62023TJ0070_RES
Verbundene Rechtssachen T‑70/23, T‑84/23 und T‑111/23
(auszugsweise Veröffentlichung)
Data Protection Commission
gegen
Europäischer Datenschutzausschuss
Urteil des Gerichts vom 29. Januar 2025
„Schutz personenbezogener Daten – Art. 65 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 – Verbindlicher Beschluss, mit dem einer federführenden Aufsichtsbehörde aufgegeben wird, den Untersuchungsbereich auszuweiten und einen ergänzenden Beschlussentwurf auszuarbeiten – Zuständigkeit des Europäischen Datenschutzausschusses“
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Zuständigkeit des Europäischen Datenschutzausschusses (EDSA) – Umfang – Verbindlicher Beschluss, mit dem einer federführenden Aufsichtsbehörde aufgegeben wird, den Umfang einer Untersuchung auszuweiten und einen ergänzenden Beschlussentwurf auszuarbeiten – Einbeziehung
(Art. 39 EUV; Art. 16 Abs. 1 und 2, Art. 101 und 102 AEUV; Charta der Grundrechte der Europäischen Union, Art. 8 Abs. 1 und 3; Verordnung 2016/679 des Europäischen Parlaments und des Rates, Erwägungsgründe 126, 136 und 141, Art. 4 Nr. 24, Art. 57 Abs. 1 Buchst. a und f, Art. 58 Abs. 2, Art. 60, Art. 65 Abs. 1 Buchst. a, Abs. 2, 3 und 6 sowie Art. 66)
(vgl. Rn. 35, 36, 38-40, 43-45, 49-54, 56-59, 62, 63, 68-75, 77-82)
Zusammenfassung
Das Gericht, das in der Besetzung als erweiterte Kammer entscheidet, weist die Klagen der Data Protection Commission ab, bei der es sich um die irische Aufsichtsbehörde auf dem Gebiet des Schutzes personenbezogener Daten handelt und die mit ihren Klagen die teilweise Nichtigerklärung der verbindlichen Beschlüsse des Europäischen Datenschutzausschusses (EDSA) begehrt. In seinem Urteil äußert sich das Gericht erstmals zur Zuständigkeit des EDSA, einer nationalen Aufsichtsbehörde aufzugeben, ihre Analyse eines Falles sowie gegebenenfalls ihre Untersuchung auszuweiten.
Nach einem Austausch mit den anderen betroffenen Aufsichtsbehörden stellte die Data Protection Commission als federführende Aufsichtsbehörde fest, dass sich kein Konsens über die Einsprüche abzeichnete, die gegen ihre Beschlussentwürfe zur grenzüberschreitenden Verarbeitung der Daten eingelegt worden waren, die mit der Benutzung der sozialen Netzwerke Facebook und Instagram bzw. des Messengerdiensts Whatsapp einhergehen. Folglich unterbreitete sie die Angelegenheit dem EDSA im Rahmen des Kohärenzverfahrens (
1
).
Nach Prüfung der drei Fälle beschloss der EDSA, weil er die meisten Einsprüche gegen die Beschlussentwürfe für maßgeblich und begründet hielt, zu den mit den Einsprüchen aufgeworfenen Fragen Stellung zu nehmen.
Daher erließ er am 5. Dezember 2022 verbindliche Beschlüsse, mit denen er der Data Protection Commission aufgab, neuerliche Untersuchungen zu den mit der Benutzung der drei oben genannten Anwendungen verbundenen Datenverarbeitungen durchzuführen und auf dieser Grundlage ergänzende Beschlussentwürfe auszuarbeiten.
Die Data Protection Commission focht daraufhin die Zuständigkeit des EDSA an, ihr im Wege verbindlicher Beschlüsse solche Maßnahmen aufzugeben.
Würdigung durch das Gericht
Als Erstes präzisiert das Gericht, wie weit die Zuständigkeit des EDSA (
2
) reicht, und stützt sich dabei auf eine wörtliche, systematische und teleologische Analyse der DSGVO.
