URTEIL DES GERICHTSHOFS (Sechste Kammer)
7. März 2024(*)
„Rechtsmittel – Schadensersatzklage – Außervertragliche Haftung der Europäischen Union – Angeblich rechtswidriges Verhalten des Europäischen Amtes für Betrugsbekämpfung (OLAF) – Pressemitteilung des OLAF – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union – Verordnung (EU) 2018/1725 – Art. 3 Nr. 1 – Begriffe ‚personenbezogene Daten‘ und ‚identifizierbare natürliche Person‘ – Untersuchungen des OLAF – Verordnung (EU, Euratom) Nr. 883/2013 – Unschuldsvermutung – Recht auf eine gute Verwaltung“
In der Rechtssache C‑479/22 P
betreffend ein Rechtsmittel nach Art. 56 der Satzung des Gerichtshofs der Europäischen Union, eingelegt am 14. Juli 2022,
OC, vertreten durch I. Ktenidis, Dikigoros,
Rechtsmittelführerin,
andere Partei des Verfahrens:
Europäische Kommission, vertreten durch T. Adamopoulos, J. Baquero Cruz, F. Blanc Simonetti und A. Bouchagiar als Bevollmächtigte,
Beklagte im ersten Rechtszug,
erlässt
DER GERICHTSHOF (Sechste Kammer)
unter Mitwirkung des Kammerpräsidenten T. von Danwitz (Berichterstatter) sowie der Richter P. G. Xuereb und A. Kumin,
Generalanwalt: N. Emiliou,
Kanzler: A. Calot Escobar,
aufgrund des schriftlichen Verfahrens,
aufgrund des nach Anhörung des Generalanwalts ergangenen Beschlusses, ohne Schlussanträge über die Rechtssache zu entscheiden,
folgendes
Urteil
1 Mit ihrem Rechtsmittel beantragt OC die Aufhebung des Urteils des Gerichts der Europäischen Union vom 4. Mai 2022, OC/Kommission (T‑384/20, im Folgenden: angefochtenes Urteil, EU:T:2022:273), mit dem das Gericht ihre Klage nach Art. 268 AEUV auf Ersatz des Schadens abgewiesen hat, der ihr durch die Pressemitteilung Nr. 13/2020 des Europäischen Amtes für Betrugsbekämpfung (im Folgenden: OLAF) vom 5. Mai 2020 mit der Überschrift „OLAF-Untersuchung deckt Forschungsfinanzierungsbetrug in Griechenland auf“ („OLAF investigation uncovers research funding fraud in Greece“) (im Folgenden: streitige Pressemitteilung) entstanden sein soll, da OLAF ihre personenbezogenen Daten rechtswidrig verarbeitet und falsche Informationen über sie übermittelt habe.
I. Rechtlicher Rahmen
A. Verordnung (EU, Euratom) Nr. 883/2013
2 Art. 5 („Einleitung der Untersuchungen“) Abs. 1 der Verordnung (EU, Euratom) Nr. 883/2013 des Europäischen Parlaments und des Rates vom 11. September 2013 über die Untersuchungen des Europäischen Amtes für Betrugsbekämpfung (OLAF) und zur Aufhebung der Verordnung (EG) Nr. 1073/1999 des Europäischen Parlaments und des Rates und der Verordnung (Euratom) Nr. 1074/1999 des Rates (ABl. 2013, L 248, S. 1) sieht vor:
„Der Generaldirektor kann eine Untersuchung einleiten, wenn – gegebenenfalls auch aufgrund von Informationen von dritter Seite oder aufgrund anonymer Hinweise – hinreichender Verdacht auf Betrug, Korruption oder sonstige rechtswidrige Handlungen zum Nachteil der finanziellen Interessen der [Europäischen] Union besteht. Der Beschluss des Generaldirektors darüber, ob eine Untersuchung eingeleitet wird, trägt den vorrangigen Zielen der Untersuchungspolitik und dem in Übereinstimmung mit Artikel 17 Absatz 5 festgelegten jährlichen Managementplan des [OLAF] Rechnung. Der Beschluss berücksichtigt zudem die Notwendigkeit einer effizienten Verwendung der Ressourcen des [OLAF] und eines angemessenen Mitteleinsatzes. Bei internen Untersuchungen ist besonders der Frage Rechnung zu tragen, welches Organ, welche Einrichtung oder welche sonstige Stelle am besten für die Durchführung der betreffenden Untersuchung geeignet ist, wobei insbesondere der Sachverhalt, das Ausmaß der tatsächlichen oder der möglichen finanziellen Auswirkungen des Falls und die Wahrscheinlichkeit justizieller Folgemaßnahmen zu berücksichtigen sind.“
3 In Art. 9 („Verfahrensgarantien“) Abs. 1 der Verordnung Nr. 883/2013 heißt es:
„Die Untersuchungen des [OLAF] dienen der Ermittlung sowohl der belastenden als auch der entlastenden Fakten in Bezug auf die betroffene Person. Sie werden objektiv und unparteiisch sowie unter Einhaltung der Unschuldsvermutung und der in diesem Artikel genannten Verfahrensgarantien durchgeführt.“
4 Art. 10 („Vertraulichkeit und Datenschutz“) der Verordnung Nr. 883/2013 bestimmt:
„(1) Informationen, die im Rahmen externer Untersuchungen übermittelt oder erlangt werden, sind, unabhängig davon, in welcher Form sie vorliegen, durch die einschlägigen Bestimmungen geschützt.
