1

Mit seiner Klage nach Art. 263 AEUV begehrt der Einheitliche Abwicklungsausschuss (SRB), die Entscheidung des Europäischen Datenschutzbeauftragten (EDSB) vom 24. November 2020 für nichtig zu erklären, die infolge des vom SRB gestellten Antrags auf Überprüfung der Entscheidung des EDSB vom 24. Juni 2020 betreffend fünf Beschwerden (Nrn. 2019‑947, 2019-998, 2019-999, 2019-1000 und 2019-1122) erging (im Folgenden: überarbeitete Entscheidung), und die Entscheidung des EDSB vom 24. Juni 2020 (im Folgenden: ursprüngliche Entscheidung) für rechtswidrig zu erklären.

2

Am 7. Juni 2017 erließ die Präsidiumssitzung des SRB auf der Grundlage der Verordnung (EU) Nr. 806/2014 des Europäischen Parlaments und des Rates vom 15. Juli 2014 zur Festlegung einheitlicher Vorschriften und eines einheitlichen Verfahrens für die Abwicklung von Kreditinstituten und bestimmten Wertpapierfirmen im Rahmen eines einheitlichen Abwicklungsmechanismus und eines einheitlichen Abwicklungsfonds sowie zur Änderung der Verordnung (EU) Nr. 1093/2010 (ABl. 2014, L 225, S. 1) den Beschluss SRB/EES/2017/08 betreffend ein Abwicklungskonzept für die Banco Popular Español, SA (im Folgenden: Abwicklungskonzept).

3

Ebenfalls am 7. Juni 2017 erließ die Europäische Kommission den Beschluss (EU) 2017/1246 zur Billigung des Abwicklungskonzepts (ABl. 2017, L 178, S. 15).

4

Im Abwicklungskonzept beschloss der SRB, da er die Voraussetzung von Art. 18 Abs. 1 der Verordnung Nr. 806/2014 für erfüllt hielt, ein Abwicklungsverfahren gegen Banco Popular Español (im Folgenden: Banco Popular) einzuleiten. Der SRB beschloss die Herabschreibung und Umwandlung der Kapitalinstrumente von Banco Popular nach Art. 21 der Verordnung Nr. 806/2014 und die Anwendung des Instruments der Unternehmensveräußerung nach Art. 24 der Verordnung Nr. 806/2014 durch Übertragung der Anteile an einen Erwerber.

5

Nach der Abwicklung von Banco Popular übermittelte Deloitte dem SRB am 14. Juni 2018 die in Art. 20 Abs. 16 bis 18 der Verordnung Nr. 806/2014 vorgesehene Bewertung einer unterschiedlichen Behandlung, die durchgeführt wird, um zu bestimmen, ob die Anteilseigner und Gläubiger besser behandelt worden wären, wenn für Banco Popular das reguläre Insolvenzverfahren eingeleitet worden wäre (im Folgenden: Bewertung 3).

6

Am 6. August 2018 veröffentlichte der SRB auf seiner Website seine Ankündigung vom 2. August 2018 zu seiner vorläufigen Entscheidung darüber, ob Anteilseignern und Gläubigern, die von den Abwicklungsmaßnahmen betreffend Banco Popular betroffen sind, eine Entschädigung gewährt werden muss, und die Einleitung einer Anhörung (SRB/EES/2018/132) (im Folgenden: vorläufige Entscheidung) sowie eine nichtvertrauliche Fassung der Bewertung 3. Am 7. August 2018 wurde im Amtsblatt der Europäischen Union (ABl. 2018, C 277I, S. 1) eine diese Ankündigung des SRB betreffende Mitteilung veröffentlicht.

7

In der vorläufigen Entscheidung wies der SRB darauf hin, dass er die durch die Maßnahmen zur Abwicklung von Banco Popular betroffenen Anteilseigner oder Gläubiger auffordere, ihr Interesse an der Ausübung ihres in Art. 41 Abs. 2 Buchst. a der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) verankerten Rechts auf Anhörung zu äußern, damit er endgültig darüber entscheiden könne, ob ihnen nach Art. 76 Abs. 1 Buchst. e der Verordnung Nr. 806/2014 eine Entschädigung gewährt werden müsse.

8

In der vorläufigen Entscheidung wies der SRB darauf hin, dass das Verfahren betreffend das Recht auf Anhörung (im Folgenden: Anhörungsverfahren) aus zwei Phasen bestand. In der ersten Phase (im Folgenden: Registrierungsphase) wurden die betroffenen Anteilseigner und Gläubiger aufgefordert, bis zum 14. September 2018 ihr Interesse an der Ausübung ihres Rechts auf Anhörung mit Hilfe eines online verfügbaren Registrierungsfragebogens zu äußern. Danach war vom SRB zu prüfen, ob es sich bei allen ein Interesse bekundenden Personen auch tatsächlich um betroffene Anteilseigner oder Gläubiger handele. In einer zweiten Phase (im Folgenden: Konsultationsphase) konnten die betroffenen Anteilseigner und Gläubiger, deren Status vom SRB überprüft worden war, zur vorläufigen Entscheidung, der die Bewertung 3 als Anhang beigefügt war, Stellung nehmen.

9

Während der Registrierungsphase mussten die betroffenen Anteilseigner und Gläubiger, die ihr Recht auf Anhörung ausüben wollten, dem SRB die Nachweise dafür zukommen lassen, dass sie zum Zeitpunkt der Abwicklung mindestens ein Kapitalinstrument von Banco Popular hielten, das im Rahmen der Abwicklung herabgeschrieben, umgewandelt und auf die Banco Santander, SA übertragen wurde. Zu den vorzulegenden Nachweisen gehörten ein Ausweisdokument und ein Beleg über das am 6. Juni 2017 bestehende Eigentum an einem der Kapitalinstrumente.

10

Am 6. August 2018, dem Eröffnungstag der Registrierungsphase, veröffentlichte der SRB auf der Seite für die Registrierung zum Anhörungsverfahren und auf seiner Website eine Datenschutzerklärung betreffend die Verarbeitung der personenbezogenen Daten im Rahmen des Anhörungsverfahrens (im Folgenden: Datenschutzerklärung).

11

Am 16. Oktober 2018 kündigte der SRB auf seiner Website an, dass die berechtigten Anteilseigner und Gläubiger ab dem 6. November 2018 aufgefordert würden, während der Konsultationsphase schriftlich zur vorläufigen Entscheidung Stellung zu nehmen.

12

Am 6. November 2018 verschickte der SRB dann per E‑Mail an die hierzu berechtigten Anteilseigner und Gläubiger einen persönlichen Link, mit dem sie über das Internet Zugang zu einem Fragebogen (im Folgenden: Fragebogen) erhielten. Der Fragebogen enthielt sieben Fragen mit beschränktem Antwortfeld, in dem die betroffenen Anteilseigner und Gläubiger bis zum 26. November 2018 zur vorläufigen Entscheidung sowie zur nicht vertraulichen Fassung der Bewertung 3 Stellung nehmen konnten.

13

Der SRB prüfte die zur vorläufigen Entscheidung abgegebenen relevanten Stellungnahmen der betroffenen Anteilseigner und Gläubiger. Er forderte Deloitte, in ihrer Funktion als unabhängige Gutachterin, dazu auf, die zur Bewertung 3 abgegebenen relevanten Stellungnahmen auszuwerten, ihm ein Dokument mit dieser Auswertung zukommen zu lassen, und zu prüfen, ob die Bewertung 3 im Licht dieser Stellungnahme weiterhin gültig ist.

14

Die während der Registrierungsphase erhobenen Daten, also die Identitätsnachweise der Beteiligten und der Beleg für das Eigentum an herabgeschriebenen oder umgewandelten und übertragenen Kapitalinstrumenten von Banco Popular waren einer beschränkten Zahl an mit der Verarbeitung dieser Daten betrauten Mitarbeitern des SRB zugänglich, damit diese die Berechtigung der Beteiligten feststellen konnten.

15

Diese Daten waren nicht sichtbar für diejenigen Mitarbeiter des SRB, die mit der Bearbeitung der während der Konsultationsphase eingehenden Stellungnahmen betraut waren und nur Stellungnahmen erhielten, die mit einem alphanumerischen Code gekennzeichnet waren, der jeder mittels des Fragebogens eingereichten Stellungnahme zugewiesen wurde. Der alphanumerische Code bestand aus einer 33‑stelligen eindeutigen Identifikationsnummer, die nach dem Zufallsprinzip generiert und beim Eingang des beantworteten Fragebogens vergeben wurde.

16

In einem ersten Schritt sortierte der SRB 23822 Stellungnahmen mit eindeutiger Identifikationsnummer aus, die von 2855 Verfahrensbeteiligten eingereicht worden waren. Anhand zweier Algorithmen konnten 20101 Stellungnahmen als gleichlautend erkannt werden. Dabei wurde die erste Stellungnahme als das Original angesehen und während der Analysephase geprüft, wohingegen die identischen später eingegangenen Stellungnahmen als Doppelexemplar eingeordnet wurden.

17

In einem zweiten Schritt, der Analysephase, prüfte der SRB die Stellungnahmen mit dem Ziel, bei der Bewertung ihrer Erheblichkeit und bei ihrer Einordnung oder ihrer Zusammenfassung in bestimmte Themenbereiche Kohärenz zu gewährleisten. Der SRB erkannte dabei Stellungnahmen, die zwar ähnlich aber nicht identisch waren und auf denselben im Internet verfügbaren Quellen beruhten.

18

Die mit der Prüfung der Stellungnahmen befassten Mitarbeiter des SRB hatten keinen Zugang zu den während der Registrierungsphase erhobenen Daten, so dass die Inhalte der Stellungnahmen von den persönlichen Daten der Einreichenden getrennt waren, und konnten auch nicht auf den Datenschlüssel oder die Informationen zugreifen, anhand deren die Identität eines Teilnehmers mittels der jeder Stellungnahme zugewiesenen eindeutigen Identifikationsnummer hätte ermittelt werden können.

19

Während dieser Phase verglich der SRB alle eingereichten Stellungnahmen und ordnete sie der ihnen entsprechende Frage auf dem Fragebogen zu. Die Stellungnahmen wurden anschließend entsprechend ihrer Relevanz gewürdigt und eingeteilt in diejenigen, die in den Anwendungsbereich des Anhörungsverfahrens fielen, weil sie sich auf die vorläufige Entscheidung oder die Bewertung 3 auswirken konnten, und in die, die nicht in diesen Anwendungsbereich fielen, weil sie andere Aspekte der Abwicklung von Banco Popular betrafen.

20

Eine in den Anwendungsbereich des Verfahrens fallende Stellungnahme wurde danach einem von 15 durch den SRB vordefinierten Themenbereichen zugewiesen. Entsprechend den Themengebieten, denen sie zugewiesen waren, wurden die Stellungnahmen aufgeteilt in jene, die vom SRB zu prüfen waren, weil sie die vorläufige Entscheidung betrafen, und in jene, die von Deloitte zu prüfen waren, weil sie die Bewertung 3 betrafen. Der SRB unterschied bei den zu prüfenden Stellungnahmen nicht zwischen nur einmal eingereichten und solchen mit einem Doppelexemplar.

21

Nach Abschluss der Analysephase hatte der SRB 3730 Stellungnahmen nach Relevanz und Themen sortiert.

22

In einem dritten Schritt, der Prüfungsphase, wurden die Stellungnahmen zur vorläufigen Entscheidung vom SRB behandelt und die 1104 die Bewertung 3 betreffenden Stellungnahmen am 17. Juni 2019 über einen gesicherten und vom SRB speziell dafür vorgesehenen virtuellen Server an Deloitte übermittelt. Der SRB lud die an Deloitte zu übermittelnden Dateien auf den virtuellen Server hoch und gab den Zugang dazu für eine beschränkte und kontrollierte Anzahl unmittelbar mit dem Projekt befasster Mitarbeiter von Deloitte frei.

23

Die an Deloitte übermittelten Stellungnahmen waren sortiert, kategorisiert und freigegeben. Handelte es sich um Kopien früherer Stellungnahmen, wurde nur eine Fassung an Deloitte übermittelt, so dass innerhalb eines Themenbereichs nicht zwischen individuellen Stellungnahmen und ihren Wiederholungen unterschieden werden und Deloitte nicht erkennen konnte, ob nur ein Verfahrensbeteiligter oder mehrere eine bestimmte Stellungnahme formuliert hatten.

24

An Deloitte wurden lediglich solche Stellungnahmen übermittelt, die während der Konsultationsphase eingegangen und mit einem alphanumerischen Code versehen waren. Nur der SRB konnte anhand dieses Codes die Stellungnahmen mit den während der Registrierungsphase erhobenen Daten verbinden. Der alphanumerische Code wurde für Audit-Zwecke entwickelt, um nachprüfen und gegebenenfalls nachträglich beweisen zu können, dass jede Stellungnahme bearbeitet und ordnungsgemäß berücksichtigt wurde. Deloitte hatte und hat keinen Zugang zur Datenbank mit den während der Registrierungsphase erhobenen Daten.

25

Am 19., 26. und 28. Oktober sowie am 5. Dezember 2019 legten betroffene Anteilseigner und Gläubiger, die den Fragebogen ausgefüllt hatten, beim EDSB fünf auf die Verordnung (EU) 2018/1725 des Europäische Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39) gestützte Beschwerden (Nrn. 2019‑947, 2019‑998, 2019‑999, 2019‑1000 und 2019‑1122) (im Folgenden: fünf Beschwerden) ein.

