Vorläufige Fassung
URTEIL DES GERICHTS (Zehnte erweiterte Kammer)
29. Januar 2025(* )
„ Schutz personenbezogener Daten – Art. 65 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 – Verbindlicher Beschluss, mit dem einer federführenden Aufsichtsbehörde aufgegeben wird, den Untersuchungsbereich auszuweiten und einen ergänzenden Beschlussentwurf auszuarbeiten – Zuständigkeit des Europäischen Datenschutzausschusses “
In den verbundenen Rechtssachen T‑70/23, T‑84/23 und T‑111/23,
Data Protection Commission mit Sitz in Dublin (Irland), vertreten durch D. Young, A. Bateman, R. Minch, M. Delargy, K. Donnelly, Solicitors, B. Kennelly, SC, D. Fennelly, E. Synnott und R. Costello, Barristers,
Klägerin,
gegen
Europäischer Datenschutzausschuss, vertreten durch I. Vereecken, C. Foglia und M. Gufflet als Bevollmächtigte, im Beistand von G. Ryelandt, E. de Lophem und P. Vernet, Avocats,
Beklagte,
erlässt
DAS GERICHT (Zehnte erweiterte Kammer)
unter Mitwirkung der Kammerpräsidentin O. Porchia, der Richter M. Jaeger, L. Madise (Berichterstatter), P. Nihoul und S. Verschuur,
Kanzler: M. Zwozdziak-Carbonne, Verwaltungsrätin,
aufgrund des schriftlichen Verfahrens,
auf die mündliche Verhandlung vom 16. April 2024
folgendes
Urteil (1 )
1 Mit ihren Klagen nach Art. 263 AEUV beantragt die Klägerin, die Data Protection Commission, bei der es sich um die irische Aufsichtsbehörde auf dem Gebiet des Schutzes personenbezogener Daten handelt, die verbindlichen Beschlüsse 3/2022, 4/2022 und 5/2022 des Europäischen Datenschutzausschusses (im Folgenden: EDSA) vom 5. Dezember 2022 – die sich auf zwischen den betroffenen Aufsichtsbehörden bestehende Streitigkeiten beziehen, die anlässlich von die sozialen Netzwerke Facebook und Instagram bzw. den Messengerdienst WhatsApp betreffenden Beschlussentwürfen der Klägerin entstanden sind – teilweise für nichtig zu erklären, soweit der Klägerin mit diesen verbindlichen Beschlüssen aufgegeben wird, neuerliche Untersuchungen über die mit der Benutzung dieser Anwendungen verbundenen Datenverarbeitungen durchzuführen und auf dieser Grundlage ergänzende Beschlussentwürfe auszuarbeiten.
Sachverhalt und Verfahren
[nicht wiedergegeben ]
6 Nach einem Austausch mit den anderen betroffenen Aufsichtsbehörden stellte die Klägerin fest, dass sich kein Konsens über die Einsprüche gegen ihre Beschlussentwürfe abzeichnete, und wandte sich gemäß Art. 60 Abs. 4 der Verordnung 2016/679 im Rahmen des mit dieser Verordnung eingeführten Kohärenzverfahrens an den EDSA.
7 Nach Prüfung der drei Fälle erließ der EDSA am 5. Dezember 2022 auf der Grundlage von Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 die verbindlichen Beschlüsse 3/2022, 4/2022 und 5/2022. In diesen drei verbindlichen Beschlüssen stellte er zunächst fest, dass die meisten Einsprüche gegen die Beschlussentwürfe der Klägerin maßgeblich und begründet im Sinne von Art. 4 Nr. 24 der Verordnung 2016/679 seien und er zu den damit aufgeworfenen Fragen Stellung nehmen könne. Insoweit stimmte der EDSA einer Reihe der von ihm als maßgeblich und begründet beurteilten Einsprüche in der Sache zu.
[nicht wiedergegeben ]
Anträge der Parteien
15 Die Klägerin beantragt,
– in der Rechtssache T‑70/23 jeweils den zweiten Satz der Rn. 198 und 487 des verbindlichen Beschlusses 3/2022 des EDSA für nichtig zu erklären;
– in der Rechtssache T‑84/23 jeweils den zweiten Satz der Rn. 203 und 454 des verbindlichen Beschlusses 4/2022 des EDSA für nichtig zu erklären;
– in der Rechtssache T‑111/23 die Rn. 222 und 326.8 des verbindlichen Beschlusses 5/2022 des EDSA für nichtig zu erklären;
– die ihr entstandenen Kosten in allen drei Rechtssachen dem EDSA aufzuerlegen.
16 Der EDSA beantragt in allen drei Rechtssachen,
– die Klagen abzuweisen;
– hilfsweise, die Nichtigerklärung der angefochtenen Beschlüsse auf deren maßgeblichen Teile zu beschränken;
– der Klägerin die Kosten aufzuerlegen.
Rechtliche Würdigung
17 Die Klägerin macht in allen drei Rechtssachen einen einzigen Klagegrund geltend, wonach der EDSA die ihm durch Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 übertragene Zuständigkeit überschritten habe, indem er der Klägerin in jedem der in Rede stehenden verbindlichen Beschlüsse zum einen aufgegeben habe, eine neuerliche Untersuchung zu noch nicht geprüften Aspekten durchzuführen, und ihr zum anderen aufgegeben habe, auf Grundlage der Ergebnisse dieser neuerlichen Untersuchung einen ergänzenden Beschlussentwurf gemäß Art. 60 Abs. 3 dieser Verordnung vorzulegen.
[nicht wiedergegeben ]
Zum einzigen Klagegrund: Unzuständigkeit des EDSA für den Erlass der angefochtenen Weisungen
[nicht wiedergegeben ]
29 Nach dieser Klarstellung ist darauf hinzuweisen, dass nach ständiger Rechtsprechung bei der Auslegung einer Unionsvorschrift grundsätzlich nicht nur ihr Wortlaut, sondern auch ihr Zusammenhang und die Ziele zu berücksichtigen sind, die mit der Regelung, zu der sie gehört, verfolgt werden (vgl. in diesem Sinne Urteil vom 29. November 2018, Mensing, C‑264/17, EU:C:2018:968, Rn. 24 und die dort angeführte Rechtsprechung). Im vorliegenden Fall beruhen einige Argumente der Klägerin auch auf Erwägungen oder Grundsätzen, die über die Verordnung 2016/670 selbst hinausgehen. Das Gericht wird daher über den Umfang der Zuständigkeit des EDSA nach Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 befinden, wobei es, soweit erforderlich, zunächst die von der Klägerin im Rahmen einer wörtlichen, systematischen, teleologischen und historischen Analyse dieser Verordnung vorgebrachten Argumente prüfen wird; im Anschluss daran werden, soweit erforderlich, die Argumente zu den Voraussetzungen für die Übertragung einer Zuständigkeit an eine Einrichtung der Union, zu den Merkmalen der auf nationaler Ebene ausgeübten gerichtlichen Kontrolle und zur Unabhängigkeit der mit dem Schutz personenbezogener Daten betrauten Aufsichtsbehörden geprüft.
Zu den in Bezug auf den Umfang der Zuständigkeit des EDSA nach Art. 65 Abs. 1 Buchst. a dieser Verordnung im Rahmen einer wörtlichen, systematischen, teleologischen und historischen Analyse der Verordnung 2016/679 vorgebrachten Argumenten
30 Die Klägerin macht, gestützt auf den jeweiligen Wortlaut von Art. 65 Abs. 1 Buchst. a, Art. 65 Abs. 6 und von Art. 4 Nr. 24 der Verordnung 2016/679, geltend, dass dem EDSA die Zuständigkeit fehle, einer federführenden Aufsichtsbehörde in einem gemäß der erstgenannten Bestimmung erlassenen verbindlichen Beschluss aufzugeben, ihre Untersuchung auszuweiten und, um die Schlüsse aus dieser ergänzenden Untersuchung zu ziehen, einen neuen Beschlussentwurf vorzulegen. In dieser Hinsicht beruft sich die Klägerin auch auf die Erwägungsgründe 126 und 136 dieser Verordnung.
31 Art. 65 Abs. 1 Buchst. a der Verordnung Nr. 2016/679 bestimmt:
„Um die ordnungsgemäße und einheitliche Anwendung dieser Verordnung in Einzelfällen sicherzustellen, erlässt der [EDSA] … einen verbindlichen Beschluss[,] … wenn eine betroffene Aufsichtsbehörde … einen maßgeblichen und begründeten Einspruch gegen einen Beschlussentwurf der federführenden Aufsichtsbehörde eingelegt hat und sich die federführende Aufsichtsbehörde dem Einspruch nicht angeschlossen hat oder den Einspruch als nicht maßgeblich oder nicht begründet abgelehnt hat. Der verbindliche Beschluss betrifft alle Angelegenheiten, die Gegenstand des maßgeblichen und begründeten Einspruchs sind, insbesondere die Frage, ob ein Verstoß gegen diese Verordnung vorliegt …“.
32 Art. 4 Nr. 24 der Verordnung 2016/679 definiert den maßgeblichen und begründeten Einspruch als
„einen Einspruch gegen einen Beschlussentwurf im Hinblick darauf, ob ein Verstoß gegen diese Verordnung vorliegt oder ob beabsichtigte Maßnahmen gegen den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit dieser Verordnung steh[en], wobei aus diesem Einspruch die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen und gegebenenfalls den freien Verkehr personenbezogener Daten in der Union ausgehen …“.
33 In Art. 65 Abs. 6 der Verordnung 2016/679 heißt es u. a.:
„Die federführende Aufsichtsbehörde oder gegebenenfalls die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, trifft den endgültigen Beschluss auf der Grundlage des in Absatz 1 des vorliegenden Artikels genannten Beschlusses unverzüglich und spätestens einen Monat, nachdem der [EDSA] seinen Beschluss mitgeteilt hat. … Der endgültige Beschluss der betroffenen Aufsichtsbehörden wird gemäß Artikel 60 Absätze 7, 8 und 9 angenommen. Im endgültigen Beschluss wird auf den in Absatz 1 genannten Beschluss verwiesen und festgelegt, dass der in Absatz 1 des vorliegenden Artikels genannte Beschluss gemäß Absatz 5 auf der Website des [EDSA] veröffentlicht wird. Dem endgültigen Beschluss wird der in Absatz 1 des vorliegenden Artikels genannte Beschluss beigefügt.“
34 Nach Ansicht der Klägerin beschränken die drei vorstehend in den Rn. 31 bis 33 angeführten Bestimmungen die Tragweite eines auf der Grundlage von Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 erlassenen verbindlichen Beschlusses des EDSA auf den Bereich der Analysen, die im Beschlussentwurf der federführenden Aufsichtsbehörde angestellt worden seien, der den anderen betroffenen Aufsichtsbehörden mit der Akte übermittelt worden sei. Ein solcher verbindlicher Beschluss könne nämlich nur im Anschluss an einen maßgeblichen und begründeten Einspruch ergehen, der sich auf den Inhalt des Beschlussentwurfs und nicht auf etwas beziehen sollte, was darin nicht enthalten sei. Die Rechtswirkung des verbindlichen Beschlusses beschränke sich darauf, inwieweit die zuständige Aufsichtsbehörde gemäß Art. 65 Abs. 6 der Verordnung innerhalb eines Monats nach Mitteilung des verbindlichen Beschlusses in ihrem endgültigen Beschluss gegenüber dem Beschlussentwurf Änderungen vorzunehmen habe. Der verbindliche Beschluss könne sich somit nur darauf beziehen, wie die Verordnung 2016/679 in Bezug auf den Inhalt des Beschlussentwurfs der federführenden Aufsichtsbehörde zutreffend auszulegen sei, und die in Rede stehenden Bestimmungen räumten dem EDSA keine Befugnis ein, dieser Behörde Weisungen zu einem anderen Gegenstand zu erteilen, etwa um sie zu Untersuchungen oder zur Vorlage eines neuen Beschlussentwurfs zu verpflichten.
35 Diese Lesart ist jedoch im Hinblick auf den Wortlaut der oben in den Rn. 31 bis 33 angeführten Bestimmungen restriktiv. Es ist nämlich daran zu erinnern, dass nach Art. 4 Nr. 24 der Verordnung 2016/679 ein „Einspruch gegen einen Beschlussentwurf im Hinblick darauf, ob ein Verstoß gegen diese Verordnung vorliegt …, wobei aus diesem Einspruch die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen … ausgehen“, vom Begriff des „maßgeblichen und begründeten Einspruchs“ mit umfasst wird. Zwar sieht Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 vor, dass ein auf dieser Grundlage erlassener verbindlicher Beschluss „alle Angelegenheiten [betrifft], die Gegenstand des maßgeblichen und begründeten Einspruchs sind,“ doch bleibt es unbenommen, dass sich ein solcher Einspruch darauf beziehen kann, dass ein Aspekt des Falles in einem solchen Beschlussentwurf der federführenden Aufsichtsbehörde nicht oder unzulänglich analysiert worden sei, wodurch sich nicht feststellen lässt, ob ein Verstoß gegen die Verordnung in Bezug auf diesen Aspekt vorliegt. Entgegen dem Vorbringen der Klägerin ist die Wendung „Einspruch gegen einen Beschlussentwurf“ nicht auf Einsprüche gegen im Beschlussentwurf enthaltene Erwägungen beschränkt. Da der verbindliche Beschluss des EDSA alle Angelegenheiten zu betreffen hat, die Gegenstand eines maßgeblichen und begründeten Einspruchs sind, wird mithin durch nichts verwehrt, dass ein solcher Beschluss, wenn der EDSA einen maßgeblichen und begründeten Einspruch im Hinblick auf ein Fehlen oder eine Unzulänglichkeit dieser Art bejaht, eine Weisung an die federführende Aufsichtsbehörde enthält, diese fehlende Analyse nachzuholen und, wenn dies in Anbetracht der dem EDSA vorliegenden Akte erforderlich erscheint, die bis dahin durchgeführte Untersuchung zu diesem Zweck zu vertiefen oder auszuweiten. Wenn die Aktenlage zur vollständigen Durchführung der erforderlichen Analyse offenbar unzureichend ist, muss dies dazu führen, dass der EDSA der zuständigen federführenden Aufsichtsbehörde eine Ergänzung der Untersuchung aufgeben kann.
36 Ferner ist festzustellen, dass der Wortlaut der drei oben in den Rn. 31 bis 33 angeführten Bestimmungen, betrachtet man sie insgesamt, die Tragweite eines verbindlichen Beschlusses nicht allein auf diejenigen unmittelbaren Änderungen beschränkt, die an dem von der federführenden Aufsichtsbehörde vorgelegten Beschlussentwurf vorzunehmen sind, um einen endgültigen Beschluss im Rahmen der in Art. 65 Abs. 6 der Verordnung 2016/679 festgelegten Voraussetzungen zu erlassen – d. h. auf Änderungen in Bezug auf den Inhalt des Beschlussentwurfs und nicht in Bezug auf etwas, was darin nicht enthalten ist. Insoweit dient die letztgenannte Bestimmung entgegen dem Vorbringen der Klägerin lediglich dazu, die Modalitäten für den Erlass des endgültigen Beschlusses, wenn dieser ohne Weiteres im Nachgang zu einem verbindlichen Beschluss des EDSA ergehen kann, klarzustellen, und zwar insbesondere dann, wenn eine Wiederaufnahme der Untersuchung oder eine umfangreichere oder eingehendere Analyse bestimmter Aspekte des Falles nicht erforderlich ist. Art. 65 Abs. 6 der Verordnung 2016/679 stellt keine Bestimmung über den möglichen Inhalt eines verbindlichen Beschlusses dar: Dieser Inhalt richtet sich nach der Rechtsgrundlage, nach der ein solcher Beschluss erlassen wird – im vorliegenden Fall nach Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679, der im Hinblick auf die Definition des Begriffs des „maßgeblichen und begründeten Einspruchs“ in Verbindung mit Art. 4 Nr. 24 dieser Verordnung zu lesen ist. In diesem Zusammenhang ist hervorzuheben, dass in Art. 65 Abs. 1 der Verordnung 2016/679 verschiedene Arten von verbindlichen Beschlüssen des EDSA vorgesehen sind, mit denen nicht zwangsläufig ein sich daran anschließender, unverzüglicher Erlass eines endgültigen Beschlusses einer Aufsichtsbehörde verbunden ist.
[nicht wiedergegeben ]
38 Die vorstehend in den Rn. 35 bis 36 vorgenommene wörtliche Analyse der oben in den Rn. 31 bis 33 angeführten Bestimmungen lässt sich entgegen dem Vorbringen der Klägerin nicht durch den Wortlaut der Erwägungsgründe 126 und 136 der Verordnung 2016/679 entkräften. Denn im erstgenannten dieser Erwägungsgründe nimmt der Gesetzgeber mit dem Hinweis darauf, dass „[d]er Beschluss … von der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden gemeinsam vereinbart werden [sollte]“, die Frage des Bereichs, den ein solcher Beschluss in einem bestimmten Fall einer Analyse zu unterziehen hat, keineswegs von der Würdigung durch andere betroffene Aufsichtsbehörden als der federführenden Aufsichtsbehörde aus, sondern das Gegenteil ist der Fall, da „der Beschluss“ nicht nur in den in ihm enthaltenen Beurteilungen, sondern auch im Bereich der von ihm abgedeckten Aspekte seinen Ausdruck findet. Folglich schließt es der Wortlaut dieses Erwägungsgrunds nicht aus, dass der EDSA eine Weisung zur Ausweitung der Analyse und – falls erforderlich – der Untersuchung erteilen kann, wenn in dieser Frage kein Konsens zwischen den betroffenen Aufsichtsbehörden besteht und der EDSA deswegen angerufen wird. Des Weiteren heißt es im 136. Erwägungsgrund der Verordnung 2016/679, der EDSA „sollte … in klar bestimmten Fällen, in denen die Aufsichtsbehörden insbesondere im Rahmen des Verfahrens der Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden widersprüchliche Standpunkte zu dem Sachverhalt, vor allem in der Frage, ob ein Verstoß gegen diese Verordnung vorliegt, … rechtsverbindliche Beschlüsse erlassen“. Entgegen dem Vorbringen der Klägerin handelt es sich beim Bereich der Untersuchung um keinen verfahrensrechtlichen, sondern um einen inhaltlichen Aspekt des Falles, da sich danach der Umfang dessen richtet, was zu prüfen ist, um zu beurteilen, ob die in Rede stehenden Datenverarbeitungen im Einklang mit der Verordnung 2016/79 stehen.
39 In diesem Zusammenhang kann bereits an dieser Stelle ein anderes Argument der Klägerin zurückgewiesen werden, wonach die oben in Rn. 35 festgehaltene Auslegung des Begriffs des „maßgeblichen und begründeten Einspruchs“ dem EDSA allein unter der Voraussetzung, dass die von einer betroffenen Aufsichtsbehörde aufgeworfene Frage als maßgeblicher und begründeter Einspruch in diesem Sinne eingestuft werde, die Möglichkeit einräume, der federführenden Aufsichtsbehörde Weisungen im Hinblick auf alle ihre Befugnisse zu erteilen. Wie sich aus Art. 4 Nr. 24 der Verordnung 2016/679 ergibt, kann sich ein maßgeblicher und begründeter Einspruch gegen einen Beschlussentwurf nur auf einen Aspekt hinsichtlich der Einhaltung dieser Verordnung oder darauf beziehen, ob die beabsichtigten Abhilfemaßnahmen gegen den Verantwortlichen oder den Auftragsverarbeiter selbst mit ihr im Einklang stehen. Ein solcher Einspruch kann sich also nur auf den Inhalt des Falles und auf die u. a. in Art. 58 Abs. 2 dieser Verordnung vorgesehenen endgültigen Entscheidungsbefugnisse der federführenden Aufsichtsbehörde beziehen, die ebenfalls inhaltlicher Natur sind. Folglich kann sich ein solcher Einspruch (im Gegensatz zum Untersuchungsbereich) nicht auf die Durchführung der Untersuchung im eigentlichen Sinne beziehen, die auf den in Art. 58 Abs. 1 der Verordnung 2016/679 genannten Untersuchungsbefugnissen der Aufsichtsbehörden beruht.
40 Die unter Berücksichtigung des jeweiligen Wortlauts von Art. 4 Nr. 24, von Art. 65 Abs. 6 sowie der Erwägungsgründe 126 und 136 der Verordnung 2016/679 vorgenommene wörtliche Analyse ihres Art. 65 Abs. 1 Buchst. a spricht also für eine Zuständigkeit des EDSA zum Erlass von Weisungen wie den angefochtenen, mit denen der Klägerin aufgegeben wird, eine neuerliche Untersuchung zu bestimmten Aspekten der in Rede stehenden Fälle durchzuführen und diesbezüglich anschließend neue Beschlussentwürfe anzunehmen. Es ist zu prüfen, ob die von der Klägerin im Rahmen ihrer systematischen und teleologischen Auslegung der Verordnung 2016/679 vorgebrachten Argumente geeignet sind, den Ergebnissen dieser ersten Analyse zu widersprechen.
[nicht wiedergegeben ]
43 Insoweit ist das in Art. 60 der Verordnung 2016/679 beschriebene Verfahren der Zusammenarbeit zwischen von einem Fall betroffenen Aufsichtsbehörden, das die Einleitung des in Abs. 4 vorgesehenen und vom EDSA gewährleisteten Kohärenzverfahrens beinhalten kann, entgegen dem Vorbringen der Klägerin keine „Einbahnstraße“, in der die Schritte stets in der Reihenfolge der Bestimmungen, in denen sie vorgesehen sind, aufeinander folgen, ohne dass die Möglichkeit bestünde, zu einem früheren Schritt zurückzukehren oder vorübergehend im selben Stadium zu verweilen. So kann sich etwa das Verfahren, ausgehend von der durch die Klägerin hervorgehobenen Situation nach Abs. 5, in der die federführende Aufsichtsbehörde selbst beabsichtigt, sich den Einsprüchen anderer betroffener Aufsichtsbehörden gegen ihren nach Abs. 3 vorgelegten Beschlussentwurf anzuschließen, und diesen Behörden einen überarbeiteten Beschlussentwurf vorlegt, auf verschiedene Arten entwickeln. Legt keine dieser Behörden Einspruch gegen den überarbeiteten Beschlussentwurf ein, wird der endgültige Beschluss bzw. werden die endgültigen Beschlüsse anschließend unmittelbar gemäß den Abs. 6 bis 9 erlassen. Im gegenteiligen Fall, d. h., wenn Einsprüche gegen den überarbeiteten Entwurf eingelegt werden und falls die federführende Aufsichtsbehörde mit diesen ganz oder teilweise einverstanden ist, wiederholt sich die in Abs. 5 vorgesehene Phase, und die federführende Aufsichtsbehörde hat unter Berücksichtigung der von ihr gebilligten Einsprüche einen neuen überarbeiteten Beschlussentwurf vorzulegen. Ist die federführende Aufsichtsbehörde mit den Einsprüchen gegen den überarbeiteten Entwurf zur Gänze oder mit Teilen von ihnen nicht einverstanden, hat sie gemäß Abs. 4 das Kohärenzverfahren einzuleiten, indem sie den EDSA auf Grundlage des am weitesten fortgeschrittenen Beschlussentwurfs befasst.
44 Der EDSA führt in seiner Klagebeantwortung ein weiteres Beispiel an, um zu veranschaulichen, dass das in Art. 60 der Verordnung 2016/679 vorgesehene Verfahren der Zusammenarbeit zwischen von einem Fall betroffenen Aufsichtsbehörden nicht zwangsläufig eine „Einbahnstraße“ ist. Auf Einsprüche anderer Aufsichtsbehörden gegen ihren gemäß Abs. 3 dieses Artikels vorgelegten Beschlussentwurf hin kann die federführende Aufsichtsbehörde von sich aus zu dem Schluss kommen, dass es angezeigt ist, anstatt ohne Weiteres einen überarbeiteten Beschlussentwurf vorzulegen oder das Kohärenzverfahren einzuleiten, einen Schritt zurückzugehen und die Prüfung zu vertiefen, bevor ein neuer Beschlussentwurf gemäß diesem Abs. 3 vorgelegt wird. Der EDSA weist darauf hin, dass die französische Aufsichtsbehörde in einem Fall so vorgegangen sei.
45 Ebenso bestehen im Fall des Tätigwerdens des EDSA auf der Grundlage von Abs. 4 dieses Artikels und nach dem Erlass eines verbindlichen Beschlusses mehrere Möglichkeiten. Wurden alle maßgeblichen Aspekte des Falles im Beschlussentwurf der federführenden Aufsichtsbehörde hinreichend behandelt, kann diese oder gegebenenfalls die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, gemäß den Abs. 6 bis 9 dieses Artikels – u. a. unter Berücksichtigung des verbindlichen Beschlusses des EDSA – einen oder mehrere den Fall abschließende, endgültige Beschlüsse erlassen. Wird dagegen auf entsprechende Einsprüche hin im verbindlichen Beschluss des EDSA davon ausgegangen, dass im Beschlussentwurf der federführenden Aufsichtsbehörde nicht alle maßgeblichen Aspekte des Falles behandelt oder diese nicht hinreichend behandelt werden und daher gegebenenfalls eine Wiederaufnahme der Untersuchung erforderlich ist, kann die federführende Aufsichtsbehörde oder die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, zwar unter Umständen einen oder mehrere endgültige Teilbeschlüsse in Anwendung der vorstehend genannten Bestimmungen erlassen, jedoch hat die federführende Aufsichtsbehörde parallel dazu ihre Analyse zu vervollständigen, nachdem sie gegebenenfalls eine neue Untersuchung durchgeführt hat, um den anderen betroffenen Aufsichtsbehörden gemäß Abs. 3 dieses Artikels einen ergänzenden Beschlussentwurf vorzulegen.
46 Die Klägerin trägt ein zweites Argument im Zusammenhang mit der systematischen Auslegung vor, wonach Art. 57 Abs. 1 Buchst. f der Verordnung 2016/679, in dem es heiße, dass die Aufsichtsbehörde sich mit Beschwerden befasse und ihren Gegenstand in angemessenem Umfang untersuche, gelesen im Licht des 141. Erwägungsgrundes dieser Verordnung, zeige, dass der Umfang der infolge einer Beschwerde vorzunehmenden Untersuchung im Ermessen der nationalen Aufsichtsbehörden stehe, und dies unter dem alleinigen Vorbehalt einer nationalen gerichtlichen Kontrolle.
47 Im 141. Erwägungsgrund der Verordnung 2016/679 heißt es u. a.:
„Jede betroffene Person sollte das Recht haben, bei einer einzigen Aufsichtsbehörde insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts eine Beschwerde einzureichen und … einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten gemäß dieser Verordnung verletzt sieht oder wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird, eine Beschwerde teilweise oder ganz abweist oder ablehnt oder nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist. Die auf eine Beschwerde folgende Untersuchung sollte vorbehaltlich gerichtlicher Überprüfung so weit gehen, wie dies im Einzelfall angemessen ist. …“
48 Art. 57 Abs. 1 Buchst. f der Verordnung 2016/679 und die Erwägungen, auf die sich die Klägerin beruft, führen dennoch nicht dazu, dass die Frage der Angemessenheit des Umfangs der Untersuchung den Verfahren der Zusammenarbeit zwischen den betroffenen Aufsichtsbehörden und der Kohärenzkontrolle durch den EDSA entzogen würde.
49 Denn Art. 57 der Verordnung 2016/679, der sich auf die Aufgaben der Aufsichtsbehörden insgesamt bezieht, sieht in seinem Abs. 1 Buchst. a als erste Aufgabe die Überwachung und Durchsetzung der Anwendung dieser Verordnung vor. Somit darf sich die Analyse der Bedingungen, unter denen eine Verarbeitung personenbezogener Daten vorgenommen wird, sowie der Frage, ob sie im Einklang mit dieser Verordnung erfolgt, entgegen dem, was die Klägerin in der mündlichen Verhandlung im Wesentlichen vorgetragen hat, nicht darauf beschränken, was mit der Beschwerde eines Beschwerdeführers aufgezeigt wird.
50 Die vollständige Erfüllung der in Art. 57 Abs. 1 Buchst. a und f der Verordnung 2016/679 vorgesehenen Aufgaben, die Einhaltung der Verordnung zu überwachen und sich mit Beschwerden in angemessenem Umfang zu befassen, impliziert aber vor allem, dass für die Analyse des Falles ein Bereich festgelegt wird, der im Hinblick auf die ihm zugrunde liegende Beschwerde, aber auch im Hinblick auf andere Elemente, die sie möglicherweise ergänzen, geeignet ist. Da es sich bei der in Rede stehenden Verarbeitung personenbezogener Daten um eine grenzüberschreitende Verarbeitung handelt, muss diese Analyse zum Erlass von Beschlüssen führen, die Gegenstand des in Art. 60 dieser Verordnung vorgesehenen Verfahrens der Zusammenarbeit sind. Im Rahmen dieses Verfahrens besteht das Kriterium, das erfüllt sein muss, damit eine Angelegenheit Gegenstand eines auf der Grundlage von Art. 65 Abs. 1 Buchst. a der Verordnung erlassenen verbindlichen Beschlusses des EDSA sein kann, darin, dass die Angelegenheit Anlass zu einem maßgeblichen und begründeten Einspruch im Sinne ihres Art. 4 Nr. 24 gegeben hat. Indes bezieht sich ein maßgeblicher und begründeter Einspruch definitionsgemäß auf Aspekte, deren Analyse unter die vorstehend genannten Aufgaben fällt. Folglich beeinträchtigt der Umstand, dass ein maßgeblicher und begründeter Einspruch den Analyse- und gegebenenfalls den Untersuchungsbereich betrifft und der EDSA dem entspricht, diese Aufgaben in keiner Weise. Überdies verhindert der Umstand, dass infolge einer Beschwerde ergangene Zwischenbeschlüsse vor den nationalen Gerichten angefochten werden können, nicht, dass der Beschlussentwurf der federführenden Aufsichtsbehörde seinerseits innerhalb der materiellen Grenzen des durch die Verordnung 2016/679 eingeführten Kohärenzverfahrens Gegenstand einer Kontrolle durch den EDSA sein kann.
51 Das Vorbringen der Klägerin zur systematischen Auslegung vermag ihren Standpunkt zur Unzuständigkeit des EDSA für den Erlass der angefochtenen Weisungen daher nicht zu stützen.
52 Vielmehr bestätigt der in der Verordnung 2016/679 verankerte allgemeine Kontext der Pflicht zur Zusammenarbeit zwischen den von einem Fall betroffenen Aufsichtsbehörden die diesbezügliche Zuständigkeit des EDSA. Art. 60 Abs. 1 dieser Verordnung sieht nämlich u. a. vor, dass „[d]ie federführende Aufsichtsbehörde … mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen[arbeitet] und … sich dabei [bemüht], einen Konsens zu erzielen.“ In Art. 60 Abs. 3 der Verordnung heißt es, dass „[d]ie federführende Aufsichtsbehörde … den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit [übermittelt]“ und sie ihnen „unverzüglich einen Beschlussentwurf zur Stellungnahme vor[legt] und … deren Standpunkten gebührend Rechnung [trägt].“
53 Daraus ergibt sich, dass sich die Zusammenarbeit zwischen den betroffenen Aufsichtsbehörden u. a. auf die Analyse des gesamten Falles und die Ausarbeitung des Beschlusses bezieht und die federführende Aufsichtsbehörde insoweit das Einvernehmen mit den anderen Aufsichtsbehörden zu suchen hat. Nichts in den vorstehend genannten Bestimmungen erlaubt es, die Frage des Umfangs der vorzunehmenden Analyse oder gegebenenfalls des Umfangs der vorab durchzuführenden Untersuchung von dieser Pflicht zur Zusammenarbeit auszunehmen. Im Urteil vom 15. Juni 2021, Facebook Ireland u. a. (C‑645/19, EU:C:2021:483, Rn. 63 und 64), hat der Gerichtshof auf die Unerlässlichkeit des Dialogs sowie der loyalen und wirksamen Zusammenarbeit zwischen den von einem Fall betroffenen Aufsichtsbehörden hingewiesen.
54 Aus den vorstehenden Rn. 41 bis 53 ergibt sich, dass die Prüfung der Systematik, die sich aus den Bestimmungen der Verordnung 2016/679 ergibt, die zuvor vorgenommene wörtliche Analyse bestätigt.
55 Im Rahmen einer teleologischen Auslegung macht die Klägerin zunächst geltend, es sei mit den Zielen des „Verfahrens der Zusammenarbeit und Kohärenz“ („one-stop-shop mechanism“), das der Gesetzgeber beim Erlass der Verordnung 2016/679 habe schaffen wollen, unvereinbar, dem EDSA die Befugnis zuzuerkennen, einer federführenden Aufsichtsbehörde die Ausarbeitung eines ergänzenden Beschlussentwurfs und die vorherige Ausweitung des Umfangs ihrer Untersuchung zu diesem Zweck aufzugeben. Mit der Einführung einer einzigen Aufsichtsbehörde für die Betroffenen sei u. a. darauf abgezielt worden, überflüssige Kosten und übermäßige Unannehmlichkeiten für sie zu vermeiden, wie es im 129. Erwägungsgrund dieser Verordnung heiße. Mit der Wiederaufnahme einer Untersuchung infolge einer schlichten Uneinigkeit zwischen den Aufsichtsbehörden werde dieses Ziel dadurch verkannt, dass die Beschwerdeführer und die betreffenden Unternehmen gezwungen wären, sich – verbunden mit Kosten und Unannehmlichkeiten – mit der Wiederaufnahme der Untersuchung auseinanderzusetzen, obwohl diese Phase abgeschlossen sein sollte.
56 Ohne dass Ausführungen zu den Absichten des Gesetzgebers erforderlich wären, genügt jedoch die Feststellung, dass eine einzige Anlaufstelle („one-stop-shop mechanism“) dem Ziel einer verfahrensrechtlichen Erleichterung entspricht, die keinen Vorrang vor dem wesentlichen Ziel der Verordnung 2016/679 haben kann, die Wahrung des Grundrechts natürlicher Personen auf Schutz ihrer personenbezogenen Daten zu gewährleisten. Insoweit wird im ersten Erwägungsgrund dieser Verordnung darauf hingewiesen, dass gemäß Art. 8 Abs. 1 der Charta der Grundrechte sowie Art. 16 Abs. 1 AEUV jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Eine Ausweitung der Untersuchung, die im Rahmen des EDSA notwendigerweise von mindestens der Hälfte der Aufsichtsbehörden angeordnet wird, zielt entgegen dem Vorbringen der Klägerin nicht darauf ab, die Obliegenheiten einer Person, die eine Beschwerde eingereicht hat, oder diejenigen eines Verantwortlichen, gegen den sich die Beschwerde richtet, zu erschweren, sondern stellt eine Maßnahme zur Verteidigung ihrer jeweiligen Rechte dar. Im Übrigen lassen sich die von der Klägerin angeführten Unannehmlichkeiten durch eine Untersuchung und eine Analyse der federführenden Aufsichtsbehörde vermeiden, die von vornherein alle für die Ausarbeitung eines vollständigen endgültigen Beschlusses in dem in Rede stehenden Fall erforderlichen Aspekte abdecken.
57 Auch das Vorbringen der Klägerin, wonach die Wiederaufnahme einer Untersuchung die endgültige Regelung bereits analysierter und entschiedener Aspekte verzögere, ist zurückzuweisen.
58 Denn die zuständige Behörde hat in einer solchen Situation nach einem verbindlichen Beschluss des EDSA vielmehr innerhalb der in Art. 65 Abs. 6 der Verordnung 2016/679 vorgesehenen Frist einen endgültigen Beschluss über die analysierten und entschiedenen inhaltlichen Aspekte zu erlassen, wie es die Klägerin im vorliegenden Fall im Übrigen getan hat. Dies hindert sie jedoch nicht daran, eine ergänzende Untersuchung durchzuführen und die noch nicht geprüften Aspekte des Falls zu analysieren.
59 Die Klägerin macht ferner geltend, dass es das Funktionieren des Verfahrens der Zusammenarbeit zwischen Aufsichtsbehörden nicht verhindere, wenn der EDSA bei der Festlegung des Umfangs der in einem Fall vorzunehmenden Analyse nicht eingreife, die eine Vorfrage bzw. eine Verfahrensfrage darstelle.
60 Allerdings stößt das Verfahren der Zusammenarbeit an seine Grenzen, wenn die betroffenen Aufsichtsbehörden keinen Konsens erzielen. In einer solchen ausdrücklich in Art. 60 Abs. 4 der Verordnung 2016/679 vorgesehenen Situation hat die federführende Aufsichtsbehörde im Hinblick auf die Frage, über die kein Konsens besteht, das Kohärenzverfahren einzuleiten, das – wie es in dieser Bestimmung heißt – zu einem verbindlichen Beschluss des EDSA führt.
61 Die Klägerin macht schließlich geltend, dass ein solcher fehlender Konsens durch einen Rückgriff auf die nationale gerichtliche Kontrolle gelöst werden könne. Sie weist darauf hin, dass es in Art. 58 Abs. 4 und im 141. Erwägungsgrund der Verordnung 2016/679 heiße, dass die Untersuchung einer wirksamen gerichtlichen Kontrolle unterliege.
62 Zwar könnte, wenn der EDSA ein Problem im Zusammenhang mit dem Umfang der von der federführenden Aufsichtsbehörde angestellten Analyse nicht entscheiden dürfte, ein nationales Gericht diese Aufgabe übernehmen. Die Verordnung 2016/679 sieht jedoch vor, dass mit einem maßgeblichen und begründeten Einspruch einer betroffenen Aufsichtsbehörde im Sinne von Art. 4 Nr. 24 dieser Verordnung aufgeworfene Probleme zwischen Aufsichtsbehörden im Rahmen des Verfahrens der Zusammenarbeit sowie gegebenenfalls im Rahmen des Kohärenzverfahrens gelöst werden. Ferner kann, wie bereits geprüft, ein Problem im Hinblick auf den Umfang der Analyse sowie gegebenenfalls im Hinblick auf den Umfang der von der federführenden Aufsichtsbehörde durchgeführten Untersuchung zu einem maßgeblichen und begründeten Einspruch im vorstehend genannten Sinne führen. Folglich kann die Möglichkeit, ein nationales Gericht mit einem Problem dieser Art zu befassen, was für einen in einem anderen Staat als dem der federführenden Aufsichtsbehörde ansässigen Beschwerdeführer im Übrigen nicht unbedingt einfach wäre, nicht bedeuten, dass anhaltende Meinungsverschiedenheiten zwischen den betroffenen Aufsichtsbehörden über Fragen, die Gegenstand maßgeblicher und begründeter Einsprüche waren, nicht im Rahmen des EDSA gelöst werden können.
63 Aus den vorstehenden Rn. 55 bis 62 ergibt sich, dass die Prüfung der Ziele der Verordnung 2016/679 ebenfalls die zuvor vorgenommene wörtliche Analyse bestätigt.
[nicht wiedergegeben ]
Zu den in Bezug auf die Voraussetzungen der Übertragung einer Zuständigkeit an eine Einrichtung der Union, die Merkmale der auf nationaler Ebene ausgeübten gerichtlichen Kontrolle und die Unabhängigkeit der mit dem Schutz personenbezogener Daten betrauten Aufsichtsbehörden vorgebrachten Argumenten
65 Als Erstes ist die Klägerin im Wesentlichen der Ansicht, dass es die Grundsätze für die Übertragung einer Zuständigkeit an eine Einrichtung der Union nicht zuließen, die Verordnung 2016/679 in dem sich aus den vorstehenden Würdigungen ergebenden Sinn auszulegen, nämlich dass die Verordnung dem EDSA die in Abrede gestellte Zuständigkeit übertrüge.
66 Die Klägerin bezieht sich auf Art. 5 AEUV, um in Erinnerung zu rufen, dass die Union nur innerhalb der ihr übertragenen Zuständigkeiten tätig werden könne. Dieser Grundsatz gelte sowohl für Organe als auch für Einrichtungen der Union wie den EDSA. Letztere unterlägen zudem der sich aus dem Urteil vom 13. Juni 1958, Meroni/Hohe Behörde (9/56, EU:C:1958:7) ergebenden „Meroni-Doktrin“, die, wie der Gerichtshof in Bezug auf die Europäische Wertpapier‑ und Marktaufsichtsbehörde (ESMA) im Urteil vom 22. Januar 2014, Vereinigtes Königreich/Rat und Parlament (C‑270/12, EU:C:2014:18, Rn. 53 und 54), entschieden habe, auf die Einrichtungen der Union anwendbar sei. Nach dieser Doktrin müssten die Befugnisse der Einrichtungen der Union genau eingegrenzt sein und im Hinblick auf die der betreffenden Einrichtung gesetzten Ziele gerichtlich überprüft werden können. Insbesondere sei in Rn. 45 des zuletzt angeführten Urteils festgestellt worden, dass die in dieser Rechtssache erörterten und letztlich vom Gerichtshof bestätigten Befugnisse der ESMA an verschiedene Kriterien und Bedingungen geknüpft seien, die den Handlungsspielraum dieser Behörde begrenzten. Im Urteil vom 15. Juli 2021, FBF (C‑911/19, EU:C:2021:599, Rn. 67 und 75), betreffend die Europäische Bankenaufsichtsbehörde (EBA) habe der Gerichtshof klargestellt, dass eine Befugnis einer Einrichtung der Union ausdrücklich vom Gesetzgeber vorgesehen und die gerichtliche Kontrolle dieser Befugnis streng sein müsse.
67 In der Tat betreffen diese in der Rechtsprechung angewandten Grundsätze den EDSA, der durch Art. 68 der Verordnung 2016/679 als Einrichtung der Union eingerichtet wurde.
68 Es ist daher zunächst zu prüfen, ob die zuvor im vorliegenden Urteil vorgenommene Auslegung den Schluss zulässt, dass die Ausübung der Befugnisse des EDSA, wenn sie einer federführenden Aufsichtsbehörde aufgibt, ihre Analyse und gegebenenfalls ihre Untersuchung auszuweiten, „an verschiedene Kriterien und Bedingungen geknüpft [ist], die [seinen] Handlungsspielraum … begrenzen“, wie es der Gerichtshof in Bezug auf die in der Rechtssache, in der das Urteil vom 22. Januar 2014, Vereinigtes Königreich/Rat und Parlament (C‑270/12, EU:C:2014:18) ergangen ist, in Frage gestellten Befugnisse der ESMA formuliert hat.
69 Insoweit kann, wie aus Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 in Verbindung mit ihrem Art. 4 Nr. 24 hervorgeht, die Befugnis, einer federführenden Aufsichtsbehörde die Ausweitung ihrer Analyse sowie gegebenenfalls ihrer Untersuchung aufzutragen, nur ausgeübt werden, nachdem eine betroffene Aufsichtsbehörde gegen den Beschlussentwurf der federführenden Aufsichtsbehörde in dem in Rede stehenden Fall einen maßgeblichen und begründeten Einspruch im Hinblick auf das Fehlen der Analyse eines Aspekts der Frage, „ ob ein Verstoß gegen [die] Verordnung [2016/679] vorliegt[,] oder ob beabsichtigte Maßnahmen gegen den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit dieser Verordnung steh[en,]“ eingelegt hat, aus dem „die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen und gegebenenfalls den freien Verkehr personenbezogener Daten in der Union ausgehen“.
70 Außerdem setzt die Ausübung der vorstehend genannten Befugnis gemäß Art. 65 Abs. 2 und 3 der Verordnung 2016/679 voraus, dass eine Mehrheit von zwei Dritteln oder, unter bestimmten Umständen, zumindest die Hälfte der Mitglieder des Ausschusses, darunter bei Stimmengleichheit der Vorsitzende, einen solchen maßgeblichen und begründeten Einspruch sowie die zu ergreifenden Folgemaßnahmen im Kern gebilligt haben. Es bedarf daher einer erheblichen Anzahl von Aufsichtsbehörden, die das Fehlen oder die Unzulänglichkeit der Analyse eines wichtigen Aspekts des in Rede stehenden Falles bestätigen und sich über die von der federführenden Aufsichtsbehörde zum Zweck der Abhilfe zu ergreifenden Folgemaßnahmen einigen. In dieser Hinsicht ist zu berücksichtigen, dass der EDSA selbst aus einer bedeutenden Anzahl auf den Fachbereich spezialisierter, unabhängiger Behörden besteht und eine übereinstimmende Mehrheitsmeinung innerhalb desselben folglich Garantien im Hinblick auf die Ausübung dieser Befugnis mit sich bringt. Überdies lässt der vorstehend in Rn. 69 genannte Begriff des „maßgeblichen und begründeten Einspruchs“ zwar Raum für einen Wertungsspielraum, insbesondere hinsichtlich der Frage, ob ein Verstoß gegen die Verordnung 2016/679 durch den betreffenden Verantwortlichen oder Auftragsverarbeiter vorliegt oder ob ein bestimmter Aspekt zu untersuchen ist, um dies festzustellen; jedoch beziehen sich diese Fragen allesamt auf in dieser Verordnung enthaltene, präzise Rechtsvorschriften, weshalb kein „weites Ermessen“ ausgeübt werden kann.
71 Zusammenfassend ist daher in Bezug auf den Rahmen für die von der Klägerin in Frage gestellte Befugnis des EDSA zum einen festzustellen, dass diese nur bei Vorliegen einer klar identifizierten Unzulänglichkeit der Analyse der federführenden Aufsichtsbehörde bei der Behandlung des Falles ausgeübt wird, die – wie sich aus der Definition des maßgeblichen und begründeten Einspruchs in Art. 4 Nr. 24 der Verordnung 2016/679 ergibt – erhebliche Folgen haben kann, und zum anderen, dass sich diese Befugnis aus der gemeinsamen Beurteilung der Aufsichtsbehörden ergibt, aus denen sich der EDSA zusammensetzt, der unter den oben in Rn. 70 dargelegten Bedingungen tätig wird.
72 Im Hinblick auf die Frage, ob die in Rede stehende Befugnis „ausdrücklich“ vom Gesetzgeber vorgesehen ist, ist hervorzuheben, dass das Adverbial „ausdrücklich“ sowie die gleichbedeutenden Adverbiale „explizit“ und „klar“, die mit den entsprechenden Adjektiven korrespondieren, besagen, dass kein Zweifel an der Bedeutung dessen besteht, was zum Ausdruck gebracht wird. Indes ergibt sich aus der vorstehend vorgenommenen Auslegung auf wörtlicher, systematischer und teleologischer Ebene, dass kein Zweifel daran besteht, dass der EDSA über die in Frage gestellte Zuständigkeit verfügt und dass diese somit ausdrücklich vom Gesetzgeber vorgesehen ist. Im Urteil vom 15. Juli 2021, FBF (C‑911/19, EU:C:2021:599), zur EBA betrafen die Leitlinien dieser Behörde, für deren Erlass ihre Zuständigkeit in Frage gestellt wurde, die „Überwachung und Governance von Bankprodukten im Privatkundengeschäft“. In keiner der für diese Behörde geltenden Rechtsvorschriften wird buchstäblich darauf hingewiesen, dass sie hierzu Leitlinien erlassen kann. Der Gerichtshof hat anhand einer Gesamtanalyse dieser Vorschriften – d. h. der Verordnung zur Errichtung der EBA, die allgemein ihre Zuständigkeit zum Erlass von Leitlinien für bestimmte Zwecke vorsieht, und verschiedener Richtlinien über Finanzinstitute und ‑produkte – festgestellt, dass die streitigen Leitlinien in diese Zuständigkeit fallen.
73 Außerdem ist festzustellen, dass die Ausübung der Befugnis des EDSA, einer federführenden Aufsichtsbehörde die Ausweitung ihrer Analyse und, falls erforderlich, ihrer Untersuchung aufzutragen, in der Tat einer gerichtlichen Kontrolle unterliegt. Zwar hat sich die Klägerin im vorliegenden Fall dazu entschieden, die angefochtenen Weisungen allein wegen Unzuständigkeit des EDSA anzufechten, ohne seine konkrete Beurteilung der von bestimmten Aufsichtsbehörden gegen die Beschlussentwürfe der Klägerin eingelegten Einsprüche in Frage zu stellen, die zum Erlass dieser Weisungen geführt hat. Der Unionsrichter wäre jedoch in der Lage, die materielle Rechtmäßigkeit solcher Weisungen anhand der Umstände des Einzelfalls im Rahmen der vor ihm geltend gemachten Klagegründe zu überprüfen. Insbesondere könnte er in einem ersten Schritt überprüfen, ob der EDSA beim Erlass von Weisungen dieser Art tatsächlich einem maßgeblichen und begründeten Einspruch einer Aufsichtsbehörde im Sinne von Art. 4 Nr. 24 der Verordnung 2016/679 gefolgt ist. In einem zweiten Schritt könnte er die Rechtmäßigkeit des Inhalts solcher Weisungen an Aufsichtsbehörden überprüfen.
74 Eine solche Art der gerichtlichen Kontrolle ist „streng“ im Sinne des Urteils vom 15. Juli 2021, FBF (C‑911/19, EU:C:2021:599, Rn. 67). Der die Rechtmäßigkeit prüfende Richter ist nämlich generell an seine Amtspflichten sowie an die Verfahrensvorschriften gebunden, und seine Kontrolle ist zwangsläufig streng, wenn er seine Aufgabe im Rahmen dieser Vorschriften in vollem Umfang wahrnimmt. Im Hinblick auf materiell-rechtliche Fragen hängt es davon ab, ob der Urheber der angefochtenen Handlung über ein Ermessen verfügt, ob der die Rechtmäßigkeit prüfende Richter eine gewöhnliche Kontrolle (grundsätzlich hinsichtlich der rechtlichen Aspekte, der Sachverhaltsfeststellungen sowie der Ausübung gebundener Zuständigkeiten) ausübt oder eine eingeschränkte Kontrolle (grundsätzlich in Bezug auf komplexe technische Aspekte oder in Fällen, in denen die Behörde über einen Wertungsspielraum verfügt und der Richter nur offensichtliche Beurteilungsfehler ahndet) (vgl. in diesem Sinne und entsprechend in Bezug auf die Kontrolle der Entscheidungen der nationalen Behörden auf dem Gebiet des Schutzes personenbezogener Daten durch die nationalen Gerichte Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 68 und 69).
75 Aus den vorstehenden Rn. 67 bis 74 ergibt sich, dass die Voraussetzungen für die Übertragung einer Zuständigkeit an eine Einrichtung der Union der zuvor in diesem Urteil vorgenommenen Analyse nicht entgegenstehen.
76 Als Zweites führt die Klägerin verschiedene Gründe an, um darzutun, dass die nationalen Gerichte den „geeigneten Gerichtsstand“ darstellten, um Einwände im Zusammenhang mit der Untersuchung zu prüfen, d. h., dass diese dazu am besten in der Lage seien.
77 Wie jedoch oben in Rn. 62 dargelegt, hat der Unionsgesetzgeber entschieden, dass anhaltende Meinungsverschiedenheiten zwischen den betroffenen Aufsichtsbehörden über den Umfang der Analyse eines Falles – sowie gegebenenfalls über den Umfang der diesbezüglich durchgeführten Untersuchung – im Rahmen des Kohärenzverfahrens innerhalb des EDSA geschlichtet werden. Folglich geht das Vorbringen der Klägerin, mit dem dargetan werden soll, dass die nationalen Gerichte den „geeigneten Gerichtsstand“ für die Prüfung von Einwänden im Zusammenhang mit der Untersuchung darstellten, ins Leere.
78 Hinzuzufügen ist, dass, soweit sowohl ein nationales Gericht als auch der EDSA dazu berufen sein können, sich zum Umfang der Analyse und der Untersuchung zu äußern, im Anwendungsbereich der in Art. 101 und Art. 102 verankerten Wettbewerbsvorschriften, in dem die Verantwortlichkeiten für die Verwirklichung der entsprechenden Unionspolitik ebenfalls zwischen der nationalen Ebene und der Unionsebene geteilt sind, in der Rechtsprechung des Gerichtshofs eine Reihe von Grundsätzen entwickelt worden ist, um das Handeln der nationalen Gerichte und der mit der Gewährleistung der Kohärenz bei der Durchführung der betreffenden Politik betrauten Behörde, d. h. der Kommission, zu koordinieren (Urteile vom 28. Februar 1991, Delimitis, C‑234/89, EU:C:1991:91, und vom 14. Dezember 2000, Masterfoods und HB, C‑344/98, EU:C:2000:689). Zwar ist nicht ausgeschlossen, dass ein nationales Gericht es in Anwendung dieser Grundsätze für vorzugswürdig hält, das Verfahren bis zum Erlass einer Entscheidung der zuständigen Unionsbehörde auszusetzen, oder dass es an diese Entscheidung gebunden sein mag, wenn sie ergangen ist, sofern es nicht an ihrer Gültigkeit zweifelt und den Gerichtshofs im Rahmen des Vorabentscheidungsverfahrens um seine Beurteilung hierzu ersucht; jedoch sind solche Situationen einer derartigen Aufteilung der Verantwortlichkeiten und dem Erfordernis inhärent, die kohärente Durchführung der betreffenden Politik in der gesamten Union zu gewährleisten.
79 Ferner ist hinzuzufügen, dass entgegen dem, was die Klägerin als Drittes vorträgt, ein auf der Grundlage von Art. 65 Abs. 1 Buchst. a der Verordnung 2016/679 erlassener verbindlicher Beschluss des EDSA, mit dem der Klägerin die Ausweitung ihrer Analyse und ihrer Untersuchung aufgegeben wird, nicht in Frage stellt, dass sie als unabhängige Behörde Prioritäten hinsichtlich der Erfüllung ihrer verschiedenen Aufgaben setzen kann, was zu kontrollieren allein Sache des nationalen Gerichts ist. Ein solcher Beschluss stellt auch nicht ganz allgemein ihre in Art. 39 EUV, Art. 16 Abs. 2 AEUV und Art. 8 Abs. 3 der Charta der Grundrechte verankerte Unabhängigkeit in Frage.
80 Zum einen ist die federführende Aufsichtsbehörde, wenn sie, sei es von sich aus auf entsprechende Einwände anderer Aufsichtsbehörden im Stadium der Zusammenarbeit hin oder infolge eines solchen verbindlichen Beschlusses, Veranlassung dazu sieht, ihre Analyse sowie ihre Untersuchung eines Falles ergänzen zu müssen, nicht verpflichtet, dieser Ergänzung unter Hintanstellung aller anderen Angelegenheiten Vorrang gegenüber ihren anderen Aufgaben einzuräumen. Sie kann beispielsweise ankündigen, dass ein erster von ihr angenommener Beschlussentwurf oder ein erster von ihr erlassener Beschluss nur einen Teil der sich aus dem in Rede stehenden Fall ergebenden Fragen behandele und sie ihre Analysen und ihre Untersuchung zu einem späteren Zeitpunkt fortsetzen werde.
81 Nur unter den in Art. 66 der Verordnung 2016/679 vorgesehenen Umständen, wenn eine betroffene Aufsichtsbehörde zu der Auffassung gelangt, dass dringender Handlungsbedarf besteht, um Rechte und Freiheiten betroffener Personen zu schützen, kann die federführende Aufsichtsbehörde durch einen verbindlichen Beschluss des EDSA im Dringlichkeitsverfahren verpflichtet werden, die Rangfolge ihrer Prioritäten unverzüglich zu überprüfen, um sich mit einem Fall zu befassen. Der Gesetzgeber hat diese Möglichkeit also nur für Ausnahmefälle vorgesehen. Tatsächlich wurden die verbindlichen Beschlüsse 3/2022, 4/2022 und 5/2022 nicht auf der Grundlage dieses Art. 66 erlassen und schreiben der Klägerin folglich keine Rangfolge zwischen ihren verschiedenen Aufgaben vor.
82 Zum anderen ergibt sich aus den Primärrechtsbestimmungen, auf die sich die Klägerin beruft, keine absolute Unabhängigkeit im Sinne des Fehlens jeglicher Kontrolle über die Behörden der Mitgliedstaaten, die in erster Linie mit der Überwachung der Vorschriften zum Schutz personenbezogener Daten betraut sind. In diesen Bestimmungen heißt es lediglich, dass unabhängige Behörden mit der Überwachung dieser Vorschriften betraut werden, was somit weder einem System der gegenseitigen Überwachung zwischen unabhängigen Behörden, wie dem Verfahren der Zusammenarbeit und dem Kohärenzverfahren, die in der Verordnung 2016/679 vorgesehen sind, noch selbstverständlich der gerichtlichen Kontrolle der von verschiedenen beteiligten Behörden erlassenen Beschlüsse in irgendeiner Weise entgegensteht. Wichtig ist, dass die die Aufsichtsbehörden überwachenden Stellen selbst unabhängig sind. Dies ist für den EDSA der Fall, da er aus Aufsichtsbehörden der Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten besteht, bei dem es sich wiederum um eine gegenüber den von ihr überwachten Organen und anderen Behörden der Union unabhängige Behörde handelt.
[nicht wiedergegeben ]
Kosten
84 Nach Art. 134 Abs. 1 der Verfahrensordnung ist die unterliegende Partei auf Antrag zur Tragung der Kosten zu verurteilen. Da die Klägerin unterlegen ist, sind ihr gemäß dem Antrag des EDSA die Kosten aufzuerlegen.
Aus diesen Gründen hat
DAS GERICHT (Zehnte erweiterte Kammer)
für Recht erkannt und entschieden:
1. Die Klagen in den Rechtssachen T ‑70/23, T ‑84/23 und T ‑111/23 werden abgewiesen.
2. Die Data Protection Commission trägt die Kosten.
Verkündet in öffentlicher Sitzung in Luxemburg am 29. Januar 2025.
Unterschriften