(2) Informationen, die im Rahmen interner Untersuchungen übermittelt oder erlangt werden, fallen – unabhängig davon, in welcher Form sie vorliegen – unter das Berufsgeheimnis und genießen den Schutz, der durch die für die Organe der Union geltenden einschlägigen Bestimmungen gewährleistet ist.
…
(5) Der Generaldirektor stellt sicher, dass jede Weitergabe von Informationen an die Öffentlichkeit auf neutrale und unparteiische Weise erfolgt und dass die Offenlegung die Vertraulichkeit der Untersuchungen wahrt und die in diesem Artikel und in Artikel 9 Absatz 1 festgelegten Grundsätze einhält.
…“
5 Art. 11 („Untersuchungsberichte und Folgemaßnahmen“) Abs. 1 der Verordnung Nr. 883/2013 sieht vor:
„Nach Abschluss einer vom [OLAF] durchgeführten Untersuchung wird unter der verantwortlichen Leitung des Generaldirektors ein Bericht erstellt. Dieser Bericht gibt Aufschluss über die Rechtsgrundlage der Untersuchung, die durchgeführten Verfahrensschritte, den festgestellten Sachverhalt und seine vorläufige rechtliche Bewertung, die geschätzten finanziellen Auswirkungen des Sachverhalts, die Einhaltung der Verfahrensgarantien nach Artikel 9 sowie die Schlussfolgerungen der Untersuchung.
Dem Bericht werden Empfehlungen des Generaldirektors zu der Frage beigefügt, ob Maßnahmen ergriffen werden sollten oder nicht. In diesen Empfehlungen werden gegebenenfalls disziplinarische, administrative, finanzielle und/oder justizielle Maßnahmen durch die Organe, Einrichtungen und sonstigen Stellen sowie der zuständigen Behörden des betroffenen Mitgliedstaats genannt, wobei insbesondere Angaben zu der geschätzten Höhe der wieder einzuziehenden Beträge sowie zu der vorläufigen rechtlichen Bewertung des Sachverhalts gemacht werden.“
B. DSGVO
6 Art. 2 („Sachlicher Anwendungsbereich“) Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO) bestimmt:
„Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001 [des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (ABl. 2001, L 8, S. 1)]. Die Verordnung … Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst.
7 In Art. 4 („Begriffsbestimmungen“) DSGVO heißt es:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
…“
8 Art. 98 („Überprüfung anderer Rechtsakte der Union zum Datenschutz“) DSGVO sieht vor:
„Die [Europäische] Kommission legt gegebenenfalls Gesetzgebungsvorschläge zur Änderung anderer Rechtsakte der Union zum Schutz personenbezogener Daten vor, damit ein einheitlicher und kohärenter Schutz natürlicher Personen bei der Verarbeitung sichergestellt wird. Dies betrifft insbesondere die Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung solcher Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union und zum freien Verkehr solcher Daten.“
C. Verordnung (EU) 2018/1725
9 In den Erwägungsgründen 4, 5 und 16 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39) heißt es:
„(4) Die [DSGVO] sieht die Anpassung der Verordnung … Nr. 45/2001 vor, um einen soliden und kohärenten Rechtsrahmen im Bereich des Datenschutzes in der Union zu gewährleisten und zu ermöglichen, dass sie parallel mit der [DSGVO] angewandt werden kann.
(5) Im Interesse einer einheitlichen Herangehensweise hinsichtlich des Schutzes personenbezogener Daten in der gesamten Union und des freien Verkehrs personenbezogener Daten innerhalb der Union sollten die Datenschutzbestimmungen für die Organe, Einrichtungen und sonstigen Stellen der Union so weit wie möglich an die in den Mitgliedstaaten für den öffentlichen Dienst erlassenen Datenschutzbestimmungen angeglichen werden. Soweit die Bestimmungen der vorliegenden Verordnung auf denselben Grundsätzen beruhen wie die der [DSGVO], sollten diese Bestimmungen der beiden Verordnungen unter Beachtung der Rechtsprechung des Gerichtshofs der Europäischen Union (im Folgenden ‚Gerichtshof‘) einheitlich ausgelegt werden, insbesondere da der Rahmen der vorliegenden Verordnung als dem Rahmen der [DSGVO] gleichwertig verstanden werden sollte.
…
(16) Die Grundsätze des Datenschutzes sollten für alle Informationen gelten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden. Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind. Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d. h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Diese Verordnung betrifft somit nicht die Verarbeitung derartiger anonymer Daten, auch für statistische oder für Forschungszwecke.“
10 Nach Art. 2 („Anwendungsbereich“) Abs. 1 der Verordnung 2018/1725 gilt diese Verordnung „für die Verarbeitung personenbezogener Daten durch alle Organe und Einrichtungen der Union“.
