BECKMANN UND NORDA - Rechtsanwälte Bielefeld

EuGH
Urteil vom 10.02.2026
C-97/23 P
WhatsApp Ireland / Europäischer Datenschutzausschuss

Der EuGH hat entschieden, dass die Klage von WhatsApp Ireland gegen den streitgegenständlichen verbindlichen Beschluss des Europäischen Datenschutzausschusses (EDSA) zulässig ist.

Die Pressemitteilung des EuGH:
DSGVO: Die Klage von WhatsApp Ireland gegen den verbindlichen Beschluss 1/2021 des Europäischen Datenschutzausschusses ist zulässig

Da dieser Beschluss eine anfechtbare Handlung darstellt, die dieses Unternehmen unmittelbar betrifft, hebt der Gerichtshof den Beschluss des Gerichts auf und verweist die Rechtssache zur Entscheidung in der Sache an das Gericht zurück.

Der Gerichtshof stellt fest, dass ein verbindlicher Beschluss des Europäischen Datenschutzausschusses (EDSA), mit dem eine Streitigkeit zwischen mehreren nationalen Aufsichtsbehörden darüber beigelegt wird, ob ein für die Verarbeitung Verantwortlicher gegen die Datenschutz-Grundverordnung (DSGVO) 1 verstoßen hat und gegebenenfalls die Abhilfemaßnahmen, die ihm auferlegt werden sollen, abzuändern sind, eine vor den Gerichten der Union anfechtbare Handlung darstellt. Dieser verbindliche Beschluss stammt nämlich von einer Einrichtung der Union und soll Rechtswirkungen gegenüber Dritten entfalten. Darüber hinaus entscheidet der Gerichtshof im vorliegenden Fall, dass die WhatsApp Ireland Ltd (im Folgenden: WhatsApp) von dem streitigen Beschluss des EDSA unmittelbar betroffen ist. Da die Nichtigkeitsklage von WhatsApp zulässig ist, das Gericht der Europäischen Union jedoch noch nicht in der Sache entschieden hat, hebt der Gerichtshof den Beschluss des Gerichts auf und verweist die Sache an das Gericht zurück.

Nach dem Inkrafttreten der DSGVO gingen bei der irischen Aufsichtsbehörde, der Data Protection Commission, Beschwerden von Nutzern und Nichtnutzern des Messengerdienstes „WhatsApp“ in Bezug auf die Verarbeitung personenbezogener Daten durch dieses Unternehmen ein. Die irische Aufsichtsbehörde leitete im Dezember 2018 von Amts wegen eine allgemeine Untersuchung über die Einhaltung der Transparenz- und Informationspflichten durch WhatsApp gegenüber Privatpersonen ein.

Im Dezember 2022 legte die irische Aufsichtsbehörde allen betroffenen nationalen Aufsichtsbehörden einen Beschlussentwurf vor, um ihre Stellungnahmen dazu einzuholen . Da über bestimmte Punkte dieses Entwurfs kein Konsens erzielt werden konnte, befasste sie den EDSA. Dieser sollte die Streitigkeit zwischen den betroffenen Aufsichtsbehörden beilegen und zu den Fragen, die Gegenstand maßgeblicher und begründeter Einsprüche waren, Stellung nehmen.

Der EDSA erließ einen für alle betroffenen Aufsichtsbehörden verbindlichen Beschluss , nämlich den Beschluss 1/2021, in dem er u. a. einen Verstoß gegen bestimmte Vorschriften der DSGVO feststellte und die irische Aufsichtsbehörde dazu verpflichtete, die geplanten Abhilfemaßnahmen, einschließlich der Höhe der Geldbußen, zu ändern. Auf dieser Grundlage erließ die irische Aufsichtsbehörde ihren endgültigen Beschluss, der an WhatsApp gerichtet war und mit dem sie gegen WhatsApp insbesondere Geldbußen in Höhe von insgesamt 225 Millionen Euro verhängte.

WhatsApp erhob gegen den Beschluss des EDSA eine Nichtigkeitsklage beim Gericht . Mit seinem Beschluss vom 7. Dezember 20225 wies das Gericht diese Klage jedoch als unzulässig ab und begründete dies damit, dass der Beschluss des EDSA keine anfechtbare Handlung sei und WhatsApp von diesem Beschluss nicht unmittelbar betroffen sei. Nach Ansicht des Gerichts handelte es sich bei dem Beschluss des EDSA lediglich um eine Zwischenmaßnahme, und WhatsApp könne nur den endgültigen Beschluss der irischen Aufsichtsbehörde vor einem nationalen Gericht anfechten. WhatsApp legte daraufhin gegen den Beschluss des Gerichts ein Rechtsmittel beim Gerichtshof ein.

In seinem heutigen Urteil stellt der Gerichtshof fest, dass der Beschluss des EDSA sehr wohl eine vor den Unionsgerichten anfechtbare Handlung darstellt. Denn dieser Beschluss ist eine Handlung, die von einer Einrichtung der Union stammt und für Dritte, d. h. im vorliegenden Fall für die federführende irische Aufsichtsbehörde und alle anderen betroffenen Aufsichtsbehörden, verbindlich ist.

Darüber hinaus legt dieser Beschluss endgültig die Position dieser Einrichtung fest und behandelt alle ihr vorgelegten Fragen erschöpfend. Daher kann ein solcher Beschluss nicht als eine Zwischenmaßnahme angesehen werden, die nicht mit einer Klage anfechtbar ist. Darüber hinaus stellt der Gerichtshof fest, dass WhatsApp von diesem Beschluss unmittelbar betroffen war, da er die Rechtslage dieses Unternehmens in qualifizierter Weise geändert hat, ohne den Adressaten einen Ermessensspielraum zu lassen. Dieser Beschluss ist für die betroffenen Aufsichtsbehörden nämlich unbedingt verbindlich, insbesondere hinsichtlich der Feststellung eines Verstoßes gegen bestimmte Vorschriften der DSGVO, und diese Behörden können das Ergebnis nicht abändern.

Die Klage von WhatsApp wird daher für zulässig erklärt, und der Beschluss des Gerichts wird aufgehoben. Der Gerichtshof verweist die Sache an das Gericht zurück, damit dieses in der Sache entscheidet, einschließlich der Frage, ob WhatsApp gegen die betreffenden Bestimmungen der DSGVO verstoßen hat.

Den Volltext der Entscheidung finden Sie hier:

EuGH
Urteil vom 16.11.2023
C-333/22
Ligue des droits humains (Prüfung der Datenverarbeitung durch die Aufsichtsbehörde)

Der EuGH hat entschieden, dass dem Betroffenen ein gerichtlicher Rechtsbehelf gegen eine Entscheidung der datenschutzrechtlichen Aufsichtsbehörde zustehen muss, wenn die Datenschutzbehörde mittelbar die Rechte des Betroffenen wahrgenommen hat.

Die Pressemitteilung des EuGH:
Verarbeitung personenbezogener Daten: Beschlüsse, die eine Aufsichtsbehörde im Rahmen der mittelbaren Ausübung von Rechten der betroffenen Person erlässt, sind rechtsverbindlich

Die Gründe und Beweise, auf die sie sich stützen, müssen gerichtlich überprüft werden können.

Ein Bürger beantragte zu beruflichen Zwecken bei der belgischen nationalen Sicherheitsbehörde die Erteilung einer Sicherheitsbescheinigung. Das Dokument wurde ihm mit der Begründung verweigert, dass er an Demonstrationen teilgenommen habe. Unter Berufung auf sein Recht auf Auskunft über seine Daten wandte sich der Bürger an das Organ für die Kontrolle polizeilicher Informationen, das ihm mitteilte, dass ihm nur ein mittelbarer Auskunftsanspruch zustehe und es selbst die Rechtmäßigkeit der Verarbeitung seiner Daten prüfen werde. Im Einklang mit dem belgischen Recht beschränkte sich das Organ nach Abschluss der Prüfung jedoch darauf, dem Bürger zu antworten, dass die erforderlichen Prüfungen durch die Aufsichtsbehörde erfolgt seien. Der Bürger erhob daraufhin Klage vor dem Gericht des ersten Rechtszugs, das sich für sachlich unzuständig erklärte.

Die vom Betroffenen und der Ligue des droits humains angerufene Cour d’appel de Bruxelles (Appellationshof Brüssel, Belgien) möchte vom Gerichtshof wissen, ob das Unionsrecht die Mitgliedstaaten dazu verpflichtet, der von der Verarbeitung ihrer Daten betroffenen Person die Möglichkeit zu geben, den Beschluss der Aufsichtsbehörde anzufechten, wenn diese Behörde die Rechte dieser Person in Bezug auf die Datenverarbeitung ausübt.

Der Gerichtshof ist der Auffassung, dass die zuständige Aufsichtsbehörde dadurch, dass sie die betroffene Person über das Ergebnis der Prüfungen unterrichtet, einen rechtsverbindlichen Beschluss erlässt. Gegen diesen Beschluss muss ein Rechtsbehelf eingelegt werden können, damit der Betroffene die Beurteilung der Rechtmäßigkeit der Datenverarbeitung durch die Aufsichtsbehörde und die Entscheidung zugunsten bzw. gegen die Ausübung von Abhilfebefugnissen anfechten kann.

Der Gerichtshof weist darauf hin, dass die Aufsichtsbehörde nach dem Unionsrecht verpflichtet ist, die betroffene Person „zumindest“ darüber zu unterrichten, „dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Aufsichtsbehörde erfolgt sind“, und diese „über ihr Recht auf einen gerichtlichen Rechtsbehelf“ zu informieren. Wenn die im öffentlichen Interesse liegenden Zwecke dem nicht entgegenstehen, haben die Mitgliedstaaten jedoch vorzusehen, dass die Unterrichtung der betroffenen Person über diese Mindestangaben hinausgehen kann, damit die betroffene Person ihre Rechte verteidigen und entscheiden kann, ob sie das zuständige Gericht anruft.

Außerdem müssen die Mitgliedstaaten in den Fällen, in denen die der betroffenen Person übermittelten Informationen auf das strikte Minimum beschränkt wurden, dafür Sorge tragen, dass das zuständige Gericht bei der Prüfung der Stichhaltigkeit der Rechtfertigungsgründe für eine solche Beschränkung der Informationen die im öffentlichen Interesse liegenden Zwecke (Sicherheit des Staates, Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten) und die Notwendigkeit, den Bürgern die Wahrung ihrer Verfahrensrechte zu gewährleisten, gegeneinander abwägen kann. Im Rahmen dieser gerichtlichen Kontrolle müssen die nationalen Vorschriften es dem Gericht ermöglichen, von den Gründen und Beweisen, auf die die Aufsichtsbehörde den Beschluss gestützt hat, aber auch von den daraus gezogenen Schlüssen Kenntnis zu nehmen.

Tenor der Entscheidung:

1. Art. 17 in Verbindung mit Art. 46 Abs. 1 Buchst. g, Art. 47 Abs. 1 und 2 und Art. 53 Abs. 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates sowie in Verbindung mit Art. 8 Abs. 3 und Art. 47 der Charta der Grundrechte der Europäischen Union ist dahin auszulegen, dass dass eine Person, wenn ihre Rechte in Anwendung von Art. 17 dieser Richtlinie über die zuständige Aufsichtsbehörde ausgeübt worden sind und diese Behörde sie über das Ergebnis der durchgeführten Prüfungen unterrichtet, über einen wirksamen gerichtlichen Rechtsbehelf gegen den Beschluss dieser Behörde, das Überprüfungsverfahren abzuschließen, verfügen muss.

2. Die Prüfung der zweiten Frage hat nichts ergeben, was geeignet wäre, die Gültigkeit von Art. 17 Abs. 3 der Richtlinie (EU) 2016/680 zu berühren.

Den Volltext der Entscheidung finden Sie hier: