EuG, Urt. 29.1.2025 - T-70/23, T-84/23 und T-111/23
Zuständigkeit des EDSA
Autor: RAin, FAin IT‑Recht Maria-Urania Dovas, LL.M., Langwieser Rechtsanwälte, München
Aus: IT-Rechtsberater, Heft 05/2025
Aus: IT-Rechtsberater, Heft 05/2025
Dass die Möglichkeit besteht, ein nationales Gericht mit einem datenschutzrechtlichen Problem zu befassen, bedeutet nicht, dass anhaltende Meinungsverschiedenheiten zwischen den betroffenen Aufsichtsbehörden über Fragen, die Gegenstand maßgeblicher und begründeter Einsprüche waren, nicht im Rahmen des EDSA gelöst werden können.
DSGVO Art. 4 Nr. 24, 65 Abs. 1 lit. a, 65 Abs. 6
Beschlussentwurf:Ein Einspruch gegen einen Beschlussentwurf gem. Art. 65 Abs. 1 Buchst. a DSGVO sei nicht auf die darin enthaltenen Erwägungen beschränkt. Der verbindliche Beschluss des EDSA könne eine Weisung an die federführende Aufsichtsbehörde enthalten, eine fehlende Analyse nachzuholen und, wenn dies in Anbetracht der dem EDSA vorliegenden Akte erforderlich erscheine, die bis dahin durchgeführte Untersuchung zu diesem Zweck zu vertiefen oder auszuweiten. Der EDSA müsse der zuständigen federführenden Aufsichtsbehörde eine Ergänzung der Untersuchung aufgeben können. In Art. 65 Abs. 1 DSGVO seien verschiedene Arten von verbindlichen Beschlüssen des EDSA vorgesehen, mit denen nicht zwangsläufig ein sich daran anschließender, unverzüglicher Erlass eines endgültigen Beschlusses einer Aufsichtsbehörde verbunden sei.
Maßgeblicher und begründeter Einspruch:Ein maßgeblicher und begründeter Einspruch des EDSA gegen einen Beschlussentwurf räume dem EDSA nicht allein unter der Voraussetzung, dass die von einer betroffenen Aufsichtsbehörde aufgeworfene Frage als maßgeblicher und begründeter Einspruch in diesem Sinne eingestuft werde, die Möglichkeit ein, der federführenden Aufsichtsbehörde Weisungen im Hinblick auf alle ihre Befugnisse zu erteilen. Es sei von einer Zuständigkeit des EDSA zum Erlass von Weisungen wie den angefochtenen auszugehen, mit denen der nationalen Aufsichtsbehörde aufgegeben werde, eine neuerliche Untersuchung zu bestimmten Aspekten der in Rede stehenden Fälle durchzuführen und diesbezüglich anschließend neue Beschlussentwürfe anzunehmen.
Kohärenzverfahren:Die Einleitung des vom EDSA gewährleisteten Kohärenzverfahrens sei keine „Einbahnstraße“, in der die Schritte stets in der Reihenfolge der Bestimmungen, in denen sie vorgesehen seien, aufeinander folgten, ohne dass die Möglichkeit bestehe, zu einem früheren Schritt zurückzukehren oder vorübergehend im selben Stadium zu verweilen. Das Verfahren könne sich, wenn die federführende Aufsichtsbehörde selbst beabsichtige, sich den Einsprüchen anderer betroffener Aufsichtsbehörden gegen ihren vorgelegten Beschlussentwurf anzuschließen, und diesen Behörden einen überarbeiteten Beschlussentwurf vorlege, auf verschiedene Arten entwickeln. Lege keine dieser Behörden Einspruch gegen den überarbeiteten Beschlussentwurf ein, werde der endgültige Beschluss anschließend unmittelbar erlassen. Wenn Einsprüche gegen den überarbeiteten Entwurf eingelegt würden und falls die federführende Aufsichtsbehörde mit diesen ganz oder teilweise einverstanden sei, habe die federführende Aufsichtsbehörde unter Berücksichtigung der von ihr gebilligten Einsprüche einen neuen überarbeiteten Beschlussentwurf vorzulegen. Sei die federführende Aufsichtsbehörde mit den Einsprüchen gegen den überarbeiteten Entwurf zur Gänze oder mit Teilen von ihnen nicht einverstanden, habe sie das Kohärenzverfahren einzuleiten, indem sie den EDSA auf Grundlage des am weitesten fortgeschrittenen Beschlussentwurfs befasse. Sie könne auf Einsprüche anderer Aufsichtsbehörden gegen ihren vorgelegten Beschlussentwurf hin von sich aus zu dem Schluss kommen, dass es angezeigt sei, anstatt ohne Weiteres einen überarbeiteten Beschlussentwurf vorzulegen oder das Kohärenzverfahren einzuleiten, einen Schritt zurückzugehen und die Prüfung zu vertiefen, bevor ein neuer Beschlussentwurf vorgelegt werde. Die Analyse der Bedingungen, unter denen eine Verarbeitung personenbezogener Daten vorgenommen werde, sowie der Frage, ob sie im Einklang mit dieser Verordnung erfolge, dürfe sich daher nicht darauf beschränken, was mit der Beschwerde eines Beschwerdeführers aufgezeigt werde.
Kein Ausschluss des Kohärenzverfahrens durch Anrufung nationaler Gerichte:Der Umstand, dass infolge einer Beschwerde ergangene Zwischenbeschlüsse vor den nationalen Gerichten angefochten werden können, verhindere nicht, dass der Beschlussentwurf der federführenden Aufsichtsbehörde seinerseits innerhalb der materiellen Grenzen des durch die DSGVO eingeführten Kohärenzverfahrens Gegenstand einer Kontrolle durch den EDSA sein könne. Die Zusammenarbeit zwischen den betroffenen Aufsichtsbehörden beziehe sich u.a. auf die Analyse des gesamten Falls und die Ausarbeitung des Beschlusses und die federführende Aufsichtsbehörde habe insoweit das Einvernehmen mit den anderen Aufsichtsbehörden zu suchen. Die Frage des Umfangs der vorzunehmenden Analyse oder ggf. des Umfangs der vorab durchzuführenden Untersuchung sei nicht von dieser Pflicht zur Zusammenarbeit auszunehmen. Es könnte, wenn der EDSA ein Problem im Zusammenhang mit dem Umfang der von der federführenden Aufsichtsbehörde angestellten Analyse nicht entscheiden dürfte, ein nationales Gericht diese Aufgabe übernehmen. Die DSGVO sehe jedoch vor, dass mit einem maßgeblichen und begründeten Einspruch einer betroffenen Aufsichtsbehörde aufgeworfene Probleme zwischen Aufsichtsbehörden im Rahmen des Verfahrens der Zusammenarbeit sowie ggf. im Rahmen des Kohärenzverfahrens gelöst würden. Die Möglichkeit, ein nationales Gericht mit einem Problem dieser Art zu befassen, könne nicht dazu führen, dass anhaltende Meinungsverschiedenheiten zwischen den betroffenen Aufsichtsbehörden über Fragen, die Gegenstand maßgeblicher und begründeter Einsprüche gewesen seien, nicht im Rahmen des EDSA gelöst werden könnten. Der Unionsgesetzgeber habe entschieden, dass anhaltende Meinungsverschiedenheiten zwischen den betroffenen Aufsichtsbehörden über den Umfang der Analyse eines Falls im Rahmen des Kohärenzverfahrens innerhalb des EDSA geschlichtet würden. Das Vorbringen der nationalen Aufsichtsbehörde, dass die nationalen Gerichte der „geeignete Gerichtsstand“ für die Prüfung von Einwänden im Zusammenhang mit der Untersuchung seien, gehe ins Leere. Sowohl ein nationales Gericht als auch der EDSA könnten dazu berufen sein, sich zum Umfang der Analyse und der Untersuchung zu äußern.
Keine Vorgabe zur Priorisierung:Ein verbindlicher Beschluss des EDSA, mit dem der nationalen Aufsichtsbehörde die Ausweitung ihrer Analyse und ihrer Untersuchung aufgegeben werde, stelle nicht in Frage, dass sie als unabhängige Behörde Prioritäten hinsichtlich der Erfüllung ihrer verschiedenen Aufgaben setzen könne, was zu kontrollieren allein Sache des nationalen Gerichts sei. Ein solcher Beschluss stelle auch nicht ganz allgemein ihre Unabhängigkeit in Frage. Die federführende Aufsichtsbehörde sei nicht verpflichtet, einer Ergänzung ihrer Analyse unter Hintanstellung aller anderen Angelegenheiten Vorrang einzuräumen. Sie könne ankündigen, dass ein erster von ihr angenommener Beschlussentwurf oder ein erster von ihr erlassener Beschluss nur einen Teil der sich aus dem in Rede stehenden Fall ergebenden Fragen behandle und sie ihre Analysen und ihre Untersuchung zu einem späteren Zeitpunkt fortsetzen werde. Nur wenn dringender Handlungsbedarf bestehe, um Rechte und Freiheiten betroffener Personen zu schützen, könne die federführende Aufsichtsbehörde durch einen verbindlichen Beschluss des EDSA im Dringlichkeitsverfahren verpflichtet werden, die Rangfolge ihrer Prioritäten unverzüglich zu überprüfen, um sich mit einem Fall zu befassen.
Unabhängigkeit des EDSA:Es bestehe keine absolute Unabhängigkeit i.S.d. Fehlens jeglicher Kontrolle über die Behörden der Mitgliedstaaten, die in erster Linie mit der Überwachung der Vorschriften zum Schutz personenbezogener Daten betraut seien. Wichtig sei, dass die die Aufsichtsbehörden überwachenden Stellen selbst unabhängig seien. Dies sei für den EDSA der Fall, da er aus Aufsichtsbehörden der Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten bestehe, bei dem es sich wiederum um eine gegenüber den von ihr überwachten Organen und anderen Behörden der Union unabhängige Behörde handle.
Keine Einschränkung der Rechte Betroffener:Eine Ausweitung der Untersuchung, die im Rahmen des EDSA notwendigerweise von mindestens der Hälfte der Aufsichtsbehörden angeordnet werde, ziele nicht darauf ab, die Obliegenheiten einer Person, die eine Beschwerde eingereicht habe, oder diejenigen eines Verantwortlichen, gegen den sich die Beschwerde richte, zu erschweren, sondern stelle eine Maßnahme zur Verteidigung ihrer jeweiligen Rechte dar.
DSGVO Art. 4 Nr. 24, 65 Abs. 1 lit. a, 65 Abs. 6
Das Problem
Es geht um das unzureichende Tätigwerden der irischen Datenschutzaufsichtsbehörde gegenüber großen Tech-Unternehmen, die ihren Sitz in Irland haben und die nach Ansicht des EDSA, nicht aber der irischen Datenschutzaufsichtsbehörde, gegen die DSGVO verstießen. Nachdem die irische Aufsichtsbehörde im EDSA überstimmt wurde, erhob sie Klage zum EuG, mit der Begründung, der EDSA habe die ihm durch Art. 65 Abs. 1 Buchst. a DSGVO übertragene Zuständigkeit überschritten, indem er der irischen Datenschutzaufsichtsbehörde in jedem der in Rede stehenden verbindlichen Beschlüsse zum einen aufgegeben habe, eine neuerliche Untersuchung zu noch nicht geprüften Aspekten durchzuführen, zum anderen, auf Grundlage der Ergebnisse dieser neuerlichen Untersuchung einen ergänzenden Beschlussentwurf gem. Art. 60 Abs. 3 DSGVO vorzulegen.Die Entscheidung des Gerichts
Das EuG wies die Klage ab.Beschlussentwurf:Ein Einspruch gegen einen Beschlussentwurf gem. Art. 65 Abs. 1 Buchst. a DSGVO sei nicht auf die darin enthaltenen Erwägungen beschränkt. Der verbindliche Beschluss des EDSA könne eine Weisung an die federführende Aufsichtsbehörde enthalten, eine fehlende Analyse nachzuholen und, wenn dies in Anbetracht der dem EDSA vorliegenden Akte erforderlich erscheine, die bis dahin durchgeführte Untersuchung zu diesem Zweck zu vertiefen oder auszuweiten. Der EDSA müsse der zuständigen federführenden Aufsichtsbehörde eine Ergänzung der Untersuchung aufgeben können. In Art. 65 Abs. 1 DSGVO seien verschiedene Arten von verbindlichen Beschlüssen des EDSA vorgesehen, mit denen nicht zwangsläufig ein sich daran anschließender, unverzüglicher Erlass eines endgültigen Beschlusses einer Aufsichtsbehörde verbunden sei.
Maßgeblicher und begründeter Einspruch:Ein maßgeblicher und begründeter Einspruch des EDSA gegen einen Beschlussentwurf räume dem EDSA nicht allein unter der Voraussetzung, dass die von einer betroffenen Aufsichtsbehörde aufgeworfene Frage als maßgeblicher und begründeter Einspruch in diesem Sinne eingestuft werde, die Möglichkeit ein, der federführenden Aufsichtsbehörde Weisungen im Hinblick auf alle ihre Befugnisse zu erteilen. Es sei von einer Zuständigkeit des EDSA zum Erlass von Weisungen wie den angefochtenen auszugehen, mit denen der nationalen Aufsichtsbehörde aufgegeben werde, eine neuerliche Untersuchung zu bestimmten Aspekten der in Rede stehenden Fälle durchzuführen und diesbezüglich anschließend neue Beschlussentwürfe anzunehmen.
Kohärenzverfahren:Die Einleitung des vom EDSA gewährleisteten Kohärenzverfahrens sei keine „Einbahnstraße“, in der die Schritte stets in der Reihenfolge der Bestimmungen, in denen sie vorgesehen seien, aufeinander folgten, ohne dass die Möglichkeit bestehe, zu einem früheren Schritt zurückzukehren oder vorübergehend im selben Stadium zu verweilen. Das Verfahren könne sich, wenn die federführende Aufsichtsbehörde selbst beabsichtige, sich den Einsprüchen anderer betroffener Aufsichtsbehörden gegen ihren vorgelegten Beschlussentwurf anzuschließen, und diesen Behörden einen überarbeiteten Beschlussentwurf vorlege, auf verschiedene Arten entwickeln. Lege keine dieser Behörden Einspruch gegen den überarbeiteten Beschlussentwurf ein, werde der endgültige Beschluss anschließend unmittelbar erlassen. Wenn Einsprüche gegen den überarbeiteten Entwurf eingelegt würden und falls die federführende Aufsichtsbehörde mit diesen ganz oder teilweise einverstanden sei, habe die federführende Aufsichtsbehörde unter Berücksichtigung der von ihr gebilligten Einsprüche einen neuen überarbeiteten Beschlussentwurf vorzulegen. Sei die federführende Aufsichtsbehörde mit den Einsprüchen gegen den überarbeiteten Entwurf zur Gänze oder mit Teilen von ihnen nicht einverstanden, habe sie das Kohärenzverfahren einzuleiten, indem sie den EDSA auf Grundlage des am weitesten fortgeschrittenen Beschlussentwurfs befasse. Sie könne auf Einsprüche anderer Aufsichtsbehörden gegen ihren vorgelegten Beschlussentwurf hin von sich aus zu dem Schluss kommen, dass es angezeigt sei, anstatt ohne Weiteres einen überarbeiteten Beschlussentwurf vorzulegen oder das Kohärenzverfahren einzuleiten, einen Schritt zurückzugehen und die Prüfung zu vertiefen, bevor ein neuer Beschlussentwurf vorgelegt werde. Die Analyse der Bedingungen, unter denen eine Verarbeitung personenbezogener Daten vorgenommen werde, sowie der Frage, ob sie im Einklang mit dieser Verordnung erfolge, dürfe sich daher nicht darauf beschränken, was mit der Beschwerde eines Beschwerdeführers aufgezeigt werde.
Kein Ausschluss des Kohärenzverfahrens durch Anrufung nationaler Gerichte:Der Umstand, dass infolge einer Beschwerde ergangene Zwischenbeschlüsse vor den nationalen Gerichten angefochten werden können, verhindere nicht, dass der Beschlussentwurf der federführenden Aufsichtsbehörde seinerseits innerhalb der materiellen Grenzen des durch die DSGVO eingeführten Kohärenzverfahrens Gegenstand einer Kontrolle durch den EDSA sein könne. Die Zusammenarbeit zwischen den betroffenen Aufsichtsbehörden beziehe sich u.a. auf die Analyse des gesamten Falls und die Ausarbeitung des Beschlusses und die federführende Aufsichtsbehörde habe insoweit das Einvernehmen mit den anderen Aufsichtsbehörden zu suchen. Die Frage des Umfangs der vorzunehmenden Analyse oder ggf. des Umfangs der vorab durchzuführenden Untersuchung sei nicht von dieser Pflicht zur Zusammenarbeit auszunehmen. Es könnte, wenn der EDSA ein Problem im Zusammenhang mit dem Umfang der von der federführenden Aufsichtsbehörde angestellten Analyse nicht entscheiden dürfte, ein nationales Gericht diese Aufgabe übernehmen. Die DSGVO sehe jedoch vor, dass mit einem maßgeblichen und begründeten Einspruch einer betroffenen Aufsichtsbehörde aufgeworfene Probleme zwischen Aufsichtsbehörden im Rahmen des Verfahrens der Zusammenarbeit sowie ggf. im Rahmen des Kohärenzverfahrens gelöst würden. Die Möglichkeit, ein nationales Gericht mit einem Problem dieser Art zu befassen, könne nicht dazu führen, dass anhaltende Meinungsverschiedenheiten zwischen den betroffenen Aufsichtsbehörden über Fragen, die Gegenstand maßgeblicher und begründeter Einsprüche gewesen seien, nicht im Rahmen des EDSA gelöst werden könnten. Der Unionsgesetzgeber habe entschieden, dass anhaltende Meinungsverschiedenheiten zwischen den betroffenen Aufsichtsbehörden über den Umfang der Analyse eines Falls im Rahmen des Kohärenzverfahrens innerhalb des EDSA geschlichtet würden. Das Vorbringen der nationalen Aufsichtsbehörde, dass die nationalen Gerichte der „geeignete Gerichtsstand“ für die Prüfung von Einwänden im Zusammenhang mit der Untersuchung seien, gehe ins Leere. Sowohl ein nationales Gericht als auch der EDSA könnten dazu berufen sein, sich zum Umfang der Analyse und der Untersuchung zu äußern.
Keine Vorgabe zur Priorisierung:Ein verbindlicher Beschluss des EDSA, mit dem der nationalen Aufsichtsbehörde die Ausweitung ihrer Analyse und ihrer Untersuchung aufgegeben werde, stelle nicht in Frage, dass sie als unabhängige Behörde Prioritäten hinsichtlich der Erfüllung ihrer verschiedenen Aufgaben setzen könne, was zu kontrollieren allein Sache des nationalen Gerichts sei. Ein solcher Beschluss stelle auch nicht ganz allgemein ihre Unabhängigkeit in Frage. Die federführende Aufsichtsbehörde sei nicht verpflichtet, einer Ergänzung ihrer Analyse unter Hintanstellung aller anderen Angelegenheiten Vorrang einzuräumen. Sie könne ankündigen, dass ein erster von ihr angenommener Beschlussentwurf oder ein erster von ihr erlassener Beschluss nur einen Teil der sich aus dem in Rede stehenden Fall ergebenden Fragen behandle und sie ihre Analysen und ihre Untersuchung zu einem späteren Zeitpunkt fortsetzen werde. Nur wenn dringender Handlungsbedarf bestehe, um Rechte und Freiheiten betroffener Personen zu schützen, könne die federführende Aufsichtsbehörde durch einen verbindlichen Beschluss des EDSA im Dringlichkeitsverfahren verpflichtet werden, die Rangfolge ihrer Prioritäten unverzüglich zu überprüfen, um sich mit einem Fall zu befassen.
Unabhängigkeit des EDSA:Es bestehe keine absolute Unabhängigkeit i.S.d. Fehlens jeglicher Kontrolle über die Behörden der Mitgliedstaaten, die in erster Linie mit der Überwachung der Vorschriften zum Schutz personenbezogener Daten betraut seien. Wichtig sei, dass die die Aufsichtsbehörden überwachenden Stellen selbst unabhängig seien. Dies sei für den EDSA der Fall, da er aus Aufsichtsbehörden der Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten bestehe, bei dem es sich wiederum um eine gegenüber den von ihr überwachten Organen und anderen Behörden der Union unabhängige Behörde handle.
Keine Einschränkung der Rechte Betroffener:Eine Ausweitung der Untersuchung, die im Rahmen des EDSA notwendigerweise von mindestens der Hälfte der Aufsichtsbehörden angeordnet werde, ziele nicht darauf ab, die Obliegenheiten einer Person, die eine Beschwerde eingereicht habe, oder diejenigen eines Verantwortlichen, gegen den sich die Beschwerde richte, zu erschweren, sondern stelle eine Maßnahme zur Verteidigung ihrer jeweiligen Rechte dar.