Rechtsprechung
WhatsApp Ireland/ Europäischer Datenschutzausschuss
ECLI:EU:T:2026:435
- Gericht
- Gericht der Europäischen Union
- Aktenzeichen
- T-709/21 RENV, T-709/21
- Datum
- 06.07.2026
- Dokumenttyp
- Beschluss
BESCHLUSS DES GERICHTS (Vierte erweiterte Kammer)
7. Dezember 2022(*)
„Nichtigkeitsklage – Schutz personenbezogener Daten – Beschlussentwurf der federführenden Aufsichtsbehörde – Beilegung der Streitigkeiten zwischen Aufsichtsbehörden durch den Europäischen Datenschutzausschuss – Verbindlicher Beschluss – Art. 60 Abs. 4 und Art. 65 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 – Nicht anfechtbare Handlung – Vorbereitende Maßnahme – Keine unmittelbare Betroffenheit“
In der Rechtssache T‑709/21,
WhatsApp Ireland Ltd mit Sitz in Dublin (Irland), vertreten durch Rechtsanwälte H.‑G. Kamann, F. Louis und Rechtsanwältin A. Vallery, durch P. Nolan, B. Johnston und C. Monaghan, Solicitors, sowie durch P. Sreenan, D. McGrath, SC, C. Geoghegan und E. Egan McGrath, Barristers,
Klägerin,
gegen
Europäischer Datenschutzausschuss, vertreten durch I. Vereecken und G. Le Grand als Bevollmächtigte im Beistand der Rechtsanwälte G. Ryelandt, E. de Lophem und P. Vernet,
Beklagter,
erlässt
DAS GERICHT (Vierte erweiterte Kammer)
zum Zeitpunkt der Beratung unter Mitwirkung des Präsidenten S. Gervasoni, der Richter L. Madise (Berichterstatter) und P. Nihoul, der Richterin R. Frendo und des Richters J. Martín y Pérez de Nanclares,
Kanzler: E. Coulon,
aufgrund des schriftlichen Verfahrens, nämlich:
– der am 1. November 2021 bei der Kanzlei des Gerichts eingegangenen Klageschrift,
– der am 1. Februar 2022 bei der Kanzlei des Gerichts eingegangenen Klagebeantwortung,
– der am 9. Mai 2022 bei der Kanzlei des Gerichts eingegangenen Erwiderung,
– der am 18. Juli 2022 bei der Kanzlei des Gerichts eingegangenen Gegenerwiderung,
– der verfahrensleitenden Maßnahme, mit der das Gericht die Parteien aufgefordert hat, in der Erwiderung und der Gegenerwiderung zu allen wichtigen die Zuständigkeit des Gerichts und die Zulässigkeit der Klage betreffenden Fragen Stellung zu nehmen,
folgenden
Beschluss
1 Mit ihrer auf Art. 263 AEUV gestützten Klage beantragt die Klägerin WhatsApp Ireland Ltd (im Folgenden WhatsApp) die Nichtigerklärung des verbindlichen Beschlusses 1/2021 des Europäischen Datenschutzausschusses (im Folgenden: EDSA) vom 28. Juli 2021 zur Streitigkeit zwischen den betroffenen Aufsichtsbehörden (im Folgenden angefochtener Beschluss) im Nachgang zu dem von der Data Protection Commission (Aufsichtsbehörde für den Schutz personenbezogener Daten natürlicher Personen, Irland, im Folgenden: irische Aufsichtsbehörde) erstellten und WhatsApp betreffenden Beschlussentwurf.
Sachverhalt vor und nach dem angefochtenen Beschluss und Verfahren
2 Nach dem Inkrafttreten der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2) erhielt die irische Aufsichtsbehörde Beschwerden von Nutzern und Nichtnutzern des Messengerdienstes „WhatsApp“ über die Verarbeitung personenbezogener Daten durch WhatsApp. Die deutsche Bundesaufsichtsbehörde ersuchte außerdem die irische Aufsichtsbehörde um Unterstützung bei der Prüfung, ob WhatsApp die Transparenzanforderungen erfüllt, die die für die Verarbeitung personenbezogener Daten Verantwortlichen in Bezug auf die etwaige Weitergabe solcher Daten an andere Unternehmen des Konzerns Facebook (der im September 2021 in Meta umbenannt wurde) treffen.
3 Die irische Aufsichtsbehörde leitete unbeschadet der Schritte, die sie aufgrund der bei ihr eingegangenen Einzelbeschwerden einleiten könnte, im Dezember 2018 von Amts wegen eine allgemeine Untersuchung darüber ein, ob WhatsApp die in den Art. 12, 13 und 14 der Verordnung 2016/679 festgelegten Transparenz- und Informationspflichten gegenüber Einzelpersonen (im Gegensatz zu Unternehmen) erfüllt. Die irische Aufsichtsbehörde handelte hierbei, wie in Art. 56 Abs. 1 der Verordnung 2016/679 vorgesehen, als „federführende Aufsichtsbehörde“, da WhatsApp als Verantwortlicher für den Betrieb des Messengerdienstes „WhatsApp“ in Europa seine Hauptniederlassung in Irland und die fragliche Verarbeitung grenzüberschreitenden Charakter hat.
4 Nachdem die Ermittlungsphase im September 2019 mit der Vorlage eines Abschlussberichts des Ermittlers beendet worden war, legte die entscheidungsbefugte Person der irischen Aufsichtsbehörde nach zwischengeschalteten Verfahrensabschnitten, in deren Verlauf WhatsApp ihre Stellungnahmen abgab, im Dezember 2020 allen anderen von dieser Sache betroffenen Aufsichtsbehörden, d. h. allen anderen Aufsichtsbehörden der Mitgliedstaaten, einen Beschlussentwurf vor, um gemäß Art. 60 Abs. 3 der Verordnung 2016/679 deren Stellungnahmen dazu einzuholen.
5 Im Januar 2021 erhoben acht dieser Aufsichtsbehörden, nämlich die deutsche Bundesaufsichtsbehörde, die baden-württembergische, die ungarische, die niederländische, die polnische, die französische, die italienische und die portugiesische Aufsichtsbehörde, Einwände gegen bestimmte Punkte des Beschlussentwurfs. Darüber hinaus gaben verschiedene Aufsichtsbehörden einfache Kommentare ab. Die irische Aufsichtsbehörde antwortete den anderen betroffenen Aufsichtsbehörden gemeinsam und schlug Kompromisslösungen vor. Zwar zog eine der Aufsichtsbehörden nach dieser Antwort einen ihrer Einwände zurück, doch die irische Aufsichtsbehörde stellte fest, dass zwischen den betroffenen Aufsichtsbehörden kein Konsens über ihre Vorschläge zu den anderen Punkten, gegen die Einwände erhoben worden waren, erzielt werden konnte, und beschloss, alle diese Einwände zurückzuweisen und gemäß Art. 60 Abs. 4 und Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 den EDSA zur Beilegung des Streits zwischen den betroffenen Aufsichtsbehörden über diese Punkte anzurufen.
6 Im Mai 2021 holte die irische Aufsichtsbehörde die schriftlichen Stellungnahmen von WhatsApp zu den zwischen den betroffenen Aufsichtsbehörden strittigen Punkten ein, nachdem sie dem Unternehmen alle diesbezüglich ausgetauschten Unterlagen übermittelt hatte, und übermittelte ihrerseits dem EDSA diese Stellungnahmen zur Kenntnisnahme im Rahmen des Streitbeilegungsverfahrens, das von ihr im Juni 2021 eingeleitet worden war.
7 Der EDSA, der sich nach Art. 68 Abs. 3 der Verordnung 2016/679 aus „dem Leiter der Aufsichtsbehörde jedes Mitgliedstaats und dem Europäischen Datenschutzbeauftragten oder ihren jeweiligen Vertretern“ zusammensetzt, erließ, wie in Art. 65 Abs. 2 der Verordnung 2016/679 vorgesehen, am 28. Juli 2021 den angefochtenen Beschluss mit einer Zweidrittelmehrheit. Der angefochtene Beschluss richtet sich an die federführende Aufsichtsbehörde und alle betroffenen Aufsichtsbehörden; er ist, wie in derselben Vorschrift geregelt, für diese verbindlich und betrifft, wie in Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 vorgesehen, alle Angelegenheiten, die Gegenstand von maßgeblichen und begründeten Einwänden sind. In dieser Hinsicht prüfte der EDSA in dem angefochtenen Beschluss für jeden Einwand einer betroffenen Aufsichtsbehörde zunächst, ob dieser maßgeblich und begründet ist. Nur wenn dies vorab bejaht wurde, nahm er zu einem Einwand Stellung.
8 Nachdem die irische Aufsichtsbehörde den angefochtenen Beschluss erhalten und von WhatsApp eine Stellungnahme zu den finanziellen Sanktionen eingeholt hatte, die von dieser Behörde im Licht des angefochtenen Beschlusses letztlich gegen das Unternehmen verhängt werden sollten, erließ die entscheidungsbefugte Person dieser Behörde am 20. August 2021 gemäß Art. 65 Abs. 6 der Verordnung 2016/679 einen an WhatsApp gerichteten endgültigen Beschluss (im Folgenden: endgültiger Beschluss). Im endgültigen Beschluss wird davon ausgegangen, dass WhatsApp gegen den Transparenzgrundsatz und die Verpflichtungen zur Transparenz nach Art. 5 Abs. 1 Buchst. a, Art. 12 Abs. 1, Art. 13 Abs. 1 Buchst. c, d, e und f, Art. 13 Abs. 2 Buchst. a, c und e sowie Art. 14 der Verordnung 2016/679 verstoßen hat. Indessen wird in dem genannten Beschluss ausgeführt, dass WhatsApp den Verpflichtungen aus Art. 13 Abs. 1 Buchst. a und b sowie aus Art. 13 Abs. 2 Buchst. b und d der Verordnung 2016/679 nachgekommen sei. Als Abhilfemaßnahmen nach Art. 58 Abs. 2 Buchst. b, d und i der Verordnung 2016/679 wird WhatsApp in dem endgültigen Beschluss eine Verwarnung erteilt, wird dem Unternehmen die Durchführung einer bestimmten Anzahl von Maßnahmen aufgegeben, die in einem Anhang aufgeführt werden und die innerhalb von drei Monaten dazu führen sollen, dass das Unternehmen den Bestimmungen der Verordnung 2016/679 entspricht, gegen die verstoßen wurde, und werden gegen Whatsapp vier Geldbußen verhängt, die sich auf die gegen Art. 5 Abs. 1 Buchst. a sowie gegen die Art. 12, 13 und 14 der Verordnung 2016/679 festgestellten Verstöße beziehen und deren Gesamtbetrag sich auf 225 Mio. Euro beläuft.
9 In dem endgültigen Beschluss nannte die entscheidungsbefugte Person der irischen Aufsichtsbehörde die Punkte, deren Bewertung im oben unter Rn. 4 erwähnten Beschlussentwurf sie aufgrund des angefochtenen Beschlusses überprüfen musste. Sie entschied sich dafür, in diesen Punkten die Begründungen des EDSA aus dem angefochtenen Beschluss unverändert in grau unterlegten Kästen wiederzugeben und schlichtweg in einer abschließenden Randnummer die jeweiligen Schlussfolgerungen daraus zu ziehen. Die Aufsichtsbehörde stellte klar, dass sie sich zum einen im endgültigen Beschluss weder auf die Einwände beziehe, die der EDSA als nicht maßgeblich oder nicht begründet erachtet und deren Stichhaltigkeit er daher nicht geprüft habe, noch auf die Einwände, die nach Auffassung des EDSA keine Änderung der im Beschlussentwurf enthaltenen Bewertung erforderten, und dass sie zum anderen nicht zu diesen Einwänden Stellung nehme.
10 Gemäß Art. 65 Abs. 6 der Verordnung 2016/679 wurde der angefochtene Beschluss dem endgültigen Beschluss der irischen Aufsichtsbehörde beigefügt.
11 Im angefochtenen Beschluss hat der EDSA nacheinander nur zu den folgenden Punkten Stellung genommen, die seiner Ansicht nach Gegenstand maßgeblicher und begründeter Einsprüche waren:
– das Vorliegen eines Verstoßes von WhatsApp gegen die Informationspflichten aus Art. 13 Abs. 1 Buchst. d der Verordnung 2016/679, der sich auf bestimmte Informationen bezieht, die betroffenen Personen mitgeteilt werden müssen, wenn personenbezogene Daten bei ihnen erhoben worden sind. Ein solcher Verstoß war von der irischen Aufsichtsbehörde in ihrem Beschlussentwurf nicht festgestellt worden. Der EDSA befand hingegen, dass WhatsApp gegen diese Bestimmung verstoßen habe;
– die Einstufung als personenbezogene Daten von Informationen, die aus einem Verfahren mit der Bezeichnung „Lossy Hashing Procedure“ hervorgegangen sind, das auf Daten angewandt wird, die „Kontakte“ von Nicht-WhatsApp-Nutzern betreffen, die in den Adressbüchern der Endgeräte von WhatsApp-Nutzern aufgeführt werden. Die irische Aufsichtsbehörde hatte diese Informationen in ihrem Beschlussentwurf nicht als personenbezogene Daten eingestuft. Der EDSA war hingegen der Ansicht, dass sie stets personenbezogene Daten darstellen. Dieser Gesichtspunkt hatte dem angefochtenen Beschluss zufolge möglicherweise Einfluss auf die etwaige Feststellung eines Verstoßes von WhatsApp gegen Art. 5 Abs. 1 Buchst. c und Art. 6 Abs. 1 der Verordnung 2016/679 und einen Einfluss auf den Umfang des Verstoßes von WhatsApp gegen Art. 14 der Verordnung 2016/679 sowie auf die daraus resultierende Höhe der finanziellen Sanktionen;
– das Vorliegen eines Verstoßes von WhatsApp gegen den in Art. 5 Abs. 1 Buchst. a der Verordnung 2016/679 enthaltenen Transparenzgrundsatz, den die irische Aufsichtsbehörde in ihrem Beschlussentwurf nicht festgestellt hatte. Der EDSA war hingegen der Ansicht, dass WhatsApp gegen diesen Grundsatz verstoßen habe;
– die Feststellung eines Verstoßes von WhatsApp gegen Art. 13 Abs. 2 Buchst. e der Verordnung 2016/679 in Bezug auf bestimmte Informationen, die betroffenen Personen mitgeteilt werden müssen, wenn personenbezogene Daten bei ihnen erhoben worden sind; die irische Aufsichtsbehörde hat ihrer Ansicht nach diesen Verstoß nicht feststellen können, da der Ermittler während der Untersuchung zu dieser Frage nicht Stellung genommen habe, und war der Auffassung, insoweit nur eine Empfehlung aussprechen zu können. Der EDSA war hingegen der Ansicht, dass die Untersuchung alle Bestimmungen des Art. 13 der Verordnung 2016/679 umfasse und dass ein Verstoß gegen die genannte Bestimmung festzustellen sei;
– das Vorliegen eines Verstoßes von WhatsApp gegen Art. 6 Abs. 1 der Verordnung 2016/679 in Bezug auf die Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, zu dem sich die irische Aufsichtsbehörde nicht geäußert hatte. Der EDSA war der Auffassung, dass es aus verfahrensrechtlichen Gründen in der Tat nicht möglich sei, sich zu einem solchen Verstoß zu äußern und ihn festzustellen;
– die in Ansehung der sich auf den zweiten Gedankenstrich beziehenden Analyse erweiterte Begründung für den Verstoß von WhatsApp gegen die Informationspflichten aus Art. 14 der Verordnung 2016/679 betreffend die mitzuteilenden Informationen, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben worden sind. Der EDSA bestätigte die Auswirkungen, die diese Erweiterung auf die gegen WhatsApp verhängten verhaltensbezogenen Abhilfemaßnahmen und die Sanktion haben müsse;
– das Vorliegen eines Verstoßes von WhatsApp gegen den in Art. 5 Abs. 1 Buchst. c der Verordnung 2016/679 enthaltenen Grundsatz, wonach nur dem Zweck angemessene und erhebliche sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Daten erhoben werden dürfen und zu dem die irische Aufsichtsbehörde keine Aussage getroffen hatte. Der EDSA befand, dass ein solcher Verstoß auf Grundlage der Akten, insbesondere unter Berücksichtigung des Untersuchungsumfangs im Verfahren gegen WhatsApp, nicht nachgewiesen sei;
– die von der irischen Aufsichtsbehörde auf sechs Monate festgesetzte Frist, innerhalb derer WhatsApp gemäß den Abhilfemaßnahmen die missachteten Anforderungen der Verordnung 2016/679 erfüllen musste. Der EDSA verkürzte diese Frist auf drei Monate;
– die Art, wie die Nicht-WhatsApp-Nutzer im Rahmen der Abhilfemaßnahmen über die Verarbeitung ihrer personenbezogenen Daten durch WhatsApp informiert werden müssen, wobei der EDSA die diesbezügliche Bewertung der irischen Aufsichtsbehörde in ihrem Beschlussentwurf bestätigte;
– die im Rahmen der Abhilfemaßnahmen zu nennenden zusätzlichen Gründe für den Verstoß von WhatsApp gegen die Verpflichtungen aus Art. 14 der Verordnung 2016/679 (siehe zweiter Gedankenstrich oben), wobei der EDSA darlegte, dass diese Nennung erforderlich sei, um sicherzustellen, dass WhatsApp insoweit angemessene Abhilfemaßnahmen ergreife;
– die im Hinblick auf Art. 83 der Verordnung 2016/679 über die „allgemeinen Bedingungen für die Verhängung von Geldbußen“ geltenden Kriterien für die Höhe der Geldbußen, die gegen WhatsApp verhängt werden sollen. Der EDSA befand, dass die irische Aufsichtsbehörde das Kriterium bezüglich des weltweit erzielten Jahresumsatzes des betroffenen Unternehmens falsch ausgelegt habe, dass sie den Begriff „vorangegangenes Geschäftsjahr“ richtig ausgelegt habe, dass sie die Regel falsch ausgelegt habe, der zufolge bei Verstößen gegen mehrere Bestimmungen der Verordnung 2016/679 im Rahmen desselben Verarbeitungsvorgangs oder verbundener Verarbeitungsvorgänge der Gesamtbetrag der Geldbuße den für den schwerwiegendsten Verstoß festgesetzten Betrag nicht übersteigen darf, dass sie einige der in Art. 83 Abs. 1 und 2 der Verordnung 2016/679 genannten Kriterien für die Festsetzung der Geldbuße (Vorsatz oder Fahrlässigkeit bei der Begehung der Verstöße, Schwere der Verstöße) richtig, andere dieser Kriterien (Berücksichtigung des Umsatzes zur Bemessung der Sanktion unabhängig von der Berechnung ihrer Obergrenze und allgemein die Notwendigkeit, dass die Sanktion wirksam, verhältnismäßig und abschreckend sein muss) jedoch falsch ausgelegt habe;
– die Höhe der Geldbußen, wobei der EDSA befand, dass aufgrund mancher durch die irische Aufsichtsbehörde falsch ausgelegter Kriterien für die Höhe der Geldbuße (siehe oben, elfter Gedankenstrich) und der festzustellenden zusätzlichen Verstöße von WhatsApp (siehe erster, dritter, vierter und sechster Spiegelstrich oben) die von der irischen Aufsichtsbehörde vorgesehenen Geldbußen in einer Gesamthöhe zwischen 30 und 50 Millionen Euro angehoben werden müssten.
12 WhatsApp hat parallel den endgültigen Beschluss vor einem irischen Gericht angefochten und beim Gericht die Aufhebung des angefochtenen Beschlusses beantragt.
13 Im Rahmen des vorliegenden Verfahrens hat die Computer & Communication Industry Association beantragt, zur Unterstützung der Klägerin dem Rechtsstreit als Streithelferin beizutreten, während die Republik Finnland, die Europäische Kommission und der Europäische Datenschutzbeauftragte beantragt haben, dem Rechtsstreit zur Unterstützung des EDSA als Streithelfer beizutreten. Im Hinblick auf diese Streithilfe haben die Hauptparteien beantragt, Teile der Akte aufgrund ihres vertraulichen Charakters an bestimmte Streithelfer nicht zu übermitteln. Zum jetzigen Zeitpunkt ist über diese Anträge noch nicht entschieden worden.
14 In der nach Einreichung der Klagebeantwortung erlassenen prozessleitenden Maßnahme, mit der die Parteien aufgefordert worden sind, in der Erwiderung und der Gegenerwiderung zu allen wichtigen Fragen Stellung zu nehmen, die die Zuständigkeit des Gerichts und die Zulässigkeit der Klage betreffen, sind insoweit folgende Gesichtspunkte genannt worden: die Einstufung des angefochtenen Beschlusses als Handlung einer Einrichtung der Europäischen Union und seine Einstufung als anfechtbare Handlung, die Klagebefugnis der Klägerin sowie ihr Rechtsschutzinteresse.
Anträge der Parteien
15 WhatsApp beantragt die vollständige Nichtigerklärung des angefochtenen Beschlusses oder, hilfsweise, die Nichtigerklärung seiner relevanten Teile sowie die Verurteilung des EDSA zur Tragung der Kosten.
16 Der EDSA beantragt, die Klage als unzulässig abzuweisen, hilfsweise, sie als unbegründet abzuweisen, und weiter hilfsweise, die Nichtigerklärung des angefochtenen Beschlusses auf die relevanten Teile zu beschränken. Der EDSA beantragt außerdem, der Klägerin die Kosten des Verfahrens aufzuerlegen.
Rechtliche Würdigung
17 Nach Art. 129 der Verfahrensordnung kann das Gericht auf Vorschlag des Berichterstatters und nach Anhörung der Hauptparteien jederzeit von Amts wegen die Entscheidung treffen, durch mit Gründen versehenen Beschluss darüber zu entscheiden, ob unverzichtbare Prozessvoraussetzungen fehlen.
18 Im vorliegenden Fall hält sich das Gericht durch die Aktenstücke für hinreichend unterrichtet und entscheidet in Anwendung dieses Artikels ohne Fortsetzung des Verfahrens über die Zulässigkeit der Klage.
19 Die Prüfung der Zuständigkeit des Gerichts und der Klagebefugnis einer klagenden Partei betreffen ebenso wie die Prüfung anderer für die Zulässigkeit einer Klage maßgeblicher Kriterien unverzichtbare Prozessvoraussetzungen, und im vorliegenden Fall hatten die Hauptparteien im Naschgang zu der oben unter Rn. 14 genannten prozessleitenden Maßnahme die Möglichkeit, sich zu diesen Fragen zu äußern, nachdem der EDSA im Übrigen in der Klagebeantwortung selbst die Unzulässigkeit der Klage geltend gemacht hatte.
20 Im vorliegenden Fall muss vorab auf den institutionellen Rechtsrahmen hingewiesen werden, in dem der angefochtene Beschluss erlassen worden ist.
Institutioneller Rechtsrahmen
21 Kapitel VI der Verordnung 2016/679 trägt die Überschrift „Unabhängige Aufsichtsbehörden“. In seinem Art. 51 wird festgelegt, dass jeder Mitgliedstaat „vor[sieht], dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind“, dass jede dieser Behörden „einen Beitrag zur einheitlichen Anwendung dieser Verordnung in der gesamten Union [leistet]“ und dass zu diesem Zweck „die Aufsichtsbehörden untereinander sowie mit der Kommission gemäß Kapitel VII zusammen[arbeiten]“.
22 Nach Art. 55 ist jede Aufsichtsbehörde für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit der Verordnung 2016/679 übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig, und Art. 56 besagt, dass unbeschadet des Art. 55 die Aufsichtsbehörde der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Art. 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung ist. Wie oben in Rn. 3 dargelegt, handelte die irische Aufsichtsbehörde im vorliegenden Fall gegenüber WhatsApp als federführende Behörde.
23 Nach Art. 58 Abs. 2 der Verordnung 2016/679 ist jede Aufsichtsbehörde befugt, Abhilfemaßnahmen gegenüber einem Verantwortlichen oder einem Auftragsverarbeiter zu erlassen, und insbesondere nach den Buchst. b, d und i befugt, diesen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Bestimmungen der Verordnung 2016/679 verstoßen hat, ihn anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der Verordnung zu bringen, und eine Geldbuße zu verhängen.
24 Kapitel VII („Zusammenarbeit und Kohärenz“) der Verordnung 2016/679 folgt auf die in Rn. 21 bis 23 genannten Bestimmungen.
25 Im Abschnitt „Zusammenarbeit“ dieses Kapitels sieht Art. 60 („Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden“) insbesondere vor:
„(1) Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.
…
(3) Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.
(4) Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.
(5) Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.
(6) Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.
(7) Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.
…
(10) Nach der Unterrichtung über den Beschluss der federführenden Aufsichtsbehörde … ergreift der Verantwortliche oder der Auftragsverarbeiter die erforderlichen Maßnahmen, um die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union mit dem Beschluss in Einklang zu bringen. Der Verantwortliche oder der Auftragsverarbeiter teilt der federführenden Aufsichtsbehörde die Maßnahmen mit, die zur Einhaltung des Beschlusses ergriffen wurden; diese wiederum unterrichtet die anderen betroffenen Aufsichtsbehörden.“
26 Im Abschnitt „Kohärenz“ desselben Kapitels VII der Verordnung 2016/679 sieht Art. 63 („Kohärenzverfahren“) vor:
„Um zur einheitlichen Anwendung dieser Verordnung in der gesamten Union beizutragen, arbeiten die Aufsichtsbehörden im Rahmen des in diesem Abschnitt beschriebenen Kohärenzverfahrens untereinander und gegebenenfalls mit der Kommission zusammen.“
27 Der EDSA wirkt an diesem Verfahren mit. Die Stellung des EDSA wird im dritten und letzten Abschnitt von Kapitel VII der Verordnung 2016/679 („Europäischer Datenschutzausschuss“) festgelegt.
28 In diesem Abschnitt sieht Art. 68 vor:
„(1) Der Europäische Datenschutzausschuss (im Folgenden ‚Ausschuss‘) wird als Einrichtung der Union mit eigener Rechtspersönlichkeit eingerichtet.“
…
(3) Der Ausschuss besteht aus dem Leiter einer Aufsichtsbehörde jedes Mitgliedstaats und dem Europäischen Datenschutzbeauftragten oder ihren jeweiligen Vertretern.
…“
29 Im selben Abschnitt sieht Art. 70 („Aufgaben des Ausschusses“) vor:
„(1) Der Ausschuss stellt die einheitliche Anwendung dieser Verordnung sicher. Hierzu nimmt der Ausschuss von sich aus oder gegebenenfalls auf Ersuchen der Kommission insbesondere folgende Tätigkeiten wahr:
a) Überwachung und Sicherstellung der ordnungsgemäßen Anwendung dieser Verordnung in den in den Artikeln 64 und 65 genannten Fällen unbeschadet der Aufgaben der nationalen Aufsichtsbehörden;
…“
30 Art. 70 führt darüber hinaus im Einzelnen die übrigen Aufgaben des EDSA auf, bei denen es sich im Wesentlichen um Beratungsaufgaben handelt, die er im Wege von Stellungnahmen, Leitlinien, Empfehlungen und die Bereitstellung von „bewährten Verfahren“ wahrzunehmen hat.
31 In dem oben unter Rn. 26 genannten Abschnitt („Kohärenz“) führt Art. 64 zunächst die Fälle auf, in denen der EDSA eine Stellungnahme abgibt; sodann bestimmt Art. 65 („Streitbeilegung durch den Ausschuss“) insbesondere:
„(1) Um die ordnungsgemäße und einheitliche Anwendung dieser Verordnung in Einzelfällen sicherzustellen, erlässt der Ausschuss in den folgenden Fällen einen verbindlichen Beschluss:
a) wenn eine betroffene Aufsichtsbehörde in einem Fall nach Artikel 60 Absatz 4 einen maßgeblichen und begründeten Einspruch gegen einen Beschlussentwurf der federführenden Aufsichtsbehörde eingelegt hat und sich die federführende Aufsichtsbehörde dem Einspruch nicht angeschlossen hat oder den Einspruch als nicht maßgeblich oder nicht begründet abgelehnt hat. Der verbindliche Beschluss betrifft alle Angelegenheiten, die Gegenstand des maßgeblichen und begründeten Einspruchs sind, insbesondere die Frage, ob ein Verstoß gegen diese Verordnung vorliegt;
…
(2) Der in Absatz 1 genannte Beschluss wird … mit einer Mehrheit von zwei Dritteln der Mitglieder des Ausschusses angenommen. … Der in Absatz 1 genannte Beschluss wird begründet und an die federführende Aufsichtsbehörde und alle betroffenen Aufsichtsbehörden übermittelt und ist für diese verbindlich.
…
(5) Der Vorsitz des Ausschusses unterrichtet die betroffenen Aufsichtsbehörden unverzüglich über den in Absatz 1 genannten Beschluss. Er setzt die Kommission hiervon in Kenntnis. Der Beschluss wird unverzüglich auf der Website des Ausschusses veröffentlicht, nachdem die Aufsichtsbehörde den in Absatz 6 genannten endgültigen Beschluss mitgeteilt hat.
(6) Die federführende Aufsichtsbehörde oder gegebenenfalls die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, trifft den endgültigen Beschluss auf der Grundlage des in Absatz 1 des vorliegenden Artikels genannten Beschlusses unverzüglich und spätestens einen Monat, nachdem der Ausschuss seinen Beschluss mitgeteilt hat. … Im endgültigen Beschluss wird auf den in Absatz 1 genannten Beschluss verwiesen und festgelegt, dass er gemäß Absatz 5 des vorliegenden Artikels auf der Website des Ausschusses veröffentlicht wird. Dem endgültigen Beschluss wird der in Absatz 1 des vorliegenden Artikels genannte Beschluss beigefügt.“
32 Das Kapitel VIII der Verordnung 2016/679 („Rechtsbehelfe, Haftung und Sanktionen“) thematisiert das „Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde“ in Art. 78 und das „Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter“ in Art. 79. Es enthält keine Bestimmungen über etwaige Rechtsbehelfe gegen verbindliche Beschlüsse des EDSA, die auf der Grundlage des oben genannten Art. 65 Abs. 1 erlassen worden sind. Art. 78 Abs. 4 weist allerdings darauf hin, dass dann, wenn „es zu einem Verfahren gegen den Beschluss einer Aufsichtsbehörde [kommt], dem … ein Beschluss des Ausschusses im Rahmen des Kohärenzverfahrens vorangegangen ist, … die Aufsichtsbehörde … diesen Beschluss dem Gericht zu[leitet].“
33 Zu den Gründen der Verordnung 2016/679 heißt es im 143. Erwägungsgrund:
„Jede natürliche oder juristische Person hat das Recht, unter den in Artikel 263 AEUV genannten Voraussetzungen beim Gerichtshof eine Klage auf Nichtigerklärung eines Beschlusses des Ausschusses zu erheben. Als Adressaten solcher Beschlüsse müssen die betroffenen Aufsichtsbehörden, die diese Beschlüsse anfechten möchten, binnen zwei Monaten nach deren Übermittlung gemäß Artikel 263 AEUV Klage erheben. Sofern Beschlüsse des Ausschusses einen Verantwortlichen, einen Auftragsverarbeiter oder den Beschwerdeführer unmittelbar und individuell betreffen, so können diese Personen binnen zwei Monaten nach Veröffentlichung der betreffenden Beschlüsse auf der Website des Ausschusses im Einklang mit Artikel 263 AEUV eine Klage auf Nichtigerklärung erheben. Unbeschadet dieses Rechts nach Artikel 263 AEUV sollte jede natürliche oder juristische Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf bei dem zuständigen einzelstaatlichen Gericht gegen einen Beschluss einer Aufsichtsbehörde haben, der gegenüber dieser Person Rechtswirkungen entfaltet. Ein derartiger Beschluss betrifft insbesondere die Ausübung von Untersuchungs‑, Abhilfe- und Genehmigungsbefugnissen durch die Aufsichtsbehörde oder die Ablehnung oder Abweisung von Beschwerden. Das Recht auf einen wirksamen gerichtlichen Rechtsbehelf umfasst jedoch nicht rechtlich nicht bindende Maßnahmen der Aufsichtsbehörden wie von ihr abgegebene Stellungnahmen oder Empfehlungen. Verfahren gegen eine Aufsichtsbehörde sollten bei den Gerichten des Mitgliedstaats angestrengt werden, in dem die Aufsichtsbehörde ihren Sitz hat, und sollten im Einklang mit dem Verfahrensrecht dieses Mitgliedstaats durchgeführt werden. Diese Gerichte sollten eine uneingeschränkte Zuständigkeit besitzen, was die Zuständigkeit, sämtliche für den bei ihnen anhängigen Rechtsstreit maßgebliche Sach- und Rechtsfragen zu prüfen, einschließt. Wurde eine Beschwerde von einer Aufsichtsbehörde abgelehnt oder abgewiesen, kann der Beschwerdeführer Klage bei den Gerichten desselben Mitgliedstaats erheben.
Im Zusammenhang mit gerichtlichen Rechtsbehelfen in Bezug auf die Anwendung dieser Verordnung können einzelstaatliche Gerichte, die eine Entscheidung über diese Frage für erforderlich halten, um ihr Urteil erlassen zu können, bzw. müssen einzelstaatliche Gerichte in den Fällen nach Artikel 267 AEUV den Gerichtshof um eine Vorabentscheidung zur Auslegung des Unionsrechts – das auch diese Verordnung einschließt – ersuchen. Wird darüber hinaus der Beschluss einer Aufsichtsbehörde zur Umsetzung eines Beschlusses des Ausschusses vor einem einzelstaatlichen Gericht angefochten und wird die Gültigkeit des Beschlusses des Ausschusses in Frage gestellt, so hat dieses einzelstaatliche Gericht nicht die Befugnis, den Beschluss des Ausschusses für nichtig zu erklären, sondern es muss im Einklang mit Artikel 267 AEUV in der Auslegung des Gerichtshofs den Gerichtshof mit der Frage der Gültigkeit befassen, wenn es den Beschluss für nichtig hält. Allerdings darf ein einzelstaatliches Gericht den Gerichtshof nicht auf Anfrage einer natürlichen oder juristischen Person mit Fragen der Gültigkeit des Beschlusses des Ausschusses befassen, wenn diese Person Gelegenheit hatte, eine Klage auf Nichtigerklärung dieses Beschlusses zu erheben – insbesondere wenn sie unmittelbar und individuell von dem Beschluss betroffen war –, diese Gelegenheit jedoch nicht innerhalb der Frist gemäß Artikel 263 AEUV genutzt hat.“
Zur Zulässigkeit der Klage
34 Art. 263 AEUV, dessen Absätze 1, 2, 4 und 5 im Folgenden wiedergegeben werden, bestimmt:
„Der Gerichtshof der Europäischen Union überwacht die Rechtmäßigkeit der Gesetzgebungsakte sowie der Handlungen des Rates, der Kommission und der Europäischen Zentralbank, soweit es sich nicht um Empfehlungen oder Stellungnahmen handelt, und der Handlungen des Europäischen Parlaments und des Europäischen Rates mit Rechtswirkung gegenüber Dritten. Er überwacht ebenfalls die Rechtmäßigkeit der Handlungen der Einrichtungen oder sonstigen Stellen der Union mit Rechtswirkung gegenüber Dritten.
Zu diesem Zweck ist der Gerichtshof der Europäischen Union für Klagen zuständig, die ein Mitgliedstaat, das Europäische Parlament, der Rat oder die Kommission wegen Unzuständigkeit, Verletzung wesentlicher Formvorschriften, Verletzung der Verträge oder einer bei ihrer Durchführung anzuwendenden Rechtsnorm oder wegen Ermessensmissbrauchs erhebt.
…
Jede natürliche oder juristische Person kann unter den Bedingungen nach den Absätzen 1 und 2 gegen die an sie gerichteten oder sie unmittelbar und individuell betreffenden Handlungen sowie gegen Rechtsakte mit Verordnungscharakter, die sie unmittelbar betreffen und keine Durchführungsmaßnahmen nach sich ziehen, Klage erheben.
In den Rechtsakten zur Gründung von Einrichtungen und sonstigen Stellen der Union können besondere Bedingungen und Einzelheiten für die Erhebung von Klagen von natürlichen oder juristischen Personen gegen Handlungen dieser Einrichtungen und sonstigen Stellen vorgesehen werden, die eine Rechtswirkung gegenüber diesen Personen haben.
…“
35 Aus Art. 263 Abs. 1 AEUV geht hervor, dass der Unionsrichter dafür zuständig ist, die Rechtmäßigkeit einer Handlung einer Einrichtung der Union mit Rechtswirkung gegenüber Dritten zu überprüfen. Aus Absatz 4 desselben Artikels geht außerdem hervor, dass eine juristische Person, um eine Klage gegen eine individuelle, nicht an sie gerichtete Maßnahme einer Einrichtung der Union einreichen zu können, grundsätzlich von dieser Handlung unmittelbar und individuell betroffen sein muss. Im vorliegenden Fall lässt sich, wie oben in Rn. 32 dargelegt, in der Verordnung 2016/679 keine dem Art. 263 Abs. 5 AEUV entsprechende Bestimmung finden, so dass WhatsApp hier den in Abs. 4 dieses Artikels vorgesehenen Bedingungen unterliegt und von dem angefochtenen Beschluss unmittelbar und individuell betroffen sein muss, damit ihre Klage gegen diesen Beschluss zulässig ist.
36 Zunächst ist festzustellen, dass es sich bei dem angefochtenen, vom EDSA erlassenen Beschluss tatsächlich um eine Handlung einer Einrichtung der Union handelt. Zwar könnte das in der Verordnung 2016/679 vorgesehene und oben unter Rn. 21 bis 31 erläuterte institutionelle Gefüge – insbesondere die ausschließliche Zuständigkeit der nationalen Aufsichtsbehörden für den Erlass von Abhilfemaßnahmen gegenüber den Verantwortlichen und Auftragsverarbeitern sowie die Verfahren zur Zusammenarbeit und Kohärenz zwischen diesen Behörden auch innerhalb des EDSA, der im Wesentlichen diese Behörden umfasst – den Eindruck erwecken, dass der EDSA nur eine Instanz zur Koordinierung der nationalen Behörden sei. Doch nach Art. 68 Abs. 1 der Verordnung 2016/679 wurde der EDSA als Einrichtung der Union mit eigener Rechtspersönlichkeit geschaffen. Darüber hinaus ist er in dieser Eigenschaft befugt, auf Grundlage der Art. 64 und 65 der Verordnung 2016/679 Stellungnahmen abzugeben und im Rahmen der Beilegung von Streitigkeiten zwischen nationalen Aufsichtsbehörden Beschlüsse wie den angefochtenen Beschluss zu erlassen, die für die betroffenen Aufsichtsbehörden verbindlich sind, so dass diese Stellungnahmen und Beschlüsse Handlungen einer Einrichtung der Union darstellen.
37 Sodann ist festzustellen, dass der angefochtene Beschluss Rechtswirkungen gegenüber Dritten entfalten soll, da er ein den betroffenen Aufsichtsbehörden gegenüber „verbindlicher Beschluss“ ist, der auf der Grundlage von Art. 65 der Verordnung 2016/679 erlassen wurde.
38 Ist ein Kläger jedoch nicht einer der sogenannten „privilegierten“, in Art. 263 Abs. 2 AEUV einzeln namentlich genannten Kläger, so muss nach ständiger Rechtsprechung die Handlung, um eine von diesem Kläger anfechtbare Handlung darzustellen, verbindliche Rechtswirkungen erzeugen, die die Interessen des Klägers durch eine qualifizierte Änderung seiner Rechtsstellung berühren (Urteil vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 9; siehe auch Urteil vom 18. November 2010, NDSHT/Kommission, C‑322/09 P, EU:C:2010:701, Rn. 45 und die dort angeführte Rechtsprechung).
39 Der Gerichtshof hat außerdem entschieden, dass, wenn ein solcher Kläger nicht Adressat der von ihm angefochtenen Handlung ist, die Voraussetzung, dass durch die Handlung eine qualifizierte Änderung der Rechtsstellung des Klägers erfolgen muss, sich mit den in Art. 263 Abs. 4 AEUV festgelegten Voraussetzungen überschneidet, d. h. – wenn die angefochtene Handlung kein Rechtsakt mit Verordnungscharakter ist, der keine Durchführungsmaßnahmen nach sich zieht – damit, dass der Kläger von dieser Handlung unmittelbar und individuell betroffen sein muss (vgl. in diesem Sinne Urteil vom 13. Oktober 2011, Deutsche Post und Deutschland/Kommission, C‑463/10 P und C‑475/10 P, EU:C:2011:656, Rn. 38).
40 Im vorliegenden Fall kann in Anbetracht der Art der angefochtenen Handlung, die eine individuelle Maßnahme ist, von vornherein festgestellt werden, dass WhatsApp von dem angefochtenen Beschluss individuell betroffen ist, da er sich auf bestimmte Punkte eines Entwurfs für einen endgültigen Beschluss der irischen Aufsichtsbehörde bezieht, der speziell WhatsApp betrifft. Entgegen dem Vorbringen des EDSA in der Gegenerwiderung erschöpft sich der angefochtene Beschluss nicht in der Darlegung von Grundsätzen oder der Auslegung einzelner Bestimmungen der Verordnung 2016/679, die jeden Verantwortlichen betreffen könnten. In dem angefochtenen Beschluss äußert sich der EDSA, wie oben in Rn. 11 dargestellt, dazu, ob WhatsApp bestimmten ihrer Verpflichtungen aus der Verordnung 2016/679 nachgekommen ist, stuft Informationen aus der sogenannten „Lossy Hashing Procedure“, einer nur von WhatsApp vorgenommenen Verarbeitung, als personenbezogene Daten ein und nimmt zu bestimmten Abhilfemaßnahmen Stellung, die WhatsApp auferlegt werden sollen, namentlich zu bestimmten Aspekten der Festsetzung der zu verhängenden Geldbußen. Der angefochtene Beschluss bezieht sich somit speziell auf WhatsApp, obwohl er, wie sehr häufig bei individuellen Maßnahmen, Grundsätze und Auslegungen allgemeiner Art darlegt oder wiederholt.
41 Sodann ist zu prüfen, ob der angefochtene Beschluss Rechtswirkungen erzeugt, die qualifiziert die Rechtsstellung von WhatsApp verändern, und ob er WhatsApp unmittelbar im Sinne von Art. 263 Abs. 4 AEUV betrifft.
42 In diesem Zusammenhang ist festzustellen, dass der angefochtene Beschluss als solcher, wie der EDSA nunmehr zu Recht betont, die Rechtsstellung von WhatsApp nicht verändert. Denn anders als der endgültige Beschluss der irischen Aufsichtsbehörde kann er WhatsApp nicht unmittelbar entgegengehalten werden und stellt für WhatsApp eine vorbereitende Handlung oder eine Zwischenmaßnahme in einem Verfahren dar, das nach den oben in den Rn. 23 bis 26 sowie Rn. 31 genannten Art. 58 Abs. 2, 60, 63 und 65 der Verordnung 2016/679 mit dem Erlass eines an das Unternehmen gerichteten, endgültigen Beschlusses einer nationalen Aufsichtsbehörde abgeschlossen werden muss (vgl. in diesem Sinne und entsprechend Urteil vom 24. Juni 1986, AKZO Chemie und AKZO Chemie UK/Kommission, 53/85, EU:C:1986:256, Rn. 19).
43 In dieser Hinsicht ist wiederholt entschieden worden, dass bei der Ausarbeitung von Rechtsakten in mehrphasigen Verfahren Zwischenmaßnahmen, die den endgültigen Beschluss vorbereiten sollen, grundsätzlich keine anfechtbaren Handlungen darstellen (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 10, und vom 26. Januar 2010, Internationaler Hilfsfonds/Kommission, C‑362/08 P, EU:C:2010:40, Rn. 52 und die dort zitierte Rechtsprechung).
44 Ausnahmen von dem oben unter Rn. 43 dargelegten Grundsatz betreffen Fälle, in denen die Zwischenmaßnahme eigenständige Rechtswirkungen entfaltet, hinsichtlich deren kein ausreichender Rechtsschutz im Rahmen einer Klage gegen den das Verfahren abschließenden Beschluss gewährleistet ist (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 11 und 12, und vom 13. Oktober 2011, Deutsche Post und Deutschland/Kommission, C‑463/10 P und C‑475/10 P, EU:C:2011:656, Rn. 53 und 54). Derartige Ausnahmen sind etwa im Rahmen eines Verfahrens zur Kontrolle der Einhaltung der für Unternehmen geltenden Wettbewerbsregeln (vgl. in diesem Sinne Urteil vom 24. Juni 1986, AKZO Chemie und AKZO Chemie UK/Kommission, 53/85, EU:C:1986:256, Rn. 20), im Rahmen eines Verfahrens zur Kontrolle der Einhaltung der Vorschriften über staatliche Beihilfen (vgl. in diesem Sinne Urteil vom 9. Oktober 2001, Italien/Kommission, C‑400/99, EU:C:2001:528, Rn. 55 bis 63) und im Vorfeld einer endgültigen Verfügung bei einer akzessorischen oder Sicherungsmaßnahme zur vorläufigen Dienstenthebung eines von einem Disziplinarverfahren betroffenen Beamten bejaht worden (vgl. in diesem Sinne Urteil vom 5. Mai 1966, Gutmann/Kommission, 18/65 und 35/65, EU:C:1966:24, S. 174).
45 Im vorliegenden Fall hingegen genießt WhatsApp wirksamen gerichtlichen Rechtsschutz in Bezug auf den angefochtenen Beschluss, und zwar durch den Rechtsbehelf, den WhatsApp vor dem nationalen Gericht gegen den endgültigen Beschluss der irischen Aufsichtsbehörde einlegen kann und durch den die Gültigkeit des angefochtenen Beschlusses beurteilt werden kann. Wie in Art. 78 Abs. 1 der Verordnung 2016/679 vorgesehen, wonach jede Person in jedem Mitgliedstaat das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde haben muss, hat WhatsApp den von der irischen Aufsichtsbehörde erlassenen endgültigen Beschluss vor einem irischen Gericht angefochten und kann im Rahmen dieses Rechtsbehelfs die Rechtswidrigkeit der in dem angefochtenen Beschluss enthaltenen und in den endgültigen Beschluss übernommenen verbindlichen Beurteilungen geltend machen. In diesem Zusammenhang ist daran zu erinnern, dass nach Art. 267 AEUV die Ungültigkeit von Handlungen der Organe, Einrichtungen und sonstigen Stellen der Union vor einem nationalen Gericht geltend gemacht werden kann, wobei nach dieser Vorschrift vorgesehen ist, dass ein nationales Gericht, wenn es eine Entscheidung darüber zum Erlass seines Urteils für erforderlich hält, dem Gerichtshof der Europäischen Union eine Frage zur Vorabentscheidung über die Gültigkeit vorlegen kann oder muss. Stellt dieser nach Abschluss des Vorabentscheidungsverfahrens fest, dass eine solche Handlung, wenn sie zur Vorbereitung eines von einer mitgliedstaatlichen Behörde erlassenen Beschlusses dient, ungültig ist, muss das nationale Gericht daraus die Folgerungen hinsichtlich der Rechtmäßigkeit des den Betroffenen beschwerenden Beschlusses ziehen (vgl. in diesem Sinne Urteile vom 30. Oktober 1975, Rey Soda u. a., 23/75, EU:C:1975:142, Rn. 51, und vom 20. März 2018, Šroubárna Ždánice/Rat, T‑442/16, nicht veröffentlicht, EU:T:2018:159, Rn. 34).
46 Darüber hinaus hat der angefochtene Beschluss gegenüber WhatsApp keine eigenständige Rechtswirkung im Vergleich zum endgültigen Beschluss der irischen Aufsichtsbehörde: Alle in dem ersten Beschluss enthaltenen Beurteilungen werden im zweiten Beschluss übernommen, und der erste Beschluss hat keine vom Inhalt des zweiten unabhängige Wirkung, im Gegensatz zu den Konstellationen, zu den die oben in Rn. 44 erwähnten Urteile vom 5. Mai 1966, Gutmann/Kommission (18/65 und 35/65, EU:C:1966:24), vom 24. Juni 1986, AKZO Chemie und AKZO Chemie UK/Kommission (53/85, EU:C:1986:256), und vom 9. Oktober 2001, Italien/Kommission (C‑400/99, EU:C:2001:528), ergangen sind.
47 Zwar wurden die oben in den Rn. 43 und 44 genannten Grundsätze in Bezug auf Verfahren entwickelt, bei denen die endgültige Entscheidung in die Zuständigkeit von Organen oder anderen Stellen der Union fiel, doch gibt es keinen Grund, warum etwas anderes gelten sollte, wenn wie im vorliegenden Fall das Unionsrecht die Überwachung der Anwendung besonderer Unionsvorschriften bestimmten nationalen Behörden im Rahmen von mehrphasigen Verfahren überträgt und es um eine Zwischenmaßnahme geht, die von einer Einrichtung der Union anlässlich eines solchen Verfahrens erlassen wurde, das durch einen Beschluss einer nationalen Behörde beendet wird.
48 WhatsApp bringt zwar vor, dass es sich bei dem angefochtenen Beschluss um eine abschließende Stellungnahme des EDSA handelt, der die irische Aufsichtsbehörde bei ihrem endgültigen Beschluss folgen musste. Dieses Argument ist so zu verstehen, dass der angefochtene Beschluss daher notwendigerweise eine anfechtbare Handlung sei und sich von Zwischenmaßnahmen unterscheide, die nur eine vorläufige Position zum Ausdruck brächten und für sich allein keine anfechtbaren Handlungen seien.
49 Wie jedoch oben in Rn. 38 ausgeführt, muss eine Handlung, damit sie von einem anderen Kläger als den in Art. 263 Abs. 2 AEUV genannten, sogenannten privilegierten Klägern angefochten werden kann, insbesondere zu einer qualifizierten Änderung der Rechtsstellung dieses Klägers führen. Dass eine Zwischenmaßnahme die abschließende Stellungnahme einer Behörde wiedergibt, die wie im vorliegenden Fall deshalb in dem endgültigen, das betreffende Verfahren abschließenden Beschluss übernommen werden muss, weil der angefochtene Beschluss eine abschließende Bewertung bestimmter Punkte des endgültigen Beschlusses enthält, bedeutet allerdings nicht notwendigerweise, dass diese Zwischenmaßnahme selbst die Rechtsstellung des Klägers in qualifizierter Weise verändert, wie im vorliegenden Fall in den Rn. 42 bis 47 oben gezeigt wurde. Da sich diese Voraussetzung, wie oben in Rn. 39 ausgeführt, mit den Voraussetzungen des Art. 263 Abs. 4 AEUV überschneidet, d. h. insbesondere mit dem Erfordernis, dass der Kläger von der Handlung unmittelbar betroffen sein muss, kann hierüber im vorliegenden Fall befunden werden, indem geprüft wird, ob WhatsApp von dem angefochtenen Beschluss unmittelbar betroffen ist.
50 Wie der EDSA jedoch zu Recht vorbringt, ist WhatsApp von dem angefochtenen Beschluss nicht unmittelbar betroffen.
51 Nach ständiger Rechtsprechung muss nämlich eine Handlung, um einen Kläger, der nicht ihr Adressat ist, unmittelbar zu betreffen, erstens unmittelbar Rechtswirkungen auf die Situation des Klägers haben und zweitens den mit ihrer Durchführung betrauten Adressaten keinen Ermessensspielraum lassen, da sie vielmehr automatisch erfolgt und sich allein aus der Unionsregelung ohne Anwendung von weiteren Durchführungsbestimmungen ergibt (Urteile vom 13. Mai 1971, International Fruit Company u. a./Kommission, 41/70 bis 44/70, EU:C:1971:53, Rn. 23 bis 28, vom 5. Mai 1998, Dreyfus/Kommission, C‑386/96 P, EU:C:1998:193, Rn. 43, und vom 17. September 2009, Kommission/Koninklijke FrieslandCampina, C‑519/07 P, EU:C:2009:556, Rn. 48).
52 Was die erste dieser Voraussetzungen betrifft, so kann der angefochtene Beschluss, wie bereits oben unter Rn. 42 ausgeführt, WhatsApp nicht in einer Weise entgegengehalten werden, die ohne einen weiteren Verfahrensschritt Verpflichtungen für WhatsApp oder gegebenenfalls Rechte für andere Einzelpersonen begründen könnte. Der Beschluss unterscheidet sich beispielsweise von den Handlungen, die Gegenstand des Urteils vom 23. April 1986, Les Verts/Parlament (294/83, EU:C:1986:166), waren, in Bezug auf die in Rn. 31 dieses Urteils festgestellt wurde, dass sie die klagende Vereinigung direkt betrafen, da sie „eine vollständige und erschöpfende Regelung [bilden], die keine[r] weiteren Durchführungsbestimmungen bedarf“. Im vorliegenden Fall ist der angefochtene Beschluss nicht der letzte Schritt des gesamten in den Art. 58, 60 und 65 der Verordnung 2016/679 vorgesehenen Verfahrens.
53 Was die zweite dieser Voraussetzungen betrifft, die sich auf den Ermessensspielraum der für die Durchführung der betreffenden Handlung zuständigen Behörde bezieht, so ist festzustellen, dass der angefochtene Beschluss für die irische Aufsichtsbehörde zwar hinsichtlich der von ihm behandelten Punkte verbindlich war, ihr jedoch einen Ermessensspielraum hinsichtlich des Inhalts des endgültigen Beschlusses einräumte.
54 Denn wie ein Vergleich des Inhalts des oben in Rn. 11 dargelegten angefochtenen Beschlusses, der den betroffenen Aufsichtsbehörden Weisungen erteilt, mit dem oben in Rn. 8 dargelegten Inhalt des an WhatsApp gerichteten endgültigen Beschlusses zeigt, beinhaltet der angefochtene Beschluss nur einen Teil des Inhalts des endgültigen Beschlusses.
55 So haben beide Beschlüsse die Feststellung gemeinsam, dass WhatsApp gegen den Transparenzgrundsatz aus Art. 5 Abs. 1 Buchst. a und die Verpflichtungen aus Art. 13 Abs. 1 Buchst. d und Art. 13 Abs. 2 Buchst. e der Verordnung 2016/679 verstoßen hat, und außerdem gemeinsam, dass die Informationen aus der sogenannten „Lossy Hashing Procedure“, die auf Daten hinsichtlich der „Kontakte“, die keine WhatsApp-Nutzer sind und die in den Adressbüchern der Endgeräte der WhatsApp-Nutzer enthalten sind, angewandt wird, als personenbezogene Daten eingestuft werden, dass WhatsApp aufgrund dieser Einstufung gegen die Verpflichtungen aus Art. 14 der Verordnung 2016/679 verstoßen hat, dass WhatsApp eine Frist von drei Monaten eingeräumt wird, um die in der Verordnung 2016/679 genannten Anforderungen zu erfüllen, und dass bestimmte Punkte der Abhilfemaßnahmen genannt werden, nämlich derjenigen, die sich auf die personenbezogenen Daten von Nicht-WhatsApp-Nutzern und die Verpflichtung beziehen, den Nutzern von WhatsApp die in Art. 13 Abs. 2 Buchst. e der Verordnung 2016/679 genannten Informationen zur Verfügung zu stellen; beiden Beschlüssen gemeinsam ist auch die Auslegung der Kriterien für die Höhe der gegen WhatsApp verhängten Geldbußen und die Anhebung des Betrags dieser Geldbußen im Vergleich zu der im Beschlussentwurf der irischen Aufsichtsbehörde vorgesehenen Gesamthöhe von 30 bis 50 Millionen Euro.
56 Die folgenden Punkte des endgültigen Beschlusses hingegen ergeben sich aus der Bewertung der irischen Aufsichtsbehörde, ohne dass der EDSA in dem angefochtenen Beschluss insoweit eine Stellungnahme abgegeben hätte: die Feststellung, dass WhatsApp gegen die in Art. 12 Abs. 1, Art. 13 Abs. 1 Buchst. c, e und f sowie Art. 13 Abs. 2 Buchst. a und c der Verordnung 2016/679 genannten Verpflichtungen verstoßen hat; die Feststellung, dass WhatsApp die Verpflichtungen aus Art. 13 Abs. 1 Buchst. a und b sowie Art. 13 Abs. 2 Buchst. b und d der Verordnung 2016/679 eingehalten hat; die Eigenschaft von WhatsApp bei der Verarbeitung von personenbezogenen Daten von Nicht-Nutzern seines Messengerdienstes; der wesentliche Inhalt der WhatsApp auferlegten Abhilfemaßnahmen, d. h. der Maßnahmen, mit denen die Einhaltung der in Art. 12 Abs. 1, Art. 13 Abs. 1 Buchst. c, d, e und f sowie Art. 13 Abs. 2 Buchst. a und c der Verordnung 2016/679 enthaltenen Verpflichtungen sichergestellt werden soll; die konkrete Bestimmung der Höhe der gegen WhatsApp verhängten Geldbußen, die zu einer Gesamtsumme von 225 Millionen Euro führte.
57 Insbesondere ist festzustellen, dass die irische Aufsichtsbehörde von ihrem Ermessensspielraum Gebrauch gemacht hat, um den Weisungen Folge zu leisten, die ihr in dem angefochtenen Beschluss in Bezug auf die Einstufung der Informationen aus der sogenannten „Lossy Hashing Procedure“ als personenbezogene Daten und in Bezug auf die Geldbußen erteilt worden waren.
58 Hinsichtlich des ersten Punktes, d. h. der Frage der Verarbeitung personenbezogener Daten von Nicht-WhatsApp-Nutzern, namentlich der Informationen aus der sogenannten „Lossy Hashing Procedure“, bestand, wie aus Rn. 111 des endgültigen Beschlusses hervorgeht, der nächste Schritt der Prüfung zur Klärung dessen, ob WhatsApp in Bezug auf diese Personen gegen die Verpflichtungen aus Art. 14 der Verordnung 2016/679 verstoßen hatte, darin, die Frage zu beantworten, ob WhatsApp im Hinblick auf die Verarbeitung dieser personenbezogenen Daten als Verantwortlicher oder als reiner Auftragsverarbeiter anzusehen ist, der im Auftrag eines Nutzers seines Messengerdienstes, der die Funktion „Kontakte“ aktiviert hatte, handelte. Dieser Prüfungsschritt, bei dem Ersteres bejaht wurde, beruhte jedoch auf einer Beurteilung der irischen Aufsichtsbehörde, ohne dass der EDSA in dem angefochtenen Beschluss eine Stellungnahme hierzu abgegeben hätte.
59 Was die Festsetzung der Geldbußen betrifft, so enthält der angefochtene Beschluss zwar Weisungen zur Auslegung der Kriterien für die Höhe der aufgrund der Verordnung 2016/679 verhängten Geldbußen und zur Erhöhung des Gesamtbetrags der im vorliegenden Fall gegen WhatsApp zu verhängenden Geldbußen im Vergleich zu dem, was die irische Aufsichtsbehörde in ihrem Beschlussentwurf vorgesehen hatte, doch verblieb dieser immer noch ein Ermessensspielraum bei der Festlegung der konkreten Höhe der gegen WhatsApp zu verhängenden Geldbußen. Wie in Rn. 8 erwähnt, ersuchte die irische Aufsichtsbehörde WhatsApp außerdem vor dem Erlass des endgültigen Beschlusses um deren Stellungnahme zu den neuen Geldbußen, die sie gegen das Unternehmen zu verhängen beabsichtigte, was mit der Feststellung in Einklang steht, dass der Aufsichtsbehörde in dieser Hinsicht ein Ermessensspielraum verblieb. Für den vorliegenden Fall lässt sich feststellen, dass die irische Aufsichtsbehörde sich im endgültigen Beschluss für die neue Geldbuße letztlich am unteren Ende der möglichen Spanne orientiert hat.
60 Der endgültige Beschluss stellt ein Ganzes dar, von dem diejenigen Teile, die den im angefochtenen Beschluss enthaltenen Weisungen entsprechen, nicht in der Weise abgesondert werden können, dass man sie zu einem endgültigen „Unter-Beschluss“ zusammenfasst, hinsichtlich dessen der Aufsichtsbehörde kein Ermessensspielraum verblieben wäre. Denn die Untersuchung und der endgültige Beschluss der irischen Aufsichtsbehörde betrafen die Frage, ob WhatsApp den in der Verordnung 2016/679 festgelegten Transparenzgrundsatz und alle mit ihm verbundenen und in der Verordnung aufgeführten konkreten Verpflichtungen eingehalten hat. Geprüft wurde daher im endgültigen Beschluss das gesamte diesbezügliche Vorgehen von WhatsApp, und ein einzelner Aspekt dieses Vorgehens wurde anhand mehrerer einschlägiger Bestimmungen der Verordnung 2016/679 untersucht, z. B. anhand von Art. 5 Abs. 1 Buchst. a, Art. 12 Abs. 1 und der zahlreichen Bestimmungen des Art. 13 der Verordnung 2016/679, wohingegen der angefochtene Beschluss nur einige dieser Bestimmungen untersucht hat. Es wäre nicht sinnvoll, bestimmte einzelne Punkte aus der Gesamtbewertung des endgültigen Beschlusses herauszulösen, während das Verfahren gegen WhatsApp, das auf Initiative und unter der Verantwortung der irischen Aufsichtsbehörde als federführender Aufsichtsbehörde eingeleitet worden war, die Einhaltung des Transparenzgrundsatzes durch WhatsApp insgesamt betraf. Was insbesondere die Festsetzung der finanziellen Sanktionen betrifft, so wurde die Höhe jeder der vier Geldbußen von der irischen Aufsichtsbehörde im Hinblick auf die Gesamtheit der festgestellten Verstöße gegen Art. 5 Abs. 1 Buchst. a, Art. 12, 13 und 14 der Verordnung 2016/679 festgesetzt.
61 Folglich ist keine der beiden oben in Rn. 51 genannten Voraussetzungen erfüllt, bei deren kumulativem Vorliegen davon ausgegangen werden könnte, dass WhatsApp von dem angefochtenen Beschluss unmittelbar betroffen wäre.
62 Nach alledem ist die Klage von WhatsApp nicht zulässig.
63 Dieses Ergebnis steht im Einklang mit dem, was in Bezug auf andere Verfahren entschieden worden ist, in denen eine verbindliche Rechtshandlung der Union, die Unternehmen betraf, an einen Mitgliedstaat gerichtet war.
64 So wird im Bereich der Kontrolle staatlicher Beihilfen entschieden, dass, wenn die Kommission einen Beschluss erlässt, mit dem eine bereits gewährte Beihilfe für rechtswidrig und mit dem Binnenmarkt unvereinbar erklärt wird, und sie den Mitgliedstaat, der die Beihilfen gewährt hat, anweist, sie zurückzufordern, die Empfänger der gezahlten Beihilfen von diesem Beschluss unmittelbar und individuell betroffen sind (vgl. in diesem Sinne Urteil vom 19. Oktober 2000, Italien und Sardegna Lines/Kommission, C‑15/98 und C‑105/99, EU:C:2000:570, Rn. 33 bis 36). Hierbei wurde darauf hingewiesen, dass die Begünstigten ab dem Zeitpunkt des Erlasses eines solchen Beschlusses der Wiedereinziehung der von ihnen empfangenen Vorteile ausgesetzt und damit in ihrer Rechtsstellung beeinträchtigt sind (Urteil vom 9. Juni 2011, Comitato „Venezia vuole vivere“ u. a./Kommission, C‑71/09 P, C‑73/09 P und C‑76/09 P, EU:C:2011:368, Rn. 56). Dies erklärt sich daraus, dass das Kontrollverfahren in diesem Stadium abgeschlossen ist, dass – da die zurückzufordernden Beträge automatisch gemäß dem Beschluss der Kommission und der den betroffenen Unternehmen zuvor gewährten Beihilfen bestimmt werden – keine zusätzliche inhaltliche Würdigung vorzunehmen ist, dass der Mitgliedstaat verpflichtet ist, die Rückforderung dieser Beihilfen selbst zu veranlassen und sie – außer unter sehr außergewöhnlichen Umständen – erfolgreich durchzuführen (vgl. in diesem Sinne Urteile vom 7. Juni 1988, Kommission/Griechenland, 63/87, EU:C:1988:285, vom 20. September 1990, Kommission/Deutschland, C‑5/89, EU:C:1990:320, Rn. 15 und 16, und vom 20. März 1997, Alcan Deutschland, C‑24/95, EU:C:1997:163), und dass Dritte auf der Grundlage des Beschlusses der Kommission vor der betreffenden Verwaltung oder vor nationalen Gerichten die Rückzahlung der entsprechenden Beihilfen verlangen können, ohne selbst die Beweislast dafür tragen zu müssen, dass diese rechtswidrig gewährt wurden (vgl. entsprechend Urteil vom 12. Februar 2008, CELF und Minister für Kultur und Kommunikation, C‑199/06, EU:C:2008:79, Rn. 23 und 39 bis 41). Im vorliegenden Fall erging der angefochtene Beschluss nicht in einem vergleichbaren Stadium des Verfahrens, da das Kontrollverfahren mit dem Erlass des genannten Beschlusses nicht abgeschlossen war, von der federführenden Aufsichtsbehörde zusätzliche Bewertungen hinsichtlich der Einhaltung der Bestimmungen der Verordnung 2016/679 durch WhatsApp und in Bezug auf die drohende Sanktion noch bestätigt oder vorgenommen werden mussten und der angefochtene Beschluss selbst nicht als rechtswirksamer Titel dienen konnte, um WhatsApp Verpflichtungen aufzuerlegen.
65 Es ist auch entschieden worden, dass ein an einen Mitgliedstaat gerichteter Beschluss der Kommission, in dem diesem Staat mitgeteilt wird, dass europäische Finanzmittel zugunsten eines Unternehmens gegenüber den ursprünglich vorgesehenen Mitteln gekürzt werden, weil bestimmte von diesem Unternehmen geltend gemachte Ausgaben für diese Finanzierung nicht förderfähig sind, das Unternehmen unmittelbar und individuell betrifft, da ihm durch den betreffenden Beschluss ein Teil der ihm ursprünglich gewährten finanziellen Unterstützung entzogen wird, ohne dass der Mitgliedstaat insoweit über einen Ermessensspielraum verfügt (Urteil vom 4. Juni 1992, Infortec/Kommission, C‑157/90, EU:C:1992:243, Rn. 17). Im Gegensatz zu dem Beschluss der Kommission, der zu dieser Bewertung führte, ist der angefochtene Beschluss im vorliegenden Fall jedoch, wie oben in Rn. 52 festgestellt, nicht der letzte Schritt im betreffenden vollständigen Verfahren, und er hat, wie oben in Rn. 56 und 57 festgestellt, der irischen Aufsichtsbehörde einen Ermessensspielraum belassen.
66 Auch im Gesamtzusammenhang betrachtet fügt es sich in die Logik des durch den EU-Vertrag und den AEU-Vertrag festgelegten Systems der gerichtlichen Rechtsbehelfe ein, dass die von WhatsApp gegen den angefochtenen Beschluss beim Gericht erhobene Klage unzulässig ist.
67 Wie in Art. 2 EU-Vertrag vorgesehen, ist namentlich die Rechtsstaatlichkeit eine der Grundlagen der Union. Nach Art. 6 Abs. 1 EU-Vertrag erkennt die Union die Rechte, Freiheiten und Grundsätze an, die in der Charta der Grundrechte der Europäischen Union niedergelegt sind, und Art. 47 der Charta garantiert das Recht auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht. Art. 19 EU-Vertrag stellt klar, dass der Gerichtshof der Europäischen Union die Wahrung des Rechts bei der Auslegung und Anwendung der Verträge sichert und insbesondere nach Maßgabe der Verträge über Klagen eines Mitgliedstaats, eines Organs oder natürlicher oder juristischer Personen und auf Antrag der nationalen Gerichte im Wege der Vorabentscheidung über die Auslegung des Unionsrechts oder die Gültigkeit der von den Organen erlassenen Rechtsakte sowie in den anderen von den Verträgen vorgesehenen Fällen entscheidet. Derselbe Artikel sieht vor, dass die Mitgliedstaaten die erforderlichen Rechtsbehelfe schaffen, damit ein wirksamer Rechtsschutz in den vom Unionsrecht erfassten Bereichen gewährleistet ist.
68 Genauer gesagt hat der AEU-Vertrag namentlich mit seinem Art. 263 über direkte Klagen vor dem Gerichtshof der Europäischen Union und mit seinem Art. 267 zu den Fällen, in denen der Gerichtshof insbesondere über die Gültigkeit und die Auslegung von Handlungen der Organe, Einrichtungen und sonstige Stellen der Union im Wege des Vorabentscheidungsverfahrens entscheidet, ein vollständiges System von Rechtsbehelfen geschaffen, das die Kontrolle der Rechtmäßigkeit der Handlungen der Union gewährleisten soll (vgl. in diesem Sinne Urteil vom 25. Juli 2002, Unión de Pequeños Agricultores/Rat, C‑50/00 P, EU:C:2002:462, Rn. 40). An diesem System sind sowohl der Gerichtshof der Europäischen Union, zu dem auch das Gericht gehört, als auch die nationalen Gerichte beteiligt. Personen, die aufgrund der in Art. 263 AEUV genannten Zulässigkeitsvoraussetzungen Handlungen der Union nicht direkt vor dem Gerichtshof der Europäischen Union anfechten können, haben in diesem System die Möglichkeit, mit der Einrede der Rechtswidrigkeit die Ungültigkeit einer solchen Handlung vor dem nationalen Gericht geltend zu machen, indem sie bei diesem eine Klage gegen die einzelstaatlichen Maßnahmen zur Umsetzung dieser Handlung erheben. In dieser Situation ist es Sache des nationalen Gerichts, wenn es eine Entscheidung darüber zum Erlass seines Urteils für erforderlich hält und Zweifel an der Gültigkeit dieser Handlung hat, dem Gerichtshof der Europäischen Union eine Frage zur Vorabentscheidung vorzulegen (vgl. in diesem Sinne und entsprechend erneut Urteil vom 25. Juli 2002, Unión de Pequeños Agricultores/Rat, C‑50/00 P, EU:C:2002:462, Rn. 40).
69 Nach der Logik dieses Systems, die insbesondere die oben in den Rn. 35 bis 62 dargelegte Auslegung der Zulässigkeitsvoraussetzungen für direkte Klagen nach Art. 263 AEUV erklärt, sollen sich die Rechtsprechungstätigkeit des Gerichtshofs der Europäischen Union und die der nationalen Gerichte wirksam ergänzen, und der Unionsrichter und der nationale Richter sollen nicht gleichzeitig in parallelen Verfahren über die Gültigkeit derselben Handlung der Union befinden, sei es unmittelbar oder, im Falle des nationalen Richters, falls er Zweifel an der Gültigkeit der betreffenden Handlung hat, infolge eines Vorabentscheidungsersuchens. Mit dieser Logik ließ sich insbesondere die Entscheidung rechtfertigen, dass ein Kläger, der einen Beschluss der Union unmittelbar vor dem Gerichtshof der Europäischen Union hätte anfechten können, die Gültigkeit dieses Beschlusses später nicht mehr in Frage stellen kann, vor allem nicht in einem nachfolgenden Verfahren vor einem nationalen Gericht (vgl. in diesem Sinne Urteil vom 9. März 1994, TWD Textilwerke Deggendorf, C‑188/92, EU:C:1994:90, Rn. 17; vgl. in diesem Sinne auch Urteil vom 9. Juni 2011, Comitato „Venezia vuole vivere“ u. a./Kommission, C‑71/09 P, C‑73/09 P und C‑76/09 P, EU:C:2011:368, Rn. 58 und die dort angeführte Rechtsprechung). Umgekehrt kann nach ständiger Rechtsprechung die Rechtswidrigkeit einer nicht anfechtbaren Handlung der Union, die als Grundlage für eine andere Handlung dient, bei einer Klage gegen diese zweite Handlung geltend gemacht werden (Urteil vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 12 und im Umkehrschluss die vorstehenden Rechtsprechungsnachweise).
70 Hielte man die Klage von WhatsApp gegen den angefochtenen Beschluss für zulässig, würde dies im vorliegenden Fall dazu führen, dass zwei parallele Gerichtsverfahren mit erheblichen Überschneidungen geführt würden: eines vor diesem Gericht gegen den angefochtenen Beschluss und ein anderes vor einem irischen Gericht, in dem der endgültige Beschluss angefochten wird, dessen Begründung teilweise auf dem angefochtenen Beschluss beruht. WhatsApp hat im Übrigen, um eine Fristverlängerung für die Einreichung der Erwiderung vor dem Gericht zu erwirken, die parallele Arbeitsbelastung angeführt, die das Verfahren vor dem angerufenen irischen Gericht dem Unternehmen abverlange. Sofern nicht eines der angerufenen Gerichte das bei ihm anhängige Verfahren aussetzt, was dazu führen könnte, dass für die abschließende Klärung der Rechtmäßigkeit des endgültigen Beschlusses mehr Zeit verstreicht, könnten diese parallelen Verfahren sogar zu der Situation führen, dass gleichzeitig der Gerichtshof im Wege der Vorabentscheidung und das Gericht im Zuge der Direktklage von WhatsApp über die Gültigkeit des angefochtenen Beschlusses zu entscheiden hätten. Angesichts des oben in den Rn. 68 und 69 dargestellten Rechtsschutzsystems und in Anbetracht der Bestimmungen von Art. 78 der Verordnung 2016/679 über das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde ist es gegebenenfalls Sache des angerufenen und insoweit allein zuständigen irischen Gerichts, die Rechtmäßigkeit des endgültigen Beschlusses, der WhatsApp entgegengehalten werden kann, zu überprüfen und dabei dem Gerichtshof der Europäischen Union ein Vorabentscheidungsersuchen zur Beurteilung der Gültigkeit des angefochtenen Beschlusses vorzulegen, wenn es dies für seine Entscheidung im Rechtsstreit zwischen WhatsApp und der irischen Aufsichtsbehörde für erforderlich hält. Das angerufene irische Gericht könnte insoweit den ihm vorgelegten Rechtsstreit entweder so entscheiden, dass es die Einrede der Rechtswidrigkeit, die gegen den angefochtenen Beschluss erhoben werden könnte, ohne Anrufung des Gerichtshofs verwirft, wenn es keine Zweifel an der Gültigkeit dieses Beschlusses hat, oder es könnte hingegen den Gerichtshof anrufen, wenn es solche Zweifel hegt, oder es könnte den Rechtsstreit auch unabhängig von der Frage der Gültigkeit des angefochtenen Beschlusses unter Würdigung der vorgetragenen Angriffs- und Verteidigungsmittel entscheiden. Dies entspricht angesichts der eingangs in dieser Randnummer genannten Risiken, die durch parallele Gerichtsverfahren entstehen, dem Interesse an einer geordneten Rechtspflege.
71 Schließlich ist in Bezug auf den oben in Rn. 33 zitierten 143. Erwägungsgrund der Verordnung 2016/679, der darauf hindeuten könnte, dass eine Klage wie die von WhatsApp vor dem Gericht erhobene zulässig wäre, darauf hinzuweisen, dass ein Erwägungsgrund einer Verordnung zwar dazu beitragen kann, Aufschluss über die Auslegung einer Rechtsvorschrift zu geben, jedoch selbst keine solche Vorschrift darstellt und dass die Präambel eines Unionsrechtsakts rechtlich nicht verbindlich ist (vgl. Urteil vom 26. Oktober 2017, Marine Harvest/Kommission, T‑704/14, EU:T:2017:753, Rn. 150 und die dort angeführte Rechtsprechung; vgl. in diesem Sinne auch Urteil vom 24. November 2005, Deutsches Milch-Kontor, C‑136/04, EU:C:2005:716, Rn. 32 und die dort angeführte Rechtsprechung). Im vorliegenden Fall stützt sich keine Bestimmung der Verordnung 2016/679, wie oben in den Rn. 32 und 35 festgestellt wurde, auf diesen Erwägungsgrund. Darüber hinaus kann eine Klarstellung in der Begründung einer Verordnung nicht Vorrang vor den geltenden primärrechtlichen Vorschriften in den Verträgen haben, in diesem Fall vor Art. 263 Abs. 1 und 4 AEUV, deren Kern im Übrigen teilweise im fraglichen Erwägungsgrund mit dem im ersten Satz enthaltenen Hinweis darauf wiederholt wird, dass „[j]ede natürliche oder juristische Person das Recht [hat], unter den in Artikel 263 AEUV genannten Voraussetzungen beim Gerichtshof eine Klage auf Nichtigerklärung eines Beschlusses des Ausschusses zu erheben.“
72 Nach alledem ist die Klage als unzulässig abzuweisen.
Zu den Anträgen auf Zulassung als Streithelfer
73 Nach Art. 142 Abs. 2 der Verfahrensordnung ist die Streithilfe akzessorisch zum Rechtsstreit zwischen den Hauptparteien und wird u. a. dann gegenstandslos, wenn die Klage für unzulässig erklärt wird.
74 Daher haben sich die Anträge auf Zulassung zur Streithilfe und die durch sie veranlassten Anträge auf Schutz der Vertraulichkeit von Bestandteilen der Akten erledigt.
Kosten
75 Nach Art. 134 Abs. 1 der Verfahrensordnung ist die unterliegende Partei auf Antrag zur Tragung der Kosten zu verurteilen. Da WhatsApp unterlegen ist, sind dem Unternehmen gemäß den Anträgen des EDSA und vorbehaltlich der nachstehenden Ausführungen in Rn. 76 die Kosten aufzuerlegen.
76 Außerdem tragen gemäß Art. 144 Abs. 10 der Verfahrensordnung derjenige, der einen Antrag auf Zulassung zur Streithilfe gestellt hat, und die Hauptparteien jeweils ihre eigenen im Zusammenhang mit dem Antrag auf Zulassung zur Streithilfe entstandenen Kosten, wenn das Verfahren in der Hauptsache beendet wird, bevor über den Antrag auf Zulassung zur Streithilfe entschieden wurde. Im vorliegenden Fall tragen WhatsApp, der EDSA, die Republik Finnland, die Kommission, der Europäische Datenschutzbeauftragte und die Computer & Communication Industry Association jeweils ihre eigenen Kosten im Zusammenhang mit den Streithilfeanträgen.
Aus diesen Gründen hat
DAS GERICHT (Vierte erweiterte Kammer)
beschlossen:
1. Die Klage wird als unzulässig abgewiesen.
2. Die Anträge der Republik Finnland, der Europäischen Kommission, des Europäischen Datenschutzbeauftragten und der Computer & Communication Industry Association auf Zulassung zur Streithilfe sowie die durch sie veranlassten Anträge auf vertrauliche Behandlung haben sich erledigt.
3. WhatsApp Ireland Ltd trägt ihre eigenen Kosten sowie die Kosten des Europäischen Datenschutzausschusses mit Ausnahme von dessen Kosten im Zusammenhang mit den Anträgen auf Zulassung zur Streithilfe.
4. Der Europäische Datenschutzausschuss, die Republik Finnland, die Kommission, der Europäische Datenschutzbeauftragte und die Computer & Communication Industry Association tragen jeweils ihre eigenen Kosten im Zusammenhang mit den Anträgen auf Zulassung zur Streithilfe.
Luxemburg, den 7. Dezember 2022
|
Der Kanzler |
Der Präsident |
|
E. Coulon |
S. Gervasoni |
* Verfahrenssprache: Englisch.