26

Die fünf Beschwerdeführer (im Folgenden: Beschwerdeführer) trugen vor, der SRB habe sie nicht darüber informiert, dass entgegen der Datenschutzerklärung die beim Ausfüllen des Fragebogens erhobenen Daten an Dritte, nämlich Deloitte und Banco Santander, übermittelt würden. Dadurch habe der SRB gegen Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 verstoßen. Dieser lautet: „Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten … Informationen … [betreffend] … gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten [mit]“.

27

Am 12. Dezember 2019 teilte der EDSB dem SRB mit, dass er die fünf Beschwerden erhalten habe, und forderte ihn zur Stellungnahme auf.

28

Am 24. Juni 2020 erließ der EDSB nach Abschluss eines Verfahrens, in dessen Verlauf der SRB nach Aufforderung durch den EDSB verschiedene Erläuterungen gegeben hat und die Beschwerdeführer Stellung genommen haben, die ursprüngliche Entscheidung. Nach Auffassung des EDSB hat der SRB dadurch gegen Art. 15 der Verordnung 2018/1725 verstoßen, dass die Beschwerdeführer in der Datenschutzerklärung nicht darüber informiert wurden, dass ihre personenbezogenen Daten möglicherweise an Deloitte weitergegeben werden. Infolgedessen verwarnte er den SRB gemäß Art. 58 Abs. 2 Buchst. b der Verordnung 2018/1725 für diesen Verstoß.

29

Am 22. Juli 2020 forderte der SRB den EDSB gemäß Art. 18 Abs. 1 der Entscheidung des EDSB vom 15. Mai 2020 zur Annahme der Geschäftsordnung des EDSB (ABl. 2020, L 204, S. 49) zur Überprüfung der ursprünglichen Entscheidung auf. Der SRB gab u. a. eine detaillierte Beschreibung des Anhörungsverfahrens und der Prüfung der während der Konsultationsphase von vier erfassten Beschwerdeführern abgegebenen Stellungsnahmen. Er machte geltend, dass es sich bei den an Deloitte übermittelten Informationen nicht um personenbezogene Daten im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 gehandelt habe.

30

Am 5. August 2020 informierte der EDSB den SRB darüber, dass er angesichts der erhaltenen neuen Informationen die ursprüngliche Entscheidung überprüfen und eine diese ersetzende neue Entscheidung erlassen werde.

31

Am 24. November 2020 erließ der EDSB nach Abschluss des Überprüfungsverfahrens, in dessen Verlauf die Beschwerdeführer sich geäußert haben und der SRB auf Verlangen des EDSB ergänzende Angaben gemacht hat, die überarbeitete Entscheidung.

32

Der EDSB beschloss, die ursprüngliche Entscheidung wie folgt zu ändern:

„1. Nach Auffassung des EDSB handelt es sich bei den vom SRB mit Deloitte geteilten Daten um pseudonymisierte Daten, weil die Stellungnahmen der [Konsultations‑]Phase personenbezogene Daten waren und weil der SRB den alphanumerischen Code geteilt hat, anhand dessen die während der [Registrierungs‑]Phase eingegangenen Antworten mit denen der [Konsultations‑]Phase verknüpft werden konnten, auch wenn Deloitte die von den Teilnehmern während der [Registrierungs‑]Phase zwecks Identifizierung gemachten Angaben nicht mitgeteilt wurden.

2. Nach Auffassung des EDSB war Deloitte im Sinne von Art. 3 Nr. 13 der Verordnung 2018/1725 Empfängerin personenbezogener Daten der Beschwerdeführer. Die Tatsache, dass Deloitte in der Datenschutzerklärung des SRB nicht als potenzielle Adressatin der im Rahmen des Anhörungsverfahrens vom SRB als Verantwortlichem erhobenen und verarbeiteten personenbezogenen Daten genannt wird, stellt einen Verstoß gegen die in Art. 15 Abs. 1 Buchst. d [der Verordnung 2018/1725] vorgesehenen Informationspflicht dar.

3. Im Licht aller vom SRB ergriffenen technischen und organisatorischen Maßnahmen zur Risikominderung für das Recht der Personen auf Schutz ihrer Daten im Rahmen des den Anspruch auf Anhörung betreffenden Verfahrens beschließt der EDSB, keinen Gebrauch von seinen Abhilfebefugnissen nach Art. 58 Abs. 2 [der Verordnung 2018/1725] zu machen.

4. Der EDSB empfiehlt dem SRB jedoch, in künftigen den Anspruch auf Anhörung betreffenden Verfahren sicherzustellen, dass seine Datenschutzerklärungen die Verarbeitung personenbezogener Daten sowohl während der Registrierungs- als auch während der Konsultationsphase abdecken und dass sie alle potenziellen Empfänger der erhobenen Daten einschließen, um der gemäß Art. 15 [der Verordnung 2018/1725] gegenüber den betroffenen Personen bestehenden Informationspflicht in vollem Umfang nachzukommen.“

33

Der SRB beantragt nach Anpassung seiner Anträge,

34

Der EDSB beantragt,

35

Die Parteien sind sich einig, dass die überarbeitete Entscheidung die ursprüngliche Entscheidung aufgehoben und ersetzt hat.

36

Der EDSB macht geltend, dass deshalb der die ursprüngliche Entscheidung betreffende Antrag unzulässig sei.

37

Der SRB trägt vor, er habe weiterhin ein Interesse daran, die verfahrensrechtlichen Unregelmäßigkeiten, die zum Erlass der ursprünglichen Entscheidung geführt hätten, nämlich die Verstöße gegen seinen Anspruch auf Anhörung und sein Recht auf Akteneinsicht, feststellen zu lassen, damit diese sich nicht wiederholten. In seiner Antwort auf eine prozessleitende Maßnahme hat er präzisiert, dass er mit seinem zweiten Antrag nicht die Nichtigerklärung der ursprünglichen Entscheidung verlange, da diese durch die überarbeitete Entscheidung rückwirkend aufgehoben und ersetzt worden sei, sondern die Feststellung ihrer Rechtswidrigkeit.

38

Daher ist sein zweiter Antrag dahin zu verstehen, dass er ein Feststellungsurteil und nicht die Nichtigerklärung einer Handlung begehrt.

39

Es ist aber darauf hinzuweisen, dass das Gericht nach ständiger Rechtsprechung im Rahmen der Rechtmäßigkeitskontrolle nach Art. 263 AEUV nicht befugt ist, Feststellungsurteile zu fällen (vgl. Urteile vom 4. Februar 2009, Omya/Kommission, T‑145/06, EU:T:2009:27, Rn. 23 und die dort angeführte Rechtsprechung, sowie vom 13. September 2018, DenizBank/Rat, T‑798/14, EU:T:2018:546, Rn. 135 und die dort angeführte Rechtsprechung).

40

Somit ist der zweite Antrag das SRB, der darauf gerichtet ist, dass das Gericht „die ursprüngliche Entscheidung für rechtswidrig [erklärt]“, wegen Unzuständigkeit des Gerichts zurückzuweisen.

41

Die Zulässigkeit einer Klage gehört zu den unverzichtbaren Prozessvoraussetzungen, die das Unionsgericht stets von Amts wegen prüfen muss (vgl. Urteil vom 16. März 2022, MEKH und FGSZ/ACER, T‑684/19 und T‑704/19, EU:T:2022:138, Rn. 29 sowie die dort angeführte Rechtsprechung; vgl. in diesem Sinne auch Urteil vom 24. März 1993, CIRFS u. a./Kommission, C‑313/90, EU:C:1993:111, Rn. 23). Im Rahmen einer prozessleitenden Maßnahme wollte das Gericht von den Parteien u. a. wissen, ob die überarbeitete Entscheidung eine anfechtbare Handlung im Sinne von Art. 263 AEUV ist.

42

Der EDSB antwortete hierauf, dass die Tatsache, dass die überarbeitete Entscheidung seine endgültige Haltung und die Feststellung eines Verstoßes enthalte, nicht ausreiche, um darin eine anfechtbare Handlung zu sehen. Erforderlich sei auch, dass diese Haltung zu einer geänderten Rechtsstellung des SRB führe. Da der EDSB in der überarbeiteten Entscheidung nicht von seiner Abhilfebefugnis nach Art. 58 der Verordnung 2018/1725 Gebrauch gemacht habe, liege eine Entscheidung mit Rechtswirkung, die der gerichtlichen Überprüfung im Sinne von Art. 263 AEUV zugänglich wäre, nicht vor.

43

Der SRB macht in seiner Antwort auf dieselbe Frage geltend, dass die überarbeitete Entscheidung Rechtswirkungen entfalte, die seine Interessen beeinträchtigen könnten.

44

Nach der Rechtsprechung können gemäß Art. 263 Abs. 4 AEUV von einer natürlichen oder juristischen Person nur Handlungen angefochten werden, die verbindliche Rechtswirkungen erzeugen, die geeignet sind, die Interessen der betreffenden Person durch eine qualifizierte Änderung ihrer Rechtsstellung zu beeinträchtigen. Danach stellen Maßnahmen, die beim Abschluss eines Verwaltungsverfahrens den Standpunkt eines Organs, einer Einrichtung oder einer sonstigen Stelle der Union endgültig festlegen und verbindliche Rechtswirkungen erzeugen sollen, die geeignet sind, die Interessen des Klägers zu beeinträchtigen, grundsätzlich anfechtbare Handlungen dar; ausgenommen hiervon sind Zwischenmaßnahmen, die der Vorbereitung der endgültigen Entscheidung dienen und keine solchen verbindlichen Rechtswirkungen erzeugen (vgl. Urteile vom 25. Juni 2020, SATCEN/KF, C‑14/19 P, EU:C:2020:492, Rn. 69 und 70 und die dort angeführte Rechtsprechung, sowie vom 6. Mai 2021, ABLV Bank u. a./EZB, C‑551/19 P und C‑552/19 P, EU:C:2021:369, Rn. 39 und die dort angeführte Rechtsprechung).

45

Um festzustellen, ob die angefochtene Handlung solche Wirkungen erzeugt, ist auf ihr Wesen abzustellen und sind diese Wirkungen anhand objektiver Kriterien wie z. B. des Inhalts dieser Handlung zu beurteilen, wobei gegebenenfalls der Zusammenhang ihres Erlasses und die Befugnisse des Organs, der Einrichtung oder der anderen Stelle der Union zu berücksichtigen sind, das/die diese Handlung vornimmt (vgl. Urteile vom 22. April 2021, thyssenkrupp Electrical Steel und thyssenkrupp Electrical Steel Ugo/Kommission, C‑572/18 P, EU:C:2021:317, Rn. 48 und die dort angeführte Rechtsprechung, vom 6. Mai 2021, ABLV Bank u. a./EZB, C‑551/19 P und C‑552/19 P, EU:C:2021:369, Rn. 41 und die dort angeführte Rechtsprechung, sowie vom 6. Oktober 2021, Tognoli u. a./Parlament, C‑431/20 P, EU:C:2021:807, Rn. 34 und die dort angeführte Rechtsprechung).

46

Erstens ist daran zu erinnern, dass der EDSB die überarbeitete Entscheidung infolge der vom SRB beantragten Überprüfung der ursprünglichen Entscheidung erlassen hat. Durch die nach Abschluss eines streitigen Verwaltungsverfahrens ergangene überarbeitete Entscheidung wird die ursprüngliche Entscheidung aufgehoben und ersetzt; mit ihr wird die Haltung des EDSB betreffend die fünf Beschwerden endgültig festgelegt.

47

Gemäß Art. 64 Abs. 2 der Verordnung 2018/1725, der das Recht auf einen wirksamen gerichtlichen Rechtsbehelf betrifft, kann gegen die Entscheidungen des EDSB beim Gerichtshof der Europäischen Union Klage erhoben werden.

48

Insbesondere bestimmt Art. 18 der Geschäftsordnung des EDSB, auf den die überarbeitete Entscheidung gestützt ist, in seinem Abs. 3 u. a.:

„Erlässt der EDSB auf einen Antrag auf Überprüfung seiner Beschwerdeentscheidung hin eine neue, andere Entscheidung, teilt der EDSB dem Beschwerdeführer und dem betroffenen Organ mit, dass sie das Recht haben, gemäß Artikel 263 [AEUV] vor dem Gerichtshof der Europäischen Union gegen die neue Entscheidung vorzugehen.“

49

Dazu heißt es in dem der überarbeiteten Entscheidung beigefügten Begleitschreiben an den SRB:

„Bitte beachten Sie, dass die Entscheidung vom 24. Juni 2020 durch die vorliegende Entscheidung aufgehoben und ersetzt wird. Sie haben das Recht, gegen die vorliegende Entscheidung binnen zwei Monaten ab ihrem Erlass unter den Voraussetzungen des Art. 263 [AEUV] Nichtigkeitsklage beim Gerichtshof der Europäischen Union zu erheben.“

50

Was zweitens den Inhalt der überarbeiteten Entscheidung angeht, ist daran zu erinnern, dass zum einen der EDSB einen Verstoß des SRB gegen die Informationspflicht gemäß Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 festgestellt und dem SRB zum anderen im Wesentlichen empfohlen hat, in seinen künftigen Datenschutzerklärungen sicherzustellen, dass sich ein solcher Verstoß nicht wiederholt.