In diesem Rahmen stellt es zunächst fest, dass der EDSA nach einer wörtlichen Auslegung der einschlägigen Bestimmungen der DSGVO (
3
) zuständig ist, Weisungen wie die angefochtenen zu erlassen, mit denen der federführenden Aufsichtsbehörde aufgegeben wird, eine neuerliche Untersuchung zu bestimmten Aspekten der betreffenden Fälle durchzuführen und anschließend neue Beschlussentwürfe anzunehmen. Da der verbindliche Beschluss des EDSA alle Angelegenheiten zu betreffen hat, die Gegenstand eines maßgeblichen und begründeten Einspruchs sind, verwehren es die einschlägigen Bestimmungen der DSGVO nicht, dass, wenn der EDSA einen maßgeblichen und begründeten Einspruch bejaht, der sich darauf bezieht, dass die Analyse eines Aspekts im Beschlussentwurf fehlt oder unzulänglich sei, wodurch sich nicht feststellen lässt, ob ein Verstoß gegen die Verordnung vorliegt, dieser verbindliche Beschluss eine Weisung an die federführende Aufsichtsbehörde enthält, diese fehlende Analyse nachzuholen und, wenn dies in Anbetracht der dem EDSA vorliegenden Akte erforderlich erscheint, die bis dahin durchgeführte Untersuchung zu diesem Zweck zu vertiefen oder auszuweiten. Wenn die Aktenlage zur vollständigen Durchführung der erforderlichen Analyse offenbar unzureichend ist, muss dies dazu führen, dass der EDSA der zuständigen federführenden Aufsichtsbehörde eine Ergänzung der Untersuchung aufgeben kann.
Sodann vertritt das Gericht im Rahmen einer systematischen Auslegung der einschlägigen Bestimmungen der DSGVO die Auffassung, dass sich dem in der DSGVO verankerten allgemeinen Kontext der Pflicht zur Zusammenarbeit zwischen den von einem Fall betroffenen Aufsichtsbehörden die Bestätigung entnehmen lässt, dass der EDSA für den Erlass der angefochtenen Maßnahmen zuständig ist.
Hierzu führt das Gericht aus, dass das Verfahren der Zusammenarbeit der von einem Fall betroffenen Aufsichtsbehörden (
4
), das die Einleitung des vom EDSA gewährleisteten Kohärenzverfahrens beinhalten kann, keine „Einbahnstraße“ ist, in der stets schrittweise in der Reihenfolge der Bestimmungen, in denen diese Schritte vorgesehen sind, zu verfahren wäre, ohne dass die Möglichkeit bestünde, zu einem früheren Schritt zurückzukehren oder vorübergehend im selben Stadium zu verweilen.
Außerdem stellt das Gericht fest, dass sich die Analyse der Bedingungen, unter denen eine Verarbeitung personenbezogener Daten vorgenommen wird, sowie der Frage, ob sie im Einklang mit der DSGVO erfolgt, nicht darauf beschränken darf, was mit der Beschwerde eines Beschwerdeführers aufgezeigt wird. Insbesondere impliziert die vollständige Erfüllung der in der DSGVO vorgesehenen Aufgaben der Aufsichtsbehörden, die Einhaltung der Verordnung zu überwachen und sich mit Beschwerden in angemessenem Umfang zu befassen (
5
), dass für die Analyse des Falles ein Bereich festgelegt wird, der sich im Hinblick auf die ihm zugrunde liegende Beschwerde, aber auch im Hinblick auf andere Elemente, die sie möglicherweise ergänzen, eignet. Indes bezieht sich ein maßgeblicher und begründeter Einspruch definitionsgemäß auf Aspekte, deren Analyse unter die vorstehend genannten Aufgaben fällt. Folglich beeinträchtigt der Umstand, dass ein maßgeblicher und begründeter Einspruch den Analyse- und gegebenenfalls den Untersuchungsbereich betrifft und der EDSA dem entspricht, diese Aufgaben in keiner Weise.
Schließlich betont das Gericht, dass die Prüfung der Ziele der DSGVO ebenfalls die wörtliche Auslegung ihrer einschlägigen Bestimmungen bestätigt.
Insoweit weist es u. a. darauf hin, dass das Verfahren der Zusammenarbeit zwischen von einem Fall betroffenen Aufsichtsbehörden an seine Grenzen stößt, wenn diese keinen Konsens erzielen. In einer solchen Situation hat die federführende Aufsichtsbehörde im Hinblick auf die Frage, über die kein Konsens besteht, das Kohärenzverfahren einzuleiten, das zu einem verbindlichen Beschluss des EDSA führt. Im Fall der Wiederaufnahme einer Untersuchung hat die zuständige Behörde nach einem verbindlichen Beschluss des EDSA innerhalb der in der DSGVO vorgesehenen Frist einen endgültigen Beschluss über die analysierten und entschiedenen inhaltlichen Aspekte zu erlassen. Dies hindert sie jedoch nicht daran, eine ergänzende Untersuchung durchzuführen und die noch nicht geprüften Aspekte des Falles zu analysieren.
Als Zweites stellt das Gericht fest, dass die Voraussetzungen für die Übertragung einer Zuständigkeit an eine Einrichtung der Union der vorgenommenen Auslegung nicht entgegenstehen, wonach dem EDSA die Befugnis zukommt, einer federführenden Aufsichtsbehörde die Ausweitung ihrer Analyse sowie gegebenenfalls ihrer Untersuchung aufzugeben. Die Ausübung einer solchen Befugnis ist nämlich an verschiedene Kriterien und Bedingungen geknüpft, die den Handlungsspielraum des EDSA begrenzen. So wird diese Befugnis zum einen nur bei Vorliegen einer klar identifizierten Unzulänglichkeit der Analyse der federführenden Aufsichtsbehörde bei der Behandlung des Falles ausgeübt, die – wie sich aus der Definition des maßgeblichen und begründeten Einspruchs ergibt – erhebliche Folgen haben kann, und ergibt sich zum anderen aus der gemeinsamen Beurteilung der Aufsichtsbehörden, aus denen sich der EDSA zusammensetzt.
Außerdem führt das Gericht aus, dass die Ausübung dieser Befugnis einer gerichtlichen Kontrolle unterliegt. Konkret wäre der Unionsrichter in der Lage, die materielle Rechtmäßigkeit der angefochtenen Weisungen im Rahmen der vor ihm geltend gemachten Klagegründe anhand der Umstände des Einzelfalls zu überprüfen. Insbesondere könnte er in einem ersten Schritt überprüfen, ob der EDSA beim Erlass von Weisungen dieser Art tatsächlich einem maßgeblichen und begründeten Einspruch einer Aufsichtsbehörde gefolgt ist. In einem zweiten Schritt könnte er die Rechtmäßigkeit des Inhalts solcher Weisungen an Aufsichtsbehörden überprüfen.
In diesem Zusammenhang fügt das Gericht hinzu, dass ein verbindlicher Beschluss des EDSA, mit dem der federführenden Aufsichtsbehörde die Ausweitung ihrer Analyse und ihrer Untersuchung aufgegeben wird, nicht in Frage stellt, dass sie als unabhängige Behörde Prioritäten hinsichtlich der Erfüllung ihrer verschiedenen Aufgaben setzen kann, was zu kontrollieren allein Sache des nationalen Gerichts ist. Ein solcher Beschluss stellt auch nicht ganz allgemein ihre Unabhängigkeit in Frage (
6
).
(
1
)	Gemäß Art. 60 Abs. 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1) (im Folgenden: DSGVO).
(
2
)	Nach Art. 65 Abs. 1 Buchst. a DSGVO.
(
3
)	Art. 65 Abs. 1 Buchst. a DSGVO in Verbindung mit Art. 4 Nr. 24, Art. 65 Abs. 6 und den Erwägungsgründen 126 und 136 dieser Verordnung.
(
4
)	Nach Art. 60 DSGVO.
(
5
)	Art. 57 Abs. 1 Buchst. a und f DSGVO.
(
6
)	Diese ist in Art. 39 EUV, Art. 16 Abs. 2 AEUV und Art. 8 Abs. 3 der Charta der Grundrechte der Europäischen Union verankert.