62022TO0578_RES
Rechtssache T‑578/22
Europäischer Datenschutzbeauftragter
gegen
Europäisches ParlamentundRat der Europäischen Union
Beschluss des Gerichts (Erste erweiterte Kammer) vom 6. September 2023
„Nichtigkeitsklage – Institutionelles Recht – Verarbeitung personenbezogener Daten durch Europol – Verordnung (EU) 2016/794 – Institutionelle Befugnisse des EDSB – Klagebefugnis – Teils unzulässige und teils offensichtlich unzulässige Klage“
Nichtigkeitsklage – Zuständigkeit der Unionsgerichte – Von einer Einrichtung der Union erhobene Klage – Vom Europäischen Datenschutzbeauftragten (EDSB) erhobene Klage – Klagebefugnis zur Wahrung seiner institutionellen Befugnisse, die zur Begründung dieser Klage geltend gemacht wird
(Art. 263 AEUV; Verordnung Nr. 45/2001 des Europäischen Parlaments und des Rates, Art. 41 Abs. 1)
(vgl. Rn. 26-36)
Nichtigkeitsklage – Natürliche oder juristische Personen – Rechtsschutzinteresse – Klagebefugnis – Vom Europäischen Datenschutzbeauftragten (EDSB) erhobene Klage – Klagebefugnis zur Wahrung seiner institutionellen Befugnisse – Fehlen – Zulässigkeit, die den Nachweis der Klagebefugnis und des Rechtsschutzinteresses voraussetzt
(Art. 263 Abs. 4 AEUV)
(vgl. Rn. 41-48, 54-57)
Nichtigkeitsklage – Klagebefugnis – Juristische Personen – Begriff – Europäischer Datenschutzbeauftragter (EDSB) – Einrichtung der Union – Einbeziehung – Voraussetzungen
(Art. 263 Abs. 4 AEUV)
(vgl. Rn. 60-65)
Nichtigkeitsklage – Natürliche oder juristische Personen – Handlungen, die sie unmittelbar und individuell betreffen – Bestimmungen über die Verarbeitung personenbezogener Daten durch Europol – Entscheidung des Europäischen Datenschutzbeauftragten (EDSB) gegen Europol – Keine Auswirkungen dieser Bestimmungen auf diese Entscheidung und auf die Befugnisse des EDSB – Fehlende unmittelbare Betroffenheit – Unzulässigkeit
(Art. 16 Abs. 2 und Art. 263 Abs. 4 AEUV; Verordnung 2016/794 des Europäischen Parlaments und des Rates in der durch die Verordnung 2022/991 geänderten Fassung, Art. 74a und Art. 74b)
(Rn. 66, 68-76, 78-82, 84, 85)
Zusammenfassung
Am 3. Januar 2022 erließ der Europäische Datenschutzbeauftragte (EDSB) im Anschluss an eine von sich aus durchgeführte Untersuchung eine Entscheidung gegen die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol) (
1
). Mit dieser Entscheidung hat der EDSB Europol im Wesentlichen angewiesen, für jeden ab dem 4. Januar 2022 eingegangenen Beitrag die Kategorisierung der betroffenen Personen innerhalb von sechs Monaten nach Eingang des Beitrags und innerhalb von zwölf Monaten für die bei Erlass dieser Entscheidung bestehenden Datensätze vorzunehmen; nach Ablauf dieser Fristen war Europol verpflichtet, diese Daten zu löschen.
Am 8. Juni 2022 haben das Europäische Parlament und der Rat die geänderte Europol-Verordnung (
2
) angenommen. Diese sieht im Wesentlichen gemäß zwei Übergangsbestimmungen (
3
) die Voraussetzungen vor, unter denen Europol innerhalb einer bestimmten Frist die zum Zeitpunkt des Inkrafttretens der geänderten Europol-Verordnung in ihrem Besitz befindlichen Datensätze kategorisiert, und legt die Bedingungen und Verfahren fest, nach denen die Verarbeitung personenbezogener Daten, die sich nicht auf in Anhang II der geänderten Europol-Verordnung aufgezählte Kategorien von betroffenen Personen beziehen und die Europol vor dem 28. Juni 2022 übermittelt wurden, zur Unterstützung laufender strafrechtlicher Ermittlungen zulässig ist.