51

Zum einen ist darauf hinzuweisen, dass der SRB für einen solchen Verstoß nach Art. 65 der Verordnung 2018/1725 unter den in den Verträgen vorgesehenen Voraussetzungen als für die Verarbeitung der betreffenden Daten Verantwortlicher zum Schadensersatz verpflichtet sein kann.

52

Zum anderen berücksichtigt der EDSB nach Art. 66 Abs. 1 der Verordnung 2018/1725 bei der Entscheidung über die Verhängung einer Geldbuße gegen ein Organ oder eine Einrichtung der Union und über den Betrag dieser Geldbuße u. a. etwaige ähnliche frühere Verstöße dieses Organs oder dieser Einrichtung. Hält sich der SRB also nicht an die vom EDSB ausgesprochene Empfehlung, in künftigen den Anspruch auf Anhörung betreffenden Verfahren seine Datenschutzerklärungen zu ändern, könnte ein ähnlicher Verstoß des SRB gegen Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 festgestellt werden und zur Verhängung einer Geldbuße führen.

53

Folglich erzeugt die Feststellung eines Verstoßes des SRB gegen Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 in der überarbeiteten Entscheidung verbindliche Rechtswirkungen, obwohl der EDSB angegeben hat, dass er von einem Gebrauch seiner Abhilfebefugnisse nach Art. 58 Abs. 2 der Verordnung 2018/1725 absehe.

54

Angesichts der vorstehenden Ausführungen handelt es sich bei der überarbeiteten Entscheidung um eine Handlung der Union, die die Interessen ihres Adressaten durch eine qualifizierte Änderung seiner Rechtsstellung beeinträchtigen kann. Somit handelt es sich um eine anfechtbare Handlung im Sinne von Art. 263 AEUV.

55

Daher ist der auf Nichtigerklärung der überarbeiteten Entscheidung gerichtete Antrag zulässig.

56

Der SRB stützt seine Klage auf zwei Gründe. Erstens sei Art. 3 Nr. 1 der Verordnung 2018/1725 verletzt, weil es sich bei den an Deloitte weitergegebenen Informationen nicht um personenbezogene Daten handele. Zweitens sei das in Art. 41 der Charta verankerte Recht auf eine gute Verwaltung verletzt.

57

Mit dem ersten Klagegrund macht der SRB geltend, der EDSB habe gegen Art. 3 Nr. 1 der Verordnung 2018/1725 verstoßen, indem er in der überarbeiteten Entscheidung davon ausgegangen sei, dass es sich bei den an Deloitte übermittelten Informationen um personenbezogene Daten der Beschwerdeführer handele.

58

Art. 3 Nr. 1 der Verordnung 2018/1725 bestimmt den Begriff personenbezogene Daten als „alle Informationen[,] die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen[, wobei] als identifizierbar … eine natürliche Person angesehen [wird], die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann“.

59

Gemäß dieser Begriffsbestimmung sind Informationen u. a. dann personenbezogene Daten, wenn zwei kumulative Voraussetzungen erfüllt sind, nämlich zum einen die, dass sich diese Informationen auf eine natürliche Person „beziehen“, und zum anderen, dass dies eine „identifizierte oder identifizierbare“ Person ist.

60

Der SRB macht geltend, dass die Stellungnahmen, die er während der Konsultationsphase erhalten und an Deloitte weitergeleitet habe, sich nicht auf bestimmte Personen im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 bezogen hätten. Die Argumentation aus dem Urteil vom 20. Dezember 2017, Nowak (C‑434/16, EU:C:2017:994), finde keine Anwendung auf die Stellungnahmen der Beschwerdeführer. Die in den Stellungnahmen der Beschwerdeführer enthaltenen Informationen seien von den Personen oder den persönlichen Eigenschaften der Beschwerdeführer unabhängige tatsächliche und rechtliche Informationen ohne Bezug zu deren Privatleben. Das Ziel des Anhörungsverfahrens habe darin bestanden, die tatsächlichen und rechtlichen Argumente betreffend die vorläufige Entscheidung und die Bewertung 3 von einer Vielzahl Betroffener auszuwerten, deren Persönlichkeit und Identität für die Würdigung ihrer Stellungnahmen nicht relevant gewesen seien.

61

Der EDSB macht geltend, dass der Inhalt der Stellungnahmen der betroffenen Anteilseigner und Gläubiger eine Information „über“ diese sei, da ihre Antworten ihre persönliche Sichtweise enthielten und widerspiegelten, selbst wenn sie auf öffentlich zugänglichen Informationen beruhten. Die Antworten auf dem Fragebogen der Beschwerdeführer und der anderen Beteiligten seien personenbezogene Daten, unabhängig davon, ob dabei eine eigenständige oder eine mit anderen geteilte Sichtweise zum Ausdruck gebracht werde, und unabhängig von der Frage, ob der SRB sie für von den spezifischen Rechten zum Schutz der Privatsphäre der betroffenen Anteilseigner und Gläubiger unabhängige Informationen halte.

62

Der EDSB ist darüber hinaus der Ansicht, dass die Stellungnahmen aufgrund ihrer Wirkung personenbezogene Daten seien. Die Beurteilung dieser Stellungnahmen, mit der die Gültigkeit der Bewertung 3 und die Rechtmäßigkeit der vorläufigen Entscheidung überprüft werden solle, habe sich auf die Interessen und Rechte der Beteiligten im Zusammenhang mit ihrer finanziellen Entschädigung auswirken können. Schließlich führt er an, der Zweck der Einholung von Stellungnahmen bestehe darin, allen Parteien Verfahrensrechte einzuräumen, um ihre individuellen Sichtweisen zu sammeln.

63

In der überarbeiteten Entscheidung wies der EDSB darauf hin, dass es sich bei den während der Konsultationsphase eingegangenen Antworten um personenbezogene Daten der Beschwerdeführer handele, da sie deren persönliche Sichtweise enthielten und daher selbst dann Informationen über diese Personen seien, wenn sie sich, um ihre Sichtweise zum Ausdruck zu bringen, auf öffentlich zugängliche Informationen stützten. Die Tatsache, dass die Beschwerdeführer ähnliche, wenn auch nicht mit denen anderer Beteiligter identische Sichtweisen zum Ausdruck brächten, bedeute nicht, dass ihre Antworten nicht ihre eigene Meinung widerspiegelten. Die Antworten der Beschwerdeführer und der anderen Beteiligten in den Freitextfeldern seien folglich alle als personenbezogene Daten anzusehen, unabhängig davon, ob es sich um den Ausdruck einer eigenständigen und einzigartigen Sichtweise oder um eine mit anderen geteilte oder um eine durch öffentlich zugängliche Informationen veranlasste oder diesen entnommene Sichtweise handele. Dieses Ergebnis stehe auch nicht im Widerspruch zum Urteil vom 20. Dezember 2017, Nowak (C‑434/16, EU:C:2017:994), in dem der Gerichtshof nicht zwischen den von den Antwortenden vollständig selbst ausgearbeiteten und den anderen Quellen entnommenen Antworten unterschieden habe.

