Der Europäische Gerichtshof (EuGH) hat entschieden, dass WhatsApp die bindende Entscheidung des Europäischen Datenschutzausschusses (EDPB/EDSA) aus dem Jahr 2021 direkt vor den EU-Gerichten angreifen darf. Die Richter hoben damit eine frühere Entscheidung des Europäischen Gerichts auf und verwiesen die Sache zur materiellen Prüfung zurück. Über die Frage, ob WhatsApp gegen die DSGVO verstoßen hat, ist damit noch nicht entschieden.
Nach Beschwerden zur Datenverarbeitung leitete die irische Aufsichtsbehörde (Data Protection Commission, DPC) bereits 2018 eine Untersuchung gegen WhatsApp ein. Weil die nationalen Behörden keinen Konsens erzielten, erließ der EDPB 2021 eine verbindliche Entscheidung, aufgrund derer die DPC später ein Bußgeld von insgesamt 225 Millionen Euro gegen WhatsApp festsetzte. WhatsApp hatte dagegen vor dem Europäischen Gericht (EuG) geklagt. Dieses erklärte die Klage 2022 für unzulässig. Der EuGH hat diese Entscheidung nun aufgehoben.
Der EuGH hat somit entschieden, dass WhatsApp das Recht hat, die EDPB-Entscheidung vor den EU-Gerichten prüfen zu lassen. Die Entscheidung hat damit Signalwirkung für andere Unternehmen, die sich gegen EDPB-gesteuerte Maßnahmen wehren wollen. Für WhatsApp und für andere betroffene Firmen ist das Urteil ein wichtiger Etappensieg, weil es den Zugang zu einer inhaltlichen Prüfung auf EU-Ebene ermöglicht.
In einem nächsten Schritt muss nun das EuG in der Sache über die Klage entscheiden. Die irische Datenschutzkommission hat die nationalen Vollstreckungsverfahren vorläufig ausgesetzt, bis die Entscheidungen des EuG vorliegt. Die endgültige Entscheidung wird weitreichende Folgen für die Praxis der EDPB-Bindungsentscheidungen und für die Durchsetzung von DSGVO-Sanktionen in der EU haben.