11 Art. 3 („Begriffsbestimmungen“) der Verordnung 2018/1725 bestimmt:
„Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:
1. ‚personenbezogene Daten‘ alle Informationen die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
…
3. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie … die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung …;
…“
12 Die Art. 4 und 5 der Verordnung 2018/1725 enthalten die Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Bedingungen für die Rechtmäßigkeit der Verarbeitung. Art. 6 der Verordnung legt die Elemente fest, die der Verantwortliche für die Feststellung berücksichtigen muss, ob die Verarbeitung zu einem anderen Zweck als demjenigen, zu dem die Daten ursprünglich erhoben wurden, mit dem zuletzt genannten Zweck kompatibel ist. Schließlich enthält Art. 15 der Verordnung eine Liste der Informationen, die mitzuteilen sind, wenn personenbezogene Daten bei der betroffenen Person erhoben werden.
II. Vorgeschichte des Rechtsstreits
13 Die in den Rn. 1 bis 8 des angefochtenen Urteils dargestellte Vorgeschichte des Rechtsstreits kann für die Zwecke des vorliegenden Verfahrens wie folgt zusammengefasst werden.
14 Die Rechtsmittelführerin, eine griechische Staatsangehörige, ist akademische Forscherin in den Bereichen Nanotechnologieanwendungen, Energiespeicherung und Biomedizin.
15 Im Jahr 2007 reichte sie beim Europäischen Forschungsrat einen Forschungsvorschlag für ein Projekt mit dem Titel „Studie zum Übergang von Mikro zu Nano: Grundlagen, Simulationen sowie theoretische und experimentelle Anwendungen“ (im Folgenden: Projekt) ein.
16 Am 30. September 2008 unterzeichneten die Kommission der Europäischen Gemeinschaften und die Aristoteleio Panepistimio Thessalonikis (Aristoteles-Universität Thessaloniki, Griechenland) (im Folgenden: Aristoteles-Universität) die das Projekt betreffende Finanzhilfevereinbarung Nr. 211166 (im Folgenden: Vereinbarung). Die Aristoteles-Universität wurde als Projektbetreuungseinrichtung benannt. Am 15. Juli 2009 trat eine Zusatzvereinbarung zu dieser Vereinbarung in Kraft, wonach die Kommission als Vereinbarungspartnerin dieser Universität durch die Exekutivagentur des Europäischen Forschungsrats (ERCEA) ersetzt wurde.
17 Die Vereinbarung sah für die Durchführung des Projekts einen Förderhöchstbetrag von 1 128 400 Euro vor, der der Aristoteles-Universität als Hauptbegünstigten, der Rechtsmittelführerin als leitender Forscherin und einer anderen Forschungseinrichtung in Griechenland gewährt wurde, die am 25. Februar 2012 durch eine weitere Forschungseinrichtung in Deutschland ersetzt wurde. Das Projekt wurde in einem Labor dieser Universität durchgeführt, das vom Vater der Rechtsmittelführerin geleitet wurde.
18 Nachdem das Projekt am 30. September 2013 abgeschlossen worden war, meldete die Aristoteles-Universität bei der ERCEA Ausgaben in Höhe von insgesamt 1 116 189,21 Euro einschließlich Personalkosten in Höhe von 255 219,37 Euro sowie Reisekosten in Höhe von 15 020,54 Euro an. Sie beantragte die Zahlung dieses Betrags auf der Grundlage der Vereinbarung.
19 Nach einer Ex-post-Finanzprüfung kam die ERCEA zu dem Schluss, dass Personalkosten in Höhe von 245 525,43 Euro nicht förderfähig seien, und beschloss, die Rückzahlung dieses Betrags von der Aristoteles-Universität zu verlangen, weshalb sie eine entsprechende Belastungsanzeige ausstellte. Die Aristoteles-Universität beanstandete vor dem Gericht die Stichhaltigkeit dieser Belastungsanzeige. Mit Urteil vom 17. Januar 2019, Aristoteleio Panepistimio Thessalonikis/ERCEA (T‑348/16 OP, EU:T:2019:14), befand das Gericht, dass die in der Belastungsanzeige der ERCEA enthaltene Forderung, dass die Universität einen Betrag von 245 525,43 Euro zurückzuzahlen habe, in Höhe von den förderfähigen Kosten entsprechenden 233 611,75 Euro unbegründet sei. Das Urteil wurde anschließend im Rechtsmittelverfahren vom Gerichtshof mit Urteil vom 14. Januar 2021, ERCEA/Aristoteleio Panepistimio Thessalonikis (C‑280/19 P, EU:C:2021:23), bestätigt.
20 Da die ERCEA auch das OLAF über die Ergebnisse ihrer Prüfung informiert hatte, beschloss der Generaldirektor des OLAF am 29. Mai 2015 gemäß Art. 5 der Verordnung Nr. 883/2013, eine Untersuchung in Bezug auf etwaige Unregelmäßigkeiten oder einen etwaigen Betrug bei der Durchführung des Projekts einzuleiten.
21 Das OLAF legte in seinem auf den 11. November 2019 datierten Abschlussbericht über seine Untersuchung mehrere Feststellungen dar. Auf der Grundlage dieser Feststellungen empfahl es zum einen der ERCEA, die geeigneten Maßnahmen zu ergreifen, um von der Aristoteles-Universität die Beträge zurückzufordern, die als zu Unrecht gezahlt angesehen wurden. Zum anderen übermittelte es diesen Bericht den nationalen Justizbehörden und empfahl ihnen, Verfahren wegen Betrugs, Urkundenfälschung und Verwendung gefälschter Urkunden gegen die Rechtsmittelführerin, ihren Vater und bestimmte Mitglieder des Personals der Universität einzuleiten.
22 Am 5. Mai 2020 veröffentlichte das OLAF auf seiner Website die streitige Pressemitteilung. In dieser Mitteilung, die auf die in den Rn. 20 und 21 des vorliegenden Urteils genannte Untersuchung Bezug nahm, hieß es:
„Der Schutz des für die Forschung vorgesehenen EU-Haushalts war für das [OLAF] schon immer von besonderer Bedeutung. Ein komplexer Betrug, an dem eine griechische Wissenschaftlerin und ihr Netzwerk internationaler Forscher beteiligt waren, ist von den Ermittlern des [OLAF] aufgedeckt worden.
Der Fall betrifft eine Finanzhilfe in Höhe von ca. 1,1 Mio. Euro, die die [ERCEA] einer griechischen Universität gewährt hat. Das Geld war zur Finanzierung eines Forschungsprojekts bestimmt, das unter der Verantwortung einer vielversprechenden jungen Wissenschaftlerin durchgeführt wurde, deren Vater an der fraglichen Universität arbeitete. Das Projekt sollte unter der Leitung der griechischen Wissenschaftlerin ein Netzwerk von mehr als 40 Forschern aus der ganzen Welt umfassen.
Das OLAF schöpfte erstmals Verdacht, als es herausfand, wie die internationalen Forscher angeblich bezahlt wurden. Es wurden Schecks auf die Namen einzelner Forscher ausgestellt, anschließend jedoch auf Bankkonten mehrerer Inhaber eingezahlt. Der Verdacht erhärtete sich, als sich herausstellte, dass die Schecks von der leitenden Wissenschaftlerin auf die Bankkonten eingezahlt wurden.
Das Ermittlungsteam des OLAF beschloss daraufhin, eine Vor-Ort-Kontrolle an der fraglichen Universität durchzuführen. Trotz der Versuche der leitenden Forscherin, die Untersuchung zu behindern, konnte das OLAF mit Hilfe der nationalen griechischen Strafverfolgungsbehörden, die Zugang zu Bankkonten gewährten, und durch seine eigenen digitalen forensischen Untersuchungen die wahre Geschichte hinter dem Betrug rekonstruieren.
Es wurden konkrete Beweise dafür gefunden, dass die leitende Wissenschaftlerin die Bankkonten, die zur ‚Bezahlung‘ der internationalen Forscher verwendet wurden, eröffnet und sich als Mitinhaberin dieser Konten eingetragen hatte, um Zugang zu dem Geld zu erhalten. Das OLAF folgte den Finanzspuren und konnte nachweisen, dass große Summen von der Wissenschaftlerin entweder in bar abgehoben oder auf ihr persönliches Konto überwiesen wurden. Einige der Forscher, die angeblich an dem Forschungsprojekt beteiligt waren, wurden vom OLAF kontaktiert. Keiner von ihnen wusste, dass ihre Namen mit dem Projekt in Verbindung gebracht wurden, oder hatte Kenntnis von den Bankkonten, die in ihren Namen eröffnet worden waren, oder von irgendwelchen Zahlungen an sie.
…
Die Untersuchung wurde im November letzten Jahres abgeschlossen, mit Empfehlungen an die ERCEA, etwa 190 000 Euro (d. h. den Teil der Finanzhilfe über 1,1 Mio. Euro, der an die internationalen Forscher gezahlt worden sein soll) zurückzufordern, sowie an die nationalen Behörden, Gerichtsverfahren gegen die beteiligten Personen einzuleiten.“
III. Klage vor dem Gericht und angefochtenes Urteil
23 Mit Klageschrift, die am 16. Juni 2020 bei der Kanzlei des Gerichts einging, erhob die Rechtsmittelführerin Klage nach Art. 268 AEUV auf Verurteilung der Kommission zum Ersatz des immateriellen Schadens, der ihr durch die streitige Pressemitteilung entstanden sein soll.
24 Zur Stützung ihrer Klage machte die Rechtsmittelführerin geltend, das OLAF habe durch die Veröffentlichung der streitigen Pressemitteilung in offenkundiger Weise gegen die Bestimmungen der Verordnung 2018/1725 über den Schutz personenbezogener Daten, gegen den in Art. 48 Abs. 1 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) und in Art. 9 Abs. 1 der Verordnung Nr. 883/2013 vorgesehenen Grundsatz der Unschuldsvermutung, gegen die in Art. 10 Abs. 5 der Verordnung Nr. 883/2013 vorgesehene Pflicht zur Wahrung der Vertraulichkeit der Untersuchungen, gegen das in Art. 41 der Charta genannte Recht auf eine gute Verwaltung und gegen den Grundsatz der Verhältnismäßigkeit verstoßen.
25 Mit dem angefochtenen Urteil hat das Gericht alle Rügen der Rechtsmittelführerin gegen das OLAF zurückgewiesen und ihre Klage in vollem Umfang abgewiesen.
IV. Anträge der Parteien
26 Mit ihrem Rechtsmittel beantragt die Rechtsmittelführerin,
– das angefochtene Urteil aufzuheben,
– endgültig über die Klage zu entscheiden und
– der Kommission die im Rechtsmittelverfahren und im Verfahren vor dem Gericht entstandenen Kosten aufzuerlegen.
