VG Wiesbaden: Datenschutzbehörde darf Beschwerde nach Art. 77 Abs. 1 DSGVO formlos zurückstellen um Ausgang eines EuGH-Vorabentscheidungsverfahrens abzuwarten
VG Wiesbaden
Urteil vom 28.08.2026
6 K 139/24.WI
Das VG Wiesbaden hat entschieden, dass eine Datenschutzbehörde das Verfahren über eine Beschwerde nach Art. 77 Abs. 1 DSGVO formlos zurückstellen darf, um den Ausgang eines EuGH-Vorabentscheidungsverfahrens abzuwarten. Eine solche Verfahrensverzögerung stellt keine Untätigkeit nach Art. 78 Abs. 2 DSGVO dar, sofern die Behörde dem Beschwerdeführer innerhalb von drei Monaten den Eingang bestätigt und den Sachstand mitgeteilt hat.
Aus den Entscheidungsgründen:
Die Klage ist unbegründet. Der Kläger hat im maßgeblichen Zeitpunkt der mündlichen Verhandlung keinen Anspruch auf weiteres Tätigwerden des Beklagten.
Dabei kann dahinstehen, ob die E-Mail des Klägers vom 15. August 2022 den Anforderungen an eine Beschwerde nach Art. 77 Abs. 1 DSGVO entspricht (hierzu unter 1.), denn eine gegen Art. 78 Abs. 2 DSGVO verstoßende Untätigkeit des Beklagten liegt nicht vor (hierzu unter 2.).
1. Nach Art. 77 Abs. 1 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Da die Norm ausdrücklich Bezug auf die Verarbeitung der personenbezogenen Daten der betroffenen Person nimmt, geht der Beklagte zu Recht davon aus, dass eine Beschwerde nach Art. 77 Abs. 1 DSGVO nur dann vorliegt, wenn eine solche Datenverarbeitung geltend gemacht wird. Die betroffene Person muss einen Rechtsverstoß im Zusammenhang mit der Verarbeitung gerade ihrer personenbezogenen Daten rügen, nicht der Daten Dritter.
An die Darlegung sind indes keine zu strengen Anforderungen zu stellen; ausreichend ist eine Darstellung des Sachverhalts in einem Umfang, der der Aufsichtsbehörde im Rahmen der gebotenen Amtsermittlung die erforderlichen Feststellungen ermöglicht und einen Verstoß gegen die Rechte der betroffenen Person zumindest möglich erscheinen lässt (vgl. zum Ganzen: Bergt in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 77 DSGVO Rn. 10; Mundil in: BeckOK Datenschutzrecht, 56. Edition, Stand: 1. Februar 2024, Art. 77 DSGVO Rn. 5). Ermittlungen ins Blaue hinein können von der Aufsichtsbehörde demgegenüber nicht verlangt werden (vgl. VG Mainz, Urteil vom 22. Juli 2020 – 1 K 473/19.MZ –, juris Rn. 23). Sofern erforderlich, hat die Aufsichtsbehörde auf eine Substantiierung hinzuwirken (vgl. Bergt in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 77 DSGVO Rn. 10; Nemitz in: Ehmann/Selmayr, DSGVO, 3. Auflage 2024, Art. 77 Rn. 14).
Vor diesem Hintergrund begegnet die Praxis des Beklagten, zwischen Beschwerden, die sich auf die Verarbeitung der personenbezogenen Daten der betroffenen Person beziehen, und Hinweisen, die datenschutzrechtliche Verstöße allgemein, ohne Bezug zur betroffenen Person rügen, zu unterscheiden, grundsätzlich keinen Bedenken. Ebenfalls nicht zu beanstanden ist, dass der Beklagte zur Unterscheidung zwischen Beschwerden einerseits und Hinweisen andererseits eine Gesamtwürdigung des in der Eingabe enthaltenen Vortrags vornimmt, ob eine DSGVO-widrige Verarbeitung eigener personenbezogener Daten hinreichend substantiiert geltend gemacht wird. Die Auslegung von Eingaben erfolgt anhand der Auslegungsgrundsätze des Zivilrechts für empfangsbedürftige Willenserklärungen (§§ 133, 157 des Bürgerlichen Gesetzbuchs - BGB), wonach es auf den objektiven Empfängerhorizont ankommt (vgl. VG Ansbach, Urteil vom 12. Oktober 2022 – AN 14 K 19.01728 –, juris Rn. 38). Darauf ob der Begriff „Beschwerde“ oder die Vorschrift des Art. 77 DSGVO genannt wird, kommt es insoweit nicht entscheidend an, wobei die Verwendung dieser Begrifflichkeiten im Einzelfall auf das Vorliegen einer Beschwerde hindeuten oder Anlass zur Aufforderung zur Substantiierung geben kann.
Ob – wie der Beklagte im Klageverfahren vorträgt – die E-Mail des Klägers vom 15. August 2022 unter Berücksichtigung dieser Umstände den Anforderungen an eine Beschwerde im Sinne des Art. 77 Abs. 1 DSGVO nicht genügt und ob – sollte dies der Fall sein – der Beklagte durch Rückfragen auf eine Substantiierung der Beschwerde hätte hinwirken müssen, kann vorliegend dahinstehen, denn der Beklagte hat die E-Mail tatsächlich als Beschwerde behandelt. So hat der Beklagte dem Kläger eine Eingangsbestätigung und Sachstandsmitteilungen erteilt und sich unter Bezugnahme auf eine ihm vorliegende Beschwerde an die Beschwerdegegnerin gewandt. Die Beklagtenseite hat auch in der mündlichen Verhandlung selbst vorgetragen, der E-Mail als Beschwerde nachgegangen zu sein.
2. Eine gegen Art. 78 Abs. 2 DSGVO verstoßende Untätigkeit des Beklagten liegt nicht vor.
Der Beklagte ist innerhalb der drei-Monats-Frist tätig geworden und hat dem Kläger den Eingang seiner E-Mail bestätigt und eine Sachstandsmitteilung erteilt, wonach die Entscheidung des Europäischen Gerichtshofs abgewartet werden soll. Auf die weiteren E-Mails des Klägers vom 8. November und 6. Dezember 2022 hat der Beklagte jeweils binnen eines Zeitraums von weniger als drei Monaten geantwortet.
Einen Anspruch auf weiteres Tätigwerden des Beklagten hat der Kläger im maßgeblichen Zeitpunkt der mündlichen Verhandlung nicht. Das Zurückstellen des Abschlusses des aufsichtsbehördlichen Verfahrens, um ein abgestimmtes Vorgehen im Hinblick auf die Entscheidung des Europäischen Gerichtshofs bzw. des belgischen Gerichts zu ermöglichen, ist nicht zu beanstanden (hierzu unter a.), fortlaufende Sachstandsmitteilungen waren nicht erforderlich (hierzu unter b.) und der Kläger hat keinen Anspruch auf eine separate Abschlussentscheidung hinsichtlich des Einsatzes von F(hierzu unter c.).
a. Der Beklagte hat den Abschluss des aufsichtsbehördlichen Verfahrens in zulässiger Weise zurückgestellt, um ein europaweit bzw. national abgestimmtes Vorgehen in Bezug auf das streitgegenständliche Cookie-Banner abzuwarten.
Art. 78 Abs. 2 Alt. 2 DSGVO verlangt nach seinem eindeutigen Wortlaut nicht, dass die Beschwerde nach drei Monaten abschließend bearbeitet sein muss; es kann vielmehr auch eine Mitteilung über den Stand der Bearbeitung ausreichend sein, insbesondere im Fall von notwendig gewordenen weiteren Untersuchungen oder zur Abstimmung mit anderen Aufsichtsbehörden (vgl. Erwägungsgrund 141 der DSGVO; Boehm in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Auflage 2025, Art. 78 DSGVO Rn. 16).
Im vorliegenden Fall hat der Beklagte bereits in seiner ersten Sachstandsmitteilung vom 8. November 2022 nachvollziehbar dargelegt, dass eine Abstimmung mit anderen Aufsichtsbehörden angezeigt ist, weil das streitgegenständliche Cookie-Banner auf dem Transparency and Consent Framework der E beruht und Gegenstand eines Vorabentscheidungsverfahrens vor dem Europäischen Gerichtshof war. Dass die Vermeidung sich widersprechender Entscheidungen ein legitimes Ziel ist und dass Entscheidungen der Aufsichtsbehörde zu diesem Zweck zurückgestellt werden können, hat der Europäische Gerichtshof im Verhältnis von Rechtsbehelfen nach Art. 77 Abs. 1 DSGVO zu Rechtsbehelfen nach Art. 79 Abs. 1 DSGVO anerkannt (vgl. EuGH, Urteil vom 18. Juni 2026 – C-414/24 –, juris Rn. 54 f.). Nichts anderes kann gelten, wenn ein Sachverhalt Gegenstand eines Vorabentscheidungsverfahrens vor dem Europäischen Gerichtshof ist. Die gleichmäßige Anwendung der Vorschriften zum Schutz von natürlichen Personen bei der Verarbeitung personenbezogener Daten und deren einheitliche Überwachung und Durchsetzung sind als Ziel in der DSGVO verankert (vgl. Erwägungsgrund 10 und 129 der DSGVO).
Nach Klageerhebung ist das Urteil des Europäischen Gerichtshofs ergangen, auch das vorlegende belgische Gericht hat sein Urteil mittlerweile gefasst. Der Beklagte hat indes in der mündlichen Verhandlung nachvollziehbar dargelegt, dass eine Abstimmung mit den anderen Aufsichtsbehörden noch nicht habe stattfinden können, da die offiziellen Urteilsgründe noch nicht vorliegen.
Die Zurückstellung des Abschlusses des aufsichtsbehördlichen Verfahrens durch den Beklagten ist vor diesem Hintergrund von dessen Verfahrensermessen nach § 10 HVwVfG gedeckt.
Die verwaltungsverfahrensrechtliche Ausgestaltung einer solchen Zurückstellung richtet sich nach nationalem Recht (vgl. EuGH, Urteil vom 18. Juni 2026 – C-414/24 –, juris Rn. 41, 54). Nach § 10 HVwVfG ist das Verwaltungsverfahren nicht an bestimmte Formen gebunden; es ist einfach, zweckmäßig und zügig durchzuführen. Dieses der Behörde eingeräumte Verfahrensermessen ermöglicht auch eine Aussetzung oder Unterbrechung oder ein zeitweiliges Nichtbetreiben des Verfahrens (vgl. Schmitz in Stelkens/Bonk/Sachs, VwVfG, 10. Auflage 2023, § 9 Rn. 203, § 10 Rn. 16; Rixen/Goldhammer in: Schoch/Schneider, VwVfG, 7. Ergänzungslieferung, Stand: Mai 2025, § 9 Rn. 35; so auch OVG Lüneburg, Beschluss vom 29. Januar 2016 – 11 OB 272/15 –, juris Rn. 10).
Anders als der Kläger meint, ist hierfür eine förmliche Aussetzung des Verwaltungsverfahrens durch Verwaltungsakt nach vorheriger Anhörung nicht erforderlich (vgl. U. Stelkens in Stelkens/Bonk/Sachs, VwVfG, 10. Auflage 2023, § 35 Rn 150). Bei der Zurückstellung eines Verfahrens handelt es sich um eine Verfahrenshandlung, keinen Verwaltungsakt (vgl. BayVGH, Urteil vom 2. Februar 2010 – 8 BV 08.1113 –, juris Rn. 49). Der Kläger ist hierdurch auch nicht rechtlos gestellt. Ist er der Auffassung, die Zurückstellung des Verfahrens erfolge zu Unrecht, kann er – wie vorliegend geschehen – Klage wegen Untätigkeit der Behörde erheben.
In der Sache hat auch der Kläger nicht in Frage gestellt, dass ein einheitliches Vorgehen der verschiedenen Aufsichtsbehörden in Bezug auf das streitgegenständliche Cookie-Banner zielführend ist. Auch sonst vermag die Einzelrichterin keine Anhaltspunkte dafür zu erkennen, dass der Beklagte sein Verfahrensermessen hinsichtlich der Zurückstellung des Verfahrens bezogen auf das streitgegenständliche Cookie-Banner fehlerhaft ausgeübt hätte. Ausweislich seines Vortrags hat der Beklagte hierbei auch die vergleichsweise geringe datenschutzrechtliche Kritikalität des gerügten Verstoßes, die sich daraus ergibt, dass allenfalls die IP-Adresse des Klägers Gegenstand der gerügten Verarbeitung war, einbezogen. Dies ist nicht zu beanstanden.
b. Anders als der Kläger meint, bedurfte es im vorliegenden Fall auch keiner fortlaufenden Sachstandsmitteilungen im Abstand von drei Monaten.
Eine Pflicht, bei länger andauernden aufsichtsbehördlichen Verfahren die betroffene Person mindestens alle drei Monate über den Sachstand zu informieren, lässt sich der DSGVO nicht unmittelbar entnehmen. Ob aus der in Art. 78 Abs. 2 DSGVO enthaltenen drei-Monats-Frist eine solche Verpflichtung grundsätzlich abgeleitet werden kann (dies erwägend Boehm in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Auflage 2025, Art. 78 DSGVO Rn. 16), kann dahinstehen. Denn jedenfalls im vorliegenden Fall waren entsprechende Sachstandsmitteilungen entbehrlich.
Der Beklagte hatte den Kläger bereits mit der ersten Sachstandsmitteilung darauf hingewiesen, dass die Entscheidung des EuGH abgewartet werden soll und der Beklagte nach Abschluss des aufsichtsbehördlichen Verfahrens unaufgefordert auf den Kläger zurückkommen werde. Zuletzt hatte er den Kläger mit Schreiben vom 28. Februar 2023 mitgeteilt, dass er nach Abschluss des aufsichtsbehördlichen Verfahrens unaufgefordert auf den Kläger zurückkommen werde. Weitergehende Sachstandsmitteilungen wären im vorliegenden Fall nicht zielführend gewesen. Mitteilungen an den Kläger in Abständen von drei Monaten, dass nach wie vor auf eine Entscheidung des Europäischen Gerichtshofs gewartet werde, hätten beim Beklagten Mehraufwand verursacht, ohne dass für den Kläger ein Mehrwert entstanden wäre. Der Beklagte hat plausibel vorgetragen, dass der Gang des Verfahrens des Europäischen Gerichtshofs durch regelmäßige Wiedervorlagen verfolgt wurde. Nachdem die Entscheidung ergangen war, hat der Beklagte dies im Klageverfahren auch entsprechend mitgeteilt und den Grund für die weitere Zurückstellung erläutert.
c. Schließlich hat der Kläger keinen Anspruch auf eine separate Abschlussentscheidung hinsichtlich des Einsatzes von F.
Auch die Trennung und Verbindung von Verwaltungsverfahren liegt im Verfahrensermessen der Behörde (vgl. Rixen/Goldhammer in: Schoch/Schneider, VwVfG, 7 Ergänzungslieferung, Stand: Mai 2025, § 9 Rn. 36; Schmitz in Stelkens/Bonk/Sachs, VwVfG, 10. Auflage 2023, § 9 Rn. 201). Insoweit hat der Beklagte nachvollziehbar dargelegt, dass in Fällen, in denen auf einer Webseite mehrere Tools verwendet werden, aus verfahrensökonomischen Gründen grundsätzlich ein einheitlicher Bescheid ergeht. Diese Vorgehensweise begegnet auch im vorliegenden Fall keinen Bedenken.
Es trifft zwar zu, dass es sich vorliegend um zwei separate Tools handelt und dass hinsichtlich des Einsatzes von F das Verfahren vor dem Europäischen Gerichtshof nicht vorgreiflich ist. Vor diesem Hintergrund dürfte eine separate Abschlussentscheidung betreffend den Einsatz von F ebenfalls vom Verfahrensermessen des Beklagten gedeckt gewesen sein. Eine Ermessensreduzierung auf Null dahingehend, dass der Beklagte verpflichtet gewesen wäre, vorab eine Abschlussentscheidung betreffend den Einsatz von F zu treffen, mit der Folge, dass der Kläger einen Anspruch hierauf hätte, liegt aber nicht vor.
Bei der Frage, welche Maßnahmen der Beklagte als Aufsichtsbehörde gegenüber der Beschwerdegegnerin im Falle eines datenschutzrechtlichen Verstoßes ergreift, kommt ihm ein Ermessen zu (vgl. EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 68 f.). Insoweit ist auch nicht ausgeschlossen, dass die Aufsichtsbehörde ausnahmsweise und unter Berücksichtigung der besonderen Umstände des konkreten Falles vom Ergreifen einer Abhilfemaßnahme absehen kann, obwohl eine Verletzung des Schutzes personenbezogener Daten festgestellt wurde. Ein solcher Fall könnte namentlich dann vorliegen, wenn die festgestellte Verletzung nicht angedauert hat (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 –, juris Rn. 43).
Vor diesem Hintergrund ist es grundsätzlich nicht zu beanstanden, wenn der Beklagte bei mehreren gerügten Verstößen, die eine Webseite betreffen, einen einheitlichen Bescheid erlassen will, um im Rahmen des ihm eingeräumten Ermessens eine Gesamtwürdigung vornehmen zu können. Da vorliegend die Beschwerdegegnerin auf Hinweis des Beklagten bereits am 29. Januar 2023 mitgeteilt hatte, F nicht länger auf der Webseite zu verwenden, bestand auch nicht die Gefahr, dass der gerügte Verstoß sich wiederholt oder fortsetzt. Sonstige Gründe, die eine Trennung des Verfahrens und eine separate Abschlussentscheidung des Beklagten hinsichtlich des Einsatzes von F erforderlich gemacht hätten, sind weder vorgetragen noch sonst ersichtlich.
Den Volltext der Entscheidung finden Sie hier:
Urteil vom 28.08.2026
6 K 139/24.WI
Das VG Wiesbaden hat entschieden, dass eine Datenschutzbehörde das Verfahren über eine Beschwerde nach Art. 77 Abs. 1 DSGVO formlos zurückstellen darf, um den Ausgang eines EuGH-Vorabentscheidungsverfahrens abzuwarten. Eine solche Verfahrensverzögerung stellt keine Untätigkeit nach Art. 78 Abs. 2 DSGVO dar, sofern die Behörde dem Beschwerdeführer innerhalb von drei Monaten den Eingang bestätigt und den Sachstand mitgeteilt hat.
Aus den Entscheidungsgründen:
Die Klage ist unbegründet. Der Kläger hat im maßgeblichen Zeitpunkt der mündlichen Verhandlung keinen Anspruch auf weiteres Tätigwerden des Beklagten.
Dabei kann dahinstehen, ob die E-Mail des Klägers vom 15. August 2022 den Anforderungen an eine Beschwerde nach Art. 77 Abs. 1 DSGVO entspricht (hierzu unter 1.), denn eine gegen Art. 78 Abs. 2 DSGVO verstoßende Untätigkeit des Beklagten liegt nicht vor (hierzu unter 2.).
1. Nach Art. 77 Abs. 1 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Da die Norm ausdrücklich Bezug auf die Verarbeitung der personenbezogenen Daten der betroffenen Person nimmt, geht der Beklagte zu Recht davon aus, dass eine Beschwerde nach Art. 77 Abs. 1 DSGVO nur dann vorliegt, wenn eine solche Datenverarbeitung geltend gemacht wird. Die betroffene Person muss einen Rechtsverstoß im Zusammenhang mit der Verarbeitung gerade ihrer personenbezogenen Daten rügen, nicht der Daten Dritter.
An die Darlegung sind indes keine zu strengen Anforderungen zu stellen; ausreichend ist eine Darstellung des Sachverhalts in einem Umfang, der der Aufsichtsbehörde im Rahmen der gebotenen Amtsermittlung die erforderlichen Feststellungen ermöglicht und einen Verstoß gegen die Rechte der betroffenen Person zumindest möglich erscheinen lässt (vgl. zum Ganzen: Bergt in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 77 DSGVO Rn. 10; Mundil in: BeckOK Datenschutzrecht, 56. Edition, Stand: 1. Februar 2024, Art. 77 DSGVO Rn. 5). Ermittlungen ins Blaue hinein können von der Aufsichtsbehörde demgegenüber nicht verlangt werden (vgl. VG Mainz, Urteil vom 22. Juli 2020 – 1 K 473/19.MZ –, juris Rn. 23). Sofern erforderlich, hat die Aufsichtsbehörde auf eine Substantiierung hinzuwirken (vgl. Bergt in: Kühling/Buchner, DSGVO BDSG, 4. Auflage 2024, Art. 77 DSGVO Rn. 10; Nemitz in: Ehmann/Selmayr, DSGVO, 3. Auflage 2024, Art. 77 Rn. 14).
Vor diesem Hintergrund begegnet die Praxis des Beklagten, zwischen Beschwerden, die sich auf die Verarbeitung der personenbezogenen Daten der betroffenen Person beziehen, und Hinweisen, die datenschutzrechtliche Verstöße allgemein, ohne Bezug zur betroffenen Person rügen, zu unterscheiden, grundsätzlich keinen Bedenken. Ebenfalls nicht zu beanstanden ist, dass der Beklagte zur Unterscheidung zwischen Beschwerden einerseits und Hinweisen andererseits eine Gesamtwürdigung des in der Eingabe enthaltenen Vortrags vornimmt, ob eine DSGVO-widrige Verarbeitung eigener personenbezogener Daten hinreichend substantiiert geltend gemacht wird. Die Auslegung von Eingaben erfolgt anhand der Auslegungsgrundsätze des Zivilrechts für empfangsbedürftige Willenserklärungen (§§ 133, 157 des Bürgerlichen Gesetzbuchs - BGB), wonach es auf den objektiven Empfängerhorizont ankommt (vgl. VG Ansbach, Urteil vom 12. Oktober 2022 – AN 14 K 19.01728 –, juris Rn. 38). Darauf ob der Begriff „Beschwerde“ oder die Vorschrift des Art. 77 DSGVO genannt wird, kommt es insoweit nicht entscheidend an, wobei die Verwendung dieser Begrifflichkeiten im Einzelfall auf das Vorliegen einer Beschwerde hindeuten oder Anlass zur Aufforderung zur Substantiierung geben kann.
Ob – wie der Beklagte im Klageverfahren vorträgt – die E-Mail des Klägers vom 15. August 2022 unter Berücksichtigung dieser Umstände den Anforderungen an eine Beschwerde im Sinne des Art. 77 Abs. 1 DSGVO nicht genügt und ob – sollte dies der Fall sein – der Beklagte durch Rückfragen auf eine Substantiierung der Beschwerde hätte hinwirken müssen, kann vorliegend dahinstehen, denn der Beklagte hat die E-Mail tatsächlich als Beschwerde behandelt. So hat der Beklagte dem Kläger eine Eingangsbestätigung und Sachstandsmitteilungen erteilt und sich unter Bezugnahme auf eine ihm vorliegende Beschwerde an die Beschwerdegegnerin gewandt. Die Beklagtenseite hat auch in der mündlichen Verhandlung selbst vorgetragen, der E-Mail als Beschwerde nachgegangen zu sein.
2. Eine gegen Art. 78 Abs. 2 DSGVO verstoßende Untätigkeit des Beklagten liegt nicht vor.
Der Beklagte ist innerhalb der drei-Monats-Frist tätig geworden und hat dem Kläger den Eingang seiner E-Mail bestätigt und eine Sachstandsmitteilung erteilt, wonach die Entscheidung des Europäischen Gerichtshofs abgewartet werden soll. Auf die weiteren E-Mails des Klägers vom 8. November und 6. Dezember 2022 hat der Beklagte jeweils binnen eines Zeitraums von weniger als drei Monaten geantwortet.
Einen Anspruch auf weiteres Tätigwerden des Beklagten hat der Kläger im maßgeblichen Zeitpunkt der mündlichen Verhandlung nicht. Das Zurückstellen des Abschlusses des aufsichtsbehördlichen Verfahrens, um ein abgestimmtes Vorgehen im Hinblick auf die Entscheidung des Europäischen Gerichtshofs bzw. des belgischen Gerichts zu ermöglichen, ist nicht zu beanstanden (hierzu unter a.), fortlaufende Sachstandsmitteilungen waren nicht erforderlich (hierzu unter b.) und der Kläger hat keinen Anspruch auf eine separate Abschlussentscheidung hinsichtlich des Einsatzes von F(hierzu unter c.).
a. Der Beklagte hat den Abschluss des aufsichtsbehördlichen Verfahrens in zulässiger Weise zurückgestellt, um ein europaweit bzw. national abgestimmtes Vorgehen in Bezug auf das streitgegenständliche Cookie-Banner abzuwarten.
Art. 78 Abs. 2 Alt. 2 DSGVO verlangt nach seinem eindeutigen Wortlaut nicht, dass die Beschwerde nach drei Monaten abschließend bearbeitet sein muss; es kann vielmehr auch eine Mitteilung über den Stand der Bearbeitung ausreichend sein, insbesondere im Fall von notwendig gewordenen weiteren Untersuchungen oder zur Abstimmung mit anderen Aufsichtsbehörden (vgl. Erwägungsgrund 141 der DSGVO; Boehm in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Auflage 2025, Art. 78 DSGVO Rn. 16).
Im vorliegenden Fall hat der Beklagte bereits in seiner ersten Sachstandsmitteilung vom 8. November 2022 nachvollziehbar dargelegt, dass eine Abstimmung mit anderen Aufsichtsbehörden angezeigt ist, weil das streitgegenständliche Cookie-Banner auf dem Transparency and Consent Framework der E beruht und Gegenstand eines Vorabentscheidungsverfahrens vor dem Europäischen Gerichtshof war. Dass die Vermeidung sich widersprechender Entscheidungen ein legitimes Ziel ist und dass Entscheidungen der Aufsichtsbehörde zu diesem Zweck zurückgestellt werden können, hat der Europäische Gerichtshof im Verhältnis von Rechtsbehelfen nach Art. 77 Abs. 1 DSGVO zu Rechtsbehelfen nach Art. 79 Abs. 1 DSGVO anerkannt (vgl. EuGH, Urteil vom 18. Juni 2026 – C-414/24 –, juris Rn. 54 f.). Nichts anderes kann gelten, wenn ein Sachverhalt Gegenstand eines Vorabentscheidungsverfahrens vor dem Europäischen Gerichtshof ist. Die gleichmäßige Anwendung der Vorschriften zum Schutz von natürlichen Personen bei der Verarbeitung personenbezogener Daten und deren einheitliche Überwachung und Durchsetzung sind als Ziel in der DSGVO verankert (vgl. Erwägungsgrund 10 und 129 der DSGVO).
Nach Klageerhebung ist das Urteil des Europäischen Gerichtshofs ergangen, auch das vorlegende belgische Gericht hat sein Urteil mittlerweile gefasst. Der Beklagte hat indes in der mündlichen Verhandlung nachvollziehbar dargelegt, dass eine Abstimmung mit den anderen Aufsichtsbehörden noch nicht habe stattfinden können, da die offiziellen Urteilsgründe noch nicht vorliegen.
Die Zurückstellung des Abschlusses des aufsichtsbehördlichen Verfahrens durch den Beklagten ist vor diesem Hintergrund von dessen Verfahrensermessen nach § 10 HVwVfG gedeckt.
Die verwaltungsverfahrensrechtliche Ausgestaltung einer solchen Zurückstellung richtet sich nach nationalem Recht (vgl. EuGH, Urteil vom 18. Juni 2026 – C-414/24 –, juris Rn. 41, 54). Nach § 10 HVwVfG ist das Verwaltungsverfahren nicht an bestimmte Formen gebunden; es ist einfach, zweckmäßig und zügig durchzuführen. Dieses der Behörde eingeräumte Verfahrensermessen ermöglicht auch eine Aussetzung oder Unterbrechung oder ein zeitweiliges Nichtbetreiben des Verfahrens (vgl. Schmitz in Stelkens/Bonk/Sachs, VwVfG, 10. Auflage 2023, § 9 Rn. 203, § 10 Rn. 16; Rixen/Goldhammer in: Schoch/Schneider, VwVfG, 7. Ergänzungslieferung, Stand: Mai 2025, § 9 Rn. 35; so auch OVG Lüneburg, Beschluss vom 29. Januar 2016 – 11 OB 272/15 –, juris Rn. 10).
Anders als der Kläger meint, ist hierfür eine förmliche Aussetzung des Verwaltungsverfahrens durch Verwaltungsakt nach vorheriger Anhörung nicht erforderlich (vgl. U. Stelkens in Stelkens/Bonk/Sachs, VwVfG, 10. Auflage 2023, § 35 Rn 150). Bei der Zurückstellung eines Verfahrens handelt es sich um eine Verfahrenshandlung, keinen Verwaltungsakt (vgl. BayVGH, Urteil vom 2. Februar 2010 – 8 BV 08.1113 –, juris Rn. 49). Der Kläger ist hierdurch auch nicht rechtlos gestellt. Ist er der Auffassung, die Zurückstellung des Verfahrens erfolge zu Unrecht, kann er – wie vorliegend geschehen – Klage wegen Untätigkeit der Behörde erheben.
In der Sache hat auch der Kläger nicht in Frage gestellt, dass ein einheitliches Vorgehen der verschiedenen Aufsichtsbehörden in Bezug auf das streitgegenständliche Cookie-Banner zielführend ist. Auch sonst vermag die Einzelrichterin keine Anhaltspunkte dafür zu erkennen, dass der Beklagte sein Verfahrensermessen hinsichtlich der Zurückstellung des Verfahrens bezogen auf das streitgegenständliche Cookie-Banner fehlerhaft ausgeübt hätte. Ausweislich seines Vortrags hat der Beklagte hierbei auch die vergleichsweise geringe datenschutzrechtliche Kritikalität des gerügten Verstoßes, die sich daraus ergibt, dass allenfalls die IP-Adresse des Klägers Gegenstand der gerügten Verarbeitung war, einbezogen. Dies ist nicht zu beanstanden.
b. Anders als der Kläger meint, bedurfte es im vorliegenden Fall auch keiner fortlaufenden Sachstandsmitteilungen im Abstand von drei Monaten.
Eine Pflicht, bei länger andauernden aufsichtsbehördlichen Verfahren die betroffene Person mindestens alle drei Monate über den Sachstand zu informieren, lässt sich der DSGVO nicht unmittelbar entnehmen. Ob aus der in Art. 78 Abs. 2 DSGVO enthaltenen drei-Monats-Frist eine solche Verpflichtung grundsätzlich abgeleitet werden kann (dies erwägend Boehm in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Auflage 2025, Art. 78 DSGVO Rn. 16), kann dahinstehen. Denn jedenfalls im vorliegenden Fall waren entsprechende Sachstandsmitteilungen entbehrlich.
Der Beklagte hatte den Kläger bereits mit der ersten Sachstandsmitteilung darauf hingewiesen, dass die Entscheidung des EuGH abgewartet werden soll und der Beklagte nach Abschluss des aufsichtsbehördlichen Verfahrens unaufgefordert auf den Kläger zurückkommen werde. Zuletzt hatte er den Kläger mit Schreiben vom 28. Februar 2023 mitgeteilt, dass er nach Abschluss des aufsichtsbehördlichen Verfahrens unaufgefordert auf den Kläger zurückkommen werde. Weitergehende Sachstandsmitteilungen wären im vorliegenden Fall nicht zielführend gewesen. Mitteilungen an den Kläger in Abständen von drei Monaten, dass nach wie vor auf eine Entscheidung des Europäischen Gerichtshofs gewartet werde, hätten beim Beklagten Mehraufwand verursacht, ohne dass für den Kläger ein Mehrwert entstanden wäre. Der Beklagte hat plausibel vorgetragen, dass der Gang des Verfahrens des Europäischen Gerichtshofs durch regelmäßige Wiedervorlagen verfolgt wurde. Nachdem die Entscheidung ergangen war, hat der Beklagte dies im Klageverfahren auch entsprechend mitgeteilt und den Grund für die weitere Zurückstellung erläutert.
c. Schließlich hat der Kläger keinen Anspruch auf eine separate Abschlussentscheidung hinsichtlich des Einsatzes von F.
Auch die Trennung und Verbindung von Verwaltungsverfahren liegt im Verfahrensermessen der Behörde (vgl. Rixen/Goldhammer in: Schoch/Schneider, VwVfG, 7 Ergänzungslieferung, Stand: Mai 2025, § 9 Rn. 36; Schmitz in Stelkens/Bonk/Sachs, VwVfG, 10. Auflage 2023, § 9 Rn. 201). Insoweit hat der Beklagte nachvollziehbar dargelegt, dass in Fällen, in denen auf einer Webseite mehrere Tools verwendet werden, aus verfahrensökonomischen Gründen grundsätzlich ein einheitlicher Bescheid ergeht. Diese Vorgehensweise begegnet auch im vorliegenden Fall keinen Bedenken.
Es trifft zwar zu, dass es sich vorliegend um zwei separate Tools handelt und dass hinsichtlich des Einsatzes von F das Verfahren vor dem Europäischen Gerichtshof nicht vorgreiflich ist. Vor diesem Hintergrund dürfte eine separate Abschlussentscheidung betreffend den Einsatz von F ebenfalls vom Verfahrensermessen des Beklagten gedeckt gewesen sein. Eine Ermessensreduzierung auf Null dahingehend, dass der Beklagte verpflichtet gewesen wäre, vorab eine Abschlussentscheidung betreffend den Einsatz von F zu treffen, mit der Folge, dass der Kläger einen Anspruch hierauf hätte, liegt aber nicht vor.
Bei der Frage, welche Maßnahmen der Beklagte als Aufsichtsbehörde gegenüber der Beschwerdegegnerin im Falle eines datenschutzrechtlichen Verstoßes ergreift, kommt ihm ein Ermessen zu (vgl. EuGH, Urteil vom 7. Dezember 2023 – C-26/22 –, juris Rn. 68 f.). Insoweit ist auch nicht ausgeschlossen, dass die Aufsichtsbehörde ausnahmsweise und unter Berücksichtigung der besonderen Umstände des konkreten Falles vom Ergreifen einer Abhilfemaßnahme absehen kann, obwohl eine Verletzung des Schutzes personenbezogener Daten festgestellt wurde. Ein solcher Fall könnte namentlich dann vorliegen, wenn die festgestellte Verletzung nicht angedauert hat (vgl. EuGH, Urteil vom 26. September 2024 – C-768/21 –, juris Rn. 43).
Vor diesem Hintergrund ist es grundsätzlich nicht zu beanstanden, wenn der Beklagte bei mehreren gerügten Verstößen, die eine Webseite betreffen, einen einheitlichen Bescheid erlassen will, um im Rahmen des ihm eingeräumten Ermessens eine Gesamtwürdigung vornehmen zu können. Da vorliegend die Beschwerdegegnerin auf Hinweis des Beklagten bereits am 29. Januar 2023 mitgeteilt hatte, F nicht länger auf der Webseite zu verwenden, bestand auch nicht die Gefahr, dass der gerügte Verstoß sich wiederholt oder fortsetzt. Sonstige Gründe, die eine Trennung des Verfahrens und eine separate Abschlussentscheidung des Beklagten hinsichtlich des Einsatzes von F erforderlich gemacht hätten, sind weder vorgetragen noch sonst ersichtlich.
Den Volltext der Entscheidung finden Sie hier: