Urteil des Gerichts (Fünfte Kammer) vom 25. Februar 2026. – BW gegen Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung und Agentur der Europäischen Union für justizielle Zusammenarbeit in Strafsachen.

1

Mit seiner Klage beantragt der Kläger, BW, im Wesentlichen zum einen nach Art. 263 AEUV die Nichtigerklärung der Vereinbarung über die Bildung einer gemeinsamen Ermittlungsgruppe (im Folgenden: GEG) in Bezug auf den Kryptokommunikationsdienst Sky ECC (im Folgenden: GEG-Vereinbarung) sowie der Vorgänge der Verarbeitung, Analyse und gemeinsamen Nutzung durch die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol), die Agentur der Europäischen Union für justizielle Zusammenarbeit in Strafsachen (Eurojust) und die Mitgliedstaaten, die an den Ermittlungen gegen diesen Dienst beteiligt sind, der ihn betreffenden Daten dieses Dienstes und zum anderen nach Art. 268 AEUV Ersatz des materiellen und immateriellen Schadens, der ihm aufgrund der Handlungen und Verhaltensweisen von Europol, Eurojust und diesen Mitgliedstaaten entstanden sein soll.

2

Der Kläger ist ein serbischer Staatsangehöriger, der in den Niederlanden wegen der Einfuhr von 743 kg Kokain in diesen Mitgliedstaat, die am 4. August 2020 in Rotterdam (Niederlande) abgefangen wurden, verfolgt wurde und seit dem 8. Mai 2023 inhaftiert ist. Er wird auch in Serbien seit Herbst 2023 u. a. wegen Drogenhandels verfolgt.

3

Die Strafverfolgung durch die niederländischen und die serbischen Behörden geht auf Ermittlungsmaßnahmen zurück, die Ende der 2010er Jahre von den belgischen, niederländischen und französischen Behörden gegen die „Organisation Sky ECC“ – wobei „ECC“„Elliptic Curve Cryptography“ (Elliptische-Kurven-Kryptografie) bedeutet –, die im Verdacht steht, Kryptokommunikationsprodukte und ‑dienste zu vermarkten, die speziell die Begehung strafbarer Handlungen erleichtern sollen, eingeleitet wurden.

4

Im Anschluss an diese nationalen Ermittlungsmaßnahmen erließen das Königreich Belgien und das Königreich der Niederlande Ende 2018 gemeinsame Ermittlungsanordnungen, mit denen die Französische Republik ersucht wurde, ein Image der vom Dienst Sky ECC genutzten Server in Roubaix (Frankreich) zu erstellen. Der Mitgliedstaat kam diesem Ersuchen nach und nahm mittels der Technik des „Man-in-the-Middle-Angriffs“ die Überwachung, das Speichern und die Transkription der verschlüsselten, in diese Server eingehenden und aus diesen Servern ausgehenden Kommunikation, einschließlich der den Kläger betreffenden Daten, vor.

5

Am 13. Dezember 2019 gründeten die belgischen, die französischen und die niederländischen Behörden die GEG mit der zwischen ihnen auf der Grundlage von Art. 13 des vom Rat gemäß Art. 34 EUV erstellten Übereinkommens über die Rechtshilfe in Strafsachen zwischen den Mitgliedstaaten der Europäischen Union (ABl. 2000, C 197, S. 3) und des Rahmenbeschlusses des Rates vom 13. Juni 2002 über gemeinsame Ermittlungsgruppen (ABl. 2002, L 162, S. 1) geschlossenen GEG-Vereinbarung.

6

Die GEG-Vereinbarung sieht Folgendes vor:

„Die Bildung der GEG zielt darauf ab, laufende Ermittlungen in Belgien, Frankreich und den Niederlanden über den/die Anbieter und Nutzer des Dienstes Sky ECC zu erleichtern und technisches Know-how und Ressourcen zu teilen … Ziel der GEG ist die gemeinsame Ausarbeitung, Entwicklung und Umsetzung der Technik, die erforderlich ist, um frühere Kommunikationen zu entschlüsseln und den Server außer Betrieb zu nehmen; die Identifizierung und Lokalisierung der Nutzer, die sich in und zwischen den drei Ländern bewegen; die Einrichtung und Koordinierung eines oder mehrerer gemeinsamer Aktionstage mit dem Ziel, die Vermittler und Nutzer von Sky ECC zu verhaften und gerichtlich zu verfolgen.“

7

Die GEG führte zum Austausch der abgefangenen Rohdaten, die anschließend analysiert werden sollten, sowie der Ergebnisse dieser Analyse zwischen Europol und den drei betroffenen Mitgliedstaaten.

8

Im Rahmen dieser am Tag der mündlichen Verhandlung in der vorliegenden Rechtssache noch laufenden Zusammenarbeit hat Europol die Daten in ihrem IT‑System gespeichert, Abgleiche vorgenommen, Auskunftsberichte erstellt, Schaubilder zur Visualisierung der Daten erstellt und mehrsprachige Datensätze interpretiert.

9

Eurojust hat hinsichtlich der Möglichkeiten der justiziellen Zusammenarbeit unterstützt und beraten und mehrere Koordinierungssitzungen zwischen den belgischen, französischen und niederländischen Behörden sowie Europol organisiert und die justizielle Zusammenarbeit zwischen der Republik Serbien einerseits und dem Königreich der Niederlande und der Französischen Republik andererseits erleichtert.

10

Der Kläger beantragt im Wesentlichen,

11

Eurojust und Europol beantragen,

12

Das Königreich Spanien beantragt, die Klage als unzulässig, hilfsweise als unbegründet abzuweisen und dem Kläger die Kosten aufzuerlegen.

13

Das Königreich der Niederlande beantragt, die Klage abzuweisen und dem Kläger die Kosten aufzuerlegen.

14

Zur Stützung seiner Anträge, die unterschiedslos gegen Europol und Eurojust gerichtet sind, beruft sich der Kläger auf dieselben vier Klagegründe.

15

Mit dem ersten Klagegrund wird im Wesentlichen geltend gemacht, dass die Erhebung und die Verarbeitung personenbezogener Daten aus dem Dienst Sky ECC durch die betreffenden Mitgliedstaaten und durch „Europol und/oder Eurojust“ von ihrer ersten Überwachung im Jahr 2019 bis zum letzten Austausch der Ergebnisse mit anderen Ländern rechtswidrig und unverhältnismäßig seien.

16

In Beantwortung einer Frage des Gerichts in der mündlichen Verhandlung hat der Kläger erklärt, er berufe sich nicht auf eine Handlung oder Verhaltensweise nach dem 24. Juni 2022, dem Zeitpunkt, zu dem die französischen Behörden den serbischen Behörden über Eurojust einen Link zu einer gesicherten Download-Website übermittelt hätten, mit der diesem Drittland Informationen über bestimmte Gespräche aus dem Dienst Sky ECC im Zusammenhang mit speziell identifizierten Verbindungskennungen, darunter die Gespräche des Klägers, zur Verfügung gestellt worden seien.

17

Mit dem zweiten Klagegrund wird im Wesentlichen geltend gemacht, dass Europol und Eurojust wegen der Unvollständigkeit der erhobenen, analysierten und übermittelten Daten des Dienstes Sky ECC gegen Art. 28 der Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates vom 11. Mai 2016 über Europol und zur Ersetzung und Aufhebung der Beschlüsse 2009/371/JI, 2009/934/JI, 2009/935/JI, 2009/936/JI und 2009/968/JI des Rates (ABl. 2016, L 135, S. 53), Art. 71 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39), die Art. 47 und 48 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) sowie die Art. 14 und 15 des von der Generalversammlung der Vereinten Nationen am 16. Dezember 1966 angenommenen und am 23. März 1976 in Kraft getretenen Internationalen Pakts über bürgerliche und politische Rechte (im Folgenden: Pakt) verstoßen hätten, was die Möglichkeit des Klägers beeinträchtigt habe, sich vor den niederländischen und serbischen Gerichten zu verteidigen.

18

Mit dem dritten Klagegrund wird im Wesentlichen geltend gemacht, Europol und Eurojust hätten dadurch gegen die GEG-Vereinbarung verstoßen, dass sie ihrer Koordinierungspflicht nicht nachgekommen seien, um zu verhindern, dass der Kläger wegen desselben Sachverhalts in den Niederlanden und in Serbien doppelt verfolgt werde.

19

Mit dem vierten Klagegrund wird im Wesentlichen geltend gemacht, Europol und Eurojust hätten gegen Art. 32 der Verordnung 2016/794 bzw. gegen die Art. 89 und 92 der Verordnung 2018/1725 verstoßen, da sie die personenbezogenen Daten des Klägers nicht ordnungsgemäß geschützt hätten.

20

Mit seinen Anträgen wirft der Kläger Europol und Eurojust unterschiedslos mehrere rechtswidrige Verhaltensweisen oder Handlungen vor, die die Erhebung und Verarbeitung seiner personenbezogenen Daten im Rahmen der strafrechtlichen Ermittlungen des Königreichs Belgien, der Französischen Republik und des Königreichs der Niederlande in Bezug auf den Dienst Sky ECC zum Gegenstand haben und an denen Europol und Eurojust beteiligt waren.

21

Soweit der Kläger nicht nur Verhaltensweisen beanstandet, die Europol und Eurojust zuzurechnen sind, sondern auch Verhaltensweisen, die den an der GEG beteiligten Mitgliedstaaten und der Republik Serbien zuzurechnen sind, sind folgende Vorbemerkungen zu machen.

22

Was erstens den auf Art. 263 AEUV gestützten Antrag betrifft, geht aus dieser Bestimmung ausdrücklich hervor, dass die Nichtigkeitsklage nur gegen Handlungen eines Organs, einer Einrichtung oder einer sonstigen Stelle der Europäischen Union gerichtet werden kann.

23

Der Unionsrichter ist im Rahmen einer Klage nach Art. 263 AEUV nicht dafür zuständig, über die Rechtmäßigkeit eines von einer nationalen Behörde erlassenen Rechtsakts zu entscheiden (Urteil vom 3. Dezember 1992, Oleificio Borelli/Kommission, C‑97/91, EU:C:1992:491, Rn. 9), wobei das auch dann gilt, wenn dieser Rechtsakt Teil eines unionsrechtlichen Entscheidungsprozesses ist (Urteil vom 29. Januar 2020, GAEC Jeanningros, C‑785/18, EU:C:2020:46, Rn. 27).

24

Ebenso hat das Gericht entschieden, dass im Rahmen einer Nichtigkeitsklage die Frage, ob die Weitergabe von nach dem nationalen Strafrecht erlangten Erkenntnissen durch einen nationalen Staatsanwalt oder Behörden an ein Organ der Union rechtmäßig ist, grundsätzlich dem für die Ermittlungen der innerstaatlichen Behörden maßgebenden nationalen Recht und, im Fall eines gerichtlichen Verfahrens, der Zuständigkeit der nationalen Gerichte unterliegt (vgl. in diesem Sinne Urteil vom 8. Juli 2004, Dalmine/Kommission, T‑50/00, EU:T:2004:220, Rn. 86).

25

Daraus folgt, dass der Unionsrichter, soweit der Kläger die Nichtigerklärung der von den französischen Behörden – auf Genehmigung eines französischen Gerichts – durchgeführten Überwachungsvorgänge, die Nichtigerklärung des „Ablaufs dieser Vorgänge“, die Nichtigerklärung der Übermittlung der bei diesen Vorgängen erlangten Dokumente und Informationen an Europol durch die französischen Behörden, die Nichtigerklärung der Übermittlung an Eurojust und die serbischen Behörden durch die französischen Behörden der von den serbischen Behörden im Rahmen ihrer Rechtshilfeersuchen angeforderten Dokumente und Informationen sowie die Nichtigerklärung des vor den serbischen Gerichten geführten Strafverfahrens begehrt, nicht zuständig ist.

26

Der Unionsrichter ist auch nicht dafür zuständig, unmittelbar auf der Grundlage von Art. 263 AEUV über die Rechtmäßigkeit der GEG-Vereinbarung zu entscheiden, da diese keine Handlung der Union ist.

27

Die GEG-Vereinbarung wurde nämlich nur von drei Mitgliedstaaten, nämlich dem Königreich Belgien, der Französischen Republik und dem Königreich der Niederlande, unterzeichnet und somit geschlossen.

28

Dieses Ergebnis wird nicht dadurch in Frage gestellt, dass die GEG-Vereinbarung ihre Grundlage in einem von diesen Mitgliedstaaten nach Art. 34 EUV geschlossenen Übereinkommen sowie in einem Rahmenbeschluss des Rates der Europäischen Union hat (vgl. in diesem Sinne Urteil vom 17. September 2014, Liivimaa Lihaveis, C‑562/12, EU:C:2014:2229, Rn. 45 bis 51).

29

Diese Schlussfolgerung kann auch nicht dadurch in Frage gestellt werden, dass Europol oder Eurojust möglicherweise die Initiative für die Bildung der betreffenden GEG ergriffen hat oder dass das Königreich Belgien, die Französische Republik und das Königreich der Niederlande nach Nr. 7 der GEG-Vereinbarung übereingekommen sind, Europol und Eurojust als „Teilnehmer“ an der GEG zu beteiligen, wie es Art. 13 Abs. 12 des vom Rat gemäß Art. 34 EUV erstellten Übereinkommens über die Rechtshilfe in Strafsachen zwischen den Mitgliedstaaten der Europäischen Union in Verbindung mit dem neunten Erwägungsgrund des Rahmenbeschlusses des Rates vom 13. Juni 2002 über gemeinsame Ermittlungsgruppen sowie, in Bezug auf Europol, Art. 5 der Verordnung 2016/794 und, in Bezug auf Eurojust, Art. 8 Abs. 1 Buchst. d der Verordnung (EU) 2018/1727 des Europäischen Parlaments und des Rates vom 14. November 2018 betreffend Eurojust und zur Ersetzung und Aufhebung des Beschlusses 2002/187/JI des Rates (ABl. 2018, L 295, S. 138) erlaubt.

30

Die Europol oder Eurojust durch Art. 5 der Verordnung 2016/794 und Art. 8 Abs. 1 Buchst. d der Verordnung 2018/1727 eingeräumte Möglichkeit, die Einsetzung einer GEG vorzuschlagen oder zu unterstützen, ebenso wie die Möglichkeit ihrer Bediensteten, an einer GEG teilzunehmen, verleiht diesen Agenturen nämlich nicht den Status einer „Partei“ der Vereinbarung, mit der das Königreich Belgien, die Französische Republik und das Königreich der Niederlande die betreffende GEG gegründet haben.

31

Nach alledem ist das Gericht nicht dafür zuständig, auf der Grundlage von Art. 263 AEUV über die vom französischen Gericht erteilte Genehmigung der von den französischen Behörden durchgeführten Überwachungsvorgänge, den Ablauf dieser Vorgänge, die Übermittlung der bei diesen Vorgängen erlangten Dokumente und Informationen an Europol durch die französischen Behörden, die Übermittlung der von den serbischen Behörden im Rahmen ihrer Rechtshilfeersuchen angeforderten Dokumente und Informationen an Eurojust und die serbischen Behörden durch die französischen Behörden sowie die Ordnungsmäßigkeit des vor den serbischen Gerichten geführten Strafverfahrens und der GEG-Vereinbarung zu entscheiden.

32

Was zweitens den auf die Art. 268 und 340 AEUV gestützten Antrag betrifft, ist darauf hinzuweisen, dass die Unionsgerichte für eine auf diese Bestimmungen gestützte Schadensersatzklage nur dann zuständig sind, wenn der Rechtsverstoß, der zur Begründung des Schadensersatzantrags geltend gemacht wird, tatsächlich von einem Organ, einer Einrichtung oder einer sonstigen Stelle der Union ausgeht und nicht als einer nationalen Behörde zurechenbar angesehen werden kann (vgl. in diesem Sinne Urteil vom 16. Dezember 2020, Rat/K. Chrysostomides & Co. u. a., C‑597/18 P, C‑598/18 P, C‑603/18 P und C‑604/18 P, EU:C:2020:1028, Rn. 80, 106 und 107).

33

Außerdem wird die Union, wenn durch eine Handlung oder ein Verhalten eines ihrer Organe oder einer ihrer Einrichtungen oder sonstigen Stellen ihre Haftung ausgelöst wird, vor dem Gericht durch das oder die Organe, Einrichtungen oder sonstigen Stellen vertreten, denen das die Haftung auslösende Verhalten zur Last gelegt wird (Urteil vom 13. November 1973, Werhahn Hansamühle u. a./Rat und Kommission, 63/72 bis 69/72, EU:C:1973:121, Rn. 7).

34

Somit kann die Haftung der Union auf der Grundlage der Art. 268 und 340 AEUV nicht bei einem Organ, einer Einrichtung oder einer sonstigen Stelle der Union geltend gemacht werden, das sich von dem Organ oder der Einrichtung oder sonstigen Stelle der Union unterscheidet, dem bzw. der das die Haftung auslösende Verhalten zur Last gelegt wird, es sei denn, der Unionsgesetzgeber hat ausdrücklich eine abweichende Regelung der gesamtschuldnerischen Haftung eines dieser Organe oder einer dieser Einrichtungen oder sonstigen Stellen der Union und eines oder mehrerer Mitgliedstaaten oder gar eines oder mehrerer Drittländer oder mehrerer Organe, Einrichtungen oder sonstigen Stellen der Union vorgesehen (vgl. entsprechend Urteil vom 5. März 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, Rn. 62 und 63).

35

Im vorliegenden Fall ist festzustellen, dass weder die Verordnung 2018/1727 noch ein anderer Rechtsakt, auf den sich der Kläger berufen hat, eine abweichende Regelung der gesamtschuldnerischen Haftung von Eurojust und der Mitgliedstaaten oder von Eurojust und der Republik Serbien vorsieht.

36

Ebenso hat der Kläger in Beantwortung einer Frage des Gerichts in der mündlichen Verhandlung erklärt, dass sich der Schadensersatzantrag nicht auf eine etwaige gesamtschuldnerische Haftung von Europol für Eurojust oder auch von Eurojust für Europol stütze, sondern nur auf die gesamtschuldnerische Haftung von Europol für die Mitgliedstaaten.

37

Wie der Gerichtshof entschieden hat, ist eine abweichende Regelung der gesamtschuldnerischen Haftung von Europol für die Mitgliedstaaten aus dem 57. Erwägungsgrund in Verbindung mit Art. 49 Abs. 3 und 4 sowie Art. 50 der Verordnung 2016/794 abzuleiten (vgl. in diesem Sinne Urteil vom 5. März 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, Rn. 62 und 63).

38

Nach dieser Regelung kann eine natürliche Person vor dem Unionsrichter die Haftung von Europol für jede widerrechtliche Datenverarbeitung geltend machen, die im Rahmen einer Zusammenarbeit zwischen Europol und einem Mitgliedstaat nach der Verordnung 2016/794 erfolgt ist und durch die ihr ein Schaden entstanden ist (vgl. in diesem Sinne Urteil vom 5. März 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, Rn. 62 und 63).

39

Im vorliegenden Fall ist festzustellen, dass die Zusammenarbeit in Bezug auf den Dienst Sky ECC im Mai 2019 begonnen hat und, wie Europol in Beantwortung einer Frage des Gerichts in der mündlichen Verhandlung ausgeführt hat, zum Zeitpunkt der mündlichen Verhandlung noch im Gange war.

40

Außerdem beruft sich der Kläger auf den von Europol in Beantwortung einer Frage des Gerichts in der mündlichen Verhandlung bestätigten Umstand, dass personenbezogene Daten, die aus dem Dienst Sky ECC stammten und ihn beträfen, zum einen im Rahmen dieser Zusammenarbeit zwischen Europol und den belgischen, französischen und niederländischen Behörden ausgetauscht worden seien und zum anderen in den Händen von Europol blieben.

41

Nach alledem ist das Gericht für die Entscheidung über den zweiten Klageantrag nicht zuständig, soweit er auf die Feststellung der Haftung von Eurojust für das Königreich Belgien, die Französische Republik und das Königreich der Niederlande oder auch für die Republik Serbien oder sogar für Europol gerichtet ist.

42

Dagegen ist das Gericht für die Entscheidung über den zweiten Klageantrag zuständig, soweit er auf die Feststellung der Haftung von Eurojust für ihr eigenes Verhalten sowie der Haftung von Europol für Verhaltensweisen gerichtet ist, die sowohl ihr selbst als auch den an der Zusammenarbeit in Bezug auf den Dienst Sky ECC beteiligten Mitgliedstaaten zuzurechnen sind.

43

Zur gesamtschuldnerischen Haftung von Europol für Verhaltensweisen, die den belgischen, den französischen oder den niederländischen Behörden zuzurechnen sind, ist zum einen festzustellen, dass in Anbetracht des Zeitpunkts der letzten Tatsache, die der Kläger Europol und Eurojust vorwirft – nämlich einen Austausch seiner personenbezogenen Daten am 24. Juni 2022 –, nur die Regelung der gesamtschuldnerischen Haftung nach der Verordnung 2016/794 in ihrer ursprünglichen bis zum 27. Juni 2022 geltenden Fassung auf den vorliegenden Rechtsstreit anwendbar ist (vgl. in diesem Sinne Urteil vom 10. September 2019, HTTS/Rat, C‑123/18 P, EU:C:2019:694, Rn. 39).

44

Zum anderen ergibt sich aus Art. 276 AEUV, dass der Unionsrichter bei der Ausübung seiner Befugnisse im Rahmen der Bestimmungen des Dritten Teils Titel V Kapitel 4 und 5 des AEU-Vertrags über den Raum der Freiheit, der Sicherheit und des Rechts nicht zuständig für die Überprüfung der Gültigkeit oder Verhältnismäßigkeit von Maßnahmen der Polizei oder anderer Strafverfolgungsbehörden eines Mitgliedstaats ist.

45

Daher kann Europol trotz der in Art. 50 Abs. 1 der Verordnung 2016/794 vorgesehenen Regelung der gesamtschuldnerischen Haftung nicht gesamtschuldnerisch für einen etwaigen Schaden haftbar gemacht werden, der sich aus einer rechtswidrigen Verarbeitung personenbezogener Daten einer natürlichen Person anlässlich von Maßnahmen der Polizei oder anderer Strafverfolgungsbehörden eines Mitgliedstaats ergibt, selbst wenn diese Verarbeitungen im Rahmen einer auf diese Verordnung gestützten Zusammenarbeit erfolgt sind (vgl. entsprechend Urteil vom 10. September 2024, KS u. a./Rat u. a., C‑29/22 P und C‑44/22 P, EU:C:2024:725, Rn. 91).

46

Trotz seiner Zuständigkeit für die Entscheidung über den zweiten Klageantrag, soweit er die gesamtschuldnerische Haftung von Europol für u. a. den französischen Behörden zuzurechnende Verhaltensweisen betrifft, ist das Gericht daher nicht zuständig, über das Vorbringen des Klägers zu Schäden zu entscheiden, die ihm durch Vorgänge der Überwachung seiner personenbezogenen Daten im Rahmen der Polizeieinsätze der französischen Behörden entstanden sein sollen.

47

Unter diesen Umständen sind vor der Prüfung der von Europol und Eurojust erhobenen Einreden der Unzulässigkeit sowie der Begründetheit der Anträge des Klägers die vom Kläger beanstandeten Verhaltensweisen und Handlungen, über die der Unionsrichter zu entscheiden befugt ist, zu bestimmen und festzustellen, ob sie Europol oder Eurojust zuzurechnen sind, und gegebenenfalls die Verhaltensweisen oder Handlungen, die Europol nicht zuzurechnen sind, aber gleichwohl zu deren Haftung auf der Grundlage der in Art. 50 Abs. 1 der Verordnung 2016/794 vorgesehenen abweichenden Regelung der gesamtschuldnerischen Haftung führen könnten.

48

Der Kläger macht geltend, die Erhebung, Verarbeitung und Übermittlung seiner personenbezogenen Daten im Rahmen der strafrechtlichen Ermittlungen in Bezug auf den Dienst Sky ECC, an denen die belgischen, französischen und niederländischen Behörden sowie Europol und Eurojust beteiligt gewesen seien und die zu der oben in Rn. 2 genannten Strafverfolgung geführt hätten, verstießen gegen das Unionsrecht.

49

Insbesondere wirft der Kläger „Europol und/oder Eurojust“ allein im Licht der Informationen, von denen er anlässlich der Einsichtnahme in die Akten der gegen ihn eingeleiteten Strafverfahren Kenntnis erlangen konnte, vor, dass seine personenbezogenen Daten „seit ihrer ersten Überwachung im Jahr 2019“ bis zum 24. Juni 2022, dem Zeitpunkt der Übermittlung einer E‑Mail der französischen Behörden durch Eurojust an die serbischen Behörden mit einem Link zu einer gesicherten Download-Website, die u. a. einige seiner Gespräche aus dem Dienst Sky ECC enthalte, verarbeitet worden seien (oben, Rn. 16).

50

In diesem Sinne trägt der Kläger vor, Europol habe „die Ausübung von Ermittlungsbefugnissen im Hoheitsgebiet zahlreicher Länder innerhalb und außerhalb der Union unterstützt“. Außerdem habe Europol am 27. Mai 2019 ein Treffen mit den belgischen, französischen und niederländischen Behörden organisiert, bei dem Metadaten von mehr als 9000 Nachrichten von oder zu Nutzern des Dienstes Sky ECC ausgetauscht worden seien. Im Juni 2019 seien Daten, die die französischen Behörden anlässlich von Überwachungsvorgängen erhalten hätten, durch Europol über ihr sicheres Informationsaustauschsystem „Secure Information Exchange Network Application“ (SIENA) an die belgischen und die niederländischen Behörden weitergegeben worden.

51

Außerdem seien Europol und Eurojust ab Dezember 2020 an einer Sammlung der Entschlüsselungsschlüssel für die seit Mitte 2019 erhaltenen Nachrichten beteiligt gewesen, an der Speicherung, Entschlüsselung und Übermittlung dieser Nachrichten sowie im März 2021 an einer „Operation, bei der Sky ECC ‚zerschlagen‘ worden sei“. Europol und Eurojust hätten am 23. und 24. Juli 2020 an einer technischen Arbeitsgruppe der GEG teilgenommen, in deren Rahmen neue verschlüsselte Nachrichten entdeckt worden seien, sowie an Treffen vom 28. August 2019, 7. September 2020 und 11. Februar 2021.

52

Insbesondere im Zusammenhang mit seiner Strafverfolgung in Serbien macht der Kläger geltend, Eurojust sei am 6. Juni 2022 Adressat eines Ersuchens der serbischen Behörden um Zusammenarbeit gewesen, das am 24. Juni 2022 zur Übermittlung von ihn betreffenden Daten aus dem Dienst Sky ECC durch die französischen Behörden an die serbischen Behörden über Eurojust geführt habe (im Folgenden: Übermittlung vom 24. Juni 2022). Außerdem habe Europol den serbischen Behörden im Juni 2022 mitgeteilt, dass ihre Analysen den Kläger hinter einer speziellen „Sky-ECC‑Kennung“ identifiziert hätten. Schließlich hätten weitere Kontakte zwischen den serbischen Behörden und Europol in Bezug auf die kriminelle Gruppe stattgefunden, der der Kläger angehört haben soll.

53

Europol und Eurojust bestreiten, an einigen der vom Kläger angeführten Tatsachen beteiligt gewesen zu sein.

54

In ihren Schriftsätzen weist Europol darauf hin, dass die GEG dazu geführt habe, dass die von den französischen Behörden zum Zweck der Analyse abgefangenen Daten zwischen ihr und den drei betroffenen Mitgliedstaaten ausgetauscht worden seien und dass die Ergebnisse dieser Analysen ausgetauscht worden seien.

55

In diesem Sinne räumt Europol ein, Adressatin der Metadaten zu mehr als 9000 Nachrichten gewesen zu sein, die anlässlich des vom Kläger oben in Rn. 50 angeführten Treffens vom 27. Mai 2019 ausgetauscht wurden.

56

Europol weist ferner darauf hin, dass sie ab dem 18. März 2021 von den französischen Behörden übermittelte Daten aus dem Dienst Sky ECC tatsächlich erhalten und sie analysiert und anschließend das Ergebnis ihrer Analysen an die belgischen, französischen und niederländischen Behörden weitergeleitet habe, insbesondere in Form länderspezifischer Analysen.

57

Im Übrigen bestreitet Europol nicht, an einem Treffen am 28. August 2019, bei dem die Folgen einer etwaigen Stilllegung der Infrastruktur des Dienstes Sky ECC angesprochen wurden, sowie an einer technischen Arbeitsgruppe der GEG am 23. und 24. Juli 2020 teilgenommen zu haben, bei der neue verschlüsselte Nachrichten entdeckt wurden.

58

Da die oben in den Rn. 54 bis 57 angeführten Tatsachen von Europol nicht bestritten werden oder sogar bestätigt werden, sind sie daher als erwiesen und ihr zuzurechnen anzusehen.

59

Dagegen legt der Kläger erstens keinen Beweis oder zumindest keinen Anfangsbeweis dafür vor, dass Europol an den Vorgängen der Überwachung von Daten, die auf den Servern des Dienstes Sky ECC in Frankreich eingehen und ausgehen, beteiligt war oder dazu beigetragen hat.

60

Abgesehen davon, dass Europol diesen Sachverhalt bestreitet, wird die Behauptung des Klägers weder durch den Umstand bestätigt, dass Europol am Treffen vom 27. Mai 2019 teilnehmen oder dieses initiieren konnte, noch durch das Rechtshilfeersuchen der serbischen Behörden an ihre französischen Amtskollegen, das als Anlage A.17 vorgelegt wurde und „die Analyse der von Europol von der Anwendung Sky ECC erlangten Daten“ betrifft. Vielmehr deutet Anlage A.6 darauf hin, dass die Überwachungsvorgänge allein von den französischen Behörden durchgeführt wurden, was auch durch Anlage A.14 bestätigt wird.

61

Zweitens ist, auch wenn Europol nicht bestreitet, an den Treffen vom 7. September 2020 und vom 11. Februar 2021 teilgenommen zu haben, festzustellen, dass in dem Dokument der Rechtbank van eerste aanleg te Antwerpen (Gericht Erster Instanz Antwerpen, Belgien), das der Klageschrift zur Stützung des Vorbringens des Klägers beigefügt ist, zwar von einem künftigen Treffen am 7. September 2020 die Rede ist, aber nur darauf hingewiesen wird, dass die französischen und die niederländischen Behörden und nicht Europol daran teilnehmen sollten. Ebenso wenig erwähnt das Ersuchen um technische Hilfe der Cour d’appel de Paris (Berufungsgericht Paris, Frankreich), das der Klageschrift zur Stützung des Vorbringens des Klägers beigefügt ist, kein Treffen, das am 11. Februar 2021 stattgefunden haben soll, und auch nicht Europol.

62

Drittens legt der Kläger weder einen Beweis noch zumindest einen Anfangsbeweis dafür vor, dass Europol am „‚Aktionstag‘ im März 2021, an dem Sky ECC ‚zerschlagen‘ wurde“, teilgenommen habe. Das in der Klageschrift angeführte Transkript der Pressekonferenz der belgischen Staatsanwaltschaft bezieht sich zwar auf diesen „Aktionstag“, erwähnt aber Europol nicht. Ebenso beschränkt sich der der Klageschrift als Anlage beigefügte E‑Mail-Austausch darauf, Datenübermittlungen aus dem Dienst Sky ECC durch Europol anzuführen, ohne nachzuweisen, dass sie an diesem „Aktionstag“ beteiligt war.

63

Viertens legt der Kläger keinen Beweis oder zumindest keinen Anfangsbeweis dafür vor, dass Europol den serbischen Behörden die Information übermittelt habe, wonach er sich als Person hinter der Kennung „DFKNBQ“ des Dienstes Sky ECC erwiesen habe.

64

Die Anlage A.17, auf die sich der Kläger stützt und die seinen Namen tatsächlich mit der Kennung „DFKNBQ“ des Dienstes Sky ECC und dem Nutzernamen „CHE GUEVARA“ in Verbindung bringt, erweist sich nämlich als ein von der Staatsanwaltschaft für organisierte Kriminalität der Republik Serbien gestellter Antrag, von den französischen Behörden die Übermittlung von Sprachnachrichten, Textnachrichten, Videos und Fotos u. a. zum Kläger zu erhalten, die auf den von diesen Behörden beschlagnahmten Servern des Dienstes Sky ECC gespeichert sind, ohne Europol in irgendeiner Weise zu erwähnen.

65

Außerdem führt die serbische Staatsanwaltschaft aus, dass sie „durch [ihre] Handlungen und eine spätere Arbeit des Innenministeriums der Republik Serbien darüber informiert [wurden], dass bei der Analyse der von Europol von der Anwendung Sky ECC erlangten Daten [der Nutzer der] PIN DFKNBQ [und des] Nutzernamens CHE GUEVARA [BW war]“, was darauf hindeutet, dass diese Information nicht von Europol bereitgestellt wurde.

66

Fünftens legt der Kläger keinen Beweis oder zumindest keinen Anfangsbeweis dafür vor, dass Europol an der Zurverfügungstellung der ihn betreffenden Dokumente und Informationen aus dem Dienst Sky ECC durch die französischen Behörden am 24. Juni 2022 an die serbischen Behörden beteiligt gewesen wäre.

67

Wie sich aus Anlage A.15 ergibt, wurden diese Dokumente und Informationen, die Eurojust den serbischen Behörden auf deren Rechtshilfeersuchen hin übermittelt hat, mit einer E‑Mail der französischen Behörden an Eurojust übermittelt, die Links zu einer gesicherten Download-Website enthielt.

68

Daher kann sich der Kläger im Rahmen der vorliegenden Klage gegenüber Europol nicht auf die oben in den Rn. 59 bis 67 angeführten nicht erwiesenen Tatsachen berufen.

69

Nach alledem und unter Berücksichtigung des in das Protokoll der mündlichen Verhandlung aufgenommenen Vorbringens des Klägers, dass die letzte Europol und Eurojust vorgeworfene Handlung am 24. Juni 2022 erfolgt sei, ist festzustellen, dass nur die oben in den Rn. 55 bis 57 angeführten und vor diesem Zeitpunkt liegenden Tatsachen – nämlich der Empfang, die Verarbeitung und die Weitergabe der von den französischen Behörden abgefangenen Daten aus dem Dienst Sky ECC ab dem 27. Mai 2019 sowie die Teilnahme an dem Treffen vom 28. August 2019 und der Arbeitsgruppe vom 23. und 24. Juli 2020 – nachgewiesen sind und die gegen Europol gerichteten Anträge des Klägers stützen können.

70

In ihren Schriftsätzen gibt Eurojust an, in zweifacher Hinsicht an dem vom Kläger angesprochenen Sachverhalt beteiligt gewesen zu sein.

71

Zum einen habe Eurojust im Rahmen der GEG in Bezug auf den Dienst Sky ECC Unterstützung und Beratung zu den Möglichkeiten der justiziellen Zusammenarbeit geleistet und mehrere Koordinierungssitzungen zwischen den belgischen, französischen und niederländischen Behörden sowie Europol organisiert. Diese Sitzungen, die am 25. April 2019, 7. September 2020 und 11. Februar 2021 stattfanden, veranlassten die Behörden dieser Mitgliedstaaten, aktuelle Informationen über die Entwicklung ihrer Untersuchungen zum Dienst Sky ECC vorzulegen und zu erörtern, wie bei diesen Untersuchungen am besten Fortschritte erzielt werden können.

72

Zum anderen habe Eurojust im Rahmen der Unterstützungsersuchen der serbischen Behörden im Zusammenhang mit strafrechtlichen Ermittlungen in Serbien gegen eine kriminelle Vereinigung – zu der der Kläger gehöre –, die an einem u. a. durch Rotterdam geleiteten Drogenhandel beteiligt sei, einerseits die niederländischen und serbischen Ermittlungen koordiniert und andererseits die Übermittlung und Durchführung der Rechtshilfeersuchen der serbischen Behörden an die französischen Behörden erleichtert.

73

In Bezug auf die Zusammenarbeit zwischen den niederländischen und serbischen Behörden bestätigt Eurojust, dass drei Koordinierungssitzungen unter Beteiligung dieser Behörden am 23. Mai, 16. November und 8. Dezember 2022 stattgefunden haben, in denen diese Behörden Informationen über den Umfang und den Stand ihrer jeweiligen Ermittlungen sowie über ihren jeweiligen Bedarf an justizieller Zusammenarbeit ausgetauscht haben, nämlich eine Einigung darüber zu erzielen, wie ihre Zusammenarbeit beim Austausch von Informationen und Beweismitteln fortgesetzt und ihre Strafverfolgungsstrategien koordiniert werden können, um Zuständigkeitskonflikte und parallele Verfolgung derselben Verdächtigen wegen derselben Taten zu verhindern.

74

Eurojust weist auch darauf hin, dass sie die Übermittlung bestimmter Rechtshilfeersuchen zwischen der Republik Serbien und dem Königreich der Niederlande, insbesondere des Rechtshilfeersuchens vom 7. Oktober 2022, erleichtert habe oder zum einen darüber informiert worden sei, dass die niederländischen Behörden am 3. Mai 2023 ein Treffen mit den serbischen Behörden organisiert hätten, um diese über die beabsichtigte Festnahme des Klägers zu informieren, und zum anderen darüber, dass diese Behörden in diesem Treffen eine vorläufige Einigung über eine koordinierte Strategie zu seiner Verfolgung für die Beschlagnahme vom 4. August 2020 erzielt hätten, mit der verhindert werden solle, dass er in beiden Staaten wegen derselben Tat verfolgt werde.

75

Zur Zusammenarbeit zwischen den französischen und den serbischen Behörden führt Eurojust aus, dass sie auf vier Rechtshilfeersuchen hin dem serbischen Verbindungsrichter per E‑Mail einen befristeten Hyperlink zu einer von den französischen Behörden bereitgestellten, mit Passwort gesicherten Download-Website übermittelt habe, mit dem diese Behörden nur den serbischen Behörden Informationen über bestimmte Gespräche aus dem Dienst Sky ECC zur Verfügung gestellt hätten, die mit speziell bestimmten Verbindungskennungen, darunter denen des Klägers, zusammenhingen.

76

Außerdem geht aus den vom Kläger vorgelegten Beweisen hervor, dass die oben in Rn.75 angeführte Übermittlung vom 24. Juni 2022 von Eurojust anerkannt wird.

77

Dagegen legt der Kläger erstens keinen Beweis oder zumindest keinen Anfangsbeweis dafür vor, dass Eurojust zu dem oben in Rn. 55 genannten Treffen vom 27. Mai 2019 eingeladen wurde oder an ihm teilnahm und dass Eurojust in diesem Rahmen Adressatin der Metadaten zu den bei dieser Gelegenheit ausgetauschten 9000 Nachrichten war.

78

In keiner der fünf Anlagen, die der Kläger zur Stützung seiner Behauptung anführt, wird Eurojust erwähnt, außer ganz allgemein und ohne unmittelbaren Zusammenhang mit dem Treffen vom 27. Mai 2019.

79

Zweitens legt der Kläger keinen Beweis oder zumindest keinen Anfangsbeweis dafür vor, dass Eurojust an der oben in Rn. 51 genannten technischen Arbeitsgruppe vom 23. und 24. Juli 2020 teilgenommen hat.

80

Abgesehen davon, dass der Kläger selbst einräumt, dass er „nicht weiß, ob Mitarbeiter von … Eurojust in dieser Arbeitsgruppe anwesend waren“, macht Eurojust geltend, sie habe daran nicht teilgenommen, und das Dokument, auf das sich der Kläger stützt, lässt insoweit keinen Zweifel aufkommen.

81

Drittens legt der Kläger keinen Beweis oder zumindest keinen Anfangsbeweis dafür vor, dass Eurojust am Austausch sämtlicher Daten aus dem Dienst Sky ECC oder an nationalen Informationspaketen dieses Dienstes über SIENA beteiligt war, da Eurojust in dem Dokument, auf das sich der Kläger stützt, nicht erwähnt wird.

82

Was insbesondere die behauptete Beteiligung von Eurojust an einem Austausch von Metadaten im Februar 2022 betrifft, lässt der Umstand, dass ein abgeordneter nationaler Sachverständiger von Eurojust mit der E‑Mail, die der Kläger der Klageschrift beigefügt hat, einem Staatsanwalt des Landes Hessen (Deutschland) mitteilt, dass „die Geodaten des niederländischen Providers Ende Februar 2022 von den niederländischen Behörden mit einer allgemeinen Nutzungserlaubnis an Europol übermittelt werden“, nicht den Schluss zu, dass diese Metadaten auch Eurojust übermittelt wurden.

83

Viertens legt der Kläger aus denselben Gründen wie den oben in den Rn. 64 und 65 in Bezug auf Europol genannten keinen Beweis oder zumindest keinen Anfangsbeweis dafür vor, dass Eurojust den serbischen Behörden die Information übermittelt habe, wonach er sich als Person hinter der Kennung „DFKNBQ“ des Dienstes Sky ECC erwiesen habe.

84

Daher kann sich der Kläger im Rahmen der vorliegenden Klage gegenüber Eurojust nicht auf die oben in den Rn. 77 bis 83 angeführten nicht erwiesenen Tatsachen berufen.

85

Nach alledem und unter Berücksichtigung des in das Protokoll der mündlichen Verhandlung aufgenommenen Vorbringens des Klägers, dass die letzte Eurojust und Europol vorgeworfene Handlung am 24. Juni 2022 erfolgt sei, ist festzustellen, dass nur die oben in den Rn. 71 bis 76 genannten und vor diesem Zeitpunkt liegenden Tatsachen – nämlich die Teilnahme von Eurojust an den Koordinierungssitzungen der belgischen, der französischen und der niederländischen Behörden sowie von Europol am 25. April 2019, 7. September 2020 und 11. Februar 2021, die Teilnahme von Eurojust an der Sitzung zur Koordinierung der niederländischen und serbischen Ermittlungen am 23. Mai 2022, die Übermittlung der E‑Mail der französischen Behörden mit einem Link zu einer Website zum Herunterladen der personenbezogenen Daten des Klägers an die serbischen Behörden am 24. Juni 2022 – nachgewiesen sind und die gegen Eurojust gerichteten Anträge des Klägers stützen können.

86

In Anbetracht der vorstehenden Rn. 55 bis 57 und 71 bis 76 ist festzustellen, dass der Kläger folgende Tatsachen nachgewiesen hat.

87

Erstens nahmen die belgischen, die französischen und die niederländischen Behörden am 27. Mai 2019 an einem Treffen teil, bei dem Metadaten von mehr als 9000 Nachrichten aus dem Dienst Sky ECC zwischen diesen Mitgliedstaaten und Europol ausgetauscht wurden.

88

Zweitens übermittelte die Französische Republik ab Juni 2019 Europol die Daten aus dem Dienst Sky ECC, die sie anschließend verarbeitete und deren Ergebnisse sie später an die belgischen, die französischen und die niederländischen Behörden weiterleitete.

89

Drittens nahmen die belgischen, die französischen und die niederländischen Behörden am 28. August 2019 an einem Treffen teil, bei dem die Folgen einer etwaigen Stilllegung der Infrastruktur des Dienstes Sky ECC angesprochen wurden, sowie an einer technischen Arbeitsgruppe der GEG am 23. und 24. Juli 2020, bei der neue verschlüsselte Nachrichten entdeckt wurden.

90

Viertens nahmen die belgischen, die französischen und die niederländischen Behörden am 25. April 2019, 7. September 2020 und 11. Februar 2021 an Koordinierungssitzungen teil, bei denen sie aktuelle Informationen über die Entwicklung ihrer Untersuchungen in Bezug auf den Dienst Sky ECC vorlegten und erörterten, wie bei diesen Untersuchungen am besten Fortschritte erzielt werden können.

91

Fünftens übermittelten die niederländischen Behörden in der Sitzung vom 23. Mai 2022 über Eurojust den serbischen Behörden Informationen über den Umfang und den Stand ihrer jeweiligen Ermittlungen sowie über ihren Bedarf an justizieller Zusammenarbeit.

92

Sechstens übermittelten die französischen Behörden den serbischen Behörden am 24. Juni 2022 über Eurojust einen Link zu einer gesicherten Download-Website, mit der diesem Drittland Informationen über bestimmte Gespräche aus dem Dienst Sky ECC im Zusammenhang mit speziell bestimmten Verbindungskennungen, darunter denen des Klägers, zur Verfügung gestellt wurden.

93

Die Möglichkeit für den Kläger, sich im Rahmen eines auf der Grundlage von Art. 50 Abs. 1 der Verordnung 2016/794 gegen Europol gerichteten Schadensersatzantrags auf solche den Mitgliedstaaten zuzurechnenden Tatsachen zu berufen, setzt jedoch voraus, dass diese Tatsachen im Rahmen einer Zusammenarbeit nach der Verordnung 2016/794 eingetreten sind (vgl. in diesem Sinne Urteil vom 5. März 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, Rn. 62 und 63) und seine personenbezogenen Daten betreffen.

94

Wie oben in Rn. 39 ausgeführt, hat die Zusammenarbeit in Bezug auf den Dienst Sky ECC im Mai 2019 begonnen, und die von Eurojust und Europol vorgelegten Informationen lassen nicht den Schluss zu, dass die oben in den Rn. 87 bis 92 angeführten Tatsachen oder Verhaltensweisen, die den belgischen, den französischen oder den niederländischen Behörden zuzurechnen sind, nicht im Zusammenhang mit dieser Zusammenarbeit standen.

95

Dagegen legt der Kläger keinen Beweis oder keinen Anfangsbeweis dafür vor, dass der Austausch der Metadaten von mehr als 9000 Nachrichten am 27. Mai 2019, die Treffen vom 25. April und 28. August 2019, 7. September 2020, 11. Februar 2021 und 23. Mai 2022 oder die technische Arbeitsgruppe der GEG vom 23. und 24. Juli 2020 zum Austausch ihn betreffender personenbezogener Daten durch die belgischen, die französischen oder die niederländischen Behörden im Sinne von Art. 50 Abs. 1 der Verordnung 2016/794 geführt haben.

96

Daher ist das Gericht nicht dafür zuständig, im Rahmen des gegen Europol gerichteten und auf Art. 50 Abs. 1 der Verordnung 2016/794 gestützten Schadensersatzantrags über ein Vorbringen zu entscheiden, das sich auf die oben in Rn. 95 genannten Tatsachen oder Handlungen der belgischen, der französischen oder der niederländischen Behörden stützt.

97

Dagegen lassen die vom Kläger vorgelegten Beweise oder Anfangsbeweise die Feststellung zu, dass im Zeitraum vom 27. Mai 2019 bis zum 24. Juni 2022 ihn betreffende personenbezogene Daten aus dem Dienst Sky ECC erstens von den französischen Behörden im Rahmen der Übermittlung der auf den Servern des Dienstes Sky ECC abgefangenen Daten an Europol, zweitens von den belgischen, den französischen und den niederländischen Behörden im Rahmen des Erhalts dieser Daten von Europol vor oder nach der Verarbeitung und drittens bei ihrer Übermittlung durch die französischen Behörden an die serbischen Behörden über Eurojust am 24. Juni 2022 verarbeitet wurden.

98

Folglich werden im Rahmen des gegen Europol gerichteten und auf Art. 50 Abs. 1 der Verordnung 2016/794 gestützten Teils des Schadensersatzantrags nur die oben in Rn. 97 genannten Tatsachen und Verhaltensweisen geprüft.

99

In Anbetracht der oben in den Rn. 14 bis 19 wiedergegebenen Anträge des Klägers und ungeachtet dessen, dass er dieselben vier Klagegründe zur Stützung seiner beiden Anträge geltend gemacht und zu deren Stützung dieselben Tatsachen vorgebracht hat, ist zunächst der auf Art. 263 AEUV gestützte Antrag, mit dem die Rechtswidrigkeit bestimmter Handlungen oder Verhaltensweisen von Europol und Eurojust im Rahmen der „Operation Sky ECC“ geltend gemacht wird, und sodann der Schadensersatzantrag zu prüfen, mit dem er die Zuerkennung von Schadensersatz auf der Grundlage der Art. 268 und 340 AEUV, von Art. 50 der Verordnung 2016/794 und von Art. 46 der Verordnung 2018/1727 begehrt.

100

Zunächst ist darauf hinzuweisen, dass Europol und Eurojust zusammen oder getrennt mehrere Einreden der Unzulässigkeit erheben, mit denen erstens die Unzulässigkeit der Klage insgesamt wegen eines Verfahrensmissbrauchs, zweitens die Verspätung der Klage in Bezug auf den Antrag auf Nichtigerklärung, drittens die Tatsache, dass die Verarbeitung der Daten aus dem Dienst Sky ECC in Bezug auf den Kläger keine anfechtbare Handlung darstelle, und viertens die Unzulässigkeit des Schadensersatzantrags geltend gemacht wird, weil der Kläger die behaupteten Schäden nicht rechtlich hinreichend nachgewiesen und die Rechtsschutzmöglichkeiten umgangen habe.

101

Insoweit ist darauf hinzuweisen, dass der Unionsrichter prüfen kann, ob es nach den Grundsätzen einer geordneten Rechtspflege unter den Umständen des jeweiligen Falles gerechtfertigt ist, die Klage als unbegründet abzuweisen, ohne zuvor über ihre Zulässigkeit zu entscheiden (vgl. in diesem Sinne Urteil vom 26. Februar 2002, Rat/Boehringer, C‑23/00 P, EU:C:2002:118, Rn. 51 und 52).

102

Im vorliegenden Fall ist nach Auffassung des Gerichts aus Gründen der Verfahrensökonomie nur die Einrede der Unzulässigkeit zu prüfen, die darauf gestützt wird, dass die Verarbeitung der Daten aus dem Dienst Sky ECC in Bezug auf den Kläger keine anfechtbare Handlung darstelle, ohne zuvor über die anderen Unzulässigkeitseinreden zu entscheiden, da die Klage jedenfalls aus den nachstehend dargelegten Gründen unbegründet ist.

103

Zur Stützung des ersten Antrags nach Art. 263 AEUV macht der Kläger u. a. die Rechtswidrigkeit bestimmter Handlungen oder Verhaltensweisen von Europol und Eurojust im Rahmen der „Operation Sky ECC“ auf der Grundlage von Art. 277 AEUV geltend.

104

Art. 263 AEUV erlaubt es, die Rechtmäßigkeit der Handlungen u. a. der Agenturen der Union in Frage zu stellen, sofern bestimmte Zulässigkeitsvoraussetzungen erfüllt sind.

105

Europol und Eurojust machen geltend, dass die Verarbeitung der Daten aus dem Dienst Sky ECC in Bezug auf den Kläger keine anfechtbare Handlung darstelle, da seine Rechtsstellung nicht beeinträchtigt werde.

106

Wie oben aus Rn. 58 hervorgeht, wirft der Kläger Europol den Empfang, die Verarbeitung und die Weitergabe der von den französischen Behörden abgefangenen ihn betreffenden Daten aus dem Dienst Sky ECC ab dem 27. Mai 2019 sowie ihre Teilnahme an dem Treffen vom 28. August 2019 und der Arbeitsgruppe vom 23. und 24. Juli 2020 vor.

107

Wie oben aus Rn. 85 hervorgeht, beanstandet der Kläger die Teilnahme von Eurojust an den Koordinierungssitzungen zwischen den belgischen, den französischen und den niederländischen Behörden sowie Europol am 25. April 2019, 7. September 2020 und 11. Februar 2021, ihre Teilnahme an der Sitzung zur Koordinierung der niederländischen und serbischen Ermittlungen am 23. Mai 2022 sowie die Übermittlung vom 24. Juni 2022.

108

Mit Ausnahme der Übermittlung vom 24. Juni 2022 stellen alle oben in den Rn. 106 und 107 angeführten Handlungen oder Verhaltensweisen Handlungen oder Verhaltensweisen vorbereitender Art dar, die im Sinne der ständigen Rechtsprechung des Gerichtshofs keine verbindlichen Rechtswirkungen erzeugen können, welche die Interessen des Klägers durch einen Eingriff in seine Rechtsstellung beeinträchtigen (vgl. in diesem Sinne Urteile vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 9, und vom 30. November 2023, Sistem ecologica/Kommission, C‑787/22 P, nicht veröffentlicht, EU:C:2023:940, Rn. 51).

109

Zur Teilnahme von Europol und Eurojust an den betreffenden Sitzungen oder Arbeitsgruppen ist festzustellen, dass diese Sitzungen und Gruppen, selbst wenn sie zur Verarbeitung personenbezogener Daten des Klägers geführt haben, nur Schritte laufender strafrechtlicher Ermittlungen darstellen und sich darauf beschränken, die Voraussetzungen für deren weiteren Ablauf zu schaffen, ohne die Rechte des Klägers zu ändern oder irgendeines seiner Verfahrensrechte zu beeinträchtigen.

110

Somit schließt die Teilnahme an diesen Sitzungen oder Arbeitsgruppen nicht ein besonderes Verfahren endgültig ab, das sich von demjenigen unterscheidet, welches den Strafgerichten der betreffenden Mitgliedstaaten ermöglichen soll, gegebenenfalls über die strafrechtliche Verantwortlichkeit des Klägers zu entscheiden (vgl. in diesem Sinne Urteil vom 11. November 1981, IBM/Kommission, 60/81, EU:C:1981:264, Rn. 11, und Beschluss vom 9. September 2020, IMG/Kommission, T‑645/19, nicht veröffentlicht, EU:T:2020:388, Rn. 48 und die dort angeführte Rechtsprechung).

111

Was die Übermittlungen personenbezogener Daten des Klägers aus dem Dienst Sky ECC durch Europol an die Behörden der Mitgliedstaaten Königreich Belgien, Französische Republik und Königreich der Niederlande betrifft, so unterscheiden sie sich nicht von den Übermittlungen der Abschlussberichte und der Informationen an die Mitgliedstaaten durch das Europäische Amt für Betrugsbekämpfung (OLAF), die nach ständiger Rechtsprechung keine anfechtbaren Handlungen sind (vgl. in diesem Sinne Urteile vom 30. November 2023, Sistem ecologica/Kommission, C‑787/22 P, nicht veröffentlicht, EU:C:2023:940, Rn. 55, 56, 60, 66 und 67; vom 12. September 2007, Nikolaou/Kommission, T‑259/03, nicht veröffentlicht, EU:T:2007:254, Rn. 244 und 245 sowie die dort angeführte Rechtsprechung, und vom 20. Mai 2010, Kommission/Violetti u. a., T‑261/09 P, EU:T:2010:215, Rn. 47 und die dort angeführte Rechtsprechung).

112

Ohne dass geprüft zu werden braucht, ob mangels einer Formalisierung der verschiedenen Verhaltensweisen, die der Kläger Europol und Eurojust vorwirft, die Teilnahme von Europol und Eurojust an den Sitzungen oder der Arbeitsgruppe, die oben in den Rn. 106 und 107 angeführt werden, sowie die Übermittlung personenbezogener Daten des Klägers aus dem Dienst Sky ECC an die belgischen, die französischen und die niederländischen Behörden durch Europol als „Handlungen“ im Sinne von Art. 263 AEUV eingestuft werden können, sind sie daher jedenfalls nicht anfechtbar.

113

Dagegen ist der Übermittlung vom 24. Juni 2022 der Charakter einer anfechtbaren Handlung zuzuerkennen.

114

Zwar ergibt sich aus der oben in Rn. 111 angeführten Rechtsprechung, dass die Übermittlung von Abschlussberichten und Informationen durch das OLAF an die Mitgliedstaaten keine anfechtbare Handlung darstellt.

115

Der Gerichtshof und das Gericht haben jedoch, um die Anfechtbarkeit der Übermittlungen des OLAF auszuschließen, den Umstand berücksichtigt, dass der Kläger über andere Mittel verfügte, um die Kontrolle der Rechtmäßigkeit dieser Übermittlungsentscheidungen zu gewährleisten (vgl. Urteil vom 20. Mai 2010, Kommission/Violetti u. a., T‑261/09 P, EU:T:2010:215, Rn. 48 und die dort angeführte Rechtsprechung), einschließlich des Vorabentscheidungsverfahrens (vgl. in diesem Sinne Beschluss vom 19. April 2005, Tillack/Kommission, C‑521/04 P[R], EU:C:2005:240, Rn. 39).

116

Die Übermittlung vom 24. Juni 2022 erfolgte jedoch zwischen einer Agentur der Union und den Behörden nicht eines Mitgliedstaats, sondern eines Drittstaats, im vorliegenden Fall der Republik Serbien.

117

Wenn somit die Rechtmäßigkeit im Hinblick auf das Unionsrecht der Übermittlung vom 24. Juni 2022 im Rahmen der vorliegenden Klage nicht angefochten werden kann, dann kann sie überhaupt nicht mehr angefochten werden, und die darin enthaltenen personenbezogenen Daten gelten dann als rechtmäßig an die serbischen Behörden übermittelt, ohne dass der Kläger anschließend von den Gerichten dieses Drittstaats eine Beurteilung der Gültigkeit der Übermittlung im Hinblick auf das Unionsrecht oder eine Anrufung des Gerichtshofs mit einer Frage zur Vorabentscheidung zur Beurteilung ihrer Gültigkeit erwirken kann.

118

In diesem Sinne schließt die Übermittlung vom 24. Juni 2022 ein besonderes Verfahren endgültig ab, mit dem Eurojust personenbezogene Daten einer bestimmten Person an die Behörden eines Drittstaats auf deren Ersuchen weiterleitet.

119

Außerdem ist allein die Anerkennung der Anfechtbarkeit der Übermittlung vom 24. Juni 2022 geeignet, die wirksame Kontrolle der Übermittlung abgefangener personenbezogener Daten und ihrer Verwendung zu anderen Zwecken als denen des Strafverfahrens, für das sie ursprünglich erhoben wurden, durch eine Justizbehörde oder eine andere unabhängige Stelle zu gewährleisten (vgl. in diesem Sinne EGMR, 1. April 2025, Ships Waste Oil Collector B. V. u. a./Niederlande, CE:ECHR:2025:0401JUD000279916, §§ 160 und 183 sowie die dort angeführte Rechtsprechung).

120

Insoweit ist der von Eurojust angeführte Umstand, dass der Kläger nach einer etwaigen Verurteilung durch die serbischen Strafgerichte bei den französischen Gerichten Klage erheben könne oder dass er den Europäischen Gerichtshof für Menschenrechte (im Folgenden: EGMR) anrufen könne, unerheblich.

121

Zum einen können die französischen Gerichte nicht mit einer Nichtigkeitsklage gegen eine Handlung einer Agentur der Union befasst werden.

122

Zum anderen kann der EGMR in Ermangelung eines Beitritts der Union zu der am 4. November 1950 in Rom unterzeichneten Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) keine Verletzung dieser Konvention durch die Union feststellen, insbesondere nicht im Rahmen einer gegen ein Drittland erhobenen Klage.

123

Nach alledem ist der von Europol und Eurojust erhobenen Einrede der Unzulässigkeit stattzugeben und festzustellen, dass die vom Kläger beanstandeten Handlungen oder Verhaltensweisen nicht anfechtbar sind, mit Ausnahme der Übermittlung vom 24. Juni 2022.

124

Es ist festzustellen, dass der Kläger die Gründe nicht darlegt, aus denen die Übermittlung vom 24. Juni 2022 zu einer widerrechtlichen Verarbeitung seiner personenbezogenen Daten geführt haben soll.

125

Erstens bestimmt Art. 45 Abs. 2 Buchst. b der Verordnung 2018/1727, dass die Verantwortung für die Richtigkeit operativer personenbezogener Daten bei den Mitgliedstaaten liegt, die die Daten an Eurojust übermittelt haben, falls, wie im vorliegenden Fall, die übermittelten Daten im Verlauf der Datenverarbeitung durch Eurojust nicht verändert wurden, was der Kläger nicht bestreitet.

126

Zweitens ist festzustellen, dass in Bezug auf die Zurverfügungstellung der Gespräche des Klägers durch die französischen Behörden an die serbischen Behörden über Eurojust zum einen nichts die Annahme zulässt, dass diese Verarbeitung personenbezogener Daten nicht nach Treu und Glauben, auf rechtmäßige Weise und für genau festgelegte, eindeutige und rechtmäßige Zwecke im Sinne von Art. 71 Abs. 1 Buchst. a und b der Verordnung 2018/1725 erfolgt ist.

127

Als Erstes fiel diese Verarbeitung in den Rahmen der Erfüllung der Aufgaben von Eurojust und war für diese Erfüllung erforderlich. Als Zweites geht aus den Akten nicht hervor, dass die personenbezogenen Daten des Klägers zu anderen Zwecken als diesen Aufgaben verarbeitet worden wären. Als Drittes erfolgte diese Verarbeitung auf Ersuchen der französischen Behörden und in Erfüllung vorheriger Rechtshilfeersuchen. Als Viertes fand die Übermittlung der personenbezogenen Daten des Klägers an die serbischen Behörden eine Grundlage in Art. 56 Abs. 2 Buchst. b der Verordnung 2018/1727 und in dem Kooperationsabkommen zum Austausch operativer personenbezogener Daten, das am 12. November 2019 zwischen Eurojust und der Republik Serbien geschlossen wurde.

128

Außerdem war die Zurverfügungstellung der Gespräche des Klägers durch die französischen Behörden an die serbischen Behörden über Eurojust auch verhältnismäßig und hinreichend gesichert im Sinne von Art. 71 Abs. 1 Buchst. c, d und e der Verordnung 2018/1725. Sie erfolgte nämlich in Form der Bereitstellung eines Links zu einer von den französischen Behörden bereitgestellten mit einem Passwort gesicherten Download-Website, und nichts erlaubt es, das Vorbringen von Eurojust in Frage zu stellen, dass sie auf die fraglichen Daten nicht zugegriffen habe und sie nicht auf ihre eigenen IT‑Systeme heruntergeladen, gespeichert oder kopiert habe.

129

Was im Übrigen das Vorbringen des Klägers betrifft, mit dem er einen Verstoß gegen die Art. 47 und 48 der Charta sowie gegen Art. 6 EMRK und die Art. 14 und 15 des Pakts geltend macht, erläutert er nicht, inwiefern die Übermittlung vom 24. Juni 2022 am Tag dieser Übermittlung gegen diese Bestimmungen verstieß, insbesondere in Ermangelung eines Urteils der niederländischen Gerichte oder der serbischen Gerichte, mit dem zu diesem Zeitpunkt seine Schuld auf der Grundlage der übermittelten Daten festgestellt wurde.

130

Daher ist der Antrag auf Nichtigerklärung der Übermittlung vom 24. Juni 2022 als unbegründet zurückzuweisen.

131

Nach Art. 277 AEUV kann ungeachtet des Ablaufs der in Art. 263 Abs. 6 AEUV genannten Frist jede Partei in einem Rechtsstreit, bei dem die Rechtmäßigkeit eines von einem Organ, einer Einrichtung oder einer sonstigen Stelle der Union erlassenen Rechtsakts mit allgemeiner Geltung angefochten wird, vor dem Unionsrichter die Unanwendbarkeit dieses Rechtsakts aus den in Art. 263 Abs. 2 AEUV genannten Gründen geltend machen.

132

Keine der Handlungen oder Verhaltensweisen, die der Kläger Europol oder Eurojust vorwirft, weist die Merkmale eines Rechtsakts mit allgemeiner Geltung auf.

133

Folglich ist der auf Art. 277 AEUV gestützte Klagegrund zurückzuweisen.

134

Die außervertragliche Haftung der Union nach Art. 340 Abs. 2 AEUV setzt einen hinreichend qualifizierten Verstoß gegen eine Rechtsnorm, die bezweckt, dem Einzelnen Rechte zu verleihen, das tatsächliche Bestehen des Schadens sowie einen Kausalzusammenhang zwischen dem Verstoß gegen die dem betreffenden Organ obliegende Verpflichtung und dem den geschädigten Personen entstandenen Schaden voraus (vgl. Urteil vom 5. März 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, Rn. 117 und die dort angeführte Rechtsprechung).

135

Liegt eine dieser Voraussetzungen nicht vor, ist die Klage insgesamt abzuweisen, ohne dass die übrigen Voraussetzungen der außervertraglichen Haftung der Union geprüft zu werden bräuchten. Außerdem ist der Unionsrichter nicht gehalten, diese Voraussetzungen in einer bestimmten Reihenfolge zu prüfen (vgl. Urteil vom 13. Dezember 2018, Europäische Union/Kendrion, C‑150/17 P, EU:C:2018:1014, Rn. 118 und die dort angeführte Rechtsprechung).

136

Wenn der Unionsgesetzgeber jedoch eine abweichende Regelung der gesamtschuldnerischen Haftung einer Agentur der Union und eines oder mehrerer Mitgliedstaaten vorgesehen hat, hat der Gerichtshof entschieden, dass im Rahmen dieser Ausnahmeregelung für die Haftung dieser Agentur nicht der Nachweis erforderlich ist, dass der Schaden, dessen Ersatz begehrt wird, dieser Agentur zuzurechnen war, da er zumindest einem oder mehreren dieser Mitgliedstaaten zuzurechnen war (vgl. in diesem Sinne Urteil vom 5. März 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, Rn. 125 und 132).

137

Unter diesen Umständen sind die Handlungen oder Verhaltensweisen, für die Europol – die allein einer solchen abweichenden Regelung der gesamtschuldnerischen Haftung mit den Mitgliedstaaten unterliegt – bzw. Eurojust haftbar gemacht werden können, getrennt zu prüfen.

138

Mit seinem ersten Schadensposten, der im Rahmen seines ersten Klagegrundes geltend gemacht wird, wirft der Kläger Europol und den betreffenden Mitgliedstaaten vor, die Daten aus dem Dienst Sky ECC – einschließlich seiner eigenen – unrechtmäßig und nicht nach Treu und Glauben verarbeitet zu haben und dadurch u. a. gegen Art. 28 Abs. 1 Buchst. a der Verordnung 2016/794 verstoßen zu haben.

139

Aufgrund ihres undifferenzierten Charakters sei die ursprüngliche Verarbeitung der Daten aus dem Dienst Sky ECC weder im Sinne von Art. 18 Abs. 1 der Verordnung 2016/794 erforderlich noch verhältnismäßig im Sinne von Art. 28 Abs. 1 Buchst. c dieser Verordnung gewesen, da keine hinreichenden Vermutungen dafür bestünden, dass alle Nutzer des Dienstes Sky ECC an strafrechtlich relevanten Handlungen beteiligt gewesen seien.

140

Außerdem habe die Weiterverarbeitung der Daten aus dem Dienst Sky ECC gegen Art. 28 Abs. 1 Buchst. b der Verordnung 2016/794 verstoßen, da sie Daten betroffen habe, die nicht ausschließlich im Zusammenhang mit Straftaten gestanden hätten, und undifferenziert und ohne genau festgelegte, eindeutige und rechtmäßige Zwecke erhoben worden seien.

141

In Anbetracht dieses Vorbringens ist der erste Schadensposten dahin auszulegen, dass er Behauptungen einer fehlerhaften Datenverarbeitung sowohl durch Europol als auch durch das Königreich Belgien, die Französische Republik und das Königreich der Niederlande betrifft, die unter die abweichende Regelung der gesamtschuldnerischen Haftung nach Art. 50 Abs. 1 der Verordnung 2016/794 fallen.

142

Somit sind bei der Prüfung dieses ersten Schadenspostens nicht nur die Handlungen oder Verhaltensweisen von Europol im Rahmen der Haftungsregelung, die sich aus Art. 49 der Verordnung 2016/794 ergibt, zu berücksichtigen, sondern auch die Handlungen oder Verhaltensweisen der drei betroffenen Mitgliedstaaten im Rahmen der abweichenden Regelung der gesamtschuldnerischen Haftung nach Art. 50 Abs. 1 dieser Verordnung.

143

Mit seinem zweiten Schadensposten, der im Rahmen seines zweiten Klagegrundes geltend gemacht wird, macht der Kläger trotz der Erwähnung von Art. 28 der Verordnung 2016/794 in Rn. 68 der Klageschrift im Wesentlichen nur eine Verletzung des Rechts auf ein faires Verfahren geltend, weil es unmöglich sei, die „Verwendbarkeit“ der Daten aus dem Dienst Sky ECC in den nationalen Strafverfahren im Anschluss an die Ermittlungen, an denen Europol teilgenommen habe, zu überprüfen.

144

Somit bestreitet der Kläger im Rahmen seines zweiten Klagegrundes nicht die Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten im Sinne von Art. 28 der Verordnung 2016/794 – das einzige Argument, das geeignet ist, eine Anfechtung in den Anwendungsbereich der abweichenden Regelung der gesamtschuldnerischen Haftung nach Art. 50 Abs. 1 dieser Verordnung fallen zu lassen.

145

Unter diesen Umständen sind bei der Prüfung dieses zweiten Schadenspostens nur die Handlungen oder Verhaltensweisen von Europol im Rahmen der Haftungsregelung nach Art. 49 der Verordnung 2016/794 zu berücksichtigen.

146

Mit seinem dritten Schadensposten, der im Rahmen seines dritten Klagegrundes geltend gemacht wird, rügt der Kläger seine doppelte Verfolgung wegen desselben Sachverhalts durch die niederländischen und die serbischen Strafverfolgungsbehörden.

147

Der Kläger macht im Wesentlichen geltend, Europol habe u. a. das Erfordernis einer optimalen Koordinierung verkannt, das nach der GEG-Vereinbarung verlangt sei, und ihm damit unter Verstoß gegen die Art. 47 und 48 der Charta, Art. 6 EMRK und die Art. 14 und 15 des Pakts die Möglichkeit genommen, sich ordnungsgemäß zu verteidigen.

148

Zwar wurden im vorliegenden Fall Informationen, die sich im Besitz von Europol befinden und verarbeitet wurden, den niederländischen Behörden von Europol zur Verfügung gestellt und von den französischen Behörden an die serbischen Behörden übermittelt, doch wirft der Kläger Europol mit seinem dritten Schadensposten nicht eine etwaige „fehlerhafte Verarbeitung personenbezogener Daten“ im Sinne von Art. 50 Abs. 1 der Verordnung 2016/794, sondern nur einen Verstoß von Europol gegen ihre Verpflichtungen aus der GEG-Vereinbarung vor.

149

Folglich sind bei der Prüfung dieses dritten Schadenspostens nur die Handlungen oder Verhaltensweisen von Europol im Rahmen der Haftungsregelung nach Art. 49 der Verordnung 2016/794 zu berücksichtigen.

150

Mit seinem vierten Schadensposten, der im Rahmen seines vierten Klagegrundes geltend gemacht wird, rügt der Kläger eine unzureichend gesicherte und nicht konforme Verarbeitung seiner Daten aus dem Dienst Sky ECC durch Europol und Eurojust, wie er in Beantwortung einer Frage des Gerichts in der mündlichen Verhandlung bestätigt hat.

151

Sein Vorbringen beruht auf Art. 32 der Verordnung 2016/794 sowie auf den Art. 89, 91 und 92 der Verordnung 2018/1725.

152

Für die Tatsachen, auf die sich der Kläger beruft – d. h. vor dem 24. Juni 2022 liegende Tatsachen – war jedoch gemäß Art. 2 der Verordnung 2018/1725 in zeitlicher Hinsicht nur Art. 32 der Verordnung 2016/794 auf Europol anwendbar.

153

Unter diesen Umständen sind bei der Prüfung dieses vierten Schadenspostens nur die Handlungen oder Verhaltensweisen von Europol zu berücksichtigen, und zwar allein im Licht von Art. 32 der Verordnung 2016/794.

154

Wie oben in den Rn. 138 bis 142 ausgeführt, macht der Kläger im Rahmen seines ersten Schadenspostens Schäden geltend, die sich aus der fehlerhaften Verarbeitung seiner Daten aus dem Dienst Sky ECC sowohl durch Europol als auch durch das Königreich Belgien, die Französische Republik und das Königreich der Niederlande ergeben sollen.

155

Nach Ansicht des Klägers sind die Daten aus dem Dienst Sky ECC – einschließlich seiner Daten – unter Verstoß gegen die Art. 17, 18, 28 und 38 der Verordnung 2016/794, die Art. 7, 8, 10 bis 12, 51 und 52 der Charta, Art. 8 EMRK und Art. 17 des Pakts undifferenziert verarbeitet worden.

156

Diese Daten seien ursprünglich von den betreffenden Mitgliedstaaten unter Verstoß gegen die Grundsätze der Notwendigkeit und der Verhältnismäßigkeit verarbeitet worden, da es an einer begründeten Vermutung für die Beteiligung aller Nutzer des Dienstes Sky ECC an irgendeiner Straftat fehle. Damit verstoße diese Erhebung gegen die Rechtsprechung des EGMR, nach der die undifferenzierte Erhebung von Daten nur ausnahmsweise zulässig sei. Ebenso könnten Metadaten nur mit gerichtlicher Genehmigung und im Bereich der nationalen Sicherheit oder der Bekämpfung schwerer Kriminalität erhoben und verarbeitet werden, was hier nicht der Fall sei.

157

Nach Art. 17 Abs. 1 Buchst. a der Verordnung 2016/794 dürfe Europol jedoch ausschließlich Daten verarbeiten, die von Mitgliedstaaten nach Maßgabe ihres nationalen Rechts verarbeitet würden, was vorliegend nicht der Fall gewesen sei.

158

In der Folge seien diese Daten von Europol ohne rechtmäßigen Zweck verarbeitet worden, da bestimmte gespeicherte Gespräche in keinem Zusammenhang mit irgendeiner Straftat gestanden hätten. Sie seien auch auf unrechtmäßige Weise und nicht nach Treu und Glauben verarbeitet worden.

159

In diesem Sinne habe Europol gegen Nr. 32 Buchst. h, i, p und q der Empfehlung des Europäischen Parlaments vom 15. Juni 2023 an den Rat und die Kommission nach der Prüfung von behaupteten Verstößen gegen das Unionsrecht und Missständen bei der Anwendung desselben im Zusammenhang mit dem Einsatz von Pegasus und ähnlicher Überwachungs- und Spähsoftware (2023/2500[RSP]) verstoßen, indem sie die irrelevanten Daten nicht gelöscht, die fraglichen Daten über einen bestimmten Zeitraum hinaus gespeichert und die Ziel- und Nichtzielpersonen nicht benachrichtigt habe.

160

Diese Verstöße würden durch die kürzlich erfolgte Verurteilung von Europol durch den Europäischen Datenschutzbeauftragten (EDSB) im Zusammenhang mit der Speicherung und Löschung nicht kategorisierter Datensätze bestätigt (EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation, Cases 2019‑0370 & 2021‑0699, 21. Dezember 2021).

161

Europol macht geltend, dass dieser Schadensposten unbegründet sei.

162

Zunächst ist festzustellen, dass Europol zu Unrecht geltend macht, dass sie für die Handlungen oder Verhaltensweisen der Mitgliedstaaten nicht verantwortlich gemacht werden könne und dass das Gericht deren Rechtmäßigkeit nicht prüfen könne.

163

Zwar ist der Unionsrichter nach Art. 276 AEUV für die Überprüfung der Gültigkeit oder Verhältnismäßigkeit von Maßnahmen der Polizei oder anderer Strafverfolgungsbehörden eines Mitgliedstaats nicht zuständig, und zwar auch nicht im Rahmen von Klagen nach den Art. 268 und 340 AEUV (siehe oben, Rn. 44 bis 46), doch außerhalb dieser spezifischen Maßnahmen bedeutet die abweichende Regelung der gesamtschuldnerischen Haftung nach Art. 50 Abs. 1 der Verordnung 2016/794 implizit, aber zwangsläufig, dass Europol für Handlungen oder Verhaltensweisen der Mitgliedstaaten haftbar gemacht werden kann.

164

Daraus folgt ebenso zwangsläufig, dass das Gericht im Rahmen von Schadensersatzklagen nach Art. 50 Abs. 1 der Verordnung 2016/794 befugt ist, die Rechtmäßigkeit anderer Handlungen oder Verhaltensweisen der Mitgliedstaaten als derjenigen zu beurteilen, mit denen ihre Polizei oder andere Strafverfolgungsbehörden die betreffenden Daten erhoben haben, sei es auf der Grundlage des Unionsrechts und insbesondere der Verordnung 2016/794 (vgl. in diesem Sinne Urteil vom 5. März 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, Rn. 121) oder auf der Grundlage des nationalen Rechts des betreffenden Staates.

165

Was erstens die Verarbeitung der von den französischen Behörden erhobenen Daten betrifft, beschränkt sich der Kläger auf den Hinweis, dass bestimmte Daten verarbeitet worden seien, obwohl sie in keinem Zusammenhang mit irgendeiner Straftat stünden, und dass ihre Verarbeitung daher gegen Art. 30 Abs. 1 der Verordnung 2016/794 verstoße, der die Verarbeitung personenbezogener Daten in Bezug auf Opfer von Straftaten, Zeugen oder andere Personen, die Informationen über Straftaten liefern können, oder in Bezug auf Personen unter 18 Jahren betreffe.

166

Es ist jedoch festzustellen, dass der Kläger eine volljährige Person ist, die im Hinblick auf das nationale Recht des betreffenden Mitgliedstaats verdächtigt wurde, eine Straftat begangen zu haben oder an einer Straftat beteiligt gewesen zu sein, die in die Zuständigkeit von Europol fällt, nämlich Drogenhandel, nach Art. 3 Abs. 1 der Verordnung 2016/794.

167

Daher kann sich der Kläger nicht mit Erfolg auf Art. 30 Abs. 1 der Verordnung 2016/794 berufen.

168

Im Übrigen trägt der Kläger nichts vor, was Zweifel daran zuließe, dass die Verarbeitung der Daten aus dem Dienst Sky ECC u. a. durch die betreffenden nationalen Behörden vor ihrer Übermittlung an Europol für die rechtmäßigen Zwecke erfolgt wäre, für die sie erhoben worden waren, nämlich der Erstellung von strategischen oder themenbezogenen Analysen sowie von operativen Analysen im Sinne von Art. 18 Abs. 2 Buchst. b und c der Verordnung 2016/794 im Zusammenhang mit der Durchführung der oben in Rn. 4 genannten gemeinsamen Ermittlungsanordnungen und der GEG.

169

Zweitens trägt der Kläger nichts vor, was belegen könnte, dass die Übermittlung der von den französischen Behörden erhobenen Daten an Europol unter Verstoß gegen die in Art. 28 Abs. 1 der Verordnung 2016/794 angeführten Grundsätze erfolgt wäre.

170

Was drittens die Tätigkeit von Europol in Bezug auf die Daten des Klägers betrifft, deutet nichts darauf hin, dass der Empfang, die Verarbeitung und die anschließende Übermittlung des Ergebnisses der Analyse dieser Daten an die betreffenden Mitgliedstaaten unter Verstoß gegen die in Art. 28 Abs. 1 der Verordnung 2016/794 aufgestellten Grundsätze erfolgt wären.

171

Als Erstes wurden alle diese Operationen in einem festgelegten Rahmen durchgeführt, mit dem genau festgelegte, eindeutige und rechtmäßige Zwecke verfolgt werden, nämlich einer spezifischen Operation betreffend den Dienst Sky ECC, die u. a. darauf abzielt, seine Nutzer zum Zweck der Strafverfolgung zu identifizieren, und zwar durch eine GEG, die dasselbe Ziel verfolgt und durch eine spezielle Vereinbarung geschaffen wurde, in der ihre Ziele vom Königreich Belgien, von der Französischen Republik und dem Königreich der Niederlande ausdrücklich angegeben waren und an der Europol beteiligt war (siehe oben, Rn. 3 bis 6).

172

Als Zweites deutet nichts darauf hin, dass die Verarbeitung der Daten des Klägers durch Europol im Hinblick auf das Ziel, die Nutzer des Dienstes Sky ECC zu identifizieren, um sie insbesondere strafrechtlich zu verfolgen, unangemessen, sachlich irrelevant oder übermäßig gewesen wäre.

173

Insoweit ist es unerheblich, dass Europol möglicherweise Adressat der oben in Rn. 160 angeführten Entscheidung des EDSB war. Der Kläger trägt nämlich nicht vor und weist erst recht nicht nach, dass seine Daten in den Anwendungsbereich dieser Entscheidung fielen, d. h. die im Besitz von Europol befindlichen und nicht kategorisierten Daten.

174

Vielmehr geht aus den dem Gericht vorliegenden Informationen hervor, dass die Daten des Klägers mit einer spezifischen Untersuchung zum Dienst Sky ECC in Verbindung gebracht worden waren, die u. a. die Identifizierung seiner Nutzer zum Gegenstand hatte (siehe oben, Rn. 4 bis 6), dass Europol den Namen des Klägers mit seiner Kennung des Dienstes Sky ECC und seinem Nutzernamen in Verbindung gebracht und somit seine Gespräche identifizieren konnte (siehe oben, Rn. 64 und 65) und auch nationale Informationspakete zusammengestellt hatte (siehe oben, Rn. 81).

175

Als Drittes geht aus den Akten nicht hervor, dass die den Kläger betreffenden und von Europol verarbeiteten Daten unrichtig gewesen wären oder keine angemessene Sicherheit erhalten hätten, da diese Daten nur an die unmittelbar oder mittelbar an der GEG beteiligten Staaten oder Agenturen übermittelt und ausschließlich für die vom Königreich der Niederlande und der Republik Serbien gegen den Kläger eingeleiteten Strafverfahren verwendet wurden.

176

Als Viertes deutet nichts darauf hin, dass die Daten des Klägers, dessen Strafverfahren am Tag der Erhebung der vorliegenden Klage noch anhängig waren, länger gespeichert worden wären, als es u. a. für den ordnungsgemäßen Ablauf dieser Verfahren erforderlich war.

177

Als Fünftes kann sich der Kläger nicht mit Erfolg darauf berufen, dass er keinen Zugang zu seinen Daten gehabt habe, da nach dem 41. Erwägungsgrund der Verordnung 2016/794 – der einen hohen Auslegungswert hat (vgl. in diesem Sinne Urteil vom 5. März 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, Rn. 59) –, Europol den Zugang zu den personenbezogenen Daten einer Person verweigern kann, um ihre Aufgaben ordnungsgemäß wahrzunehmen, die Sicherheit und öffentliche Ordnung zu schützen, Straftaten zu verhindern oder sicherzustellen, dass nationale Ermittlungen nicht gefährdet werden.

178

Viertens geht aus den dem Gericht zur Verfügung gestellten Unterlagen keineswegs hervor, dass Europol in den Treffen vom 27. Mai und 28. August 2019 oder in der Arbeitsgruppe vom 23. und 24. Juli 2020, bei der neue Nachrichten entdeckt wurden, gegen die Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten verstoßen hätte (siehe oben, Rn. 55 und 57).

179

Diese Treffen gehörten offensichtlich zu den Aufgaben von Europol, die u. a. in Art. 4 Abs. 1 Buchst. c der Verordnung 2016/794 angeführt sind, insbesondere in der vorliegenden Situation, in der Europol in einer GEG mitgewirkt hat, wie es Art. 4 Abs. 1 Buchst. d dieser Verordnung vorsieht.

180

Fünftens gibt es keinen Anhaltspunkt dafür, dass das Königreich Belgien, die Französische Republik oder das Königreich der Niederlande Unregelmäßigkeiten beim Empfang der ihnen von Europol übermittelten Daten begangen hätten.

181

Sechstens deutet nichts darauf hin, dass die von den niederländischen Behörden an die serbischen Behörden übermittelten Informationen jemals im Besitz von Europol waren, was jede gesamtschuldnerische Haftung von Europol ausschließt.

182

Was siebtens die Übermittlung vom 24. Juni 2022 betrifft, deutet nichts darauf hin, dass sie gegen Art. 28 der Verordnung 2016/794 verstößt.

183

Im Übrigen kann Europol sowie dem Königreich Belgien, der Französischen Republik oder dem Königreich der Niederlande aus ähnlichen Gründen wie den oben in den Rn. 171 bis 182 dargelegten kein Verstoß gegen die Art. 7, 8, 10 bis 12, 51 und 52 der Charta, Art. 8 EMRK und Art. 17 des Pakts vorgeworfen werden.

184

Insoweit ist auch darauf hinzuweisen, dass Art. 52 Abs. 1 der Charta die Möglichkeit vorsieht, die durch die Charta garantierten Rechte – einschließlich des Rechts auf Achtung des Privat- und Familienlebens, des Schutzes personenbezogener Daten, der Gedanken‑, Gewissens- und Religionsfreiheit, der Freiheit der Meinungsäußerung und Informationsfreiheit, der Versammlungs- und Vereinigungsfreiheit – einzuschränken, sofern diese Einschränkungen gesetzlich vorgesehen sind, den Wesensgehalt der in Rede stehenden Rechte und Freiheiten achten und unter Wahrung des Grundsatzes der Verhältnismäßigkeit erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen (vgl. Urteil vom 4. Oktober 2024, Bezirkshauptmannschaft Landeck [Versuchter Zugang zu auf einem Mobiltelefon gespeicherten personenbezogenen Daten], C‑548/21, EU:C:2024:830, Rn. 119 und die dort angeführte Rechtsprechung).

185

Außerdem ist die Bekämpfung schwerer Kriminalität – zu der die Bekämpfung des Drogenhandels gehört – geeignet, die mit der Speicherung von Verkehrs- und Standortdaten verbundenen schweren Eingriffe in die Grundrechte, die in den Art. 7 und 8 der Charta verankert sind, zu rechtfertigen (vgl. in diesem Sinne Urteil vom 7. September 2023, Lietuvos Respublikos generalinė prokuratūra, C‑162/22, EU:C:2023:631, Rn. 37).

186

Soweit sich der Kläger schließlich auf die oben in Rn. 159 genannte Empfehlung des Europäischen Parlaments beruft, genügt die Feststellung, dass ein solches Dokument keine verbindliche Rechtswirkung hat.

187

Nach alledem hat der Kläger keinen hinreichend qualifizierten Verstoß gegen eine Rechtsnorm nachgewiesen, die bezweckt, ihm Rechte zu verleihen.

188

Da diese Voraussetzung für die Haftung von Europol auf der Grundlage von Art. 50 Abs. 1 der Verordnung 2016/794 fehlt, sind die übrigen Voraussetzungen für ihre Haftung aus diesem Grund nicht zu prüfen (vgl. in diesem Sinne Urteil vom 13. Dezember 2018, Europäische Union/Kendrion, C‑150/17 P, EU:C:2018:1014, Rn. 118).

189

Folglich ist der auf Art. 50 Abs. 1 der Verordnung 2016/794 gestützte Schadensposten, den der Kläger Europol gegenüber geltend macht, als unbegründet zurückzuweisen.

190

Der Kläger macht geltend, dass ihm durch den Verstoß gegen sein durch die Art. 47 und 48 der Charta sowie durch die Art. 14 und 15 des Pakts garantiertes Recht auf ein faires Strafverfahren ein Schaden entstanden sei, der sich aus der Unmöglichkeit ergebe, den Wahrheitsgehalt, die Echtheit, die Zuverlässigkeit und die Rechtmäßigkeit der Daten, die im Rahmen der Zusammenarbeit betreffend den Dienst Sky ECC verarbeitet und übermittelt worden seien, zu überprüfen, oder zumindest aus dem Fehlen formeller und materieller Garantien.

191

Der „(erwünschte), mehr oder weniger absolute, Grundsatz des zwischenstaatlichen Vertrauens“ und die „geheimen (staatlichen) (Ermittlungs‑)Methoden“ machten nämlich eine formelle und materielle Kontrolle der Daten aus dem Dienst Sky ECC als Beweismittel im Rahmen der nationalen Strafverfahren unmöglich, und zwar auch dann, wenn diese Daten unvollständig seien und daher in einer Weise erhoben und verarbeitet worden seien, die Treu und Glauben widerspreche, unrechtmäßig und unangemessen sei und dem Zweck der Verwendung von Beweismitteln in Strafsachen zuwiderlaufe.

192

Europol macht geltend, dass dieser Schadensposten unbegründet sei.

193

Zunächst ist, soweit der Kläger im Wesentlichen vorbringt, dass sowohl die niederländischen als auch die serbischen Strafverfahren es ihm nicht ermöglichten, die Zulässigkeit oder Beweiskraft der im Rahmen dieser Verfahren verwendeten Daten aus dem Dienst Sky ECC in Frage zu stellen, dieses Vorbringen mangels einer gesamtschuldnerischen Haftung von Europol für einen Mitgliedstaat bezüglich anderer Handlungen oder Verhaltensweisen als die fehlerhafte Datenverarbeitung und mangels einer gesamtschuldnerischen Haftung von Europol für ein Drittland zurückzuweisen.

194

Sodann beruft sich der Kläger mit dem vorliegenden Schadensposten zwar auf die Rechtswidrigkeit der Verarbeitung seiner Daten, doch ist dieses Vorbringen bereits oben in Rn. 187 zurückgewiesen worden.

195

Daher ist der vom Kläger vorgebrachte Schadensposten, mit dem ein Verstoß Europols gegen die Art. 47 und 48 der Charta und die Art. 14 und 15 des Pakts geltend gemacht wird, zurückzuweisen.

196

Mit seinem dritten Klagegrund macht der Kläger geltend, Europol habe ihm dadurch einen Schaden zugefügt, dass sie ihrer Pflicht zur Koordinierung der Strafverfolgung nach der GEG-Vereinbarung nicht nachgekommen sei, obwohl sie an dem Austausch seiner Daten zum Zweck der gegen ihn gerichteten Verfolgung beteiligt gewesen sei.

197

Dieser Verstoß habe dazu geführt, dass sich der Kläger in den Niederlanden und in Serbien verteidigen müsse, obwohl er in den Niederlanden inhaftiert sei, was seine Verteidigung in Serbien beeinträchtigt und gegen die Art. 47 und 48 der Charta, Art. 6 EMRK sowie die Art. 14 und 15 des Pakts verstoßen habe.

198

Europol macht geltend, dass dieser Schadensposten unbegründet sei.

199

Hierzu genügt der Hinweis, dass das Vorbringen des Klägers auf einem falschen Verständnis der Passage der GEG-Vereinbarung beruht, auf die er sich beruft.

200

Unter der Überschrift „9.1 Vereinbarungen über die Nutzung digitaler Daten aus der Überwachung von Servern – Informationsaustausch mit Ländern, die nicht an der GEG teilnehmen“, sieht die GEG-Vereinbarung vor, dass „wenn … Nutzer aus verschiedenen Ländern der GEG oder aus Ländern, die nicht an der GEG teilnehmen, möglicherweise an ähnlichen oder miteinander verbundenen Sachverhalten beteiligt sind, sich die betroffenen Parteien der GEG unverzüglich abstimmen werden, gegebenenfalls auch mit den Ländern, die nicht an der GEG teilnehmen, und Europol“.

201

Abgesehen davon, dass die Abstimmung mit Europol über die Nutzung digitaler Daten, die aus der Überwachung von Servern stammen, nur fakultativ ist, ist somit festzustellen, dass diese Abstimmung, in Anbetracht der Überschrift der vom Kläger angeführten Passage, die Nutzung dieser Daten betrifft und nicht die Strafverfolgung, die auf der Grundlage dieser Daten von den Mitgliedstaaten, die Parteien der GEG-Vereinbarung sind, oder gar von Ländern, die nicht Parteien der GEG-Vereinbarung sind, eingeleitet werden könnte.

202

Außerdem kann Europol keine Pflicht zur Koordinierung der Strafverfolgung auf nationaler Ebene entgegengehalten werden, da die Verordnung 2016/794 – und insbesondere ihr Art. 4 Abs. 1 – sie keineswegs ermächtigt, zu entscheiden, ob eine bestimmte Person in einem bestimmten Land strafrechtlich verfolgt wird, oder die in mehreren dieser Länder eingeleiteten Strafverfolgungsmaßnahmen zu koordinieren.

203

Daher kann Europol nicht für Verstöße gegen die Art. 47 und 48 der Charta, Art. 6 EMRK sowie die Art. 14 und 15 des Pakts verantwortlich gemacht werden, die sich zum Zeitpunkt der Erhebung der vorliegenden Klage als völlig hypothetisch erwiesen, da die gegen den Kläger eingeleiteten Strafverfahren noch anhängig waren.

204

Folglich ist der vom Kläger vorgebrachte Schadensposten, mit dem ein Verstoß Europols gegen die GEG-Vereinbarung sowie gegen die Art. 47 und 48 der Charta, Art. 6 EMRK und die Art. 14 und 15 des Pakts geltend gemacht wird, zurückzuweisen.

205

Mit seinem vierten Klagegrund macht der Kläger geltend, dass, selbst wenn sich die Erhebung und Verarbeitung seiner personenbezogenen Daten als rechtmäßig und nach Treu und Glauben erwiesen hätten, Europol ihm einen Schaden zugefügt habe, indem sie unter Verstoß gegen Art. 32 der Verordnung 2016/794 ihre Verpflichtung verletzt habe, eine angemessene Sicherheit seiner Daten zu gewährleisten.

206

Europol macht geltend, dass dieser Schadensposten unbegründet sei.

207

Es ist festzustellen, dass das Vorbringen des Klägers, Europol habe gegen ihre Verpflichtung verstoßen, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, durch keinen Beweis oder einen Anfangsbeweis untermauert wird.

208

Der Kläger weist nicht nach, dass aufgrund eines solchen Verstoßes seine personenbezogenen Daten Gegenstand u. a. einer unbefugten Weitergabe oder Veränderung der Daten oder eines unbefugten Zugangs zu ihnen oder jeder anderen Form ihrer unrechtmäßigen Verarbeitung gewesen seien.

209

Insoweit ist festzustellen, dass die Behauptung des Klägers, sein Name sei durch Europol in der Presse verbreitet worden, durch keinen Beweis untermauert wird.

210

Die bloße unsubstantiierte Befürchtung des Klägers, dass eine Verletzung seiner personenbezogenen Daten hätte eintreten können, reicht nicht aus, um nachzuweisen, dass Europol gegen ihre Verpflichtungen aus Art. 32 der Verordnung 2016/794 verstoßen hat.

211

Folglich ist der vom Kläger vorgebrachte Schadensposten, mit dem ein Verstoß Europols gegen Art. 32 der Verordnung 2016/794 geltend gemacht wird, und folglich der Schadensersatzantrag, soweit er gegen Europol gerichtet ist, zurückzuweisen.

212

Mit seinem ersten Klagegrund macht der Kläger geltend, er habe durch die Verarbeitung seiner personenbezogenen Daten unter Verstoß gegen die Art. 71 und 72 der Verordnung 2018/1725, die Art. „(9 und) 26 und 27 der Verordnung 2018/1727“, die Art. 7, 8 und 10 bis 12 der Charta in Verbindung mit deren Art. 51 und 52, Art. 8 EMRK sowie Art. 17 des Pakts einen Schaden erlitten.

213

Zur Stützung seines Vorbringens verweist der Kläger mutatis mutandis auf die oben in den Rn. 154 bis 160 angeführten Kritikpunkte gegenüber Europol. Er fügt hinzu, Eurojust habe auch das anwaltliche Berufsgeheimnis verletzt.

214

Eurojust macht geltend, dass dieser Schadensposten unbegründet sei.

215

Zunächst ist das Vorbringen des Klägers zurückzuweisen, das dahin verstanden werden kann, dass er wegen Verletzung seiner personenbezogenen Daten Handlungen oder Verhaltensweisen von Eurojust beanstandet, die sich auf andere Daten als seine personenbezogenen Daten bezogen haben.

216

Damit die Haftung der Union ausgelöst werden kann, muss der Kläger nämlich nachweisen, dass ihn der von ihm geltend gemachte Schaden persönlich trifft (Beschluss vom 3. September 2021, Löning/Kommission, C‑176/21 P, nicht veröffentlicht, EU:C:2021:697, Rn. 19).

217

Die Kritik des Klägers an der Unterstützung und Beratung im Bereich der justiziellen Zusammenarbeit für das Königreich Belgien, die Französische Republik, das Königreich der Niederlande und Europol anlässlich dreier Sitzungen am 25. April 2019, 7. September 2020 und 11. Februar 2021 (oben, Rn. 71) und die Kritik an der Koordinierung der niederländischen und der serbischen Ermittlungen anlässlich der Sitzung vom 23. Mai 2022 (oben, Rn. 73), von der der Kläger nicht behauptet und erst recht nicht nachweist, dass sie zur Verarbeitung seiner personenbezogenen Daten geführt haben, sind daher zurückzuweisen.

218

Gleiches gilt für das Vorbringen, Eurojust habe das anwaltliche Berufsgeheimnis verletzt.

219

Der Kläger verweist zwar auf eine Beschwerde eines Rechtsanwalts der Rechtsanwaltskammer Rotterdam über die Verarbeitung seiner Daten aus dem Dienst Sky ECC. Er weist jedoch in keiner Weise darauf hin, dass dieser Rechtsanwalt sein Vertreter gewesen sei oder sein Vertreter sei und dass die von Eurojust angeblich verarbeiteten Informationen sich auf seine Verteidigung bezogen hätten und sie dadurch sein in Art. 47 Abs. 2 der Charta verankertes Recht auf Beratung durch einen Rechtsanwalt im Rahmen eines Gerichtsverfahrens verletzt hätte (vgl. in diesem Sinne Urteil vom 8. Dezember 2022, Orde van Vlaamse Balies u. a., C‑694/20, EU:C:2022:963, Rn. 53).

220

Was die Übermittlung vom 24. Juni 2022 betrifft, weist der Kläger, wie oben in den Rn. 124 bis 130 ausgeführt, nicht nach, aus welchen Gründen sie zu einer widerrechtlichen Verarbeitung seiner personenbezogenen Daten geführt haben soll.

221

Darüber hinaus erläutert der Kläger in Bezug auf den Vorwurf eines Verstoßes gegen die Art. 47 und 48 der Charta sowie gegen Art. 6 EMRK und die Art. 14 und 15 des Pakts nicht, inwiefern eine etwaige widerrechtliche Verarbeitung seiner personenbezogenen Daten gegen diese Bestimmungen verstoßen würde.

222

Nach alledem ist der vom Kläger geltend gemachte Schadensposten, der auf die widerrechtliche Verarbeitung seiner personenbezogenen Daten sowie auf Verstöße gegen die Art. 47 und 48 der Charta, Art. 6 EMRK und die Art. 14 und 15 des Pakts gestützt wird, zurückzuweisen.

223

Mit seinem zweiten Klagegrund macht der Kläger geltend, dass Eurojust ihm durch den Verstoß gegen sein durch die Art. 47 und 48 der Charta sowie durch die Art. 14 und 15 des Pakts garantiertes Recht auf ein faires Strafverfahren einen Schaden verursacht habe, der sich aus der Unmöglichkeit ergebe, den Wahrheitsgehalt, die Echtheit, die Zuverlässigkeit und die Rechtmäßigkeit der Daten, die im Rahmen der Zusammenarbeit betreffend den Dienst Sky ECC verarbeitet und übermittelt worden seien, zu überprüfen, oder zumindest aus dem Fehlen formeller und materieller Garantien.

224

Zur Stützung seines Vorbringens beruft sich der Kläger auf dieselben Argumente wie die oben in Rn. 191 angeführten.

225

Eurojust macht geltend, dass dieser Schadensposten unbegründet sei.

226

Im Zusammenhang mit dem zweiten Klagegrund, der sich ausschließlich auf die Regelung der Beweise bezieht, die im Rahmen der gegen den Kläger eingeleiteten nationalen Strafverfahren verwendet wurden, ist festzustellen, dass Eurojust lediglich die Übermittlung vom 24. Juni 2022 vorgenommen hat.

227

Der auf dieselben Argumente gestützte Antrag auf Nichtigerklärung der Übermittlung vom 24. Juni 2022 ist jedoch bereits oben in den Rn. 128 bis 130 zurückgewiesen worden.

228

Im Übrigen trägt der Kläger nichts vor, was belegen könnte, dass nach dieser Übermittlung sein Recht auf einen wirksamen gerichtlichen Rechtsbehelf in irgendeiner Weise beeinträchtigt worden wäre.

229

Jedenfalls ist darauf hinzuweisen, dass Art. 52 Abs. 1 der Charta die Möglichkeit vorsieht, die durch die Charta garantierten Rechte – einschließlich des Rechts auf einen wirksamen gerichtlichen Rechtsbehelf – einzuschränken, sofern die oben in Rn. 184 angeführten Voraussetzungen vorliegen.

230

Nach alledem ist der vom Kläger vorgebrachte Schadensposten, mit dem ein Verstoß von Eurojust gegen die Art. 47 und 48 der Charta oder gegen die Art. 14 und 15 des Pakts geltend gemacht wird, zurückzuweisen.

231

Mit seinem dritten Klagegrund macht der Kläger geltend, Eurojust habe ihm dadurch einen Schaden zugefügt, dass sie ihrer Pflicht zur Koordinierung der Strafverfolgung nach Art. 4 Abs. 1 Buchst. b der Verordnung 2018/1727 und der GEG-Vereinbarung nicht nachgekommen sei, obwohl sie an dem Austausch seiner Daten zum Zweck der gegen ihn gerichteten Verfolgung beteiligt gewesen sei.

232

Dieser Verstoß habe dazu geführt, dass sich der Kläger in den Niederlanden und in Serbien verteidigen müsse, obwohl er in den Niederlanden inhaftiert sei, was seine Verteidigung in Serbien beeinträchtigt und gegen die Art. 47 und 48 der Charta, Art. 6 EMRK sowie die Art. 14 und 15 des Pakts verstoßen habe.

233

Eurojust macht geltend, dass dieser Schadensposten unbegründet sei.

234

Insoweit ist daran zu erinnern, dass, wie bereits oben in den Rn. 199 bis 201 ausgeführt, die in der GEG-Vereinbarung vorgesehene Abstimmung die Nutzung der von den betreffenden Staaten erhobenen Daten betrifft und nicht die Strafverfolgung, die auf der Grundlage dieser Daten von den Mitgliedstaaten, die Parteien der GEG-Vereinbarung sind, oder gar von Ländern, die nicht Parteien der GEG-Vereinbarung sind, eingeleitet werden könnte.

235

Außerdem bestimmt Art. 4 Abs. 1 Buchst. b der Verordnung 2018/1727, dass Eurojust „die zuständigen Behörden der Mitgliedstaaten bei der Gewährleistung einer optimalen Koordinierung der Ermittlungen und Strafverfolgungsmaßnahmen [unterstützt]“.

236

Daraus folgt, wie Eurojust zu Recht geltend macht, dass sie im Rahmen dieser operativen Aufgabe der Koordinierung der Ermittlungen und Strafverfolgungsmaßnahmen nur einer Handlungspflicht unterliegt und dass die Entscheidung über die Einleitung von strafrechtlichen Verfolgungsmaßnahmen gegen eine Person allein Sache der betreffenden nationalen Behörden ist, was durch Art. 85 AEUV, der die Rechtsgrundlage der Verordnung 2018/1727 bildet, bestätigt wird.

237

Daher kann Eurojust nicht für Verfahrensentscheidungen verantwortlich gemacht werden, die in die alleinige Zuständigkeit und in die alleinige Verantwortung der betreffenden Staaten fallen.

238

Nach alledem ist der vom Kläger vorgebrachte Schadensposten, mit dem ein Verstoß von Eurojust gegen die GEG-Vereinbarung, Art. 4 Abs. 1 Buchst. b der Verordnung 2018/1727 sowie gegen die Art. 47 und 48 der Charta, Art. 6 EMRK und die Art. 14 und 15 des Pakts geltend gemacht wird, zurückzuweisen.

239

Mit seinem vierten Klagegrund macht der Kläger geltend, dass, selbst wenn sich die Erhebung und Verarbeitung seiner personenbezogenen Daten als rechtmäßig und nach Treu und Glauben erfolgt erwiesen hätten, zunächst Eurojust ihm einen Schaden zugefügt habe, indem sie unter Verstoß gegen Art. 91 der Verordnung 2018/1725 ihre Verpflichtung verletzt habe, eine angemessene Sicherheit seiner Daten zu gewährleisten.

240

Außerdem habe Eurojust angesichts der Neuartigkeit der Modalitäten des Erhalts der Daten aus dem Dienst Sky ECC – nämlich des Einsatzes der Technik des „Man-in-the-Middle-Angriffs“ – gegen ihre in Art. 89 der Verordnung 2018/1725 vorgesehene Verpflichtung verstoßen, vorab eine Abschätzung der Folgen für den Schutz der Daten des Klägers durchzuführen.

241

Schließlich sei Eurojust ihrer Verpflichtung nicht nachgekommen, dem EDSB die Verletzung des Schutzes personenbezogener Daten des Klägers zu melden, was gegen Art. 92 der Verordnung 2018/1725 verstoße.

242

Eurojust macht geltend, dass dieser Schadensposten unbegründet sei.

243

Zunächst ist das Vorbringen des Klägers, Eurojust habe gegen ihre Verpflichtung verstoßen, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, aus ähnlichen Gründen wie den oben in den Rn. 207 bis 210 angeführten zurückzuweisen.

244

Sodann erläutert der Kläger nicht, warum Eurojust gegen ihre Verpflichtung verstoßen haben soll, vor der Übermittlung des von den französischen Behörden bereitgestellten Links zu einer mit Passwort gesicherten Website mit seinen Gesprächen aus dem Dienst Sky ECC an die serbischen Behörden eine Folgenabschätzung durchzuführen (oben, Rn. 75).

245

Eine solche Übermittlung, bei der nichts darauf hindeutet, dass sie ein besonderes Risiko für die Rechte und Freiheiten des Klägers oder zumindest ein höheres Risiko als andere Übermittlungsarten darstellte, rechtfertigte nicht die Durchführung der in Art. 89 der Verordnung 2018/1725 vorgesehenen vorherigen Folgenabschätzung.

246

Schließlich kann der Kläger, da er nicht in der einen oder anderen Weise nachgewiesen hat, dass Eurojust seine personenbezogenen Daten verletzt hat, ihr nicht vorwerfen, ihrer Verpflichtung aus Art. 92 der Verordnung 2018/1725 nicht nachgekommen zu sein, dem EDSB diese Verletzung zu melden.

247

Nach alledem ist der vom Kläger vorgebrachte Schadensposten, mit dem ein Verstoß gegen die Art. 89, 91 und 92 der Verordnung 2018/1725 geltend gemacht wird, und folglich der Schadensersatzantrag, soweit er gegen Eurojust gerichtet ist, zurückzuweisen.

248

Infolgedessen ist die Klage insgesamt abzuweisen, ohne dass über die anderen von Europol und Eurojust erhobenen Einreden der Unzulässigkeit entschieden zu werden braucht.

249

Nach Art. 134 Abs. 1 der Verfahrensordnung des Gerichts ist die unterliegende Partei auf Antrag zur Tragung der Kosten zu verurteilen. Da der Kläger unterlegen ist, sind ihm gemäß dem Antrag von Europol und Eurojust die Kosten aufzuerlegen. Im Übrigen tragen nach Art. 138 Abs. 1 der Verfahrensordnung das Königreich Belgien, das Königreich Spanien und das Königreich der Niederlande ihre eigenen Kosten.

Aus diesen Gründen hat

DAS GERICHT (Fünfte Kammer)

für Recht erkannt und entschieden: