62023CJ0097
URTEIL DES GERICHTSHOFS (Große Kammer)
10. Februar2026 (
*1
) (
i
)
„Rechtsmittel – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 63 – Kohärenzverfahren – Art. 65 – Beilegung der Streitigkeiten durch den Europäischen Datenschutzausschuss – Verbindlicher Beschluss – Nichtigkeitsklage – Art. 263 Abs. 1 AEUV – Anfechtbare Handlung – Art. 263 Abs. 4 AEUV – Voraussetzung, wonach der Kläger von der Maßnahme, die Gegenstand seiner Klage ist, unmittelbar betroffen sein muss“
In der Rechtssache C‑97/23 P
betreffend ein Rechtsmittel nach Art. 56 der Satzung des Gerichtshofs der Europäischen Union, eingelegt am 17. Februar 2023,
WhatsApp Ireland Ltd mit Sitz in Dublin (Irland), vertreten durch E. Egan McGrath, SC, C. Geoghegan, SC, D. McGrath, SC, P. Sreenan, SC, B. Johnston, C. Monaghan und P. Nolan, Solicitors, Rechtsanwalt H.‑G. Kamann, F. Louis und A. Vallery, Avocats,
Rechtsmittelführerin,
andere Partei des Verfahrens:
Europäischer Datenschutzausschuss, vertreten durch C. Foglia, M. Gufflet, G. Le Grand und I. Vereecken als Bevollmächtigte im Beistand von G. Haumont, E. de Lophem, P. Vernet, Avocats, sowie G. Ryelandt, Advocaat,
Beklagter im ersten Rechtszug,
unterstützt durch:
Bundesrepublik Deutschland, zunächst vertreten durch J. Möller und P.‑L. Krüger, dann durch J. Möller als Bevollmächtigte,
Streithelfer im Rechtsmittelverfahren,
erlässt
DER GERICHTSHOF (Große Kammer)
unter Mitwirkung des Präsidenten K. Lenaerts, des Vizepräsidenten T. von Danwitz (Berichterstatter), der Kammerpräsidentin K. Jürimäe, der Kammerpräsidenten C. Lycourgos und I. Jarukaitis, der Kammerpräsidentinnen I. Ziemele und O. Spineanu-Matei und des Kammerpräsidenten M. Condinanzi sowie der Richter S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders und N. Fenger,
Generalanwältin: T. Ćapeta,
Kanzler: A. Lamote, Verwaltungsrätin,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 26. November 2024,
nach Anhörung der Schlussanträge der Generalanwältin in der Sitzung vom 27. März 2025
folgendes
Urteil
1
Mit ihrem Rechtsmittel beantragt die WhatsApp Ireland Ltd (im Folgenden: WhatsApp) die Aufhebung des Beschlusses des Gerichts der Europäischen Union vom 7. Dezember 2022, WhatsApp Ireland/Europäischer Datenschutzausschuss (T‑709/21, im Folgenden: angefochtener Beschluss, EU:T:2022:783), mit dem das Gericht ihre Klage auf Nichtigerklärung des verbindlichen Beschlusses 1/2021 des Europäischen Datenschutzausschusses (im Folgenden: Ausschuss) vom 28. Juli 2021 zur Streitigkeit zwischen den betroffenen Aufsichtsbehörden (im Folgenden: streitiger Beschluss) im Nachgang zu dem von der Data Protection Commission (DPC) (Datenschutzbehörde, Irland) (im Folgenden: irische Aufsichtsbehörde) erstellten und WhatsApp betreffenden Beschlussentwurf als unzulässig abgewiesen hat.
Rechtlicher Rahmen
2
In den Erwägungsgründen 10 und 143 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, und Berichtigung in ABl. 2018, L 127, S. 2) (im Folgenden: DSGVO) heißt es:
„(10)
Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der [Europäischen] Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden. …
…
(143)
Jede natürliche oder juristische Person hat das Recht, unter den in Artikel 263 AEUV genannten Voraussetzungen beim Gerichtshof eine Klage auf Nichtigerklärung eines Beschlusses des Ausschusses zu erheben. Als Adressaten solcher Beschlüsse müssen die betroffenen Aufsichtsbehörden, die diese Beschlüsse anfechten möchten, binnen zwei Monaten nach deren Übermittlung gemäß Artikel 263 AEUV Klage erheben. Sofern Beschlüsse des Ausschusses einen Verantwortlichen, einen Auftragsverarbeiter oder den Beschwerdeführer unmittelbar und individuell betreffen, so können diese Personen binnen zwei Monaten nach Veröffentlichung der betreffenden Beschlüsse auf der Website des Ausschusses im Einklang mit Artikel 263 AEUV eine Klage auf Nichtigerklärung erheben. Unbeschadet dieses Rechts nach Artikel 263 AEUV sollte jede natürliche oder juristische Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf bei dem zuständigen einzelstaatlichen Gericht gegen einen Beschluss einer Aufsichtsbehörde haben, der gegenüber dieser Person Rechtswirkungen entfaltet. Ein derartiger Beschluss betrifft insbesondere die Ausübung von Untersuchungs‑, Abhilfe- und Genehmigungsbefugnissen durch die Aufsichtsbehörde oder die Ablehnung oder Abweisung von Beschwerden. Das Recht auf einen wirksamen gerichtlichen Rechtsbehelf umfasst jedoch nicht rechtlich nicht bindende Maßnahmen der Aufsichtsbehörden wie von ihr abgegebene Stellungnahmen oder Empfehlungen. Verfahren gegen eine Aufsichtsbehörde sollten bei den Gerichten des Mitgliedstaats angestrengt werden, in dem die Aufsichtsbehörde ihren Sitz hat, und sollten im Einklang mit dem Verfahrensrecht dieses Mitgliedstaats durchgeführt werden. Diese Gerichte sollten eine uneingeschränkte Zuständigkeit besitzen, was die Zuständigkeit, sämtliche für den bei ihnen anhängigen Rechtsstreit maßgebliche Sach- und Rechtsfragen zu prüfen, einschließt.
Wurde eine Beschwerde von einer Aufsichtsbehörde abgelehnt oder abgewiesen, kann der Beschwerdeführer Klage bei den Gerichten desselben Mitgliedstaats erheben. Im Zusammenhang mit gerichtlichen Rechtsbehelfen in Bezug auf die Anwendung dieser Verordnung können einzelstaatliche Gerichte, die eine Entscheidung über diese Frage für erforderlich halten, um ihr Urteil erlassen zu können, bzw. müssen einzelstaatliche Gerichte in den Fällen nach Artikel 267 AEUV den Gerichtshof um eine Vorabentscheidung zur Auslegung des Unionsrechts – das auch diese Verordnung einschließt – ersuchen. Wird darüber hinaus der Beschluss einer Aufsichtsbehörde zur Umsetzung eines Beschlusses des Ausschusses vor einem einzelstaatlichen Gericht angefochten und wird die Gültigkeit des Beschlusses des Ausschusses in Frage gestellt, so hat dieses einzelstaatliche Gericht nicht die Befugnis, den Beschluss des Ausschusses für nichtig zu erklären, sondern es muss im Einklang mit Artikel 267 AEUV in der Auslegung des Gerichtshofs den Gerichtshof mit der Frage der Gültigkeit befassen, wenn es den Beschluss für nichtig hält. Allerdings darf ein einzelstaatliches Gericht den Gerichtshof nicht auf Anfrage einer natürlichen oder juristischen Person mit Fragen der Gültigkeit des Beschlusses des Ausschusses befassen, wenn diese Person Gelegenheit hatte, eine Klage auf Nichtigerklärung dieses Beschlusses zu erheben – insbesondere wenn sie unmittelbar und individuell von dem Beschluss betroffen war –, diese Gelegenheit jedoch nicht innerhalb der Frist gemäß Artikel 263 AEUV genutzt hat.“
3
Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 Buchst. a DSGVO bestimmt, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen. Nach Art. 5 Abs. 1 Buchst. c DSGVO müssen diese Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.
4
Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO legt die Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten fest. Art. 6 Abs. 1 sieht vor:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a)
Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b)
die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c)
die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d)
die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e)
die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f)
die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.“
5
Art. 12 DSGVO enthält Bestimmungen über die Transparenz von Informationen und Mitteilungen sowie über die Modalitäten der Ausübung der Rechte der betroffenen Person. Art. 12 Abs. 1 bestimmt:
„Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.“
6
Art. 13 („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) DSGVO sieht vor:
„(1)   Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
a)
den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b)
gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
c)
die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d)
wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
e)
gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
f)
gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist oder wo sie verfügbar sind.
(2)   Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
a)
falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b)
das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
c)
wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
d)
das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
e)
ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche[n] Folgen die Nichtbereitstellung hätte und
f)
das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
…“
7
Art. 14 DSGVO betrifft die Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden.
8
Nach Art. 55 Abs. 1 DSGVO ist „[j]ede Aufsichtsbehörde … für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig“.
9
Art. 56 („Zuständigkeit der federführenden Aufsichtsbehörde“) DSGVO bestimmt:
„(1)   Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.
(2)   Abweichend von Absatz 1 ist jede Aufsichtsbehörde dafür zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen diese Verordnung zu befassen, wenn der Gegenstand nur mit einer Niederlassung in ihrem Mitgliedstaat zusammenhängt oder betroffene Personen nur ihres Mitgliedstaats erheblich beeinträchtigt.
(3)   In den in Absatz 2 des vorliegenden Artikels genannten Fällen unterrichtet die Aufsichtsbehörde unverzüglich die federführende Aufsichtsbehörde über diese Angelegenheit. Innerhalb einer Frist von drei Wochen nach der Unterrichtung entscheidet die federführende Aufsichtsbehörde, ob sie sich mit dem Fall gemäß dem Verfahren nach Artikel 60 befasst oder nicht, wobei sie berücksichtigt, ob der Verantwortliche oder der Auftragsverarbeiter in dem Mitgliedstaat, dessen Aufsichtsbehörde sie unterrichtet hat, eine Niederlassung hat oder nicht.
(4)   Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall zu befassen, so findet das Verfahren nach Artikel 60 Anwendung. Die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, kann dieser einen Beschlussentwurf vorlegen. Die federführende Aufsichtsbehörde trägt diesem Entwurf bei der Ausarbeitung des Beschlussentwurfs nach Artikel 60 Absatz 3 weitestgehend Rechnung.
(5)   Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall nicht selbst zu befassen, so befasst die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, sich mit dem Fall gemäß den Artikeln 61 und 62.
(6)   Die federführende Aufsichtsbehörde ist der einzige Ansprechpartner de[s] Verantwortlichen oder de[s] Auftragsverarbeiter[s] für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung.“
10
Art. 57 („Aufgaben“) Abs. 1 Buchst. h DSGVO bestimmt, dass jede Aufsichtsbehörde im Hoheitsgebiet ihres eigenen Mitgliedstaats die Aufgabe hat, Untersuchungen hinsichtlich der Anwendung der DSGVO durchzuführen.
11
Die Untersuchungsbefugnisse dieser Behörde sind in Art. 58 („Befugnisse“) Abs. 1 DSGVO aufgeführt. In Art. 58 Abs. 2 werden die Abhilfemaßnahmen aufgezählt, die von dieser Behörde ergriffen werden können, darunter die in den Buchst. b, d und i genannten Abhilfemaßnahmen, die darin bestehen, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DSGVO zu bringen, und eine Geldbuße gemäß Art. 83 DSGVO zu verhängen.
12
Art. 60 („Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden“) bestimmt:
„(1)   Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.
(2)   Die federführende Aufsichtsbehörde kann jederzeit andere betroffene Aufsichtsbehörden um Amtshilfe gemäß Artikel 61 ersuchen und gemeinsame Maßnahmen gemäß Artikel 62 durchführen, insbesondere zur Durchführung von Untersuchungen oder zur Überwachung der Umsetzung einer Maßnahme in Bezug auf einen Verantwortlichen oder einen Auftragsverarbeiter, der in einem anderen Mitgliedstaat niedergelassen ist.
(3)   Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.
(4)   Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.
(5)   Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.
(6)   Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.
(7)   Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.
(8)   Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Absatz 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den Verantwortlichen in Kenntnis.
(9)   Sind sich die federführende Aufsichtsbehörde und die betreffenden Aufsichtsbehörden darüber einig, Teile der Beschwerde abzulehnen oder abzuweisen und bezüglich anderer Teile dieser Beschwerde tätig zu werden, so wird in dieser Angelegenheit für jeden dieser Teile ein eigener Beschluss erlassen. Die federführende Aufsichtsbehörde erlässt den Beschluss für den Teil, der das Tätigwerden in Bezug auf den Verantwortlichen betrifft, teilt ihn der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters im Hoheitsgebiet ihres Mitgliedstaats mit und setzt den Beschwerdeführer hiervon in Kenntnis, während die für den Beschwerdeführer zuständige Aufsichtsbehörde den Beschluss für den Teil erlässt, der die Ablehnung oder Abweisung dieser Beschwerde betrifft, und ihn diesem Beschwerdeführer mitteilt und den Verantwortlichen oder den Auftragsverarbeiter hiervon in Kenntnis setzt.
(10)   Nach der Unterrichtung über den Beschluss der federführenden Aufsichtsbehörde gemäß den Absätzen 7 und 9 ergreift der Verantwortliche oder der Auftragsverarbeiter die erforderlichen Maßnahmen, um die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union mit dem Beschluss in Einklang zu bringen. Der Verantwortliche oder der Auftragsverarbeiter teilt der federführenden Aufsichtsbehörde die Maßnahmen mit, die zur Einhaltung des Beschlusses ergriffen wurden; diese wiederum unterrichtet die anderen betroffenen Aufsichtsbehörden.
(11)   Hat – in Ausnahmefällen – eine betroffene Aufsichtsbehörde Grund zu der Annahme, dass zum Schutz der Interessen betroffener Personen dringender Handlungsbedarf besteht, so kommt das Dringlichkeitsverfahren nach Artikel 66 zur Anwendung.
(12)   Die federführende Aufsichtsbehörde und die anderen betroffenen Aufsichtsbehörden übermitteln einander die nach diesem Artikel geforderten Informationen auf elektronischem Wege unter Verwendung eines standardisierten Formats.“
13
In Art. 63 („Kohärenzverfahren“) DSGVO heißt es:
„Um zur einheitlichen Anwendung dieser Verordnung in der gesamten Union beizutragen, arbeiten die Aufsichtsbehörden im Rahmen des … Kohärenzverfahrens untereinander und gegebenenfalls mit der Kommission zusammen.“
14
Art. 65 („Streitbeilegung durch den Ausschuss“) DSGVO bestimmt:
„(1)   Um die ordnungsgemäße und einheitliche Anwendung dieser Verordnung in Einzelfällen sicherzustellen, erlässt der Ausschuss in den folgenden Fällen einen verbindlichen Beschluss:
a)
wenn eine betroffene Aufsichtsbehörde in einem Fall nach Artikel 60 Absatz 4 einen maßgeblichen und begründeten Einspruch gegen einen Beschlussentwurf der federführenden Aufsichtsbehörde eingelegt hat und sich die federführende Aufsichtsbehörde dem Einspruch nicht angeschlossen hat oder den Einspruch als nicht maßgeblich oder nicht begründet abgelehnt hat. Der verbindliche Beschluss betrifft alle Angelegenheiten, die Gegenstand des maßgeblichen und begründeten Einspruchs sind, insbesondere die Frage, ob ein Verstoß gegen diese Verordnung vorliegt,
b)
wenn es widersprüchliche Standpunkte dazu gibt, welche der betroffenen Aufsichtsbehörden für die Hauptniederlassung zuständig ist,
c)
wenn eine zuständige Aufsichtsbehörde in den in Artikel 64 Absatz 1 genannten Fällen keine Stellungnahme des Ausschusses einholt oder der Stellungnahme des Ausschusses gemäß Artikel 64 nicht folgt. In diesem Fall kann jede betroffene Aufsichtsbehörde oder die Kommission die Angelegenheit dem Ausschuss vorlegen.
(2)   Der in Absatz 1 genannte Beschluss wird innerhalb eines Monats nach der Befassung mit der Angelegenheit mit einer Mehrheit von zwei Dritteln der Mitglieder des Ausschusses angenommen. Diese Frist kann wegen der Komplexität der Angelegenheit um einen weiteren Monat verlängert werden. Der in Absatz 1 genannte Beschluss wird begründet und an die federführende Aufsichtsbehörde und alle betroffenen Aufsichtsbehörden übermittelt und ist für diese verbindlich.
(3)   War der Ausschuss nicht in der Lage, innerhalb der in Absatz 2 genannten Fristen einen Beschluss anzunehmen, so nimmt er seinen Beschluss innerhalb von zwei Wochen nach Ablauf des in Absatz 2 genannten zweiten Monats mit einfacher Mehrheit der Mitglieder des Ausschusses an. Bei Stimmengleichheit zwischen den Mitgliedern des Ausschusses gibt die Stimme des Vorsitzes den Ausschlag.
(4)   Die betroffenen Aufsichtsbehörden nehmen vor Ablauf der in den Absätzen 2 und 3 genannten Fristen keinen Beschluss über die dem Ausschuss vorgelegte Angelegenheit an.
(5)   Der Vorsitz des Ausschusses unterrichtet die betroffenen Aufsichtsbehörden unverzüglich über den in Absatz 1 genannten Beschluss. Er setzt die Kommission hiervon in Kenntnis. Der Beschluss wird unverzüglich auf der Website des Ausschusses veröffentlicht, nachdem die Aufsichtsbehörde den in Absatz 6 genannten endgültigen Beschluss mitgeteilt hat.
(6)   Die federführende Aufsichtsbehörde oder gegebenenfalls die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, trifft den endgültigen Beschluss auf der Grundlage des in Absatz 1 des vorliegenden Artikels genannten Beschlusses unverzüglich und spätestens einen Monat, nachdem der Europäische Datenschutzausschuss seinen Beschluss mitgeteilt hat. Die federführende Aufsichtsbehörde oder gegebenenfalls die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, setzt den Ausschuss von dem Zeitpunkt, zu dem ihr endgültiger Beschluss dem Verantwortlichen oder dem Auftragsverarbeiter bzw. der betroffenen Person mitgeteilt wird, in Kenntnis. Der endgültige Beschluss der betroffenen Aufsichtsbehörden wird gemäß Artikel 60 Absätze 7, 8 und 9 angenommen. Im endgültigen Beschluss wird auf den in Absatz 1 genannten Beschluss verwiesen und festgelegt, dass der in Absatz 1 des vorliegenden Artikels genannte Beschluss gemäß Absatz 5 auf der Website des Ausschusses veröffentlicht wird. Dem endgültigen Beschluss wird der in Absatz 1 des vorliegenden Artikels genannte Beschluss beigefügt.“
15
Art. 68 („[Ausschuss]“) Abs. 1 DSGVO sieht vor, dass der Ausschuss als Einrichtung der Union mit eigener Rechtspersönlichkeit eingerichtet wird.
16
Art. 70 („Aufgaben des Ausschusses“) Abs. 1 Buchst. a DSGVO sieht vor, dass der Ausschuss die einheitliche Anwendung der DSGVO sicherstellt. Hierzu nimmt der Ausschuss von sich aus oder gegebenenfalls auf Ersuchen der Kommission insbesondere die Tätigkeit wahr, die ordnungsgemäße Anwendung der DSGVO in den in den Art. 64 und 65 genannten Fällen zu überwachen und sicherzustellen, unbeschadet der Aufgaben der nationalen Aufsichtsbehörden.
17
Art. 78 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde“) bestimmt:
„(1)   Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.
(2)   Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Recht[s]behelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn die nach den Artikeln 55 und 56 zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde in Kenntnis gesetzt hat.
(3)   Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat.
(4)   Kommt es zu einem Verfahren gegen den Beschluss einer Aufsichtsbehörde, dem eine Stellungnahme oder ein Beschluss des Ausschusses im Rahmen des Kohärenzverfahrens vorangegangen ist, so leitet die Aufsichtsbehörde diese Stellungnahme oder diesen Beschluss dem Gericht zu.“
18
Art. 83 DSGVO legt die allgemeinen Bedingungen für die Verhängung von Geldbußen fest.
Vorgeschichte des Rechtsstreits und streitiger Beschluss
19
Die Vorgeschichte des Rechtsstreits ist in den Rn. 2 bis 12 des angefochtenen Beschlusses dargestellt und lässt sich für die Zwecke des vorliegenden Verfahrens wie folgt zusammenfassen.
20
Nach Inkrafttreten der DSGVO gingen bei der irischen Aufsichtsbehörde Beschwerden von Nutzern und Nichtnutzern des Messengerdienstes „WhatsApp“ über die Verarbeitung personenbezogener Daten durch WhatsApp ein. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Deutschland) ersuchte außerdem die irische Aufsichtsbehörde um Unterstützung bei der Prüfung, ob WhatsApp die Transparenzpflichten erfüllt, die die für die Verarbeitung personenbezogener Daten Verantwortlichen in Bezug auf die etwaige Weitergabe solcher Daten an andere Unternehmen des Konzerns Facebook, der im September 2021 in Meta umbenannt wurde, treffen.
21
Die irische Aufsichtsbehörde leitete unbeschadet der Schritte, die sie aufgrund der bei ihr eingegangenen Einzelbeschwerden einleiten könnte, im Dezember 2018 von Amts wegen eine allgemeine Untersuchung darüber ein, ob WhatsApp die in den Art. 12 bis 14 DSGVO festgelegten Transparenz- und Informationspflichten gegenüber Einzelpersonen erfüllt. Die irische Aufsichtsbehörde handelte hierbei nach Art. 56 Abs. 1 DSGVO als federführende Aufsichtsbehörde, da WhatsApp als Verantwortlicher für den Betrieb des Messengerdienstes „WhatsApp“ in Europa ihre Hauptniederlassung in Irland und die fragliche Verarbeitung grenzüberschreitenden Charakter hat.
22
Nachdem die Ermittlungsphase im September 2019 mit der Vorlage eines Abschlussberichts des Ermittlers beendet worden war, legte die irische Aufsichtsbehörde nach zwischengeschalteten Verfahrensabschnitten, in deren Verlauf WhatsApp ihre Stellungnahmen abgab, im Dezember 2020 allen anderen von dieser Angelegenheit betroffenen Aufsichtsbehörden einen Beschlussentwurf vor, um gemäß Art. 60 Abs. 3 DSGVO deren Stellungnahmen dazu einzuholen.
23
Im Januar 2021 erhoben acht dieser anderen Aufsichtsbehörden Einsprüche gegen bestimmte Punkte dieses Beschlussentwurfs. Die irische Aufsichtsbehörde antwortete auf diese Einsprüche gemeinsam und schlug Kompromisslösungen vor. Zwar zog eine dieser acht Aufsichtsbehörden im Anschluss an diese Antwort einen ihrer Einsprüche zurück, doch stellte die irische Aufsichtsbehörde fest, dass in Bezug auf andere Punkte, gegen die Einsprüche erhoben worden seien, kein Konsens erzielt worden sei. Sie beschloss, alle eingegangenen Einsprüche zurückzuweisen und gemäß Art. 60 Abs. 4 und Art. 65 Abs. 1 Buchst. a DSGVO den Ausschuss zu befassen, damit er die Streitigkeit zwischen den betroffenen Aufsichtsbehörden über die von diesen Einsprüchen erfassten Punkten beilege.
24
Im Mai 2021 holte die irische Aufsichtsbehörde die schriftlichen Stellungnahmen von WhatsApp zu den zwischen den betroffenen Aufsichtsbehörden streitigen Punkten ein, nachdem sie dem Unternehmen alle diesbezüglich ausgetauschten Unterlagen übermittelt hatte, und übermittelte ihrerseits dem Ausschuss diese Stellungnahmen zur Kenntnisnahme im Rahmen des Streitbeilegungsverfahrens, das von ihr im Juni 2021 eingeleitet wurde.
25
Am 28. Juli 2021 erließ der Ausschuss den streitigen Beschluss auf der Grundlage von Art. 65 Abs. 2 DSGVO.
26
Nachdem die irische Aufsichtsbehörde den streitigen Beschluss erhalten und von WhatsApp eine Stellungnahme zu den finanziellen Sanktionen eingeholt hatte, die von dieser Behörde im Licht des streitigen Beschlusses letztlich gegen das Unternehmen verhängt werden sollten, erließ diese Behörde am 20. August 2021 gemäß Art. 65 Abs. 6 DSGVO einen an WhatsApp gerichteten endgültigen Beschluss (im Folgenden: endgültiger Beschluss).
27
Im endgültigen Beschluss stellte die irische Aufsichtsbehörde fest, dass WhatsApp gegen den Transparenzgrundsatz und die Transparenzverpflichtungen nach Art. 5 Abs. 1 Buchst. a, Art. 12 Abs. 1, Art. 13 Abs. 1 Buchst. c bis f, Art. 13 Abs. 2 Buchst. a, c und e sowie Art. 14 der DSGVO verstoßen habe. Dagegen wies die Behörde darauf hin, dass WhatsApp ihren Verpflichtungen aus Art. 13 Abs. 1 Buchst. a und b sowie Art. 13 Abs. 2 Buchst. b und d DSGVO nachgekommen sei. Als Abhilfemaßnahmen nach Art. 58 Abs. 2 Buchst. b, d und i DSGVO erteilte die Behörde WhatsApp im endgültigen Beschluss eine Verwarnung, gab dem Unternehmen die Durchführung einer in einem Anhang aufgeführten bestimmten Anzahl von Maßnahmen auf, die innerhalb von drei Monaten dazu führen sollten, dass das Unternehmen den Bestimmungen der DSGVO entspricht, gegen die verstoßen worden war, und verhängte gegen WhatsApp vier Geldbußen, die sich auf die gegen Art. 5 Abs. 1 Buchst. a sowie gegen die Art. 12 bis 14 DSGVO festgestellten Verstöße bezogen und deren Gesamtbetrag sich auf 225 Mio. Euro belief.
28
Außerdem nannte die irische Aufsichtsbehörde im endgültigen Beschluss die Punkte, für die der streitige Beschluss sie verpflichtete, die in ihrem Beschlussentwurf dargelegte Beurteilung zu überprüfen. Sie entschied sich dafür, zu diesen Punkten die Begründungen des Ausschusses aus dem streitigen Beschluss unverändert in grau unterlegten Kästen wiederzugeben und in einer abschließenden Randnummer schlicht die jeweiligen Schlussfolgerungen daraus zu ziehen.
29
Gemäß Art. 65 Abs. 6 DSGVO wurde der streitige Beschluss dem endgültigen Beschluss der irischen Aufsichtsbehörde beigefügt.
30
Im streitigen Beschluss nahm der Ausschuss zu den Gesichtspunkten Stellung, gegen die maßgebliche und begründete Einsprüche im Sinne von Art. 65 Abs. 1 Buchst. a DSGVO erhoben worden waren, nämlich:
–
das Vorliegen eines Verstoßes von WhatsApp gegen die Informationspflichten aus Art. 13 Abs. 1 Buchst. d DSGVO, der sich auf bestimmte Informationen bezieht, die betroffenen Personen mitgeteilt werden müssen, wenn personenbezogene Daten bei ihnen erhoben wurden. Ein solcher Verstoß war von der irischen Aufsichtsbehörde in ihrem Beschlussentwurf nicht festgestellt worden. Der Ausschuss befand hingegen, dass WhatsApp gegen diese Bestimmung verstoßen habe;
–
die Einstufung als personenbezogene Daten von Informationen, die aus einem gemeinhin als „Lossy Hashing“ bekannten verlustbehafteten Verfahren hervorgegangen sind, das auf Daten angewandt wird, die „Kontakte“ von Nicht-WhatsApp-Nutzern betreffen, die in den Adressbüchern der Endgeräte von WhatsApp-Nutzern aufgeführt werden. Die irische Aufsichtsbehörde hatte diese Informationen in ihrem Beschlussentwurf nicht als personenbezogene Daten eingestuft. Der Ausschuss war hingegen der Ansicht, dass sie stets personenbezogene Daten darstellten. Dieser Gesichtspunkt hatte nach Auffassung des Ausschusses möglicherweise Einfluss auf die etwaige Feststellung eines Verstoßes von WhatsApp gegen Art. 5 Abs. 1 Buchst. c und Art. 6 Abs. 1 DSGVO und einen Einfluss auf den Umfang des Verstoßes von WhatsApp gegen Art. 14 DSGVO sowie auf die aus diesen Verstößen resultierende Höhe der finanziellen Sanktionen;
–
das Vorliegen eines Verstoßes von WhatsApp gegen den in Art. 5 Abs. 1 Buchst. a DSGVO enthaltenen Transparenzgrundsatz, den die irische Aufsichtsbehörde in ihrem Beschlussentwurf nicht festgestellt hatte. Der Ausschuss war demgegenüber der Ansicht, dass WhatsApp gegen diesen Grundsatz verstoßen habe;
–
die Feststellung eines Verstoßes von WhatsApp gegen Art. 13 Abs. 2 Buchst. e DSGVO in Bezug auf bestimmte Informationen, die betroffenen Personen mitgeteilt werden müssen, wenn personenbezogene Daten bei ihnen erhoben wurden; die irische Aufsichtsbehörde hatte ihrer Ansicht nach diesen Verstoß nicht feststellen können, da der Ermittler während der Untersuchung zu dieser Frage nicht Stellung genommen habe, und hatte die Auffassung vertreten, insoweit nur eine Empfehlung aussprechen zu können. Der Ausschuss war hingegen der Ansicht, dass die Untersuchung alle Bestimmungen von Art. 13 DSGVO umfasse und dass ein Verstoß gegen die genannte Vorschrift festzustellen sei;
–
das Vorliegen eines Verstoßes von WhatsApp gegen Art. 6 Abs. 1 DSGVO in Bezug auf die Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, zu dem sich die irische Aufsichtsbehörde nicht geäußert hatte. Der Ausschuss war der Auffassung, dass es aus verfahrensrechtlichen Gründen in der Tat nicht möglich sei, sich zu einem solchen Verstoß zu äußern und ihn festzustellen;
–
die in Ansehung der Analyse, die sich auf den zweiten Gedankenstrich der vorliegenden Randnummer bezieht, erweiterte Begründung für den Verstoß von WhatsApp gegen die Informationspflichten aus Art. 14 DSGVO betreffend die mitzuteilenden Informationen, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden. Der Ausschuss bestätigte die Auswirkungen, die diese Erweiterung auf die gegen WhatsApp verhängten verhaltensbezogenen Abhilfemaßnahmen und die ihr auferlegte Sanktion haben müsse;
–
das Vorliegen eines Verstoßes von WhatsApp gegen den in Art. 5 Abs. 1 Buchst. c DSGVO enthaltenen Grundsatz, wonach nur dem Zweck angemessene und erhebliche sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Daten erhoben werden dürfen und zu dem die irische Aufsichtsbehörde keine Aussage getroffen hatte. Der Ausschuss befand, dass ein solcher Verstoß auf der Grundlage der Akten, insbesondere unter Berücksichtigung des Untersuchungsumfangs im Verfahren gegen WhatsApp, nicht nachgewiesen sei;
–
die von der irischen Aufsichtsbehörde auf sechs Monate festgesetzte Frist, innerhalb deren WhatsApp im Rahmen der Abhilfemaßnahmen den von ihr nicht eingehaltenen Anforderungen der DSGVO nachkommen musste. Der Ausschuss verkürzte diese Frist auf drei Monate;
–
die Art, wie die Nicht-WhatsApp-Nutzer im Rahmen der Abhilfemaßnahmen über die Verarbeitung ihrer personenbezogenen Daten durch WhatsApp informiert werden müssen, wobei der Ausschuss die von der irischen Aufsichtsbehörde in ihrem Beschlussentwurf getroffene Beurteilung bestätigte;
–
die im Rahmen der Abhilfemaßnahmen zu nennenden zusätzlichen Gründe für den Verstoß von WhatsApp gegen die Verpflichtungen aus Art. 14 DSGVO, wobei der Ausschuss darlegte, dass diese Nennung erforderlich sei, um sicherzustellen, dass WhatsApp insoweit angemessene Abhilfemaßnahmen ergreife;
–
die im Hinblick auf Art. 83 DSGVO über die „allgemeinen Bedingungen für die Verhängung von Geldbußen“ geltenden Kriterien für die Höhe der Geldbußen, die gegen WhatsApp verhängt werden sollten. Der Ausschuss befand, dass die irische Aufsichtsbehörde das Kriterium bezüglich des weltweit erzielten Jahresumsatzes des betroffenen Unternehmens falsch ausgelegt habe, dass sie den Begriff „vorangegangenes Geschäftsjahr“ richtig ausgelegt habe, dass sie die Regel falsch ausgelegt habe, der zufolge bei Verstößen gegen mehrere Bestimmungen der DSGVO im Rahmen desselben Verarbeitungsvorgangs oder verbundener Verarbeitungsvorgänge der Gesamtbetrag der Geldbuße den für den schwerwiegendsten Verstoß festgesetzten Betrag nicht übersteigen darf, dass sie einige der in Art. 83 Abs. 1 und 2 DSGVO genannten Kriterien für die Festsetzung der Geldbuße (Vorsatz oder Fahrlässigkeit bei der Begehung der Verstöße, Schwere der Verstöße) richtig, andere dieser Kriterien (Berücksichtigung des Umsatzes zur Bemessung der Sanktion unabhängig von der Berechnung ihrer Obergrenze und allgemein die Notwendigkeit, dass die Sanktion wirksam, verhältnismäßig und abschreckend sein muss) jedoch falsch ausgelegt habe;
–
die Höhe der Geldbußen, wobei der Ausschuss der Ansicht war, dass angesichts der fehlerhaften Auslegung bestimmter Kriterien für die Höhe der Geldbuße durch die irische Aufsichtsbehörde und der festzustellenden zusätzlichen Verstöße von WhatsApp die von dieser Behörde vorgesehenen Beträge der Geldbußen in einer Gesamthöhe zwischen 30 und 50 Mio. Euro erhöht werden müssten.
31
WhatsApp focht den endgültigen Beschluss vor einem irischen Gericht an.
Verfahren vor dem Gericht und angefochtener Beschluss
32
Mit Klageschrift, die am 1. November 2021 bei der Kanzlei des Gerichts einging, erhob WhatsApp nach Art. 263 AEUV Klage auf Nichtigerklärung des streitigen Beschlusses.
33
Mit dem angefochtenen Beschluss hat das Gericht diese Klage gemäß Art. 129 seiner Verfahrensordnung als unzulässig abgewiesen.
34
In den Rn. 36, 37 und 40 des angefochtenen Beschlusses hat das Gericht zwar festgestellt, dass der streitige Beschluss eine Handlung einer Einrichtung der Union darstelle, die Rechtswirkungen gegenüber Dritten entfalten solle, und dass WhatsApp von diesem Beschluss individuell betroffen sei, es hat jedoch in Rn. 42 des angefochtenen Beschlusses festgestellt, dass dieser Beschluss eine vorbereitende oder Zwischenmaßnahme in einem Verfahren sei, das mit dem Erlass eines endgültigen Beschlusses durch die nationale Aufsichtsbehörde abgeschlossen werden müsse. Das Gericht hat in den Rn. 43 und 44 des angefochtenen Beschlusses ausgeführt, dass eine solche Handlung nur dann eine „anfechtbare Handlung“ darstelle, wenn sie eigenständige Rechtswirkungen entfalte, für die im Rahmen einer Klage gegen die das fragliche Verfahren abschließende Entscheidung kein ausreichender gerichtlicher Rechtsschutz gewährleistet werden könne.
35
Hierzu hat das Gericht in Rn. 45 des angefochtenen Beschlusses ausgeführt, dass im vorliegenden Fall ein wirksamer gerichtlicher Rechtsschutz in Bezug auf den streitigen Beschluss durch den WhatsApp zur Verfügung stehenden Rechtsbehelf vor dem nationalen Gericht gegen den endgültigen Beschluss gewährleistet sei, da dieses nationale Gericht nach Art. 267 AEUV befugt sei, den Gerichtshof um Vorabentscheidung über die Gültigkeit des streitigen Beschlusses zu ersuchen. In Rn. 46 des angefochtenen Beschlusses hat das Gericht ferner klargestellt, dass der streitige Beschluss gegenüber WhatsApp im Verhältnis zu dem endgültigen Beschluss der irischen Aufsichtsbehörde keine eigenständigen Rechtswirkungen habe.
36
Außerdem hat das Gericht in Rn. 49 des angefochtenen Beschlusses ausgeführt, dass der Umstand, dass eine solche Zwischenmaßnahme einen endgültigen Standpunkt einer Behörde zum Ausdruck bringe, der in der endgültigen Entscheidung, mit der das fragliche Verfahren abgeschlossen werde, übernommen werden müsse, nicht zwangsläufig bedeute, dass diese Handlung selbst die Rechtsstellung des Klägers in qualifizierter Weise ändere.
37
Im Übrigen hat das Gericht in Rn. 50 des angefochtenen Beschlusses festgestellt, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sei. In Rn. 52 des angefochtenen Beschlusses hat das Gericht festgestellt, dass dieser Beschluss ihr nicht in einer Weise entgegengehalten werden könne, die ohne einen weiteren Verfahrensschritt Verpflichtungen für WhatsApp oder gegebenenfalls Rechte für andere Einzelpersonen begründen könnte, so dass er sich nicht unmittelbar auf die Situation von WhatsApp auswirke. Das Gericht hat in Rn. 53 des angefochtenen Beschlusses auch darauf hingewiesen, dass der streitige Beschluss die irische Aufsichtsbehörde zwar hinsichtlich der von ihm behandelten Punkte binde, ihr jedoch einen Ermessensspielraum hinsichtlich des Inhalts des endgültigen Beschlusses einräume.
38
Daher hat das Gericht in den Rn. 61 und 62 des angefochtenen Beschlusses entschieden, dass keine der Voraussetzungen dafür erfüllt sei, dass WhatsApp von der mit ihrer Klage angefochtenen Maßnahme unmittelbar betroffen sei, und die Klage folglich unzulässig sei.
39
Schließlich hat das Gericht in den Rn. 66 bis 70 des angefochtenen Beschlusses entschieden, dass sich das Ergebnis seiner Prüfung in die Logik des durch die Verträge geschaffenen Systems der gerichtlichen Rechtsbehelfe einfüge. Das Gericht hat u. a. festgestellt, dass die Zulassung der Klage von WhatsApp gegen den streitigen Beschluss die Gefahr paralleler Gerichtsverfahren vor den Unionsgerichten und dem nationalen Gericht mit sich bringe, das zudem befugt sei, den Gerichtshof um Vorabentscheidung über die Gültigkeit dieses Beschlusses zu ersuchen.
Anträge der Parteien
40
Mit ihrem Rechtsmittel beantragt WhatsApp,
–
den angefochtenen Beschluss aufzuheben,
–
die Klage für zulässig zu erklären,
–
die Sache zur Entscheidung an das Gericht zurückzuverweisen und
–
dem Ausschuss die Kosten des Rechtsmittelverfahrens aufzuerlegen.
41
Der Ausschuss, unterstützt durch die Bundesrepublik Deutschland, beantragt,
–
das Rechtsmittel zurückzuweisen,
–
WhatsApp die Kosten aufzuerlegen und,
–
hilfsweise, die Sache zur Entscheidung an das Gericht zurückzuverweisen.
Zum Rechtsmittel
Zur behaupteten Verspätung der Klage im ersten Rechtszug
Vorbringen der Parteien
42
Der Ausschuss macht geltend, dass die Klage im ersten Rechtszug verspätet erhoben worden sei. WhatsApp habe von den relevanten Teilen des streitigen Beschlusses zu einem Zeitpunkt vor dessen Veröffentlichung auf der Website des Ausschusses, genauer gesagt am 13. August 2021, Kenntnis erlangt. Folglich habe die Klagefrist unabhängig vom Zeitpunkt der Veröffentlichung des streitigen Beschlusses auf der Website des Ausschusses, die im Übrigen einer Veröffentlichung im Amtsblatt der Europäischen Union nicht gleichgestellt werden könne, bereits am 13. August 2021 zu laufen begonnen und sei am 25. Oktober 2021 abgelaufen. Da WhatsApp ihre Nichtigkeitsklage am 1. November 2021 erhoben habe, sei diese verspätet.
43
WhatsApp hält das Vorbringen des Ausschusses zur Verspätung ihrer Klage für unzutreffend. Wenn der Kläger nicht Adressat eines Rechtsakts sei, bestimme nämlich der Zeitpunkt der Bekanntgabe dieses Rechtsakts den Beginn der Klagefrist. Der Zeitpunkt der Kenntniserlangung sei insoweit nur ein subsidiäres Kriterium. Die Art der Bekanntgabe dieses Rechtsakts sei unerheblich. Im vorliegenden Fall sei die Veröffentlichung des streitigen Beschlusses jedenfalls am 2. September 2021 auf der Website des Ausschusses erfolgt, und die Klage sei am 1. November 2021 unter Wahrung der in Art. 263 Abs. 6 AEUV vorgesehenen Frist erhoben worden.
Würdigung durch den Gerichtshof
44
Nach Art. 263 Abs. 6 AEUV sind die in diesem Artikel vorgesehenen Klagen binnen zwei Monaten zu erheben; diese Frist läuft je nach Lage des Falles von der Bekanntgabe der betreffenden Handlung, ihrer Mitteilung an den Kläger oder in Ermangelung dessen von dem Zeitpunkt an, zu dem der Kläger von dieser Handlung Kenntnis erlangt hat.
45
Aus dem Wortlaut dieser Bestimmung – insbesondere den Wendungen „je nach Lage des Falles“ und „in Ermangelung dessen“ – ergibt sich eindeutig, dass der Beginn der Klagefrist anhand der fraglichen Situation bestimmt wird und die ersten beiden Kriterien, die diese Frist in Gang setzen können, gegenüber dem dritten Kriterium hierarchisch gestaffelt sind. Die Frist für die Nichtigkeitsklage läuft somit in erster Linie ab der Bekanntgabe der Handlung oder ihrer Mitteilung an den Kläger. Diese beiden Hauptkriterien werden in der Systematik dieser Bestimmung in dem Sinne gleichgestellt, dass keines dieser beiden Kriterien gegenüber dem anderen subsidiär ist. Dagegen kommt das Kriterium des Zeitpunkts der Kenntnisnahme von der angefochtenen Handlung als Beginn der Klagefrist nur subsidiär neben den Kriterien des Zeitpunkts der Bekanntgabe bzw. der Mitteilung der Handlung in Betracht (vgl. in diesem Sinne Urteil vom 26. September 2024, WEPA Hygieneprodukte u. a./Kommission, C‑795/21 P und C‑796/21 P, EU:C:2024:807, Rn. 61 bis 63 sowie die dort angeführte Rechtsprechung), was hier im Übrigen nicht bestritten wird.
46
Im vorliegenden Fall steht fest, dass der streitige Beschluss WhatsApp nicht mitgeteilt wurde, da der Ausschuss nach Art. 65 Abs. 5 Satz 1 DSGVO nur verpflichtet ist, die betroffenen Aufsichtsbehörden über einen solchen Beschluss zu unterrichten. Daher ist zu prüfen, ob der streitige Beschluss im Sinne von Art. 263 Abs. 6 AEUV bekannt gegeben wurde.
47
Der Begriff „Bekanntgabe“ bezieht sich nicht ausschließlich auf eine Veröffentlichung im Amtsblatt der Europäischen Union, sondern ist vielmehr weit auszulegen. So fällt unter diesen Begriff u. a. eine Veröffentlichung auf der Website eines Organs, einer Einrichtung oder einer sonstigen Stelle der Union, wenn diese im abgeleiteten Recht vorgesehen ist (vgl. in diesem Sinne Urteil vom 26. September 2024, WEPA Hygieneprodukte u. a./Kommission, C‑795/21 P und C‑796/21 P, EU:C:2024:807, Rn. 70 und die dort angeführte Rechtsprechung).
48
Da im vorliegenden Fall die Veröffentlichung des streitigen Beschlusses in Art. 65 Abs. 5 Satz 3 DSGVO vorgesehen ist, ist daher der Zeitpunkt, auf den abzustellen ist, derjenige, an dem dieser Beschluss auf der Website des Ausschusses veröffentlicht wurde, d. h. der 2. September 2021. Diese Auslegung wird durch den dritten Satz des 143. Erwägungsgrundes der DSGVO bestätigt, aus dem hervorgeht, dass die Klagefrist ab der Veröffentlichung des in Rede stehenden Beschlusses des Ausschusses auf dessen Website zu berechnen ist.
49
Da die Klage am 1. November 2021 erhoben wurde, ist die in Art. 263 Abs. 6 AEUV vorgesehene Frist gewahrt worden, so dass zu prüfen ist, ob die im Rahmen des vorliegenden Rechtsmittels geltend gemachten Rechtsmittelgründe geeignet sind, die vom Gericht im angefochtenen Beschluss vorgenommene Beurteilung in Frage zu stellen.
Zum ersten Rechtsmittelgrund: Rechtsfehler bei der Auslegung und Anwendung des Begriffs der anfechtbaren Handlung und der Voraussetzung, dass der Kläger von der mit seiner Klage angefochtenen Maßnahme unmittelbar betroffen sein muss
Zum ersten Teil des ersten Rechtsmittelgrundes
– Vorbringen der Verfahrensbeteiligten
50
WhatsApp macht geltend, das Gericht habe einen Rechtsfehler begangen, als es festgestellt habe, dass der streitige Beschluss keine anfechtbare Handlung sei.
51
WhatsApp bestreitet insbesondere die Relevanz des vom Gericht in Rn. 41 des angefochtenen Beschlusses herangezogenen Kriteriums für die Feststellung, ob eine Handlung anfechtbar sei oder nicht. So sei das Gericht zu Unrecht davon ausgegangen, dass der Nachweis erforderlich sei, dass der streitige Beschluss Rechtswirkungen erzeuge, die die Rechtsstellung von WhatsApp in qualifizierter Weise änderten, und dass er WhatsApp unmittelbar betreffe. Es hätte genügt, den Schluss zu ziehen, dass dieser Beschluss dazu bestimmt gewesen sei, Rechtswirkungen gegenüber einem oder mehreren Dritten zu erzeugen, um festzustellen, dass er aufgrund seiner Bestandskraft eine anfechtbare Handlung darstelle. Jedenfalls stelle dieser Beschluss keine bloße Zwischenmaßnahme dar, sondern bringe den endgültigen Standpunkt des Ausschusses zum Ausdruck.
52
Nach Ansicht von WhatsApp hat das Gericht die Rechtsprechung zu den Rechtswirkungen von Zwischenhandlungen falsch angewandt, indem es ein verfahrensrechtliches Kriterium herangezogen habe, wonach eine solche Handlung nur dann anfechtbar sei, wenn eine Klage gegen die endgültige Handlung keinen ausreichenden gerichtlichen Rechtsschutz gewährleisten könne, und indem es zu dem Ergebnis gelangt sei, dass der streitige Beschluss keine Rechtswirkungen entfalte.
53
In diesem Zusammenhang verweist WhatsApp auf das Urteil vom 11. November 1981, IBM/Kommission (60/81, EU:C:1981:264, Rn. 10 und 11), aus dem sich insbesondere ergebe, dass eine Zwischenmaßnahme anfechtbar sei, wenn sie bestandskräftig und von dem später erlassenen endgültigen Beschluss unabhängig sei. Daher sei das Wesen dieser Handlung zu prüfen und ihre Wirkungen anhand objektiver Kriterien wie z. B. des Inhalts dieser Handlung zu beurteilen, wobei gegebenenfalls der Kontext ihres Erlasses und die Befugnisse des die Handlung vornehmenden Organs zu berücksichtigen seien. WhatsApp verweist insoweit u. a. auf das Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat (C‑348/20 P, EU:C:2022:548, Rn. 63).
54
Insbesondere könne eine solche Handlung nur dann nicht mit einer Nichtigkeitsklage angefochten werden, wenn sie zum einen in der Sache vorläufig sei, so dass ihr Urheber seinen Standpunkt im Stadium der später erlassenen endgültigen Entscheidung ändern könne, und zum anderen diese endgültige Entscheidung von demselben Organ oder derselben Einrichtung der Union erlassen werde. Der Begriff der Zwischenmaßnahme sei daher nicht auf einen von einem Organ oder einer Einrichtung der Union erlassenen Beschluss anzuwenden, der an eine mit der Durchführung dieses Beschlusses gegenüber Dritten betraute nationale Behörde gerichtet sei.
55
Im vorliegenden Fall habe sich das Gericht darauf beschränkt, zu prüfen, ob WhatsApp in verfahrensrechtlicher Hinsicht durch die Klage vor dem nationalen Gericht wirksamer Rechtsschutz gewährt werde. Es habe daher in den Rn. 48 und 49 des angefochtenen Beschlusses fälschlicherweise angenommen, dass das Vorbringen von WhatsApp, wonach der streitige Beschluss den endgültigen Standpunkt seines Urhebers zum Ausdruck bringe, unerheblich sei. Auf diese Weise sei das Gericht daher zu Unrecht davon ausgegangen, dass der streitige Beschluss keine Rechtswirkungen erzeuge und dass er vom endgültigen Beschluss nicht unabhängig sei, ohne Inhalt und Kontext des streitigen Beschlusses oder dessen eigenständige Rechtswirkungen gewürdigt zu haben.
56
Was den Inhalt des streitigen Beschlusses betreffe, sei unstreitig, dass er als auf der Grundlage von Art. 65 DSGVO erlassener verbindlicher Beschluss dazu bestimmt gewesen sei, Rechtswirkungen gegenüber Dritten zu erzeugen, und dass er den endgültigen Standpunkt des Ausschusses zu den ihm unterbreiteten Punkten zum Ausdruck bringe. Dieser Standpunkt sei geeignet gewesen, die Rechtsstellung von WhatsApp in qualifizierter Weise zu verändern, insbesondere aufgrund der Feststellung, dass es sich bei den verlustbehaftet gehashten Daten um personenbezogene Daten gehandelt habe; diese Feststellung binde die irische Aufsichtsbehörde.
57
Was den Kontext des streitigen Beschlusses betreffe, ergebe sich aus dem Wortlaut von Art. 65 DSGVO, dass er einen verbindlichen Beschluss darstelle. Im 143. Erwägungsgrund der DSGVO heiße es, dass die Beschlüsse des Ausschusses u. a. einen Verantwortlichen unmittelbar und individuell betreffen könnten, was bedeute, dass diese Beschlüsse Außenwirkungen entfalten könnten, die über die nationalen Aufsichtsbehörden hinausgingen, an die sie gerichtet seien. Dies werde sowohl durch den Sinn und Zweck der verbindlichen Wirkung der Beschlüsse des Ausschusses bestätigt, die darin bestehe, die korrekte und kohärente Anwendung der DSGVO sicherzustellen, als auch durch die Systematik des Verfahrens nach Art. 65 Abs. 1 DSGVO.
58
Hinsichtlich der eigenständigen Rechtswirkungen des streitigen Beschlusses über diejenigen hinaus, die gegenüber seinen Adressaten erzeugt worden seien, weist WhatsApp darauf hin, dass dieser Beschluss ihr gegenüber solche Wirkungen entfalte, indem er sich u. a. auf die Art und Weise auswirke, in der sie beabsichtige, die DSGVO in Bezug auf die verlustbehaftet gehashten Daten einzuhalten, da diese Daten vom Ausschuss als personenbezogene Daten eingestuft würden. Der streitige Beschluss erzeuge auch Rechtswirkungen gegenüber den nationalen Gerichten, die nicht befugt seien, ihn abzuändern oder für ungültig zu erklären.
59
Der Ausschuss tritt diesem Vorbringen entgegen. Die Nichtigkeitsklage sei grundsätzlich nur gegen eine Maßnahme gegeben, mit der ein Organ, eine Einrichtung oder eine sonstige Stelle der Union am Ende eines Verwaltungsverfahrens seinen Standpunkt endgültig festlege. Zwischenhandlungen, die eine endgültige Entscheidung vorbereiten sollten, können hingegen nicht als „anfechtbare Handlungen“ eingestuft werden, da solche Handlungen im Verhältnis zu der Handlung der Union, die in dieser Weise vorbereitet, bestätigt oder durchgeführt werde, keine eigenständigen verbindlichen Rechtswirkungen erzeugen sollten. Außerdem sei eine Zwischenmaßnahme nicht anfechtbar, wenn die Rechtswidrigkeit einer solchen Handlung im Rahmen einer Klage gegen die endgültige Entscheidung, deren Vorbereitung sie sei, geltend gemacht werden könne.
60
Im vorliegenden Fall sei der streitige Beschluss eine Zwischenmaßnahme, die zu einem unteilbaren Verfahren der Entscheidungsfindung gehöre, das von der irischen Aufsichtsbehörde durchgeführt werde und zu einem endgültigen Beschluss dieser Behörde geführt habe. In diesem Zusammenhang seien die Beurteilungen des Ausschusses zwar bindend, könnten aber WhatsApp nicht unmittelbar entgegengehalten werden und hätten im Verhältnis zu dem endgültigen Beschluss ihr gegenüber keine eigenständigen Rechtswirkungen. Der Umstand, dass der streitige Beschluss einen endgültigen Standpunkt des Ausschusses zu bestimmten Punkten enthalte, die im endgültigen Beschluss enthalten sein sollten, bedeute daher nicht, dass der streitige Beschluss für sich genommen zu einer gesonderten Änderung der Rechtsstellung von WhatsApp führe. Der streitige Beschluss und der endgültige Beschluss seien nämlich im Rahmen eines einheitlichen Verwaltungsverfahrens erlassen worden, das aus miteinander verflochtenen Schritten auf nationaler und europäischer Ebene zum selben Gegenstand bestehe, und nicht im Anschluss an zwei unabhängige Verfahren, die unterschiedliche Fragen betroffen hätten.
61
Insoweit stellt der Ausschuss klar, dass das Streitbeilegungsverfahren darauf abziele, eine kohärente Umsetzung der DSGVO durch die nationalen Behörden zu gewährleisten. Im vorliegenden Fall begründe der streitige Beschluss keine neuen rechtlichen Verpflichtungen für WhatsApp. Deren Verpflichtungen würden in der DSGVO selbst und nicht im streitigen Beschluss festgelegt und von der irischen Aufsichtsbehörde und nicht vom Ausschuss angewandt. Im Übrigen hätten diese Verpflichtungen für WhatsApp gegolten, bevor die fraglichen Verstöße festgestellt worden seien.
62
Zu den behaupteten externen Rechtswirkungen des streitigen Beschlusses führt der Ausschuss aus, dass seine Auslegungen nur zwischen den Parteien, d. h. zwischen den betroffenen Aufsichtsbehörden, bindend seien. Abgesehen davon, dass der streitige Beschluss keine unmittelbare Rechtswirkung gegenüber WhatsApp habe, betreffe er abgegrenzte Anwendungsfragen der DSGVO, die in den endgültigen Beschluss aufgenommen und in diesem weiterentwickelt werden sollten. Die Auslegungen der DSGVO durch den Ausschuss könnten somit zwar in späteren Angelegenheiten, die ähnliche Rechtsfragen beträfen, mit einem gewissen Grad an Autorität versehen sein, doch seien sie für die nationalen Gerichte nicht bindend, die im Zweifelsfall den Gerichtshof um Vorabentscheidung ersuchen müssten.
63
Die Bundesrepublik Deutschland, die dem Rechtsstreit als Streithelferin zur Unterstützung der Anträge des Ausschusses beigetreten ist, macht geltend, dass das in der DSGVO vorgesehene Kohärenzverfahren, einschließlich des Streitbeilegungsverfahrens, rein interner Natur sei und allein dem Ziel diene, im Fall unterschiedlicher Auffassungen der Aufsichtsbehörden eine Schlichtung zu erreichen. Insbesondere ergebe sich aus Art. 65 Abs. 2 Satz 3 DSGVO, dass eine vom Ausschuss in diesem Rahmen getroffene Maßnahme nur gegenüber den nationalen Aufsichtsbehörden rechtsverbindlich sei. Nur der endgültige Beschluss sei für den betroffenen Verantwortlichen oder Auftragsverarbeiter verbindlich.
– Würdigung durch den Gerichtshof
64
Der erste Rechtsmittelgrund betrifft die Frage, ob das Gericht einen Rechtsfehler begangen hat, als es in den Rn. 41 bis 49 des angefochtenen Beschlusses festgestellt hat, dass der streitige Beschluss eine anfechtbare Handlung im Sinne von Art. 263 Abs. 1 AEUV sei.
65
Nach dieser Bestimmung überwacht der Gerichtshof u. a. „die Rechtmäßigkeit der Handlungen der Einrichtungen oder sonstigen Stellen der Union mit Rechtswirkung gegenüber Dritten“.
66
Nach ständiger Rechtsprechung sind mit der Nichtigkeitsklage gemäß Art. 263 AEUV alle von den Organen, Einrichtungen oder sonstigen Stellen der Union erlassenen Bestimmungen unabhängig von ihrer Form anfechtbar, die verbindliche Rechtswirkungen erzeugen sollen (vgl. in diesem Sinne Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 62 und die dort angeführte Rechtsprechung).
67
Um festzustellen, ob eine Handlung derartige Wirkungen erzeugt und daher Gegenstand einer Nichtigkeitsklage gemäß Art. 263 AEUV sein kann, ist auf ihr Wesen abzustellen und sind diese Wirkungen anhand objektiver Kriterien wie z. B. des Inhalts dieser Handlung zu beurteilen, wobei gegebenenfalls der Zusammenhang ihres Erlasses und die Befugnisse des die Handlung vornehmenden Organs bzw. der die Handlungen vornehmenden Einrichtung oder sonstigen Stelle zu berücksichtigen sind, das bzw. die sie vorgenommen hat (vgl. in diesem Sinne Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 63 und die dort angeführte Rechtsprechung).
68
Insoweit muss, wie die Generalanwältin in den Nrn. 79 und 121 ihrer Schlussanträge ausgeführt hat, im Licht von Art. 263 Abs. 1 AEUV der Dritte, dem gegenüber die betreffende Handlung Rechtswirkungen entfaltet, nicht notwendigerweise der Kläger sein. Die Eigenschaft eines Dritten kommt nämlich jeder natürlichen oder juristischen Person zu, die vom Urheber dieser Handlung verschieden ist. Um festzustellen, ob die Handlung solche Wirkungen erzeugt, braucht daher nicht geprüft zu werden, ob diese Wirkungen geeignet sind, die Rechtsstellung des Klägers zu beeinträchtigen, da diese Prüfung nur im Rahmen der Prüfung relevant ist, ob die in Art. 263 Abs. 4 AEUV genannten Voraussetzungen erfüllt sind, wonach jede Person, die von einer Handlung unmittelbar und individuell betroffen ist, eine Nichtigkeitsklage erheben kann, wenn diese Bestimmung Anwendung findet (vgl. in diesem Sinne Urteil vom 13. Februar 2025, Swissgrid/Kommission, C‑121/23 P, EU:C:2025:83, Rn. 46). Die Anfechtbarkeit einer Handlung ist daher objektiv anhand ihres Wesens und nicht anhand des Klägers zu beurteilen.
69
Allerdings ist darauf hinzuweisen, dass bei Handlungen, die in mehreren Verfahrensschritten ergehen, grundsätzlich nur die Maßnahme eine anfechtbare Handlung darstellt, die den Standpunkt des zuständigen Organs, der zuständigen Einrichtung oder sonstigen Stelle der Union endgültig festlegt, nicht aber Zwischenmaßnahmen, die der Vorbereitung dieser endgültigen Maßnahme dienen und keine eigenständigen Rechtswirkungen gegenüber Dritten erzeugen. Zwischenmaßnahmen sind insbesondere solche Maßnahmen, die eine vorläufige Auffassung dieses Organs, dieser Einrichtung oder dieser sonstigen Stelle der Union zum Ausdruck bringen (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 10, vom 22. September 2022, IMG/Kommission, C‑619/20 P und C‑620/20 P, EU:C:2022:722, Rn. 103, sowie vom 18. Juni 2024, Kommission/SRB, C‑551/22 P, EU:C:2024:520, Rn. 92).
70
Nach der Rechtsprechung kann eine Zwischenmaßnahme insbesondere dann nicht mit einer Nichtigkeitsklage angefochten werden, wenn feststeht, dass die mit ihr verbundene Rechtswidrigkeit im Rahmen einer Klage gegen die endgültige Entscheidung, deren Vorbereitung sie dient, geltend gemacht werden kann. Unter diesen Umständen bietet die Klage gegen die das Verfahren abschließende Entscheidung einen ausreichenden gerichtlichen Rechtsschutz (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 12, und vom 15. März 2017, Stichting Woonlinie u. a./Kommission, C‑414/15 P, EU:C:2017:215, Rn. 46 und die dort angeführte Rechtsprechung).
71
Was im vorliegenden Fall den Inhalt der betreffenden Handlung und die Befugnisse der in Rede stehenden Einrichtung betrifft, ergibt sich bereits aus dem Wortlaut von Art. 65 Abs. 1 Buchst. a und Abs. 2 DSGVO sowie von Art. 68 Abs. 1 DSGVO, dass der streitige Beschluss eine Handlung einer Einrichtung der Union ist, die Dritten gegenüber verbindlich ist. Diese Handlung bindet nämlich die federführende Aufsichtsbehörde und alle betroffenen Aufsichtsbehörden, an die sie gerichtet ist und die im Verhältnis zum Ausschuss Dritte sind. Gemäß Art. 65 Abs. 6 DSGVO muss die federführende Aufsichtsbehörde ihren endgültigen Beschluss auf der Grundlage des Beschlusses des Ausschusses erlassen. In diesem endgültigen Beschluss muss auf den Beschluss des Ausschusses verwiesen werden, der dem endgültigen Beschluss beizufügen ist.
72
Außerdem steht in Bezug auf den Kontext des Erlasses des streitigen Beschlusses fest, dass dieser im Rahmen eines mehrere Schritte umfassenden Verfahrens im Sinne der in Rn. 69 des vorliegenden Urteils angeführten Rechtsprechung ergangen ist, da er dem Erlass eines anderen Rechtsakts durch die irische Aufsichtsbehörde vorausgeht. Der streitige Beschluss legt jedoch im Sinne dieser Rechtsprechung den Standpunkt der zuständigen Einrichtung der Union, d. h. des Ausschusses, endgültig fest und behandelt erschöpfend alle Fragen, über die diese Einrichtung zu entscheiden hat. Es ist nämlich festzustellen, dass sich ein solcher auf der Grundlage von Art. 65 Abs. 1 Buchst. a DSGVO erlassener Beschluss auf alle Fragen bezieht, die Gegenstand eines maßgeblichen und begründeten Einspruchs der betroffenen Aufsichtsbehörden im Sinne von Art. 60 Abs. 4 DSGVO sind, insbesondere die Frage, ob gegen die DSGVO verstoßen wurde.
73
Aus dem Vorstehenden ergibt sich, dass der streitige Beschluss, auch wenn er nicht den letzten Schritt des in den Art. 58, 60 und 65 DSGVO vorgesehenen Kohärenzverfahrens darstellt, entgegen den Feststellungen des Gerichts in Rn. 42 des angefochtenen Beschlusses nicht als eine im Sinne der in Rn. 69 des vorliegenden Urteils angeführten Rechtsprechung nicht mit einer Klage anfechtbare Zwischenmaßnahme eingestuft werden kann. Folglich ist die in Rn. 70 des vorliegenden Urteils angeführte Rechtsprechung im vorliegenden Fall nicht einschlägig.
74
Da der Beschluss des Ausschusses verbindliche Rechtswirkungen gegenüber Dritten erzeugt, ist es in diesem Zusammenhang unerheblich, dass die Tragweite des endgültigen Beschlusses der nationalen Aufsichtsbehörde Gesichtspunkte umfasst, die nicht unter die Befassung oder die Zuständigkeit des Ausschusses fallen.
75
Aus den gleichen Gründen ist der vom Gericht in Rn. 42 des angefochtenen Beschlusses angeführte Umstand, dass der streitige Beschluss – anders als der endgültige Beschluss der irischen Aufsichtsbehörde – anderen Stellen als seinen Adressaten nicht entgegengehalten werden könne, für die Einstufung dieses Beschlusses als anfechtbare Handlung im Sinne von Art. 263 Abs. 1 AEUV ebenfalls unerheblich. Ein solcher Umstand, der sich auf die Rechtsstellung der Rechtsmittelführerin in Bezug auf den streitigen Beschluss bezieht, bezieht sich weder auf das Wesen des streitigen Beschlusses noch auf seine nach objektiven Kriterien verbindlichen Rechtswirkungen.
76
Nach alledem stellt der streitige Beschluss, wie das Gericht im Übrigen in den Rn. 36, 37 und 49 des angefochtenen Beschlusses selbst festgestellt hat, eine Handlung einer Einrichtung der Union dar, die Rechtswirkungen gegenüber Dritten entfalten soll und den endgültigen Standpunkt dieser Einrichtung zu den von ihr zu entscheidenden Punkten zum Ausdruck bringt. Somit stellt dieser Beschluss im Licht des Wortlauts von Art. 263 Abs. 1 AEUV und der in den Rn. 66 bis 69 des vorliegenden Urteils angeführten Rechtsprechung eine anfechtbare Handlung dar, ohne dass in diesem Stadium geprüft zu werden brauchte, ob dieser Beschluss eine qualifizierte Änderung der Rechtsstellung von WhatsApp zur Folge hatte.
77
Insoweit ist festzustellen, dass das Gericht einen Rechtsfehler begangen hat, zum einen in Rn. 38 des angefochtenen Beschlusses dadurch, dass es die Anforderungen aus Art. 263 Abs. 1 AEUV mit denen aus Art. 263 Abs. 4 AEUV verwechselt hat, und zum anderen in Rn. 42 des angefochtenen Beschlusses dadurch, dass es ein unzutreffendes Kriterium aufgestellt hat, wonach die in Rede stehende Handlung WhatsApp nicht unmittelbar entgegengehalten werden könne, und den streitigen Beschluss als Zwischenmaßnahme ohne eigenständige Rechtswirkungen eingestuft hat.
78
Dem ersten Teil des ersten Rechtsmittelgrundes ist daher stattzugeben.
Zum zweiten Teil des ersten Rechtsmittelgrundes
– Vorbringen der Verfahrensbeteiligten
79
WhatsApp macht geltend, das Gericht habe einen Rechtsfehler begangen, indem es befunden habe, dass sie von dem streitigen Beschluss nicht unmittelbar betroffen und ihre Klage daher unzulässig sei.
80
Was zum einen die Voraussetzung betreffe, dass sich die Handlung unmittelbar auf die Rechtsstellung des Klägers auswirken müsse, habe das Gericht in Rn. 52 des angefochtenen Beschlusses zu Unrecht festgestellt, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sei, da dieser Beschluss ihr nicht entgegengehalten werden könne und nicht den letzten Schritt des in den Art. 58, 60 und 65 DSGVO vorgesehenen Verfahrens darstelle.
81
Was zum anderen die Voraussetzung betreffe, dass ein Rechtsakt den Adressaten, die mit seiner Durchführung betraut sind, keinerlei Ermessensspielraum lassen dürfe, habe das Gericht einen Rechtsfehler begangen, indem es in den Rn. 53 bis 60 des angefochtenen Beschlusses befunden habe, dass der streitige Beschluss der irischen Aufsichtsbehörde in Bezug auf den Inhalt ihres endgültigen Beschlusses einen Ermessensspielraum gelassen habe, obwohl es eingeräumt habe, dass der streitige Beschluss diese Aufsichtsbehörde hinsichtlich der Punkte, auf die er sich beziehe, binde.
82
In Bezug auf die Rn. 54 bis 56 des angefochtenen Beschlusses, in denen das Gericht festgestellt habe, dass der streitige Beschluss im Verhältnis zum endgültigen Beschluss nur einen Teilinhalt habe, macht WhatsApp geltend, dass das Fehlen eines Ermessens anhand des Wesens des streitigen Beschlusses hätte geprüft werden müssen, ohne auf den zusätzlichen Inhalt des endgültigen Beschlusses Bezug zu nehmen. Denn der Ausschuss habe nur bestimmte Punkte eines Einzelfalls geprüft, nämlich diejenigen, die Gegenstand der maßgeblichen und begründeten Einsprüche der betroffenen Aufsichtsbehörden gewesen seien. Der streitige Beschluss könne sich daher nicht auf die gesamte Angelegenheit beziehen und keine Punkte umfassen, die nicht unter die Befassung oder die Zuständigkeit des Ausschusses fielen.
83
Außerdem habe das Gericht einen Rechtsfehler begangen, indem es in den Rn. 57 bis 59 des angefochtenen Beschlusses entschieden habe, dass die irische Aufsichtsbehörde ihr Ermessen ausgeübt habe, um Schlussfolgerungen aus dem streitigen Beschluss zu ziehen. Zu, erstens, der Einstufung der verlustbehaftet gehashten Daten als personenbezogene Daten macht WhatsApp geltend, dass diese vom Ausschuss vorgenommene Einstufung für WhatsApp zusätzliche Verpflichtungen nach der DSGVO mit sich bringe, und zwar unabhängig davon, dass die federführende Aufsichtsbehörde ein über eine solche Einstufung hinausgehendes Ermessen in der Sache ausgeübt habe, indem sie geprüft habe, ob WhatsApp als Verantwortlicher oder Auftragsverarbeiter gehandelt habe. Zu, zweitens, der Erhöhung der gegen WhatsApp zu verhängenden Geldbußen habe dieser Beschluss der irischen Aufsichtsbehörde keinen Ermessensspielraum gelassen, da diese verpflichtet gewesen sei, eine höhere als die ursprünglich vorgesehene Geldbuße zu verhängen. Der Umstand, dass die irische Aufsichtsbehörde bei der Bestimmung der genauen Höhe der Geldbuße über ein Ermessen verfüge, sei unerheblich, da diese Aufgabe in die Zuständigkeit dieser Behörde falle.
