EuGH, Urteil v. 03.09.2026 – C-798/24 – „Jautiva“, ECLI:EU:C:2026:679
Kurzzusammenfassung
Der EuGH stärkt den Datenschutz von Aktionären. Die gesellschaftsrechtlichen Offenlegungspflichten der Richtlinie (EU) 2017/1132 verlangen nicht, dass Informationen über sämtliche Aktionäre einer Aktiengesellschaft, insbesondere über Minderheitsaktionäre, öffentlich zugänglich gemacht werden. Mitgliedstaaten dürfen zwar weitergehende Offenlegungspflichten vorsehen. Die DSGVO setzt ihnen dabei aber Grenzen. Eine Regelung, nach der personenbezogene Daten sämtlicher Aktionäre im Internet für jedermann und sogar zum Massendownload bereitstehen, ist unverhältnismäßig, wenn der Zugang nicht zumindest von Voraussetzungen wie dem Nachweis eines berechtigten Interesses abhängig gemacht wird. Bemerkenswert ist, dass der EuGH dies selbst für legitime Ziele wie Geldwäschebekämpfung, Sanktionsdurchsetzung und die Herstellung eines transparenten Unternehmensumfelds feststellt.
Worum ging es?
17 natürliche Personen hatten das lettische Verfassungsgericht angerufen. Sie waren Minderheitsaktionäre einer Aktiengesellschaft und wandten sich gegen lettische Vorschriften, nach denen umfangreiche Angaben über Aktionäre öffentlich zugänglich gemacht wurden. Bei natürlichen Personen betraf dies insbesondere Name, persönliche Identifikationsnummer bzw. Geburtsdatum, Angaben zum Ausweispapier und die Kontaktadresse. Hinzu kamen Angaben zur Kategorie, Anzahl und zum Nennwert der gehaltenen Aktien sowie zu den damit verbundenen Stimmrechten. Die Informationen waren online zugänglich und konnten auch von nicht identifizierten Nutzern massenhaft heruntergeladen werden. Die Minderheitsaktionäre hielten diese Veröffentlichung für unverhältnismäßig. Sie seien weder wirtschaftliche Eigentümer der Gesellschaft noch Mitglieder ihrer Leitungsorgane und könnten die Gesellschaft auch nicht kontrollieren. Das lettische Verfassungsgericht setzte das Verfahren aus und legte dem EuGH insbesondere die Fragen vor, ob die gesellschaftsrechtliche Richtlinie (EU) 2017/1132 eine solche Veröffentlichung verlangt und ob eine entsprechende nationale Regelung mit der DSGVO vereinbar ist.
Entscheidungsgründe
Der EuGH stellt zunächst klar, dass Art. 14 Buchst. d der Richtlinie (EU) 2017/1132 keine Pflicht zur Offenlegung der Daten sämtlicher Aktionäre enthält. Die dort angesprochenen Personen, die „an der Verwaltung, Beaufsichtigung oder Kontrolle der Gesellschaft teilnehmen“, sind nicht ohne Weiteres die Aktionäre einer Gesellschaft. Dafür sprechen nach Ansicht des Gerichtshofs bereits Wortlaut und Systematik der Richtlinie. Aktionäre werden insbesondere nicht „bestellt“ und scheiden auch nicht im Sinne dieser Vorschrift aus einem Amt aus. Ihre Stellung folgt vielmehr aus ihrer Beteiligung am Gesellschaftskapital. Auch Sinn und Zweck der gesellschaftsrechtlichen Publizität führen zu keinem anderen Ergebnis. Sie soll Dritten insbesondere ermöglichen, sich über wesentliche Urkunden der Gesellschaft und über diejenigen Personen zu informieren, die eine Gesellschaft verpflichten können. Angaben zu Minderheitsaktionären sind hierfür grundsätzlich nicht erforderlich. Diese können typischerweise weder die Gesellschaft gegenüber Dritten verpflichten noch Leitungs- oder Aufsichtsfunktionen ausüben.
Der EuGH prüft anschließend die nationale Veröffentlichungspflicht an Art. 5 und Art. 6 DSGVO sowie Art. 7 und Art. 8 der EU-Grundrechtecharta. Da die Veröffentlichung gesetzlich vorgeschrieben war, kam als Rechtsgrundlage insbesondere Art. 6 Abs. 1 Buchst. c DSGVO in Betracht. Eine gesetzliche Verpflichtung allein genügt jedoch nicht. Die gesetzliche Grundlage muss nach Art. 6 Abs. 3 DSGVO ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu diesem Ziel stehen.
Besondere Bedeutung misst der EuGH dabei den Grundsätzen der Zweckbindung und Datenminimierung bei. Die Veröffentlichung stellt nach Ansicht des Gerichtshofs einen schwerwiegenden Eingriff in die Rechte der betroffenen Aktionäre dar. Anhand der veröffentlichten Informationen können Rückschlüsse auf deren Vermögenslage sowie auf Wirtschaftssektoren und einzelne Unternehmen gezogen werden, in die sie investiert haben. Verschärft wird der Eingriff dadurch, dass die Informationen im Internet einer potenziell unbegrenzten Zahl von Personen zur Verfügung stehen. Sie können nach ihrer Veröffentlichung gespeichert und weiterverbreitet werden. Die Betroffenen können die weitere Verwendung ihrer Daten praktisch kaum noch kontrollieren. Die vom lettischen Gesetzgeber angeführten Zwecke erkannte der EuGH zwar grundsätzlich als legitime Gemeinwohlziele an. Die voraussetzungslose Veröffentlichung hielt er dennoch nicht für erforderlich und verhältnismäßig.
Für den Schutz der Interessen Dritter und ein transparentes Unternehmensumfeld seien Informationen über sämtliche Minderheitsaktionäre schon deshalb nicht erforderlich, weil diese die Gesellschaft regelmäßig nicht vertreten oder verpflichten können. Auch die Bekämpfung von Geldwäsche sowie Terrorismus- und Proliferationsfinanzierung rechtfertigt keinen voraussetzungslosen Zugang für jedermann. Der EuGH verweist darauf, dass diese Aufgaben vorrangig Behörden sowie besonders verpflichteten Einrichtungen wie Kredit- und Finanzinstituten obliegen. Als weniger eingriffsintensive Lösung kommt insbesondere ein Zugang für Personen in Betracht, die ein berechtigtes Interesse nachweisen. Dass die Prüfung eines solchen berechtigten Interesses für die registerführende Stelle praktische Schwierigkeiten verursachen kann, lässt der EuGH ausdrücklich nicht als Rechtfertigung gelten. Entsprechendes gilt für die Durchsetzung von Sanktionen. Auch hierfür sind weniger einschneidende Mittel denkbar, etwa eine Beschränkung der Veröffentlichung auf Personen, die tatsächlich auf Sanktionslisten stehen, verbunden mit einem interessengebundenen Zugang zu weitergehenden Aktionärsdaten.
Der EuGH kommt deshalb zu dem Ergebnis, dass Art. 5 und Art. 6 DSGVO im Licht von Art. 7 und Art. 8 der Grundrechtecharta einer Regelung entgegenstehen, die solche personenbezogenen Daten sämtlicher Aktionäre ohne Zugangsvoraussetzungen wie den Nachweis eines berechtigten Interesses veröffentlicht.
Anmerkungen zum Urteil
Die Entscheidung ist vor allem deshalb interessant, weil der EuGH Gesellschaftsrecht und Datenschutzrecht klar voneinander trennt. Aus gesellschaftsrechtlichen Publizitätsvorschriften folgt nicht automatisch, dass personenbezogene Daten aller Personen veröffentlicht werden dürfen, die in irgendeiner Form mit einer Gesellschaft verbunden sind. Entscheidend ist vielmehr, welche Funktion die betreffende Person besitzt und welchen Zweck die Offenlegung verfolgt.
Datenschutzrechtlich setzt der EuGH seine restriktive Rechtsprechung zur voraussetzungslosen Veröffentlichung personenbezogener Daten in öffentlichen Registern fort. Besonders deutlich ist die Anknüpfung an das Urteil „Luxembourg Business Registers“ vom 22. November 2022 (C-37/20 und C-601/20) zur Veröffentlichung von Angaben über wirtschaftlich Berechtigte.
Die Entscheidung geht aber in einem wichtigen Punkt darüber hinaus: Gegenstand sind hier gerade Minderheitsaktionäre, die nicht wirtschaftlich Berechtigte sind und keine Kontrolle über die Gesellschaft ausüben. Wenn schon bei wirtschaftlich Berechtigten ein uneingeschränkter öffentlicher Registerzugang problematisch ist, gilt dies nach der Argumentation des EuGH erst recht für Personen, deren Beteiligung ihnen keinen entsprechenden Einfluss auf die Gesellschaft vermittelt.
Für die Praxis besonders relevant ist zudem ein allgemeiner Grundsatz der Entscheidung: Eine gesetzliche Veröffentlichungspflicht ist kein datenschutzrechtlicher Freibrief. Auch eine gesetzlich angeordnete Verarbeitung muss die Anforderungen aus Art. 5 und Art. 6 DSGVO erfüllen. Insbesondere müssen Zweck, Erforderlichkeit und Verhältnismäßigkeit der Veröffentlichung geprüft werden. Dabei macht es einen erheblichen Unterschied, ob personenbezogene Daten lediglich bestimmten Behörden oder sonstigen berechtigten Stellen zur Verfügung stehen oder ohne Zugangsschwelle im Internet veröffentlicht werden. Gerade die freie Abrufbarkeit, die Möglichkeit des Massendownloads und die anschließende kaum kontrollierbare Weiterverarbeitung erhöhen nach Ansicht des EuGH die Eingriffsintensität erheblich.
Gibt es hier Handlungsbedarf?
Für Unternehmen folgt aus dem Urteil nicht, dass gesetzlich vorgeschriebene Angaben gegenüber Handels-, Gesellschafts- oder Transparenzregistern nun zurückgehalten werden dürfen. Bestehende gesetzliche Meldepflichten sind weiterhin einzuhalten.
Das Urteil ist aber Anlass, eigene Veröffentlichungs- und Transparenzprozesse zu überprüfen:
- Veröffentlichungen von Gesellschafter- und Aktionärsdaten prüfen: Werden personenbezogene Daten von Anteilseignern auf Webseiten, Portalen oder in sonstigen öffentlich zugänglichen Verzeichnissen bereitgestellt, sollte für jede Information die konkrete Rechtsgrundlage geprüft werden.
- Gesetzliche Pflicht und öffentliche Zugänglichkeit unterscheiden: Aus einer Pflicht, bestimmte Daten zu erheben, vorzuhalten oder einer Behörde zu übermitteln, folgt nicht automatisch eine Berechtigung, dieselben Informationen allgemein im Internet zu veröffentlichen.
- Datenminimierung beachten: Es sollte geprüft werden, welche einzelnen Angaben für den jeweiligen Zweck tatsächlich erforderlich sind.
- Zugriffskonzepte überprüfen: Muss nicht jedermann auf personenbezogene Informationen zugreifen können, kommen abgestufte Berechtigungskonzepte oder ein Zugang nach Nachweis eines berechtigten Interesses in Betracht.
- Massendownloads kritisch prüfen: Die Möglichkeit, personenbezogene Daten automatisiert und in großer Menge herunterzuladen, erhöht die Risiken für die Betroffenen erheblich und sollte nur vorgesehen werden, wenn hierfür eine tragfähige Rechtsgrundlage besteht.
- Veröffentlichungszwecke dokumentieren: Unternehmen sollten konkret festhalten können, zu welchem Zweck personenbezogene Daten veröffentlicht werden und auf welcher Rechtsgrundlage dies erfolgt.
- Bestehende Veröffentlichungen überprüfen: Insbesondere ältere Unternehmenswebseiten, Investorenportale und sonstige Datenbanken können Informationen enthalten, deren ursprünglicher Veröffentlichungszweck inzwischen entfallen ist.
Das Urteil betrifft unmittelbar eine staatlich angeordnete Registerpublizität. Seine Aussagen zur Zweckbindung, Datenminimierung, Erforderlichkeit und zur besonderen Eingriffsintensität einer frei zugänglichen Internetveröffentlichung lassen sich jedoch auch über diesen konkreten Fall hinaus für die datenschutzrechtliche Prüfung von Veröffentlichungen personenbezogener Daten fruchtbar machen.
Unsere Kanzlei steht Unternehmen bei Fragen zur datenschutzkonformen Veröffentlichung personenbezogener Daten sowie zu den daraus folgenden Anpassungen von Datenschutz- und Unternehmensprozessen gerne zur Verfügung.
Ebenfalls für diese Fragen könnte interessant sein:
EuGH bejaht einen konkreten DSGVO-Auskunftsanspruch hinsichtlich des Empfängers
