Urteil : Irische Aufsichtsbehörde muss Beschwerde prüfen : aus der RDV 2/2025, Seite 109 bis 113

Diese Lesart ist jedoch im Hinblick auf den Wortlaut der oben in den Rn. 31 bis 33 angeführten Bestimmungen restriktiv. Es ist nämlich daran zu erinnern, dass nach Art. 4 Nr. 24 der Verordnung 2016/679 ein „Einspruch gegen einen Beschlussentwurf im Hinblick darauf, ob ein Verstoß gegen diese Verordnung vorliegt …, wobei aus diesem Einspruch die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen … ausgehen“, vom Begriff des „maßgeblichen und begründeten Einspruchs“ mit umfasst wird. Zwar sieht Art. 65 Abs. 1 lit. a) der Verordnung 2016/679 vor, dass ein auf dieser Grundlage erlassener verbindlicher Beschluss „alle Angelegenheiten [betrifft], die Gegenstand des maß‑ geblichen und begründeten Einspruchs sind,“ doch bleibt es unbenommen, dass sich ein solcher Einspruch darauf beziehen kann, dass ein Aspekt des Falles in einem solchen Beschlussentwurf der federführenden Aufsichtsbehörde nicht oder unzulänglich analysiert worden sei, wodurch sich nicht feststellen lässt, ob ein Verstoß gegen die Verordnung in Bezug auf diesen Aspekt vorliegt. Entgegen dem Vorbringen der Klägerin ist die Wendung „Einspruch gegen einen Beschlussentwurf“ nicht auf Einsprüche gegen im Beschlussentwurf enthaltene Erwägungen beschränkt. Da der verbindliche Beschluss des EDSA alle Angelegenheiten zu betreffen hat, die Gegenstand eines maßgeblichen und begründeten Einspruchs sind, wird mithin durch nichts verwehrt, dass ein solcher Beschluss, wenn der EDSA einen maßgeblichen und begründeten Einspruch im Hinblick auf ein Fehlen oder eine Unzulänglichkeit dieser Art bejaht, eine Weisung an die federführende Aufsichtsbehörde enthält, diese fehlende Analyse nachzuholen und, wenn dies in Anbetracht der dem EDSA vorliegenden Akte erforderlich erscheint, die bis dahin durch‑ geführte Untersuchung zu diesem Zweck zu vertiefen oder auszuweiten. Wenn die Aktenlage zur vollständigen Durchführung der erforderlichen Analyse offenbar unzureichend ist, muss dies dazu führen, dass der EDSA der zuständigen federführenden Aufsichtsbehörde eine Ergänzung der Untersuchung aufgeben kann.

Ferner ist festzustellen, dass der Wortlaut der drei oben in den Rn. 31 bis 33 angeführten Bestimmungen, betrachtet man sie insgesamt, die Tragweite eines verbindlichen Beschlusses nicht allein auf diejenigen unmittelbaren Änderungen beschränkt, die an dem von der federführenden Aufsichtsbehörde vorgelegten Beschlussentwurf vorzunehmen sind, um einen endgültigen Beschluss im Rahmen der in Art. 65 Abs. 6 der Verordnung 2016/679 festgelegten Voraussetzungen zu erlassen – d.h. auf Änderungen in Bezug auf den Inhalt des Beschlussentwurfs und nicht in Bezug auf etwas, was darin nicht enthalten ist. Insoweit dient die letztgenannte Bestimmung entgegen dem Vorbringen der Klägerin lediglich dazu, die Modalitäten für den Erlass des endgültigen Beschlusses, wenn dieser ohne Weiteres im Nachgang zu einem verbindlichen Beschluss des EDSA ergehen kann, klarzustellen, und zwar insbesondere dann, wenn eine Wiederaufnahme der Untersuchung oder eine umfangreichere oder eingehendere Analyse bestimmter Aspekte des Falles nicht erforderlich ist. Art.  65 Abs.  6 der Verordnung 2016/679 stellt keine Bestimmung über den möglichen Inhalt eines verbindlichen Beschlusses dar: Dieser Inhalt richtet sich nach der Rechtsgrundlage, nach der ein solcher Beschluss erlassen wird – im vorliegenden Fall nach Art.  65 Abs.  1 lit.  a) der Verordnung 2016/679, der im Hinblick auf die Definition des Begriffs des „maßgeblichen und begründeten Einspruchs“ i.V.m. Art.  4 Nr. 24 dieser Verordnung zu lesen ist. In diesem Zusammen‑ hang ist hervorzuheben, dass in Art. 65 Abs. 1 der Verordnung 2016/679 verschiedene Arten von verbindlichen Beschlüssen des EDSA vorgesehen sind, mit denen nicht zwangsläufig ein sich daran anschließender, unverzüglicher Erlass eines end‑ gültigen Beschlusses einer Aufsichtsbehörde verbunden ist. […]

