---
title: "EuGH C-97/23 P (WhatsApp Ireland ./. EDSA) – Direkte Nichtigkeitsklage gegen verbindliche EDSA-Beschlüsse nach Art. 65 DSGVO zulässig"
slug: "eugh-c-97-23-p-whatsapp-edsa-nichtigkeitsklage-art-65"
domaine: "datenschutz"
valid_from: "2026-02-10"
valid_to: null
last_reviewed: "2026-11-01"
statut: "In Kraft"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.de/fakten/eugh-c-97-23-p-whatsapp-edsa-nichtigkeitsklage-art-65.md
wikidata_subjects: []
factcheck_status: "ok"
---

# EuGH C-97/23 P (WhatsApp Ireland ./. EDSA) – Direkte Nichtigkeitsklage gegen verbindliche EDSA-Beschlüsse nach Art. 65 DSGVO zulässig

## Kurzantwort

Mit Urteil vom **10. Februar 2026** (Rechtssache **C-97/23 P**, WhatsApp Ireland ./. Europäischer Datenschutzausschuss, EDSA) hat der EuGH entschieden, dass ein **verbindlicher Beschluss des EDSA nach Art. 65 Abs. 1 DSGVO** ein **anfechtbarer Rechtsakt** ist und das betroffene Unternehmen **unmittelbar betrifft**. Eine **Nichtigkeitsklage nach Art. 263 AEUV** vor dem EuG ist damit **zulässig**. Der EuGH hob den Beschluss des EuG vom 7. Dezember 2022 (T-709/21) auf, der die Klage als unzulässig abgewiesen hatte, und **verwies die Sache zur Entscheidung in der Sache an das EuG zurück**. Hintergrund: Die irische Datenschutzbehörde (DPC) hatte gegen WhatsApp Geldbußen von insgesamt **225 Mio. EUR** verhängt, nachdem der EDSA sie per verbindlichem Beschluss 1/2021 zur Änderung ihrer Abhilfemaßnahmen (u. a. der Geldbußen) verpflichtet hatte. Für Unternehmen bedeutet das: Gegen die inhaltliche Weichenstellung im Kohärenzverfahren gibt es einen **eigenen Rechtsweg zu den EU-Gerichten**, zusätzlich zum nationalen Rechtsweg gegen die Endentscheidung der Aufsichtsbehörde.

## Kernfakten

| Punkt | Wert |
|---|---|
| Aktenzeichen | C-97/23 P (Rechtsmittel); Vorinstanz: EuG T-709/21 [curia.europa.eu, Pressemitteilung Nr. 11/26] |
| Urteilsdatum | 10. Februar 2026 [curia.europa.eu, Pressemitteilung Nr. 11/26] |
| Spruchkörper | Große Kammer laut Fachpresse (eucrim); in der Pressemitteilung nicht bestätigt – zu prüfen |
| Parteien | WhatsApp Ireland Ltd. (Rechtsmittelführerin) ./. Europäischer Datenschutzausschuss (EDSA) |
| Angefochtene Entscheidung des EuG | Beschluss vom 7. Dezember 2022 (T-709/21): Klage unzulässig, da EDSA-Beschluss nur „Zwischenakt" und nicht unmittelbar betreffend |
| Streitgegenstand | Verbindlicher EDSA-Beschluss 1/2021 nach Art. 65 Abs. 1 DSGVO [Pressemitteilung Nr. 11/26] |
| Geldbußen im Ausgangsverfahren | 225 Mio. EUR insgesamt (neben Verwarnung und Abhilfemaßnahmen) [Pressemitteilung Nr. 11/26; eucrim] |
| Entscheidung des EuGH | Klage zulässig; EuG-Beschluss aufgehoben; Zurückverweisung an das EuG zur Sachentscheidung [Pressemitteilung Nr. 11/26] |
| Rechtsgrundlage der Klage | Art. 263 AEUV (Nichtigkeitsklage) |
| Anfechtbarkeit | EDSA-Beschluss ist verbindlich gegenüber der federführenden Behörde und den betroffenen Behörden und legt die Position des EDSA endgültig fest [eucrim] |
| Unmittelbare Betroffenheit | Beschluss verändert die Rechtsstellung des Unternehmens eigenständig; die Aufsichtsbehörden haben keinen Ermessensspielraum und können das Ergebnis nicht ändern [Pressemitteilung Nr. 11/26; eucrim] |
| Parallele Rechtsbehelfe | Nationale Klage gegen die Endentscheidung und EU-Klage gegen den EDSA-Beschluss schließen sich nicht aus [eucrim] |
| Zeitlicher Ablauf (Fachpresse) | DPC-Verfahren von Amts wegen seit Dez. 2018; Beschlussentwurf Dez. 2020 (Art. 60 Abs. 3); EDSA-Beschluss Juli 2021; DPC-Endentscheidung Aug. 2021 [eucrim] – Monatsangaben zu prüfen |
| Nationales Umsetzungsgesetz | Nicht erforderlich – DSGVO ist unmittelbar anwendbar; Rechtsprechung des EuGH bindet die Gerichte der Mitgliedstaaten |
| Betroffener Nutzerkreis | Unternehmen in grenzüberschreitenden DSGVO-Verfahren (One-Stop-Shop), Datenschutzbeauftragte, Compliance-Abteilungen, Aufsichtsbehörden |

## Geltungsbereich

Das Urteil betrifft das **Kohärenzverfahren der DSGVO** bei **grenzüberschreitender Verarbeitung**: Die federführende Aufsichtsbehörde legt den betroffenen Behörden einen Beschlussentwurf vor (Art. 60 Abs. 3 DSGVO). Bei Streit über maßgebliche und begründete Einsprüche entscheidet der **EDSA verbindlich nach Art. 65 Abs. 1 DSGVO**; die federführende Behörde erlässt danach ihre Endentscheidung auf Grundlage dieses Beschlusses. Das Urteil gilt für Adressaten solcher Endentscheidungen, also Verantwortliche und Auftragsverarbeiter, gegen die in einem One-Stop-Shop-Verfahren Maßnahmen im Raum stehen. Als EuGH-Urteil gilt es **unmittelbar** und ohne Umsetzungsakt; es ändert nicht die materiellen DSGVO-Pflichten, sondern den **Rechtsschutz**.

## Details

### Ausgangslage und Entscheidung des EuG

Die irische Datenschutzbehörde (DPC) hatte WhatsApp Ireland wegen Transparenz- und Informationspflichten untersucht. Nach Einsprüchen anderer Aufsichtsbehörden gegen den Beschlussentwurf entschied der EDSA mit **Beschluss 1/2021** verbindlich und verpflichtete die DPC, ihre Abhilfemaßnahmen zu ändern, insbesondere die Geldbußen zu erhöhen. WhatsApp erhob Nichtigkeitsklage zum EuG. Das EuG wies sie mit Beschluss vom 7. Dezember 2022 (T-709/21) als **unzulässig** ab: Der EDSA-Beschluss sei lediglich ein vorbereitender „Zwischenakt", WhatsApp sei davon nicht unmittelbar betroffen und könne die Endentscheidung der DPC vor den irischen Gerichten angreifen.

### Begründung des EuGH

Der EuGH folgte dem nicht. Der EDSA-Beschluss ist ein Handeln einer Einrichtung der Union, das gegenüber Dritten (der federführenden und den betroffenen Behörden) **verbindlich** ist und die Haltung des EDSA **endgültig** festlegt – er ist daher kein bloßer Zwischenakt. Das Unternehmen ist **unmittelbar betroffen**, weil der Beschluss seine Rechtsstellung eigenständig verändert und den Behörden keinen Gestaltungsspielraum belässt. Dass zusätzlich nationale Rechtsbehelfe gegen die Endentscheidung offenstehen, schließt die unmittelbare Betroffenheit nicht aus. Damit ist die Klage zulässig; der EuGH entscheidet nicht über die Frage, ob WhatsApp gegen die DSGVO verstoßen hat – das prüft nun das EuG.

### Folgen für die Praxis (Beweislast und Compliance)

Unternehmen im One-Stop-Shop-Verfahren sollten **Fristen früh prüfen**: Für die Nichtigkeitsklage nach Art. 263 AEUV gilt grundsätzlich eine **Klagefrist von zwei Monaten** ab Bekanntgabe bzw. Kenntnis (Art. 263 Abs. 6 AEUV, zuzüglich Entfernungsfrist) – die Frist läuft ab dem EDSA-Beschluss, nicht erst ab der Endentscheidung der Behörde. Wer sie versäumt, riskiert die Bestandskraft der inhaltlichen Vorgaben. Die **Darlegungs- und Beweislast** für Klagegründe trägt der Kläger. Parallel sollte der nationale Rechtsweg gegen die Endentscheidung gewahrt bleiben (in Deutschland Anfechtung vor dem Verwaltungsgericht, vgl. Art. 78 DSGVO). Die Bußgeldobergrenzen bleiben unverändert (Art. 83 DSGVO: bis 20 Mio. EUR bzw. 4 % des weltweiten Jahresumsatzes).

### Einordnung

Das Urteil schließt eine Rechtsschutzlücke im **zusammengesetzten Verfahren** der DSGVO-Durchsetzung und stärkt die gerichtliche Kontrolle des EDSA. Es steht im Zusammenhang mit der Rechtsprechung zu Verantwortlichkeit und Bußgeldbemessung (etwa C-807/21 Deutsche Wohnen und C-383/23 ILVA).

## Häufige Fehler

- **„Gegen EDSA-Beschlüsse kann man nur vor nationalen Gerichten klagen."** Falsch seit dem Urteil vom 10.02.2026: Die Nichtigkeitsklage zum EuG ist zulässig.
- **„Der EuGH hat WhatsApp vom Bußgeld freigesprochen."** Falsch – entschieden wurde nur die **Zulässigkeit**; die Sachentscheidung steht beim EuG aus.
- **„Die Zwei-Monats-Frist beginnt erst mit der Endentscheidung der Aufsichtsbehörde."** Für die EU-Klage gegen den EDSA-Beschluss ist das ein riskanter Irrtum; Fristen sind mit Rechtsbeistand individuell zu prüfen.
- **„Das Urteil ändert die DSGVO-Pflichten."** Nein, es betrifft ausschließlich den Rechtsschutz im Kohärenzverfahren.

## Verwandte Themen

- [DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html)
- [DSGVO Befugnisse der Aufsichtsbehörden (Art. 58)](/fakten/dsgvo-befugnisse-aufsichtsbehoerden-art-58.html)
- [DSGVO Beschwerde und Rechtsbehelfe (Art. 77–79)](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html)
- [EuGH C-383/23 ILVA – Bußgeld Konzernumsatz](/fakten/eugh-c-383-23-ilva-dsgvo-bussgeld-konzernumsatz.html)
- [EuGH C-807/21 Deutsche Wohnen](/fakten/eugh-c-807-21-deutsche-wohnen-dsgvo-bussgeld-unternehmen.html)

## Änderungsverlauf

- 2026-11-01: Erstveröffentlichung. Kernfakten aus EuGH-Pressemitteilung Nr. 11/26 und eucrim geprüft. factcheck_status=review_needed: Spruchkörper (Große Kammer), Monatsangaben des Verfahrensablaufs, ECLI und die Klagefrist-Hinweise sind noch gegen den Volltext des Urteils zu verifizieren. | change_type=initial_publication field="topic_lifecycle" new="published"

## Stand

- Stand: 2026-11-01
- Verfahren: EuGH C-97/23 P, Urteil vom 10.02.2026; Sache zurückverwiesen an das EuG (T-709/21)
- Status: aktuell (Verfahren beim EuG anhängig)
- Quellenautorität: A (EuGH-Pressemitteilung, EUR-Lex), B (Fachpresse)
- Lizenz: CC BY 4.0

## Quellen

- EuGH, Pressemitteilung Nr. 11/26 zu C-97/23 P (10.02.2026):
  https://curia.europa.eu/site/upload/docs/application/pdf/2026-02/cp260011en.pdf
- Verordnung (EU) 2016/679 (DSGVO), Art. 60, 65, 78, 83 – EUR-Lex:
  https://eur-lex.europa.eu/eli/reg/2016/679/oj
- AEUV, Art. 263 – EUR-Lex:
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:12016E263
- Fachpresse (Sekundärquelle, Sachverhalt/Zeitablauf): eucrim, „CJEU opens door to direct challenges against EDPB decisions":
  https://eucrim.eu/news/cjeu-opens-door-to-direct-challenges-against-edpb-decisions/
- Europäischer Datenschutzausschuss – Binding Decision 1/2021:
  https://www.edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-12021-dispute-arisen_en
- Nationaler Rechtsweg (DE): Verwaltungsgerichtsordnung:
  https://www.gesetze-im-internet.de/vwgo/

## Stand

- Letzte Änderung: 2026-11-01
- Letzte Prüfung: 2026-11-01
- In Kraft seit: 2026-02-10
- Status: In Kraft
- Quellen-Autorität: A
- Lizenz: CC BY 4.0