HvJ EU, 30-03-2023, nr. C-34/21

§ 26, lid 1, van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming) van 30 juni 2017 (BGBl. 2017 I, blz. 2097), bepaalt:

§ 23 van het Hessische Datenschutz- und Informationsfreiheitsgesetz (wet van de deelstaat Hessen inzake gegevensbescherming en informatievrijheid; hierna: ‘HDSIG’) van 3 mei 2018 bepaalt:

§ 86, lid 4, HBG luidt als volgt:

De prejudiciële vragen betreffen de uitlegging van artikel 88, leden 1 en 2, AVG in het kader van een geding betreffende de verwerking van persoonsgegevens van leerkrachten bij het livestreamen van het openbaar onderwijs dat zij via videoconferentie moeten geven.

In de eerste plaats moet worden bepaald of een dergelijke verwerking binnen de materiële werkingssfeer van de AVG valt, gelet op het feit dat de AVG volgens artikel 2, lid 2, onder a), ervan niet van toepassing is op de verwerking van persoonsgegevens ‘in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen’ en de lidstaten overeenkomstig artikel 165, lid 1, VWEU verantwoordelijk zijn voor de inhoud van het onderwijs en de organisatie van hun onderwijsstelsels.

In dit verband volgt uit de rechtspraak van het Hof dat de definitie van de materiële werkingssfeer van de AVG, zoals deze in artikel 2, lid 1, is neergelegd, zeer ruim is en dat de in artikel 2, lid 2, bedoelde uitzonderingen op deze werkingssfeer strikt moeten worden uitgelegd [zie in die zin arresten van 9 juli 2020, Land Hessen, C-272/19, EU:C:2020:535, punt 68, en 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punten 61 en 62].

Bovendien moet artikel 2, lid 2, onder a), AVG worden gelezen in samenhang met artikel 2, lid 2, onder b), van deze verordening en overweging 16 ervan, waarin wordt gepreciseerd dat die verordening niet van toepassing is op de verwerking van persoonsgegevens in verband met ‘niet onder het Unierecht vallende activiteiten, zoals activiteiten betreffende nationale veiligheid’ en ‘activiteiten in verband met het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie’ [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 63].

Hieruit volgt dat artikel 2, lid 2, onder a) en b), AVG, dat gedeeltelijk weer aanhaakt bij artikel 3, lid 2, eerste streepje, van richtlijn 95/46, niet aldus kan worden uitgelegd dat het een ruimere draagwijdte heeft dan de uitzondering die voortvloeit uit artikel 3, lid 2, eerste streepje, van richtlijn 95/46, op grond waarvan onder meer de verwerking van persoonsgegevens in het kader van ‘niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten […] zoals die bedoeld in de titels V en VI [VEU, in de versie ervan die gold vóór het Verdrag van Lissabon,] en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie [en] de veiligheid van de staat’, reeds van de werkingssfeer van deze richtlijn uitgesloten waren [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 64].

In het onderhavige geval staat vast dat het verzorgen van onderwijs in de deelstaat Hessen niet kan worden ondergebracht in de categorie van de in artikel 2, lid 2, onder a), AVG bedoelde activiteiten ter bescherming van de nationale veiligheid.

De verwerking van persoonsgegevens van leerkrachten bij het livestreamen van het openbaar onderwijs dat zij via videoconferentie geven, zoals die aan de orde is in het hoofdgeding, valt daarom binnen de materiële werkingssfeer van de AVG.

In de tweede plaats blijkt uit het verzoek om een prejudiciële beslissing dat het hoofdgeding betrekking heeft op de verwerking van persoonsgegevens van leerkrachten die als werknemers of ambtenaren onder de openbare dienst van de deelstaat Hessen vallen.

Derhalve moet worden vastgesteld of een dergelijke verwerking van persoonsgegevens binnen de werkingssfeer van artikel 88 AVG valt, welke bepaling betrekking heeft op ‘de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding’.

In dit verband moet worden opgemerkt dat de AVG de begrippen ‘werknemer’ en ‘arbeidsverhouding’ niet definieert en voor een definitie evenmin verwijst naar het recht van de lidstaten. Bij gebreke van een dergelijke verwijzing moet eraan worden herinnerd dat, zoals voortvloeit uit de vereisten van zowel de eenvormige toepassing van het Unierecht als het gelijkheidsbeginsel, de bewoordingen van een Unierechtelijke bepaling die voor de vaststelling van de betekenis en de draagwijdte ervan niet uitdrukkelijk verwijst naar het recht van de lidstaten, in de regel in de gehele Unie autonoom en op eenvormige wijze dienen te worden uitgelegd (arrest van 2 juni 2022, HK/Danmark en HK/Privat, C-587/20, EU:C:2022:419, punt 25 en aldaar aangehaalde rechtspraak).

Bovendien moeten de termen ‘werknemer’ en ‘arbeidsverhouding’ bij gebreke van een definitie in de AVG worden uitgelegd in overeenstemming met de in de omgangstaal gebruikelijke betekenis ervan, met inachtneming van de context waarin ze worden gebruikt en de door de regeling waarvan ze deel uitmaken beoogde doelstellingen (arrest van 2 juni 2022, HK/Danmark en HK/Privat, C-587/20, EU:C:2022:419, punt 26 en aldaar aangehaalde rechtspraak).

De term ‘werknemer’ duidt in de gebruikelijke betekenis ervan op een persoon die werkzaam is in een ondergeschiktheidsverhouding met zijn werkgever en die dus onder diens toezicht staat (arrest van 18 maart 2021, Kuoni Travel, C-578/19, EU:C:2021:213, punt 42).

Evenzo is het hoofdkenmerk van een ‘arbeidsverhouding’ dat iemand gedurende een bepaalde tijd voor een ander en onder diens gezag prestaties levert en als tegenprestatie een vergoeding ontvangt (arrest van 15 juli 2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, punt 49).

Aangezien een dergelijk kenmerk eigen is aan werknemers en arbeidsverhoudingen bij zowel de overheid als in de particuliere sector, moet daaruit worden afgeleid dat de termen ‘werknemer’ en ‘arbeidsverhouding’ in de gebruikelijke betekenis ervan tevens duiden op personen die hun beroepsactiviteit in de publieke sector uitoefenen.

De draagwijdte van artikel 88, lid 1, AVG kan immers niet worden bepaald aan de hand van de aard van de rechtsverhouding tussen de werknemer en de werkgever. Irrelevant is dus of de betrokken persoon in dienst is als werknemer of ambtenaar, dan wel of zijn arbeidsverhouding onder publiek- of privaatrecht valt, aangezien deze juridische kwalificaties afhankelijk van de nationale wetgevingen verschillend uitvallen en dus geen geschikt criterium kunnen vormen voor een uniforme en autonome uitlegging van die bepaling (zie naar analogie arresten van 12 februari 1974, Sotgiu, 152/73, EU:C:1974:13, punt 5, en 3 juni 1986, Commissie/Frankrijk, 307/84, EU:C:1986:222, punt 11).

Wat specifiek personen betreft wier arbeidsverhouding niet is gebaseerd op een arbeidsovereenkomst, zoals ambtenaren, moet worden vastgesteld dat artikel 88, lid 1, AVG inderdaad verwijst naar de ‘uitvoering van de arbeidsovereenkomst’. Evenwel moet ten eerste worden opgemerkt dat deze verwijzing is opgenomen naast andere doeleinden voor de verwerking van persoonsgegevens in het kader van de arbeidsverhouding waarvoor de lidstaten nadere regels kunnen vaststellen en die zijn opgesomd in artikel 88, lid 1, AVG, en dat deze opsomming hoe dan ook niet uitputtend is, zoals blijkt uit de woorden ‘in het bijzonder’ in die bepaling.

Ten tweede wordt de irrelevantie van de kwalificatie van de rechtsverhouding tussen de werknemer en de organisatie waarbij hij in dienst is, bevestigd door het feit dat het beheer, de planning en de organisatie van de arbeid, gelijkheid en diversiteit op het werk, gezondheid en veiligheid op het werk, bescherming van de eigendom van de werkgever of de klant, de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en de beëindiging van de arbeidsverhouding, die eveneens zijn opgesomd in artikel 88, lid 1, AVG, verband houden met arbeidsplaatsen zowel in de particuliere sector als bij de overheid.

Bijgevolg kan uit de verwijzing naar de ‘uitvoering van de arbeidsovereenkomst’ in artikel 88, lid 1, AVG niet worden afgeleid dat een niet op een arbeidsovereenkomst gebaseerde betrekking in de publieke sector, van de werkingssfeer van die bepaling is uitgesloten.

Dezelfde conclusie dringt zich op door de omstandigheid dat in artikel 88, lid 2, AVG van drie elementen wordt vermeld dat, wanneer de lidstaten dergelijke ‘nadere regels’ vaststellen, zij dat ‘met name wat betreft’ deze elementen moeten doen en dat daaronder de doorgifte van persoonsgegevens ‘binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen’ wordt genoemd. De twee andere elementen, namelijk de transparantie van de verwerking en toezichtsystemen op het werk, zijn immers relevant voor arbeidsplaatsen zowel in de particuliere sector als bij de overheid, ongeacht de aard van de rechtsverhouding tussen de werknemer en de werkgever.

De uitlegging die voortvloeit uit de bewoordingen van artikel 88 AVG wordt bevestigd door de context van dat artikel en door het doel van de regeling waarvan het deel uitmaakt.

Zoals blijkt uit artikel 1, lid 1, AVG gelezen in het licht van met name de overwegingen 9, 10 en 13 ervan, strekt de AVG ertoe de nationale wetgevingen inzake de bescherming van persoonsgegevens in beginsel volledig te harmoniseren. De bepalingen van deze verordening bieden de lidstaten evenwel de mogelijkheid om strengere of afwijkende nationale regels vast te stellen en laten hun een beoordelingsmarge met betrekking tot de wijze waarop deze bepalingen kunnen worden toegepast (‘open clausules’) (zie in die zin arrest van 28 april 2022, Meta platforms Ireland, C-319/20, EU:C:2022:322, punt 57).

Artikel 88 AVG maakt deel uit van hoofdstuk IX met als opschrift ‘Bepalingen in verband met specifieke situaties op het gebied van gegevensverwerking’ en vormt een dergelijke open clausule, aangezien het de lidstaten de bevoegdheid verleent om ‘nadere regels’ vast te stellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding.

De bijzondere kenmerken van de verwerking van persoonsgegevens in het kader van de arbeidsverhouding en bijgevolg de bij artikel 88, lid 1, AVG aan de lidstaten verleende bevoegdheid zijn met name toe te schrijven aan de ondergeschiktheidsband tussen de werknemer en zijn werkgever, en niet aan de aard van de tussen hen bestaande rechtsverhouding.

Bovendien heeft deze verordening volgens artikel 1, lid 2, juncto overweging 10 AVG met name tot doel een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen in verband met de verwerking van persoonsgegevens te waarborgen, welk recht ook wordt erkend in artikel 8 van het Handvest van de grondrechten van de Europese Unie en nauw verband houdt met het recht op eerbiediging van het privéleven dat is opgenomen in artikel 7 daarvan (zie in die zin arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, punt 61).

Het is in overeenstemming met dit doel om een ruime uitlegging te geven aan artikel 88, lid 1, AVG, volgens welke de ‘nadere regels’ die de lidstaten kunnen vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, betrekking kunnen hebben op alle werknemers, ongeacht de aard van de rechtsverhouding tussen hen en hun werkgever.

In die omstandigheden valt de verwerking van persoonsgegevens van leerkrachten bij het livestreamen van het openbaar onderwijs dat zij via videoconferentie geven, zoals die aan de orde is in het hoofdgeding, binnen de materiële en personele werkingssfeer van artikel 88 AVG.

Met zijn eerste vraag wenst de verwijzende rechter in essentie te vernemen of artikel 88 AVG aldus moet worden uitgelegd dat een rechtsregel, om als een nadere regel in de zin van lid 1 van dat artikel te kunnen worden aangemerkt, moet voldoen de voorwaarden van lid 2 van dat artikel.

Zoals in punt 52 van het onderhavige arrest is opgemerkt, zijn de lidstaten bevoegd en niet verplicht dergelijke regels vast te stellen, die door middel van wettelijke bepalingen of collectieve overeenkomsten tot stand kunnen komen.

Bovendien moeten de lidstaten, wanneer zij gebruikmaken van de bevoegdheid die een open clausule van de AVG hun biedt, hun beoordelingsmarge aanwenden onder de voorwaarden en binnen de beperkingen die in de bepalingen van die verordening zijn gesteld, en aldus een wettelijke regeling vaststellen die geen afbreuk doet aan de inhoud en de doelstellingen van die verordening (zie in die zin arrest van 28 april 2022, Meta platforms Ireland, C-319/20, EU:C:2022:322, punt 60).

Om te bepalen aan welke voorwaarden en beperkingen de in artikel 88, leden 1 en 2, AVG bedoelde regels zijn onderworpen en, bijgevolg, te beoordelen welke discretionaire bevoegdheid volgens deze bepalingen aan de lidstaten wordt overgelaten, zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met haar context en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt (arrest van 15 maart 2022, Autorité des marchés financiers, C-302/20, EU:C:2022:190, punt 63).

Wat de formulering van artikel 88, lid 1, AVG betreft, blijkt allereerst uit het gebruik van het woord ‘nader’ dat de in die bepaling bedoelde regels een specifiek op het gereglementeerde gebied toegesneden normatieve inhoud moeten hebben die zich onderscheidt van de algemene regels van deze verordening.

Vervolgens hebben de op basis van deze bepaling vastgestelde regels, zoals in punt 52 van het onderhavige arrest is opgemerkt, tot doel de rechten en vrijheden van werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding.

Tot slot volgt uit de verschillende in artikel 88, lid 1, AVG, vermelde doeleinden waarvoor de verwerking van persoonsgegevens kan worden verricht, dat de daarin bedoelde ‘nadere regels’ betrekking kunnen hebben op zeer veel aan een arbeidsverhouding gerelateerde verwerkingen, zodat die nadere regels alle doeleinden kunnen bestrijken waarvoor de verwerking van persoonsgegevens in het kader van een arbeidsverhouding kan plaatsvinden. Aangezien de opsomming van die doeleinden niet uitputtend is, zoals is opgemerkt in punt 46 van dit arrest, beschikken de lidstaten bij de verwerkingen die aldus aan die nadere regels zijn onderworpen bovendien over een discretionaire bevoegdheid.

In artikel 88, lid 2, AVG is bepaald dat de op grond van lid 1 vastgestelde regels passende en specifieke maatregelen omvatten ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene, met name wat betreft de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk.

Uit de formulering van artikel 88 AVG volgt dus dat lid 2 van dit artikel het kader afbakent waarbinnen de lidstaten die op grond van lid 1 van dit artikel ‘nadere regels’ willen vaststellen, over een discretionaire bevoegdheid beschikken. Ten eerste mogen die regels dus niet slechts bepalingen van deze verordening herhalen. Zij moeten ertoe strekken de rechten en vrijheden van werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding te beschermen en moeten passende en specifieke maatregelen omvatten ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene.

Ten tweede moeten die maatregelen met name de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen, en toezichtsystemen op het werk betreffen.

Wat de context van artikel 88 AVG betreft, moet in de eerste plaats worden opgemerkt dat deze bepaling moet worden uitgelegd in het licht van overweging 8 van deze verordening, waarin staat te lezen dat voor zover deze verordening bepaalt dat de regels die zij bevat door lidstatelijk recht kunnen worden gespecificeerd of beperkt, de lidstaten indien nodig elementen van deze verordening in hun recht kunnen opnemen om de samenhang te garanderen en om de nationale bepalingen begrijpelijk te maken voor degenen op wie zij van toepassing zijn.

In de tweede plaats moet eraan worden herinnerd dat in de hoofdstukken II en III van de AVG respectievelijk de beginselen staan vermeld die van toepassing zijn op de verwerking van persoonsgegevens en de rechten van de betrokkene die bij elke verwerking van persoonsgegevens moeten worden geëerbiedigd [arrest van 24 februari 2022, alsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C-175/20, EU:C:2022:124, punt 50].

In het bijzonder moet elke verwerking van persoonsgegevens om te beginnen in overeenstemming zijn met de in artikel 5 AVG vermelde beginselen inzake gegevensverwerking en voorts beantwoorden aan een van de in artikel 6 van die verordening genoemde beginselen inzake de rechtmatigheid van de verwerking [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 96 en aldaar aangehaalde rechtspraak].

Wat de beginselen inzake de rechtmatigheid van de verwerking betreft, bevat artikel 6 AVG een uitputtende en limitatieve lijst van gevallen waarin de verwerking van persoonsgegevens kan worden geacht rechtmatig te zijn. Om te kunnen worden aangemerkt als gerechtvaardigd, moet een verwerking dan ook vallen onder een van de in artikel 6 van die verordening bedoelde gevallen [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 99 en aldaar aangehaalde rechtspraak].

Hoewel de lidstaten bij de uitoefening van de bevoegdheid die een open clausule van de AVG hun biedt, onderdelen van deze verordening in hun recht kunnen opnemen voor zover dit nodig is om de samenhang te waarborgen en de nationale bepalingen begrijpelijk te maken voor degenen op wie zij van toepassing zijn, mogen de op grond van artikel 88, lid 1, AVG vastgestelde ‘nadere regels’ niet slechts een herhaling vormen van de in artikel 6 van deze verordening genoemde voorwaarden waaronder de verwerking van persoonsgegevens rechtmatig is en de in artikel 5 van deze verordening genoemde beginselen inzake deze verwerking, noch mag er slechts sprake zijn van een verwijzing naar deze voorwaarden en beginselen.

De uitlegging volgens welke de discretionaire bevoegdheid van de lidstaten bij de vaststelling van regels op grond van artikel 88, lid 1, AVG, begrensd wordt door lid 2 van dat artikel, is in overeenstemming met de in punt 51 van het onderhavige arrest in herinnering gebrachte doelstelling van deze verordening, namelijk de nationale wetgevingen inzake de bescherming van persoonsgegevens in beginsel volledig te harmoniseren.

Zoals de advocaat-generaal in de punten 56, 70 en 73 van zijn conclusie in essentie heeft opgemerkt, is het ingeval de lidstaten op grond van artikel 88, lid 1, AVG ‘nadere regels’ kunnen vaststellen, immers mogelijk dat die omstandigheid leidt tot een gebrekkige harmonisatie op het gebied van de werkingssfeer van die regels. De voorwaarden van artikel 88, lid 2, van deze verordening geven de grenzen van de volgens deze verordening aanvaardbare differentiatie aldus weer dat deze gebrekkige harmonisatie slechts toelaatbaar is wanneer de resterende verschillen gepaard gaan met specifieke en passende waarborgen ter bescherming van de rechten en vrijheden van de werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding.

Om als ‘nadere regel’ in de zin van artikel 88, lid 1, AVG te kunnen worden aangemerkt, moet een rechtsregel dus voldoen aan de voorwaarden van lid 2 van dat artikel. Deze nadere regels moeten niet alleen een specifiek op het gereglementeerde gebied toegesneden normatieve inhoud hebben die zich onderscheidt van de algemene regels van deze verordening. Zij moeten bovendien ertoe strekken de rechten en vrijheden van werknemers bij de verwerking van hun persoonsgegevens in het kader van de arbeidsverhoudingen te beschermen en moeten passende en specifieke maatregelen omvatten ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene. Met name moeten die maatregelen de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk betreffen.

Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 88 AVG aldus moet worden uitgelegd dat een nationale regeling geen ‘nadere regel’ in de zin van lid 1 van dat artikel kan vormen ingeval zij niet voldoet aan de voorwaarden van lid 2 van dat artikel.

Met zijn tweede vraag wenst de verwijzende rechter in essentie te vernemen welke gevolgen moeten worden verbonden aan de vaststelling dat nationale bepalingen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, onverenigbaar zijn met de voorwaarden en beperkingen van artikel 88, leden 1 en 2, AVG.

In dit verband moet in herinnering worden gebracht dat een verordening krachtens artikel 288, tweede alinea, VWEU verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat, zodat de bepalingen ervan in beginsel geen uitvoeringsmaatregelen van de lidstaten behoeven (arrest van 15 juni 2021, Facebook Ireland e.a., C-645/19, EU:C:2021:483, punt 109).

Zoals in punt 51 van dit arrest in herinnering is gebracht, bieden de in de AVG opgenomen open clausules de lidstaten evenwel de mogelijkheid om strengere of afwijkende nationale regels vast te stellen en wordt hun een beoordelingsmarge gelaten met betrekking tot de wijze waarop de betrokken bepalingen kunnen worden toegepast.

Zoals in punt 59 van dit arrest is opgemerkt, moeten de lidstaten, wanneer zij gebruikmaken van de bevoegdheid die een open clausule van de AVG hun biedt, hun beoordelingsmarge aanwenden onder de voorwaarden en binnen de beperkingen die in de bepalingen van die verordening zijn gesteld, en aldus een wettelijke regeling vaststellen die geen afbreuk doet aan de inhoud en de doelstellingen van die verordening.

Het staat aan de verwijzende rechter, die als enige bevoegd is om het nationale recht uit te leggen, om te beoordelen of de in het hoofdgeding aan de orde zijnde bepalingen voldoen aan de voorwaarden en beperkingen van artikel 88 AVG, zoals samengevat in punt 74 van dit arrest.

Zoals de advocaat-generaal in de punten 60 tot en met 62 van zijn conclusie heeft opgemerkt, lijken bepalingen als § 23, lid 1, HDSIG en § 86, lid 4, HBG — die de verwerking van persoonsgegevens van werknemers afhankelijk stellen van de voorwaarde dat deze verwerking noodzakelijk is voor bepaalde doeleinden die in de arbeidsverhouding relevant zijn — echter de reeds door artikel 6, lid 1, eerste alinea, onder b), AVG gestelde voorwaarde voor de algemene rechtmatigheid van de verwerking te herhalen zonder een nadere regel in de zin van artikel 88, lid 1, AVG toe te voegen. Dergelijke bepalingen lijken immers geen specifiek op het gereglementeerde gebied toegesneden normatieve inhoud te hebben die zich onderscheidt van de algemene regels van deze verordening.

Ingeval de verwijzende rechter zou vaststellen dat de in het hoofdgeding aan de orde zijnde bepalingen niet voldoen aan de voorwaarden en beperkingen van artikel 88 AVG, dan staat het in beginsel aan hem om die bepalingen buiten toepassing te laten.

Krachtens het beginsel van de voorrang van het Unierecht hebben de Verdragsbepalingen en de rechtstreeks toepasselijke handelingen van de instellingen in hun verhouding tot het nationale recht van de lidstaten immers tot gevolg dat zij door het enkele feit van hun inwerkingtreding elke strijdige bepaling van de nationale wetgeving van rechtswege buiten toepassing doen treden (arresten van 9 maart 1978, Simmenthal, 106/77, EU:C:1978:49, punt 17; 19 juni 1990, Factortame e.a., C-213/89, EU:C:1990:257, punt 18, en 4 februari 2016, Ince, C-336/14, EU:C:2016:72, punt 52).

Bij gebreke van nadere regels die voldoen aan de voorwaarden en beperkingen van artikel 88 AVG, wordt de verwerking van persoonsgegevens in het kader van de arbeidsverhouding, zowel in de particuliere sector als bij de overheid, rechtstreeks geregeld door de bepalingen van deze verordening.

In dit verband moet worden opgemerkt dat op een verwerking van persoonsgegevens zoals die in het hoofdgeding aan de orde is, de bepalingen van artikel 6, lid 1, eerste alinea, onder c) en e), AVG van toepassing kunnen zijn, op grond waarvan de verwerking van persoonsgegevens rechtmatig is wanneer deze verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, respectievelijk wanneer die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.

Artikel 6, lid 3, AVG bepaalt met betrekking tot de twee in artikel 6, lid 1, eerste alinea, onder c), en e), van die verordening bedoelde gevallen waarin verwerking rechtmatig is, om te beginnen dat de rechtsgrond voor die verwerking moet worden vastgesteld bij Unierecht of bij lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Voorts wordt volgens dat artikel 6, lid 3, AVG het doel van de verwerking in die rechtsgrond vastgesteld of is dat doel met betrekking tot de in lid 1, eerste alinea, onder e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend [zie in die zin arrest van 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Doeleinden van de verwerking van persoonsgegevens — Strafrechtelijk onderzoek), C-180/21, EU:C:2022:967, punt 95].

In herinnering moet worden gebracht dat het Hof reeds heeft geoordeeld dat de rechtmatige verwerking van persoonsgegevens door de verwerkingsverantwoordelijken op basis van artikel 6, lid 1, eerste alinea, onder e), AVG, niet alleen veronderstelt dat zij kunnen worden geacht een taak van algemeen belang te vervullen, maar ook dat voor de verwerking van persoonsgegevens met het oog op de uitoefening van een dergelijke taak een rechtsgrond als bedoeld in artikel 6, lid 3, van die verordening bestaat (zie in die zin arrest van 20 oktober 2022, Koalitsia ‘Demokratichna Bulgaria — Obedinenie’, C-306/21, EU:C:2022:813, punt 52).

Wanneer de verwijzende rechter tot de vaststelling komt dat de nationale bepalingen betreffende de verwerking van persoonsgegevens in het kader van de arbeidsverhouding niet voldoen aan de voorwaarden en beperkingen van artikel 88, leden 1 en 2, AVG, moet hij dus nog nagaan of die bepalingen een rechtsgrond vormen als bedoeld in artikel 6, lid 3, van deze verordening, gelezen in samenhang met overweging 45 ervan, die voldoet aan de vereisten van die verordening. Indien dit het geval is, mag de toepassing van de nationale bepalingen niet achterwege worden gelaten.

Gelet op een en ander moet op de tweede prejudiciële vraag worden geantwoord dat artikel 88, leden 1 en 2, AVG aldus moet worden uitgelegd dat de toepassing van nationale bepalingen die zijn vastgesteld ter bescherming van de rechten en vrijheden van werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding, achterwege moet blijven wanneer die bepalingen niet voldoen aan de voorwaarden en beperkingen van genoemd artikel 88, leden 1 en 2, tenzij die bepalingen een rechtsgrond vormen als bedoeld in artikel 6, lid 3, van deze verordening die aan de daarin vastgelegde vereisten voldoet.