62023CC0097
SCHLUSSANTRÄGE DER GENERALANWÄLTIN
TAMARA ĆAPETA
vom 27. März 2025 (
1
)
Rechtssache C‑97/23 P
WhatsApp Ireland Ltd
gegen
Europäischer Datenschutzausschuss
„Rechtsmittel – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 65 – Kohärenzverfahren – Streitbeilegung durch den Europäischen Datenschutzausschuss – Nichtigkeitsklage – Art. 263 Abs. 1 AEUV – Begriff ‚anfechtbare Handlung‘ – Art. 263 Abs. 4 AEUV – Begriff ‚unmittelbare Betroffenheit‘ – Begriffe ‚vorbereitende Handlung‘ und ‚Zwischenmaßnahme‘ – Gesichtspunkt der ‚Nichtdurchsetzbarkeit‘ eines Beschlusses gegenüber natürlichen oder juristischen Personen – Ermessen der mit der Durchführung betrauten Stelle“
I. Einleitung
1.
Das vorliegende Rechtsmittel wirft die altbekannte Frage nach der Auslegung und Anwendung der Zulässigkeitsvoraussetzungen einer von natürlichen oder juristischen Personen erhobenen Nichtigkeitsklage auf. Genauer gesagt geht es vorliegend um die Begriffe „anfechtbare Handlung“ für die Zwecke des Art. 263 Abs. 1 AEUV und „unmittelbare Betroffenheit“ im Sinne von Art. 263 Abs. 4 AEUV.
2.
Diese Frage stellt sich im Rahmen des in der Verordnung (EU) 2016/679 (
2
) vorgesehenen Kohärenzverfahrens. Dabei handelt es sich um ein mehrphasiges Verfahren, an dem die nationalen Aufsichtsbehörden und der Europäische Datenschutzausschuss (im Folgenden: EDSA) beteiligt sind.
3.
Mit dem angefochtenen Beschluss hat das Gericht eine Klage der WhatsApp Ireland Ltd (im Folgenden: WhatsApp oder Rechtsmittelführerin) gegen den Verbindlichen Beschluss 1/2021 (im Folgenden: streitiger Beschluss) (
3
) für unzulässig erklärt; bei diesem handelt es sich um einen im Rahmen dieses Kohärenzverfahrens erlassenen Beschluss des EDSA (
4
). Dies ist der Hintergrund des vorliegenden Rechtsmittels (
5
).
4.
Über das Rechtsmittel im konkreten Fall hinaus hat der Gerichtshof damit die Gelegenheit, allgemein zu erläutern, wie die Bestimmungen über die Zulässigkeit von Nichtigkeitsklagen auf mehrphasige Verfahren anzuwenden sind.
II. Hintergrund
5.
Der vorliegende Fall ergibt sich aus dem durch die DSGVO eingeführten Kohärenzverfahren. Genauer gesagt betrifft er den in Art. 65 DSGVO vorgesehenen Verfahrensabschnitt, wonach der EDSA befugt ist, verbindliche Beschlüsse zur Beilegung bestimmter Arten von Streitigkeiten zwischen nationalen Aufsichtsbehörden im Zusammenhang mit der Durchführung der Bestimmungen der DSGVO zu erlassen.
6.
Das Kohärenzverfahren ist eines der zahlreichen „mehrphasigen Verwaltungsverfahren“, die das sekundäre Unionsrecht kennt (
6
).
7.
Mit diesem Begriff werden Verfahren bezeichnet, bei denen die mehrstufige Beschlussfassung unter Beteiligung der Organe oder Einrichtungen der Union und der Mitgliedstaaten erfolgt (
7
).
8.
Eine der sich im Zusammenhang mit diesen Verfahren stellenden Rechtsfragen besteht darin, wie zu bestimmen ist, welche Handlungen der zahlreichen Beteiligten im Laufe des Verfahrens „anfechtbare Handlungen“ darstellen, und sodann, vor welchen Gerichten solche Handlungen angefochten werden sollten (
8
).
9.
In diesen Kontext ist das vorliegende Rechtsmittel einzuordnen. Nach Ansicht der Rechtsmittelführerin hat das Gericht zu Unrecht entschieden, dass der im Rahmen des Kohärenzverfahrens erlassene streitige Beschluss keine vor den Unionsgerichten anfechtbare Handlung sei.
A.
Das Kohärenzverfahren nach der DSGVO
10.
Die Überwachung und Durchsetzung der Bestimmungen der DSGVO obliegt den verschiedenen Aufsichtsbehörden der Mitgliedstaaten in ihrem jeweiligen Hoheitsgebiet (
9
).
11.
Um zu verhindern, dass die Datenschutzvorschriften in der Union aufgrund eines solchen „dezentralen“ Systems möglicherweise unterschiedlich gehandhabt werden, sieht die DSGVO eine Zusammenarbeit zwischen den nationalen Aufsichtsbehörden vor (
10
).
12.
Im Fall eines grenzüberschreitenden Datenverarbeitungsvorgangs muss die für den betreffenden Auftragsverarbeiter oder Verantwortlichen zuständige Behörde – die federführende Aufsichtsbehörde – ihren Beschlussentwurf zur Durchsetzung der Vorschriften der DSGVO gegenüber dem in ihre Zuständigkeit fallenden Auftragsverarbeiter oder Verantwortlichen an die betroffenen Aufsichtsbehörden der anderen Mitgliedstaaten übermitteln.
13.
Stimmen diese anderen Behörden der Auslegung der DSGVO und den von der federführenden Aufsichtsbehörde vorgeschlagenen Durchsetzungsmaßnahmen zu, kann die federführende Aufsichtsbehörde ihren endgültigen Beschluss erlassen, der für den betreffenden Verantwortlichen oder Auftragsverarbeiter bindend ist.
14.
Legen diese anderen Aufsichtsbehörden jedoch maßgebliche und begründete Einsprüche ein, denen sich die federführende Aufsichtsbehörde nicht anschließt oder die sie für nicht maßgeblich oder nicht begründet erachtet, muss die federführende Aufsichtsbehörde die Angelegenheit dem EDSA zur Entscheidung vorlegen (
11
).
15.
Der EDSA legt die Streitigkeiten zwischen den betroffenen nationalen Aufsichtsbehörden bei und entscheidet diesen Einzelfall im Wege eines verbindlichen Beschlusses (
12
).
16.
Nach Art. 65 Abs. 2 DSGVO wird dieser Beschluss an die federführende Aufsichtsbehörde und alle betroffenen Aufsichtsbehörden übermittelt und ist für diese verbindlich (
13
). Der Beschluss wird auch auf der Website des EDSA veröffentlicht (
14
).
17.
Innerhalb der vorgeschriebenen Fristen (
15
) und auf der Grundlage dieses verbindlichen Beschlusses des EDSA muss die federführende Aufsichtsbehörde ihren endgültigen Beschluss treffen (
16
), der sodann dem betreffenden Verantwortlichen oder Auftragsverarbeiter mitgeteilt wird.
B.
Vorgeschichte des vorliegenden Falles
18.
WhatsApp ist ein Unternehmen, das internetbasierte Telefonie- und Messenger-Dienste (im Folgenden: Messenger-Dienst) anbietet.
19.
Um ein Konto bei diesem Unternehmen einzurichten, muss der Nutzer den Nutzungsbedingungen und der Datenschutzrichtlinie des Unternehmens zustimmen (
17
).
20.
Am 24. Mai 2018 passte WhatsApp ihre Datenschutzrichtlinie an die ab dem 25. Mai 2018 geltende DSGVO an, um den damit einhergehenden Änderungen Rechnung zu tragen (
18
). Bestehende Nutzer wurden aufgefordert, diese Änderungen zu akzeptieren oder die Nutzung des Messenger-Dienstes der Rechtsmittelführerin einzustellen.
21.
In der Folge gingen bei der irischen Data Protection Commission (Aufsichtsbehörde für den Schutz personenbezogener Daten natürlicher Personen, Irland, im Folgenden: irische Aufsichtsbehörde) eine Reihe von Beschwerden einzelner betroffener Personen bezüglich der Datenverarbeitungstätigkeiten der Rechtsmittelführerin ein (
19
).
22.
Im Dezember 2018 leitete die irische Aufsichtsbehörde nach einer vorläufigen Beurteilung der Beschwerden eine Untersuchung ein, um zu prüfen, ob WhatsApp seinen Transparenzpflichten nach den Art. 12 bis 14 DSGVO hinsichtlich der Bereitstellung von Informationen und der Transparenz dieser Informationen in Bezug auf Nutzer und Nichtnutzer seines Messenger-Dienstes nachgekommen war (
20
).
23.
Angesichts der grenzüberschreitenden Verarbeitung von Daten innerhalb der Union durch den Messenger-Dienst von WhatsApp übermittelte die irische Aufsichtsbehörde ihren Beschlussentwurf an die anderen betroffenen nationalen Aufsichtsbehörden, wie dies in der DSGVO vorgesehen ist (
21
).
24.
Daraufhin gingen bei der irischen Aufsichtsbehörde Einsprüche der Aufsichtsbehörden Deutschlands (d. h. der Bundesbehörde), Ungarns, der Niederlande, Polens, Frankreichs, Italiens und des deutschen Bundeslandes Baden-Württemberg ein (
22
). Darüber hinaus kommentierten die Aufsichtsbehörden Österreichs, der Niederlande, Dänemarks, Polens, Belgiens, Frankreichs und des deutschen Bundeslandes Hamburg diesen Beschlussentwurf (
23
).
25.
Da eine Reihe anderer Aufsichtsbehörden maßgebliche und begründete Einsprüche gegen den Beschlussentwurf vorbrachten, die die irische Aufsichtsbehörde nicht teilte, rief sie den EDSA zur Beilegung des Streits über diese Einsprüche an (
24
).
26.
Am 28. Juli 2021 erließ der EDSA den streitigen Beschluss und übermittelte ihn in der Folge der irischen Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden (
25
).
27.
Mit dem streitigen Beschluss weist der EDSA die irische Aufsichtsbehörde an, eine Reihe der im Beschlussentwurf enthaltenen Schlussfolgerungen zu ändern und die darin vorgeschlagenen Geldbußen zu erhöhen.
28.
Im Wesentlichen gibt der streitige Beschluss der irischen Aufsichtsbehörde auf, festzustellen, dass „Lossy-Hash-Daten“ (
26
) personenbezogene Daten im Sinne von Art. 4 Abs. 1 DSGVO darstellten (
27
) und dass die Rechtsmittelführerin gegen die Transparenzvorschriften nach den Art. 5 Abs. 1 Buchst. a, Art. 13 Abs. 1 Buchst. d, Art. 13 Abs. 2 Buchst. e und Art. 14 DSGVO verstoßen habe (
28
).
29.
In Bezug auf die verfahrensrechtlichen Feststellungen und die Geldbußen ordnet der streitige Beschluss an, dass die der Rechtsmittelführerin eingeräumte Einhaltungsfrist von sechs Monaten auf drei Monate verkürzt werden müsse, stellt fest, dass die irische Aufsichtsbehörde das Kriterium für die Höhe der Geldbußen falsch ausgelegt habe und dass die von dieser Behörde verhängten Geldbußen angehoben werden sollten (
29
).
30.
Die irische Aufsichtsbehörde überarbeitete ihren Beschlussentwurf entsprechend diesen Anweisungen und erließ am 20. August 2021 den endgültigen nationalen Beschluss (
30
).
31.
Am 1. November 2021 erhob die Rechtsmittelführerin beim Gericht Klage auf Nichtigerklärung des streitigen Beschlusses.
32.
Am 7. Dezember 2022 erließ das Gericht den angefochtenen Beschluss, mit dem es die Klage der Rechtsmittelführerin als unzulässig abwies.
33.
Mit diesem Beschluss stellte das Gericht im Wesentlichen fest, dass der streitige Beschluss keine anfechtbare Handlung für die Zwecke des Art. 263 Abs. 1 AEUV darstelle und dass die Rechtsmittelführerin von diesem Beschluss nicht im Sinne von Art. 263 Abs. 4 AEUV unmittelbar betroffen sei.
34.
Der angefochtene Beschluss weist folgende Gliederung auf:
–
In Rn. 40 stellt das Gericht fest, dass die Rechtsmittelführerin von dem streitigen Beschluss individuell betroffen sei.
–
In den Rn. 42 bis 49 befasst sich das Gericht mit der Frage, ob der streitige Beschluss eine anfechtbare Handlung für die Zwecke des Art. 263 Abs. 1 AEUV darstellt, und kommt zu dem Ergebnis, dass er keine solche Handlung darstelle.
–
In den Rn. 50 bis 65 prüft das Gericht, ob die Rechtsmittelführerin von dem streitigen Beschluss im Sinne von Art. 263 Abs. 4 AEUV unmittelbar betroffen ist. Es kommt zu dem Ergebnis, dass der streitige Beschluss die Rechtsstellung der Rechtsmittelführerin nicht unmittelbar beeinträchtige und dass er der irischen Aufsichtsbehörde einen Ermessensspielraum lasse, so dass die Voraussetzungen für eine unmittelbare Betroffenheit nicht erfüllt seien.
–
Nachdem das Gericht daraus folgert, dass die Nichtigkeitsklage der Rechtsmittelführerin unzulässig sei, führt es in den Rn. 66 bis 71 noch aus, in welcher Weise seine Schlussfolgerung mit der Logik des durch die Verträge geschaffenen Systems der Rechtsbehelfe im Einklang stehe.
C.
Verfahren vor dem Gerichtshof
35.
Mit ihrem am 17. Februar 2023 eingelegten Rechtsmittel beantragt die Rechtsmittelführerin, den angefochtenen Beschluss aufzuheben, die Klage für zulässig zu erklären, die Sache zur Entscheidung in der Sache an das Gericht zurückzuverweisen und dem EDSA die Kosten aufzuerlegen.
36.
Die deutsche Regierung ist dem Rechtsstreit zur Unterstützung des EDSA beigetreten.
37.
In der Sitzung vom 26. November 2024 haben die Rechtsmittelführerin und der EDSA mündliche Ausführungen gemacht.
III. Würdigung
38.
Die Rechtsmittelführerin stützt sich auf zwei Rechtsmittelgründe. Mit ihrem ersten Rechtsmittelgrund macht sie geltend, das Gericht habe den Begriff der anfechtbaren Handlung, wie er sich aus Art. 263 Abs. 1 AEUV ergebe, und den Begriff der unmittelbaren Betroffenheit im Sinne von Art. 263 Abs. 4 AEUV falsch ausgelegt. Dieser Fehler habe zu einer fehlerhaften Anwendung von Art. 263 AEUV auf den vorliegenden Fall geführt, so dass das Gericht den streitigen Beschluss zu Unrecht nicht als eine von der Rechtsmittelführerin anfechtbare Handlung eingestuft habe. Mit ihrem zweiten Rechtsmittelgrund rügt die Rechtsmittelführerin, dass das Gericht Art. 65 Abs. 1 DSGVO in Bezug auf den streitigen Beschluss falsch ausgelegt und angewandt habe.
39.
In den vorliegenden Schlussanträgen werde ich dem Gerichtshof vorschlagen, festzustellen, dass das Gericht die nach Art. 263 Abs. 1 und 4 AEUV erforderliche Prüfung fehlerhaft auf das durch die DSGVO eingeführte Kohärenzverfahren angewandt hat. Dem ersten Rechtsmittelgrund sollte daher stattgegeben und der angefochtene Beschluss aufgehoben werden. Daraus folgt, dass der zweite Rechtsmittelgrund nicht geprüft zu werden braucht.
40.
Ich weise jedoch darauf hin, dass diese Rechtssache unabhängig von dem konkreten Zusammenhang, in dem das vorliegende Rechtsmittel steht, auch eine eher horizontale Frage aufwirft, nämlich die nach den Prüfungsschritten, die bei der Entscheidung über die Zulässigkeit einer Klage auf Nichtigerklärung einer Handlung, die im Rahmen eines mehrphasigen Verfahrens ergangen ist, befolgt werden sollten.
41.
Mehrphasige Verfahren unterscheiden sich erheblich voneinander, da jedes von ihnen durch den einführenden sekundären Unionsrechtsakt speziell auf den Zweck zugeschnitten ist, den dieses besondere Verfahren in einem bestimmten Bereich der auf Unionsrecht beruhenden Beschlussfassung auf Verwaltungsebene erfüllt.
42.
Werden die Prüfungsschritte zur Beurteilung der Zulässigkeit von Nichtigkeitsklagen natürlicher oder juristischer Personen gegen im Rahmen solcher Verfahren erlassene Handlungen falsch verstanden, besteht die Gefahr, dass das Gericht in künftigen Rechtssachen, die sich mit anderen Arten mehrphasiger Verfahren befassen, solchen Personen den Zugang zu den Unionsgerichten erneut ungerechtfertigt verweigert.
43.
So unterschiedlich diese Verfahrensstrukturen auch sein mögen, die Voraussetzungen des Art. 263 AEUV sind stets dieselben. Dementsprechend sollten die allgemeinen Regeln über die Zulässigkeit von Klagen natürlicher oder juristischer Personen gegen Handlungen, die im Rahmen eines mehrphasigen Verfahrens ergangen sind, in gleicher Weise auf alle mehrphasigen Verfahren – unter Heranziehung derselben Prüfungsschritte – angewandt werden, wobei jedoch die Besonderheiten des jeweiligen Verfahrens zu berücksichtigen sind.
44.
Wie ich in meiner Würdigung versuchen werde zu zeigen, hat das Gericht, unter dem Einfluss der Besonderheiten des Kohärenzverfahrens nach der DSGVO, in seine Prüfung der Zulässigkeitsvoraussetzungen nach Art. 263 AEUV einige unnötige (und irreführende) Prüfungsschritte aufgenommen. Meines Erachtens lenkt z. B. die Überlegung, ob der streitige Beschluss im Rahmen dieses Verfahrens eine Zwischenmaßnahme darstellt, von der entscheidenden Frage ab, ob dieser Beschluss eine endgültige und verbindliche Handlung darstellt, was die einzig richtige Frage ist, die im Rahmen der nach Art. 263 Abs. 1 AEUV vorzunehmenden Prüfung zu stellen ist. Im gleichen Maße lenkt die Prüfung, ob der streitige Beschluss der Rechtsmittelführerin unmittelbar entgegengehalten werden kann, von der eigentlichen Frage ab, ob dieser Beschluss als solcher die Rechtsstellung der Rechtsmittelführerin beeinträchtigt, wie es Art. 263 Abs. 4 AEUV verlangt.
45.
Bei der Begründung der (Un‑)Zulässigkeit im Einzelfall verweist der Gerichtshof häufig auf die Besonderheiten des in dem betreffenden Fall in Rede stehenden mehrphasigen Verfahrens und grenzt diese Besonderheiten nicht selten von den Merkmalen eines anderen Verfahrens ab, bei dessen Beurteilung er zu einem anderen Ergebnis gekommen ist (
31
). Derartige Erläuterungen des Gerichtshofs lassen sich nicht verallgemeinern und ohne Weiteres auf neue Rechtssachen übertragen (
32
).
46.
Im Rahmen seiner Würdigung stützte sich das Gericht auf mehrere Urteile des Gerichtshofs, u. a. auf die Urteile IBM (
33
) und Deutsche Post (
34
).
47.
Ich werde dem Gerichtshof vorschlagen, dass er auf einige dieser Urteile zurückkommen und klarstellen sollte, dass bestimmte Ausführungen in diesen Urteilen nicht darauf abzielten, die im AEUV festgelegten Voraussetzungen zu ergänzen. Ihr Zweck bestand vielmehr darin, die Anwendung der Bestimmungen des Vertrags auf die diesen Rechtssachen zugrunde liegenden Sachverhalte zu erläutern. Die automatische Übernahme der Ausführungen des Gerichtshofs in früheren Rechtssachen in spätere Urteile, die auf einem anderen Sachverhalt beruhen, könnte – wie im vorliegenden Fall geschehen – das Gericht zu einer falschen Schlussfolgerung hinsichtlich der Zulässigkeit einer Nichtigkeitsklage veranlassen.
48.
Die vorliegende Rechtssache gibt dem Gerichtshof daher Gelegenheit, erneut zu erläutern, welche Prüfungsschritte zur Feststellung, ob eine Person eine direkte Klage auf Nichtigerklärung erheben kann, erforderlich und ausreichend sind.
49.
In diesem Zusammenhang halte ich es für wichtig, dass der Gerichtshof klar zwischen zwei Prüfungsschritten unterscheidet, die den Voraussetzungen für die Zulässigkeit nach Art. 263 AEUV zugrunde liegen: erstens die Prüfung der Frage, ob eine Handlung eine anfechtbare Handlung für die Zwecke des Art. 263 Abs. 1 AEUV darstellt, und zweitens, wenn die Anfechtbarkeit einer Handlung bejaht wird, die Prüfung nach Art. 263 Abs. 4 AEUV, ob ein bestimmter Kläger, der eine natürliche oder juristische Person ist, befugt ist, diese Handlung anzufechten.
50.
In Anbetracht der vorstehenden Erwägungen ist meine Würdigung wie folgt gegliedert. Ich werde zunächst auf die Vorfrage eingehen, dass die zugrunde liegende Klage nicht verspätet erhoben wurde (A). Sodann werde ich mich der Begründetheit des Rechtsmittels zuwenden, um darzulegen, aus welchen Gründen der Gerichtshof meines Erachtens den angefochtenen Beschluss aufheben sollte. In Anlehnung an den Aufbau des ersten Rechtsmittelgrundes werde ich zunächst erläutern, dass das Gericht die Voraussetzungen für die Feststellung, ob der streitige Beschluss eine anfechtbare Handlung darstellt, mit den Voraussetzungen für die Feststellung, ob die Rechtsmittelführerin unmittelbar betroffen ist, verwechselt hat. Aufgrund dessen bin ich der Ansicht, dass das Gericht zu Unrecht zu dem Schluss gekommen ist, dass der streitige Beschluss keine anfechtbare Handlung darstelle (B). Sodann werde ich darlegen, dass das Gericht auch einen Rechtsfehler begangen hat, indem es angenommen hat, dass der streitige Beschluss die Rechtsmittelführerin nicht unmittelbar betreffe (C). Schließlich werde ich zeigen, dass es entgegen der Auffassung des Gerichts nach der Logik des in den Verträgen vorgesehenen Systems gerichtlicher Rechtsbehelfe und seiner Auslegung durch den Gerichtshof erforderlich ist, dass über die Gültigkeit des streitigen Beschlusses im Rahmen einer direkten Klage vor den Unionsgerichten entschieden wird (D).
A.
Die Klage war nicht verspätet
51.
In seiner Rechtsmittelbeantwortung macht der EDSA geltend, dass die Rechtsmittelführerin die Klage nicht fristgerecht eingereicht habe (
35
). Er bezieht sich auf ein in den Gerichtsakten enthaltenes Schreiben vom 16. August 2021, aus dem hervorgehe, dass die irische Aufsichtsbehörde die Rechtsmittelführerin bereits am 13. August 2021 über den „maßgeblichen Inhalt“ des streitigen Beschlusses in Kenntnis gesetzt habe, bevor dieser vom EDSA auf seiner Website veröffentlicht worden sei. Der EDSA macht daher geltend, dass die Frist für die Erhebung einer Nichtigkeitsklage „spätestens am 25. Oktober 2021“ abgelaufen wäre, d. h. vor dem 1. November 2021, dem Tag der Einreichung der Klageschrift beim Gericht.
52.
Meiner Ansicht nach ist diesem Vorbringen nicht zu folgen.
53.
Aus der Rechtsprechung ergibt sich, dass die Bezugnahme in Art. 263 Abs. 6 AEUV auf den Zeitpunkt, zu dem ein Kläger von einer Handlung Kenntnis erlangt hat, nur subsidiär neben dem Zeitpunkt der Bekanntgabe bzw. der Mitteilung dieser Handlung in Betracht kommt (
36
).
54.
Im vorliegenden Fall wurde der Rechtsmittelführerin der streitige Beschluss nicht mitgeteilt. Der EDSA ist nur gegenüber der federführenden irischen Aufsichtsbehörde und den betroffenen nationalen Aufsichtsbehörden verpflichtet, seinen Beschluss unverzüglich mitzuteilen (
37
).
55.
Daher ist zu prüfen, ob der streitige Beschluss im Sinne von Art. 263 Abs. 6 AEUV bekannt gegeben wurde.
56.
Art. 263 AEUV knüpft keine besonderen Voraussetzungen an die Bekanntgabe.
57.
Da der Gerichtshof einer Auslegung der in den Verträgen vorgesehenen Fristen den Vorzug gibt, die eine unzulässige Beschränkung des Rechts auf einen wirksamen Rechtsbehelf zu vermeiden sucht (
38
), ist der Begriff „Bekanntgabe“ jedoch weit auszulegen (
39
).
58.
Insoweit hat der Gerichtshof bereits entschieden, dass die Veröffentlichung auf einer Website, soweit sie durch sekundäres Unionsrecht vorgeschrieben ist, dem Erfordernis der „Bekanntgabe“ im Sinne von Art. 263 Abs. 6 AEUV genügt (
40
).
59.
Im vorliegenden Fall ist die Veröffentlichung verbindlicher Beschlüsse des EDSA wie des streitigen Beschlusses durch Art. 65 Abs. 5 Satz 3 DSGVO vorgeschrieben.
60.
Da die Rechtsmittelführerin den streitigen Beschluss innerhalb der mit der Veröffentlichung auf der Website des EDSA (2. September 2021) in Gang gesetzten Fristen angefochten hat, ist es für die Zulässigkeit der vorliegenden Nichtigkeitsklage unerheblich, dass sie möglicherweise vor der vorgeschriebenen Veröffentlichung vom wesentlichen Inhalt dieses Beschlusses Kenntnis erlangt hat (
41
).
61.
Nach alledem braucht der genaue Zeitpunkt, zu dem die Rechtsmittelführerin vom Inhalt des streitigen Beschlusses Kenntnis erlangt hat, nicht bestimmt zu werden.
62.
Ich schlage dem Gerichtshof daher vor, das Vorbringen des EDSA, die Klage vor dem Gericht sei verspätet erhoben worden, zurückzuweisen.
B.
Der streitige Beschluss ist eine anfechtbare Handlung
1. Zwei getrennt zu betrachtende Fragen
63.
Mit dem ersten und dem zweiten Argument des ersten Rechtsmittelgrundes macht die Rechtsmittelführerin geltend, dass entgegen der Auffassung des Gerichts für die Frage, ob eine Handlung eine anfechtbare Handlung sei, nicht geprüft werden müsse, ob diese Handlung eine qualifizierte Änderung ihrer Rechtsstellung bewirke.
64.
Ich teile die Ansicht der Rechtsmittelführerin. Die Frage, ob eine Maßnahme eine anfechtbare Handlung darstellt, unterscheidet sich von der Frage, ob ein konkreter Kläger, der eine natürliche oder juristische Person ist, diese Handlung – sofern es sich um eine anfechtbare Handlung handelt – tatsächlich anfechten kann.
65.
Die Frage, ob eine Handlung eine anfechtbare Handlung ist, gehört zu der nach Art. 263 Abs. 1 AEUV durchzuführenden Prüfung. Diese Prüfung bedarf einer anderen und eigenen Methode, bei der andere Fragen zum Tragen kommen als bei der Feststellung, ob eine Handlung die Rechtsstellung des Klägers beeinträchtigt (was anhand von Art. 263 Abs. 4 AEUV zu untersuchen ist).
66.
Diese Schlussfolgerung ergibt sich aus dem Wortlaut, der Struktur und der Historie von Art. 263 AEUV (a) und steht nicht im Widerspruch zur Rechtsprechung des Gerichtshofs (b).
a) Wortlaut, Struktur und Historie von Art. 263 AEUV
67.
Mehrere Gründe sprechen dafür, die Beurteilung der Frage, ob der streitige Beschluss eine Handlung darstellt, die von den Unionsgerichten auf ihre Gültigkeit hin überprüft werden kann, von der Frage zu trennen, ob diese Handlung die Rechtsstellung der Rechtsmittelführerin beeinträchtigt.
68.
Zum einen bestimmt Art. 263 Abs. 1 AEUV, welche Arten von Handlungen vor den Unionsgerichten angefochten werden können. Diese Bestimmung erfolgt unabhängig von der Person des Anfechtenden.
69.
Die Frage, ob eine Handlung anfechtbar ist, muss daher unabhängig davon beantwortet werden, ob die Nichtigkeitsklage von einem privilegierten Kläger (entsprechend der Aufzählung in Art. 263 Abs. 2 AEUV), einem halb privilegierten Kläger (entsprechend der Aufzählung in Art. 263 Abs. 3 AEUV) oder einem nicht privilegierten Kläger (entsprechend der Aufzählung in Art. 263 Abs. 4 AEUV) erhoben wird.
70.
Zum anderen ist für die Frage der Anfechtbarkeit einer Handlung zu prüfen, ob diese Handlung geeignet ist, verbindliche Rechtswirkungen gegenüber einem Dritten zu erzeugen (
42
). Dieser Dritte muss nicht mit der Person identisch sein, die die in Rede stehende Nichtigkeitsklage erhoben hat.
71.
Dieses Erfordernis ergibt sich, wie ich im Folgenden darlegen werde, aus dem aktuellen Wortlaut von Art. 263 Abs. 1 AEUV, der in der Vergangenheit mehrere Änderungen erfahren hat, und aus der Rechtsprechung des Gerichtshofs, die diese Änderungen maßgeblich beeinflusst hat.
72.
In seiner derzeit geltenden Fassung sind in Art. 263 Abs. 1 AEUV folgende anfechtbare Handlungen aufgeführt: i) Gesetzgebungsakte, ii) Handlungen des Rates und der Kommission, soweit es sich nicht um Empfehlungen oder Stellungnahmen handelt, und iii) Handlungen des Europäischen Parlaments und des Europäischen Rates sowie der Einrichtungen oder sonstigen Stellen der Europäischen Union mit Rechtswirkung gegenüber Dritten.
73.
Der ursprüngliche EWG-Vertrag zählte die einzelnen anfechtbaren Handlungen nicht auf, sondern definierte sie lediglich negativ als „Handlungen des Rates und der Kommission, soweit es sich nicht um Empfehlungen oder Stellungnahmen handelt“ (
43
).
74.
Da der Vertrag Empfehlungen und Stellungnahmen als nicht verbindliche Handlungen qualifiziert (
44
), hat der Gerichtshof festgestellt, dass alle Handlungen (der Organe und anderen Einrichtungen der Union), die dazu bestimmt sind, verbindliche Rechtswirkungen zu erzeugen, ungeachtet ihrer Form oder Bezeichnung anfechtbare Handlungen sind (
45
).
75.
Erzeugt eine Handlung keine verbindlichen Rechtswirkungen, so ist die Klage unzulässig, ungeachtet dessen, ob sie von privilegierten oder nicht privilegierten Klägern erhoben wird (
46
).
76.
Daher erübrigt sich die daran anschließende Frage, ob die Handlung die Rechtsstellung des Klägers gemäß Art. 263 Abs. 4 AEUV beeinträchtigt (
47
).
77.
Aus der Rechtsprechung und dem Wortlaut von Art. 263 Abs. 1 AEUV ergibt sich, dass eine Handlung rechtsverbindlich ist, wenn sie Rechtswirkungen gegenüber Dritten entfalten soll. Was bedeutet das genau?
78.
Damit eine Handlung gegenüber Dritten als rechtsverbindlich anzusehen ist, muss sie außerhalb des Organs oder der Einrichtung, das bzw. die sie erlassen hat, Rechtswirkungen entfalten. Begründet die Handlung nur „interne“ Verpflichtungen, d. h. für dasselbe Organ, das sie vorgenommen hat, aber keine „externen“ Verpflichtungen, d. h. für Dritte, so stellt diese Handlung keine anfechtbare Handlung dar (
48
).
79.
Der Dritte, dem gegenüber die Handlung rechtsverbindliche Wirkungen erzeugt, muss nicht notwendigerweise der Kläger sein (
49
).
80.
Der Gerichtshof hat ferner klargestellt, dass eine Handlung außerhalb des Organs nur dann Wirkungen entfaltet, wenn dieses Organ damit seinen endgültigen Standpunkt zum Ausdruck gebracht hat (
50
).
81.
Ein Standpunkt ist endgültig, wenn das Organ oder die Einrichtung, das bzw. die die Handlung erlassen hat, diese nicht mehr ändern kann, d. h. die Entfaltung der durch diese Handlung hervorgerufenen Rechtswirkungen nur durch Widerruf der Handlung verhindern könnte (
51
). Wird die endgültige Handlung von ihrem Urheber nicht widerrufen, so können ihre Rechtswirkungen nur durch ihre Nichtigerklärung in einem gerichtlichen Verfahren beseitigt werden.
82.
Aus den vorstehenden Erwägungen ergibt sich für den vorliegenden Fall Folgendes: Für die Entscheidung, ob der streitige Beschluss eine anfechtbare Handlung darstellt, wäre es erforderlich und ausreichend gewesen, wenn das Gericht festgestellt hätte, dass der streitige Beschluss den endgültigen Standpunkt des EDSA zum Ausdruck bringt und dass dieser Beschluss eine Verpflichtung für eine Person außerhalb dieser Einrichtung, im vorliegenden Fall die irische Aufsichtsbehörde, begründet.
83.
Für diese Beurteilung brauchte nicht geprüft zu werden, ob diese Handlung außerdem die Rechtsstellung der Klägerin in qualifizierter Weise verändert. Der letztgenannte Gesichtspunkt betrifft die unmittelbare Betroffenheit und nicht die Anfechtbarkeit einer Handlung (
52
).
84.
Legt die vom Gericht angeführte Rechtsprechung eine andere Schlussfolgerung nahe?
b) Die scheinbare Verflechtung beider Bedingungen in der Rechtsprechung
85.
In Rn. 41 des angefochtenen Beschlusses hat das Gericht ausgeführt, dass es zu prüfen habe, „ob der angefochtene Beschluss Rechtswirkungen erzeugt, die qualifiziert die Rechtsstellung von WhatsApp verändern, und
ob er WhatsApp unmittelbar im Sinne von Art. 263 Abs. 4 AEUV betrifft“ (
53
).
86.
Die Schlussfolgerung des Gerichts, dass die Beurteilung der Frage, ob der streitige Beschluss die Rechtsstellung von WhatsApp in qualifizierter Weise verändere, sowie der Frage, ob WhatsApp von diesem Beschluss unmittelbar betroffen sei, zwei gesonderte Prüfungen darstellten, scheint sich auf die von ihm angeführte Rechtsprechung zu stützen, nämlich die Urteile IBM und Deutsche Post (
54
).
87.
Ich komme daher auf diese Urteile zurück.
88.
In Rn. 9 des Urteils IBM hat der Gerichtshof festgestellt, dass „Maßnahmen, die verbindliche Rechtswirkungen erzeugen, welche die Interessen des Klägers durch einen Eingriff in seine Rechtsstellung beeinträchtigen, Handlungen oder Entscheidungen [sind], gegen die die Anfechtungsklage nach Artikel 173 gegeben ist“ (
55
).
89.
Diese Formulierung, die in zahlreichen späteren Urteilen sowohl des Gerichtshofs (
56
) als auch des Gerichts (
57
) aufgegriffen wurde, ist dahin ausgelegt worden und lässt sich weiterhin dahin auslegen, dass die Frage, ob eine Handlung eine anfechtbare Handlung für die Zwecke des Art. 263 Abs. 1 AEUV darstellt, auch die Beurteilung der Beeinträchtigung der Rechtsstellung eines Klägers einschließt (
58
). So scheint auch das Gericht Rn. 9 des Urteils IBM verstanden zu haben (siehe Nr. 86 der vorliegenden Schlussanträge).
90.
Meines Erachtens ist ein solches Verständnis dieser Randnummer nicht zutreffend (oder sachdienlich).
91.
Ich verstehe Rn. 9 des Urteils IBM so, dass der Gerichtshof die Voraussetzungen, die erfüllt sein müssen, damit ein nicht privilegierter Kläger Zugang zu den Unionsgerichten hat, in einem einzigen Satz zusammenfasst: nämlich die Voraussetzungen, die sich zum einen aus Art. 263 Abs. 1 AEUV und zum anderen aus Art. 263 Abs. 4 AEUV ergeben.
92.
Mit dieser Aussage stellt der Gerichtshof die Frage nach den Auswirkungen der Handlung auf den Kläger nicht in den Rahmen der Prüfung, ob die Voraussetzungen des Art. 263 Abs. 1 AEUV erfüllt sind. Eine Handlung kann nämlich im Allgemeinen auch dann als anfechtbar angesehen werden, wenn sie im Einzelfall von einem bestimmten nicht privilegierten Kläger nicht angefochten werden kann, weil sie seine Rechtsstellung nicht in qualifizierter Weise verändert.
93.
Meines Erachtens hat der Gerichtshof in den folgenden Randnummern des Urteils Deutsche Post versucht, die Verwirrung zu beseitigen, die durch die wiederholte Verwendung der Formulierung aus dem Urteil IBM entstanden sein könnte:
„36.
Nach ständiger Rechtsprechung zu Nichtigkeitsklagen von Mitgliedstaaten oder Organen sind anfechtbare Handlungen im Sinne von Art. 263 AEUV unabhängig von ihrer Form alle von den Organen erlassenen Bestimmungen, die verbindliche Rechtswirkungen erzeugen sollen …
37.
Zu Nichtigkeitsklagen, die von natürlichen oder juristischen Personen gegen Handlungen der Organe erhoben werden, hat der Gerichtshof wiederholt entschieden, dass die Nichtigkeitsklage nur dann gegeben ist, wenn die verbindlichen Rechtswirkungen dieser Handlung die Interessen des Klägers durch eine qualifizierte Änderung seiner Rechtsstellung beeinträchtigen …[ (
59
)]
38.
Zu betonen ist allerdings, dass die in der vorstehenden Randnummer angeführte Rechtsprechung zu Klagen entwickelt wurde, die natürliche oder juristische Personen [vor den Unionsgerichten] gegen an sie gerichtete Handlungen erhoben haben. Wenn eine Nichtigkeitsklage wie in der dem Beschluss Deutsche Post/Kommission[ (
60
)] zugrunde liegenden Rechtssache von einer nicht privilegierten Klägerin gegen eine nicht an sie gerichtete Handlung erhoben wird, überschneidet sich das Erfordernis, dass die verbindlichen Rechtswirkungen der angefochtenen Maßnahme die Interessen des Klägers durch eine qualifizierte Änderung seiner Rechtsstellung beeinträchtigen, mit den Voraussetzungen nach Art. 263 Abs. 4 AEUV.“
94.
Meiner Meinung nach war der Gerichtshof im Urteil Deutsche Post bestrebt, klarzustellen, dass sich Rn. 9 seines Urteils IBM auf einen Sachverhalt bezieht, bei dem ein nicht privilegierter Kläger Adressat der angefochtenen Handlung ist. Denn in einem solchen Fall erfordert die Beantwortung der Frage, ob eine Handlung verbindliche Rechtswirkungen gegenüber Dritten erzeugt, zwangsläufig die Prüfung, ob diese Handlung gegenüber dem Kläger als Adressaten der Handlung Auswirkungen hat. Die Frage, ob eine Handlung verbindliche Rechtswirkungen erzeugt, und die Frage, ob sie die Rechtsstellung des Klägers verändert, sind in einem solchen Fall ein und dieselbe Frage.
95.
Ist der nicht privilegierte Kläger jedoch nicht der Adressat der in Rede stehenden Handlung, so ist die Frage, ob diese Handlung seine Rechtsstellung in qualifizierter Weise verändert, eine Frage der unmittelbaren Betroffenheit, die gemäß Art. 263 Abs. 4 AEUV – und nicht anhand von Art. 263 Abs. 1 AEUV – zu beurteilen ist.
96.
Die häufig falsch zitierte Formulierung, wonach sich die Frage, ob die Handlung Rechtswirkungen entfaltet, die eine qualifizierte Änderung bewirken, mit dem Erfordernis der unmittelbaren Betroffenheit in Art. 263 Abs. 4 AEUV „überschneidet“, bringt in Wahrheit das vom Gerichtshof vertretene Verständnis zum Ausdruck, wonach die Frage der unmittelbaren Betroffenheit gesondert und zusätzlich zu der Frage zu prüfen ist, ob die Handlung verbindliche Rechtswirkungen erzeugt.
97.
In seiner neueren Rechtsprechung hat der Gerichtshof im Anschluss an den Verweis auf Rn. 38 des Urteils Deutsche Post in der Regel geprüft, ob die fragliche Handlung den nicht privilegierten Kläger, der kein Adressat der angefochtenen Handlung ist, unmittelbar betrifft (
61
).
98.
Daher sollte das Urteil IBM, wie im Urteil Deutsche Post erläutert, nicht so verstanden werden, dass die Anforderungen des Art. 263 Abs. 1 und 4 AEUV in Fällen, in denen eine Handlung an eine andere Person als den Kläger gerichtet ist, untrennbar miteinander verbunden sind.
99.
In einem solchen Fall, d. h. wenn die Handlung an eine andere Person als den Kläger gerichtet ist, ist das Erfordernis der Rechtsverbindlichkeit der Handlung von dem Erfordernis zu trennen, dass diese Handlung die Rechtsstellung des Klägers in qualifizierter Weise ändert.
100.
Dabei reicht es für die Beantwortung der Frage, ob die Klage eines Klägers zulässig ist, nicht aus, dass die fragliche Handlung verbindliche Rechtswirkungen gegenüber ihrem Adressaten oder gegenüber einer anderen Person erzeugt; vielmehr muss der Gerichtshof auch prüfen, ob die fragliche Handlung die Rechtsstellung des Klägers beeinträchtigt. Das ergibt sich aus der zusätzlichen Zulässigkeitsvoraussetzung gemäß Art. 263 Abs. 4 AEUV.
101.
Im Urteil Deutsche Post ist der Gerichtshof genau dieser Methodik gefolgt und hat in zwei getrennten Schritten zunächst die Rechtsverbindlichkeit der Maßnahme festgestellt und erst in einem zweiten Schritt die unmittelbare Betroffenheit des nicht privilegierten Klägers. Von Bedeutung ist auch, dass der Gerichtshof in dem Teil der Prüfung, der sich auf die Rechtsverbindlichkeit der Maßnahme bezieht, die Frage, ob diese Handlung im Rahmen des umfassenderen Verfahrens, in dem sie ergangen ist, vorbereitenden Charakter hatte, nicht als relevant angesehen hat (
62
). Für diese Prüfung kam es nach Auffassung des Gerichtshofs darauf an, dass die Entscheidung eigenständige Rechtswirkungen erzeugte und somit Gegenstand einer Nichtigkeitsklage sein konnte (
63
). Erst nachdem der Gerichtshof festgestellt hatte, dass das Gericht zu Unrecht entschieden hat, dass die streitige Entscheidung wegen ihres vorbereitenden Charakters nicht rechtsverbindlich sei (
64
), gelangte er im zweiten Prüfungsschritt zu dem Ergebnis, dass diese Maßnahme auch die nicht privilegierte Klägerin, in jenem Fall die Deutsche Post AG, unmittelbar und individuell betrifft (
65
).
102.
Meines Erachtens zielen die drei in Nr. 93 der vorliegenden Schlussanträge angeführten Randnummern des Urteils Deutsche Post gerade darauf ab, die Verwirrung, die sich aus dem Urteil IBM ergeben könnte, zu beseitigen und die Prüfung der Rechtsverbindlichkeit der angefochtenen Handlung von der Prüfung der Frage zu trennen, ob diese Handlung die Rechtsstellung des Klägers beeinträchtigt.
103.
Im vorliegenden Fall hat das Gericht diese beiden Prüfungsschritte nicht voneinander abgegrenzt. Mit der Feststellung, dass sich der streitige Beschluss für sich genommen nicht auf die Rechtsstellung der Rechtsmittelführerin auswirke, ist das Gericht rechtsfehlerhaft zu dem Ergebnis gekommen, dass der streitige Beschluss keine anfechtbare Handlung darstelle. Im Rahmen dieser Prüfung hat sich das Gericht nicht auf die Frage konzentriert, ob der streitige Beschluss Rechtswirkungen gegenüber Dritten erzeugt. Es hat sich vielmehr darauf konzentriert, ob diese Handlung aus der Sicht der Rechtsmittelführerin als Zwischenmaßnahme anzusehen ist (
66
). Damit hat das Gericht einen ähnlichen Fehler begangen wie viele Jahre zuvor in seinem Beschluss Deutsche Post/Kommission (
67
), den der Gerichtshof mit seinem Urteil Deutsche Post aufgehoben hat.
104.
Meines Erachtens erübrigt sich die Frage, ob eine Handlung eine „Zwischenmaßnahme“ oder eine „vorbereitende Handlung“ darstellt, und verkompliziert die Prüfung nach Art. 263 Abs. 1 und 4 AEUV unnötig. Wie der vorliegende Fall zeigt, kann ein dogmatischer Rückgriff auf diese Begriffe in der Tat zu falschen Schlussfolgerungen über die Zulässigkeit einer Nichtigkeitsklage führen. Ich wende mich nunmehr diesem Punkt zu.
2. Die überflüssigen Fragen, ob eine Handlung eine „vorbereitende Handlung“ oder eine „Zwischenmaßnahme“ darstellt und ob sie „durchsetzbar“ ist
105.
In Rn. 42 des angefochtenen Beschlusses hat das Gericht es für seine Beurteilung der Zulässigkeit als erheblich angesehen, dass der streitige Beschluss zum einen i) eine „vorbereitende Handlung“ oder eine „Zwischenmaßnahme“ im Rahmen eines Verfahrens darstelle, das mit dem Erlass eines endgültigen Beschlusses der nationalen Aufsichtsbehörde abgeschlossen werden müsse, und dass ii) zum anderen dieser Beschluss der Rechtsmittelführerin nicht unmittelbar entgegengehalten werden könne.
106.
Keiner dieser beiden Gesichtspunkte, also weder die Frage, ob es sich um eine „vorbereitende Handlung“ oder eine „Zwischenmaßnahme“ handelt, noch die Frage, ob sie der Rechtsmittelführerin unmittelbar entgegengehalten werden kann, ist für die Untersuchung, ob es sich um eine anfechtbare Handlung für die Zwecke des Art. 263 Abs. 1 AEUV handelt, relevant.
107.
Diese Gesichtspunkte sind auch für die Beurteilung der Frage, ob diese Handlung die Rechtsmittelführerin nach Art. 263 Abs. 4 AEUV unmittelbar betrifft, nicht erheblich (worauf ich unten in Abschnitt C eingehen werde).
108.
Die Frage, ob die betreffende Handlung „endgültig“ ist, d. h. ob sie ein bestimmtes mehrphasiges Verfahren abschließt, oder ob ihr eine „weitere“ Handlung derselben oder einer anderen Einrichtung folgen muss, ist für die Ermittlung der Anfechtbarkeit der betreffenden Handlung unerheblich. Wie ich nämlich in Nr. 78 der vorliegenden Schlussanträge erläutert habe, ist bei der Beurteilung der Anfechtbarkeit einer Handlung darauf abzustellen, ob die in Rede stehende Handlung eigenständige Rechtswirkungen erzeugt, was sie nur kann, wenn sie aus der Sicht des Organs oder der Einrichtung, das bzw. die sie erlassen hat, abschließend oder endgültig ist.
109.
In dem angefochtenen Beschluss hat sich das Gericht auf Rn. 10 des Urteils IBM gestützt, um zu folgern, dass es einen Grundsatz gebe, wonach Zwischenmaßnahmen keine anfechtbaren Handlungen seien (
68
). Nachdem das Gericht diesen Grundsatz aufgestellt hat, hat es ausgeführt, dass eine Zwischenmaßnahme nur ausnahmsweise anfechtbar sei, nämlich dann, wenn eine solche Maßnahme eigenständige Rechtswirkungen entfalte (
69
).
110.
In Rn. 10 des Urteils IBM hat der Gerichtshof jedoch Folgendes entschieden: „[E]ine anfechtbare Handlung [liegt] grundsätzlich nur bei Maßnahmen vor, die den Standpunkt der Kommission oder des Rates zum Abschluss dieses Verfahren endgültig festlegen.“ (
70
) Dementsprechend hat der Gerichtshof ausgeführt, dass sich die Prüfung der Anfechtbarkeit einer Handlung auf die Frage konzentrieren sollte, ob in der betreffenden Handlung aus der Sicht des Organs dessen endgültiger Standpunkt zum Ausdruck kommt.
111.
Das Urteil IBM hat daher nicht die Existenz eines Grundsatzes zum Ausdruck gebracht, wonach Zwischenmaßnahmen nicht anfechtbar sind.
112.
Darüber hinaus betraf das Urteil IBM noch nicht einmal ein mehrphasiges Verfahren, sondern ein Verfahren, das vollständig in den Händen der Kommission lag. Im Zusammenhang mit diesem Verfahren hat der Gerichtshof die Relevanz der verschiedenen Abschnitte des internen Verfahrens der Kommission geprüft und festgestellt, dass in dem in der Rechtssache angefochtenen Schreiben nicht der endgültige Standpunkt der Kommission zum Ausdruck kam (
71
).
113.
Somit können die Begriffe „Zwischenmaßnahme“ oder „vorbereitende Handlung“nur dann erheblich sein, wenn sie im Rahmen des internen Verfahrens eines Organs oder einer Einrichtung den Begriffen „abschließende“ oder „endgültige“ Handlung gegenübergestellt werden (
72
).
114.
Wäre eine Handlung allein deshalb als „Zwischenmaßnahme“ und damit als nicht anfechtbar anzusehen, weil sie im Rahmen eines mehrphasigen Verfahrens ergeht, in dessen Verlauf aus der Sicht des Klägers eine weitere an ihn gerichtete Handlung ergehen wird, so könnte der Einzelne die eigentliche Handlung, die seine Rechtsstellung beeinträchtigt und ihn daher unmittelbar betrifft, niemals anfechten. Dies stünde im Widerspruch zu Art. 263 Abs. 4 AEUV.
115.
Der Umstand, dass sich das Gericht im vorliegenden Fall auf die Frage konzentriert, ob es sich bei dem streitigen Beschluss um eine „Zwischenmaßnahme“ oder eine „vorbereitende Handlung“ handelt, lenkt daher von der Prüfung der einzigen nach Art. 263 Abs. 1 AEUV relevanten Frage ab, ob nämlich der Standpunkt des EDSA, wie er in dem streitigen Beschluss zum Ausdruck kommt, den endgültigen Standpunkt dieses Gremiums darstellt, d. h. einen Standpunkt, der Rechtswirkungen gegenüber Dritten erzeugt, ungeachtet dessen, dass eine weitere Handlung ergehen wird, um das in der DSGVO festgelegte Kohärenzverfahren „abzuschließen“.
116.
Im vorliegenden Fall ist der streitige Beschluss die Handlung des EDSA. Mit diesem Beschluss nimmt diese Einrichtung abschließend Stellung zu der Frage, ob es sich erstens bei den von der Rechtsmittelführerin verwendeten „Lossy-Hash-Daten“ um „personenbezogene Daten“ im Sinne der DSGVO handelt und ob zweitens die Rechtsmittelführerin gegen die Transparenzvorschriften dieser Verordnung verstoßen hat. Die aus diesen beiden endgültigen Feststellungen erwachsenden Rechtswirkungen verpflichten die irische Aufsichtsbehörde als federführende Aufsichtsbehörde, ihren Beschlussentwurf (d. h. gerade den Beschluss, in dem sie zuvor die gegenteilige Schlussfolgerung vorgeschlagen hatte) zu ändern. Mit dem streitigen Beschluss verpflichtet der EDSA die irische Aufsichtsbehörde außerdem, die maßgebliche Frist für die Einhaltung der Vorschriften zu verkürzen, und erteilt ihr verbindliche Anweisungen für die Berechnung der in Rede stehenden Geldbußen. Letzteres wird zu einer Anhebung der Beträge gegenüber den Geldbußen führen, die die irische Aufsichtsbehörde zu verhängen beabsichtigt hatte. Diese Feststellungen sind aus der Sicht des EDSA insofern endgültig, als sie den endgültigen Standpunkt dieses Gremiums zu den ihm vorgelegten Fragen festlegen. Sie begründen damit für die irische Aufsichtsbehörde eine verbindliche Verpflichtung (
73
), deren Wirksamkeit nur dadurch beseitigt werden kann, dass der EDSA seinen Beschluss widerruft oder die Unionsgerichte ihn für nichtig erklären.
117.
Da dieser Beschluss endgültig ist und außerhalb des Gremiums, das ihn erlassen hat, d. h. gegenüber der irischen Aufsichtsbehörde, verbindliche Rechtswirkungen erzeugt, hätte das Gericht zu dem Ergebnis kommen müssen, dass der streitige Beschluss die Voraussetzungen des Art. 263 Abs. 1 AEUV erfüllt und somit als anfechtbare Handlung einzustufen ist.
118.
Der zweite überflüssige Gesichtspunkt, den das Gericht in seine Prüfung einbezogen hat, ist die unmittelbare Durchsetzbarkeit des Beschlusses des EDSA gegenüber WhatsApp.
119.
Diesbezüglich kann ich mich kurz fassen: Da die Anfechtbarkeit einer Handlung nicht davon abhängt, ob oder wie sie die Rechtsstellung eines Klägers verändert, kann die Frage der unmittelbaren Durchsetzbarkeit des streitigen Beschlusses gegenüber WhatsApp für die Prüfung nach Art. 263 Abs. 1 AEUV nicht relevant sein. Darüber hinaus ist die unmittelbare Durchsetzbarkeit gegenüber dieser Partei auch als Kriterium für die Beurteilung, ob der Beschluss der EDSA dieses Unternehmen unmittelbar betrifft, irrelevant, wie ich weiter unten darlegen werde.
3. Zwischenergebnis
120.
Für die Beantwortung der Frage, ob eine Handlung eines Organs oder einer Einrichtung der Union eine vor den Unionsgerichten anfechtbare Handlung für die Zwecke des Art. 263 Abs. 1 AEUV darstellt, ist zu prüfen, ob in dieser Handlung der endgültige Standpunkt dieses Organs oder dieser Einrichtung, der für eine Person außerhalb dieses Organs oder dieser Einrichtung verbindliche Rechtswirkungen erzeugt, zum Ausdruck kommt.
121.
Für die Beantwortung der Frage, ob die Handlung vor den Unionsgerichten angefochten werden kann, ist es nicht erforderlich, dass der Dritte, dem gegenüber diese Handlung verbindliche Rechtswirkungen entfaltet, dieselbe Person ist wie die, die die Nichtigkeitsklage erhoben hat.
122.
Die Frage, ob die Person, die die Klage gegen eine anfechtbare Handlung erhoben hat, befugt ist, diese Handlung anzufechten, bestimmt sich nach Art. 263 Abs. 4 AEUV und nicht nach Art. 263 Abs. 1 AEUV.
123.
Für die Feststellung, ob eine Handlung anfechtbar ist, kommt es nicht darauf an, ob diese Handlung eine „Zwischenmaßnahme“ in einem mehrphasigen Verfahren darstellt.
124.
Im angefochtenen Beschluss hat das Gericht die Voraussetzungen des Art. 263 Abs. 1 AEUV fehlerhaft beurteilt, indem es sich darauf fokussiert hat, dass der streitige Beschluss nicht der endgültige Beschluss im Rahmen des in der DSGVO vorgesehenen Kohärenzverfahrens sei, statt zu prüfen, ob es sich bei diesem Beschluss um einen endgültigen oder abschließenden Beschluss des EDSA handelt, der für die irische Aufsichtsbehörde verbindliche Rechtswirkungen entfaltet.
125.
Ich schlage dem Gerichtshof daher vor, den ersten beiden Argumenten des ersten Rechtsmittelgrundes stattzugeben.
C.
Unmittelbare Betroffenheit der Rechtsmittelführerin durch den angefochtenen Beschluss
126.
Mit dem dritten und dem vierten Argument des ersten Rechtsmittelgrundes macht die Rechtsmittelführerin geltend, das Gericht habe zu Unrecht angenommen, dass sie von dem streitigen Beschluss nicht unmittelbar betroffen sei.
127.
Das Gericht habe zwar die Rechtsprechung des Gerichtshofs richtig dargestellt, wonach zwei Voraussetzungen erfüllt sein müssten, damit festgestellt werden könne, dass eine Handlung eine natürliche oder juristische Person, die nicht ihr Adressat sei, unmittelbar betreffe (
74
), es habe diese Rechtsprechung jedoch fehlerhaft angewandt.
128.
Nach der vom Gericht angeführten Rechtsprechung „ist die Voraussetzung, dass eine natürliche oder juristische Person von der mit ihrer Klage angefochtenen Maßnahme unmittelbar betroffen sein muss, nur dann erfüllt, wenn zwei Kriterien kumulativ erfüllt sind, nämlich erstens, dass die Maßnahme sich auf die Rechtsstellung dieser Person unmittelbar auswirkt, und zweitens, dass sie den Adressaten, die mit ihrer Durchführung betraut sind, keinerlei Ermessensspielraum lässt, ihre Umsetzung vielmehr rein automatisch erfolgt und sich allein aus der Unionsregelung ohne Anwendung anderer Durchführungsvorschriften ergibt“ (
75
).
129.
Aus der Rechtsprechung ergibt sich, dass diese beiden Kriterien in Fällen, in denen die angefochtene Handlung Durchführungsmaßnahmen erforderte, als „kumulativ“ zu behandeln sind (
76
).
130.
Unter diesen Umständen könnte sich die angefochtene Maßnahme nur dann unmittelbar auf die Rechtsstellung des Klägers auswirken, wenn die mit der Durchführung betraute Stelle keine Wahl hätte, ob und wie sie die angefochtene Maßnahme umsetzt (
77
).
131.
So verhält es sich im vorliegenden Fall. Der streitige Beschluss, der die Rechtsmittelführerin betrifft, ist an die irische Aufsichtsbehörde und nicht an die Rechtsmittelführerin gerichtet. Der Beschluss verpflichtet die irische Behörde, ihren Beschlussentwurf beim Erlass des an die Rechtsmittelführerin gerichteten endgültigen Beschlusses so anzupassen, dass die im streitigen Beschluss enthaltenen Feststellungen umgesetzt werden. Folglich ist die Frage, ob die irische Aufsichtsbehörde nach dem Erlass des streitigen Beschlusses durch den EDSA noch über einen Ermessensspielraum verfügte, für die Feststellung von Bedeutung, ob die Rechtsmittelführerin unmittelbar betroffen ist.
132.
Insoweit rügt die Rechtsmittelführerin, dass das Gericht Art. 263 Abs. 4 AEUV auf zweifache Weise fehlerhaft ausgelegt habe. Erstens habe das Gericht bei seiner Prüfung der ersten Voraussetzung der unmittelbaren Betroffenheit die Kriterien der „Durchsetzbarkeit“ und des „letzten Verfahrensschritts“ herangezogen, die für die Feststellung der unmittelbaren Betroffenheit unerheblich seien. Zweitens habe das Gericht bei der Prüfung der zweiten Voraussetzung der unmittelbaren Betroffenheit das Kriterium des Ermessensspielraums fehlerhaft auf den streitigen Beschluss angewandt.
133.
Ich stimme der Rechtsmittelführerin in beiden Punkten zu.
1. Durchsetzbarkeit des streitigen Beschlusses gegenüber der Rechtsmittelführerin
134.
Die erste von der Rechtsmittelführerin beanstandete fehlerhafte Auslegung betrifft die Feststellung des Gerichts in Rn. 52 des angefochtenen Beschlusses, wonach die Voraussetzung, dass der streitige Beschluss die Rechtsstellung von WhatsApp unmittelbar beeinträchtige, nicht erfüllt sei, da der Beschluss ihr nicht entgegengehalten werden könne.
135.
Die Bedingung der „Durchsetzbarkeit“ ist in Art. 263 Abs. 4 AEUV nicht enthalten und ergibt sich auch nicht aus der Rechtsprechung des Gerichtshofs.
136.
Dafür gibt es gute Gründe. Eine Durchführungsmaßnahme auf Unionsebene oder auf nationaler Ebene ist meistens dann erforderlich, wenn die umzusetzende Entscheidung der Union selbst natürlichen oder juristischen Personen nicht entgegengehalten werden kann, auch wenn die Maßnahme an sie gerichtet ist. Die Notwendigkeit einer Durchführungsmaßnahme ergibt sich häufig aus der Tatsache, dass die fragliche Unionsmaßnahme für sich genommen nicht geeignet ist, den Kläger zu „erreichen“. In diesen Fällen kann einer natürlichen oder juristischen Person nur die Durchführungsmaßnahme entgegengehalten werden.
137.
Wäre die „unmittelbare Durchsetzbarkeit“ einer Maßnahme gegenüber einer natürlichen oder juristischen Person eine Voraussetzung der unmittelbaren Betroffenheit, gäbe es kaum Fälle, in denen nicht privilegierte Akteure eine Handlung der Union, die Durchführungsmaßnahmen erfordert, anfechten könnten.
138.
Im Hinblick auf die unmittelbare Betroffenheit ist es nämlich unerheblich, dass nur die betreffende Durchführungsmaßnahme gegenüber einer natürlichen oder juristischen Person durchsetzbar ist, nicht aber die Maßnahme, deren Gültigkeit von dieser Person vor den Unionsgerichten angefochten wird. Wenn die Durchführungsmaßnahme die klagegegenständliche Maßnahme lediglich wiedergibt, weil die mit der Durchführung betraute Stelle keine Wahl hatte, ob und wie sie ihre Entscheidung gestaltet, liegt es auf der Hand, dass die angefochtene Maßnahme die wahre Ursache für die Beeinträchtigung der Rechtsstellung des Klägers ist.
139.
Im vorliegenden Fall bedeutet dies, dass das Gericht einen Rechtsfehler begangen hat, als es die Durchsetzbarkeit des streitigen Beschlusses gegenüber der Rechtsmittelführerin als relevanten Gesichtspunkt für die Beurteilung der Frage berücksichtigt hat, ob die Rechtsmittelführerin von diesem Beschluss unmittelbar betroffen sei.
2. Die streitige Handlung stellt keinen abschließenden Schritt des Kohärenzverfahrens dar
140.
In Rn. 52 des angefochtenen Beschlusses hat das Gericht außerdem festgestellt, dass die Rechtsmittelführerin von dem streitigen Beschluss nicht unmittelbar betroffen sei, da dieser nicht den letzten Schritt des in der DSGVO vorgesehenen Kohärenzverfahrens darstelle, sondern Durchführungsmaßnahmen auf nationaler Ebene erfordere.
141.
Aus den obigen Erwägungen ergibt sich bereits, dass eine Person auch dann von einer Handlung unmittelbar betroffen sein kann, wenn diese Durchführungsmaßnahmen nach sich zieht (
78
).
142.
Die zweite Voraussetzung für die Feststellung der unmittelbaren Betroffenheit in der Rechtsprechung des Gerichtshofs (siehe Nr. 128 der vorliegenden Schlussanträge), die das Gericht in dem angefochtenen Beschluss als anwendbares Recht angeführt hat (
79
), liefe ins Leere, sofern die unmittelbare Betroffenheit nicht vorliegen könnte, wenn die angefochtene Handlung Durchführungsmaßnahmen nach sich zieht.
143.
Zudem verkennt diese Auffassung die Unterscheidung, die zwischen dem Erfordernis, dass ein Rechtsakt mit Verordnungscharakter keine Durchführungsmaßnahmen nach sich ziehen darf, und dem Erfordernis der unmittelbaren Betroffenheit zu treffen ist, die beide erfüllt sein müssen, damit ein nicht privilegierter Kläger nach Art. 263 Abs. 4 letzter Satz AEUV klagebefugt ist (
80
).
144.
Das Gericht hat daher einen Rechtsfehler begangen, als es angenommen hat, dass der Umstand, dass die irische Aufsichtsbehörde im Rahmen des Kohärenzverfahrens einen Beschluss zur Durchführung des streitigen Beschlusses erlassen muss, ein relevantes Prüfungskriterium für die unmittelbare Betroffenheit der Rechtsmittelführerin durch diesen Beschluss darstelle.
145.
Das Gericht hat versucht, die Sachlage im vorliegenden Fall von Sachverhalten im Bereich der staatlichen Beihilfen zu unterscheiden, in denen die Kommission eine Beihilfe für mit dem Binnenmarkt unvereinbar erklärt und den betreffenden Mitgliedstaat anweist, die Beihilfe zurückzufordern (
81
). In solchen Fällen hat der Gerichtshof festgestellt, dass die Beihilfeempfänger von einem entsprechenden Beschluss der Kommission auch dann unmittelbar betroffen sind, wenn dieser Beschluss von dem betreffenden Mitgliedstaat durchgeführt werden muss und nur auf der Grundlage der genannten Durchführungsmaßnahmen durchgesetzt werden kann (
82
).
146.
Ich kann nicht anders, als mich der Auffassung der Rechtsmittelführerin anzuschließen, wonach sich das Gericht zu Unrecht auf diese Rechtssachen gestützt hat, um den vorliegenden Sachverhalt abzugrenzen und festzustellen, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sei (
83
).
147.
Vielmehr lassen sich aus diesen Rechtssachen Argumente für die Annahme einer unmittelbaren Betroffenheit von WhatsApp durch den streitigen Beschluss gewinnen. Dieser Beschluss ist ursächlich für die Änderung der Rechtsstellung der Rechtsmittelführerin, ungeachtet der Notwendigkeit des Erlasses eines „Durchführungsbeschlusses“ durch die irische Aufsichtsbehörde. Im Kern entspricht diese Logik genau derjenigen, die der Gerichtshof in der vom Gericht in Rn. 64 des angefochtenen Beschlusses zitierten Rechtsprechung entwickelt hat.
148.
Zudem bin ich der Ansicht, dass das Gericht rechtsfehlerhaft festgestellt hat, dass der streitige Beschluss nicht mit Kommissionsbeschlüssen vergleichbar sei, mit denen die Rückforderung von Beihilfen angeordnet werde, da das in Rede stehende Verwaltungsverfahren auf nationaler Ebene mit dem Erlass des streitigen Beschlusses nicht abgeschlossen worden sei (
84
). Soweit es die Fragen betrifft, über die der EDSA in dem streitigen Beschluss entschieden hat, war das Kohärenzverfahren jedoch faktisch abgeschlossen, da die irische Aufsichtsbehörde an die in dem streitigen Beschluss enthaltenen Feststellungen gebunden ist. Der Umstand, dass diese Behörde möglicherweise auch über bestimmte andere Fragen zu entscheiden hat, die in dem streitigen Beschluss nicht behandelt werden, ändert nichts an der „Endgültigkeit“ der Feststellungen in dem streitigen Beschluss in Bezug auf die darin beigelegten Streitfragen.
149.
Demzufolge dürfte meines Erachtens eindeutig sein, dass der streitige Beschluss die Rechtsstellung der Rechtsmittelführerin insofern beeinträchtigt, als er zum einen die Ergebnisse ihres „Lossy-Hashing-Verfahrens“ als personenbezogene Daten einstuft und zum anderen feststellt, dass das Vorgehen dieses Unternehmens gegen bestimmte Transparenzvorschriften verstößt, die den Verantwortlichen durch die DSGVO auferlegt werden.
150.
Allein diese Feststellung begründet die rechtliche Verpflichtung für die Rechtsmittelführerin, ihre Vorgehensweise zu ändern. Darüber hinaus bildet sie die Rechtsgrundlage für die irische Aufsichtsbehörde, höhere Geldbußen gegen die Rechtsmittelführerin zu verhängen. Ohne den streitigen Beschluss könnte diese Aufsichtsbehörde dies nicht tun. Sie hat die genannten Feststellungen nur deshalb in ihren an die Rechtsmittelführerin gerichteten endgültigen Beschluss übernommen, weil sie durch den streitigen Beschluss dazu verpflichtet war. Damit ist meiner Meinung nach ziemlich klar, dass die Änderung der Rechtsstellung der Rechtsmittelführerin tatsächlich durch den streitigen Beschluss und nicht, wie das Gericht zu Unrecht annimmt, durch den Beschluss der irischen Aufsichtsbehörde bewirkt wurde.
3. Ermessens der irischen Aufsichtsbehörde
151.
Erfordert eine mit einer Nichtigkeitsklage angefochtene Handlung Durchführungsmaßnahmen, so kann eine unmittelbare Betroffenheit des Klägers nur dann angenommen werden, wenn die für den Erlass dieser Durchführungsmaßnahmen zuständige Stelle kein Ermessen hat, sondern die Schlussfolgerungen des streitigen Beschlusses ohne Weiteres anwenden muss.
152.
Im vorliegenden Fall würde das bedeuten, dass WhatsApp unmittelbar von dem streitigen Beschluss betroffen wäre, wenn die irische Aufsichtsbehörde kein Ermessen hinsichtlich des Ob oder des Wie der Durchführung dieses Beschlusses gehabt hätte.
153.
In dem angefochtenen Beschluss hat das Gericht festgestellt, dass die irische Aufsichtsbehörde über einen Ermessensspielraum verfügt habe und die Rechtsmittelführerin daher nicht von dem streitigen Beschluss, sondern nur von dem endgültigen Beschluss dieser Behörde unmittelbar betroffen sei (
85
).
154.
Ich teile die Auffassung der Rechtsmittelführerin, dass das Gericht auch in diesem Punkt einen Beurteilungsfehler begangen hat.
155.
Erstens war die Feststellung des EDSA, dass es sich bei „Lossy Hashing“ um eine Verarbeitung personenbezogener Daten handele und dass die Rechtsmittelführerin als Verantwortliche gegen ihre Verpflichtungen aus den Art. 5, 13 und 14 DSGVO verstoßen habe, in den endgültigen Beschluss der irischen Aufsichtsbehörde zu übertragen, so dass diese keinen Ermessensspielraum hatte, um zu einem gegenteiligen Ergebnis zu gelangen.
156.
Zweitens wurde der irischen Aufsichtsbehörde mit dem streitigen Beschluss eine unbedingte Verpflichtung auferlegt, die Geldbußen zu erhöhen und die in dem Beschluss des EDSA genannten Berechnungsmethoden anzuwenden, auch wenn die endgültige Berechnung und Festsetzung der Höhe dieser Geldbußen der irischen Aufsichtsbehörde überlassen blieb. Daraus ergibt sich, dass diese Aufsichtsbehörde in ihrer Eigenschaft als „mit der Durchführung betraute Stelle“ keinen Ermessensspielraum hatte, die ursprünglich vorgeschlagenen Geldbußen beizubehalten oder herabzusetzen (
86
).
157.
Daher hatte die irische Aufsichtsbehörde in Bezug auf diese Aspekte des streitigen Beschlusses keinen Ermessensspielraum bei der Entscheidung, ob oder wie sie gegen die Rechtsmittelführerin vorgehen wollte.
158.
Folglich hat das Gericht einen Rechtsfehler begangen, als es hinsichtlich dieser Aspekte einen Ermessensspielraum der irischen Aufsichtsbehörde festgestellt hat (
87
).
159.
Der EDSA entscheidet nach Art. 65 Abs. 1 Buchst. a DSGVO nur über jene Aspekte der Anwendung der DSGVO, die von anderen Aufsichtsbehörden beanstandet wurden und über die zwischen den beteiligten Aufsichtsbehörden keine Einigung erzielt werden konnte. Daher fällt es durchaus in das Ermessen der irischen Aufsichtsbehörde, über jene Fragen zu entscheiden, die dem EDSA nicht vorgelegt wurden, aber dennoch im endgültigen nationalen Beschluss behandelt werden (
88
).
160.
Ist dies für die Feststellung der unmittelbaren Betroffenheit der Rechtsmittelführerin durch den streitigen Beschluss von Bewandtnis?
161.
In dem angefochtenen Beschluss hat das Gericht die Auffassung vertreten, dass der inhaltlich begrenzte Umfang des streitigen Beschlusses erheblich sei, da der endgültige Beschluss der irischen Aufsichtsbehörde ein Ganzes darstelle, das von den Aspekten, hinsichtlich derer die Aufsichtsbehörde einen Ermessensspielraum gehabt habe bzw. nicht gehabt habe, nicht getrennt werden könne (
89
).
162.
Meines Erachtens und in Übereinstimmung mit der Rechtsmittelführerin hat dieser Gesichtspunkt keinen Einfluss auf die Frage, ob diese Partei durch den streitigen Beschluss unmittelbar betroffen ist.
163.
Um die Frage der unmittelbaren Betroffenheit zu beurteilen, ist auf das Wesen der angefochtenen Handlung abzustellen (
90
). Insoweit genügt es, dass der Inhalt des streitigen Beschlusses, der die Rechtsstellung der Rechtsmittelführerin beeinträchtigt, der irischen Aufsichtsbehörde in diesen Punkten keinen Ermessensspielraum einräumte, auch wenn sie in ihrem endgültigen Beschluss noch weitere Gesichtspunkte behandelte.
164.
Im folgenden Abschnitt der vorliegenden Schlussanträge werde ich darlegen, dass die Rechtsmittelführerin, wenn sie den streitigen Beschluss vor dem Gericht nicht anfechten würde, tatsächlich die Möglichkeit verlöre, sich im Rahmen der Anfechtung des endgültigen Beschlusses der irischen Aufsichtsbehörde vor den zuständigen irischen Gerichten auf die Ungültigkeit des streitigen Beschlusses zu berufen.
165.
Wie die Rechtsmittelführerin in der mündlichen Verhandlung ausgeführt hat, ist ein solches Verfahren vor den irischen Gerichten tatsächlich anhängig. Darin begehrt die Rechtsmittelführerin die Aufhebung des endgültigen Beschlusses der irischen Aufsichtsbehörde auch in Bezug auf die Aspekte, die nicht Gegenstand des streitigen Beschlusses sind. Gleichzeitig hat die Rechtsmittelführerin jedoch beim Gericht ein Rechtsmittel gegen den Beschluss des EDSA eingelegt, um ihr Recht zu wahren, die Nichtigkeit derjenigen Teile des Beschlusses der irischen Aufsichtsbehörde geltend zu machen, hinsichtlich derer dieser Behörde kein Ermessen zustand.
166.
Folglich hat das Gericht auch rechtsfehlerhaft entschieden, dass die Rechtsmittelführerin von dem streitigen Beschluss nicht unmittelbar betroffen sei, weil die irische Aufsichtsbehörde bei der „Durchführung“ des streitigen Beschlusses über einen Ermessensspielraum verfügt habe, da der endgültige nationale Beschluss auch Aspekte enthalte, die von dem streitigen Beschluss nicht erfasst würden.
4. Zwischenergebnis
167.
Das Gericht hat die Voraussetzungen für die Beurteilung des Vorliegens einer unmittelbaren Betroffenheit nach Art. 263 Abs. 4 AEUV fehlerhaft angewandt.
168.
Erstens hat es seine Beurteilung auf die nicht existenten Bedingungen gestützt, die angefochtene Handlung i) müsse im Rahmen eines Nichtigkeitsverfahrens dem Kläger gegenüber unmittelbar durchsetzbar sein und ii) dürfe keine Durchführungsmaßnahmen nach sich ziehen.
169.
Zweitens hat das Gericht einen Beurteilungsfehler begangen, indem es festgestellt hat, dass der streitige Beschluss der mit der Durchführung betrauten Behörde, im vorliegenden Fall der irischen Aufsichtsbehörde, einen Ermessensspielraum lasse.
170.
Schließlich hat das Gericht zu Unrecht angenommen, dass das Vorhandensein von Teilen im endgültigen Beschluss der irischen Aufsichtsbehörde, die nicht von dem streitigen Beschluss erfasst sind, für die Frage, ob der streitige Beschluss dieser Behörde keinen Ermessensspielraum gelassen habe, relevant sei.
171.
Ich schlage dem Gerichtshof daher vor, dem dritten und dem vierten Argument des ersten Rechtsmittelgrundes stattzugeben.
D.
Die Zulässigkeit der Klage im vorliegenden Fall ergibt sich aus der Logik des Rechtsbehelfssystems der Union
172.
Mit ihrem fünften Argument im Rahmen des ersten Rechtsmittelgrundes macht die Rechtsmittelführerin geltend, das Gericht habe die Verfahrensanforderungen des Rechtsbehelfssystems der Union verkannt.
173.
Im angefochtenen Beschluss hat das Gericht die Auffassung vertreten, dass im Rahmen des Kohärenzverfahrens ein Rechtsbehelf gegen den endgültigen Beschluss der nationalen Aufsichtsbehörde vor den zuständigen nationalen Gerichten einzulegen sei. Nach Ansicht des Gerichts spricht die Logik des vollständigen Systems von Rechtsbehelfen für das nationale Gericht als geeignetes Forum (
91
), das dann dem Gerichtshof ein Vorabentscheidungsersuchen vorlegen müsste, um die Gültigkeit des nationalen Beschlusses insoweit überprüfen zu lassen, als er durch den einschlägigen Beschluss des EDSA vorgegeben ist.
174.
Dem Standpunkt des Gerichts kann eine gewisse Überzeugungskraft nicht abgesprochen werden, soweit damit die Bündelung von Klagen vor einem einzigen Gericht gefordert wird. Die von ihm vorgeschlagene Lösung würde in der Tat die gegenwärtigen verfahrensrechtlichen Unzulänglichkeiten beseitigen, aufgrund derer ein Kläger praktisch gezwungen ist, zwei getrennte Klagen zu erheben, eine beim Gericht und eine weitere bei einem nationalen Gericht, wenn er den wirksamen Schutz aller seiner aus dem Unionsrecht erwachsenden Rechte sicherstellen möchte. Die effektivste Art, seine Rechte zu schützen, ist das wahrlich nicht.
175.
Im vorliegenden Fall hat die Rechtsmittelführerin eben das getan: Sie hat zwei Klagen erhoben, eine beim Gericht und eine bei den zuständigen irischen Gerichten. Zumindest in seiner gegenwärtigen Struktur sieht das Rechtsschutzsystem der Union, wie ich erläutern werde, allerdings keine andere Lösung vor.
1. Das Verhältnis zwischen direkten und indirekten Klagen gegen eine Handlung der Union
176.
Zum einen sind die nationalen Gerichte bekanntlich nicht befugt, Handlungen der Organe und Einrichtungen der Union für ungültig zu erklären. Wenn sie eine Handlung der Union für ungültig halten, müssen sie daher das Vorabentscheidungsverfahren vor dem Gerichtshof einleiten und von diesem eine Bestätigung der Ungültigkeit begehren (
92
).
177.
Zum anderen kann ein nationales Gericht die Gültigkeit einer Unionshandlung nicht in Frage stellen, wenn die Partei, die sich auf diese Ungültigkeit beruft, zwar die Voraussetzungen der Klagebefugnis nach Art. 263 Abs. 4 AEUV erfüllt, diese Handlung aber nicht innerhalb der in Art. 263 Abs. 6 AEUV vorgesehenen Frist vor den Unionsgerichten angefochten hat. Dies geht aus dem Urteil TWD Textilwerke Deggendorf (
93
) hervor und wurde in späteren Urteilen bestätigt, einschließlich des Urteils Georgsmarienhütte u. a. (
94
), das im vorliegenden Verfahren von den Beteiligten erörtert wurde.
178.
In dem letztgenannten Urteil hat der Gerichtshof ausgeführt, dass „wer einen Unionsrechtsakt anfechten will, wenn er ohne jeden Zweifel nach Art. 263 Abs. 4 AEUV klagebefugt ist, von dem in dieser Bestimmung vorgesehenen Rechtsbehelf Gebrauch machen [muss], indem er eine Klage beim Gericht erhebt“ (
95
). Hat eine Person innerhalb der in Art. 263 Abs. 6 AEUV vorgesehenen Frist keine Nichtigkeitsklage erhoben, obwohl sie die Möglichkeit dazu hatte, so darf das nationale Gericht die von dieser Person erhobene Einrede der Ungültigkeit einer Handlung der Union nicht stattgeben, sondern muss die angefochtene Handlung dieser Person gegenüber als rechtskräftig ansehen (
96
). Würde der Gerichtshof in einem solchen Fall von einem nationalen Gericht um Vorabentscheidung ersucht, so müsste er das Ersuchen als unzulässig zurückweisen, da er mit einer Frage befasst würde, deren Antwort vom vorlegenden Gericht nicht berücksichtigt werden dürfte.
179.
Ein Beispiel aus jüngerer Zeit, das mehrphasige Verfahren zum Gegenstand hatte, ist das Urteil Iccrea Banca (
97
). In diesem Urteil hat der Gerichtshof ein Vorabentscheidungsersuchen des Tribunale Amministrativo Regionale per il Lazio (Regionales Verwaltungsgericht Latium, Italien) teilweise für unzulässig erklärt, vor dem eine Bank, die Iccrea Banca, die Berechnung der Höhe ihres Beitrags zum Einheitlichen Abwicklungsfonds angefochten hatte. Der Gerichtshof hat ausgeführt, dass diese Bank von einem Beschluss des SRB, auf dem die Festsetzung der Höhe dieser Beiträge beruhte, zwar unmittelbar und individuell betroffen war, diesen Beschluss aber nicht im Wege einer Nichtigkeitsklage vor dem Gericht angefochten hatte (
98
). Iccrea Banca hatte somit die Möglichkeit verloren, sich vor dem nationalen Gericht mittelbar auf die Ungültigkeit des Beschlusses des SRB zu berufen, so dass der Gerichtshof das Vorabentscheidungsersuchen insoweit als unzulässig zurückweisen musste.
180.
Wendet man diese Rechtsprechung auf den vorliegenden Fall an, in dem WhatsApp befugt war, den streitigen Beschluss vor dem Gericht anzufechten, so ist klar, dass die Ungültigkeit des Beschlusses des EDSA vor dem nationalen Gericht nicht geltend gemacht werden könnte, wenn WhatsApp nicht versucht hätte, diesen Beschluss innerhalb der Frist des Art. 263 Abs. 6 AEUV auch unmittelbar vor dem Gericht anzufechten (
99
).
181.
Daraus folgt, dass die Anfechtung des streitigen Beschlusses vor dem Unionsrichter und nicht vor dem nationalen Richter zu erfolgen hat, da zum einen die Rechtsmittelführerin von dem streitigen Beschluss unmittelbar betroffen ist und zum anderen, wie das Gericht selbst festgestellt hat, der streitige Beschluss die Rechtsmittelführerin individuell betrifft (
100
).
182.
Der 143. Erwägungsgrund der DSGVO bestätigt, dass die ordnungsgemäße Organisation der gerichtlichen Kontrolle in einem Fall wie dem vorliegenden durch Nichtigkeitsklagen vor dem Gericht erfolgen sollte (
101
). Auch wenn dieser Erwägungsgrund, worauf der EDSA zu Recht hinweist, nicht verbindlich ist, beschreibt er gleichwohl die Folgen, die sich aus der Anwendung der verbindlichen Bestimmungen des Vertrags hinsichtlich der Organisation von Gerichtsverfahren ergeben.
183.
Schließlich möchte ich den vorstehenden Erwägungen hinzufügen, dass die beim Gericht erhobene direkte Klage, an der die Einrichtung der Union, die den angefochtenen Beschluss erlassen hat, als Partei beteiligt ist, meines Erachtens der geeignetere Weg für die Entscheidung über die Gültigkeit ihres Beschlusses darstellt. Schließlich hinge die Stellung dieser Einrichtung im Verfahren vor einem nationalen Gericht von den einschlägigen nationalen Verfahrensvorschriften ab, die ihr den Zugang zu einer Erörterung ihrer eigenen Handlung verwehren könnten (
102
).
2. Sonstige Verfahrensfragen
184.
Im angefochtenen Beschluss kommen auch die Bedenken des Gerichts zum Ausdruck, dass sich überschneidende Gerichtsverfahren zu abweichenden Entscheidungen auf Unionsebene und auf nationaler Ebene führen könnten (
103
).
185.
Diese Frage ist nicht neu. Wie der Gerichtshof in seinem Urteil Masterfoods und HB ausgeführt hat, sind die nationalen Gerichte, wenn die Gültigkeit einer Unionshandlung sowohl vor den nationalen Gerichten als auch vor den Unionsgerichten in Frage gestellt wird, nach dem Grundsatz der loyalen Zusammenarbeit verpflichtet, keine Entscheidung zu erlassen, bei der die Gefahr eines Widerspruchs mit einer zu erlassenden Entscheidung der Unionsgerichte bestehen könnte (
104
). Wenn also vor dem Gericht eine Nichtigkeitsklage anhängig ist und parallel dazu in einem nationalen Verfahren eine Frage der Gültigkeit aufgeworfen wird, kann die Zuständigkeitsverteilung zwischen der Union und den nationalen Gerichten dazu führen, dass das Verfahren vor den nationalen Gerichten ausgesetzt werden müsste (
105
). Dieser Ansicht sind offenbar auch die zuständigen irischen Gerichte im vorliegenden Fall gefolgt (
106
).
186.
Hat das nationale Gericht trotz der beim Gericht anhängigen Nichtigkeitsklage das Vorabentscheidungsverfahren vor dem Gerichtshof eingeleitet, so kann der Gerichtshof gemäß Art. 54 der Satzung des Gerichtshofs der Europäischen Union und dem Grundsatz der geordneten Rechtspflege sein eigenes Verfahren zugunsten dieser Nichtigkeitsklage aussetzen (
107
).
3. Zwischenergebnis
187.
Die Logik des durch die Verträge festgelegten Rechtsschutzsystems gebietet es nicht, dass die von der Rechtsmittelführerin beim Gericht erhobene Nichtigkeitsklage für unzulässig erklärt wird.
188.
Ich schlage dem Gerichtshof daher vor, auch dem fünften Argument des ersten Rechtsmittelgrundes stattzugeben.
189.
Nach alledem schlage ich dem Gerichtshof vor, dem ersten Rechtsmittelgrund der Rechtsmittelführerin stattzugeben.
E.
Folgen
190.
Nach Art. 61 der Satzung des Gerichtshofs der Europäischen Union kann der Gerichtshof den Rechtsstreit selbst endgültig entscheiden, wenn dieser zur Entscheidung reif ist.
191.
Im vorliegenden Fall ist diese Voraussetzung insoweit erfüllt, als sie die Zulässigkeit der beim Gericht anhängig gemachten direkten Klage betrifft.
192.
Erstens stellt der streitige Beschluss eine anfechtbare Handlung für die Zwecke des Art. 263 Abs. 1 AEUV dar. Zweitens ist die Rechtsmittelführerin von diesem Beschluss im Sinne von Art. 263 Abs. 4 AEUV unmittelbar betroffen. Drittens ist die Rechtsmittelführerin von dem streitigen Beschluss individuell betroffen, wie das Gericht im angefochtenen Beschluss selbst festgestellt hat (
108
). Daraus folgt, dass die Voraussetzungen von Art. 263 Abs. 1 und 4 AEUV erfüllt sind. Folglich ist die Klage zulässig.
193.
Da das Gericht jedoch die bei ihm anhängige Klage nicht in der Sache geprüft hat, deren Beurteilung eine eingehende rechtliche und tatsächliche Würdigung voraussetzt, ist der Gerichtshof nach dem derzeitigen Stand des Verfahrens nicht in der Lage, in der Sache über die Klage der Rechtsmittelführerin zu entscheiden.
194.
Folglich ist die Sache an das Gericht zurückzuverweisen und die Kostenentscheidung vorzubehalten.
IV. Ergebnis
195.
Nach alledem schlage ich dem Gerichtshof vor,
–
den Beschluss vom 7. Dezember 2022, WhatsApp Ireland/Europäischer Datenschutzausschuss (T‑709/21, EU:T:2022:783), aufzuheben,
–
die Nichtigkeitsklage für zulässig zu erklären,
–
die Rechtssache zur Entscheidung in der Sache an das Gericht zurückzuverweisen, und
–
die Kostenentscheidung vorzubehalten.
(
1
)	Originalsprache: Englisch.
(
2
)	Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2), Art. 63 und 65.
(
3
)	Verbindlicher Beschluss 1/2021 zur Streitigkeit nach Artikel 65 Absatz 1 Buchstabe a der DSGVO über den Beschlussentwurf der irischen Aufsichtsbehörde bezüglich WhatsApp Ireland, veröffentlicht unter https://www.edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-12021-dispute-arisen_en.
(
4
)	Beschluss vom 7. Dezember 2022, WhatsApp Ireland/Europäischer Datenschutzausschuss (T‑709/21, im Folgenden: angefochtener Beschluss, EU:T:2022:783).
(
5
)	Zum Zeitpunkt der Abfassung der vorliegenden Schlussanträge sind beim Gericht sieben weitere Klagen von Auftragsverarbeitern, Verantwortlichen und nationalen Aufsichtsbehörden gegen im Rahmen des Kohärenzverfahrens ergangene verbindliche Beschlüsse des EDSA anhängig. Vgl. Rechtssachen T‑682/22, Meta Platforms Ireland/Europäischer Datenschutzausschuss, T‑70/23, Data Protection Commission/Europäischer Datenschutzausschuss, T‑84/23, Data Protection Commission/Europäischer Datenschutzausschuss, T‑128/23, Meta Platforms Ireland/Europäischer Datenschutzausschuss, T‑129/23, Meta Platforms Ireland/Europäischer Datenschutzausschuss, T‑111/23, Data Protection Commission/Europäischer Datenschutzausschuss und T‑153/23, WhatsApp Ireland/Europäischer Datenschutzausschuss. Drei weitere anhängige Rechtssachen wenden sich gegen Beschlüsse des EDSA, die außerhalb des Kohärenzverfahrens ergangen sind; vgl. Rechtssachen T‑325/23, Meta Platforms Ireland/Europäischer Datenschutzausschuss, T‑1030/23, Tiktok Technology/Europäischer Datenschutzausschuss, und T‑8/24, Meta Platforms Ireland/Europäischer Datenschutzausschuss.
(
6
)	In Bezug auf Kategorisierungsbemühungen vgl. Eliantonio, M., „Access to justice in composite procedures for the implementation of EU law: The story so far“, in Van Creynenbreugel, P., und Wildemeersch, J. (Hrsg.), Questions choisies de droit européen des affaires/Selected Issues in European Business Law: 60 ans d’études juridiques européennes à Liège/60 years of European legal studies at Liège, Bruylant, 2023, S. 189 bis 221.
(
7
)	Nach Hofmann, H. C. H., sind „mehrphasige Verfahren mehrstufige Prozesse, in denen Verwaltungsakteure aus verschiedenen Jurisdiktionen zusammenwirken, entweder vertikal unter Beteiligung von Organen und Einrichtungen der Union und solchen der Mitgliedstaaten, horizontal unter Beteiligung verschiedener Organe und Einrichtungen eines Mitgliedstaats oder in dreiseitigen Verfahren unter Beteiligung verschiedener Organe und Einrichtungen der Mitgliedstaaten und der Union“; vgl. Hofmann, H. C. H., „Composite decision making procedures in EU administrative law“, in Hofmann, H. C. H., und Türk, A. H., Legal Challenges in EU Administrative Law, Edward Elgar, Cheltenham, 2009, S. 136.
(
8
)	Für eine jüngst erschienene Darstellung der theoretischen und praktischen Fragen, die durch mehrphasige Verfahren aufgeworfen werden vgl. Bastos, F. B., Judging Composite Decision-Making: The Transformation of European Administrative Law, Hart Publishing, Oxford, 2024.
(
9
)	Nach Art. 55 Abs. 1 DSGVO ist „[j]ede Aufsichtsbehörde für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig“.
(
10
)	Vgl. in diesem Sinne Erwägungsgründe 9, 10 und 13 der DSGVO.
(
11
)	Vgl. Art. 60 Abs. 4 DSGVO.
(
12
)	In dieser Hinsicht unterscheidet sich die Rolle des EDSA von der seiner Vorgängerin, der „Artikel‑29-Datenschutzgruppe“, die gemäß Art. 29 Abs. 1 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) eingesetzt wurde und nur eine beratende Funktion hatte.
(
13
)	Vgl. auch 136. Erwägungsgrund der Verordnung.
(
14
)	Art. 65 Abs. 5 DSGVO.
(
15
)	Gemäß Art. 65 Abs. 6 DSGVO muss ein solcher nationaler Beschluss spätestens einen Monat, nachdem der EDSA der Aufsichtsbehörde seinen verbindlichen Beschluss mitgeteilt hat, getroffen werden.
(
16
)	Erhebt eine nationale Aufsichtsbehörde Einwände gegen einen verbindlichen Beschluss des EDSA, kann sie dessen Gültigkeit vor dem Gericht anfechten. Vgl. etwa die Klagen, die zum Urteil vom 29. Januar 2025, Data Protection Commission/EDSA (T‑70/23, T‑84/23 und T‑111/23, EU:T:2025:116), geführt haben.
(
17
)	Die Datenschutzrichtlinie dient der Erfüllung der Transparenzanforderungen, die sich aus den Art. 12 bis 14 der DSGVO und wohl auch aus Art. 8 der Charta der Grundrechte der Europäischen Union für die Rechtsmittelführerin ergeben. Vgl. allgemein Artikel‑29-Datenschutzgruppe, Leitlinien für Transparenz gemäß der Verordnung 2016/679, angenommen am 29. November 2017, WP260.
(
18
)	Vgl. Art. 99 Abs. 2 DSGVO.
(
19
)	Vgl. Data Protection Commission (irische Datenschutzbehörde), Beschluss gemäß Abschnitt 111 des Datenschutzgesetzes 2018 (Section 111 Data Protection Act, 2018) und den Artikeln 60 und 65 der Datenschutz-Grundverordnung, 2021 (IN-18-12-2), abrufbar unter: https://www.dataprotection.ie/sites/default/files/uploads/2022-03/Full_decision_WhatsApp_Ireland-August_2021.pdf (im Folgenden: endgültiger nationaler Beschluss), Rn. 3
(
20
)	Vgl. endgültiger nationaler Beschluss, Rn. 4.
(
21
)	Vgl. angefochtener Beschluss, Rn. 4. Vgl. auch endgültiger nationaler Beschluss, Rn. 23.
(
22
)	Vgl. angefochtener Beschluss, Rn. 5. Vgl. auch endgültiger nationaler Beschluss, Rn. 23.
(
23
)	Vgl. angefochtener Beschluss, Rn. 5. Vgl. auch endgültiger nationaler Beschluss, Rn. 24.
(
24
)	Vgl. angefochtener Beschluss, Rn. 5. Vgl. auch endgültiger nationaler Beschluss, Rn. 25.
(
25
)	Endgültiger nationaler Beschluss, Rn. 25.
(
26
)	Nach meinem Verständnis handelt es sich bei der von der Rechtsmittelführerin angewandten „Lossy Hashing Procedure“ (im Folgenden: Lossy-Hashing-Verfahren) im Wesentlichen um eine Verschlüsselungstechnik, mit der Telefonnummern von Nutzern und Nichtnutzern ihres Messenger-Dienstes in numerische Codes umgewandelt werden. Die Rechtsmittelführerin gab diese Codes dann an Dritte weiter. Im Gegensatz zum Beschlussentwurf der irischen Aufsichtsbehörde vertrat der EDSA die Auffassung, dass gehashte Daten personenbezogene Daten im Sinne der DSGVO darstellten, da die Rechtsmittelführerin auch auf der Grundlage dieser Codes in „Hash-Form“ in der Lage sei, die betroffenen Personen auszusondern und somit erneut zu identifizieren. Vgl. in diesem Sinne streitiger Beschluss, Rn. 141 bis 157.
(
27
)	Vgl. in diesem Sinne angefochtener Beschluss, Rn. 11, sowie streitiger Beschluss, Rn. 427 und 428.
(
28
)	Vgl. in diesem Sinne angefochtener Beschluss, Rn. 11, sowie streitiger Beschluss, Rn. 426 und 428.
(
29
)	Vgl. in diesem Sinne angefochtener Beschluss, Rn. 11, sowie streitiger Beschluss, Rn. 429 und 430.
(
30
)	Vgl. hierzu angefochtener Beschluss, Rn. 9.
(
31
)	So hat der Gerichtshof z. B. im Urteil vom 18. Juni 2024, Kommission/SRB (C‑551/22 P, im Folgenden: Urteil Kommission/SRB, EU:C:2024:520) erläutert, dass die Schlussfolgerungen des Urteils vom 6. Mai 2021, ABLV Bank u. a./EZB (C‑551/19 P und C‑552/19 P, EU:C:2021:369), nicht automatisch auf den Sachverhalt in dieser Rechtssache übertragen werden können. In dem letztgenannten Urteil hatte der Gerichtshof entschieden, dass eine Entscheidung der Europäischen Zentralbank über den Ausfall oder wahrscheinlichen Ausfall einer Bank keine anfechtbare Handlung darstellt, da sie den Ausschuss für die einheitliche Abwicklung (im Folgenden: SRB) nicht bindet, so dass eine Nichtigkeitsklage gegen die vom SRB vorgenommene Handlung erhoben werden muss. Das bedeutet jedoch nicht, dass eine vom SRB im Abwicklungsverfahren vorgenommene Handlung stets eine anfechtbare Handlung darstellt. Die in einer anderen Phase des Abwicklungsverfahrens vorgenommene Handlung dieser Einrichtung stellt keine anfechtbare Handlung dar, wenn sie keine verbindlichen Rechtswirkungen gegenüber der Kommission erzeugt, die im Rahmen dieses mehrphasigen Verfahrens zum Erlass einer endgültigen Entscheidung befugt ist.
(
32
)	So muss der Gerichtshof bisweilen erläutern, warum die Schlussfolgerungen seiner früheren Urteile nicht auf das betreffende Urteil übertragen werden können. Vgl. hierzu Urteil Kommission/SRB (Rn. 92).
(
33
)	Urteil vom 11. November 1981, IBM/Kommission (60/81, im Folgenden: Urteil IBM, EU:C:1981:264, Rn. 9).
(
34
)	Urteil vom 13. Oktober 2011, Deutsche Post und Deutschland/Kommission (C‑463/10 P und C‑475/10 P, im Folgenden: Urteil Deutsche Post, EU:C:2011:656).
(
35
)	Nach ständiger Rechtsprechung handelt es sich bei den Fragen betreffend die Zulässigkeit einer Nichtigkeitsklage um Prozessvoraussetzungen zwingenden Rechts, die jederzeit geltend gemacht werden können, auch wenn kein Anschlussrechtsmittel nach Art. 176 Abs. 2 der Verfahrensordnung des Gerichtshofs eingelegt wurde. Vgl. u. a. Urteile vom 2. September 2021, Ja zum Nürburgring/Kommission (C‑647/19 P, EU:C:2021:666, Rn. 52 bis 53 sowie die dort angeführte Rechtsprechung), und vom 21. September 2023, China Chamber of Commerce for Import and Export of Machinery and Electronic Products u. a./Kommission (C‑478/21 P, EU:C:2023:685, Rn. 42 und 43 sowie die dort angeführte Rechtsprechung).
(
36
)	Vgl. u. a. Urteile vom 10. März 1998, Deutschland/Rat (C‑122/95, EU:C:1998:94, Rn. 35), und vom 26. September 2024, WEPA Hygieneprodukte u. a./Kommission (C‑795/21 P und C‑796/21 P, EU:C:2024:807, Rn. 63 und 73).
(
37
)	Vgl. Art. 65 Abs. 5 Satz 1 DSGVO.
(
38
)	Vgl. in diesem Sinne Urteile vom 5. April 1979, Orlandi/Kommission (117/78, EU:C:1979:109, Rn. 11), und vom 26. September 2013, PPG und SNF/ECHA (C‑625/11 P, EU:C:2013:594, Rn. 33).
(
39
)	Vgl. u. a. Urteil vom 26. September 2024, WEPA Hygieneprodukte u. a./Kommission (C‑795/21 P und C‑796/21 P, EU:C:2024:807, Rn. 68 bis 71).
(
40
)	Vgl. entsprechend Urteil vom 26. September 2013, PPG und SNF/ECHA (C‑625/11 P, EU:C:2013:594, Rn. 29 bis 33) (betreffend die Veröffentlichung einer Liste von Stoffen ausschließlich auf der Website der Europäischen Chemikalienagentur, die der Gerichtshof gleichwohl als eine veröffentlichte Entscheidung eingestuft hat).
(
41
)	Vgl. in diesem Sinne u. a. Urteile vom 26. September 2024, Covestro Deutschland und Deutschland/Kommission (C‑790/21 P und C‑791/21 P, EU:C:2024:792, Rn. 82), und vom 26. September 2024, WEPA Hygieneprodukte u. a./Kommission (C‑795/21 P und C‑796/21 P, EU:C:2024:807, Rn. 72 und 73), worin ausgeführt wird, dass sich die Klagefristen im Interesse der Rechtssicherheit in Bezug auf alle Beteiligten, denen der Beschluss nicht mitgeteilt wurde, ungeachtet einer etwaigen vorherigen Kenntnis des Rechtsakts durch die Klägerin objektiv und mit Gewissheit ermitteln lassen müssen.
(
42
)	Zu den möglichen praktischen Auswirkungen des Rückgriffs auf verbindliche Rechtswirkungen oder auf bloße Rechtswirkungen zur Bestimmung der Anfechtbarkeit einer Handlung vgl. Schlussanträge des Generalanwalts Bobek in der Rechtssache Belgien/Kommission (C‑16/16 P, EU:C:2017:959, Nrn. 59 ff.).
(
43
)	Vgl. Art. 173 EWG-Vertrag (Hervorhebung nur hier). Ich möchte hinzufügen, dass Art. 33 des Vertrags zur Gründung der Europäischen Gemeinschaft für Kohle und Stahl (EGKS) die anfechtbaren Handlungen positiv definierte und die „Entscheidungen“ und die „Empfehlungen“ einzeln aufzählte. Nach Art. 14 EGKS-Vertrag waren diese Handlungen als rechtsverbindliche Entscheidungen definiert. Folglich wurde in der früheren Rechtsprechung des Gerichtshofs, die seine spätere Rechtsprechung beeinflusst hat, die Frage des „verbindlichen“ Charakters einer Maßnahme geprüft, um festzustellen, ob sie eine Nichtigkeitsklage stützen kann. Vgl. z. B. Urteile vom 16. Juli 1956, Fédération charbonnière de Belgique/Hohe Behörde (8/55, EU:C:1956:7, S. 223), vom 10. Dezember 1957, Société des usines à tubes de la Sarre/Hohe Behörde (1/57 und 14/57, EU:C:1957:13, S. 235), und vom 15. März 1967, Cimenteries CBR u. a./Kommission (8/66 bis 11/66, EU:C:1967:7, S. 122).
(
44
)	Diese Begriffsbestimmung von Empfehlungen und Stellungnahmen findet sich nunmehr in Art. 288 AEUV, war so aber auch in Art. 189 EWG-Vertrag enthalten.
(
45
)	Im Urteil vom 31. März 1971, Kommission/Rat (22/70, EU:C:1971:32, Rn. 39), hat der Gerichtshof auf Handlungen Bezug genommen, die dazu bestimmt sind, „Rechtswirkungen“ zu erzeugen. In seiner neueren Rechtsprechung wird dieser Ausdruck jedoch beschrieben als Maßnahmen, die „verbindliche Rechtswirkungen“ erzeugen sollen. Vgl. z. B. Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat (C‑348/20 P, EU:C:2022:548, Rn. 62 und die dort angeführte Rechtsprechung).
(
46
)	Vgl. in Bezug auf privilegierte Kläger z. B. Beschluss vom 17. Mai 1989, Italien/Kommission (151/88, EU:C:1989:201, Rn. 22 und 23), und Urteil vom 25. Oktober 2017, Slowakei/Kommission (C‑593/15 P und C‑594/15 P, EU:C:2017:800, Rn. 63 bis 65).
(
47
)	Wird die Klage von einem privilegierten Kläger erhoben, ist diese Frage jedenfalls unerheblich. Wie ich bereits dargelegt habe, muss der Gerichtshof jedoch auch bei privilegierten Klägern prüfen, ob die angefochtene Handlung rechtsverbindlich ist. In zwei seiner Entscheidungen hat der Gerichtshof jedoch die Klage der privilegierten Klägerin (in beiden Fällen handelte es sich bei der Klägerin um die niederländische Regierung) mit der – meines Wissens nie wiederholten – Begründung abgewiesen, dass die Entscheidung der Kommission, deren Nichtigerklärung beantragt wurde, keine verbindlichen Rechtswirkungen gegenüber der Klägerin erzeugt habe. Vgl. hierzu Urteil vom 5. Oktober 1999, Niederlande/Kommission (C‑308/95, EU:C:1999:477, Rn. 26 und 29), und Beschluss vom 28. Januar 2004, Niederlande/Kommission (C‑164/02, EU:C:2004:54, Rn. 18 und 22). Für eine kritische Betrachtung dieser beiden Urteile vgl. Schlussanträge des Generalanwalts Jacobs in der Rechtssache Italien/Kommission (C‑301/03, EU:C:2005:550, Nrn. 52 und 53).
(
48
)	Vgl. im Hinblick auf die Rechtsprechung zu internen Anweisungen und Leitlinien Lenaerts, K., Gutman, K., Nowak, J. T., EU Procedural Law, 2. Aufl., Oxford European Union Law Library, Oxford, 2023, S. 286, Rn. 7.21 bis 7.22.
(
49
)	Dies ergibt sich eindeutig aus der Rechtsprechung zu staatlichen Beihilfen, wonach eine Entscheidung, mit der die Kommission eine gewährte Beihilfe für mit dem Binnenmarkt unvereinbar erklärt und gegenüber dem Mitgliedstaat die Rückforderung der Beihilfe anordnet, nur für diesen Mitgliedstaat rechtsverbindlich ist, aber auch vom Beihilfeempfänger angefochten werden kann. Vgl. z. B. Urteil vom 19. Oktober 2000, Italien und Sardegna Lines/Kommission (C‑15/98 und C‑105/99, EU:C:2000:570, Rn. 31 bis 37).
(
50
)	Vgl. hierzu Urteil IBM, Rn. 10, und vom 26. Januar 2010, Internationaler Hilfsfonds/Kommission (C‑362/08 P, EU:C:2010:40, Rn. 58).
(
51
)	Vgl. hierzu Schlussanträge des Generalanwalts Roemer in den verbundenen Rechtssachen Cimenteries CBR u. a./Kommission (8/66 bis 11/66, nicht veröffentlicht, EU:C:1967:2, S. 138).
(
52
)	Vgl. hierzu zuletzt Urteil vom 13. Februar 2025, Swissgrid/Kommission (C‑121/23 P, EU:C:2025:83, Rn. 46) (wo ausgeführt wird, dass in einem Fall, in dem der Kläger einer Nichtigkeitsklage nicht der Adressat der angefochtenen Handlung ist, „der Nachweis [genügt], dass die Handlung verbindliche Rechtswirkungen insbesondere gegenüber ihren Adressaten erzeugen soll“, weil „in diesem Stadium nicht geprüft zu werden [braucht], ob diese Rechtswirkungen die Interessen [des Klägers] durch eine qualifizierte Änderung [seiner] Rechtsstellung … beeinträchtigen“, da diese Prüfung im Stadium der Prüfung der in Art. 263 Abs. 4 AEUV aufgestellten Voraussetzung erfolgt.
(
53
)	Hervorhebung nur hier.
(
54
)	Vgl. angefochtener Beschluss, Rn. 38 und 39. Neben dem Urteil IBM beruft sich das Gericht auch auf das Urteil vom 18. November 2010, NDSHT/Kommission (C‑322/09 P, EU:C:2010:701, Rn. 45), das auf andere Rechtssachen verweist, in denen Rn. 9 des Urteils IBM ebenfalls angeführt wird.
(
55
)	Hervorhebung nur hier.
(
56
)	Vgl. z. B. u. a. Urteile vom 31. März 1998, Frankreich u. a./Kommission (C‑68/94 und C‑30/95, EU:C:1998:148, Rn. 62), vom 17. Juli 2008, Athinaïki Techniki/Kommission (C‑521/06 P, EU:C:2008:422, Rn. 29), vom 26. Januar 2010, Internationaler Hilfsfonds/Kommission (C‑362/08 P, EU:C:2010:40, Rn. 51), und Urteil Kommission/SRB, Rn. 65.
(
57
)	Vgl. u. a. Beschluss vom 3. Juli 2007, Commune de Champagne u. a./Rat und Kommission (T‑212/02, EU:T:2007:194, Rn. 86 und 88), sowie Urteile vom 26. November 2018, Shindler u. a./Rat (T‑458/17, EU:T:2018:838, Rn. 30), und vom 10. März 2021, ViaSat/Kommission (T‑245/17, EU:T:2021:128, Rn. 68).
(
58
)	Vgl. z. B. Schlussanträge der Generalanwältin Sharpston in der Rechtssache Reynolds Tobacco u. a./Kommission, in denen sie darauf hinweist, dass der Gerichtshof dem Erfordernis, dass eine Handlung für den betreffenden Kläger verbindlich sein müsse, offenbar das Erfordernis hinzugefügt habe, dass sie im Allgemeinen verbindlich sei (C‑131/03 P, EU:C:2006:228, Nrn. 102 und 103).
(
59
)	Angeführte Rechtsprechung vorliegend nicht wiedergegeben.
(
60
)	Beschluss vom 14. Juli 2010, Deutsche Post/Kommission (T‑570/08, nicht veröffentlicht, EU:T:2010:311).
(
61
)	Vgl. z. B. Urteil vom 21. Dezember 2021, Algebris (UK) und Anchorage Capital Group/SRB (C‑934/19 P, EU:C:2021:1042 Rn. 87 ff.).
(
62
)	Vgl. in diesem Sinne Urteil Deutsche Post (Rn. 40 bis 47).
(
63
)	Urteil Deutsche Post (Rn. 54).
(
64
)	Urteil Deutsche Post (Rn. 63).
(
65
)	Urteil Deutsche Post (Rn. 66 bis 75).
(
66
)	Angefochtener Beschluss, Rn. 42 bis 49.
(
67
)	Beschluss vom 14. Juli 2010, Deutsche Post/Kommission (T‑570/08, nicht veröffentlicht, EU:T:2010:311).
(
68
)	Vgl. in diesem Sinne Rn. 43 und 44 des angefochtenen Beschlusses (in denen zunächst befunden wird, dass Zwischenmaßnahmen in mehrphasigen Verfahren grundsätzlich keine anfechtbaren Handlungen darstellten, und sodann festgestellt wird, dass „Ausnahmen von dem … Grundsatz … Fälle [betreffen], in denen die Zwischenmaßnahme eigenständige Rechtswirkungen entfaltet“).
(
69
)	Angefochtener Beschluss, Rn. 44.
(
70
)	Urteil IBM (Rn. 10). Hervorhebung nur hier.
(
71
)	Das Gleiche gilt für die Ausführungen des Gerichtshofs in Rn. 52 des Urteils vom 26. Januar 2010, Internationaler Hilfsfonds/Kommission (C‑362/08 P, EU:C:2010:40), auf die sich das Gericht in Rn. 43 des angefochtenen Beschlusses ebenfalls gestützt hat.
(
72
)	Auch wenn der Gerichtshof bei der Darstellung des Kontexts eines bestimmten Falles auf den Begriff der „vorbereitenden“ Handlung in einem mehrphasigen Verfahren abstellt, schließt er die Anfechtbarkeit einer solchen Handlung nicht aus, sofern festgestellt wird, dass sie in diesem Verfahren eigenständige Rechtswirkungen entfaltet. Vgl. z. B. Urteil Kommission/SRB, Rn. 93, wo erläutert wird, dass „[i]n einem solchen komplexen Verfahren … Handlungen, die in den vorbereitenden Phasen vor Erlass der endgültigen Handlung ergehen, nicht Gegenstand einer Nichtigkeitsklage sein [können], wenn sie keine eigenständigen Rechtswirkungen erzeugen“ (Hervorhebung nur hier).
(
73
)	Wie ich bereits erläutert habe, ergibt sich die Bindungswirkung eines im Rahmen des Kohärenzverfahrens erlassenen Beschlusses des EDSA für die zuständigen nationalen Aufsichtsbehörden aus Art. 65 Abs. 1 DSGVO.
(
74
)	Angefochtener Beschluss, Rn. 51.
(
75
)	Vgl. Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat (C‑348/20 P, EU:C:2022:548, Rn. 43 und die dort angeführte Rechtsprechung).
(
76
)	Die erste Entscheidung, die sich auf den „kumulativen“ Charakter dieser Kriterien bezieht, ist meines Erachtens das Urteil vom 10. September 2009, Kommission/Ente per le Ville vesuviane und Ente per le Ville vesuviane/Kommission (C‑445/07 P und C‑455/07 P, EU:C:2009:529, Rn. 45), in dem es um eine finanzielle Beteiligung des Europäischen Fonds für regionale Entwicklung ging, die mit Unterstützung der nationalen Behörden gewährt wurde.
(
77
)	Der in der Praxis häufigste Fall ist der, dass eine Handlung der Union eine zusätzliche Durchführungsmaßnahme erfordert, um den Kläger zu „erreichen“. Allerdings ist das nicht der einzige Fall, in dem eine Handlung eine natürliche oder juristische Person unmittelbar betreffen kann. Es gibt Handlungen, die die Rechtsstellung eines Einzelnen beeinträchtigen, ohne dass es einer Durchführungsmaßnahme bedarf. Das trifft auf Handlungen mit allgemeiner Geltung wie z. B. Verordnungen zu. Diesbezüglich sei beispielsweise auf den Sachverhalt verwiesen, der Gegenstand des Urteils vom 1. April 2004, Kommission/Jégo-Quéré (C‑263/02 P, EU:C:2004:210), war. Unter den Umständen dieser Rechtssache wurde die Verpflichtung zur Verwendung von Netzen mit einer Mindestmaschenöffnung zur Begrenzung des Fangs junger Seehechte der Fischfang-Reederei der Klägerin unmittelbar auferlegt, ohne dass Durchführungsmaßnahmen erforderlich gewesen wären. Die jüngste Änderung des Art. 263 Abs. 4 AEUV durch den Vertrag von Lissabon hat die Nichtigkeitsklage auch für die Anfechtung von Rechtsakten mit Verordnungscharakter eröffnet, die keine Durchführungsmaßnahmen erfordern, ohne dass eine individuelle Betroffenheit nachgewiesen werden braucht. Der Kläger muss jedoch weiterhin nachweisen, dass er von der angefochtenen Maßnahme unmittelbar betroffen ist. Ein solcher Nachweis zieht nicht das sich aus der Rechtsprechung ergebende zweite „kumulative“ Kriterium nach sich – das der Durchführungsmaßnahmen –, da es in einem solchen Fall keine Durchführungsmaßnahmen gibt, die als „Brücke“ zwischen der angefochtenen Maßnahme und dem Kläger fungieren.
(
78
)	Vgl. zu einer Bestätigung aus jüngerer Zeit im Hinblick auf Richtlinien, die stets Durchführungsmaßnahmen nach sich ziehen, Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat (C‑348/20 P, EU:C:2022:548, Rn. 70).
(
79
)	Vgl. angefochtener Beschluss, Rn. 51.
(
80
)	Vgl. Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat (C‑348/20 P, EU:C:2022:548, Rn. 71 bis 74).
(
81
)	Angefochtener Beschluss, Rn. 64.
(
82
)	Vgl. z. B. Urteile vom 19. Oktober 2000, Italien und Sardegna Lines/Kommission (C‑15/98 und C‑105/99, EU:C:2000:570, Rn. 31 und 34), und vom 29. April 2004, Italien/Kommission (C‑298/00 P, EU:C:2004:240, Rn. 39).
(
83
)	Das Gleiche gilt für die vom Gericht in Rn. 65 des angefochtenen Beschlusses angeführte Rechtsprechung, die einen an einen Mitgliedstaat gerichteten Beschluss der Kommission betraf, mit dem diesem aufgegeben wurde, bestimmte einem Unternehmen bereitgestellte europäische Finanzmittel zu kürzen. Der Gerichtshof hat festgestellt, dass ein Unternehmen, das sich in einer solchen Lage befindet, von dem Beschluss der Kommission unabhängig davon, ob ein Mitgliedstaat Durchführungsmaßnahmen erlassen muss, unmittelbar betroffen ist.
(
84
)	Angefochtener Beschluss, Rn. 64.
(
85
)	Angefochtener Beschluss, Rn. 53.
(
86
)	Die Rechtsmittelführerin bezweifelt ferner die Befugnis des EDSA, in die Berechnungsmethode oder die Höhe der Geldbußen einzugreifen, und trägt vor, dass dies nach der DSGVO Sache der nationalen Aufsichtsbehörde und im nationalen Recht geregelt sei. Die letztgenannte Rüge ist in der Sache zu prüfen, weshalb sich der Gerichtshof im Rahmen des vorliegenden Rechtsmittels dazu nicht äußern kann.
(
87
)	Vgl. Rn. 57 bis 59 des angefochtenen Beschlusses. Der Umstand, dass sich der EDSA nicht zu der Frage geäußert hat, ob WhatsApp in Bezug auf die aus dem „Lossy-Hashing-Verfahren“ resultierenden personenbezogenen Daten als Verantwortlicher oder Auftragsverarbeiter gehandelt hat, ändert nichts daran, dass die irische Aufsichtsbehörde an die Schlussfolgerung des EDSA, dass dieses Verfahren eine Verarbeitung personenbezogener Daten darstellt, gebunden ist.
(
88
)	Die Rn. 55 und 56 des angefochtenen Beschlusses enthalten eine Aufzählung der Punkte, die der EDSA entschieden hat, sowie der Punkte, über die darüber hinaus von der irischen Aufsichtsbehörde im endgültigen nationalen Beschluss entschieden wurde.
(
89
)	Vgl. angefochtener Beschluss, Rn. 60.
(
90
)	Vgl. u. a. Urteil vom 3. Juni 2021, Ungarn/Parlament (C‑650/18, EU:C:2021:426, Rn. 38 und die dort angeführte Rechtsprechung), sowie Urteil Kommission/SRB, Rn. 65 und die dort angeführte Rechtsprechung).
(
91
)	Insoweit stützt sich das Gericht auf das Urteil vom 25. Juli 2002, Unión de Pequeños Agricultores/Rat (C‑50/00 P, EU:C:2002:462, Rn. 40); vgl. auch angefochtener Beschluss, Rn. 68.
(
92
)	Vgl. Urteil vom 22. Oktober 1987, Foto-Frost (314/85, EU:C:1987:452, Rn. 17).
(
93
)	Urteil vom 9. März 1994 (C‑188/92, EU:C:1994:90, Rn. 26).
(
94
)	Urteil vom 25. Juli 2018 (C‑135/16, EU:C:2018:582, Rn. 17 und die dort angeführte Rechtsprechung).
(
95
)	Urteil vom 25. Juli 2018, Georgsmarienhütte u. a. (C‑135/16, EU:C:2018:582, Rn. 18).
(
96
)	Vgl. in diesem Sinne z. B. Urteil vom 10. März 2021, Von Aschenbach & Voss (C‑708/19, EU:C:2021:190, Rn. 33 und 49).
(
97
)	Urteil vom 3. Dezember 2019, Iccrea Banca (C‑414/18, im Folgenden: Urteil Iccrea Banca, EU:C:2019:1036).
(
98
)	Urteil Iccrea Banca (Rn. 72 und 74).
(
99
)	Dieser Vorschlag gilt natürlich nur dann, wenn „ohne jeden Zweifel“ feststand, dass WhatsApp tatsächlich vor den Unionsgerichten klagebefugt war. War WhatsApp hingegen, wie vom Gericht angenommen, nicht befugt, die Gültigkeit des streitigen Beschlusses vor dem Gericht anzufechten, dürfte es dem Unternehmen nicht verwehrt sein, vor dem nationalen Gericht eine Einrede der Ungültigkeit zu erheben.
(
100
)	Vgl. angefochtener Beschluss, Rn. 40.
(
101
)	Im 143. Erwägungsgrund der DSGVO heißt es, soweit hier relevant: „Sofern Beschlüsse des Ausschusses einen Verantwortlichen, einen Auftragsverarbeiter oder den Beschwerdeführer unmittelbar und individuell betreffen, so können diese Personen binnen zwei Monaten nach Veröffentlichung der betreffenden Beschlüsse auf der Website des Ausschusses im Einklang mit Artikel 263 AEUV eine Klage auf Nichtigerklärung erheben.“
(
102
)	Vgl. hierzu Schlussanträge des Generalanwalts Campos Sánchez-Bordona in der Rechtssache Georgsmarienhütte u. a. (C‑135/16, EU:C:2018:120, Nr. 43). Vgl. auch die nach wie vor gültige Argumentation in den Schlussanträgen des Generalanwalts Jacobs in der Rechtssache Unión de Pequeños Agricultores/Rat (C‑50/00 P, EU:C:2002:197, Nrn. 40 ff.).
(
103
)	Vgl. angefochtener Beschluss, Rn. 70.
(
104
)	Vgl. Urteil vom 14. Dezember 2000, Masterfoods und HB (C‑344/98, EU:C:2000:689, Rn. 39 und die dort angeführte Rechtsprechung).
(
105
)	Vgl. Urteile vom 14. Dezember 2000, Masterfoods und HB (C‑344/98, EU:C:2000:689, Rn. 57), und vom 25. Juli 2018, Georgsmarienhütte u. a. (C‑135/16, EU:C:2018:582, Rn. 24 und die dort angeführte Rechtsprechung).
(
106
)	Vgl. Meta Platforms Ireland Ltd/Data Protection Commission (approved) [2024] IEHC 264 vom 10. Mai 2024 (wo es in Rn. 49 heißt: „Das Berufungsverfahren und die gerichtliche Überprüfung werden bis zum Abschluss des derzeit vor dem EuGH anhängigen WhatsApp-Verfahrens generell ausgesetzt.“).
(
107
)	Vgl. Urteil vom 25. Juli 2018, Georgsmarienhütte u. a. (C‑135/16, EU:C:2018:582, Rn. 25).
(
108
)	Angefochtener Beschluss, Rn. 40.