Der EDSB war der Ansicht, dass die angefochtenen Bestimmungen seine Unabhängigkeit und seine Befugnisse als Kontrollbehörde verletzten, da sie seiner Meinung nach die Praktiken von Europol zur Speicherung der streitigen Daten rückwirkend legalisierten und de facto zur Nichtigkeit der Entscheidung vom 3. Januar 2022 führten. Er beantragte daher gemäß Art. 263 AEUV beim Gericht ihre Nichtigerklärung. Seine Klagebefugnis ergebe sich aus der Notwendigkeit eines ihm zur Verfügung stehenden Rechtsbehelfs zur Verteidigung seiner institutionellen Befugnisse, insbesondere seiner Unabhängigkeit als Kontrollbehörde.
Im vorliegenden Fall ist das Gericht erstmals mit einer Nichtigkeitsklage des EDSB gegen einen Gesetzgebungsakt des Rates und des Parlaments befasst, was insbesondere Fragen nach der Zuständigkeit des Gerichts für die Entscheidung über diese Klage, der entsprechenden Anwendbarkeit des Urteils Parlament/Rat (C‑70/88) (
4
) auf den vorliegenden Fall und der unmittelbaren Betroffenheit des einer juristischen Person gleichgestellten EDSB nach Art. 263 Abs. 4 AEUV aufwirft.
Würdigung durch das Gericht
Das Gericht prüft als erstes seine Zuständigkeit für die Entscheidung über die Klage des EDSB und weist zunächst darauf hin, dass dieser nicht zu den in Art. 263 Abs. 2 und 3 AEUV (
5
) genannten Klägern gehört und sich auch nicht auf der Liste der Organe in Art. 13 Abs. 1 EUV (
6
) befindet. Sodann stellt es fest, dass Art. 263 Abs. 1 AEUV zwar in der Liste der Urheber der Handlungen, deren Rechtmäßigkeit im Rahmen einer Nichtigkeitsklage in Frage gestellt werden kann, ausdrücklich die Einrichtungen und sonstigen Stellen der Union nennt, dies jedoch nicht für Art. 263 Abs. 2 und 3 AEUV gilt. So stellt er klar, dass der Status des EDSB als unabhängige Kontrollbehörde zwar im AEU-Vertrag und in der Charta (
7
) verankert ist, der EDSB jedoch nicht durch einen Rechtsakt des Primärrechts, sondern durch einen Rechtsakt des abgeleiteten Rechts (
8
) als Einrichtung der Union errichtet wurde. Folglich ist der EDSB zwar eine Einrichtung der Union mit einem besonderen Status, aber kein Unionsorgan, und kann jedenfalls nicht als einer der in Art. 263 Abs. 2 und 3 AEUV genannten Kläger angesehen werden. Schließlich gelangt das Gericht zu dem Ergebnis, dass es, da Klagen im Sinne von Art. 263 AEUV, die u. a. von einem Unionsorgan gegen einen Gesetzgebungsakt erhoben werden, dem Gerichtshof vorbehalten sind (
9
) und der EDSB weder ein Organ noch ein Kläger im Sinne von Art. 263 Abs. 2 und 3 AEUV ist, für die Entscheidung über die Klage zuständig ist.
