# Zur Zuständigkeit für gerichtliche Verfahren wegen Verstößen gegen die Datenschutz-Grundverordnung (Facebook)

- Link: https://www.maier-steuerberater.de/zur-zustaendigkeit-fuer-gerichtliche-verfahren-wegen-verstoessen-gegen-die-datenschutz-grundverordnung-facebook/
- Published: 2021-01-13T10:41:30+01:00
- Author: Thomas Stuppy

EuGH, Pressemitteilung vom 13.01.2021 zum Schlussantrag C-645/19 vom 13.01.2021

**Generalanwalt Bobek: Die Datenschutzbehörde des Staates, in dem sich die Hauptniederlassung
eines Verantwortlichen oder Auftragsverarbeiters in der EU befindet, hat eine allgemeine
Zuständigkeit, um gerichtliche Verfahren wegen Verstößen gegen die Datenschutz-Grundverordnung
in Bezug auf grenzüberschreitende Datenverarbeitung einzuleiten.**

_Die anderen betroffenen nationalen Datenschutzbehörden seien gleichwohl befugt,
in Situationen, in denen es ihnen die Datenschutz-Grundverordnung spezifisch gestatte,
derartige Verfahren in ihren jeweiligen Mitgliedstaaten einzuleiten._

Im September 2015 leitete die belgische Datenschutzbehörde vor den belgischen Gerichten
ein Verfahren gegen mehrere Unternehmen der Facebook-Gruppe (im Folgenden: Facebook)
ein, nämlich gegen Facebook Inc., Facebook Ireland Ltd, das die Hauptniederlassung
der Gruppe in der EU ist, und Facebook Belgium BVBA (im Folgenden: Facebook Belgium).
In diesem Verfahren beantragte die Datenschutzbehörde, Facebook zu verpflichten,
bei in Belgien ansässigen Internetnutzern, wenn sie hierein nicht eingewilligt haben,
das Platzieren von bestimmten Cookies auf dem Gerät, das diese Personen verwenden,
wenn sie auf eine Website der Domain Facebook.com oder auf eine Website eines Dritten
gelangen, zu unterlassen sowie die übermäßige Erhebung von Daten durch Social Plugins
und Pixels auf Websites Dritter zu unterlassen. Ferner beantragte die genannte Behörde,
alle personenbezogenen Daten, die mittels Cookies und Social Plugins über jeden 
in Belgien ansässigen Internetnutzer erlangt worden sind, zu vernichten.

Das fragliche Verfahren ist derzeit beim Hof van beroep te Brussel (Berufungsgericht
Brüssel, Belgien) anhängig, betrifft aber nur noch Facebook Belgium, nachdem das
genannte Gericht zuvor befunden hat, für Klagen gegen Facebook Inc. und Facebook
Ireland Ltd nicht zuständig zu sein. In diesem Zusammenhang trägt Facebook Belgium
vor, dass die belgische Datenschutzbehörde ab dem Zeitpunkt, zu dem die Datenschutz-
Grundverordnung (DSGVO)^(1) anwendbar geworden sei, die Zuständigkeit dafür verloren
habe, das fragliche Gerichtsverfahren gegen Facebook weiter zu betreiben. Nach der
DSGVO sei lediglich die Datenschutzbehörde desjenigen Staates, in dem sich die Hauptniederlassung
von Facebook in der EU befinde (die sog. federführende Datenschutzbehörde in der
EU für Facebook), nämlich die Irish Data Protection Commission, befugt, wegen Verstößen
gegen die DSGVO im Zusammenhang mit grenzüberschreitender Datenverarbeitung ein 
gerichtliches Verfahren gegen Facebook zu betreiben.

Unter diesen Umständen möchte der Hof van beroep te Brussel vom Gerichtshof wissen,
ob die DSGVO tatsächlich andere Datenschutzbehörden als die federführende daran 
hindert, in ihrem jeweiligen Mitgliedstaat gerichtliche Verfahren wegen Verstößen
gegen die Vorschriften der DSGVO in Bezug auf grenzüberschreitende Datenverarbeitung
zu betreiben.

In seinen Schlussanträgen vom 13.01.2021 vertritt Generalanwalt Michal Bobek erstens
die Auffassung, dass sich aus dem Wortlaut^(2) der DSGVO ergebe, dass die federführende
Datenschutzbehörde für grenzüberschreitende Datenverarbeitung eine allgemeine Zuständigkeit
habe, wozu auch die Einleitung gerichtlicher Verfahren wegen Verstößen gegen die
DSGVO gehöre; folglich seien die diesbezüglichen Handlungsbefugnisse der übrigen
betroffenen Datenschutzbehörden weniger umfassend.

In Bezug darauf, dass die DSGVO jeder Datenschutzbehörde die Befugnis verleiht, 
gerichtliche Verfahren gegen mögliche Verstöße einzuleiten, die ihr Hoheitsgebiet
betreffen, führt der Generalanwalt aus, dass diese Befugnis ausdrücklich beschränkt
sei, soweit es um grenzüberschreitende Datenverarbeitung gehe, gerade um der federführenden
Datenschutzbehörde zu ermöglichen, insoweit ihre Aufgaben wahrzunehmen.

Zweitens erinnert der Generalanwalt daran, dass der Grund, weswegen mit der DSGVO
der sog. One-Stop-Shop-Mechanismus eingeführt worden sei, wodurch der federführenden
Datenschutzbehörde eine bedeutende Rolle zugewiesen worden sei und zur Beteiligung
anderer Datenschutzbehörden Kooperationsmechanismen geschaffen worden seien, gerade
darin bestanden habe, bestimmten Unzulänglichkeiten abzuhelfen, die sich aus den
früheren Rechtsvorschriften ergeben hätten.^(3) Wirtschaftsteilnehmer hätten nämlich
die verschiedenen nationalen Regelwerke einhalten müssen, mit denen diese Rechtsvorschriften
umgesetzt worden seien, und zugleich mit allen nationalen Datenschutzbehörden in
Verbindung treten müssen. Dies habe sich für die Wirtschaftsteilnehmer als kostspielig,
belastend und zeitaufwändig erwiesen, und für sie und ihre Kunden hätten sich daraus
unvermeidlicherweise Unsicherheiten und Konflikte ergeben.

Drittens betont der Generalanwalt, dass die federführende Datenschutzbehörde bei
grenzüberschreitenden Sachverhalten nicht als alleinige Stelle zur Durchsetzung 
der DSGVO angesehen werden könne und im Einklang mit den einschlägigen Vorschriften
und Fristen, die sich aus der DSGVO ergäben, eng mit den anderen betroffenen Datenschutzbehörden
zusammenarbeiten müsse, deren Beiträge auf diesem Gebiet äußerst wichtig seien.

Viertens hebt der Generalanwalt hervor, dass nationale Datenschutzbehörden, selbst
wenn sie nicht als federführende Behörde fungierten, gleichwohl unter bestimmten
Umständen vor den Gerichten ihres jeweiligen Mitgliedstaats Verfahren wegen grenzüberschreitender
Verarbeitung einleiten könnten. Dies sei insbesondere möglich, wenn die nationalen
Datenschutzbehörden i) außerhalb des sachlichen Anwendungsbereichs der DSGVO tätig
würden, ii) sie Untersuchungen zu grenzüberschreitender Datenverarbeitung anstellten,
die durch Behörden, im öffentlichen Interesse, in Ausübung öffentlicher Gewalt oder
durch Verantwortliche erfolge, die keine Niederlassung in der Union hätten, iii)
bei Dringlichkeit Maßnahmen ergriffen oder iv) tätig würden, nachdem die federführende
Datenschutzbehörde beschlossen habe, sich nicht selbst mit dem Fall zu befassen.

Demnach ist der Generalanwalt der Auffassung, dass die Datenschutzbehörde eines 
Mitgliedstaats nach den Bestimmungen der DSGVO befugt ist, vor einem Gericht ihres
Staates ein Verfahren wegen eines angeblichen Verstoßes gegen die DSGVO im Zusammenhang
mit einer grenzüberschreitenden Datenverarbeitung einzuleiten, auch wenn sie nicht
die federführende Datenschutzbehörde ist, der für die Einleitung solcher Verfahren
eine allgemeine Befugnis verliehen worden ist, sofern die erstgenannte Datenschutzbehörde
in Situationen tätig wird, in denen ihr die DSGVO spezifisch hierzu Befugnisse verleiht,
und die in der DSGVO vorgesehenen entsprechenden Verfahren beachtet.

^(1) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. 
April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener
Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (ABl. 2006,
L 119, S. 1). Die DSGVO trat am 24. Mai 2016 in Kraft. Sie gilt ab dem 25. Mai 2018.

^(2) 124. Erwägungsgrund, Art. 56 Abs. 1 und Abs. 6. ^(3) Richtlinie 95/46/EG.

_Quelle: EuGH_

[Quelle](https://www.datev-magazin.de/nachrichten-steuern-recht/recht/zur-zustaendigkeit-fuer-gerichtliche-verfahren-wegen-verstoessen-gegen-die-datenschutz-grundverordnung-facebook-43295?pk_campaign=feed&pk_kwd=zur-zustaendigkeit-fuer-gerichtliche-verfahren-wegen-verstoessen-gegen-die-datenschutz-grundverordnung-facebook)