84
Der Ausschuss tritt diesem Vorbringen entgegen und macht geltend, dass zwei kumulative Kriterien erfüllt sein müssten, damit eine natürliche oder juristische Person, die nicht Adressat einer individuellen Handlung sei, von einer Handlung der Union unmittelbar betroffen sei. Zum einen müsse sich diese Handlung unmittelbar auf die Rechtsstellung dieser Person auswirken und zum anderen dürfe sie dem Adressaten, der mit ihrer Durchführung betraut sei, keinerlei Ermessensspielraum lassen, da ihre Durchführung rein automatisch erfolge, ohne dass weitere Durchführungsvorschriften angewandt würden.
85
Zum ersten Kriterium führt der Ausschuss aus, dass die Bindungswirkung einer Handlung nach Maßgabe ihrer Auswirkungen auf die Situation des Klägers zu betrachten sei. Im vorliegenden Fall könne der streitige Beschluss WhatsApp nicht in einer Weise entgegengehalten werden, die ohne weitere Verfahrensschritte Verpflichtungen begründen könnte. Dieser Beschluss stelle nicht den letzten Schritt des Verfahrens nach den Art. 58, 60 und 65 DSGVO dar und habe insbesondere weder den Endbetrag der Geldbuße festgesetzt noch neue Regeln für die Tätigkeiten von WhatsApp festgelegt. Somit betreffe nur der endgültige Beschluss WhatsApp unmittelbar, und die irische Aufsichtsbehörde sei nach Art. 56 Abs. 6 DSGVO die einzige Ansprechpartnerin dieses Unternehmens in seiner Eigenschaft als Verantwortlicher.
86
Zum zweiten Kriterium trägt der Ausschuss vor, die irische Aufsichtsbehörde habe ein echtes Ermessen hinsichtlich der Schlussfolgerungen behalten, die in ihrem endgültigen Beschluss zu ziehen gewesen seien; dieser habe eine größere Tragweite als der streitige Beschluss und enthalte Feststellungen, zu denen der Ausschuss nicht habe Stellung nehmen sollen, da seine Befassung auf die Gesichtspunkte beschränkt gewesen sei, die Gegenstand maßgeblicher und begründeter Einsprüche gewesen seien. Jedenfalls bestehe eine Verflechtung zwischen dem streitigen Beschluss und dem endgültigen Beschluss. Es sei nicht möglich, die Teile des letztgenannten Beschlusses, die den Weisungen des Ausschusses entsprächen, abzusondern, was dadurch bestätigt werde, dass der Ausschuss der irischen Aufsichtsbehörde in Bezug auf mehrere Punkte einen gewissen Ermessensspielraum gelassen habe.
87
Unter solchen Umständen wäre ein nationales Gericht besser in der Lage, diesen endgültigen Beschluss zu überprüfen, indem es dem Gerichtshof gegebenenfalls Fragen zur Vorabentscheidung zu den Bestimmungen der DSGVO vorlegt, die sowohl von Amts wegen als auch auf der Grundlage der Weisungen des Ausschusses angewandt würden.
88
Nach Ansicht des Ausschusses hat die irische Aufsichtsbehörde auch in Bezug auf die im streitigen Beschluss behandelten Gesichtspunkte einen gewissen Ermessensspielraum behalten, insbesondere in Bezug auf einerseits die Rechtsfolgen, die an die Einstufung der verlustbehaftet gehashten Daten als personenbezogene Daten zu knüpfen seien, und andererseits die Festsetzung der Höhe der gegen WhatsApp zu verhängenden Geldbußen. In Bezug auf diesen ersten Aspekt habe die irische Aufsichtsbehörde ein Ermessen behalten und eine eigenständige Prüfung vorgenommen, insbesondere hinsichtlich der Einhaltung von Art. 14 DSGVO. Es treffe nicht zu, dass der Ausschuss eine „vollständige“ Beurteilung vorgenommen habe, da seine Zuständigkeit auf den Inhalt der maßgeblichen und begründeten Einsprüche beschränkt sei und sich nicht auf das gesamte Verfahren zu den Verstößen erstrecke. Was den zweiten Aspekt – die Festsetzung der Geldbußen – angehe, enthalte der streitige Beschluss zwar allgemeine Weisungen in Bezug auf die Geldbußen, doch behandele er weder die Frage, wie diese Weisungen umzusetzen seien, noch die Berechnung dieser Geldbußen.
89
Die Bundesrepublik Deutschland ist der Ansicht, dass WhatsApp nicht als von dem streitigen Beschluss unmittelbar betroffen angesehen werden könne, da die federführende Behörde ihre einzige Ansprechpartnerin gewesen sei. Ein derartiger Beschluss sei nicht dazu bestimmt, eigenständig umgesetzt zu werden, sondern auf ihn müsse stets ein endgültiger Beschluss dieser Behörde folgen. Der Unionsgesetzgeber habe sich nämlich bewusst für eine dezentrale Kontrolle der DSGVO entschieden, ohne sich für die Errichtung einer europäischen und zentralen Datenschutzbehörde zu entscheiden.
– Würdigung durch den Gerichtshof
90
Der zweite Teil des ersten Rechtsmittelgrundes betrifft die Frage, ob das Gericht einen Rechtsfehler begangen hat, indem es in den Rn. 50 bis 60 des angefochtenen Beschlusses festgestellt hat, dass der streitige Beschluss WhatsApp nicht unmittelbar im Sinne von Art. 263 Abs. 4 AEUV betreffe und die von WhatsApp erhobene Klage daher unzulässig sei.
91
Nach diesem Abs. 4 kann jede natürliche oder juristische Person unter den Bedingungen nach Art. 263 Abs. 1 und 2 AEUV gegen die an sie gerichteten oder sie unmittelbar und individuell betreffenden Handlungen sowie gegen Rechtsakte mit Verordnungscharakter, die sie unmittelbar betreffen und keine Durchführungsmaßnahmen nach sich ziehen, Klage erheben.
92
Die Zulässigkeit einer Klage, die von einer natürlichen oder juristischen Person gegen eine nicht an sie gerichtete Handlung erhoben wird, setzt nach Art. 263 Abs. 4 AEUV namentlich voraus, dass die Handlung die Person unmittelbar und individuell betrifft (Urteil vom 3. Dezember 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, Rn. 64 und die dort angeführte Rechtsprechung).
93
Im vorliegenden Fall steht, wie das Gericht in Rn. 40 des angefochtenen Beschlusses festgestellt hat, fest, dass WhatsApp von dem streitigen Beschluss individuell betroffen ist, da dieser sich auf bestimmte Punkte des Entwurfs des endgültigen Beschlusses bezieht, die speziell die Situation dieses Unternehmens betreffen. In den Rn. 52 und 53 des angefochtenen Beschlusses hat das Gericht jedoch festgestellt, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sei, da dieser zum einen WhatsApp nicht in einer Weise entgegengehalten werden könne, die ohne einen weiteren Verfahrensschritt Verpflichtungen für WhatsApp oder gegebenenfalls Rechte für andere Einzelpersonen begründen könnte, und der streitige Beschluss zum anderen, selbst wenn er die irische Aufsichtsbehörde hinsichtlich der Punkte, auf die er sich beziehe, binde, dieser in Bezug auf den Inhalt des endgültigen Beschlusses einen Ermessensspielraum gelassen habe.
94
Nach ständiger Rechtsprechung liegt die Voraussetzung, dass eine natürliche oder juristische Person von der mit ihrer Klage angefochtenen Maßnahme unmittelbar betroffen sein muss, dann vor, wenn zwei Bedingungen kumulativ erfüllt sind, nämlich erstens, dass sich die beanstandete Maßnahme auf die Rechtsstellung dieser Person unmittelbar auswirkt, und zweitens, dass sie den Adressaten, die mit ihrer Durchführung betraut sind, keinerlei Ermessensspielraum lässt, ihre Umsetzung vielmehr rein automatisch erfolgt und sich allein aus der Unionsregelung ohne Anwendung weiterer Durchführungsvorschriften ergibt (Urteil vom 4. Oktober 2024, Kommission und Rat/Front Polisario, C‑779/21 P und C‑799/21 P, EU:C:2024:835, Rn. 87 und die dort angeführte Rechtsprechung).
95
Bevor geprüft wird, ob diese beiden Bedingungen im vorliegenden Fall erfüllt sind, ist klarzustellen, dass der Umstand, dass die angefochtene Handlung der Rechtsmittelführerin nicht unmittelbar entgegengehalten werden kann, und auch der Umstand, dass diese Handlung nicht den letzten Schritt eines mehrere Abschnitte umfassenden Verfahrens darstellt, nicht dem entgegenstehen, dass die Rechtsmittelführerin von dieser Handlung unmittelbar betroffen sein kann, wenn der Adressat dieser Handlung über keinerlei Ermessen verfügt (vgl. in diesem Sinne Urteile vom 4. Juni 1992, Infortec/Kommission, C‑157/90, EU:C:1992:243, Rn. 13 und 17, vom 3. Dezember 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, Rn. 65 und 67, und vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 74).
96
Folglich hat das Gericht, wie die Generalanwältin in den Nrn. 139 und 144 ihrer Schlussanträge ausgeführt hat, einen Rechtsfehler begangen, indem es in Rn. 52 des angefochtenen Beschlusses davon ausgegangen ist, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sein könne, weil dieser Beschluss WhatsApp nicht entgegengehalten werden könne und nicht den letzten Schritt des in den Art. 58, 60 und 65 DSGVO vorgesehenen Verfahrens darstelle.
97
Was die Erfüllung der ersten der in Rn. 94 des vorliegenden Urteils genannten Bedingung angeht, ist zu prüfen, ob die angefochtene Handlung die Quelle für eine qualifizierte Änderung der Rechtsstellung der fraglichen natürlichen oder juristischen Person ist, wobei auf das Wesen dieser Handlung abzustellen ist und ihre Wirkungen anhand objektiver Kriterien, wie dem Inhalt dieser Handlung, zu beurteilen sind. Dabei sind gegebenenfalls der Kontext der Vornahme dieser Handlung sowie die Befugnisse des Organs, der Einrichtung oder der Stelle, das bzw. die die Handlung vorgenommen hat, zu berücksichtigen (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 9, und vom 18. Juni 2024, Kommission/SRB, C‑551/22 P, EU:C:2024:520, Rn. 65 und die dort angeführte Rechtsprechung).
98
Im vorliegenden Fall stellte der Ausschuss, wie in Rn. 30 des vorliegenden Urteils ausgeführt, im streitigen Beschluss u. a. fest, dass WhatsApp gegen die in Art. 13 Abs. 1 Buchst. d DSGVO genannten Informationspflichten und gegen Art. 13 Abs. 2 Buchst. e DSGVO verstoßen habe. Folglich ändert dieser Beschluss die Rechtsstellung von WhatsApp, die insbesondere aufgrund des Tätigwerdens des Ausschusses dazu veranlasst ist, ihre Vertragsbeziehung mit den Nutzern des von WhatsApp erbrachten Messengerdienstes zu ändern. Daraus folgt, dass ein unmittelbarer Zusammenhang zwischen diesem Beschluss und seinen Auswirkungen auf die Situation von WhatsApp im Sinne der in den Rn. 94 und 95 des vorliegenden Urteils angeführten Rechtsprechung besteht.
99
Entgegen dem Vorbringen des Ausschusses hat der Umstand, dass die irische Aufsichtsbehörde für WhatsApp als Verantwortliche gemäß Art. 56 Abs. 6 DSGVO die einzige Ansprechpartnerin ist, keinen Einfluss auf diese Feststellung. Diese Bestimmung soll nämlich nur die Beziehungen zwischen einem Verantwortlichen oder Auftragsverarbeiter, einer federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden regeln und bezieht sich somit nicht auf die gegen Beschlüsse des Ausschusses eröffneten Rechtsbehelfe.
100
Was die Erfüllung der zweiten der in Rn. 94 des vorliegenden Urteils genannten Bedingung betrifft, sind für die Beurteilung der Frage, ob eine Handlung ihren Adressaten einen Ermessensspielraum im Hinblick auf ihre Durchführung lässt, die Rechtswirkungen zu prüfen, die die von der Klage erfassten Bestimmungen dieser Handlung auf die Situation der Person haben, die sich auf ihre Klagebefugnis nach Art. 263 Abs. 4 zweite Variante AEUV beruft (Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 98 und die dort angeführte Rechtsprechung).
101
Das Bestehen eines solchen Ermessensspielraums ist u. a. dann zu verneinen, wenn festgestellt wird, dass die von der Klage erfassten Bestimmungen der Handlung unmittelbar dazu geführt haben, dass dieser Person Verpflichtungen auferlegt wurden, deren Ergebnis von der mit der anschließenden Umsetzung dieser Handlung betrauten Stelle nicht verändert werden konnte (vgl. in diesem Sinne Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 114).
102
Im vorliegenden Fall ist, wie sich aus den Rn. 71 und 72 des vorliegenden Urteils ergibt, darauf hinzuweisen, dass der streitige Beschluss die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden bindet. Diese dürfen von dem in Rn. 30 des vorliegenden Urteils wiedergegebenen Standpunkt, den der Ausschuss in diesem Beschluss vertritt, nicht abweichen. Dieser Beschluss entscheidet nämlich über die Rechtsfragen, die Gegenstand seiner Befassung sind, und bindet diese Behörden unbedingt, insbesondere was die Feststellung eines Verstoßes gegen bestimmte Vorschriften der DSGVO, die Einstufung der verlustbehaftet gehashten Daten als personenbezogene Daten sowie die Verpflichtung zur Erhöhung der vorgesehenen Geldbußen betrifft. Diese Behörden haben im Sinne der in der vorangegangenen Randnummer des vorliegenden Urteils angeführten Rechtsprechung nicht die Möglichkeit, das Ergebnis der vom Ausschuss hinsichtlich dieser Fragen vorgenommenen Beurteilungen zu ändern.
103
Insoweit hat der Ausschuss nach Art. 70 Abs. 1 Buchst. a DSGVO die Aufgabe, die einheitliche Anwendung der DSGVO sicherzustellen, indem er, wie sich aus ihrem zehnten Erwägungsgrund ergibt, unbeschadet der Aufgaben der nationalen Aufsichtsbehörden eine unionsweit gleichmäßige und einheitliche Anwendung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten in den u. a. in Art. 65 DSGVO vorgesehenen Fällen überwacht und sicherstellt.
104
In diesem Zusammenhang kommt es nicht darauf an, ob sich die Tragweite des endgültigen Beschlusses auf Fragen erstreckt, die nicht der Befassung des Ausschusses unterliegen, d. h. Punkte, die nicht Gegenstand maßgeblicher und begründeter Einsprüche im Sinne von Art. 65 Abs. 1 Buchst. a DSGVO waren, oder Fragen, die nicht in die Zuständigkeit dieser Einrichtung fallen, wie u. a. die Festsetzung der genauen Höhe der gegen den Verantwortlichen oder Auftragsverarbeiter zu verhängenden Geldbuße, die gemäß Art. 58 Abs. 2 Buchst. i und Art. 83 DSGVO der angerufenen Aufsichtsbehörde obliegt.
105
Außerdem besteht zwar eine Verflechtung zwischen dem streitigen Beschluss und dem endgültigen Beschluss, doch handelt es sich bei ihnen um unterschiedliche Handlungen, und die Tragweite des streitigen Beschlusses ist, wie sich aus der in Rn. 30 des vorliegenden Urteils wiedergegebenen Aufzählung ergibt, genau abgegrenzt. Unter diesen Umständen steht diese Verflechtung der Feststellung, dass WhatsApp von dem streitigen Beschluss unmittelbar betroffen ist, nicht entgegen.
106
Insbesondere führt die gleichzeitige Erhebung einer Nichtigkeitsklage nach Art. 263 AEUV gegen den verbindlichen Beschluss des Ausschusses vor den Unionsgerichten und nach Art. 78 DSGVO gegen den von der nationalen Aufsichtsbehörde auf der Grundlage dieses verbindlichen Beschlusses erlassenen endgültigen Beschluss vor dem nationalen Gericht zwar zu zwei parallelen Verfahren, doch hat diese Situation nicht zur Folge, dass die Wirkungen des Beschlusses des Ausschusses im vorliegenden Fall im Verhältnis zu WhatsApp als mittelbar anzusehen wären.
107
Denn zum einen folgt nach der Rechtsprechung des Gerichtshofs, wenn die Entscheidung des bei dem nationalen Gericht anhängigen Rechtsstreits von der Gültigkeit des Beschlusses einer Einrichtung der Union abhängt, aus der Verpflichtung zu loyaler Zusammenarbeit, dass das nationale Gericht, um nicht eine dem Beschluss dieser Einrichtung zuwiderlaufende Entscheidung zu erlassen, das Verfahren aussetzen sollte, bis die Unionsgerichte eine endgültige Entscheidung über die Nichtigkeitsklage erlassen haben, es sei denn, es hält es unter den gegebenen Umständen für gerechtfertigt, dem Gerichtshof eine Vorabentscheidungsfrage nach der Gültigkeit des Beschlusses der betreffenden Einrichtung vorzulegen (vgl. in diesem Sinne Urteile vom 14. Dezember 2000, Masterfoods und HB, C‑344/98, EU:C:2000:689, Rn. 57, und vom 25. Juli 2018, Georgsmarienhütte u. a., C‑135/16, EU:C:2018:582, Rn. 24).
108
Zum anderen ist auch darauf hinzuweisen, dass es der Grundsatz der geordneten Rechtspflege, wenn neben einer Nichtigkeitsklage beim Gericht der Gerichtshof mit einem Vorabentscheidungsersuchen befasst wird, rechtfertigen kann, dass der Gerichtshof, wenn er es für angebracht hält, von Art. 54 Abs. 3 der Satzung des Gerichtshofs der Europäischen Union Gebrauch macht, um das bei ihm anhängige Verfahren zugunsten des Verfahrens vor dem Gericht auszusetzen (Urteil vom 25. Juli 2018, Georgsmarienhütte u. a., C‑135/16, EU:C:2018:582, Rn 25).
109
Da die beiden in Rn. 94 des vorliegenden Urteils genannten Voraussetzungen erfüllt sind, ist WhatsApp folglich von dem streitigen Beschluss unmittelbar betroffen.
110
Nach alledem ist dem zweiten Teil des ersten Rechtsmittelgrundes stattzugeben und der angefochtene Beschluss somit aufzuheben.
Zum dritten Teil des ersten Rechtsmittelgrundes
111
Mit dem dritten Teil ihres ersten Rechtsmittelgrundes macht WhatsApp geltend, die Feststellung des Gerichts in den Rn. 66 bis 70 des angefochtenen Beschlusses, wonach sich die Unzulässigkeit ihrer Klage in die Logik des durch den EU-Vertrag und den AEU-Vertrag festgelegten Systems der gerichtlichen Rechtsbehelfe einfüge, sei rechtsfehlerhaft.
112
In Anbetracht des Ergebnisses in Rn. 110 des vorliegenden Urteils braucht über den dritten Teil des ersten Rechtsmittelgrundes nicht entschieden zu werden.
Zum zweiten Rechtsmittelgrund: rechtsfehlerhafte Auslegung und Anwendung von Art. 65 DSGVO und des Prinzips der einheitlichen Anwendung des Unionsrechts
113
Unter Bezugnahme auf das Vorbringen im Rahmen des ersten Rechtsmittelgrundes macht WhatsApp geltend, das Gericht habe gegen Art. 65 Abs. 1 DSGVO und das Prinzip der einheitlichen Anwendung des Unionsrechts verstoßen, indem es in den Rn. 41 bis 60 des angefochtenen Beschlusses befunden habe, dass der streitige Beschluss keine anderen Rechtswirkungen entfalte als seine verbindliche Wirkung gegenüber den betroffenen Aufsichtsbehörden.
114
Da sich WhatsApp darauf beschränkt, auf das Vorbringen zur Stützung ihres ersten Rechtsmittelgrundes zu verweisen, und in Anbetracht der Schlussfolgerung in Rn. 110 des vorliegenden Urteils braucht über diesen zweiten Rechtsmittelgrund nicht entschieden zu werden, da er nicht zu einer weiter gehenden Aufhebung des angefochtenen Beschlusses führen kann.
Zur Zurückverweisung der Sache an das Gericht
115
Nach Art. 61 Abs. 1 der Satzung des Gerichtshofs der Europäischen Union kann der Gerichtshof im Fall der Aufhebung der Entscheidung des Gerichts den Rechtsstreit endgültig entscheiden, wenn er zur Entscheidung reif ist.
116
Diese Voraussetzung ist im vorliegenden Fall erfüllt, soweit die Rechtssache allein die Zulässigkeit der beim Gericht erhobenen Klage betrifft.
117
Erstens stellt, wie sich aus Rn. 76 des vorliegenden Urteils ergibt, der streitige Beschluss eine anfechtbare Handlung im Sinne von Art. 263 Abs. 1 AEUV dar. Zweitens ist WhatsApp, wie in Rn. 109 des vorliegenden Urteils festgestellt, von dem streitigen Beschluss im Sinne von Art. 263 Abs. 4 AEUV unmittelbar betroffen. Drittens ist WhatsApp von dem streitigen Beschluss individuell betroffen, wie das Gericht in Rn. 40 des angefochtenen Beschlusses selbst festgestellt hat.
118
Da somit die Voraussetzungen des Art. 263 Abs. 1 und 4 AEUV erfüllt sind und kein anderer Unzulässigkeitsgrund vorliegt, wird die Nichtigkeitsklage für zulässig erklärt.
119
Da das Gericht jedoch die bei ihm eingereichte Klage nicht in der Sache geprüft hat, deren Beurteilung eine eingehende rechtliche und tatsächliche Würdigung voraussetzt, ist der Rechtsstreit in der Sache nicht zur Entscheidung reif.
120
Daher ist die Sache an das Gericht zurückzuverweisen.
Kosten
121
Da die Sache an das Gericht zurückverwiesen wird, bleibt die Entscheidung über die Kosten des vorliegenden Rechtsmittelverfahrens vorbehalten.
Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt und entschieden:
1.
Der Beschluss des Gerichts der Europäischen Union vom 7. Dezember 2022, WhatsApp Ireland/Europäischer Datenschutzausschuss (T‑709/21, EU:T:2022:783), wird aufgehoben.
2.
Die Sache wird an das Gericht der Europäischen Union zurückverwiesen.
3.
Die Kostenentscheidung bleibt vorbehalten.
Unterschriften
(
*1
)	Verfahrenssprache: Englisch.
(
i
)	Die vorliegende Sprachfassung ist in den Rn. 45, 94, 95, 97, 100, 101 und 108 gegenüber der ursprünglich online gestellten Fassung geändert worden.