Nexvyra

EuGH C-97/23 P (WhatsApp Ireland ./. EDSA) – Direkte Nichtigkeitsklage gegen verbindliche EDSA-Beschlüsse nach Art. 65 DSGVO zulässig In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-11-01 · letzte Prüfung: 2026-11-01 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Mit Urteil vom 10. Februar 2026 (Rechtssache C-97/23 P, WhatsApp Ireland ./. Europäischer Datenschutzausschuss, EDSA) hat der EuGH entschieden, dass ein verbindlicher Beschluss des EDSA nach Art. 65 Abs. 1 DSGVO ein anfechtbarer Rechtsakt ist und das betroffene Unternehmen unmittelbar betrifft. Eine Nichtigkeitsklage nach Art. 263 AEUV vor dem EuG ist damit zulässig. Der EuGH hob den Beschluss des EuG vom 7. Dezember 2022 (T-709/21) auf, der die Klage als unzulässig abgewiesen hatte, und verwies die Sache zur Entscheidung in der Sache an das EuG zurück. Hintergrund: Die irische Datenschutzbehörde (DPC) hatte gegen WhatsApp Geldbußen von insgesamt 225 Mio. EUR verhängt, nachdem der EDSA sie per verbindlichem Beschluss 1/2021 zur Änderung ihrer Abhilfemaßnahmen (u. a. der Geldbußen) verpflichtet hatte. Für Unternehmen bedeutet das: Gegen die inhaltliche Weichenstellung im Kohärenzverfahren gibt es einen eigenen Rechtsweg zu den EU-Gerichten, zusätzlich zum nationalen Rechtsweg gegen die Endentscheidung der Aufsichtsbehörde.

Kernfakten

PunktWert
AktenzeichenC-97/23 P (Rechtsmittel); Vorinstanz: EuG T-709/21 [curia.europa.eu, Pressemitteilung Nr. 11/26]
Urteilsdatum10. Februar 2026 [curia.europa.eu, Pressemitteilung Nr. 11/26]
SpruchkörperGroße Kammer laut Fachpresse (eucrim); in der Pressemitteilung nicht bestätigt – zu prüfen
ParteienWhatsApp Ireland Ltd. (Rechtsmittelführerin) ./. Europäischer Datenschutzausschuss (EDSA)
Angefochtene Entscheidung des EuGBeschluss vom 7. Dezember 2022 (T-709/21): Klage unzulässig, da EDSA-Beschluss nur „Zwischenakt" und nicht unmittelbar betreffend
StreitgegenstandVerbindlicher EDSA-Beschluss 1/2021 nach Art. 65 Abs. 1 DSGVO [Pressemitteilung Nr. 11/26]
Geldbußen im Ausgangsverfahren225 Mio. EUR insgesamt (neben Verwarnung und Abhilfemaßnahmen) [Pressemitteilung Nr. 11/26; eucrim]
Entscheidung des EuGHKlage zulässig; EuG-Beschluss aufgehoben; Zurückverweisung an das EuG zur Sachentscheidung [Pressemitteilung Nr. 11/26]
Rechtsgrundlage der KlageArt. 263 AEUV (Nichtigkeitsklage)
AnfechtbarkeitEDSA-Beschluss ist verbindlich gegenüber der federführenden Behörde und den betroffenen Behörden und legt die Position des EDSA endgültig fest [eucrim]
Unmittelbare BetroffenheitBeschluss verändert die Rechtsstellung des Unternehmens eigenständig; die Aufsichtsbehörden haben keinen Ermessensspielraum und können das Ergebnis nicht ändern [Pressemitteilung Nr. 11/26; eucrim]
Parallele RechtsbehelfeNationale Klage gegen die Endentscheidung und EU-Klage gegen den EDSA-Beschluss schließen sich nicht aus [eucrim]
Zeitlicher Ablauf (Fachpresse)DPC-Verfahren von Amts wegen seit Dez. 2018; Beschlussentwurf Dez. 2020 (Art. 60 Abs. 3); EDSA-Beschluss Juli 2021; DPC-Endentscheidung Aug. 2021 [eucrim] – Monatsangaben zu prüfen
Nationales UmsetzungsgesetzNicht erforderlich – DSGVO ist unmittelbar anwendbar; Rechtsprechung des EuGH bindet die Gerichte der Mitgliedstaaten
Betroffener NutzerkreisUnternehmen in grenzüberschreitenden DSGVO-Verfahren (One-Stop-Shop), Datenschutzbeauftragte, Compliance-Abteilungen, Aufsichtsbehörden

Geltungsbereich

Das Urteil betrifft das Kohärenzverfahren der DSGVO bei grenzüberschreitender Verarbeitung: Die federführende Aufsichtsbehörde legt den betroffenen Behörden einen Beschlussentwurf vor (Art. 60 Abs. 3 DSGVO). Bei Streit über maßgebliche und begründete Einsprüche entscheidet der EDSA verbindlich nach Art. 65 Abs. 1 DSGVO; die federführende Behörde erlässt danach ihre Endentscheidung auf Grundlage dieses Beschlusses. Das Urteil gilt für Adressaten solcher Endentscheidungen, also Verantwortliche und Auftragsverarbeiter, gegen die in einem One-Stop-Shop-Verfahren Maßnahmen im Raum stehen. Als EuGH-Urteil gilt es unmittelbar und ohne Umsetzungsakt; es ändert nicht die materiellen DSGVO-Pflichten, sondern den Rechtsschutz.

Details

Ausgangslage und Entscheidung des EuG

Die irische Datenschutzbehörde (DPC) hatte WhatsApp Ireland wegen Transparenz- und Informationspflichten untersucht. Nach Einsprüchen anderer Aufsichtsbehörden gegen den Beschlussentwurf entschied der EDSA mit Beschluss 1/2021 verbindlich und verpflichtete die DPC, ihre Abhilfemaßnahmen zu ändern, insbesondere die Geldbußen zu erhöhen. WhatsApp erhob Nichtigkeitsklage zum EuG. Das EuG wies sie mit Beschluss vom 7. Dezember 2022 (T-709/21) als unzulässig ab: Der EDSA-Beschluss sei lediglich ein vorbereitender „Zwischenakt", WhatsApp sei davon nicht unmittelbar betroffen und könne die Endentscheidung der DPC vor den irischen Gerichten angreifen.

Begründung des EuGH

Der EuGH folgte dem nicht. Der EDSA-Beschluss ist ein Handeln einer Einrichtung der Union, das gegenüber Dritten (der federführenden und den betroffenen Behörden) verbindlich ist und die Haltung des EDSA endgültig festlegt – er ist daher kein bloßer Zwischenakt. Das Unternehmen ist unmittelbar betroffen, weil der Beschluss seine Rechtsstellung eigenständig verändert und den Behörden keinen Gestaltungsspielraum belässt. Dass zusätzlich nationale Rechtsbehelfe gegen die Endentscheidung offenstehen, schließt die unmittelbare Betroffenheit nicht aus. Damit ist die Klage zulässig; der EuGH entscheidet nicht über die Frage, ob WhatsApp gegen die DSGVO verstoßen hat – das prüft nun das EuG.

Folgen für die Praxis (Beweislast und Compliance)

Unternehmen im One-Stop-Shop-Verfahren sollten Fristen früh prüfen: Für die Nichtigkeitsklage nach Art. 263 AEUV gilt grundsätzlich eine Klagefrist von zwei Monaten ab Bekanntgabe bzw. Kenntnis (Art. 263 Abs. 6 AEUV, zuzüglich Entfernungsfrist) – die Frist läuft ab dem EDSA-Beschluss, nicht erst ab der Endentscheidung der Behörde. Wer sie versäumt, riskiert die Bestandskraft der inhaltlichen Vorgaben. Die Darlegungs- und Beweislast für Klagegründe trägt der Kläger. Parallel sollte der nationale Rechtsweg gegen die Endentscheidung gewahrt bleiben (in Deutschland Anfechtung vor dem Verwaltungsgericht, vgl. Art. 78 DSGVO). Die Bußgeldobergrenzen bleiben unverändert (Art. 83 DSGVO: bis 20 Mio. EUR bzw. 4 % des weltweiten Jahresumsatzes).

Einordnung

Das Urteil schließt eine Rechtsschutzlücke im zusammengesetzten Verfahren der DSGVO-Durchsetzung und stärkt die gerichtliche Kontrolle des EDSA. Es steht im Zusammenhang mit der Rechtsprechung zu Verantwortlichkeit und Bußgeldbemessung (etwa C-807/21 Deutsche Wohnen und C-383/23 ILVA).

Häufige Fehler

Verwandte Themen

Änderungsverlauf

Stand

Quellen

Letzte Änderung:
2026-11-01
Letzte Prüfung:
2026-11-01
In Kraft seit:
2026-02-10
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.