Generalanwältin (GA) Tamara Ćapeta empfiehlt dem EuGH in ihren Schlussanträgen vom 27. März 2025 (Rs. C-97/23 P - WhatsApp/EDSA), die Nichtigkeitsklage von WhatsApp gegen einen verbindlichen Beschluss des Europäischen Datenschutzausschusses (EDSA) nach Art. 65 DSGVO für zulässig zu erklären. Das Gericht der EU (EuG) hatte die Klage zuvor als unzulässig abgewiesen. Die GA argumentiert, dass ein solcher EDSA-Beschluss eine anfechtbare Handlung (Art. 263 Abs. 1 AEUV) darstellt, da er für die nationale Aufsichtsbehörde (hier die irische DPC) bindend ist und die endgültige Position des EDSA festlegt. WhatsApp sei auch unmittelbar betroffen (Art. 263 Abs. 4 AEUV), da der Beschluss seine Rechtsstellung direkt beeinflusst und der nationalen Behörde bezüglich der Umsetzung der EDSA-Vorgaben kein Ermessen lässt.
Warum ist das wichtig?
Folgt der EuGH, können Unternehmen nicht nur die zentralen Vorgaben des EDSA direkt auf EU-Ebene angreifen, sondern sie müssen dies nach der TWD-Rechtsprechung voraussichtlich auch tun, um ihre Rechte zu wahren. Andernfalls riskieren sie, die Gültigkeit der EDSA-Vorgaben später im nationalen Verfahren gegen den Bescheid der Datenschutzbehörde (in den vom EDSA vorgegebenen Teilen) nicht mehr bestreiten zu können. Dies betrifft unmittelbar die Prozessstrategie betroffener Unternehmen.
Was sind die praktischen Auswirkungen dieser Schlussanträge?
Sollte der EuGH der Generalanwältin folgen, hätte dies bedeutende praktische Konsequenzen, insbesondere eine Beschleunigung der Rechtsklärung auf EU-Ebene. Die Möglichkeit, verbindliche EDSA-Beschlüsse nach Art. 65 DSGVO direkt beim Gericht der EU (EuG) anzufechten, würde es Unternehmen erlauben, die Rechtmäßigkeit zentraler Weichenstellungen des EDSA zeitnah überprüfen zu lassen. Damit müsste nicht mehr der potenziell jahrelange Weg durch nationale Instanzen abgewartet werden, bis eventuell ein letztinstanzliches Gericht eine Vorlage nach Art. 267 AEUV an den EuGH richtet. Darüber hinaus ist die Direktklage nach der TWD Textilwerke Deggendorf-Rechtsprechung nicht nur eine Option, sondern oft eine Notwendigkeit: Nur durch die fristgerechte Nichtigkeitsklage beim EuG können Unternehmen sicherstellen, dass sie die Gültigkeit des EDSA-Beschlusses überhaupt noch in Frage stellen können, wenn sie später den darauf basierenden nationalen Bescheid (in den Teilen, die durch den EDSA-Beschluss gebunden sind) anfechten. Dies ist essenziell, da nationale Gerichte die Gültigkeit von EU-Rechtsakten nicht selbst für ungültig erklären können und eine indirekte Anfechtung via Vorabentscheidungsverfahren (Art. 267 AEUV) nach Ablauf der Klagefrist für die Direktklage (Art. 263 Abs. 6 AEUV) oft ausgeschlossen ist, wenn die Direktklage möglich gewesen wäre. Praktiker müssen Mandanten in solchen Fällen dringend beraten, parallel zur Anfechtung des nationalen Bescheids vor den nationalen Gerichten unbedingt fristgerecht Nichtigkeitsklage gegen den EDSA-Beschluss beim EuG zu erheben, um keine Rechte zu verlieren. Die klare Trennung der GA zwischen den Kriterien für eine "anfechtbare Handlung" (Art. 263 Abs. 1 AEUV) und der "unmittelbaren Betroffenheit" (Art. 263 Abs. 4 AEUV) sowie ihre Analyse des fehlenden Ermessens der nationalen Behörde bei der Umsetzung der EDSA-Vorgaben sind hierbei wegweisend und könnten die Rechtsprechung zu mehrstufigen Verwaltungsverfahren prägen.
Was war der Hintergrund?
Auslöser war eine Untersuchung der irischen Datenschutzbehörde (Data Protection Commission - DPC) gegen WhatsApp Ireland Ltd. wegen möglicher Verstöße gegen Transparenzpflichten der DSGVO im Zusammenhang mit dessen Datenschutzrichtlinie von 2018. Da es sich um eine grenzüberschreitende Datenverarbeitung handelte, übermittelte die DPC als federführende Aufsichtsbehörde (LSA) ihren Beschlussentwurf im Rahmen des Kohärenzverfahrens (Art. 60 DSGVO) an die anderen betroffenen nationalen Aufsichtsbehörden (CSAs). Mehrere CSAs, darunter die Behörden aus Deutschland, Frankreich und Italien, erhoben maßgebliche und begründete Einwände gegen den Entwurf, denen die DPC jedoch nicht folgen wollte.
Gemäß Art. 65 Abs. 1 lit. a DSGVO legte die DPC die Angelegenheit daraufhin dem Europäischen Datenschutzausschuss (EDSA) zur Streitbeilegung vor. Der EDSA erließ am 28. Juli 2021 einen für die DPC verbindlichen Beschluss (Nr. 1/2021). Dieser wies die DPC an, ihren Entwurf in wesentlichen Punkten zu ändern, u.a. festzustellen, dass von WhatsApp verwendete "Lossy-Hash-Daten" personenbezogene Daten darstellen, zusätzliche DSGVO-Verstöße (Art. 5, 13, 14) anzunehmen und die geplante Geldbuße erheblich zu erhöhen. Die DPC passte ihren finalen nationalen Beschluss entsprechend an und erließ ihn am 20. August 2021. WhatsApp erhob daraufhin Nichtigkeitsklage gegen den EDSA-Beschluss beim Gericht der EU (EuG). Das EuG wies die Klage jedoch mit Beschluss vom 7. Dezember 2022 (T-709/21) als unzulässig ab. WhatsApp legte gegen diesen Beschluss des EuG Rechtsmittel beim EuGH ein (C-97/23 P).
Was schlägt die Generalanwältin vor?
Generalanwältin Ćapeta schlägt dem EuGH vor, das Rechtsmittel von WhatsApp stattzugeben, den Beschluss des EuG aufzuheben und die Klage für zulässig zu erklären. Ihre zentralen juristischen Argumente sind:
Anfechtbare Handlung (Art. 263 Abs. 1 AEUV)
Ein EDSA-Beschluss nach Art. 65 DSGVO ist eine anfechtbare Handlung. Entscheidend ist, dass er die endgültige Position des EDSA darstellt und verbindliche Rechtswirkungen nach außen – gegenüber der nationalen Aufsichtsbehörde (LSA) – erzeugt. Ob er eine "Zwischenmaßnahme" im Gesamtverfahren ist oder direkt gegen den Kläger durchsetzbar ist, sei irrelevant. Das EuG habe hier Kriterien verwechselt.
Unmittelbare Betroffenheit (Art. 263 Abs. 4 AEUV)
WhatsApp ist unmittelbar betroffen. Der EDSA-Beschluss wirkt sich direkt auf die Rechtsstellung von WhatsApp aus (z.B. Feststellung von Verstößen, Basis für höheres Bußgeld). Die LSA hat bezüglich der vom EDSA entschiedenen Punkte kein Ermessen bei der Umsetzung; diese erfolgt rein automatisch. Dass die LSA bei anderen Punkten Ermessen hat oder der EDSA-Beschluss nicht der "letzte Schritt" ist, ändere nichts an der unmittelbaren Betroffenheit durch die vom EDSA getroffenen Festlegungen.
Rechtsschutzsystem
Die Logik des EU-Rechtsschutzsystems, wie sie in der TWD-Rechtsprechung zum Ausdruck kommt, macht eine Direktklage für klagebefugte Personen faktisch zur Pflicht. Wird die Direktklage nicht fristgerecht erhoben, kann die Gültigkeit des EU-Aktes später vor nationalen Gerichten nicht mehr inzident in Frage gestellt werden (Präklusion).
