EuGH stärkt Klagerecht gegen EDSA

Wer im DSGVO-Verfahren bislang dachte, der verbindliche Beschluss des Europäischen Datenschutzausschusses (EDSA) sei nur „internes Behördenfutter“, bekommt vom EuGH (Große Kammer) eine klare Antwort: Nein. Ein solcher EDSA-Beschluss kann eine anfechtbare Handlung sein – und das betroffene Unternehmen kann unmittelbar betroffen sein. Genau darum geht es im Urteil vom 10. Februar 2026 (C-97/23 P) im Streit WhatsApp ./. EDSA.

Worum ging es?

Auslöser war das bekannte WhatsApp-Verfahren zur Transparenz (Art. 12–14 DSGVO) und zur Frage, welche Daten wie einzuordnen sind (u. a. „Lossy Hashing“). Die irische Datenschutzbehörde (DPC) als federführende Aufsicht legte einen Entwurf vor, mehrere Behörden erhoben maßgebliche und begründete Einsprüche, Irland rief den EDSA an – der EDSA entschied nach Art. 65 DSGVO verbindlich.

Die DPC erließ anschließend den endgültigen Beschluss (inkl. Bußgeldern) und hängte den EDSA-Beschluss an. WhatsApp focht den nationalen Beschluss in Irland an – wollte aber zusätzlich den EDSA-Beschluss direkt beim EU-Gericht angreifen. Das Gericht (EuG) hielt die Klage zunächst für unzulässig. Der EuGH hebt das jetzt auf.

Die Kernaussagen des EuGH

1) Fristbeginn: Veröffentlichung auf der EDSA-Website zählt

Wenn ein Unternehmen nicht Adressat des EDSA-Beschlusses ist, startet die Klagefrist grundsätzlich mit der „Bekanntgabe“. Und „Bekanntgabe“ kann – wenn so vorgesehen – die Veröffentlichung auf der Website sein. Hier: Art. 65 Abs. 5 DSGVO + Erwägungsgrund 143.
Konsequenz: Nicht „Kenntnis“ ist maßgeblich, sondern im Regelfall die Website-Veröffentlichung.

2) Ein EDSA-Beschluss ist keine bloße „Zwischenmaßnahme“

Der EuGH stellt klar: Auch wenn nach dem EDSA-Beschluss noch ein nationaler Endbeschluss kommt, ist der EDSA-Beschluss nicht automatisch nur vorbereitend. Entscheidend ist das „Wesen“ der Handlung:

• Der EDSA legt seinen Standpunkt endgültig fest zu den Punkten, die ihm vorliegen (Einsprüche).

• Der Beschluss ist verbindlich für die federführende und betroffenen Aufsichtsbehörden.
  Damit entfaltet er Rechtswirkungen gegenüber Dritten (hier: den Behörden) und ist anfechtbar i.S.v. Art. 263 Abs. 1 AEUV.

3) Unternehmen können „unmittelbar betroffen“ sein

Für die Zulässigkeit nach Art. 263 Abs. 4 AEUV braucht es (verkürzt): individuelle + unmittelbare Betroffenheit.

• Individuell betroffen war WhatsApp unstreitig (es ging konkret um WhatsApp-spezifische Punkte).

• Unmittelbar betroffen ist ein Unternehmen nach dem EuGH, wenn:

  1. der Beschluss seine Rechtsstellung unmittelbar beeinflusst, und

  2. die mit der Umsetzung betrauten Adressaten kein relevantes Ermessen haben.

Und genau das bejaht der EuGH: Bei den vom EDSA entschiedenen Punkten dürfen die Behörden nicht abweichen (z. B. Feststellung zusätzlicher Verstöße, Einstufungen, Pflicht zur Erhöhung der vorgesehenen Bußgeldspanne). Dass die Behörde zusätzlich noch anderes prüft oder die konkrete Bußgeldhöhe festsetzt, ändert daran nichts.

4) Parallele Verfahren sind möglich – aber beherrschbar

Der EuGH nimmt das Argument „Doppelgleisigkeit“ (EU-Klage gegen EDSA + nationale Klage gegen Endbeschluss) ernst, aber macht es nicht zum K.-o.-Kriterium. Stattdessen verweist er auf Verfahrensmechanismen:

• nationale Gerichte können aussetzen, wenn eine EU-Nichtigkeitsklage läuft (Loyalität/geordnetes Verfahren),

• oder der EuGH/EuG kann koordinieren.

Praktische Folgen für Unternehmen

A) Neue Prozessoption: Frühzeitiger Angriff auf „entscheidende Weichenstellungen“

Viele „Schmerzpunkte“ (Rechtsfragen, Qualifikationen, Umfang von Verstößen, Bußgeldlogik) werden im EDSA-Verfahren festgezurrt. Nach dem Urteil ist klar: Diese Weichenstellungen können direkt vor den Unionsgerichten angegriffen werden, statt ausschließlich „hinten raus“ über den nationalen Endbeschluss.

B) Fristen- und Monitoring-Disziplin wird wichtiger

Wer EDSA-Beschlüsse nur „zur Kenntnis“ nimmt, riskiert Fristversäumnisse. In der Praxis heißt das:

• EDSA-Website aktiv monitoren (Veröffentlichungsdatum dokumentieren),

• Litigation-Readiness: Zuständigkeiten intern klären, sobald ein Art.-65-Beschluss veröffentlicht ist.

C) Verfahrensstrategie: EU-Klage vs. nationale Klage – oder beides?

Das Urteil eröffnet Spielräume, zwingt aber auch zur Taktik:

• EU-Klage fokussiert auf die Bindungswirkung/Fehler im EDSA-Beschluss.

• Nationale Klage greift den Endbeschluss an (inkl. Ermessensausübung, konkrete Maßnahmen, Bußgeldhöhe, nationales Verfahrensrecht).
  Oft wird es auf eine zweigleisige, abgestimmte Strategie hinauslaufen.

Kurzer „Check“ für die Praxis (für Verantwortliche & Rechtsabteilungen)

1. Gibt es einen Art.-65-EDSA-Beschluss?

2. Welche Punkte sind verbindlich entschieden (Einspruchsgegenstand)?

3. Beeinflussen diese Punkte unmittelbar Pflichten, Risiko oder Bußgeldrahmen?

4. Wann wurde der Beschluss veröffentlicht? (Fristlauf!)

5. Parallelstrategie: nationale Klage + EU-Nichtigkeitsklage koordinieren (Aussetzung/Timing/Argumentkonsistenz).

Ein Satz zur Einordnung: Was ist die „Botschaft“ des EuGH?

Der EuGH zeichnet das Kohärenzverfahren nicht als bloßen Behörden-Workflow, sondern als rechtsverbindlichen Entscheidungsmechanismus mit gerichtlicher Kontrolle. Wer durch EDSA-Festlegungen faktisch gebunden wird, soll nicht darauf verwiesen werden, das nur indirekt und zufällig über nationale Umwege „irgendwann“ prüfen zu lassen.