EuGH-Schlussanträge zu behördlicher Zuständigkeit: Muss Face­book nur die iri­schen Daten­schützer fürchten?

Die federführende Datenschutzbehörde sei grundsätzlich dafür zuständig, für grenzüberschreitende Sachverhalte Gerichtsverfahren einzuleiten. Datenschutzbehörden aus anderen EU-Mitgliedstaaten könnten dies nur in Ausnahmen tun. Zu diesem Ergebnis kommt der zuständige Generalanwalt des Europäischen Gerichtshofs (EuGH) in seinen Schlussanträgen für ein Vorabentscheidungsersuchen eines belgischen Gerichts (Rs. C-645/19).

Dem Verfahren liegt ein Rechtsstreit der belgischen Datenschutzbehörde gegen mehrere Unternehmen der Facebook-Gruppe zugrunde. Die Datenschutzbehörde möchte Facebook dazu verpflichten, den Einsatz bestimmter Cookies zu unterlassen, wenn die Facebook-Nutzer darin nicht eingewilligt haben. Außerdem müsse Facebook es unterlassen, übermäßig Daten auf Websites Dritter über Social Plugins und Pixel zu erheben. Die dabei gesammelten personenbezogenen Daten müssten zudem vernichtet werden. Das Verfahren ist laut Pressemitteilung des EuGH derzeit vor dem Berufungsgericht Brüssel (Hof van beroep te Brussel) anhängig und bezieht sich nur noch auf Facebook Belgium.

Doch Facebook trägt hält dagegen, dass die belgische Datenschutzbehörde gar nicht mehr zuständig sei, das gerichtliche Verfahren zu führen. Die Behörde habe ab dem Zeitpunkt des Inkrafttretens der DSGVO die Zuständigkeit verloren. Nach der DSGVO sei nämlich nur die Datenschutzbehörde des EU-Mitgliedstaates zuständig, in dem sich die Hauptniederlassung von Facebook in der EU befindet. Diese sog. federführende Datenschutzbehörde befinde sich in diesem Fall in Irland, da Facebook dort seine Hauptniederlassung in der EU hat. Das belgische Gericht möchte nun vom EuGH wissen, ob tatsächlich keine andere als die federführende Datenschutzbehörde gerichtliche Verfahren wegen grenzüberschreitenden DSGVO-Verstößen führen kann.

Beseitigung von Kooperationsschwierigkeiten ist Zweck der DSGVO

EuGH-Generalanwalt Bobek bejaht diese Frage zunächst grundsätzlich. Der Wortlaut der DSGVO ergebe, dass die federführende Datenschutzbehörde für grenzüberschreitende Sachverhalte zuständig sei. Auch die Einleitung gerichtlicher Verfahren falle darunter. Die DSGVO verleihe zwar anderen Datenschutzbehörden die Befugnis, tätig zu werden, wenn es sich um Verstöße auf ihrem Hoheitsgebiet handelt. Doch auch diese Befugnis sei ausdrücklich beschränkt, wenn es um die grenzüberschreitende Datenverarbeitung geht.

Diese Bestimmung verfolge gerade den Zweck, Kooperationsschwierigkeiten sowie Unsicherheiten in Bezug auf fremde nationale Regelwerke zu beseitigen, die sich noch nach der Rechtslage vor der DSGVO ergeben hätten. Dennoch müsse die federführende Datenschutzbehörde auch unter der aktuell geltenden Rechtslage eng mit anderen betroffenen Datenschutzbehörden zusammenarbeiten. 

Vier Ausnahmen sind denkbar

Zuletzt führt Bobek jedoch auch Voraussetzungen auf, nach denen seiner Ansicht nach auch andere Datenschutzbehörden als die federführende vor ihren nationalen Gerichten Verfahren einleiten und führen können:

1. Wenn die nationale Datenschutzbehörde außerhalb des sachlichen Anwendungsbereichs der DSGVO tätig wird.
2. Wenn die nationale Datenschutzbehörde Untersuchungen zu grenzüberschreitenden Datenverarbeitungen anstellt, die durch Behörden in Ausübung eines öffentlichen Interesses oder öffentlicher Gewalt oder durch Verantwortliche erfolge, die keine Niederlassung in der Union haben.
3. Bei Dringlichkeit einer Maßnahme.
4. Wenn die federführende Datenschutzbehörde beschlossen habe, nicht tätig zu werden.

Der EuGH ist an die Schlussanträge nicht gebunden. Er folgt ihnen aber häufig.

pdi/LTO-Redaktion