Die vorstehend in den Rn. 35 bis 36 vorgenommene wörtliche Analyse der oben in den Rn. 31 bis 33 angeführten Bestimmungen lässt sich entgegen dem Vorbringen der Klägerin nicht durch den Wortlaut der ErwG 126 und 136 der Verordnung 2016/679 entkräften. Denn im erstgenannten dieser ErwG nimmt der Gesetzgeber mit dem Hinweis darauf, dass „[d]er Beschluss … von der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden gemeinsam vereinbart werden [sollte]“, die Frage des Bereichs, den ein solcher Beschluss in einem bestimmten Fall einer Analyse zu unterziehen hat, keineswegs von der Würdigung durch andere betroffene Aufsichtsbehörden als der federführen‑ den Aufsichtsbehörde aus, sondern das Gegenteil ist der Fall, da „der Beschluss“ nicht nur in den in ihm enthaltenen Beurteilungen, sondern auch im Bereich der von ihm abgedeckten Aspekte seinen Ausdruck findet. Folglich schließt es der Wortlaut dieses ErwGs nicht aus, dass der EDSA eine Weisung zur Ausweitung der Analyse und – falls erforderlich – der Untersuchung erteilen kann, wenn in dieser Frage kein Konsens zwischen den betroffenen Aufsichtsbehörden besteht und der EDSA deswegen angerufen wird. Des Weiteren heißt es im 136. ErwG der Verordnung 2016/679, der EDSA „sollte … in klar bestimmten Fällen, in denen die Aufsichtsbehörden ins‑ besondere im Rahmen des Verfahrens der Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden widersprüchliche Standpunkte zu dem Sachverhalt, vor allem in der Frage, ob ein Verstoß gegen diese Verordnung vorliegt, … rechtsverbindliche Beschlüsse erlassen“. Entgegen dem Vorbringen der Klägerin handelt es sich beim Bereich der Untersuchung um keinen verfahrensrechtlichen, sondern um einen inhaltlichen Aspekt des Falles, da sich danach der Umfang dessen richtet, was zu prüfen ist, um zu beurteilen, ob die in Rede stehenden Datenverarbeitungen im Einklang mit der Verordnung 2016/79 stehen. […]

Insoweit ist das in Art.  60 der Verordnung 2016/679 beschriebene Verfahren der Zusammenarbeit zwischen von einem Fall betroffenen Aufsichtsbehörden, das die Einleitung des in Abs. 4 vorgesehenen und vom EDSA gewährleisteten Kohärenzverfahrens beinhalten kann, entgegen dem Vor‑ bringen der Klägerin keine „Einbahnstraße“, in der die Schritte stets in der Reihenfolge der Bestimmungen, in denen sie vorgesehen sind, aufeinander folgen, ohne dass die Möglichkeit bestünde, zu einem früheren Schritt zurückzukehren oder vorübergehend im selben Stadium zu verweilen. So kann sich etwa das Verfahren, ausgehend von der durch die Klägerin hervorgehobenen Situation nach Abs. 5, in der die federführende Aufsichtsbehörde selbst beabsichtigt, sich den Einsprüchen anderer betroffener Aufsichtsbehörden gegen ihren nach Abs. 3 vorgelegten Beschlussentwurf anzuschließen, und diesen Behörden einen überarbeiteten Beschlussentwurf vorlegt, auf verschiedene Arten entwickeln. Legt keine dieser Behörden Einspruch gegen den überarbeiteten Beschlussentwurf ein, wird der endgültige Beschluss bzw. werden die endgültigen Beschlüsse anschließend unmittelbar gem. den Abs. 6 bis 9 erlassen. Im gegenteiligen Fall, d.h., wenn Einsprüche gegen den überarbeiteten Entwurf eingelegt werden und falls die federführende Aufsichtsbehörde mit diesen ganz oder teilweise einverstanden ist, wiederholt sich die in Abs. 5 vorgesehene Phase, und die federführende Aufsichtsbehörde hat unter Berücksichtigung der von ihr gebilligten Einsprüche einen neuen überarbeiteten Beschlussentwurf vorzulegen. Ist die federführende Aufsichtsbehörde mit den Einsprüchen gegen den überarbeiteten Entwurf zur Gänze oder mit Teilen von ihnen nicht einverstanden, hat sie gem. Abs.  4 das Kohärenzverfahren einzuleiten, indem sie den EDSA auf Grundlage des am weitesten fortgeschrittenen Beschlussentwurfs befasst.

Der EDSA führt in seiner Klagebeantwortung ein weiteres Beispiel an, um zu veranschaulichen, dass das in Art. 60 der Verordnung 2016/679 vorgesehene Verfahren der Zusammenarbeit zwischen von einem Fall betroffenen Aufsichtsbehörden nicht zwangsläufig eine „Einbahnstraße“ ist. Auf Einsprüche anderer Aufsichtsbehörden gegen ihren gem. Abs. 3 dieses Artikels vorgelegten Beschlussentwurf hin kann die federführende Aufsichtsbehörde von sich aus zu dem Schluss kommen, dass es angezeigt ist, anstatt ohne Weiteres einen überarbeiteten Beschlussentwurf vorzulegen oder das Kohärenzverfahren einzuleiten, einen Schritt zurückzugehen und die Prüfung zu vertiefen, bevor ein neuer Beschlussentwurf gem. diesem Abs.  3 vorgelegt wird. Der EDSA weist darauf hin, dass die französische Aufsichtsbehörde in einem Fall so vorgegangen sei.

Ebenso bestehen im Fall des Tätigwerdens des EDSA auf der Grundlage von Abs.  4 dieses Artikels und nach dem Er‑ lass eines verbindlichen Beschlusses mehrere Möglichkeiten. Wurden alle maßgeblichen Aspekte des Falles im Beschlussentwurf der federführenden Aufsichtsbehörde hinreichend behandelt, kann diese oder gegebenenfalls die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, gem. den Abs. 6 bis 9 dieses Artikels – u.a. unter Berücksichtigung des verbindlichen Beschlusses des EDSA – einen oder mehrere den Fall abschließende, endgültige Beschlüsse erlassen. Wird dagegen auf entsprechende Einsprüche hin im verbindlichen Beschluss des EDSA davon ausgegangen, dass im Beschlussentwurf der federführenden Aufsichtsbehörde nicht alle maßgeblichen Aspekte des Falles behandelt oder diese nicht hinreichend behandelt werden und daher gegebenen‑ falls eine Wiederaufnahme der Untersuchung erforderlich ist, kann die federführende Aufsichtsbehörde oder die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, zwar unter Umständen einen oder mehrere endgültige Teilbeschlüsse in Anwendung der vorstehend genannten Bestimmungen erlassen, jedoch hat die federführende Aufsichtsbehörde parallel dazu ihre Analyse zu vervollständigen, nachdem sie gegebenenfalls eine neue Untersuchung durch‑ geführt hat, um den anderen betroffenen Aufsichtsbehörden gem. Abs. 3 dieses Artikels einen ergänzenden Beschlussentwurf vorzulegen. […]

Art. 57 Abs. 1 lit. f) der Verordnung 2016/679 und die Erwägungen, auf die sich die Klägerin beruft, führen dennoch nicht dazu, dass die Frage der Angemessenheit des Umfangs der Untersuchung den Verfahren der Zusammenarbeit zwischen den betroffenen Aufsichtsbehörden und der Kohärenzkontrolle durch den EDSA entzogen würde. […]

Die vollständige Erfüllung der in Art.  57 Abs.  1 lit.  a) und f) der Verordnung 2016/679 vorgesehenen Aufgaben, die Einhaltung der Verordnung zu überwachen und sich mit Beschwerden in angemessenem Umfang zu befassen, impliziert aber vor allem, dass für die Analyse des Falles ein Bereich festgelegt wird, der im Hinblick auf die ihm zugrunde liegen‑ de Beschwerde, aber auch im Hinblick auf andere Elemente, die sie möglicherweise ergänzen, geeignet ist. Da es sich bei der in Rede stehenden Verarbeitung personenbezogener Daten um eine grenzüberschreitende Verarbeitung handelt, muss diese Analyse zum Erlass von Beschlüssen führen, die Gegenstand des in Art. 60 dieser Verordnung vorgesehenen Verfahrens der Zusammenarbeit sind. Im Rahmen dieses Verfahrens besteht das Kriterium, das erfüllt sein muss, damit eine Angelegenheit Gegenstand eines auf der Grundlage von Art. 65 Abs. 1 lit. a) der Verordnung erlassenen verbindlichen Beschlusses des EDSA sein kann, darin, dass die Angelegenheit Anlass zu einem maßgeblichen und begründeten Einspruch im Sinne ihres Art. 4 Nr. 24 gegeben hat. Indes bezieht sich ein maßgeblicher und begründeter Einspruch definitionsgemäß auf Aspekte, deren Analyse unter die vorstehend genannten Aufgaben fällt. Folglich beeinträchtigt der Um‑ stand, dass ein maßgeblicher und begründeter Einspruch den Analyse- und gegebenenfalls den Untersuchungsbereich betrifft und der EDSA dem entspricht, diese Aufgaben in keiner Weise. Überdies verhindert der Umstand, dass infolge einer Beschwerde ergangene Zwischenbeschlüsse vor den nationalen Gerichten angefochten werden können, nicht, dass der Beschlussentwurf der federführenden Aufsichtsbehörde seinerseits innerhalb der materiellen Grenzen des durch die Verordnung 2016/679 eingeführten Kohärenzverfahrens Gegenstand einer Kontrolle durch den EDSA sein kann. […]

Daraus ergibt sich, dass sich die Zusammenarbeit zwischen den betroffenen Aufsichtsbehörden u.a. auf die Analyse des gesamten Falles und die Ausarbeitung des Beschlusses bezieht und die federführende Aufsichtsbehörde insoweit das Einvernehmen mit den anderen Aufsichtsbehörden zu suchen hat. Nichts in den vorstehend genannten Bestimmungen erlaubt es, die Frage des Umfangs der vor‑ zunehmenden Analyse oder gegebenenfalls des Umfangs der vorab durchzuführenden Untersuchung von dieser Pflicht zur Zusammenarbeit auszunehmen. Im Urt. v. 15.06.2021, Facebook Ireland u.a. (C‑645/19, EU:C:2021:483, Rn. 63 und 64), hat der Gerichtshof auf die Unerlässlichkeit des Dialogs sowie der loyalen und wirksamen Zusammenarbeit zwischen den von einem Fall betroffenen Aufsichtsbehörden hingewiesen.

Aus den vorstehenden Rn.  41 bis 53 ergibt sich, dass die Prüfung der Systematik, die sich aus den Bestimmungen der Verordnung 2016/679 ergibt, die zuvor vorgenommene wörtliche Analyse bestätigt. […]

Ohne dass Ausführungen zu den Absichten des Gesetzgebers erforderlich wären, genügt jedoch die Feststellung, dass eine einzige Anlaufstelle („one-stop-shop mechanism“) dem Ziel einer verfahrensrechtlichen Erleichterung entspricht, die keinen Vorrang vor dem wesentlichen Ziel der Verordnung 2016/679 haben kann, die Wahrung des Grundrechts natürlicher Personen auf Schutz ihrer personenbezogenen Daten zu gewährleisten. Insoweit wird im ersten ErwG dieser Verordnung darauf hingewiesen, dass gem. Art.  8 Abs.  1 der Charta der Grundrechte sowie Art.  16 Abs.  1 AEUV jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Eine Ausweitung der Untersuchung, die im Rahmen des EDSA notwendigerweise von mindestens der Hälfte der Aufsichtsbehörden angeordnet wird, zielt entgegen dem Vorbringen der Klägerin nicht darauf ab, die Obliegenheiten einer Person, die eine Beschwerde eingereicht hat, oder diejenigen eines Verantwortlichen, gegen den sich die Beschwerde richtet, zu erschweren, sondern stellt eine Maßnahme zur Verteidigung ihrer jeweiligen Rechte dar. Im Übrigen lassen sich die von der Klägerin angeführten Unannehmlichkeiten durch eine Untersuchung und eine Analyse der federführenden Aufsichtsbehörde vermeiden, die von vornherein alle für die Ausarbeitung eines vollständigen end‑ gültigen Beschlusses in dem in Rede stehenden Fall erforderlichen Aspekte abdecken. […]

Aus den vorstehenden Rn. 55 bis 62 ergibt sich, dass die Prüfung der Ziele der Verordnung 2016/679 ebenfalls die zu‑ vor vorgenommene wörtliche Analyse bestätigt. […]

Zu den in Bezug auf die Voraussetzungen der Übertragung einer Zuständigkeit an eine Einrichtung der Union, die Merkmale der auf nationaler Ebene ausgeübten gerichtlichen Kontrolle und die Unabhängigkeit der mit dem Schutz personenbezogener Daten betrauten Aufsichtsbehörden vorgebrachten Argumenten.

Als Erstes ist die Klägerin im Wesentlichen der Ansicht, dass es die Grundsätze für die Übertragung einer Zuständigkeit an eine Einrichtung der Union nicht zuließen, die Verordnung 2016/679 in dem sich aus den vorstehenden Würdigungen er‑ gebenden Sinn auszulegen, nämlich dass die Verordnung dem EDSA die in Abrede gestellte Zuständigkeit übertrüge. […]

Insoweit kann, wie aus Art. 65 Abs. 1 lit. a) der Verordnung 2016/679 i.V.m. ihrem Art. 4 Nr. 24 hervorgeht, die Befugnis, einer federführenden Aufsichtsbehörde die Ausweitung ihrer Analyse sowie gegebenenfalls ihrer Untersuchung aufzutragen, nur ausgeübt werden, nachdem eine betroffene Aufsichtsbehörde gegen den Beschlussentwurf der federführenden Aufsichtsbehörde in dem in Rede stehenden Fall einen maßgeblichen und begründeten Einspruch im Hinblick auf das Fehlen der Analyse eines Aspekts der Frage, „ ob ein Verstoß gegen [die] Verordnung [2016/679] vorliegt[,] oder ob beabsichtigte Maßnahmen gegen den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit dieser Verordnung steh[en,]“ eingelegt hat, aus dem „die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen und gegebenenfalls den freien Verkehr personenbezogener Daten in der Union ausgehen“.

Außerdem setzt die Ausübung der vorstehend genannten Befugnis gem. Art. 65 Abs. 2 und 3 der Verordnung 2016/679 voraus, dass eine Mehrheit von zwei Dritteln oder, unter bestimmten Umständen, zumindest die Hälfte der Mitglieder des Ausschusses, darunter bei Stimmengleichheit der Vorsitzende, einen solchen maßgeblichen und begründeten Einspruch sowie die zu ergreifenden Folgemaßnahmen im Kern gebilligt haben. Es bedarf daher einer erheblichen Anzahl von Aufsichtsbehörden, die das Fehlen oder die Unzulänglichkeit der Analyse eines wichtigen Aspekts des in Rede stehenden Falles bestätigen und sich über die von der federführenden Aufsichtsbehörde zum Zweck der Abhilfe zu ergreifenden Folgemaßnahmen einigen. In dieser Hinsicht ist zu berück‑ sichtigen, dass der EDSA selbst aus einer bedeutenden Anzahl auf den Fachbereich spezialisierter, unabhängiger Behörden besteht und eine übereinstimmende Mehrheitsmeinung innerhalb desselben folglich Garantien im Hinblick auf die Ausübung dieser Befugnis mit sich bringt. Überdies lässt der vor stehend in Rn. 69 genannte Begriff des „maßgeblichen und begründeten Einspruchs“ zwar Raum für einen Wertungsspielraum, insbesondere hinsichtlich der Frage, ob ein Ver‑ stoß gegen die Verordnung 2016/679 durch den betreffenden Verantwortlichen oder Auftragsverarbeiter vorliegt oder ob ein bestimmter Aspekt zu untersuchen ist, um dies festzustellen; jedoch beziehen sich diese Fragen allesamt auf in dieser Verordnung enthaltene, präzise Rechtsvorschriften, wes‑ halb kein „weites Ermessen“ ausgeübt werden kann.

Zusammenfassend ist daher in Bezug auf den Rahmen für die von der Klägerin in Frage gestellte Befugnis des EDSA zum einen festzustellen, dass diese nur bei Vorliegen einer klar identifizierten Unzulänglichkeit der Analyse der federführenden Aufsichtsbehörde bei der Behandlung des Falles ausgeübt wird, die – wie sich aus der Definition des maß‑ geblichen und begründeten Einspruchs in Art.  4 Nr.  24 der Verordnung 2016/679 ergibt – erhebliche Folgen haben kann, und zum anderen, dass sich diese Befugnis aus der gemein‑ samen Beurteilung der Aufsichtsbehörden ergibt, aus denen sich der EDSA zusammensetzt, der unter den oben in Rn. 70 dargelegten Bedingungen tätig wird.

Im Hinblick auf die Frage, ob die in Rede stehende Befugnis „ausdrücklich“ vom Gesetzgeber vorgesehen ist, ist hervorzuheben, dass das Adverbial „ausdrücklich“ sowie die gleichbedeutenden Adverbiale „explizit“ und „klar“, die mit den entsprechenden Adjektiven korrespondieren, besagen, dass kein Zweifel an der Bedeutung dessen besteht, was zum Ausdruck gebracht wird. Indes ergibt sich aus der vorstehend vorgenommenen Auslegung auf wörtlicher, systematischer und teleologischer Ebene, dass kein Zweifel daran besteht, dass der EDSA über die in Frage gestellte Zuständigkeit verfügt und dass diese somit ausdrücklich vom Gesetzgeber vor‑ gesehen ist. Im Urt. v. 15.07.2021, FBF (C‑911/19, EU:C:2021:599), zur EBA betrafen die Leitlinien dieser Behörde, für deren Er‑ lass ihre Zuständigkeit in Frage gestellt wurde, die „Überwachung und Governance von Bankprodukten im Privatkundengeschäft“. In keiner der für diese Behörde geltenden Rechtsvorschriften wird buchstäblich darauf hingewiesen, dass sie hierzu Leitlinien erlassen kann. Der Gerichtshof hat anhand einer Gesamtanalyse dieser Vorschriften – d.h. der Verordnung zur Errichtung der EBA, die allgemein ihre Zuständigkeit zum Erlass von Leitlinien für bestimmte Zwecke vorsieht, und verschiedener Richtlinien über Finanzinstitute und ‑produkte – festgestellt, dass die streitigen Leitlinien in diese Zuständigkeit fallen.

Außerdem ist festzustellen, dass die Ausübung der Befugnis des EDSA, einer federführenden Aufsichtsbehörde die Ausweitung ihrer Analyse und, falls erforderlich, ihrer Untersuchung aufzutragen, in der Tat einer gerichtlichen Kontrolle unterliegt. Zwar hat sich die Klägerin im vorliegenden Fall dazu entschieden, die angefochtenen Weisungen allein wegen Unzuständigkeit des EDSA anzufechten, ohne seine konkrete Beurteilung der von bestimmten Aufsichtsbehörden gegen die Beschlussentwürfe der Klägerin eingelegten Einsprüche in Frage zu stellen, die zum Erlass dieser Weisungen geführt hat. Der Unionsrichter wäre jedoch in der Lage, die materielle Rechtmäßigkeit solcher Weisungen anhand der Umstände des Einzelfalls im Rahmen der vor ihm geltend gemachten Klagegründe zu überprüfen. Insbesondere könnte er in einem ersten Schritt überprüfen, ob der EDSA beim Erlass von Weisungen dieser Art tatsächlich einem maßgeblichen und begründeten Einspruch einer Aufsichtsbehörde i.S.v. Art. 4 Nr. 24 der Verordnung 2016/679 gefolgt ist. In einem zweiten Schritt könnte er die Rechtmäßigkeit des Inhalts solcher Weisungen an Aufsichtsbehörden überprüfen.

Eine solche Art der gerichtlichen Kontrolle ist „streng“ im Sinne des Urt. v. 15.07.2021, FBF (C‑911/19, EU:C:2021:599, Rn. 67). Der die Rechtmäßigkeit prüfende Richter ist nämlich generell an seine Amtspflichten sowie an die Verfahrensvorschriften gebunden, und seine Kontrolle ist zwangsläufig streng, wenn er seine Aufgabe im Rahmen dieser Vorschriften in vollem Umfang wahrnimmt. Im Hinblick auf materiell-rechtliche Fragen hängt es davon ab, ob der Urheber der angefochtenen Handlung über ein Ermessen verfügt, ob der die Rechtmäßigkeit prüfende Richter eine gewöhnliche Kontrolle (grundsätzlich hinsichtlich der rechtlichen Aspekte, der Sachverhaltsfeststellungen sowie der Ausübung gebundener Zuständigkeiten) ausübt oder eine eingeschränkte Kontrolle (grundsätzlich in Bezug auf komplexe technische Aspekte oder in Fällen, in denen die Behörde über einen Wertungsspielraum verfügt und der Richter nur offensichtliche Beurteilungsfehler ahndet) (vgl. in diesem Sinne und entsprechend in Bezug auf die Kontrolle der Entscheidungen der nationalen Behörden auf dem Gebiet des Schutzes personenbezogener Daten durch die nationalen Gerichte Urt. v. 07.12.2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 68 und 69).

Aus den vorstehenden Rn. 67 bis 74 ergibt sich, dass die Voraussetzungen für die Übertragung einer Zuständigkeit an eine Einrichtung der Union der zuvor in diesem Urteil vorgenommenen Analyse nicht entgegenstehen. […]