Rechtssache T‑451/20
Meta Platforms Ireland Ltd, vormals Facebook Ireland Ltd
gegen
Europäische Kommission
Urteil des Gerichts (Fünfte erweiterte Kammer) vom 24. Mai 2023
„Wettbewerb – Datenmarkt – Verwaltungsverfahren – Art. 18 Abs. 3 und Art. 24 Abs. 1 Buchst. d der Verordnung (EG) Nr. 1/2003 – Auskunftsverlangen – Virtueller Datenraum – Begründungspflicht – Rechtssicherheit – Verteidigungsrechte – Erforderlichkeit der verlangten Auskünfte – Befugnismissbrauch – Recht auf Achtung des Privatlebens – Verhältnismäßigkeit – Grundsatz der guten Verwaltung – Berufsgeheimnis“
1.      Gerichtliches Verfahren – Klageanträge – Anpassung im Laufe des Verfahrens – Beschluss, mit dem während des Verfahrens der angefochtene Beschluss geändert wird – Anpassung der ursprünglichen Anträge und Klagegründe – Zulässigkeit – Voraussetzungen
(Verfahrensordnung des Gerichts, Art. 86)
(vgl. Rn. 28-35)
2.      Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Begründungspflicht – Umfang – Angabe der Rechtsgrundlage und des Zwecks des Auskunftsverlangens – Benennung der untersuchten Zuwiderhandlungen – Verletzung der Begründungspflicht – Fehlen
(Art. 296 Abs. 2 AEUV; Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 3)
(vgl. Rn. 37-82)
3.      Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Begründungspflicht – Anforderung interner Dokumente, die bestimmte Suchbegriffe enthalten – Pflicht zur konkreten Begründung jedes einzelnen Suchbegriffs – Fehlen
(Art. 296 Abs. 2 AEUV; Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 3)
(vgl. Rn. 88-95)
4.      Nichtigkeitsklage – Natürliche oder juristische Personen – Rechtsschutzinteresse – Interesse an der Geltendmachung eines Klagegrundes – Klagegrund, der dem Kläger einen Vorteil verschaffen kann – Fehlen – Unzulässigkeit
(Art. 263 Abs. 4 AEUV)
(vgl. Rn. 101-104)
5.      Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Erfordernis eines Zusammenhangs zwischen den verlangten Auskünften und der untersuchten Zuwiderhandlung – Ermessen der Kommission – Anforderung interner Dokumente, die bestimmte Suchbegriffe enthalten – Offensichtlicher Beurteilungsfehler in Bezug auf die Erforderlichkeit der verlangten Auskünfte – Fehlen
(Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 1 und 3)
(vgl. Rn. 110-115, 132-151)
6.      Nichtigkeitsklage – Nichtigkeitsurteil – Tragweite – Teilweise Nichtigerklärung eines Unionsrechtsakts – Voraussetzung – Abtrennbarkeit der für nichtig erklärbaren Teile des angefochtenen Rechtsakts
(Art. 264 AEUV)
(vgl. Rn. 117, 118)
7.      Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Erfordernis eines Zusammenhangs zwischen den verlangten Auskünften und der untersuchten Zuwiderhandlung – Ermessen der Kommission – Anforderung interner Dokumente, die bestimmte Suchbegriffe enthalten – Globale Prüfung der Frage, ob der Grundsatz der Erforderlichkeit eingehalten wurde – Fehlen
(Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 1 und 3)
(vgl. Rn. 119, 120)
8.      Gerichtliches Verfahren – Vorbringen neuer Klage- und Verteidigungsgründe im Laufe des Verfahrens – Erstmals in der Erwiderung vorgetragene Klage- oder Verteidigungsgründe – Unzulässigkeit – Entsprechende Anforderungen bei neuen Argumenten, die sich gegen Gesichtspunkte richten, die in der Klageschrift nicht beanstandet wurden
(Verfahrensordnung des Gerichts, Art. 84)
(vgl. Rn. 127-131)
9.      Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Verteidigungsrechte – Auskunftsverlangen, das in der Voruntersuchungsphase ergangen ist – Nicht wiedergutzumachende Beeinträchtigung der Verteidigungsrechte des betroffenen Unternehmens – Fehlen
(Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 3)
(vgl. Rn. 158-168)
10.    Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Beeinträchtigung des Privatlebens – Zulässigkeit – Voraussetzungen – Gesetzlich vorgesehene Einschränkung
(Charta der Grundrechte der Europäischen Union, Art. 7 und Art. 52 Abs. 1; Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 3)
(vgl. Rn. 185-194)
11.    Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Beeinträchtigung des Privatlebens – Zulässigkeit – Voraussetzungen – Verfolgung von Zielsetzungen, die von der Union anerkannt werden und dem Gemeinwohl dienen
(Charta der Grundrechte der Europäischen Union, Art. 7 und Art. 52 Abs. 1; Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 3)
(vgl. Rn. 195-198)
12.    Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Beeinträchtigung des Privatlebens – Zulässigkeit – Voraussetzungen – Wahrung des Grundsatzes der Verhältnismäßigkeit – Auskunftsverlangen, das bestimmte Dokumente erfasst, die keinen Bezug zu den kommerziellen Tätigkeiten des betroffenen Unternehmens aufweisen und sensible personenbezogene Daten enthalten könnten – Prüfung dieser Dokumente in einem virtuellen Datenraum, bevor sie zu den Untersuchungsakten genommen werden – Geeigneter, erforderlicher und angemessener Eingriff in das Recht auf Achtung des Privatlebens
(Charta der Grundrechte der Europäischen Union, Art. 7 und Art. 52 Abs. 1; Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 3)
(vgl. Rn. 200-251)
13.    Wettbewerb – Verwaltungsverfahren – Berufsgeheimnis – Auskunftsverlangen
(Art. 339 AEUV; Verordnung Nr. 1/2003 des Rates, Art. 18 und 28)
(vgl. Rn. 255-264)
14.    Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Befugnisse der Kommission – Grenze – Wahrung des Grundsatzes der Verhältnismäßigkeit – Verstoß – Fehlen
(Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 3)
(vgl. Rn. 268-274)
15.    Wettbewerb – Verwaltungsverfahren – Auskunftsverlangen – Pflicht der Kommission, sorgfältig und unparteiisch alle relevanten Gesichtspunkte zu untersuchen – Verstoß gegen den Grundsatz der guten Verwaltung – Fehlen
(Charta der Grundrechte der Europäischen Union, Art. 41; Verordnung Nr. 1/2003 des Rates, Art. 18 Abs. 3)
(vgl. Rn. 277-281)
Zusammenfassung
Wettbewerb: Die Klage von Meta Platforms Ireland (Facebook-Konzern) gegen eine Aufforderung der Kommission zur Übermittlung von Dokumenten, die anhand von Suchbegriffen zu identifizieren sind, wird abgewiesen
Nach den Feststellungen des Gerichts hat Meta Platforms Ireland nicht nachweisen können, dass die Aufforderung zur Übermittlung von Dokumenten, die anhand von Suchbegriffen zu identifizieren sind, über das Erforderliche hinausging und dass der Schutz sensibler personenbezogener Daten durch die Einrichtung eines virtuellen Datenraums nicht hinreichend gewährleistet wurde
Da die Europäische Kommission den Verdacht hegte, dass der Facebook-Konzern bei seiner Verwendung von Daten und beim Betreiben seines sozialen Netzwerks wettbewerbswidrig handelte, richtete sie mit Beschluss vom 4. Mai 2020(1) ein Auskunftsverlangen an die Meta Platforms Ireland Ltd, vormals Facebook Ireland Ltd. Dieser nach Art. 18 Abs. 3 der Verordnung Nr. 1/2003(2) ergangene Beschluss verpflichtete Meta Platforms Ireland dazu, alle Dokumente, die von drei ihrer Verantwortlichen im maßgeblichen Zeitraum erstellt oder empfangen worden waren und einen oder mehrere der in den Anhängen des Beschlusses genannten Suchbegriffe enthielten, an die Kommission zu übermitteln. Für den Fall der unterlassenen Erteilung der verlangten Auskünfte wurde im Beschluss ein Zwangsgeld in Höhe von 8 Mio. Euro pro Tag angedroht(3).
Der Beschluss vom 4. Mai 2020 trat an die Stelle eines ähnlichen früheren Beschlusses, in dem weiter gefasste Suchkriterien vorgesehen waren. Durch den neuen Beschluss, der nach einem Austausch zwischen der Kommission und Meta Platforms Ireland erging, wurde die Anzahl der verlangten Dokumente verringert, indem die Suchbegriffe verfeinert und der Kreis der betroffenen Verantwortlichen begrenzt wurde.
Am 15. Juli 2020 erhob Meta Platforms Ireland eine Nichtigkeitsklage gegen den Beschluss vom 4. Mai 2020 und stellte einen Antrag auf vorläufigen Rechtsschutz.
Mit einem im Verfahren des vorläufigen Rechtsschutzes ergangenen Beschluss(4) ordnete der Präsident des Gerichts die Aussetzung der Vollziehung des Beschlusses vom 4. Mai 2020 an, und zwar bis zur Einrichtung eines speziellen Verfahrens für die Vorlage derjenigen der verlangten Dokumente, die keinen Bezug zur Geschäftstätigkeit von Meta Platforms Ireland aufweisen und darüber hinaus sensible personenbezogene Daten enthalten. Um diesem Beschluss Folge zu leisten, erließ die Kommission einen Änderungsbeschluss(5), der vorsieht, dass die fraglichen Dokumente erst zu den Untersuchungsakten genommen werden dürfen, nachdem sie in einem virtuellen Datenraum nach den Modalitäten, die in dem im Verfahren des vorläufigen Rechtsschutzes ergangenen Beschluss dargelegt werden, geprüft wurden.
Nachdem Meta Platforms Ireland ihre Klageschrift angepasst hat, um diesem Änderungsbeschluss Rechnung zu tragen, weist die Fünfte erweiterte Kammer des Gerichts ihre Klage in vollem Umfang ab. In diesem Zusammenhang prüft das Gericht zum ersten Mal die Rechtmäßigkeit eines mit Suchbegriffen verknüpften Auskunftsverlangens im Sinne der Verordnung Nr. 1/2003 sowie die Rechtmäßigkeit eines Verfahrens, das für die Bearbeitung von Dokumenten mit sensiblen personenbezogenen Daten einen virtuellen Datenraum vorsieht.
Würdigung durch das Gericht
Zur Stützung ihrer Nichtigkeitsklage machte Meta Platforms Ireland u. a. geltend, die Anwendung der im Auskunftsverlangen genannten Suchbegriffe führe unweigerlich dazu, dass zahlreiche Dokumente zusammenzutragen seien, die für die von der Kommission durchgeführte Untersuchung unerheblich seien, was dem in Art. 18 der Verordnung Nr. 1/2003 niedergelegten Grundsatz der Erforderlichkeit zuwiderlaufe.
Insoweit erinnert das Gericht daran, dass die Kommission gemäß Art. 18 Abs. 1 der Verordnung Nr. 1/2003, um die Einhaltung des Wettbewerbsrechts der Union zu kontrollieren, durch einfaches Auskunftsverlangen oder durch Beschluss von Unternehmen verlangen kann, dass sie „alle erforderlichen Auskünfte“ erteilen. Daraus folgt, dass die Kommission nur Auskünfte verlangen darf, die ihr die Prüfung der die Durchführung ihrer Untersuchung rechtfertigenden Verdachtsmomente für eine Zuwiderhandlung ermöglichen können. In Anbetracht der weiten Untersuchungsbefugnis, die die Verordnung Nr. 1/2003 der Kommission einräumt, ist diese Voraussetzung der Erforderlichkeit erfüllt, wenn die Kommission zum Zeitpunkt des Auskunftsverlangens vernünftigerweise annehmen kann, dass die Auskünfte ihr dabei helfen können, festzustellen, ob ein Verstoß gegen die Wettbewerbsregeln vorliegt.
Zur Stützung ihrer Rügen, mit denen sie die Einhaltung des Grundsatzes der Erforderlichkeit in Frage stellte, beanstandete Meta Platforms Ireland bestimmte im Auskunftsverlangen genannte Suchbegriffe, wobei sie darauf hinwies, dass diese spezifischen Beanstandungen als nicht abschließende Beispiele zu verstehen seien, die dazu dienten, ihre allgemeinere Argumentationslinie zu illustrieren. Ihrer Auffassung nach wäre es unangebracht, wenn nicht gar unmöglich gewesen, auf jeden einzelnen Suchbegriff separat einzugehen.
Diese Sichtweise wird jedoch vom Gericht zurückgewiesen. Seiner Auffassung nach ist eine globale Prüfung der Frage, ob der in Art. 18 der Verordnung Nr. 1/2003 niedergelegte Grundsatz der Erforderlichkeit eingehalten wird, im vorliegenden Fall nicht angezeigt, falls überhaupt möglich. Der Umstand, dass bestimmte Suchbegriffe, wie von Meta Platforms Ireland geltend gemacht, womöglich zu vage sind, ändert nämlich nichts daran, dass andere Suchbegriffe hinreichend genau oder zielgerichtet sein können, um die Feststellung zu erlauben, dass sie der Kommission dabei helfen können, zu ermitteln, ob ein Verstoß gegen die Wettbewerbsregeln vorliegt.
In Anbetracht der für Handlungen der Unionsorgane geltenden Vermutung der Rechtmäßigkeit befindet das Gericht daher, dass allein die von Meta Platforms Ireland konkret beanstandeten Suchbegriffe darauf geprüft werden können, ob sie dem Grundsatz der Erforderlichkeit entsprechen. Bei den übrigen Suchbegriffen muss hingegen davon ausgegangen werden, dass sie im Einklang mit diesem Grundsatz festgelegt worden sind.
Nach dem Hinweis, dass die erstmals im Stadium der Erwiderung vorgebrachten Argumente bezüglich der Suchbegriffe unzulässig sind, prüft das Gericht allein die von der Klageschrift erfassten Suchbegriffe. Insoweit stellt es fest, dass Meta Platforms Ireland nicht hat nachweisen können, dass diese Begriffe dem Grundsatz der Erforderlichkeit zuwiderlaufen. Daher weist das Gericht die verschiedenen in dieser Hinsicht vorgebrachten Argumente als unbegründet zurück.
Im Rahmen ihrer Nichtigkeitsklage machte Meta Platforms Ireland außerdem geltend, dass der Beschluss vom 4. Mai 2020 in seiner geänderten Fassung (im Folgenden: angefochtener Beschluss) insoweit, als er die Vorlage zahlreicher privater und unerheblicher Dokumente vorschreibe, das in Art. 7 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) und Art. 8 der Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) niedergelegte Grundrecht auf Achtung des Privatlebens verletze.
Hierzu führt das Gericht aus, dass nach Art. 7 der Charta (der Rechte gewährt, die den durch Art. 8 Abs. 1 EMRK verbürgten Rechten entsprechen) jede Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation hat.
Was Eingriffe in dieses Recht anbelangt, sieht Art. 52 Abs. 1 der Charta vor, dass jede Einschränkung der Ausübung der in der Charta anerkannten Rechte und Freiheiten gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten muss. Zudem dürfen Einschränkungen unter Wahrung des Grundsatzes der Verhältnismäßigkeit nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten, dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.
Anhand dieser Vorgaben prüft das Gericht, ob der durch den angefochtenen Beschluss bewirkte Eingriff in Art. 7 der Charta die in deren Art. 52 Abs. 1 genannten Voraussetzungen erfüllt.
Das Gericht stellt zunächst fest, dass die Verordnung Nr. 1/2003 die Kommission zum Erlass des angefochtenen Beschlusses ermächtigt, so dass der durch ihn bewirkte Eingriff in das Privatleben gesetzlich vorgesehen ist. Der Beschluss entspricht überdies dem Gemeinwohl dienenden Zielsetzungen der Union, und Meta Platforms Ireland hat nicht geltend gemacht, dass er den Wesensgehalt des Rechts auf Achtung des Privatlebens antastet. Sodann prüft das Gericht, ob der angefochtene Beschluss einen unverhältnismäßigen Eingriff in dieses Recht bewirkt.
Insoweit bestätigt das Gericht erstens, dass ein Auskunftsverlangen nach Art. 18 Abs. 3 der Verordnung Nr. 1/2003 eine Maßnahme darstellt, die zur Erreichung der von der Kommission verfolgten, dem Gemeinwohl dienenden Ziele (nämlich der Aufrechterhaltung der Wettbewerbsordnung nach Maßgabe der Verträge) geeignet ist.
Was zweitens die Frage anbelangt, ob der angefochtene Beschluss über das hinausgeht, was zur Erreichung der dem Gemeinwohl dienenden Ziele erforderlich ist, so weist das Gericht darauf hin, dass die Kommission nach dem Erlass des im Verfahren des vorläufigen Rechtsschutzes ergangenen Beschlusses vom 29. Oktober 2020 ein spezielles Verfahren eingerichtet hat, um die Dokumente zu bearbeiten, die von Meta Platforms Ireland vorzulegen waren, aber dem ersten Anschein nach keinen Bezug zu ihrer Geschäftstätigkeit aufwiesen und sensible personenbezogene Daten enthielten (im Folgenden: geschützte Dokumente).
Nach diesem Verfahren waren die geschützten Dokumente der Kommission auf einem separaten elektronischen Datenträger zu übermitteln und in einen virtuellen Datenraum einzustellen, auf den nur eine begrenzte Zahl von Mitgliedern des für die Untersuchung zuständigen Teams in Anwesenheit der Anwälte von Meta Platforms Ireland zugreifen durfte, um die zu den Akten zu nehmenden Dokumente auszuwählen. Für den Fall einer nicht auszuräumenden Uneinigkeit über die Einstufung eines Dokuments sieht der Änderungsbeschluss darüber hinaus ein Streitschlichtungssystem vor. Nach diesem Beschluss können die geschützten Dokumente der Kommission zudem in einer Form übermittelt werden, in der die Namen der betroffenen Personen und jegliche Angaben, die deren Identifizierung ermöglichen könnten, geschwärzt sind. Auf ein durch die Erfordernisse der Untersuchung gerechtfertigtes Verlangen der Kommission müssen ihr diese Dokumente allerdings vollständig übermittelt werden.
Im Übrigen ist unstreitig, dass einige der von der Kommission verlangten Dokumente sensible personenbezogene Daten enthielten, die möglicherweise unter die von Art. 9 der Verordnung 2016/679(6) und Art. 10 der Verordnung 2018/1725(7) erfassten Daten fielen. Die Zulässigkeit der Verarbeitung solcher Daten hängt von den drei folgenden Voraussetzungen ab:
–        Die Verarbeitung dient einem erheblichen öffentlichen Interesse mit unionsrechtlicher Grundlage;
–        die Verarbeitung muss zur Durchsetzung dieses öffentlichen Interesses erforderlich sein;
–        das Unionsrecht muss in angemessenem Verhältnis zu dem verfolgten Ziel stehen, den Wesensgehalt des Rechts auf Datenschutz wahren sowie angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsehen.
Diese Voraussetzungen sind auch für die Prüfung relevant, ob der angefochtene Beschluss, wie von Art. 52 Abs. 1 der Charta verlangt, nicht über das hinausgeht, was zur Erreichung der mit ihm verfolgten, dem Gemeinwohl dienenden Ziele erforderlich ist. Insoweit stellt das Gericht fest, dass ein Auskunftsverlangen wie der angefochtene Beschluss eine Maßnahme darstellt, die zur Erreichung der von der Kommission verfolgten, dem Gemeinwohl dienenden Ziele geeignet ist (erste Voraussetzung), und dass die Verarbeitung personenbezogener Daten, die der angefochtene Beschluss verlangt, zur Durchsetzung des damit verfolgten erheblichen öffentlichen Interesses erforderlich ist (zweite Voraussetzung).
Unter Verweis auf die Modalitäten der Übermittlung, der Einsichtnahme, der Bewertung und der Anonymisierung der geschützten Dokumente befindet das Gericht, dass die dritte der oben genannten Voraussetzungen im vorliegenden Fall ebenfalls erfüllt ist.
Nachdem das Gericht auf diese Weise ermittelt hat, dass der angefochtene Beschluss, soweit er das Verfahren der Verwendung eines virtuellen Datenraums vorsieht, nicht über das hinausgeht, was zur Erreichung der verfolgten, dem Gemeinwohl dienenden Ziele erforderlich ist, stellt es drittens fest, dass die Nachteile dieses Verfahrens auch nicht außer Verhältnis zu den verfolgten Zielen standen.
Aufgrund all dieser Erwägungen gelangt das Gericht zu dem Ergebnis, dass der durch den angefochtenen Beschluss bewirkte Eingriff in das Recht auf Achtung des Privatlebens die in Art. 52 Abs. 1 der Charta genannten Voraussetzungen erfüllt, und weist daher die Rügen, mit denen ein Verstoß gegen Art. 7 der Charta geltend gemacht wurde, zurück.
Da sich auch die weiteren Klagegründe, die von Meta Platforms Ireland vorgebracht wurden, als unbegründet erweisen, weist das Gericht die Klage in vollem Umfang ab.
1      Beschluss C(2020) 3011 final der Kommission vom 4. Mai 2020 zu einem Verfahren nach Art. 18 Abs. 3 und Art. 24 Abs. 1 Buchst. d der Verordnung (EG) Nr. 1/2003 des Rates (Sache AT.40628 – Datenbezogene Praktiken von Facebook).
2      Verordnung (EG) Nr. 1/2003 des Rates vom 16. Dezember 2002 zur Durchführung der in den Artikeln [101] und [102 AEUV] niedergelegten Wettbewerbsregeln (ABl. 2003, L 1, S. 1).
3      Am selben Tag erließ die Kommission gegenüber der Meta Platforms Ireland Ltd ein Auskunftsverlangen nach Art. 18 Abs. 3 der Verordnung (EG) Nr. 1/2003 im Rahmen ihrer parallelen Untersuchung bestimmter Praktiken in Bezug auf das Produkt „Marketplace“. Die von Meta Platforms Ireland gegen diesen Beschluss erhobene Nichtigkeitsklage wird vom Gericht mit Urteil vom selben Tag in der Rechtssache Meta Platforms Ireland/Kommission (T‑452/20) abgewiesen.
4      Beschluss vom 29. Oktober 2020, Facebook Ireland/Kommission (T‑451/20 R, nicht veröffentlicht, EU:T:2020:515).
5      Beschluss C(2020) 9231 final der Kommission vom 11. Dezember 2020.
6      Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2).
7      Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39).