64

Zu prüfen ist, ob der EDSB zutreffend davon ausgehen konnte, dass die an Deloitte übermittelten Informationen sich auf eine natürliche Person im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 „beziehen“.

65

Vorab ist festzustellen, dass der EDSB in der überarbeiteten Entscheidung alle im Rahmen der Konsultationsphase eingereichten Stellungnahmen der betroffenen Anteilseigner und Gläubiger als personenbezogene Daten qualifiziert und seine Beurteilung nicht auf die an Deloitte übermittelten Informationen beschränkt hat.

66

Da der in der überarbeiteten Entscheidung festgestellte Verstoß gegen Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 sich nur darauf bezog, dass der SRB in der Datenschutzerklärung nicht angegeben hatte, dass Deloitte mögliche Adressatin bestimmter Daten sei, ist die Prüfung auf die Frage zu beschränken, ob die an Deloitte übermittelten Informationen persönliche Daten im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 waren.

67

Insoweit bestimmt Art. 3 Nr. 13 der Verordnung 2018/1725 den Begriff „Empfänger“ als „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht“.

68

Nach der Rechtsprechung kommt in der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Bestimmung des Begriffs „personenbezogene Daten“ in Art. 3 Nr. 1 der Verordnung 2018/1725 das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt (vgl. entsprechend Urteil vom 20. Dezember 2017, Nowak, C‑434/16, EU:C:2017:994, Rn. 34).

69

Was diese letztgenannte Voraussetzung betrifft, so hat der Gerichtshof entschieden, dass sie erfüllt ist, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (Urteil vom 20. Dezember 2017, Nowak, C‑434/16, EU:C:2017:994, Rn. 35).

70

In der überarbeiteten Entscheidung hat der EDSB aber weder den Inhalt noch den Zweck noch die Auswirkungen der an Deloitte übermittelten Informationen geprüft.

71

Vielmehr hat er sich auf den Hinweis beschränkt, dass die von den Beschwerdeführern während der Konsultationsphase eingereichten Stellungnahmen deren Meinungen oder Sichtweisen widerspiegelten, und kam allein auf dieser Grundlage zu dem Ergebnis, dass es sich bei den Stellungnahmen um Informationen über diese Personen handele, was für ihre Einstufung als personenbezogene Daten ausreiche.

72

In der mündlichen Verhandlung bestätigte der EDSB, dass es sich seiner Ansicht nach bei jeder persönlichen Meinung um personenbezogene Daten handele. Außerdem räumte er ein, dass er den Inhalt der von den Beschwerdeführern während der Konsultationsphase eingereichten Stellungnahmen nicht geprüft habe.

73

Zwar kann nicht ausgeschlossen werden, dass persönliche Sichtweisen oder Meinungen personenbezogene Daten darstellen. Doch aus den oben in den Rn. 68 und 69 angeführten Rn. 34 und 35 des Urteils vom 20. Dezember 2017, Nowak (C‑434/16, EU:C:2017:994), geht hervor, dass eine solche Stellungnahme nicht auf eine Annahme wie die oben in den Rn. 71 und 72 beschriebene gestützt werden darf, sondern auf der Prüfung beruhen muss, anhand deren bestimmt werden soll, ob eine Sichtweise aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist.

74

Folglich durfte der EDSB, da er eine solche Prüfung nicht vorgenommen hatte, nicht davon ausgehen, dass die an Deloitte übermittelten Informationen sich im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 auf eine natürliche Person „beziehen“.

75

Das Gericht wird nun die vom EDSB vorgenommene Beurteilung der Frage prüfen, ob die an Deloitte übermittelten Informationen sich auf eine „identifizierte oder identifizierbare“ natürliche Person bezogen.

76

Der SRB macht geltend, dass entgegen der Auffassung des EDSB die Mitteilung des alphanumerischen Codes an Deloitte nicht zu einer „Pseudonymisierung“ der Daten geführt habe. Diese seien anonym geblieben, da der SRB die Informationen, anhand deren eine Rückidentifizierung der Personen, von denen die Stellungnahmen stammten, möglich gewesen wäre, nicht mit Deloitte geteilt habe.

77

Der SRB macht geltend, die Daten seien selbst dann für einen Dritten anonymisierte Daten, wenn die eine Rückidentifizierung ermöglichende Information nicht unwiederbringlich gelöscht werde und beim ersten Auftragsverarbeiter gespeichert bleibe, solange das Format, in dem die Daten diesem Dritten mitgeteilt würden, die Identifizierung des Verfassers der Anmerkung nicht mehr zulasse oder nicht hinreichend wahrscheinlich werden lasse. Anders als vom EDSB ausgeführt verlangten die Verordnung 2018/1725 und die Rechtsprechung des Gerichtshofs eine Bewertung der Gefahr einer Rückidentifizierung.

78

Insbesondere sind nach Auffassung des SRB die von der Rechtsprechung des Gerichtshofs aufgestellten Voraussetzungen betreffend das Bestehen einer Gefahr der Rückidentifizierung, wenn die Informationen, anhand deren die Identifizierung möglich ist, nicht in der Hand einer einzelnen Person, sondern bei mehreren Parteien liegen, vorliegend nicht erfüllt. Zum einen sei Deloitte eine Rückidentifizierung der Personen, die Stellungnahmen eingereicht hätten, anhand des den einzelnen Stellungnahmen zugewiesenen alphanumerischen Codes nicht möglich. Die in Art. 3 Nr. 6 der Verordnung 2018/1725 erwähnten zusätzlichen Informationen bestünden aus der nur dem SRB zugänglichen, die Decodierung ermöglichenden Datenbank. Zum anderen habe Deloitte, was das Kriterium der hinreichenden Wahrscheinlichkeit der Zusammenführung von Informationen angehe, kein Recht gehabt, auf die zusätzlichen Informationen, die die Identifizierung ermöglichten, zuzugreifen, und habe dies auch jetzt nicht.

79

Der EDSB trägt vor, der Umstand, dass Deloitte keinen Zugang zu den vom SRB gespeicherten Informationen zur Rückidentifizierung gehabt habe, führe nicht dazu, dass die an Deloitte übermittelten „pseudonymisierten“ Daten anonyme Daten geworden seien. Es brauche nicht festgestellt zu werden, ob Deloitte anhand der übermittelten Informationen rückidentifizieren könne, von wem diese stammten, oder ob diese Rückidentifizierung hinreichend wahrscheinlich sei. „Pseudonymisierte“ Daten blieben dies selbst dann, wenn sie an einen Dritten übermittelt würden, der nicht über die zusätzlichen Informationen verfüge.

