dienen uit te oefenen, waaronder rechtsmacht om alle feitelijke en juridische vraagstukken in verband met het bij hen aanhangige geding te onderzoeken (arrest van 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punt 41).

53      Derhalve kan artikel 78, lid 1, AVG niet aldus worden uitgelegd dat de rechterlijke toetsing van een besluit van een toezichthoudende autoriteit op een klacht beperkt blijft tot de vraag of deze autoriteit de klacht heeft behandeld, de inhoud ervan naar behoren heeft onderzocht en de klager in kennis heeft gesteld van het resultaat van het onderzoek. Integendeel, om te kunnen spreken van een „doeltreffende” voorziening in rechte, zoals deze bepaling vereist, moet een dergelijk besluit worden onderworpen aan een volledige rechterlijke toetsing.

54      Voor deze uitlegging is steun te vinden in de context van artikel 78, lid 1, AVG en in de doelstellingen en het oogmerk van deze verordening.

55      Wat de context van deze bepaling betreft, moet worden opgemerkt dat overeenkomstig artikel 8, lid 3, van het Handvest alsook artikel 51, lid 1, en artikel 57, lid 1, onder a), AVG de nationale toezichthoudende autoriteiten belast zijn met het toezicht op de naleving van de Unieregels inzake de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (arrest van 16 juli 2020, Facebook Ireland en Schrems, C‑311/18, EU:C:2020:559, punt 107).

56      In het bijzonder moet krachtens artikel 57, lid 1, onder f), AVG elke toezichthoudende autoriteit op haar grondgebied de klachten behandelen die eenieder overeenkomstig artikel 77, lid 1, van deze verordening het recht heeft in te dienen wanneer hij van oordeel is dat een verwerking van hem betreffende persoonsgegevens schending van die verordening oplevert, en het voorwerp van die klachten voor zover nodig moet onderzoeken. De toezichthoudende autoriteit moet een dergelijke klacht met de nodige voortvarendheid en zorgvuldigheid onderzoeken (arrest van 16 juli 2020, Facebook Ireland en Schrems, C‑311/18, EU:C:2020:559, punt 109).

57      Voor de behandeling van klachten verleent artikel 58, lid 1, AVG elke toezichthoudende autoriteit ruime onderzoeksbevoegdheden. Wanneer een dergelijke autoriteit na afloop van haar onderzoek vaststelt dat er bepalingen van deze verordening zijn geschonden, is zij verplicht om op gepaste wijze te reageren teneinde de vastgestelde ontoereikendheid te verhelpen. Daartoe somt artikel 58, lid 2, van die verordening op welke corrigerende maatregelen de toezichthoudende autoriteit kan nemen (zie in die zin arrest van 16 juli 2020, Facebook Ireland en Schrems, C‑311/18, EU:C:2020:559, punt 111).

58      Hieruit volgt, zoals de advocaat-generaal in punt 42 van zijn conclusie heeft opgemerkt, dat de klachtenprocedure, die niet te vergelijken valt met die van een petitie, is opgevat als een mechanisme waarmee de rechten en belangen van de betrokkenen doeltreffend kunnen worden beschermd.

59      In het licht van de ruime bevoegdheden waarover de toezichthoudende autoriteit uit hoofde van de AVG beschikt, zou niet zijn voldaan aan het vereiste van een effectieve rechterlijke bescherming indien besluiten inzake de uitoefening van onderzoeksbevoegdheden of de vaststelling van corrigerende maatregelen door een dergelijke toezichthoudende autoriteit slechts in beperkte mate door een rechter zouden worden getoetst.

60      Dit geldt ook voor besluiten tot afwijzing van een klacht, aangezien artikel 78, lid 1, AVG geen onderscheid maakt op basis van de aard van het besluit van de toezichthoudende autoriteit.

61      Wat de met de AVG nagestreefde doelstellingen betreft, blijkt met name uit overweging 10 ervan dat zij ertoe strekt om natuurlijke personen een hoog beschermingsniveau te bieden ten aanzien van de verwerking van persoonsgegevens binnen de Unie. Voorts vermeldt overweging 11 van deze verordening dat een doeltreffende bescherming van deze gegevens vereist dat de rechten van de betrokkenen worden versterkt.

62      Indien artikel 78, lid 1, van die verordening aldus zou moeten worden uitgelegd dat de rechterlijke toetsing waarop deze bepaling betrekking heeft, beperkt is tot het onderzoek of de toezichthoudende autoriteit de klacht heeft behandeld, de inhoud ervan naar behoren heeft onderzocht en de klager in kennis heeft gesteld van het resultaat van het onderzoek, zouden de verwezenlijking van de doelstellingen en het nastreven van het oogmerk van de AVG noodzakelijkerwijs worden ondermijnd.

63      Bovendien doet de uitlegging van deze bepaling, volgens welke een besluit van een toezichthoudende autoriteit op een klacht is onderworpen aan een volledige rechterlijke toetsing, geen afbreuk aan de waarborgen van onafhankelijkheid voor toezichthoudende autoriteiten, noch aan het recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker.

64      In de eerste plaats is het juist dat overeenkomstig artikel 8, lid 3, van het Handvest een onafhankelijke autoriteit erop toeziet dat de regels inzake de bescherming van persoonsgegevens worden nageleefd. In dit verband bepaalt artikel 52 AVG met name dat elke toezichthoudende autoriteit volledig onafhankelijk optreedt bij de uitvoering van de taken en de uitoefening van de bevoegdheden die haar overeenkomstig deze verordening zijn toegewezen (lid 1), dat de leden van elke toezichthoudende autoriteit bij de uitvoering van hun taken en de uitoefening van hun bevoegdheden vrij blijven van al dan niet rechtstreekse externe invloed (lid 2) en dat elke lidstaat ervoor zorgt dat elke toezichthoudende autoriteit beschikt over de middelen die nodig zijn voor het effectief uitvoeren van haar taken en het uitoefenen van haar bevoegdheden (lid 4).

65      Deze waarborgen van onafhankelijkheid worden echter op geen enkele wijze in gevaar gebracht door het feit dat juridisch bindende besluiten van een toezichthoudende autoriteit worden onderworpen aan een volledige rechterlijke toetsing.

66      Wat in de tweede plaats het recht betreft om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker, waarin artikel 79, lid 1, AVG voorziet, moet worden opgemerkt dat volgens de rechtspraak van het Hof de respectievelijk in artikel 78, lid 1, en in artikel 79, lid 1, AVG bedoelde voorzieningen in rechte naast elkaar en onafhankelijk van elkaar kunnen worden ingesteld (arrest van 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punt 35 en dictum). In dit verband heeft het Hof met name geoordeeld dat de terbeschikkingstelling van meerdere beroepsmogelijkheden de in overweging 141 van deze verordening vermelde doelstelling versterkt om aan eenieder die meent dat inbreuk wordt gemaakt op de rechten die die verordening hem toekent, te waarborgen dat hij overeenkomstig artikel 47 van het Handvest recht heeft op een doeltreffende voorziening in rechte (arrest van 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punt 44).

67      Hoewel het aan de lidstaten staat om in overeenstemming met het beginsel van procedurele autonomie nader te regelen hoe die beroepsmogelijkheden zich tot elkaar verhouden (arrest van 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punt 45 en dictum), heeft het bestaan van het recht om een doeltreffende voorziening in rechte in te stellen tegen de verwerkingsverantwoordelijke of een verwerker, dat in artikel 79, lid 1, AVG is vastgesteld, dus geen invloed op de omvang van de rechterlijke toetsing die in het kader van een krachtens artikel 78, lid 1, van deze verordening ingesteld beroep wordt uitgeoefend op een besluit van een toezichthoudende autoriteit op een klacht.

68      Hieraan moet echter worden toegevoegd dat de toezichthoudende autoriteit weliswaar, zoals in punt 56 van het onderhavige arrest in herinnering is gebracht, een klacht met de nodige voortvarendheid en zorgvuldigheid moet behandelen, maar dat zij ten aanzien van de in artikel 58, lid 2, AVG genoemde corrigerende maatregelen over een beoordelingsmarge beschikt bij de keuze van de passende en noodzakelijke middelen (zie in die zin arrest van 16 juli 2020, Facebook Ireland en Schrems, C‑311/18, EU:C:2020:559, punt 112).

69      De nationale rechter bij wie krachtens artikel 78, lid 1, AVG beroep is ingesteld, dient weliswaar, zoals in punt 52 van het onderhavige arrest is vastgesteld, volledige rechtsmacht uit te oefenen om alle feitelijke en juridische vraagstukken in verband met het betrokken geding te onderzoeken, maar de waarborg van een effectieve rechterlijke bescherming impliceert niet dat hij zijn beoordeling van de keuze van de passende en noodzakelijke corrigerende maatregelen in de plaats kan stellen van die van de toezichthoudende autoriteit, doch verlangt dat deze rechter onderzoekt of de toezichthoudende autoriteit de grenzen van haar beoordelingsbevoegdheid in acht heeft genomen.

70      Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 78, lid 1, AVG aldus moet worden uitgelegd dat een besluit van een toezichthoudende autoriteit op een klacht onderworpen is aan een volledige rechterlijke toetsing.

 Tweede tot en met vijfde vraag

71      Met zijn tweede tot en met zijn vijfde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in essentie te vernemen

–        of artikel 5, lid 1, onder a), AVG, gelezen in samenhang met artikel 6, lid 1, eerste alinea, onder f), van deze verordening, aldus moet worden uitgelegd dat het in de weg staat aan een praktijk van particuliere kredietinformatiebureaus die erin bestaat dat zij informatie uit een openbaar register die betrekking heeft op het verlenen van kwijtschelding van restschulden ten gunste van natuurlijke personen, in hun eigen gegevensbanken bewaren en deze informatie na drie jaar overeenkomstig een gedragscode in de zin van artikel 40 van die verordening verwijderen, terwijl de bewaartermijn voor die informatie in het openbaar register zes maanden is, en

–        of artikel 17, lid 1, onder c) en d), AVG aldus moet worden uitgelegd dat een particulier kredietinformatiebureau dat informatie inzake het verlenen van kwijtschelding van restschulden uit een openbaar register heeft overgenomen, deze informatie moet verwijderen.

 Artikel 5, lid 1, onder a), AVG

72      Volgens artikel 5, lid 1, onder a), AVG moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is.

73      In deze context bevat artikel 6, lid 1, eerste alinea, van deze verordening een uitputtende en limitatieve lijst van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden beschouwd. Een dergelijke verwerking kan dus alleen als rechtmatig worden aangemerkt indien deze valt onder een van de in deze bepaling bedoelde gevallen [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 90 en aldaar aangehaalde rechtspraak].

74      In het onderhavige geval staat vast dat de rechtmatigheid van de in de hoofdgedingen aan de orde zijnde verwerking van persoonsgegevens uitsluitend moet worden beoordeeld in het licht van artikel 6, lid 1, eerste alinea, onder f), AVG. Volgens deze bepaling is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover deze verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen door de verwerkingsverantwoordelijke of door een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die gerechtvaardigde belangen, met name wanneer de betrokkene een kind is.

75      In die bepaling worden dus drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat een verwerking van persoonsgegevens rechtmatig is, te weten, ten eerste, de verwerkingsverantwoordelijke of een derde behartigt een gerechtvaardigd belang, ten tweede, de verwerking van persoonsgegevens is noodzakelijk voor de behartiging van het gerechtvaardigde belang en, ten derde, de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon wegen niet zwaarder [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 106 en aldaar aangehaalde rechtspraak].

76      Wat ten eerste de voorwaarde van de behartiging van een „gerechtvaardigd belang” betreft, moet er bij gebreke van een definitie van dit begrip in de AVG op worden gewezen, zoals de advocaat-generaal in punt 61 van zijn conclusie heeft opgemerkt, dat een breed scala aan belangen in beginsel als gerechtvaardigd kan worden beschouwd.

77      Ten tweede verplicht de voorwaarde van een verwerking van persoonsgegevens die noodzakelijk is voor de behartiging van het gerechtvaardigde belang, de verwijzende rechter ertoe om na te gaan of het gerechtvaardigde belang bij de verwerking van de gegevens redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die in mindere mate afbreuk doen aan de grondrechten en de fundamentele vrijheden van de betrokkenen, in het bijzonder aan het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens zoals die door de artikelen 7 en 8 van het Handvest worden gewaarborgd [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 108 en aldaar aangehaalde rechtspraak].

78      In dit verband zij er tevens aan herinnerd dat de voorwaarde inzake de noodzaak van de verwerking moet worden onderzocht in samenhang met het zogenoemde beginsel van „minimale gegevensverwerking” van artikel 5, lid 1, onder c), AVG, op grond waarvan persoonsgegevens „toereikend [moeten] zijn, ter zake dienend [moeten zijn] en [moeten zijn] beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt” [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 109 en aldaar aangehaalde rechtspraak].

79      Wat ten derde de voorwaarde betreft dat de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder mogen wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, heeft het Hof reeds geoordeeld dat deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter staat om bij deze afweging rekening te houden met die specifieke omstandigheden [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 110 en aldaar aangehaalde rechtspraak].

80      Bovendien kunnen, zoals blijkt uit overweging 47 AVG, de belangen en de grondrechten van de betrokkene met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen een dergelijke verwerking redelijkerwijs niet verwachten [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 112].

81      Hoewel het dus uiteindelijk aan de verwijzende rechter is om te beoordelen of met betrekking tot de in de hoofdgedingen aan de orde zijnde verwerking van persoonsgegevens is voldaan aan de drie voorwaarden die in punt 75 van het onderhavige arrest in herinnering zijn gebracht, staat het Hof evenwel vrij om in zijn uitspraak op een verzoek om een prejudiciële beslissing preciseringen te geven teneinde de verwijzende rechter te leiden bij het bepalen van die doelstellingen (zie in die zin arrest van 20 oktober 2022, Digi, C‑77/21, EU:C:2022:805, punt 39 en aldaar aangehaalde rechtspraak).

82      Wat de behartiging van een gerechtvaardigd belang betreft, voert SCHUFA in casu aan dat kredietinformatiebureaus gegevens verwerken die nodig zijn voor de beoordeling van de kredietwaardigheid van personen of ondernemingen, teneinde deze informatie ter beschikking te kunnen stellen van hun contractpartners. Afgezien van het feit dat deze activiteit de economische belangen beschermt van ondernemingen die overeenkomsten in verband met een krediet willen afsluiten, vormen de vaststelling van de kredietwaardigheid en de verstrekking van informatie over de kredietwaardigheid de basis voor het krediet en voor de goede werking van de economie. De activiteit van deze ondernemingen draagt ook bij tot het vervullen van de commerciële wensen van personen die geïnteresseerd zijn in transacties in verband met krediet, aangezien de informatie een snel en niet-bureaucratisch onderzoek mogelijk maakt.

83      In dit verband dient de verwerking van persoonsgegevens als die aan de orde in de hoofdgedingen weliswaar de economische belangen van SCHUFA, maar deze verwerking dient ook ter behartiging van het gerechtvaardigde belang van de contractpartners van SCHUFA, die overeenkomsten in verband met een krediet met personen willen afsluiten, om de kredietwaardigheid van die personen en derhalve de socio-economische belangen van de kredietsector te beoordelen.

84      Wat consumentenkredietovereenkomsten betreft, blijkt namelijk uit artikel 8 van richtlijn 2008/48, gelezen in het licht van overweging 28 van deze richtlijn, dat de kredietgever verplicht is om de kredietwaardigheid van de consument vóór het sluiten van de kredietovereenkomst te beoordelen op basis van toereikende informatie, in voorkomend geval ook op basis van informatie uit private of publieke gegevensbestanden.

85      Wat kredietovereenkomsten voor consumenten met betrekking tot voor bewoning bestemde onroerende goederen betreft, blijkt voorts uit artikel 18, lid 1, en artikel 21, lid 1, van richtlijn 2014/17, gelezen in het licht van de overwegingen 55 en 59 van deze richtlijn, dat de kredietgever een grondige beoordeling van de kredietwaardigheid van de consument moet uitvoeren en toegang moet hebben tot kredietgegevensbanken, waarbij het raadplegen van dergelijke gegevensbanken een nuttig onderdeel van deze beoordeling is.

86      Hieraan moet worden toegevoegd dat de verplichting om de kredietwaardigheid van consumenten te beoordelen, zoals deze in richtlijnen 2008/48 en 2014/17 is opgenomen, niet alleen bedoeld is om de kredietaanvrager te beschermen, maar ook, zoals in overweging 26 van richtlijn 2008/48 wordt benadrukt, om de goede werking van het kredietstelsel in zijn geheel te waarborgen.

87      De gegevensverwerking moet echter ook noodzakelijk zijn voor de behartiging van de gerechtvaardigde belangen door de verwerkingsverantwoordelijke of door een derde en de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene mogen niet zwaarder wegen dan  die belangen. In het kader van deze afweging van de tegengestelde rechten en belangen in kwestie – namelijk die van de verwerkingsverantwoordelijke en de betrokken derden enerzijds en die van de betrokkene anderzijds – moet, zoals in punt 80 van het onderhavige arrest is opgemerkt, met name rekening worden gehouden met de redelijke verwachtingen van de betrokkene alsook met de omvang van de betrokken verwerking en de gevolgen ervan voor die persoon [zie arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 116].

88      Wat artikel 6, lid 1, eerste alinea, onder f), AVG betreft, heeft het Hof geoordeeld dat deze bepaling aldus moet worden uitgelegd dat een verwerking slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen door de verwerkingsverantwoordelijke of door een derde in de zin van deze bepaling indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat gerechtvaardigde belang strikt noodzakelijk is en indien uit een afweging van de tegengestelde belangen in het licht van alle relevante omstandigheden blijkt dat de belangen of de grondrechten en fundamentele vrijheden van de personen op wie de betrokken verwerking betrekking heeft, niet zwaarder wegen dan dat gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde [zie in die zin arresten van 4 mei 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punt 30, en 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 126].

89      In dit verband verwijst de verwijzende rechter naar twee aspecten van de verwerking van persoonsgegevens die in de hoofdgedingen aan de orde is. In de eerste plaats impliceert deze verwerking dat gegevens op verschillende manieren worden bewaard, namelijk niet alleen in een openbaar register, maar ook in gegevensbestanden van kredietinformatiebureaus, waarbij moet worden opgemerkt dat deze ondernemingen kredietinformatie niet vanwege een concrete aanleiding bewaren, maar voor het geval dat hun contractpartners hen om die informatie verzoeken. In de tweede plaats bewaren deze ondernemingen deze gegevens gedurende drie jaar op basis van een gedragscode in de zin van artikel 40 AVG, terwijl de nationale wetgeving voor het openbare register voorziet in een bewaartermijn van slechts zes maanden.

90      Wat het eerste van deze twee aspecten betreft, betoogt SCHUFA dat het onmogelijk zou zijn om inlichtingen tijdig te verstrekken indien een kredietinformatiebureau pas met het verzamelen van gegevens zou kunnen beginnen wanneer het een concreet verzoek om informatie heeft ontvangen.

91      In dit verband staat het aan de verwijzende rechter om na te gaan of de bewaring van de betrokken gegevens door SCHUFA in haar eigen gegevensbanken beperkt is tot hetgeen strikt noodzakelijk is voor de behartiging van het gerechtvaardigde belang, hoewel de betrokken gegevens kunnen worden geraadpleegd in het openbaar register en zonder dat een commerciële onderneming in een concreet geval om inlichtingen heeft verzocht. Indien dat niet het geval zou zijn, zou de bewaring van deze gegevens door SCHUFA niet noodzakelijk kunnen worden geacht tijdens de periode waarin die gegevens ter beschikking van het publiek worden gesteld.

92      Wat de bewaartermijn van gegevens betreft, moet worden geoordeeld dat de onderzoeken van de tweede en de derde voorwaarde die in punt 75 van het onderhavige arrest in herinnering zijn gebracht, elkaar overlappen, voor zover de beoordeling van de vraag of in casu de gerechtvaardigde belangen die worden behartigd met de verwerking van persoonsgegevens die in de hoofdgedingen aan de orde is, redelijkerwijs niet kunnen worden behartigd met een kortere bewaartermijn van gegevens, een afweging van de betrokken tegengestelde rechten en belangen vereist.

93      Wat de afweging van de behartigde gerechtvaardigde belangen betreft, zij opgemerkt dat de analyse door een kredietinformatiebureau informatieverschillen kan compenseren en derhalve de risico’s van fraude en andere onzekerheden kan verminderen, aangezien zij een objectieve en betrouwbare beoordeling van de kredietwaardigheid van de potentiële klanten van de contractpartners van het kredietinformatiebureau mogelijk maakt.

94      Wat daarentegen de rechten en de belangen van de betrokkene betreft, vormt de verwerking door een kredietinformatiebureau van gegevens inzake het verlenen van kwijtschelding van restschulden, zoals de bewaring, de analyse en de mededeling van deze gegevens aan een derde, een ernstige inmenging in de grondrechten van de betrokkene die zijn verankerd in de artikelen 7 en 8 van het Handvest. Dergelijke gegevens dienen immers als negatieve factor bij de beoordeling van de kredietwaardigheid van de betrokkene en vormen dus gevoelige informatie over zijn privéleven (zie in die zin arrest van 13 mei 2014, Google Spain en Google, C‑131/12, EU:C:2014:317, punt 98). De verwerking ervan kan de belangen van de betrokkene ernstig schaden, aangezien deze mededeling de uitoefening van zijn vrijheden aanzienlijk moeilijker kan maken, met name wanneer het erom gaat in basisbehoeften te voorzien.

95      Zoals de Commissie heeft opgemerkt, zijn daarenboven de gevolgen voor de belangen en het privéleven van de betrokkene des te groter en de eisen met betrekking tot de rechtmatigheid van de bewaring van de betrokken gegevens des te strenger naarmate die informatie langer wordt bewaard door kredietinformatiebureaus.

96      Overigens moet worden opgemerkt dat het doel van een openbaar insolventieregister blijkens overweging 76 van verordening 2015/848 erin bestaat de informatievoorziening aan de desbetreffende schuldeisers en rechters te verbeteren. In dit verband is in artikel 79, lid 5, van deze verordening enkel bepaald dat de lidstaten de betrokkenen in kennis stellen van de toegankelijkheidsperiode die is vastgesteld voor de in de insolventieregisters opgeslagen persoonsgegevens, zonder dat een termijn voor de bewaring van die gegevens is vastgesteld. Daarentegen blijkt uit artikel 79, lid 4, van die verordening dat de lidstaten overeenkomstig deze verordening verantwoordelijk zijn voor het verzamelen en bewaren van persoonsgegevens in nationale databanken. De bewaartermijn van deze gegevens moet derhalve met inachtneming van verordening 2015/848 worden vastgesteld.

97      In het onderhavige geval bepaalt de Duitse wetgever dat informatie inzake het verlenen van kwijtschelding van restschulden slechts zes maanden in het insolventieregister wordt bewaard. Hij is dus van mening dat de rechten en de belangen van de betrokkene na het verstrijken van een termijn van zes maanden zwaarder wegen dan die welke het publiek erbij heeft om over die informatie te beschikken.

98      Voorts is de kwijtschelding van restschulden, zoals de advocaat-generaal in punt 75 van zijn conclusie heeft opgemerkt, bedoeld om de begunstigde in staat te stellen opnieuw deel te nemen aan het economische leven en derhalve is zij in het algemeen voor hem van cruciaal belang. De verwezenlijking van deze doelstelling zou echter worden ondermijnd indien kredietinformatiebureaus voor de beoordeling van de economische situatie van een persoon gegevens over kwijtschelding van restschulden zouden kunnen bewaren en die gegevens zouden kunnen gebruiken nadat zij uit het openbaar insolventieregister zijn gewist, aangezien die gegevens steeds als een negatieve factor worden gehanteerd bij de beoordeling van de kredietwaardigheid van een dergelijke persoon.

99      In die omstandigheden kunnen de belangen van de kredietsector om te beschikken over informatie over kwijtschelding van restschulden geen rechtvaardiging vormen voor de verwerking van persoonsgegevens zoals die welke in de hoofdgedingen aan de orde zijn, na het verstrijken van de termijn voor bewaring van de gegevens in het openbaar insolventieregister, zodat de bewaring van die gegevens door een kredietinformatiebureau niet op artikel 6, lid 1, eerste alinea, onder f), AVG kan worden gebaseerd met betrekking tot de periode na de wissing van die gegevens uit een openbaar insolventieregister.

100    Wat de periode van zes maanden betreft waarin de betrokken gegevens ook in dat openbaar register beschikbaar zijn, zij opgemerkt dat de gevolgen van een bewaring van deze gegevens in gegevensbestanden van dergelijke ondernemingen parallel aan de periode van zes maanden weliswaar als minder ernstig kunnen worden beschouwd dan de gevolgen van een bewaring na het verstrijken van die periode, maar dat deze bewaring niettemin neerkomt op een inmenging in de door de artikelen 7 en 8 van het Handvest erkende rechten. In dit verband heeft het Hof reeds geoordeeld dat de inmenging in het recht op eerbiediging van het privéleven wordt versterkt door de aanwezigheid van dezelfde persoonsgegevens in verschillende bronnen (zie arrest van 13 mei 2014, Google Spain en Google, C‑131/12, EU:C:2014:317, punten 86 en 87). Het is aan de verwijzende rechter om de betrokken belangen en de gevolgen voor de betrokkene af te wegen, teneinde vast te stellen of de parallelle bewaring van deze gegevens door particuliere kredietinformatiebureaus kan worden geacht beperkt te zijn tot het strikt noodzakelijke, zoals de in punt 88 van het onderhavige arrest aangehaalde rechtspraak van het Hof vereist.

101    Wat ten slotte de vraag betreft of er, zoals in casu, sprake is van een gedragscode die bepaalt dat een kredietinformatiebureau de gegevens over kwijtschelding van restschulden na afloop van een termijn van drie jaar moet verwijderen, moet eraan worden herinnerd dat in artikel 40, leden 1 en 2, AVG is bepaald dat gedragscodes, met inachtneming van de specifieke kenmerken van de diverse gegevensverwerkingssectoren en de specifieke behoeften van kleine, middelgrote en micro-ondernemingen, moeten bijdragen tot de juiste toepassing van deze verordening. Zo kunnen verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, gedragscodes opstellen, of die codes wijzigen of uitbreiden, teneinde de toepassing van deze verordening nader toe te lichten, zoals met betrekking tot behoorlijke en transparante verwerking, de gerechtvaardigde belangen die door verwerkingsverantwoordelijken in een specifieke context worden behartigd en het verzamelen van persoonsgegevens.

102    Voorts wordt een ontwerpgedragscode volgens artikel 40, lid 5, AVG voorgelegd aan de bevoegde toezichthoudende autoriteit, die deze code goedkeurt indien zij van oordeel is dat de code voldoende passende waarborgen biedt.

103    In casu is de in de hoofdgedingen aan de orde zijnde gedragscode opgesteld door de vereniging van Duitse kredietinformatiebureaus en goedgekeurd door de bevoegde toezichthoudende autoriteit.

104    Hoewel een gedragscode volgens artikel 40, leden 1 en 2, AVG moet bijdragen tot de juiste toepassing van deze verordening en de toepassing ervan nader moet toelichten, neemt dit echter niet weg dat, zoals de advocaat-generaal in de punten 103 en 104 van zijn conclusie heeft opgemerkt, de in een dergelijke code vastgestelde voorwaarden voor de rechtmatigheid van een verwerking van persoonsgegevens niet mogen afwijken van de voorwaarden van artikel 6, lid 1, AVG.

105    Een gedragscode die tot een andere beoordeling leidt dan die welke op grond van artikel 6, lid 1, eerste alinea, onder f), AVG wordt verkregen, kan derhalve niet in aanmerking worden genomen bij de op grond van deze bepaling te maken afweging.

 Artikel 17 AVG

106    Tot slot vraagt de verwijzende rechter zich in essentie af welke verplichtingen op een kredietinformatiebureau rusten krachtens artikel 17 AVG.

107    Dienaangaande zij eraan herinnerd dat overeenkomstig artikel 17, lid 1, onder d), AVG, waarnaar de verwijzende rechter verwijst, de betrokkene het recht heeft van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke verplicht is persoonsgegevens zonder onredelijke vertraging te wissen wanneer de persoonsgegevens onrechtmatig zijn verwerkt.

108    Indien de verwijzende rechter na zijn beoordeling van de rechtmatigheid van de in de hoofdgedingen aan de orde zijnde verwerking van persoonsgegevens tot de slotsom komt dat deze verwerking onrechtmatig is, staat het volgens de duidelijke bewoordingen van deze bepaling derhalve aan de verwerkingsverantwoordelijke, in casu SCHUFA, om de betrokken gegevens zonder onredelijke vertraging te wissen. Zoals in punt 99 van het onderhavige arrest is vastgesteld, zou dat het geval zijn wanneer persoonsgegevens worden verwerkt nadat de termijn van zes maanden voor de bewaring van de gegevens in het openbaar insolventieregister is verstreken.

109    Wat de verwerking betreft die plaatsvindt in de periode van zes maanden waarin de gegevens in het openbaar insolventieregister beschikbaar zijn, is artikel 17, lid 1, onder c), AVG van toepassing indien de verwijzende rechter tot de slotsom komt dat de verwerking in overeenstemming is met artikel 6, lid 1, eerste alinea, onder f), van deze verordening.

110    Deze bepaling voorziet in het recht om persoonsgegevens te laten wissen wanneer de betrokkene overeenkomstig artikel 21, lid 1, AVG bezwaar maakt tegen de verwerking en er geen „dwingende gerechtvaardigde gronden voor de verwerking” zijn. Krachtens deze laatste bepaling heeft de betrokkene te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, eerste alinea, onder e) of f), AVG. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

111    Uit deze bepalingen, in onderlinge samenhang gelezen, volgt, zoals de advocaat-generaal in punt 93 van zijn conclusie heeft opgemerkt, dat de betrokkene het recht heeft om bezwaar te maken tegen de verwerking en zijn persoonsgegevens te laten wissen, tenzij er dwingende gerechtvaardigde gronden zijn die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene in de zin van artikel 21, lid 1, AVG, hetgeen de verwerkingsverantwoordelijke dient aan te tonen.

112    Indien de verwerkingsverantwoordelijke dat niet aantoont, heeft de betrokkene derhalve het recht om op grond van artikel 17, lid 1, onder c), AVG te verzoeken om wissing van die gegevens wanneer hij overeenkomstig artikel 21, lid 1, van deze verordening bezwaar maakt tegen de verwerking. Het staat aan de verwijzende rechter om na te gaan of er bij wijze van uitzondering dwingende gerechtvaardigde gronden voor de betrokken verwerking bestaan.

113    Gelet op een en ander dienen de tweede tot en met de vijfde vraag te worden beantwoord als volgt:

–        artikel 5, lid 1, onder a), AVG, gelezen in samenhang met artikel 6, lid 1, eerste alinea, onder f), van deze verordening, moet aldus worden uitgelegd dat het in de weg staat aan een praktijk van particuliere kredietinformatiebureaus die erin bestaat dat zij informatie uit een openbaar register die betrekking heeft op het verlenen van kwijtschelding van restschulden ten gunste van natuurlijke personen, gedurende een langere periode in hun eigen gegevensbanken bewaren dan die waarin de gegevens in een openbaar register worden bewaard, teneinde inlichtingen over de kredietwaardigheid van deze personen te kunnen verstrekken;

–        artikel 17, lid 1, onder c), AVG moet aldus worden uitgelegd dat de betrokkene het recht heeft van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van de hem betreffende persoonsgegevens te verkrijgen wanneer hij overeenkomstig artikel 21, lid 1, van deze verordening bezwaar maakt tegen de verwerking en er geen dwingende gerechtvaardigde gronden bestaan die de betrokken verwerking bij wijze van uitzondering rechtvaardigen;

–        artikel 17, lid 1, onder d), AVG moet aldus worden uitgelegd dat de verwerkingsverantwoordelijke verplicht is om onrechtmatig verwerkte persoonsgegevens zonder onredelijke vertraging te wissen.

 Kosten

114    Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Eerste kamer) verklaart voor recht:

1)      Artikel 78, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moet aldus worden uitgelegd dat

een besluit van een toezichthoudende autoriteit op een klacht onderworpen is aan een volledige rechterlijke toetsing.

2)      Artikel 5, lid 1, onder a), van verordening 2016/679, gelezen in samenhang met artikel 6, lid 1, eerste alinea, onder f), van deze verordening,

moet aldus worden uitgelegd dat

het in de weg staat aan een praktijk van particuliere kredietinformatiebureaus die erin bestaat dat zij informatie uit een openbaar register die betrekking heeft op het verlenen van kwijtschelding van restschulden ten gunste van natuurlijke personen, gedurende een langere periode in hun eigen gegevensbanken bewaren dan die waarin de gegevens in een openbaar register worden bewaard, teneinde inlichtingen over de kredietwaardigheid van deze personen te kunnen verstrekken.

3)      Artikel 17, lid 1, onder c), van verordening 2016/679

moet aldus worden uitgelegd dat

de betrokkene het recht heeft van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van de hem betreffende persoonsgegevens te verkrijgen wanneer hij overeenkomstig artikel 21, lid 1, van deze verordening bezwaar maakt tegen de verwerking en er geen dwingende gerechtvaardigde gronden bestaan die de betrokken verwerking bij wijze van uitzondering rechtvaardigen.

4)      Artikel 17, lid 1, onder d), van verordening 2016/679

moet aldus worden uitgelegd dat

de verwerkingsverantwoordelijke verplicht is om onrechtmatig verwerkte persoonsgegevens zonder onredelijke vertraging te wissen.

ondertekeningen

*      Procestaal: Duits.