Als zweites prüft das Gericht, ob der EDSB gemäß der Rechtsprechung aus dem Urteil Parlament/Rat (C‑70/88) klagebefugt ist. In diesem Urteil, auf das sich der EDSB zur Begründung seiner besonderen Klagebefugnis zur Wahrung seiner institutionellen Befugnisse beruft, hat der Gerichtshof festgestellt, dass das Parlament keine Möglichkeit hatte, vor den Unionsgerichten Handlungen anderer Organe anzufechten, die seine eigenen Befugnisse verletzen könnten, und sich dafür entschieden, diese Lücke unter Rückgriff auf den allgemeinen Grundsatz des institutionellen Gleichgewichts zu schließen. Der EDSB kann dagegen eine Nichtigkeitsklage auf der Grundlage von Art. 263 Abs. 4 AEUV erheben, da er eine durch einen Rechtsakt des abgeleiteten Unionsrechts geschaffene Einrichtung ist, die einer juristischen Person gleichgestellt werden kann. Außerdem stellt das Gericht klar, dass der EDSB zwar einen sowohl im AEU-Vertrag als auch in der Charta anerkannten besonderen Status hat, und die Schaffung unabhängiger Kontrollbehörden ein wesentliches Element des Schutzes des Einzelnen in Bezug auf den Schutz personenbezogener Daten ist, die Unabhängigkeit, in der der EDSB seine Aufgaben in der Praxis wahrnehmen muss, die Befugnisse des Unionsgesetzgebers (
10
) jedoch nicht einschränken soll. Folglich ist der EDSB verpflichtet, seine Aufgaben und Befugnisse in völliger Unabhängigkeit zu erfüllen, und er überwacht die Einhaltung der Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union im Rahmen der gemeinsam vom Parlament und vom Rat erlassenen Gesetzgebungsakte und im Einklang mit diesen. Das Gericht gelangt zu dem Ergebnis, dass das Urteil Parlament/Rat (C‑70/88) nicht entsprechend auf die Situation des EDSB angewendet werden kann, dem keine Klagebefugnis nach diesem Urteil zuerkannt werden kann und der als Kläger anzusehen ist, der die Voraussetzungen von Art. 263 Abs. 4 AEUV erfüllen muss.
Als drittes prüft das Gericht im Rahmen der Prüfung der Klagebefugnis des EDSB nach Art. 263 Abs. 4 AEUV vorab, ob dieser als Einrichtung der Union einer juristischen Person im Sinne dieses Artikels gleichgestellt werden kann. Es stellt fest, dass bei einer Auslegung dieser Bestimmung im Licht der Grundsätze der effektiven gerichtlichen Kontrolle und der Rechtsstaatlichkeit eine Einrichtung wie der EDSB als „juristische Person“ zur Erhebung einer Nichtigkeitsklage gegen die angefochtenen Bestimmungen befugt ist, sofern er von diesen im Sinne dieser Bestimmung unmittelbar und individuell betroffen ist. Eine solche juristische Person kann nämlich ebenso wie eine andere Person oder Organisation durch einen Rechtsakt der Union in ihren Rechten oder Interessen beeinträchtigt werden und muss daher in der Lage sein, unter Beachtung dieser Voraussetzungen die Nichtigerklärung eines solchen Rechtsakts zu begehren.
Hinsichtlich der Voraussetzung der unmittelbaren Betroffenheit einer juristischen Person weist das Gericht darauf hin, dass hierfür zwei Voraussetzungen kumulativ erfüllt sein müssen. Was erstens das Kriterium der Auswirkungen der angefochtenen Bestimmungen auf die Rechtsstellung des EDSB betrifft, führt das Gericht aus, dass der EDSB für die Überwachung der Anwendung der einschlägigen Vorschriften über den Schutz personenbezogener Daten durch die Organe, Einrichtungen oder sonstigen Stellen der Union zuständig ist (
11
). Im vorliegenden Fall ändern die angefochtenen Bestimmungen die ursprüngliche Europol-Verordnung und haben keine Auswirkungen auf die Art oder den Umfang der dem EDSB durch das Unionsrecht übertragenen Aufgaben. Zwar wurde die rechtliche Regelung, mit deren Überwachung der EDSB betraut ist, geändert, seine eigenen Befugnisse wurden jedoch nicht geändert, da die Art und Weise, in der er diese rechtmäßig ausüben kann, als solche nicht geändert wurde. Der EDSB ist daher von den angefochtenen Bestimmungen nicht unmittelbar betroffen, da seine Rechte, Pflichten oder Befugnisse durch diese Bestimmungen nicht berührt wurden. Außerdem stellt das Gericht zu den Auswirkungen der angefochtenen Bestimmungen auf die Entscheidung vom 3. Januar 2022 klar, dass es sich um eine Verwaltungsentscheidung handelt, die keine Auswirkungen auf Gesetzgebungsakte wie die geänderte Europol-Verordnung oder deren Inhalt haben kann.
Zweitens stellt das Gericht in Bezug auf die Voraussetzung des Ermessensspielraums der mit der Durchführung der angefochtenen Bestimmungen betrauten Adressaten fest, dass diese Bestimmungen Europol ein gewisses Ermessen einräumen. Ihre Durchführung erfolgt somit nicht rein automatisch und ergibt sich nicht allein aus der Unionsregelung gegenüber dem EDSB, ohne dass weitere Durchführungsvorschriften angewandt werden.
Da die angefochtenen Bestimmungen die Rechtsstellung des EDSB nicht unmittelbar berühren und die Voraussetzungen der unmittelbaren und der individuellen Betroffenheit durch die Handlung, deren Nichtigerklärung begehrt wird, kumulativ sind, gelangt das Gericht folglich zu dem Ergebnis der Unzulässigkeit der Klage.
(
1
)	Nach Art. 43 Abs. 3 Buchst. e der Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates vom 11. Mai 2016 über die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol) und zur Ersetzung und Aufhebung der Beschlüsse 2009/371/JI, 2009/934/JI, 2009/935/JI, 2009/936/JI und 2009/968/JI des Rates (ABl. 2016, L 135, S. 53, im Folgenden: ursprüngliche Europol-Verordnung).
(
2
)	Verordnung (EU) 2022/991 des Europäischen Parlaments und des Rates vom 8. Juni 2022 zur Änderung der Verordnung (EU) 2016/794 in Bezug auf die Zusammenarbeit von Europol mit privaten Parteien, die Verarbeitung personenbezogener Daten durch Europol zur Unterstützung strafrechtlicher Ermittlungen und die Rolle von Europol in Forschung und Innovation (ABl. 2022, L 169, S. 1, im Folgenden: geänderte Europol-Verordnung), durch die die ursprüngliche Europol-Verordnung geändert wird.
(
3
)	Art. 74a und 74b der geänderten Europol-Verordnung (im Folgenden: angefochtene Bestimmungen).
(
4
)	Urteil vom 22. Mai 1990, Parlament/Rat (C‑70/88, EU:C:1990:217).
(
5
)	Nach dieser Bestimmung kann der Gerichtshof mit Klagen zum einen eines Mitgliedstaats, des Europäischen Parlaments, des Rates oder der Kommission und zum anderen des Rechnungshofs, der Europäischen Zentralbank (EZB) und des Ausschusses der Regionen befasst werden.
(
6
)	Bei den sieben in dieser Bestimmung genannten Organen handelt es sich um das Parlament, den Europäischen Rat, den Rat, die Kommission, den Gerichtshof der Europäischen Union, die Europäische Zentralbank und den Rechnungshof.
(
7
)	Nach Art. 16 Abs. 2 AEUV und Art. 8 Abs. 3 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) wird die Einhaltung der Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union von unabhängigen Behörden überwacht.
(
8
)	Art. 41 Abs. 1 der Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (ABl. 2001, L 8, S. 1).
(
9
)	Gemäß Art. 51 Buchst. b der Satzung des Gerichtshofs der Europäischen Union.
(
10
)	Wie sie in Art. 14 Abs. 1 und Art. 16 Abs. 1 EUV vorgesehen sind.
(
11
)	Gemäß Art. 1 Abs. 3 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39), und Art. 43 Abs. 1 der ursprünglichen Europol-Verordnung.