80

Nach Auffassung des EDSB bedeutet die Verwendung des Begriffs „indirekt“ in Art. 3 Nr. 1 der Verordnung 2018/1725, dass es für die Einstufung einer Information als personenbezogenes Datum nicht notwendig sei, dass sie als solche die Identifizierung der betroffenen Person ermögliche. Überdies sei es in Bezug auf die Mittel, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt würden, nicht erforderlich, dass alle eine Identifizierung der betroffenen Person ermöglichenden Informationen in der Hand einer einzelnen Person gebündelt seien.

81

In der überarbeiteten Entscheidung ging der EDSB davon aus, dass es sich bei den an Deloitte übermittelten Daten um „pseudonymisierte“ Daten handele. Er wies insoweit darauf hin, dass der Unterschied zwischen „pseudonymisierten“ und anonymisierten Daten darin bestehe, dass es bei anonymisierten Daten keine „zusätzlichen Informationen“ gebe, die für die Zuordnung zu einer spezifischen betroffenen Person genutzt werden könnten, während es solche zusätzlichen Informationen bei „pseudonymisierten“ Daten gebe. Folglich müsse für die Feststellung, ob Daten anonymisiert oder „pseudonymisiert“ seien, geprüft werden, ob „zusätzliche Informationen“ genutzt werden könnten, um die Daten spezifischen betroffenen Personen zuzuordnen.

82

Er verwies darauf, dass der SRB nicht nur bestimmte Stellungnahmen der Anteilseigner und Gläubiger übermittelt habe, sondern auch den entsprechenden alphanumerischen Code, und dass Deloitte keinen Zugang zu den während der Registrierungsphase gegebenen Antworten gehabt habe. Wie der SRB ausgeführt habe, sei es „für Deloitte unmöglich gewesen, durch die Benutzung dieses Codes und unter Bezugnahme auf die konkreten von den Berechtigten im Rahmen der Registrierungsphase gemachten Angaben (die immer vom SRB gespeichert wurden) die Identität einer Partei zu ermitteln“. Der EDSB sieht in den während der Registrierungsphase gemachten Angaben mitsamt der eindeutigen Identifikationsnummer, nämlich dem jedem Berechtigten zugewiesenen alphanumerischen Code, ein perfektes Beispiel für „zusätzliche Informationen“ im Sinne von Art. 3 Nr. 6 der Verordnung 2018/1725, weil sie vom SRB genutzt werden könnten, um die Daten einer spezifischen betroffenen Person zuzuordnen.

83

Der EDSB führte aus, dass die Verordnung 2018/1725 nicht unterscheide zwischen denen, die „pseudonymisierte“ Daten speicherten, und jenen, die über die zusätzlichen Informationen verfügten; dass es sich dabei um verschiedene Stellen handele, mache die „pseudonymisierten“ Daten nicht zu anonymen Daten. Zudem schließe die Tatsache, dass Deloitte nicht allein in der Lage gewesen sei, die Stellungnahmen den während der Registrierungsphase übermittelten Daten zuzuordnen, nicht aus, dass die erhaltenen Daten „pseudonymisiert“ seien. Bei den Daten, die der SRB mit Deloitte geteilt habe, handele es sich um „pseudonymisierte“ Daten, weil zum einen die während der Konsultationsphase eingegangenen Stellungnahmen personenbezogen gewesen seien und zum anderen der SRB den alphanumerischen Code geteilt habe, anhand dessen die Antworten aus der Registrierungsphase mit denen aus der Konsultationsphase zusammengeführt werden konnten, obwohl die von den Teilnehmern während der Registrierungsphase zur Identifizierung gemachten Angaben nicht an Deloitte übermittelt worden seien. Daher habe es sich bei den an Deloitte übermittelten Informationen um „pseudonymisierte“ Daten und somit um personenbezogene Daten im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 gehandelt.

84

Vorab ist darauf hinzuweisen, dass angesichts der vom SRB eingerichteten Mechanismen betreffend die Verarbeitung der im Rahmen des Anhörungsverfahrens erhobenen Daten, die oben in den Rn. 14 bis 24 beschrieben wurden, die an Deloitte übermittelten Informationen keine „identifizierten“ Personen betrafen.

85

Somit ist zu prüfen, ob der EDSB zutreffend davon ausgehen konnte, dass die an Deloitte übermittelten Informationen sich auf eine „identifizierbare“ natürliche Person im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 bezogen.

86

Gemäß dieser Vorschrift wird als „identifizierbare natürliche Person“ eine natürliche Person angesehen, die direkt oder indirekt identifiziert werden kann.

87

Der 16. Erwägungsgrund der Verordnung 2018/1725 sieht Folgendes vor:

„… Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden. Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind. …“

88

Der Gerichtshof hat in seinem Urteil vom 19. Oktober 2016, Breyer (C‑582/14, EU:C:2016:779), den Begriff „personenbezogene Daten“ im Sinne von Art. 2 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31), die eine Art. 3 Nr. 1 der Verordnung 2018/1725 entsprechende Bestimmung enthält, ausgelegt.

89

In jener Rechtssache stellte sich die Frage, ob eine dynamische Internetprotokoll-Adresse (im Folgenden: IP-Adresse) gegenüber dem Anbieter von Online-Mediendiensten, der sie auf seiner Internetseite speichert, für diesen ein personenbezogenes Datum darstellt. Nach Auffassung des Gerichtshofs war zu prüfen, ob diese IP-Adresse als Information über eine „bestimmbare natürliche Person“ eingestuft werden kann, wenn zum einen dieser Anbieter aus ihr allein nicht die Identität des Nutzers bestimmen kann, von dem eine Website abgerufen wurde, und zum anderen die zur Identifizierung des Nutzers einer Website erforderlichen Zusatzinformationen – würden sie mit dieser IP‑Adresse zusammengeführt – die Bestimmung dieses Nutzers ermöglichen würden, aber dem Internetzugangsanbieter vorliegen.

90

Da der 16. Erwägungsgrund der Verordnung 2018/1725 auf die Mittel Bezug nimmt, die vernünftigerweise entweder von dem Verantwortlichen oder von einem „Dritten“ eingesetzt werden könnten, ist sein Wortlaut ein Indiz dafür, dass es für die Einstufung eines Datums als „personenbezogenes Datum“ im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 nicht erforderlich ist, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden (vgl. entsprechend Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 43).

91

Der Gerichtshof führte jedoch weiter aus, dass der Umstand, dass über die zur Identifizierung des Nutzers einer Website erforderlichen Zusatzinformationen nicht der Anbieter von Online-Mediendiensten verfügt, sondern der Internetzugangsanbieter dieses Nutzers, daher nicht auszuschließen vermag, dass die von einem Anbieter von Online-Mediendiensten gespeicherten dynamischen IP-Adressen für ihn personenbezogene Daten darstellen (Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 44).

92

Zu prüfen war nach Auffassung des Gerichtshofs jedoch, ob die Möglichkeit, eine dynamische IP-Adresse mit den Zusatzinformationen zu verknüpfen, über die der Internetzugangsanbieter verfügt, ein Mittel darstellt, das vernünftigerweise zur Bestimmung der betreffenden Person eingesetzt werden kann (Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 45).

93

Der Gerichtshof wies darauf hin, dass dies nicht der Fall gewesen wäre, wenn die Identifizierung der betreffenden Person gesetzlich verboten oder praktisch nicht durchführbar gewesen wäre, z. B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften erfordert hätte, so dass das Risiko einer Identifizierung de facto vernachlässigbar erschienen wäre (Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 46).

94

Im vorliegenden Fall wird nicht bestritten, dass zum einen der in den an Deloitte übermittelten Informationen enthaltene alphanumerische Code als solcher nicht ausreichte, um die Verfasser der Stellungnahmen zu identifizieren, und zum anderen Deloitte keinen Zugang zu den Identifizierungsdaten hatte, die während der Registrierungsphase erhoben wurden und anhand deren dank des alphanumerischen Codes die Teilnehmer mit ihren Kommentaren in Verbindung gebracht werden konnten.

95

Der EDSB hat in der überarbeiteten Entscheidung darauf hingewiesen und in der mündlichen Verhandlung bestätigt, dass es sich bei den zur Identifizierung der Verfasser der Stellungnahmen erforderlichen zusätzlichen Informationen um den alphanumerischen Code und die Identifizierungsdatenbank handelt.

96

Wie der EDSB im Hinblick auf Rn. 43 des oben in Rn. 90 erwähnten Urteils vom 19. Oktober 2016, Breyer (C‑582/14, EU:C:2016:779), ausführt, schließt die Tatsache, dass nicht Deloitte, sondern der SRB über die zur Identifizierung der Verfasser der während der Konsultationsphase abgegebenen Stellungnahmen erforderlichen zusätzlichen Informationen verfügte, zwar nicht von vornherein aus, dass es sich bei den an Deloitte übermittelten Informationen für Deloitte um personenbezogene Daten handelte.

97

Doch geht aus dem Urteil vom 19. Oktober 2016, Breyer (C‑582/14, EU:C:2016:779), auch hervor, dass für die Bestimmung, ob es sich bei den an Deloitte übermittelten Informationen um personenbezogene Daten handelte, auf das Verständnis abzustellen ist, das Deloitte bei der Bestimmung der Frage hatte, ob die ihr übermittelten Informationen sich auf „identifizierbare Personen“ beziehen.

98

Erstens ist daran zu erinnern, dass der vom EDSB in der überarbeiteten Entscheidung festgestellte Verstoß gegen Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 die Übermittlung bestimmter Stellungnahmen durch den SRB an Deloitte betraf und nicht nur die Tatsache, dass der SRB über diese verfügte.

99

Zweitens kann zum einen die Situation von Deloitte mit der des Anbieters von Online-Mediendiensten im Sinne des Urteils vom 19. Oktober 2016, Breyer (C‑582/14, EU:C:2016:779), verglichen werden, soweit sie über Informationen – nämlich die Stellungnahmen betreffend die Bewertung 3 – verfügte, bei denen es sich nicht um Informationen handelte, die sich auf eine „identifizierte natürliche Person“ bezogen, da es nicht möglich war, anhand des auf jeder Antwort vermerkten alphanumerischen Codes unmittelbar die natürliche Person zu identifizieren, die den Fragebogen ausgefüllt hatte. Zum anderen kann die Situation des SRB mit der des Internetzugangsanbieters in jener Rechtssache verglichen werden, da feststeht, dass nur der SRB über die zusätzlichen Informationen – nämlich über den alphanumerischen Code und die Identifizierungsdatenbank – verfügte, anhand deren die betroffenen Anteilseigner und Gläubiger identifiziert werden können, die den Fragebogen ausgefüllt haben.

100

Somit war es gemäß der oben in Rn. 91 angeführten Rn. 44 des Urteils vom 19. Oktober 2016, Breyer (C‑582/14, EU:C:2016:779), Sache des EDSB, zu prüfen, ob für Deloitte die an sie übermittelten Stellungnahmen personenbezogene Daten waren.

101

Der EDSB führt also unzutreffend aus, dass nicht untersucht werden müsse, ob Deloitte anhand der übermittelten Informationen deren Verfasser rückidentifizieren könne oder ob diese Rückidentifizierung hinreichend wahrscheinlich sei.

102

In der überarbeiteten Entscheidung ging der EDSB davon aus, dass für die Annahme, die an Deloitte übermittelten Informationen seien personenbezogene Daten, die Tatsache ausreiche, dass der SRB über die zusätzlichen Informationen verfüge, anhand deren eine Rückidentifizierung der Verfasser der Stellungnahmen möglich sei. Gleichzeitig stellte er aber auch fest, dass die während der Registrierungsphase erhobenen Identifizierungsdaten Deloitte nicht mitgeteilt worden seien.

103

Aus der überarbeiteten Entscheidung geht somit hervor, dass der EDSB sich auf die Prüfung einer möglichen Rückidentifizierung der Verfasser der Stellungnahmen aus der Perspektive des SRB (und nicht der von Deloitte) beschränkt hat.

104

Wie aber aus der oben in Rn. 92 angeführten Rn. 45 des Urteils vom 19. Oktober 2016, Breyer (C‑582/14, EU:C:2016:779), hervorgeht, war vom EDSB festzustellen, ob es sich bei der Möglichkeit, die an Deloitte übermittelten Informationen mit den dem SRB vorliegenden zusätzlichen Informationen zu kombinieren, um ein Mittel handelte, das von Deloitte vernünftigerweise zur Bestimmung der Verfasser der Kommentare eingesetzt werden konnte.

105

Somit durfte der EDSB, weil er nicht geprüft hat, ob Deloitte das Recht hatte, auf die für die Rückidentifizierung der Verfasser der Stellungnahmen erforderlichen zusätzlichen Informationen zuzugreifen, und ob dieser Zugriff auch praktisch durchführbar war, nicht zu dem Ergebnis gelangen, dass die an Deloitte übermittelten Informationen sich auf eine „identifizierbare natürliche Person“ im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 beziehen.

106

Nach alledem ist dem ersten Klagegrund stattzugeben und die überarbeitete Entscheidung für nichtig zu erklären, ohne dass es einer Prüfung des zweiten Klagegrundes bedarf.

107

Nach Art. 134 Abs. 1 der Verfahrensordnung des Gerichts ist die unterliegende Partei auf Antrag zur Tragung der Kosten zu verurteilen.

108

Da der EDSB mit seinem Vorbringen im Wesentlichen unterlegen ist, sind ihm gemäß dem Antrag des SRB die Kosten aufzuerlegen.

Aus diesen Gründen hat

DAS GERICHT (Achte erweiterte Kammer)

für Recht erkannt und entschieden: