1

Mit ihrem Rechtsmittel beantragt die WhatsApp Ireland Ltd (im Folgenden: WhatsApp) die Aufhebung des Beschlusses des Gerichts der Europäischen Union vom 7. Dezember 2022, WhatsApp Ireland/Europäischer Datenschutzausschuss (T‑709/21, im Folgenden: angefochtener Beschluss, EU:T:2022:783), mit dem das Gericht ihre Klage auf Nichtigerklärung des verbindlichen Beschlusses 1/2021 des Europäischen Datenschutzausschusses (im Folgenden: Ausschuss) vom 28. Juli 2021 zur Streitigkeit zwischen den betroffenen Aufsichtsbehörden (im Folgenden: streitiger Beschluss) im Nachgang zu dem von der Data Protection Commission (DPC) (Datenschutzbehörde, Irland) (im Folgenden: irische Aufsichtsbehörde) erstellten und WhatsApp betreffenden Beschlussentwurf als unzulässig abgewiesen hat.

2

In den Erwägungsgründen 10 und 143 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, und Berichtigung in ABl. 2018, L 127, S. 2) (im Folgenden: DSGVO) heißt es:

…

3

Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 Buchst. a DSGVO bestimmt, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen. Nach Art. 5 Abs. 1 Buchst. c DSGVO müssen diese Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.

4

Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO legt die Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten fest. Art. 6 Abs. 1 sieht vor:

„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.“

5

Art. 12 DSGVO enthält Bestimmungen über die Transparenz von Informationen und Mitteilungen sowie über die Modalitäten der Ausübung der Rechte der betroffenen Person. Art. 12 Abs. 1 bestimmt:

„Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.“

6

Art. 13 („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) DSGVO sieht vor:

„(1)   Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

(2)   Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

…“

7

Art. 14 DSGVO betrifft die Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden.

8

Nach Art. 55 Abs. 1 DSGVO ist „[j]ede Aufsichtsbehörde … für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig“.

9

Art. 56 („Zuständigkeit der federführenden Aufsichtsbehörde“) DSGVO bestimmt:

„(1)   Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.

(2)   Abweichend von Absatz 1 ist jede Aufsichtsbehörde dafür zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen diese Verordnung zu befassen, wenn der Gegenstand nur mit einer Niederlassung in ihrem Mitgliedstaat zusammenhängt oder betroffene Personen nur ihres Mitgliedstaats erheblich beeinträchtigt.

(3)   In den in Absatz 2 des vorliegenden Artikels genannten Fällen unterrichtet die Aufsichtsbehörde unverzüglich die federführende Aufsichtsbehörde über diese Angelegenheit. Innerhalb einer Frist von drei Wochen nach der Unterrichtung entscheidet die federführende Aufsichtsbehörde, ob sie sich mit dem Fall gemäß dem Verfahren nach Artikel 60 befasst oder nicht, wobei sie berücksichtigt, ob der Verantwortliche oder der Auftragsverarbeiter in dem Mitgliedstaat, dessen Aufsichtsbehörde sie unterrichtet hat, eine Niederlassung hat oder nicht.

(4)   Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall zu befassen, so findet das Verfahren nach Artikel 60 Anwendung. Die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, kann dieser einen Beschlussentwurf vorlegen. Die federführende Aufsichtsbehörde trägt diesem Entwurf bei der Ausarbeitung des Beschlussentwurfs nach Artikel 60 Absatz 3 weitestgehend Rechnung.

(5)   Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall nicht selbst zu befassen, so befasst die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, sich mit dem Fall gemäß den Artikeln 61 und 62.

(6)   Die federführende Aufsichtsbehörde ist der einzige Ansprechpartner de[s] Verantwortlichen oder de[s] Auftragsverarbeiter[s] für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung.“

10

Art. 57 („Aufgaben“) Abs. 1 Buchst. h DSGVO bestimmt, dass jede Aufsichtsbehörde im Hoheitsgebiet ihres eigenen Mitgliedstaats die Aufgabe hat, Untersuchungen hinsichtlich der Anwendung der DSGVO durchzuführen.

11

Die Untersuchungsbefugnisse dieser Behörde sind in Art. 58 („Befugnisse“) Abs. 1 DSGVO aufgeführt. In Art. 58 Abs. 2 werden die Abhilfemaßnahmen aufgezählt, die von dieser Behörde ergriffen werden können, darunter die in den Buchst. b, d und i genannten Abhilfemaßnahmen, die darin bestehen, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DSGVO zu bringen, und eine Geldbuße gemäß Art. 83 DSGVO zu verhängen.

12

Art. 60 („Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden“) bestimmt:

„(1)   Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.

(2)   Die federführende Aufsichtsbehörde kann jederzeit andere betroffene Aufsichtsbehörden um Amtshilfe gemäß Artikel 61 ersuchen und gemeinsame Maßnahmen gemäß Artikel 62 durchführen, insbesondere zur Durchführung von Untersuchungen oder zur Überwachung der Umsetzung einer Maßnahme in Bezug auf einen Verantwortlichen oder einen Auftragsverarbeiter, der in einem anderen Mitgliedstaat niedergelassen ist.

(3)   Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.

(4)   Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.

(5)   Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.

(6)   Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.

(7)   Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.

(8)   Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Absatz 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den Verantwortlichen in Kenntnis.

(9)   Sind sich die federführende Aufsichtsbehörde und die betreffenden Aufsichtsbehörden darüber einig, Teile der Beschwerde abzulehnen oder abzuweisen und bezüglich anderer Teile dieser Beschwerde tätig zu werden, so wird in dieser Angelegenheit für jeden dieser Teile ein eigener Beschluss erlassen. Die federführende Aufsichtsbehörde erlässt den Beschluss für den Teil, der das Tätigwerden in Bezug auf den Verantwortlichen betrifft, teilt ihn der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters im Hoheitsgebiet ihres Mitgliedstaats mit und setzt den Beschwerdeführer hiervon in Kenntnis, während die für den Beschwerdeführer zuständige Aufsichtsbehörde den Beschluss für den Teil erlässt, der die Ablehnung oder Abweisung dieser Beschwerde betrifft, und ihn diesem Beschwerdeführer mitteilt und den Verantwortlichen oder den Auftragsverarbeiter hiervon in Kenntnis setzt.

(10)   Nach der Unterrichtung über den Beschluss der federführenden Aufsichtsbehörde gemäß den Absätzen 7 und 9 ergreift der Verantwortliche oder der Auftragsverarbeiter die erforderlichen Maßnahmen, um die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union mit dem Beschluss in Einklang zu bringen. Der Verantwortliche oder der Auftragsverarbeiter teilt der federführenden Aufsichtsbehörde die Maßnahmen mit, die zur Einhaltung des Beschlusses ergriffen wurden; diese wiederum unterrichtet die anderen betroffenen Aufsichtsbehörden.

(11)   Hat – in Ausnahmefällen – eine betroffene Aufsichtsbehörde Grund zu der Annahme, dass zum Schutz der Interessen betroffener Personen dringender Handlungsbedarf besteht, so kommt das Dringlichkeitsverfahren nach Artikel 66 zur Anwendung.

(12)   Die federführende Aufsichtsbehörde und die anderen betroffenen Aufsichtsbehörden übermitteln einander die nach diesem Artikel geforderten Informationen auf elektronischem Wege unter Verwendung eines standardisierten Formats.“

13

In Art. 63 („Kohärenzverfahren“) DSGVO heißt es:

„Um zur einheitlichen Anwendung dieser Verordnung in der gesamten Union beizutragen, arbeiten die Aufsichtsbehörden im Rahmen des … Kohärenzverfahrens untereinander und gegebenenfalls mit der Kommission zusammen.“

14

Art. 65 („Streitbeilegung durch den Ausschuss“) DSGVO bestimmt:

„(1)   Um die ordnungsgemäße und einheitliche Anwendung dieser Verordnung in Einzelfällen sicherzustellen, erlässt der Ausschuss in den folgenden Fällen einen verbindlichen Beschluss:

(2)   Der in Absatz 1 genannte Beschluss wird innerhalb eines Monats nach der Befassung mit der Angelegenheit mit einer Mehrheit von zwei Dritteln der Mitglieder des Ausschusses angenommen. Diese Frist kann wegen der Komplexität der Angelegenheit um einen weiteren Monat verlängert werden. Der in Absatz 1 genannte Beschluss wird begründet und an die federführende Aufsichtsbehörde und alle betroffenen Aufsichtsbehörden übermittelt und ist für diese verbindlich.

(3)   War der Ausschuss nicht in der Lage, innerhalb der in Absatz 2 genannten Fristen einen Beschluss anzunehmen, so nimmt er seinen Beschluss innerhalb von zwei Wochen nach Ablauf des in Absatz 2 genannten zweiten Monats mit einfacher Mehrheit der Mitglieder des Ausschusses an. Bei Stimmengleichheit zwischen den Mitgliedern des Ausschusses gibt die Stimme des Vorsitzes den Ausschlag.

(4)   Die betroffenen Aufsichtsbehörden nehmen vor Ablauf der in den Absätzen 2 und 3 genannten Fristen keinen Beschluss über die dem Ausschuss vorgelegte Angelegenheit an.

(5)   Der Vorsitz des Ausschusses unterrichtet die betroffenen Aufsichtsbehörden unverzüglich über den in Absatz 1 genannten Beschluss. Er setzt die Kommission hiervon in Kenntnis. Der Beschluss wird unverzüglich auf der Website des Ausschusses veröffentlicht, nachdem die Aufsichtsbehörde den in Absatz 6 genannten endgültigen Beschluss mitgeteilt hat.

(6)   Die federführende Aufsichtsbehörde oder gegebenenfalls die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, trifft den endgültigen Beschluss auf der Grundlage des in Absatz 1 des vorliegenden Artikels genannten Beschlusses unverzüglich und spätestens einen Monat, nachdem der Europäische Datenschutzausschuss seinen Beschluss mitgeteilt hat. Die federführende Aufsichtsbehörde oder gegebenenfalls die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, setzt den Ausschuss von dem Zeitpunkt, zu dem ihr endgültiger Beschluss dem Verantwortlichen oder dem Auftragsverarbeiter bzw. der betroffenen Person mitgeteilt wird, in Kenntnis. Der endgültige Beschluss der betroffenen Aufsichtsbehörden wird gemäß Artikel 60 Absätze 7, 8 und 9 angenommen. Im endgültigen Beschluss wird auf den in Absatz 1 genannten Beschluss verwiesen und festgelegt, dass der in Absatz 1 des vorliegenden Artikels genannte Beschluss gemäß Absatz 5 auf der Website des Ausschusses veröffentlicht wird. Dem endgültigen Beschluss wird der in Absatz 1 des vorliegenden Artikels genannte Beschluss beigefügt.“

15

Art. 68 („[Ausschuss]“) Abs. 1 DSGVO sieht vor, dass der Ausschuss als Einrichtung der Union mit eigener Rechtspersönlichkeit eingerichtet wird.

16

Art. 70 („Aufgaben des Ausschusses“) Abs. 1 Buchst. a DSGVO sieht vor, dass der Ausschuss die einheitliche Anwendung der DSGVO sicherstellt. Hierzu nimmt der Ausschuss von sich aus oder gegebenenfalls auf Ersuchen der Kommission insbesondere die Tätigkeit wahr, die ordnungsgemäße Anwendung der DSGVO in den in den Art. 64 und 65 genannten Fällen zu überwachen und sicherzustellen, unbeschadet der Aufgaben der nationalen Aufsichtsbehörden.

17

Art. 78 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde“) bestimmt:

„(1)   Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.

(2)   Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Recht[s]behelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn die nach den Artikeln 55 und 56 zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde in Kenntnis gesetzt hat.

(3)   Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat.

(4)   Kommt es zu einem Verfahren gegen den Beschluss einer Aufsichtsbehörde, dem eine Stellungnahme oder ein Beschluss des Ausschusses im Rahmen des Kohärenzverfahrens vorangegangen ist, so leitet die Aufsichtsbehörde diese Stellungnahme oder diesen Beschluss dem Gericht zu.“

18

Art. 83 DSGVO legt die allgemeinen Bedingungen für die Verhängung von Geldbußen fest.

19

Die Vorgeschichte des Rechtsstreits ist in den Rn. 2 bis 12 des angefochtenen Beschlusses dargestellt und lässt sich für die Zwecke des vorliegenden Verfahrens wie folgt zusammenfassen.

20

Nach Inkrafttreten der DSGVO gingen bei der irischen Aufsichtsbehörde Beschwerden von Nutzern und Nichtnutzern des Messengerdienstes „WhatsApp“ über die Verarbeitung personenbezogener Daten durch WhatsApp ein. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Deutschland) ersuchte außerdem die irische Aufsichtsbehörde um Unterstützung bei der Prüfung, ob WhatsApp die Transparenzpflichten erfüllt, die die für die Verarbeitung personenbezogener Daten Verantwortlichen in Bezug auf die etwaige Weitergabe solcher Daten an andere Unternehmen des Konzerns Facebook, der im September 2021 in Meta umbenannt wurde, treffen.

21

Die irische Aufsichtsbehörde leitete unbeschadet der Schritte, die sie aufgrund der bei ihr eingegangenen Einzelbeschwerden einleiten könnte, im Dezember 2018 von Amts wegen eine allgemeine Untersuchung darüber ein, ob WhatsApp die in den Art. 12 bis 14 DSGVO festgelegten Transparenz- und Informationspflichten gegenüber Einzelpersonen erfüllt. Die irische Aufsichtsbehörde handelte hierbei nach Art. 56 Abs. 1 DSGVO als federführende Aufsichtsbehörde, da WhatsApp als Verantwortlicher für den Betrieb des Messengerdienstes „WhatsApp“ in Europa ihre Hauptniederlassung in Irland und die fragliche Verarbeitung grenzüberschreitenden Charakter hat.

22

Nachdem die Ermittlungsphase im September 2019 mit der Vorlage eines Abschlussberichts des Ermittlers beendet worden war, legte die irische Aufsichtsbehörde nach zwischengeschalteten Verfahrensabschnitten, in deren Verlauf WhatsApp ihre Stellungnahmen abgab, im Dezember 2020 allen anderen von dieser Angelegenheit betroffenen Aufsichtsbehörden einen Beschlussentwurf vor, um gemäß Art. 60 Abs. 3 DSGVO deren Stellungnahmen dazu einzuholen.

23

Im Januar 2021 erhoben acht dieser anderen Aufsichtsbehörden Einsprüche gegen bestimmte Punkte dieses Beschlussentwurfs. Die irische Aufsichtsbehörde antwortete auf diese Einsprüche gemeinsam und schlug Kompromisslösungen vor. Zwar zog eine dieser acht Aufsichtsbehörden im Anschluss an diese Antwort einen ihrer Einsprüche zurück, doch stellte die irische Aufsichtsbehörde fest, dass in Bezug auf andere Punkte, gegen die Einsprüche erhoben worden seien, kein Konsens erzielt worden sei. Sie beschloss, alle eingegangenen Einsprüche zurückzuweisen und gemäß Art. 60 Abs. 4 und Art. 65 Abs. 1 Buchst. a DSGVO den Ausschuss zu befassen, damit er die Streitigkeit zwischen den betroffenen Aufsichtsbehörden über die von diesen Einsprüchen erfassten Punkten beilege.

24

Im Mai 2021 holte die irische Aufsichtsbehörde die schriftlichen Stellungnahmen von WhatsApp zu den zwischen den betroffenen Aufsichtsbehörden streitigen Punkten ein, nachdem sie dem Unternehmen alle diesbezüglich ausgetauschten Unterlagen übermittelt hatte, und übermittelte ihrerseits dem Ausschuss diese Stellungnahmen zur Kenntnisnahme im Rahmen des Streitbeilegungsverfahrens, das von ihr im Juni 2021 eingeleitet wurde.

25

Am 28. Juli 2021 erließ der Ausschuss den streitigen Beschluss auf der Grundlage von Art. 65 Abs. 2 DSGVO.

26

Nachdem die irische Aufsichtsbehörde den streitigen Beschluss erhalten und von WhatsApp eine Stellungnahme zu den finanziellen Sanktionen eingeholt hatte, die von dieser Behörde im Licht des streitigen Beschlusses letztlich gegen das Unternehmen verhängt werden sollten, erließ diese Behörde am 20. August 2021 gemäß Art. 65 Abs. 6 DSGVO einen an WhatsApp gerichteten endgültigen Beschluss (im Folgenden: endgültiger Beschluss).

27

Im endgültigen Beschluss stellte die irische Aufsichtsbehörde fest, dass WhatsApp gegen den Transparenzgrundsatz und die Transparenzverpflichtungen nach Art. 5 Abs. 1 Buchst. a, Art. 12 Abs. 1, Art. 13 Abs. 1 Buchst. c bis f, Art. 13 Abs. 2 Buchst. a, c und e sowie Art. 14 der DSGVO verstoßen habe. Dagegen wies die Behörde darauf hin, dass WhatsApp ihren Verpflichtungen aus Art. 13 Abs. 1 Buchst. a und b sowie Art. 13 Abs. 2 Buchst. b und d DSGVO nachgekommen sei. Als Abhilfemaßnahmen nach Art. 58 Abs. 2 Buchst. b, d und i DSGVO erteilte die Behörde WhatsApp im endgültigen Beschluss eine Verwarnung, gab dem Unternehmen die Durchführung einer in einem Anhang aufgeführten bestimmten Anzahl von Maßnahmen auf, die innerhalb von drei Monaten dazu führen sollten, dass das Unternehmen den Bestimmungen der DSGVO entspricht, gegen die verstoßen worden war, und verhängte gegen WhatsApp vier Geldbußen, die sich auf die gegen Art. 5 Abs. 1 Buchst. a sowie gegen die Art. 12 bis 14 DSGVO festgestellten Verstöße bezogen und deren Gesamtbetrag sich auf 225 Mio. Euro belief.

28

Außerdem nannte die irische Aufsichtsbehörde im endgültigen Beschluss die Punkte, für die der streitige Beschluss sie verpflichtete, die in ihrem Beschlussentwurf dargelegte Beurteilung zu überprüfen. Sie entschied sich dafür, zu diesen Punkten die Begründungen des Ausschusses aus dem streitigen Beschluss unverändert in grau unterlegten Kästen wiederzugeben und in einer abschließenden Randnummer schlicht die jeweiligen Schlussfolgerungen daraus zu ziehen.

29

Gemäß Art. 65 Abs. 6 DSGVO wurde der streitige Beschluss dem endgültigen Beschluss der irischen Aufsichtsbehörde beigefügt.

30

Im streitigen Beschluss nahm der Ausschuss zu den Gesichtspunkten Stellung, gegen die maßgebliche und begründete Einsprüche im Sinne von Art. 65 Abs. 1 Buchst. a DSGVO erhoben worden waren, nämlich:

31

WhatsApp focht den endgültigen Beschluss vor einem irischen Gericht an.

32

Mit Klageschrift, die am 1. November 2021 bei der Kanzlei des Gerichts einging, erhob WhatsApp nach Art. 263 AEUV Klage auf Nichtigerklärung des streitigen Beschlusses.

33

Mit dem angefochtenen Beschluss hat das Gericht diese Klage gemäß Art. 129 seiner Verfahrensordnung als unzulässig abgewiesen.

34

In den Rn. 36, 37 und 40 des angefochtenen Beschlusses hat das Gericht zwar festgestellt, dass der streitige Beschluss eine Handlung einer Einrichtung der Union darstelle, die Rechtswirkungen gegenüber Dritten entfalten solle, und dass WhatsApp von diesem Beschluss individuell betroffen sei, es hat jedoch in Rn. 42 des angefochtenen Beschlusses festgestellt, dass dieser Beschluss eine vorbereitende oder Zwischenmaßnahme in einem Verfahren sei, das mit dem Erlass eines endgültigen Beschlusses durch die nationale Aufsichtsbehörde abgeschlossen werden müsse. Das Gericht hat in den Rn. 43 und 44 des angefochtenen Beschlusses ausgeführt, dass eine solche Handlung nur dann eine „anfechtbare Handlung“ darstelle, wenn sie eigenständige Rechtswirkungen entfalte, für die im Rahmen einer Klage gegen die das fragliche Verfahren abschließende Entscheidung kein ausreichender gerichtlicher Rechtsschutz gewährleistet werden könne.

35

Hierzu hat das Gericht in Rn. 45 des angefochtenen Beschlusses ausgeführt, dass im vorliegenden Fall ein wirksamer gerichtlicher Rechtsschutz in Bezug auf den streitigen Beschluss durch den WhatsApp zur Verfügung stehenden Rechtsbehelf vor dem nationalen Gericht gegen den endgültigen Beschluss gewährleistet sei, da dieses nationale Gericht nach Art. 267 AEUV befugt sei, den Gerichtshof um Vorabentscheidung über die Gültigkeit des streitigen Beschlusses zu ersuchen. In Rn. 46 des angefochtenen Beschlusses hat das Gericht ferner klargestellt, dass der streitige Beschluss gegenüber WhatsApp im Verhältnis zu dem endgültigen Beschluss der irischen Aufsichtsbehörde keine eigenständigen Rechtswirkungen habe.

36

Außerdem hat das Gericht in Rn. 49 des angefochtenen Beschlusses ausgeführt, dass der Umstand, dass eine solche Zwischenmaßnahme einen endgültigen Standpunkt einer Behörde zum Ausdruck bringe, der in der endgültigen Entscheidung, mit der das fragliche Verfahren abgeschlossen werde, übernommen werden müsse, nicht zwangsläufig bedeute, dass diese Handlung selbst die Rechtsstellung des Klägers in qualifizierter Weise ändere.

37

Im Übrigen hat das Gericht in Rn. 50 des angefochtenen Beschlusses festgestellt, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sei. In Rn. 52 des angefochtenen Beschlusses hat das Gericht festgestellt, dass dieser Beschluss ihr nicht in einer Weise entgegengehalten werden könne, die ohne einen weiteren Verfahrensschritt Verpflichtungen für WhatsApp oder gegebenenfalls Rechte für andere Einzelpersonen begründen könnte, so dass er sich nicht unmittelbar auf die Situation von WhatsApp auswirke. Das Gericht hat in Rn. 53 des angefochtenen Beschlusses auch darauf hingewiesen, dass der streitige Beschluss die irische Aufsichtsbehörde zwar hinsichtlich der von ihm behandelten Punkte binde, ihr jedoch einen Ermessensspielraum hinsichtlich des Inhalts des endgültigen Beschlusses einräume.

38

Daher hat das Gericht in den Rn. 61 und 62 des angefochtenen Beschlusses entschieden, dass keine der Voraussetzungen dafür erfüllt sei, dass WhatsApp von der mit ihrer Klage angefochtenen Maßnahme unmittelbar betroffen sei, und die Klage folglich unzulässig sei.

39

Schließlich hat das Gericht in den Rn. 66 bis 70 des angefochtenen Beschlusses entschieden, dass sich das Ergebnis seiner Prüfung in die Logik des durch die Verträge geschaffenen Systems der gerichtlichen Rechtsbehelfe einfüge. Das Gericht hat u. a. festgestellt, dass die Zulassung der Klage von WhatsApp gegen den streitigen Beschluss die Gefahr paralleler Gerichtsverfahren vor den Unionsgerichten und dem nationalen Gericht mit sich bringe, das zudem befugt sei, den Gerichtshof um Vorabentscheidung über die Gültigkeit dieses Beschlusses zu ersuchen.

40

Mit ihrem Rechtsmittel beantragt WhatsApp,

41

Der Ausschuss, unterstützt durch die Bundesrepublik Deutschland, beantragt,

42

Der Ausschuss macht geltend, dass die Klage im ersten Rechtszug verspätet erhoben worden sei. WhatsApp habe von den relevanten Teilen des streitigen Beschlusses zu einem Zeitpunkt vor dessen Veröffentlichung auf der Website des Ausschusses, genauer gesagt am 13. August 2021, Kenntnis erlangt. Folglich habe die Klagefrist unabhängig vom Zeitpunkt der Veröffentlichung des streitigen Beschlusses auf der Website des Ausschusses, die im Übrigen einer Veröffentlichung im Amtsblatt der Europäischen Union nicht gleichgestellt werden könne, bereits am 13. August 2021 zu laufen begonnen und sei am 25. Oktober 2021 abgelaufen. Da WhatsApp ihre Nichtigkeitsklage am 1. November 2021 erhoben habe, sei diese verspätet.

43

WhatsApp hält das Vorbringen des Ausschusses zur Verspätung ihrer Klage für unzutreffend. Wenn der Kläger nicht Adressat eines Rechtsakts sei, bestimme nämlich der Zeitpunkt der Bekanntgabe dieses Rechtsakts den Beginn der Klagefrist. Der Zeitpunkt der Kenntniserlangung sei insoweit nur ein subsidiäres Kriterium. Die Art der Bekanntgabe dieses Rechtsakts sei unerheblich. Im vorliegenden Fall sei die Veröffentlichung des streitigen Beschlusses jedenfalls am 2. September 2021 auf der Website des Ausschusses erfolgt, und die Klage sei am 1. November 2021 unter Wahrung der in Art. 263 Abs. 6 AEUV vorgesehenen Frist erhoben worden.

44

Nach Art. 263 Abs. 6 AEUV sind die in diesem Artikel vorgesehenen Klagen binnen zwei Monaten zu erheben; diese Frist läuft je nach Lage des Falles von der Bekanntgabe der betreffenden Handlung, ihrer Mitteilung an den Kläger oder in Ermangelung dessen von dem Zeitpunkt an, zu dem der Kläger von dieser Handlung Kenntnis erlangt hat.

45

Aus dem Wortlaut dieser Bestimmung – insbesondere den Wendungen „je nach Lage des Falles“ und „in Ermangelung dessen“ – ergibt sich eindeutig, dass der Beginn der Klagefrist anhand der fraglichen Situation bestimmt wird und die ersten beiden Kriterien, die diese Frist in Gang setzen können, gegenüber dem dritten Kriterium hierarchisch gestaffelt sind. Die Frist für die Nichtigkeitsklage läuft somit in erster Linie ab der Bekanntgabe der Handlung oder ihrer Mitteilung an den Kläger. Diese beiden Hauptkriterien werden in der Systematik dieser Bestimmung in dem Sinne gleichgestellt, dass keines dieser beiden Kriterien gegenüber dem anderen subsidiär ist. Dagegen kommt das Kriterium des Zeitpunkts der Kenntnisnahme von der angefochtenen Handlung als Beginn der Klagefrist nur subsidiär neben den Kriterien des Zeitpunkts der Bekanntgabe bzw. der Mitteilung der Handlung in Betracht (vgl. in diesem Sinne Urteil vom 26. September 2024, WEPA Hygieneprodukte u. a./Kommission, C‑795/21 P und C‑796/21 P, EU:C:2024:807, Rn. 61 bis 63 sowie die dort angeführte Rechtsprechung), was hier im Übrigen nicht bestritten wird.

46

Im vorliegenden Fall steht fest, dass der streitige Beschluss WhatsApp nicht mitgeteilt wurde, da der Ausschuss nach Art. 65 Abs. 5 Satz 1 DSGVO nur verpflichtet ist, die betroffenen Aufsichtsbehörden über einen solchen Beschluss zu unterrichten. Daher ist zu prüfen, ob der streitige Beschluss im Sinne von Art. 263 Abs. 6 AEUV bekannt gegeben wurde.

47

Der Begriff „Bekanntgabe“ bezieht sich nicht ausschließlich auf eine Veröffentlichung im Amtsblatt der Europäischen Union, sondern ist vielmehr weit auszulegen. So fällt unter diesen Begriff u. a. eine Veröffentlichung auf der Website eines Organs, einer Einrichtung oder einer sonstigen Stelle der Union, wenn diese im abgeleiteten Recht vorgesehen ist (vgl. in diesem Sinne Urteil vom 26. September 2024, WEPA Hygieneprodukte u. a./Kommission, C‑795/21 P und C‑796/21 P, EU:C:2024:807, Rn. 70 und die dort angeführte Rechtsprechung).

48

Da im vorliegenden Fall die Veröffentlichung des streitigen Beschlusses in Art. 65 Abs. 5 Satz 3 DSGVO vorgesehen ist, ist daher der Zeitpunkt, auf den abzustellen ist, derjenige, an dem dieser Beschluss auf der Website des Ausschusses veröffentlicht wurde, d. h. der 2. September 2021. Diese Auslegung wird durch den dritten Satz des 143. Erwägungsgrundes der DSGVO bestätigt, aus dem hervorgeht, dass die Klagefrist ab der Veröffentlichung des in Rede stehenden Beschlusses des Ausschusses auf dessen Website zu berechnen ist.

49

Da die Klage am 1. November 2021 erhoben wurde, ist die in Art. 263 Abs. 6 AEUV vorgesehene Frist gewahrt worden, so dass zu prüfen ist, ob die im Rahmen des vorliegenden Rechtsmittels geltend gemachten Rechtsmittelgründe geeignet sind, die vom Gericht im angefochtenen Beschluss vorgenommene Beurteilung in Frage zu stellen.

50

WhatsApp macht geltend, das Gericht habe einen Rechtsfehler begangen, als es festgestellt habe, dass der streitige Beschluss keine anfechtbare Handlung sei.

51

WhatsApp bestreitet insbesondere die Relevanz des vom Gericht in Rn. 41 des angefochtenen Beschlusses herangezogenen Kriteriums für die Feststellung, ob eine Handlung anfechtbar sei oder nicht. So sei das Gericht zu Unrecht davon ausgegangen, dass der Nachweis erforderlich sei, dass der streitige Beschluss Rechtswirkungen erzeuge, die die Rechtsstellung von WhatsApp in qualifizierter Weise änderten, und dass er WhatsApp unmittelbar betreffe. Es hätte genügt, den Schluss zu ziehen, dass dieser Beschluss dazu bestimmt gewesen sei, Rechtswirkungen gegenüber einem oder mehreren Dritten zu erzeugen, um festzustellen, dass er aufgrund seiner Bestandskraft eine anfechtbare Handlung darstelle. Jedenfalls stelle dieser Beschluss keine bloße Zwischenmaßnahme dar, sondern bringe den endgültigen Standpunkt des Ausschusses zum Ausdruck.

52

Nach Ansicht von WhatsApp hat das Gericht die Rechtsprechung zu den Rechtswirkungen von Zwischenhandlungen falsch angewandt, indem es ein verfahrensrechtliches Kriterium herangezogen habe, wonach eine solche Handlung nur dann anfechtbar sei, wenn eine Klage gegen die endgültige Handlung keinen ausreichenden gerichtlichen Rechtsschutz gewährleisten könne, und indem es zu dem Ergebnis gelangt sei, dass der streitige Beschluss keine Rechtswirkungen entfalte.

53

In diesem Zusammenhang verweist WhatsApp auf das Urteil vom 11. November 1981, IBM/Kommission (60/81, EU:C:1981:264, Rn. 10 und 11), aus dem sich insbesondere ergebe, dass eine Zwischenmaßnahme anfechtbar sei, wenn sie bestandskräftig und von dem später erlassenen endgültigen Beschluss unabhängig sei. Daher sei das Wesen dieser Handlung zu prüfen und ihre Wirkungen anhand objektiver Kriterien wie z. B. des Inhalts dieser Handlung zu beurteilen, wobei gegebenenfalls der Kontext ihres Erlasses und die Befugnisse des die Handlung vornehmenden Organs zu berücksichtigen seien. WhatsApp verweist insoweit u. a. auf das Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat (C‑348/20 P, EU:C:2022:548, Rn. 63).

54

Insbesondere könne eine solche Handlung nur dann nicht mit einer Nichtigkeitsklage angefochten werden, wenn sie zum einen in der Sache vorläufig sei, so dass ihr Urheber seinen Standpunkt im Stadium der später erlassenen endgültigen Entscheidung ändern könne, und zum anderen diese endgültige Entscheidung von demselben Organ oder derselben Einrichtung der Union erlassen werde. Der Begriff der Zwischenmaßnahme sei daher nicht auf einen von einem Organ oder einer Einrichtung der Union erlassenen Beschluss anzuwenden, der an eine mit der Durchführung dieses Beschlusses gegenüber Dritten betraute nationale Behörde gerichtet sei.

55

Im vorliegenden Fall habe sich das Gericht darauf beschränkt, zu prüfen, ob WhatsApp in verfahrensrechtlicher Hinsicht durch die Klage vor dem nationalen Gericht wirksamer Rechtsschutz gewährt werde. Es habe daher in den Rn. 48 und 49 des angefochtenen Beschlusses fälschlicherweise angenommen, dass das Vorbringen von WhatsApp, wonach der streitige Beschluss den endgültigen Standpunkt seines Urhebers zum Ausdruck bringe, unerheblich sei. Auf diese Weise sei das Gericht daher zu Unrecht davon ausgegangen, dass der streitige Beschluss keine Rechtswirkungen erzeuge und dass er vom endgültigen Beschluss nicht unabhängig sei, ohne Inhalt und Kontext des streitigen Beschlusses oder dessen eigenständige Rechtswirkungen gewürdigt zu haben.

56

Was den Inhalt des streitigen Beschlusses betreffe, sei unstreitig, dass er als auf der Grundlage von Art. 65 DSGVO erlassener verbindlicher Beschluss dazu bestimmt gewesen sei, Rechtswirkungen gegenüber Dritten zu erzeugen, und dass er den endgültigen Standpunkt des Ausschusses zu den ihm unterbreiteten Punkten zum Ausdruck bringe. Dieser Standpunkt sei geeignet gewesen, die Rechtsstellung von WhatsApp in qualifizierter Weise zu verändern, insbesondere aufgrund der Feststellung, dass es sich bei den verlustbehaftet gehashten Daten um personenbezogene Daten gehandelt habe; diese Feststellung binde die irische Aufsichtsbehörde.

57

Was den Kontext des streitigen Beschlusses betreffe, ergebe sich aus dem Wortlaut von Art. 65 DSGVO, dass er einen verbindlichen Beschluss darstelle. Im 143. Erwägungsgrund der DSGVO heiße es, dass die Beschlüsse des Ausschusses u. a. einen Verantwortlichen unmittelbar und individuell betreffen könnten, was bedeute, dass diese Beschlüsse Außenwirkungen entfalten könnten, die über die nationalen Aufsichtsbehörden hinausgingen, an die sie gerichtet seien. Dies werde sowohl durch den Sinn und Zweck der verbindlichen Wirkung der Beschlüsse des Ausschusses bestätigt, die darin bestehe, die korrekte und kohärente Anwendung der DSGVO sicherzustellen, als auch durch die Systematik des Verfahrens nach Art. 65 Abs. 1 DSGVO.

58

Hinsichtlich der eigenständigen Rechtswirkungen des streitigen Beschlusses über diejenigen hinaus, die gegenüber seinen Adressaten erzeugt worden seien, weist WhatsApp darauf hin, dass dieser Beschluss ihr gegenüber solche Wirkungen entfalte, indem er sich u. a. auf die Art und Weise auswirke, in der sie beabsichtige, die DSGVO in Bezug auf die verlustbehaftet gehashten Daten einzuhalten, da diese Daten vom Ausschuss als personenbezogene Daten eingestuft würden. Der streitige Beschluss erzeuge auch Rechtswirkungen gegenüber den nationalen Gerichten, die nicht befugt seien, ihn abzuändern oder für ungültig zu erklären.

59

Der Ausschuss tritt diesem Vorbringen entgegen. Die Nichtigkeitsklage sei grundsätzlich nur gegen eine Maßnahme gegeben, mit der ein Organ, eine Einrichtung oder eine sonstige Stelle der Union am Ende eines Verwaltungsverfahrens seinen Standpunkt endgültig festlege. Zwischenhandlungen, die eine endgültige Entscheidung vorbereiten sollten, können hingegen nicht als „anfechtbare Handlungen“ eingestuft werden, da solche Handlungen im Verhältnis zu der Handlung der Union, die in dieser Weise vorbereitet, bestätigt oder durchgeführt werde, keine eigenständigen verbindlichen Rechtswirkungen erzeugen sollten. Außerdem sei eine Zwischenmaßnahme nicht anfechtbar, wenn die Rechtswidrigkeit einer solchen Handlung im Rahmen einer Klage gegen die endgültige Entscheidung, deren Vorbereitung sie sei, geltend gemacht werden könne.

60

Im vorliegenden Fall sei der streitige Beschluss eine Zwischenmaßnahme, die zu einem unteilbaren Verfahren der Entscheidungsfindung gehöre, das von der irischen Aufsichtsbehörde durchgeführt werde und zu einem endgültigen Beschluss dieser Behörde geführt habe. In diesem Zusammenhang seien die Beurteilungen des Ausschusses zwar bindend, könnten aber WhatsApp nicht unmittelbar entgegengehalten werden und hätten im Verhältnis zu dem endgültigen Beschluss ihr gegenüber keine eigenständigen Rechtswirkungen. Der Umstand, dass der streitige Beschluss einen endgültigen Standpunkt des Ausschusses zu bestimmten Punkten enthalte, die im endgültigen Beschluss enthalten sein sollten, bedeute daher nicht, dass der streitige Beschluss für sich genommen zu einer gesonderten Änderung der Rechtsstellung von WhatsApp führe. Der streitige Beschluss und der endgültige Beschluss seien nämlich im Rahmen eines einheitlichen Verwaltungsverfahrens erlassen worden, das aus miteinander verflochtenen Schritten auf nationaler und europäischer Ebene zum selben Gegenstand bestehe, und nicht im Anschluss an zwei unabhängige Verfahren, die unterschiedliche Fragen betroffen hätten.

61

Insoweit stellt der Ausschuss klar, dass das Streitbeilegungsverfahren darauf abziele, eine kohärente Umsetzung der DSGVO durch die nationalen Behörden zu gewährleisten. Im vorliegenden Fall begründe der streitige Beschluss keine neuen rechtlichen Verpflichtungen für WhatsApp. Deren Verpflichtungen würden in der DSGVO selbst und nicht im streitigen Beschluss festgelegt und von der irischen Aufsichtsbehörde und nicht vom Ausschuss angewandt. Im Übrigen hätten diese Verpflichtungen für WhatsApp gegolten, bevor die fraglichen Verstöße festgestellt worden seien.

62

Zu den behaupteten externen Rechtswirkungen des streitigen Beschlusses führt der Ausschuss aus, dass seine Auslegungen nur zwischen den Parteien, d. h. zwischen den betroffenen Aufsichtsbehörden, bindend seien. Abgesehen davon, dass der streitige Beschluss keine unmittelbare Rechtswirkung gegenüber WhatsApp habe, betreffe er abgegrenzte Anwendungsfragen der DSGVO, die in den endgültigen Beschluss aufgenommen und in diesem weiterentwickelt werden sollten. Die Auslegungen der DSGVO durch den Ausschuss könnten somit zwar in späteren Angelegenheiten, die ähnliche Rechtsfragen beträfen, mit einem gewissen Grad an Autorität versehen sein, doch seien sie für die nationalen Gerichte nicht bindend, die im Zweifelsfall den Gerichtshof um Vorabentscheidung ersuchen müssten.

63

Die Bundesrepublik Deutschland, die dem Rechtsstreit als Streithelferin zur Unterstützung der Anträge des Ausschusses beigetreten ist, macht geltend, dass das in der DSGVO vorgesehene Kohärenzverfahren, einschließlich des Streitbeilegungsverfahrens, rein interner Natur sei und allein dem Ziel diene, im Fall unterschiedlicher Auffassungen der Aufsichtsbehörden eine Schlichtung zu erreichen. Insbesondere ergebe sich aus Art. 65 Abs. 2 Satz 3 DSGVO, dass eine vom Ausschuss in diesem Rahmen getroffene Maßnahme nur gegenüber den nationalen Aufsichtsbehörden rechtsverbindlich sei. Nur der endgültige Beschluss sei für den betroffenen Verantwortlichen oder Auftragsverarbeiter verbindlich.

64

Der erste Rechtsmittelgrund betrifft die Frage, ob das Gericht einen Rechtsfehler begangen hat, als es in den Rn. 41 bis 49 des angefochtenen Beschlusses festgestellt hat, dass der streitige Beschluss eine anfechtbare Handlung im Sinne von Art. 263 Abs. 1 AEUV sei.

65

Nach dieser Bestimmung überwacht der Gerichtshof u. a. „die Rechtmäßigkeit der Handlungen der Einrichtungen oder sonstigen Stellen der Union mit Rechtswirkung gegenüber Dritten“.

66

Nach ständiger Rechtsprechung sind mit der Nichtigkeitsklage gemäß Art. 263 AEUV alle von den Organen, Einrichtungen oder sonstigen Stellen der Union erlassenen Bestimmungen unabhängig von ihrer Form anfechtbar, die verbindliche Rechtswirkungen erzeugen sollen (vgl. in diesem Sinne Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 62 und die dort angeführte Rechtsprechung).

67

Um festzustellen, ob eine Handlung derartige Wirkungen erzeugt und daher Gegenstand einer Nichtigkeitsklage gemäß Art. 263 AEUV sein kann, ist auf ihr Wesen abzustellen und sind diese Wirkungen anhand objektiver Kriterien wie z. B. des Inhalts dieser Handlung zu beurteilen, wobei gegebenenfalls der Zusammenhang ihres Erlasses und die Befugnisse des die Handlung vornehmenden Organs bzw. der die Handlungen vornehmenden Einrichtung oder sonstigen Stelle zu berücksichtigen sind, das bzw. die sie vorgenommen hat (vgl. in diesem Sinne Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 63 und die dort angeführte Rechtsprechung).

68

Insoweit muss, wie die Generalanwältin in den Nrn. 79 und 121 ihrer Schlussanträge ausgeführt hat, im Licht von Art. 263 Abs. 1 AEUV der Dritte, dem gegenüber die betreffende Handlung Rechtswirkungen entfaltet, nicht notwendigerweise der Kläger sein. Die Eigenschaft eines Dritten kommt nämlich jeder natürlichen oder juristischen Person zu, die vom Urheber dieser Handlung verschieden ist. Um festzustellen, ob die Handlung solche Wirkungen erzeugt, braucht daher nicht geprüft zu werden, ob diese Wirkungen geeignet sind, die Rechtsstellung des Klägers zu beeinträchtigen, da diese Prüfung nur im Rahmen der Prüfung relevant ist, ob die in Art. 263 Abs. 4 AEUV genannten Voraussetzungen erfüllt sind, wonach jede Person, die von einer Handlung unmittelbar und individuell betroffen ist, eine Nichtigkeitsklage erheben kann, wenn diese Bestimmung Anwendung findet (vgl. in diesem Sinne Urteil vom 13. Februar 2025, Swissgrid/Kommission, C‑121/23 P, EU:C:2025:83, Rn. 46). Die Anfechtbarkeit einer Handlung ist daher objektiv anhand ihres Wesens und nicht anhand des Klägers zu beurteilen.

69

Allerdings ist darauf hinzuweisen, dass bei Handlungen, die in mehreren Verfahrensschritten ergehen, grundsätzlich nur die Maßnahme eine anfechtbare Handlung darstellt, die den Standpunkt des zuständigen Organs, der zuständigen Einrichtung oder sonstigen Stelle der Union endgültig festlegt, nicht aber Zwischenmaßnahmen, die der Vorbereitung dieser endgültigen Maßnahme dienen und keine eigenständigen Rechtswirkungen gegenüber Dritten erzeugen. Zwischenmaßnahmen sind insbesondere solche Maßnahmen, die eine vorläufige Auffassung dieses Organs, dieser Einrichtung oder dieser sonstigen Stelle der Union zum Ausdruck bringen (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 10, vom 22. September 2022, IMG/Kommission, C‑619/20 P und C‑620/20 P, EU:C:2022:722, Rn. 103, sowie vom 18. Juni 2024, Kommission/SRB, C‑551/22 P, EU:C:2024:520, Rn. 92).

70

Nach der Rechtsprechung kann eine Zwischenmaßnahme insbesondere dann nicht mit einer Nichtigkeitsklage angefochten werden, wenn feststeht, dass die mit ihr verbundene Rechtswidrigkeit im Rahmen einer Klage gegen die endgültige Entscheidung, deren Vorbereitung sie dient, geltend gemacht werden kann. Unter diesen Umständen bietet die Klage gegen die das Verfahren abschließende Entscheidung einen ausreichenden gerichtlichen Rechtsschutz (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 12, und vom 15. März 2017, Stichting Woonlinie u. a./Kommission, C‑414/15 P, EU:C:2017:215, Rn. 46 und die dort angeführte Rechtsprechung).

71

Was im vorliegenden Fall den Inhalt der betreffenden Handlung und die Befugnisse der in Rede stehenden Einrichtung betrifft, ergibt sich bereits aus dem Wortlaut von Art. 65 Abs. 1 Buchst. a und Abs. 2 DSGVO sowie von Art. 68 Abs. 1 DSGVO, dass der streitige Beschluss eine Handlung einer Einrichtung der Union ist, die Dritten gegenüber verbindlich ist. Diese Handlung bindet nämlich die federführende Aufsichtsbehörde und alle betroffenen Aufsichtsbehörden, an die sie gerichtet ist und die im Verhältnis zum Ausschuss Dritte sind. Gemäß Art. 65 Abs. 6 DSGVO muss die federführende Aufsichtsbehörde ihren endgültigen Beschluss auf der Grundlage des Beschlusses des Ausschusses erlassen. In diesem endgültigen Beschluss muss auf den Beschluss des Ausschusses verwiesen werden, der dem endgültigen Beschluss beizufügen ist.

72

Außerdem steht in Bezug auf den Kontext des Erlasses des streitigen Beschlusses fest, dass dieser im Rahmen eines mehrere Schritte umfassenden Verfahrens im Sinne der in Rn. 69 des vorliegenden Urteils angeführten Rechtsprechung ergangen ist, da er dem Erlass eines anderen Rechtsakts durch die irische Aufsichtsbehörde vorausgeht. Der streitige Beschluss legt jedoch im Sinne dieser Rechtsprechung den Standpunkt der zuständigen Einrichtung der Union, d. h. des Ausschusses, endgültig fest und behandelt erschöpfend alle Fragen, über die diese Einrichtung zu entscheiden hat. Es ist nämlich festzustellen, dass sich ein solcher auf der Grundlage von Art. 65 Abs. 1 Buchst. a DSGVO erlassener Beschluss auf alle Fragen bezieht, die Gegenstand eines maßgeblichen und begründeten Einspruchs der betroffenen Aufsichtsbehörden im Sinne von Art. 60 Abs. 4 DSGVO sind, insbesondere die Frage, ob gegen die DSGVO verstoßen wurde.

73

Aus dem Vorstehenden ergibt sich, dass der streitige Beschluss, auch wenn er nicht den letzten Schritt des in den Art. 58, 60 und 65 DSGVO vorgesehenen Kohärenzverfahrens darstellt, entgegen den Feststellungen des Gerichts in Rn. 42 des angefochtenen Beschlusses nicht als eine im Sinne der in Rn. 69 des vorliegenden Urteils angeführten Rechtsprechung nicht mit einer Klage anfechtbare Zwischenmaßnahme eingestuft werden kann. Folglich ist die in Rn. 70 des vorliegenden Urteils angeführte Rechtsprechung im vorliegenden Fall nicht einschlägig.

74

Da der Beschluss des Ausschusses verbindliche Rechtswirkungen gegenüber Dritten erzeugt, ist es in diesem Zusammenhang unerheblich, dass die Tragweite des endgültigen Beschlusses der nationalen Aufsichtsbehörde Gesichtspunkte umfasst, die nicht unter die Befassung oder die Zuständigkeit des Ausschusses fallen.

75

Aus den gleichen Gründen ist der vom Gericht in Rn. 42 des angefochtenen Beschlusses angeführte Umstand, dass der streitige Beschluss – anders als der endgültige Beschluss der irischen Aufsichtsbehörde – anderen Stellen als seinen Adressaten nicht entgegengehalten werden könne, für die Einstufung dieses Beschlusses als anfechtbare Handlung im Sinne von Art. 263 Abs. 1 AEUV ebenfalls unerheblich. Ein solcher Umstand, der sich auf die Rechtsstellung der Rechtsmittelführerin in Bezug auf den streitigen Beschluss bezieht, bezieht sich weder auf das Wesen des streitigen Beschlusses noch auf seine nach objektiven Kriterien verbindlichen Rechtswirkungen.

76

Nach alledem stellt der streitige Beschluss, wie das Gericht im Übrigen in den Rn. 36, 37 und 49 des angefochtenen Beschlusses selbst festgestellt hat, eine Handlung einer Einrichtung der Union dar, die Rechtswirkungen gegenüber Dritten entfalten soll und den endgültigen Standpunkt dieser Einrichtung zu den von ihr zu entscheidenden Punkten zum Ausdruck bringt. Somit stellt dieser Beschluss im Licht des Wortlauts von Art. 263 Abs. 1 AEUV und der in den Rn. 66 bis 69 des vorliegenden Urteils angeführten Rechtsprechung eine anfechtbare Handlung dar, ohne dass in diesem Stadium geprüft zu werden brauchte, ob dieser Beschluss eine qualifizierte Änderung der Rechtsstellung von WhatsApp zur Folge hatte.

77

Insoweit ist festzustellen, dass das Gericht einen Rechtsfehler begangen hat, zum einen in Rn. 38 des angefochtenen Beschlusses dadurch, dass es die Anforderungen aus Art. 263 Abs. 1 AEUV mit denen aus Art. 263 Abs. 4 AEUV verwechselt hat, und zum anderen in Rn. 42 des angefochtenen Beschlusses dadurch, dass es ein unzutreffendes Kriterium aufgestellt hat, wonach die in Rede stehende Handlung WhatsApp nicht unmittelbar entgegengehalten werden könne, und den streitigen Beschluss als Zwischenmaßnahme ohne eigenständige Rechtswirkungen eingestuft hat.

78

Dem ersten Teil des ersten Rechtsmittelgrundes ist daher stattzugeben.

79

WhatsApp macht geltend, das Gericht habe einen Rechtsfehler begangen, indem es befunden habe, dass sie von dem streitigen Beschluss nicht unmittelbar betroffen und ihre Klage daher unzulässig sei.

80

Was zum einen die Voraussetzung betreffe, dass sich die Handlung unmittelbar auf die Rechtsstellung des Klägers auswirken müsse, habe das Gericht in Rn. 52 des angefochtenen Beschlusses zu Unrecht festgestellt, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sei, da dieser Beschluss ihr nicht entgegengehalten werden könne und nicht den letzten Schritt des in den Art. 58, 60 und 65 DSGVO vorgesehenen Verfahrens darstelle.

81

Was zum anderen die Voraussetzung betreffe, dass ein Rechtsakt den Adressaten, die mit seiner Durchführung betraut sind, keinerlei Ermessensspielraum lassen dürfe, habe das Gericht einen Rechtsfehler begangen, indem es in den Rn. 53 bis 60 des angefochtenen Beschlusses befunden habe, dass der streitige Beschluss der irischen Aufsichtsbehörde in Bezug auf den Inhalt ihres endgültigen Beschlusses einen Ermessensspielraum gelassen habe, obwohl es eingeräumt habe, dass der streitige Beschluss diese Aufsichtsbehörde hinsichtlich der Punkte, auf die er sich beziehe, binde.

82

In Bezug auf die Rn. 54 bis 56 des angefochtenen Beschlusses, in denen das Gericht festgestellt habe, dass der streitige Beschluss im Verhältnis zum endgültigen Beschluss nur einen Teilinhalt habe, macht WhatsApp geltend, dass das Fehlen eines Ermessens anhand des Wesens des streitigen Beschlusses hätte geprüft werden müssen, ohne auf den zusätzlichen Inhalt des endgültigen Beschlusses Bezug zu nehmen. Denn der Ausschuss habe nur bestimmte Punkte eines Einzelfalls geprüft, nämlich diejenigen, die Gegenstand der maßgeblichen und begründeten Einsprüche der betroffenen Aufsichtsbehörden gewesen seien. Der streitige Beschluss könne sich daher nicht auf die gesamte Angelegenheit beziehen und keine Punkte umfassen, die nicht unter die Befassung oder die Zuständigkeit des Ausschusses fielen.

83

Außerdem habe das Gericht einen Rechtsfehler begangen, indem es in den Rn. 57 bis 59 des angefochtenen Beschlusses entschieden habe, dass die irische Aufsichtsbehörde ihr Ermessen ausgeübt habe, um Schlussfolgerungen aus dem streitigen Beschluss zu ziehen. Zu, erstens, der Einstufung der verlustbehaftet gehashten Daten als personenbezogene Daten macht WhatsApp geltend, dass diese vom Ausschuss vorgenommene Einstufung für WhatsApp zusätzliche Verpflichtungen nach der DSGVO mit sich bringe, und zwar unabhängig davon, dass die federführende Aufsichtsbehörde ein über eine solche Einstufung hinausgehendes Ermessen in der Sache ausgeübt habe, indem sie geprüft habe, ob WhatsApp als Verantwortlicher oder Auftragsverarbeiter gehandelt habe. Zu, zweitens, der Erhöhung der gegen WhatsApp zu verhängenden Geldbußen habe dieser Beschluss der irischen Aufsichtsbehörde keinen Ermessensspielraum gelassen, da diese verpflichtet gewesen sei, eine höhere als die ursprünglich vorgesehene Geldbuße zu verhängen. Der Umstand, dass die irische Aufsichtsbehörde bei der Bestimmung der genauen Höhe der Geldbuße über ein Ermessen verfüge, sei unerheblich, da diese Aufgabe in die Zuständigkeit dieser Behörde falle.

84

Der Ausschuss tritt diesem Vorbringen entgegen und macht geltend, dass zwei kumulative Kriterien erfüllt sein müssten, damit eine natürliche oder juristische Person, die nicht Adressat einer individuellen Handlung sei, von einer Handlung der Union unmittelbar betroffen sei. Zum einen müsse sich diese Handlung unmittelbar auf die Rechtsstellung dieser Person auswirken und zum anderen dürfe sie dem Adressaten, der mit ihrer Durchführung betraut sei, keinerlei Ermessensspielraum lassen, da ihre Durchführung rein automatisch erfolge, ohne dass weitere Durchführungsvorschriften angewandt würden.

85

Zum ersten Kriterium führt der Ausschuss aus, dass die Bindungswirkung einer Handlung nach Maßgabe ihrer Auswirkungen auf die Situation des Klägers zu betrachten sei. Im vorliegenden Fall könne der streitige Beschluss WhatsApp nicht in einer Weise entgegengehalten werden, die ohne weitere Verfahrensschritte Verpflichtungen begründen könnte. Dieser Beschluss stelle nicht den letzten Schritt des Verfahrens nach den Art. 58, 60 und 65 DSGVO dar und habe insbesondere weder den Endbetrag der Geldbuße festgesetzt noch neue Regeln für die Tätigkeiten von WhatsApp festgelegt. Somit betreffe nur der endgültige Beschluss WhatsApp unmittelbar, und die irische Aufsichtsbehörde sei nach Art. 56 Abs. 6 DSGVO die einzige Ansprechpartnerin dieses Unternehmens in seiner Eigenschaft als Verantwortlicher.

86

Zum zweiten Kriterium trägt der Ausschuss vor, die irische Aufsichtsbehörde habe ein echtes Ermessen hinsichtlich der Schlussfolgerungen behalten, die in ihrem endgültigen Beschluss zu ziehen gewesen seien; dieser habe eine größere Tragweite als der streitige Beschluss und enthalte Feststellungen, zu denen der Ausschuss nicht habe Stellung nehmen sollen, da seine Befassung auf die Gesichtspunkte beschränkt gewesen sei, die Gegenstand maßgeblicher und begründeter Einsprüche gewesen seien. Jedenfalls bestehe eine Verflechtung zwischen dem streitigen Beschluss und dem endgültigen Beschluss. Es sei nicht möglich, die Teile des letztgenannten Beschlusses, die den Weisungen des Ausschusses entsprächen, abzusondern, was dadurch bestätigt werde, dass der Ausschuss der irischen Aufsichtsbehörde in Bezug auf mehrere Punkte einen gewissen Ermessensspielraum gelassen habe.

87

Unter solchen Umständen wäre ein nationales Gericht besser in der Lage, diesen endgültigen Beschluss zu überprüfen, indem es dem Gerichtshof gegebenenfalls Fragen zur Vorabentscheidung zu den Bestimmungen der DSGVO vorlegt, die sowohl von Amts wegen als auch auf der Grundlage der Weisungen des Ausschusses angewandt würden.

88

Nach Ansicht des Ausschusses hat die irische Aufsichtsbehörde auch in Bezug auf die im streitigen Beschluss behandelten Gesichtspunkte einen gewissen Ermessensspielraum behalten, insbesondere in Bezug auf einerseits die Rechtsfolgen, die an die Einstufung der verlustbehaftet gehashten Daten als personenbezogene Daten zu knüpfen seien, und andererseits die Festsetzung der Höhe der gegen WhatsApp zu verhängenden Geldbußen. In Bezug auf diesen ersten Aspekt habe die irische Aufsichtsbehörde ein Ermessen behalten und eine eigenständige Prüfung vorgenommen, insbesondere hinsichtlich der Einhaltung von Art. 14 DSGVO. Es treffe nicht zu, dass der Ausschuss eine „vollständige“ Beurteilung vorgenommen habe, da seine Zuständigkeit auf den Inhalt der maßgeblichen und begründeten Einsprüche beschränkt sei und sich nicht auf das gesamte Verfahren zu den Verstößen erstrecke. Was den zweiten Aspekt – die Festsetzung der Geldbußen – angehe, enthalte der streitige Beschluss zwar allgemeine Weisungen in Bezug auf die Geldbußen, doch behandele er weder die Frage, wie diese Weisungen umzusetzen seien, noch die Berechnung dieser Geldbußen.

89

Die Bundesrepublik Deutschland ist der Ansicht, dass WhatsApp nicht als von dem streitigen Beschluss unmittelbar betroffen angesehen werden könne, da die federführende Behörde ihre einzige Ansprechpartnerin gewesen sei. Ein derartiger Beschluss sei nicht dazu bestimmt, eigenständig umgesetzt zu werden, sondern auf ihn müsse stets ein endgültiger Beschluss dieser Behörde folgen. Der Unionsgesetzgeber habe sich nämlich bewusst für eine dezentrale Kontrolle der DSGVO entschieden, ohne sich für die Errichtung einer europäischen und zentralen Datenschutzbehörde zu entscheiden.

90

Der zweite Teil des ersten Rechtsmittelgrundes betrifft die Frage, ob das Gericht einen Rechtsfehler begangen hat, indem es in den Rn. 50 bis 60 des angefochtenen Beschlusses festgestellt hat, dass der streitige Beschluss WhatsApp nicht unmittelbar im Sinne von Art. 263 Abs. 4 AEUV betreffe und die von WhatsApp erhobene Klage daher unzulässig sei.

91

Nach diesem Abs. 4 kann jede natürliche oder juristische Person unter den Bedingungen nach Art. 263 Abs. 1 und 2 AEUV gegen die an sie gerichteten oder sie unmittelbar und individuell betreffenden Handlungen sowie gegen Rechtsakte mit Verordnungscharakter, die sie unmittelbar betreffen und keine Durchführungsmaßnahmen nach sich ziehen, Klage erheben.

92

Die Zulässigkeit einer Klage, die von einer natürlichen oder juristischen Person gegen eine nicht an sie gerichtete Handlung erhoben wird, setzt nach Art. 263 Abs. 4 AEUV namentlich voraus, dass die Handlung die Person unmittelbar und individuell betrifft (Urteil vom 3. Dezember 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, Rn. 64 und die dort angeführte Rechtsprechung).

93

Im vorliegenden Fall steht, wie das Gericht in Rn. 40 des angefochtenen Beschlusses festgestellt hat, fest, dass WhatsApp von dem streitigen Beschluss individuell betroffen ist, da dieser sich auf bestimmte Punkte des Entwurfs des endgültigen Beschlusses bezieht, die speziell die Situation dieses Unternehmens betreffen. In den Rn. 52 und 53 des angefochtenen Beschlusses hat das Gericht jedoch festgestellt, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sei, da dieser zum einen WhatsApp nicht in einer Weise entgegengehalten werden könne, die ohne einen weiteren Verfahrensschritt Verpflichtungen für WhatsApp oder gegebenenfalls Rechte für andere Einzelpersonen begründen könnte, und der streitige Beschluss zum anderen, selbst wenn er die irische Aufsichtsbehörde hinsichtlich der Punkte, auf die er sich beziehe, binde, dieser in Bezug auf den Inhalt des endgültigen Beschlusses einen Ermessensspielraum gelassen habe.

94

Nach ständiger Rechtsprechung liegt die Voraussetzung, dass eine natürliche oder juristische Person von der mit ihrer Klage angefochtenen Maßnahme unmittelbar betroffen sein muss, dann vor, wenn zwei Bedingungen kumulativ erfüllt sind, nämlich erstens, dass sich die beanstandete Maßnahme auf die Rechtsstellung dieser Person unmittelbar auswirkt, und zweitens, dass sie den Adressaten, die mit ihrer Durchführung betraut sind, keinerlei Ermessensspielraum lässt, ihre Umsetzung vielmehr rein automatisch erfolgt und sich allein aus der Unionsregelung ohne Anwendung weiterer Durchführungsvorschriften ergibt (Urteil vom 4. Oktober 2024, Kommission und Rat/Front Polisario, C‑779/21 P und C‑799/21 P, EU:C:2024:835, Rn. 87 und die dort angeführte Rechtsprechung).

95

Bevor geprüft wird, ob diese beiden Bedingungen im vorliegenden Fall erfüllt sind, ist klarzustellen, dass der Umstand, dass die angefochtene Handlung der Rechtsmittelführerin nicht unmittelbar entgegengehalten werden kann, und auch der Umstand, dass diese Handlung nicht den letzten Schritt eines mehrere Abschnitte umfassenden Verfahrens darstellt, nicht dem entgegenstehen, dass die Rechtsmittelführerin von dieser Handlung unmittelbar betroffen sein kann, wenn der Adressat dieser Handlung über keinerlei Ermessen verfügt (vgl. in diesem Sinne Urteile vom 4. Juni 1992, Infortec/Kommission, C‑157/90, EU:C:1992:243, Rn. 13 und 17, vom 3. Dezember 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, Rn. 65 und 67, und vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 74).

96

Folglich hat das Gericht, wie die Generalanwältin in den Nrn. 139 und 144 ihrer Schlussanträge ausgeführt hat, einen Rechtsfehler begangen, indem es in Rn. 52 des angefochtenen Beschlusses davon ausgegangen ist, dass WhatsApp von dem streitigen Beschluss nicht unmittelbar betroffen sein könne, weil dieser Beschluss WhatsApp nicht entgegengehalten werden könne und nicht den letzten Schritt des in den Art. 58, 60 und 65 DSGVO vorgesehenen Verfahrens darstelle.

97

Was die Erfüllung der ersten der in Rn. 94 des vorliegenden Urteils genannten Bedingung angeht, ist zu prüfen, ob die angefochtene Handlung die Quelle für eine qualifizierte Änderung der Rechtsstellung der fraglichen natürlichen oder juristischen Person ist, wobei auf das Wesen dieser Handlung abzustellen ist und ihre Wirkungen anhand objektiver Kriterien, wie dem Inhalt dieser Handlung, zu beurteilen sind. Dabei sind gegebenenfalls der Kontext der Vornahme dieser Handlung sowie die Befugnisse des Organs, der Einrichtung oder der Stelle, das bzw. die die Handlung vorgenommen hat, zu berücksichtigen (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 9, und vom 18. Juni 2024, Kommission/SRB, C‑551/22 P, EU:C:2024:520, Rn. 65 und die dort angeführte Rechtsprechung).

98

Im vorliegenden Fall stellte der Ausschuss, wie in Rn. 30 des vorliegenden Urteils ausgeführt, im streitigen Beschluss u. a. fest, dass WhatsApp gegen die in Art. 13 Abs. 1 Buchst. d DSGVO genannten Informationspflichten und gegen Art. 13 Abs. 2 Buchst. e DSGVO verstoßen habe. Folglich ändert dieser Beschluss die Rechtsstellung von WhatsApp, die insbesondere aufgrund des Tätigwerdens des Ausschusses dazu veranlasst ist, ihre Vertragsbeziehung mit den Nutzern des von WhatsApp erbrachten Messengerdienstes zu ändern. Daraus folgt, dass ein unmittelbarer Zusammenhang zwischen diesem Beschluss und seinen Auswirkungen auf die Situation von WhatsApp im Sinne der in den Rn. 94 und 95 des vorliegenden Urteils angeführten Rechtsprechung besteht.

99

Entgegen dem Vorbringen des Ausschusses hat der Umstand, dass die irische Aufsichtsbehörde für WhatsApp als Verantwortliche gemäß Art. 56 Abs. 6 DSGVO die einzige Ansprechpartnerin ist, keinen Einfluss auf diese Feststellung. Diese Bestimmung soll nämlich nur die Beziehungen zwischen einem Verantwortlichen oder Auftragsverarbeiter, einer federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden regeln und bezieht sich somit nicht auf die gegen Beschlüsse des Ausschusses eröffneten Rechtsbehelfe.

100

Was die Erfüllung der zweiten der in Rn. 94 des vorliegenden Urteils genannten Bedingung betrifft, sind für die Beurteilung der Frage, ob eine Handlung ihren Adressaten einen Ermessensspielraum im Hinblick auf ihre Durchführung lässt, die Rechtswirkungen zu prüfen, die die von der Klage erfassten Bestimmungen dieser Handlung auf die Situation der Person haben, die sich auf ihre Klagebefugnis nach Art. 263 Abs. 4 zweite Variante AEUV beruft (Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 98 und die dort angeführte Rechtsprechung).

101

Das Bestehen eines solchen Ermessensspielraums ist u. a. dann zu verneinen, wenn festgestellt wird, dass die von der Klage erfassten Bestimmungen der Handlung unmittelbar dazu geführt haben, dass dieser Person Verpflichtungen auferlegt wurden, deren Ergebnis von der mit der anschließenden Umsetzung dieser Handlung betrauten Stelle nicht verändert werden konnte (vgl. in diesem Sinne Urteil vom 12. Juli 2022, Nord Stream 2/Parlament und Rat, C‑348/20 P, EU:C:2022:548, Rn. 114).

102

Im vorliegenden Fall ist, wie sich aus den Rn. 71 und 72 des vorliegenden Urteils ergibt, darauf hinzuweisen, dass der streitige Beschluss die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden bindet. Diese dürfen von dem in Rn. 30 des vorliegenden Urteils wiedergegebenen Standpunkt, den der Ausschuss in diesem Beschluss vertritt, nicht abweichen. Dieser Beschluss entscheidet nämlich über die Rechtsfragen, die Gegenstand seiner Befassung sind, und bindet diese Behörden unbedingt, insbesondere was die Feststellung eines Verstoßes gegen bestimmte Vorschriften der DSGVO, die Einstufung der verlustbehaftet gehashten Daten als personenbezogene Daten sowie die Verpflichtung zur Erhöhung der vorgesehenen Geldbußen betrifft. Diese Behörden haben im Sinne der in der vorangegangenen Randnummer des vorliegenden Urteils angeführten Rechtsprechung nicht die Möglichkeit, das Ergebnis der vom Ausschuss hinsichtlich dieser Fragen vorgenommenen Beurteilungen zu ändern.

103

Insoweit hat der Ausschuss nach Art. 70 Abs. 1 Buchst. a DSGVO die Aufgabe, die einheitliche Anwendung der DSGVO sicherzustellen, indem er, wie sich aus ihrem zehnten Erwägungsgrund ergibt, unbeschadet der Aufgaben der nationalen Aufsichtsbehörden eine unionsweit gleichmäßige und einheitliche Anwendung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten in den u. a. in Art. 65 DSGVO vorgesehenen Fällen überwacht und sicherstellt.

104

In diesem Zusammenhang kommt es nicht darauf an, ob sich die Tragweite des endgültigen Beschlusses auf Fragen erstreckt, die nicht der Befassung des Ausschusses unterliegen, d. h. Punkte, die nicht Gegenstand maßgeblicher und begründeter Einsprüche im Sinne von Art. 65 Abs. 1 Buchst. a DSGVO waren, oder Fragen, die nicht in die Zuständigkeit dieser Einrichtung fallen, wie u. a. die Festsetzung der genauen Höhe der gegen den Verantwortlichen oder Auftragsverarbeiter zu verhängenden Geldbuße, die gemäß Art. 58 Abs. 2 Buchst. i und Art. 83 DSGVO der angerufenen Aufsichtsbehörde obliegt.

105

Außerdem besteht zwar eine Verflechtung zwischen dem streitigen Beschluss und dem endgültigen Beschluss, doch handelt es sich bei ihnen um unterschiedliche Handlungen, und die Tragweite des streitigen Beschlusses ist, wie sich aus der in Rn. 30 des vorliegenden Urteils wiedergegebenen Aufzählung ergibt, genau abgegrenzt. Unter diesen Umständen steht diese Verflechtung der Feststellung, dass WhatsApp von dem streitigen Beschluss unmittelbar betroffen ist, nicht entgegen.

106

Insbesondere führt die gleichzeitige Erhebung einer Nichtigkeitsklage nach Art. 263 AEUV gegen den verbindlichen Beschluss des Ausschusses vor den Unionsgerichten und nach Art. 78 DSGVO gegen den von der nationalen Aufsichtsbehörde auf der Grundlage dieses verbindlichen Beschlusses erlassenen endgültigen Beschluss vor dem nationalen Gericht zwar zu zwei parallelen Verfahren, doch hat diese Situation nicht zur Folge, dass die Wirkungen des Beschlusses des Ausschusses im vorliegenden Fall im Verhältnis zu WhatsApp als mittelbar anzusehen wären.

107

Denn zum einen folgt nach der Rechtsprechung des Gerichtshofs, wenn die Entscheidung des bei dem nationalen Gericht anhängigen Rechtsstreits von der Gültigkeit des Beschlusses einer Einrichtung der Union abhängt, aus der Verpflichtung zu loyaler Zusammenarbeit, dass das nationale Gericht, um nicht eine dem Beschluss dieser Einrichtung zuwiderlaufende Entscheidung zu erlassen, das Verfahren aussetzen sollte, bis die Unionsgerichte eine endgültige Entscheidung über die Nichtigkeitsklage erlassen haben, es sei denn, es hält es unter den gegebenen Umständen für gerechtfertigt, dem Gerichtshof eine Vorabentscheidungsfrage nach der Gültigkeit des Beschlusses der betreffenden Einrichtung vorzulegen (vgl. in diesem Sinne Urteile vom 14. Dezember 2000, Masterfoods und HB, C‑344/98, EU:C:2000:689, Rn. 57, und vom 25. Juli 2018, Georgsmarienhütte u. a., C‑135/16, EU:C:2018:582, Rn. 24).

108

Zum anderen ist auch darauf hinzuweisen, dass es der Grundsatz der geordneten Rechtspflege, wenn neben einer Nichtigkeitsklage beim Gericht der Gerichtshof mit einem Vorabentscheidungsersuchen befasst wird, rechtfertigen kann, dass der Gerichtshof, wenn er es für angebracht hält, von Art. 54 Abs. 3 der Satzung des Gerichtshofs der Europäischen Union Gebrauch macht, um das bei ihm anhängige Verfahren zugunsten des Verfahrens vor dem Gericht auszusetzen (Urteil vom 25. Juli 2018, Georgsmarienhütte u. a., C‑135/16, EU:C:2018:582, Rn 25).

109

Da die beiden in Rn. 94 des vorliegenden Urteils genannten Voraussetzungen erfüllt sind, ist WhatsApp folglich von dem streitigen Beschluss unmittelbar betroffen.

110

Nach alledem ist dem zweiten Teil des ersten Rechtsmittelgrundes stattzugeben und der angefochtene Beschluss somit aufzuheben.

111

Mit dem dritten Teil ihres ersten Rechtsmittelgrundes macht WhatsApp geltend, die Feststellung des Gerichts in den Rn. 66 bis 70 des angefochtenen Beschlusses, wonach sich die Unzulässigkeit ihrer Klage in die Logik des durch den EU-Vertrag und den AEU-Vertrag festgelegten Systems der gerichtlichen Rechtsbehelfe einfüge, sei rechtsfehlerhaft.

112

In Anbetracht des Ergebnisses in Rn. 110 des vorliegenden Urteils braucht über den dritten Teil des ersten Rechtsmittelgrundes nicht entschieden zu werden.

113

Unter Bezugnahme auf das Vorbringen im Rahmen des ersten Rechtsmittelgrundes macht WhatsApp geltend, das Gericht habe gegen Art. 65 Abs. 1 DSGVO und das Prinzip der einheitlichen Anwendung des Unionsrechts verstoßen, indem es in den Rn. 41 bis 60 des angefochtenen Beschlusses befunden habe, dass der streitige Beschluss keine anderen Rechtswirkungen entfalte als seine verbindliche Wirkung gegenüber den betroffenen Aufsichtsbehörden.

114

Da sich WhatsApp darauf beschränkt, auf das Vorbringen zur Stützung ihres ersten Rechtsmittelgrundes zu verweisen, und in Anbetracht der Schlussfolgerung in Rn. 110 des vorliegenden Urteils braucht über diesen zweiten Rechtsmittelgrund nicht entschieden zu werden, da er nicht zu einer weiter gehenden Aufhebung des angefochtenen Beschlusses führen kann.

115

Nach Art. 61 Abs. 1 der Satzung des Gerichtshofs der Europäischen Union kann der Gerichtshof im Fall der Aufhebung der Entscheidung des Gerichts den Rechtsstreit endgültig entscheiden, wenn er zur Entscheidung reif ist.

116

Diese Voraussetzung ist im vorliegenden Fall erfüllt, soweit die Rechtssache allein die Zulässigkeit der beim Gericht erhobenen Klage betrifft.

117

Erstens stellt, wie sich aus Rn. 76 des vorliegenden Urteils ergibt, der streitige Beschluss eine anfechtbare Handlung im Sinne von Art. 263 Abs. 1 AEUV dar. Zweitens ist WhatsApp, wie in Rn. 109 des vorliegenden Urteils festgestellt, von dem streitigen Beschluss im Sinne von Art. 263 Abs. 4 AEUV unmittelbar betroffen. Drittens ist WhatsApp von dem streitigen Beschluss individuell betroffen, wie das Gericht in Rn. 40 des angefochtenen Beschlusses selbst festgestellt hat.

118

Da somit die Voraussetzungen des Art. 263 Abs. 1 und 4 AEUV erfüllt sind und kein anderer Unzulässigkeitsgrund vorliegt, wird die Nichtigkeitsklage für zulässig erklärt.

119

Da das Gericht jedoch die bei ihm eingereichte Klage nicht in der Sache geprüft hat, deren Beurteilung eine eingehende rechtliche und tatsächliche Würdigung voraussetzt, ist der Rechtsstreit in der Sache nicht zur Entscheidung reif.

120

Daher ist die Sache an das Gericht zurückzuverweisen.

121

Da die Sache an das Gericht zurückverwiesen wird, bleibt die Entscheidung über die Kosten des vorliegenden Rechtsmittelverfahrens vorbehalten.

Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt und entschieden: