Zur Datenverarbeitung durch WhatsApp

Die Klage von WhatsApp Ireland gegen den verbindlichen Beschluss 1/2021 des Europäischen Datenschutzausschusses ist zulässig. Der Beschluss stellt eine anfechtbare Handlung dar, da WhatsApp unmittelbar betroffen ist, indem er die Rechtslage des Unternehmens in qualifizierter Weise geändert hat, ohne einen Ermessensspielraum zu lassen.

Der Sachverhalt:
Nach dem Inkrafttreten der DSGVO gingen bei der irischen Aufsichtsbehörde, der Data Protection Commission, Beschwerden von Nutzern und Nichtnutzern des klagenden Messengerdienstes WhatsApp (WhatsApp Ireland Ltd) in Bezug auf die Verarbeitung personenbezogener Daten durch das Unternehmen ein. Die irische Aufsichtsbehörde leitete im Dezember 2018 von Amts wegen eine allgemeine Untersuchung über die Einhaltung der Transparenz- und Informationspflichten durch die Klägerin gegenüber Privatpersonen ein.

Im Dezember 2022 legte die irische Aufsichtsbehörde allen betroffenen nationalen Aufsichtsbehörden einen Beschlussentwurf vor, um ihre Stellungnahmen dazu einzuholen. Da über bestimmte Punkte dieses Entwurfs kein Konsens erzielt werden konnte, befasste sie den Europäischen Datenschutzausschuss (EDSA). Dieser sollte die Streitigkeit zwischen den betroffenen Aufsichtsbehörden beilegen und zu den Fragen, die Gegenstand maßgeblicher und begründeter Einsprüche waren, Stellung nehmen.

Der EDSA erließ den für alle betroffenen Aufsichtsbehörden verbindlichen Beschluss 1/2021, in dem er u.a. einen Verstoß gegen bestimmte Vorschriften der DSGVO feststellte und die irische Aufsichtsbehörde dazu verpflichtete, die geplanten Abhilfemaßnahmen, einschließlich der Höhe der Geldbußen, zu ändern. Auf dieser Grundlage erließ die irische Aufsichtsbehörde ihren endgültigen Beschluss, der an die Klägerin gerichtet war und mit dem sie gegen die Klägerin insbesondere Geldbußen i.H.v. insgesamt 225 Mio. € verhängte.

Das EuG wies die gegen den Beschluss des EDSA gerichtete Nichtigkeitsklage als unzulässig ab. Der Beschluss des EDSA sei keine anfechtbare Handlung und die Klägerin von diesem Beschluss nicht unmittelbar betroffen. Es handele sich lediglich um eine Zwischenmaßnahme, die Klägerin könne nur den endgültigen Beschluss der irischen Aufsichtsbehörde vor einem nationalen Gericht anfechten. Auf das Rechtsmittel der Klägerin hob der EuGH den Beschluss des EuG auf und verwies die Sache dorthin zurück.

Die Gründe:
Der Beschluss des EDSA stellt sehr wohl eine vor den Unionsgerichten anfechtbare Handlung dar. Er ist eine Handlung, die von einer Einrichtung der Union stammt und für Dritte, d.h. im vorliegenden Fall für die federführende irische Aufsichtsbehörde und alle anderen betroffenen Aufsichtsbehörden, verbindlich ist. Darüber hinaus legt dieser Beschluss endgültig die Position dieser Einrichtung fest und behandelt alle ihr vorgelegten Fragen erschöpfend. Daher kann ein solcher Beschluss nicht als eine Zwischenmaßnahme angesehen werden, die nicht mit einer Klage anfechtbar ist. 

Darüber hinaus war die Klägerin von diesem Beschluss auch unmittelbar betroffen, da er die Rechtslage des Unternehmens in qualifizierter Weise geändert hat, ohne den Adressaten einen Ermessensspielraum zu lassen. Denn dieser Beschluss ist für die betroffenen Aufsichtsbehörden verbindlich, insbesondere hinsichtlich der Feststellung eines Verstoßes gegen bestimmte Vorschriften der DSGVO, und diese Behörden können das Ergebnis nicht abändern. 

Die Klage war daher für zulässig zu erklären, und der Beschluss des EuG aufzuheben. Die Sache war an das EuG zurückzuverweisen, damit dieses in der Sache entscheidet, einschließlich der Frage, ob die Klägerin gegen die betreffenden Bestimmungen der DSGVO verstoßen hat.

Mehr zum Thema:

Beratermodul Computer und Recht - CR
Otto Schmidt Answers ist in diesem Modul mit 5 Prompts am Tag enthalten! Nutzen Sie die Inhalte in diesem Modul direkt mit der KI von Otto Schmidt. Start-Abo: 3 Monate nutzen, nur 2 Monate zahlen! Komfortabel, vergünstigt, flexibel.