EuGH stärkt Rechtsschutz: WhatsApp darf EDSA-Beschluss direkt angreifen

Worum ging es?

Auslöser war ein grenzüberschreitendes DSGVO-Verfahren gegen WhatsApp Ireland Ltd mit Sitz in Dublin (Irland), das von der irischen Datenschutzbehörde (DPC) als federführender Aufsicht geführt wurde. Inhaltlich ging es um die Frage, ob WhatsApp Nutzerinnen und Nutzer – und auch Personen ohne WhatsApp-Konto – ausreichend transparent über die Verarbeitung personenbezogener Daten informiert. Im Fokus standen dabei insbesondere die Informationspflichten nach Art. 12 bis 14 DSGVO (z. B. Zwecke und Rechtsgrundlagen der Verarbeitung, Empfänger/Kategorien von Empfängern, Speicherdauer) sowie der Umgang mit Kontaktdaten von Nicht-WhatsApp-Nutzern, die über Adressbücher von WhatsApp-Nutzern verarbeitet werden können (einschließlich der technischen Verarbeitung wie „Lossy Hashing“ und der Einordnung als personenbezogene Daten).

Andere europäische Aufsichtsbehörden erhoben gegen den irischen Entscheidungsentwurf Einwände. Der Streit wurde daraufhin im sogenannten Kohärenzverfahren dem EDSA vorgelegt. Dieser traf einen verbindlichen Beschluss nach Art. 65 DSGVO, der für die beteiligten Behörden maßgeblich ist. Auf dieser Grundlage erließ die irische Behörde anschließend ihre endgültige Entscheidung einschließlich einer hohen Geldbuße.

WhatsApp wollte den EDSA-Beschluss unmittelbar mit einer Nichtigkeitsklage nach Art. 263 AEUV angreifen. Das EuG hielt das für unzulässig und verwies auf Rechtsschutz über die nationale Endentscheidung und ein mögliches Vorabentscheidungsverfahren.

Warum korrigiert der EuGH das EuG?

Der EuGH stellt klar:

• Ein Beschluss des EDSA nach Art. 65 DSGVO kann eine anfechtbare Handlung sein, weil er verbindliche Rechtswirkungen entfaltet.
• WhatsApp kann davon auch unmittelbar betroffen sein, wenn der Beschluss bestimmte Punkte verbindlich festlegt und die Datenschutzbehörden davon nicht abweichen dürfen.
• Dass daneben ein nationales Verfahren gegen die Endentscheidung läuft, schließt die Klage vor den EU-Gerichten nicht automatisch aus.

Was bedeutet das für Unternehmen?

Die Entscheidung ist praktisch relevant für alle Unternehmen mit grenzüberschreitender Datenverarbeitung: Verbindliche EDSA-Beschlüsse können – je nach Betroffenheit – nicht nur mittelbar über nationale Entscheidungen, sondern auch direkt auf EU-Ebene gerichtlich überprüft werden.

Wie geht es weiter?

Der EuGH hat die Klage nicht inhaltlich entschieden. Der Fall wird an das EuG zurückverwiesen, das nun prüfen muss, ob der EDSA-Beschluss in der Sache rechtmäßig war.