27 Die Kommission beantragt,
– das Rechtsmittel zurückzuweisen und
– der Rechtsmittelführerin die Kosten aufzuerlegen.
V. Zum Rechtsmittel
28 Die Rechtsmittelführerin stützt ihr Rechtsmittel auf drei Gründe, mit denen sie geltend macht: erstens eine fehlerhafte Auslegung des Begriffs „identifizierbare natürliche Person“ im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725, zweitens eine fehlerhafte Auslegung von Art. 9 Abs. 1 der Verordnung Nr. 883/2013 und von Art. 48 Abs. 1 der Charta in Verbindung mit Art. 6 Abs. 2 der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) in Bezug auf die Tragweite der Unschuldsvermutung und drittens eine Verfälschung der Beweise für die Verletzung von Art. 41 der Charta über das Recht auf eine gute Verwaltung.
A. Zum ersten Rechtsmittelgrund
29 Mit dem ersten Rechtsmittelgrund, der aus vier Teilen besteht, macht die Rechtsmittelführerin geltend, das Gericht habe gegen das Unionsrecht verstoßen, indem es in den Rn. 91 und 92 des angefochtenen Urteils zu dem Schluss gelangt sei, sie habe nicht nachgewiesen, dass die streitige Pressemitteilung für sich allein, aber auch mit Mitteln, die von einem Leser nach allgemeinem Ermessen wahrscheinlich genutzt würden, die Identifizierung der Rechtsmittelführerin ermöglicht habe, so dass die in dieser Mitteilung enthaltenen Informationen nicht unter den Begriff „personenbezogene Daten“ im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 fielen und diese Verordnung nicht anwendbar sei.
1. Zum ersten und zum zweiten Teil des ersten Rechtsmittelgrundes
a) Vorbringen der Parteien
30 Mit dem ersten und dem zweiten Teil des ersten Rechtsmittelgrundes, die zusammen zu prüfen sind, wirft die Rechtsmittelführerin dem Gericht vor, bei der Auslegung des Begriffs „identifizierbare natürliche Person“ in Art. 3 Nr. 1 der Verordnung 2018/1725 fehlerhafte rechtliche Kriterien angewandt zu haben.
31 Mit dem ersten Teil macht sie geltend, das Gericht habe in Rn. 49 des angefochtenen Urteils rechtsfehlerhaft befunden, dass sich ihre Identifizierung aus der streitigen Pressemitteilung ergeben müsse und sich nicht aus externen oder ergänzenden Elementen ergeben dürfe, die nicht zu dem Verhalten gehörten, das dem OLAF vorgeworfen werde. Nach der Rechtsprechung des Gerichtshofs sei es dem Begriff „indirekte Identifizierung“ immanent, dass zur Identifizierung zusätzliche Elemente erforderlich seien, über die eine andere Person als der Verantwortliche verfügen könne (vgl. in diesem Sinne Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 39 und 41).
32 Das Gericht habe in Rn. 76 des angefochtenen Urteils daher zu Unrecht befunden, dass eine natürliche Person, auf die sich eine Information beziehe, nur dann „identifizierbar“ im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 sei, wenn ihre Identität durch einen „durchschnittlichen Leser“ festgestellt werden könne, der selbst nicht über zusätzliche Elemente verfüge, die es ihm ermöglichten, die Identität der Person festzustellen, auf die sich die Information beziehe. Diese Bestimmung stelle im Gegenteil auf andere Personen als den Verantwortlichen ab, der über solche Elemente verfüge. Folglich habe das Gericht es in den Rn. 81, 82 und 87 des angefochtenen Urteils zu Unrecht abgelehnt, den Umstand zu berücksichtigen, dass der in Rn. 77 des angefochtenen Urteils genannte deutsche Journalist sie als die Person identifiziert habe, auf die sich die streitige Pressemitteilung beziehe. Das Gericht hätte zu dem Schluss kommen müssen, dass sie von einem Leser identifiziert werden könne, der – wie dieser deutsche Journalist – über zusätzliche Elemente verfüge, und dass die in dieser Pressemitteilung enthaltenen Kennungen jedenfalls geeignet seien, zu ihrer Identifizierung durch die Mitglieder ihrer Familie und ihre Kollegen zu führen, die ihren beruflichen Werdegang sowie ihre Beteiligung als leitende Forscherin im Rahmen des Projekts gekannt hätten.
33 Mit dem zweiten Teil des ersten Rechtsmittelgrundes macht die Rechtsmittelführerin geltend, das Gericht habe in den Rn. 65, 67 und 68 des angefochtenen Urteils rechtsfehlerhaft angenommen, dass nur geringfügige oder unbedeutende Mittel, mit denen die Identität der Person, auf die sich die Information beziehe, leicht und schnell nachgewiesen werden könne, unter den Begriff „Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden“ fielen, um die Person zu identifizieren, auf die sich die personenbezogenen Daten bezögen. Der 16. Erwägungsgrund der Verordnung 2018/1725 erwähne nämlich nur, dass bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt würden, die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand zu berücksichtigen seien, ohne zu verlangen, dass die Kosten oder der Zeitaufwand minimal oder unbedeutend seien.
34 Die Kommission beantragt, den ersten und den zweiten Teil des ersten Rechtsmittelgrundes zurückzuweisen.
35 Zum ersten Teil trägt die Kommission vor, dass die Verordnung 2018/1725 das „Risiko der Identifizierung“ als Kriterium für die Definition der Möglichkeit der Identifizierung heranziehe, und verweist auf die Notwendigkeit, zur Bestimmung dieses Risikos „alle objektiven Faktoren“ zu berücksichtigen. Daher reiche die rein hypothetische Möglichkeit zur Bestimmung einer Person nicht aus, um sie als „identifizierbar“ anzusehen. Unter Verweis darauf, dass das Rechtsmittel auf Rechtsfragen beschränkt sei, trägt die Kommission vor, dass das Gericht die von der Rechtsmittelführerin behaupteten Tatsachen geprüft habe, um festzustellen, ob sie direkt oder indirekt identifiziert werden könne, betont aber, dass es Sache der Rechtsmittelführerin sei, den Beweis dafür zu erbringen, dass die Voraussetzungen der außervertraglichen Haftung der Union nach Art. 340 AEUV erfüllt seien. Das Gericht sei in Rn. 73 des angefochtenen Urteils jedoch zu dem Schluss gelangt, dass die Rechtsmittelführerin nicht dargetan habe, dass sie durch einen Leser der streitigen Pressemitteilung mit Sicherheit anhand von Mitteln habe identifiziert werden können, die nach allgemeinem Ermessen wahrscheinlich genutzt würden.
36 Ferner sei das Gericht in Rn. 58 des angefochtenen Urteils zu dem Schluss gelangt, dass die Rechtsmittelführerin keinen konkreten Fall dargetan habe, in dem sie allein durch die Lektüre der streitigen Pressemitteilung identifiziert worden wäre. Daher könne sich die Rechtsmittelführerin nicht mit Erfolg darauf berufen, dass sie von ihren Familienangehörigen oder Kollegen hätte identifiziert werden können. Zudem sei – wie sich aus den Rn. 73 und 78 bis 81 des angefochtenen Urteils ergebe – vor dem Gericht nachgewiesen worden, dass die einzige Person, die die Identität der Rechtsmittelführerin ermittelt und der Öffentlichkeit offenbart habe, der deutsche Journalist gewesen sei, der ihren Werdegang und den ihres Vaters aber bereits gekannt habe, und dass dieser Journalist über eine Vielzahl an Informationen verfügt habe. Im Rechtsmittelverfahren könne nicht bestritten werden, dass dieser Journalist über „subjektive externe Kenntnisse“ über die Rechtsmittelführerin verfügt habe.
37 Zum zweiten Teil des ersten Rechtsmittelgrundes trägt die Kommission vor, dass aus den Rn. 65 bis 68 des angefochtenen Urteils nicht hervorgehe, dass nur „geringfügige oder unbedeutende“ Mittel der Definition von Mitteln entsprächen, die „nach allgemeinem Ermessen wahrscheinlich genutzt werden“. Insbesondere beruhe das Vorbringen der Rechtsmittelführerin auf einem fehlerhaften und isolierten Verständnis des letzten Satzes von Rn. 65 des angefochtenen Urteils, der in Verbindung mit dem übrigen Inhalt dieser Rn. 65 und mit den Rn. 61 bis 68 des Urteils zu lesen sei, in denen das Gericht das Vorbringen der Rechtsmittelführerin geprüft habe. Die vom Gericht vorgenommene rechtliche Prüfung habe sich gerade auf die Frage bezogen, ob die Rechtsmittelführerin in der streitigen Pressemitteilung mit Mitteln identifizierbar gewesen sei, die nach allgemeinem Ermessen wahrscheinlich genutzt würden.
b) Würdigung durch den Gerichtshof
38 Mit dem ersten und dem zweiten Teil des ersten Rechtsmittelgrundes wirft die Rechtsmittelführerin dem Gericht im Wesentlichen vor, ihm seien mehrere Rechtsfehler unterlaufen, als es befunden habe, dass die in der streitigen Pressemitteilung enthaltenen Informationen nicht unter den Begriff „personenbezogene Daten“ im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 fielen und diese Verordnung daher auf sie nicht anwendbar sei.
1) Zur Zulässigkeit des ersten Teils des ersten Rechtsmittelgrundes
39 Die Kommission vertritt die Ansicht, dass bestimmte der zur Stützung des ersten Teils des ersten Rechtsmittelgrundes vorgebrachten Argumente zur Tatsachenwürdigung durch das Gericht gehörten und daher der Kontrolle durch den Gerichtshof im Rahmen des vorliegenden Rechtsmittels entzogen seien.
40 Insoweit ist darauf hinzuweisen, dass die rechtliche Qualifizierung einer Tatsache oder Handlung durch das Gericht eine Rechtsfrage ist, die im Rahmen eines Rechtsmittels aufgeworfen werden kann (Urteil vom 12. Mai 2022, Klein/Kommission, C‑430/20 P, EU:C:2022:377, Rn. 41 und die dort angeführte Rechtsprechung).
41 Aus der Formulierung des ersten Teils des ersten Rechtsmittelgrundes und dem gesamten Vorbringen zu seiner Stützung geht hervor, dass die Rechtsmittelführerin dem Gericht vorwirft, ihm sei ein Rechtsfehler dadurch unterlaufen, dass es sich bei seiner Auslegung des Begriffs „identifizierbare natürliche Person“ auf fehlerhafte rechtliche Kriterien gestützt und auf dieser Grundlage die in der streitigen Pressemitteilung enthaltenen Informationen rechtlich unzutreffend als nicht unter den in Art. 3 Nr. 1 der Verordnung 2018/1725 enthaltenen Begriff „personenbezogene Daten“ fallend qualifiziert habe.
42 Folglich ist der erste Teil des ersten Rechtsmittelgrundes zulässig.
2) Zur Begründetheit des ersten und des zweiten Teils des ersten Rechtsmittelgrundes
43 Einleitend ist darauf hinzuweisen, dass die in Art. 3 Nr. 1 der Verordnung 2018/1725 enthaltene Definition des Begriffs „personenbezogene Daten“ im Wesentlichen mit der in Art. 4 Nr. 1 DSGVO enthaltenen übereinstimmt. Ferner wollte der Unionsgesetzgeber – wie sich aus den Erwägungsgründen 4 und 5 der Verordnung 2018/1725 sowie aus Art. 2 Abs. 3 und Art. 98 DSGVO ergibt, eine Regelung zum Schutz personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union schaffen, die der DSGVO gleichwertig ist, um einen einheitlichen und kohärenten Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten in der Union zu gewährleisten. Daher ist sicherzustellen, dass Art. 3 Nr. 1 der Verordnung 2018/1725 und Art. 4 Nr. 1 DSGVO gleich ausgelegt werden.
44 Nach Art. 3 Nr. 1 der Verordnung 2018/1725 sind personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“.
45 Der Gerichtshof hat entschieden, dass in der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Bestimmung des Begriffs „personenbezogene Daten“ in Art. 4 Nr. 1 DSGVO das Ziel des Unionsgesetzgebers zum Ausdruck kommt, diesem Begriff eine weite Bedeutung beizumessen, die potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Es handelt sich um eine Information über eine identifizierte oder identifizierbare natürliche Person, wenn sie aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft ist (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 23 und 24).
46 In Bezug auf den „identifizierbaren“ Charakter einer natürlichen Person heißt es in Art. 3 Nr. 1 der Verordnung 2018/1725, dass als identifizierbar eine natürliche Person angesehen wird, „die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann“.
47 Die Verwendung des Begriffs „indirekt“ durch den Unionsgesetzgeber deutet darauf hin, dass es für die Einstufung einer Information als personenbezogenes Datum nicht erforderlich ist, dass die Information für sich genommen die Identifizierung der betreffenden Person ermöglicht (vgl. entsprechend Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 41).
48 Der 16. Erwägungsgrund der Verordnung 2018/1725 stellt insoweit klar, dass für die Feststellung, ob eine natürliche Person identifizierbar ist, „alle Mittel …, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden“, berücksichtigt werden sollten, um die natürliche Person „direkt oder indirekt“ zu identifizieren. Somit ist es für die Einstufung eines Datums als „personenbezogenes Datum“ nicht erforderlich, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden (vgl. entsprechend Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 43).
49 Insbesondere vermag der Umstand, dass zur Identifizierung der betreffenden Person zusätzliche Informationen erforderlich sind, nicht auszuschließen, dass die fraglichen Daten als personenbezogene Daten qualifiziert werden können (vgl. entsprechend Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 44).
50 Darüber hinaus muss jedoch die Möglichkeit, die fraglichen Daten mit zusätzlichen Informationen zu kombinieren, ein Mittel darstellen, das nach allgemeinem Ermessen wahrscheinlich genutzt wird, um die betreffende Person zu identifizieren. Um festzustellen, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung einer natürlichen Person genutzt werden, sollten nach dem 16. Erwägungsgrund der Verordnung 2018/1725 alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.
51 Insoweit hat der Gerichtshof bereits entschieden, dass ein Mittel nach allgemeinem Ermessen wahrscheinlich nicht genutzt wird, um die betreffende Person zu identifizieren, wenn die Identifizierung dieser Person gesetzlich verboten oder praktisch nicht durchführbar wäre, z. B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft erfordern würde, so dass das Risiko einer Identifizierung de facto unbedeutend erschiene (vgl. entsprechend Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 46).
52 Im vorliegenden Fall hat das Gericht im Rahmen seiner Prüfung, ob die streitige Pressemitteilung personenbezogene Daten im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 enthält, in Rn. 49 des angefochtenen Urteils darauf hingewiesen, dass nur Handlungen oder Verhaltensweisen, die einem Organ oder einer Einrichtung der Union zuzurechnen seien, die Haftung der Union begründen könnten. Daraus hat das Gericht in der genannten Rn. 49 gefolgert, dass sich die Identifizierung der Rechtsmittelführerin aus der streitigen Pressemitteilung ergeben müsse und sich nicht aus externen Elementen ergeben dürfe, die nicht zu dem Verhalten gehörten, das dem OLAF vorgeworfen werde, so dass das Gericht seine Prüfung nur auf die Informationen erstreckt hat, die in dieser Pressemitteilung enthalten waren und es ihren Lesern gegebenenfalls ermöglichten, die Rechtsmittelführerin zu identifizieren.
53 Was sodann die Offenbarung der Identität der Rechtsmittelführerin durch den deutschen Journalisten betrifft, der in den sozialen Netzwerken (Twitter) einen Artikel über die Anschuldigungen des OLAF veröffentlicht hatte, die in der die Rechtsmittelführerin betreffenden streitigen Pressemitteilung enthalten waren, hat das Gericht in den Rn. 82 und 87 des angefochtenen Urteils ausgeführt, dass diese Offenbarung nicht habe berücksichtigt werden können, da dieser Journalist nicht in der Lage gewesen sei, die Rechtsmittelführerin allein anhand der in der streitigen Pressemitteilung enthaltenen Kennungen zu identifizieren, und dass er Identifizierungselemente habe verwenden müssen, die in Bezug auf diese Mitteilung extern und ergänzend gewesen seien. Dieses Ergebnis hat das Gericht in den Rn. 76 und 81 des angefochtenen Urteils u. a. damit begründet, dass es sich bei dem Journalisten nicht um einen durchschnittlichen Leser, sondern um einen im Wissenschaftsbereich spezialisierten professionellen Investigativjournalisten handele, der über subjektive, externe Kenntnisse über die Rechtsmittelführerin verfügt habe.
54 Die Frage, ob Informationen in einer Pressemitteilung eines Organs oder einer Einrichtung der Union unter den Begriff „personenbezogene Daten“ im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 fallen, darf jedoch nicht mit der Frage verwechselt werden, welche Voraussetzungen für die Begründung der außervertraglichen Haftung der Union erforderlich sind. Die erste Frage ist ausschließlich anhand der in dieser Bestimmung aufgestellten Voraussetzungen zu beurteilen und kann daher entgegen dem Befund des Gerichts in Rn. 49 des angefochtenen Urteils nicht von Erwägungen über die Zurechenbarkeit einer Handlung an die Union abhängen.
55 In letzterer Hinsicht ergibt sich aus den Ausführungen in den Rn. 48 bis 51 des vorliegenden Urteils, dass der „indirekten Identifizierung“ einer Person immanent ist, dass die in Rede stehenden Daten mit zusätzlichen Informationen kombiniert werden müssen, um die betreffende Person zu identifizieren. Daraus ergibt sich auch, dass der Umstand, dass diese zusätzlichen Informationen von einer anderen Person oder Quelle als der des für die Verarbeitung der fraglichen Daten Verantwortlichen stammen, entgegen dem Befund des Gerichts in den Rn. 49 und 87 des angefochtenen Urteils keineswegs die Identifizierbarkeit einer Person ausschließt.
56 Ferner stellt die Verordnung 2018/1725 keine Voraussetzung in Bezug auf die Personen auf, die die Person identifizieren können, mit der eine Information in Zusammenhang steht, da sich der 16. Erwägungsgrund der Verordnung nicht nur auf den Verantwortlichen, sondern auch auf „andere Person[en]“ bezieht.
57 Was insbesondere eine Pressemitteilung anbelangt, die von einer Untersuchungsbehörde herausgegeben wird, um die Öffentlichkeit über den Ausgang einer Untersuchung zu informieren, so ist diese Mitteilung naturgemäß u. a. für Journalisten bestimmt, und folglich können diese Journalisten nicht von einem „durchschnittlichen Leser“ unterschieden werden, auf den in Rn. 76 des angefochtenen Urteils Bezug genommen wird.
58 Dass ein Investigativjournalist die Identität einer von einer Pressemitteilung betroffenen Person verbreitet hat, wie dies vorliegend der Fall war, lässt für sich genommen jedoch nicht den Schluss zu, dass die in dieser Mitteilung enthaltenen Informationen zwingend als personenbezogene Daten im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 zu qualifizieren sind, und kann nicht von der Pflicht entbinden, die Identifizierbarkeit der betreffenden Person zu prüfen.
59 In Bezug auf die Frage, ob dem Gericht in Bezug auf die Identifizierbarkeit der Rechtsmittelführerin bei der rechtlichen Qualifizierung des Sachverhalts ein Rechtsfehler unterlaufen ist, ist festzustellen, dass die streitige Pressemitteilung – wie das Gericht in den Rn. 53 bis 55 des angefochtenen Urteils im Wesentlichen ausgeführt hat – eine Reihe von Informationen enthält, die sich auf die Rechtsmittelführerin beziehen und anhand deren diese identifiziert werden kann, nämlich ihr Geschlecht, ihre Staatsangehörigkeit und ihren Beruf, die Angabe, dass es sich um eine junge Person handelt und dass sie für das fragliche finanzierte Forschungsprojekt verantwortlich ist, ebenso wie die Angabe der Höhe der Finanzhilfe, der Bewilligungseinrichtung, nämlich der ERCEA, der Art der Projektbetreuungseinrichtung und des Sitzlandes der Einrichtung, nämlich einer Universität in Griechenland, den Hinweis auf den Vater der in Rede stehenden Person und darauf, dass er seinen Beruf bei dieser Einrichtung ausübte, sowie die ungefähre Zahl der Forscher, die für das Projekt unter der Leitung der in Rede stehenden Person arbeiteten.
60 Entgegen der Schlussfolgerung des Gerichts in Rn. 68 des angefochtenen Urteils ist jedoch festzustellen, dass Informationen über das Geschlecht einer von einer Pressemitteilung betroffenen Person, über ihre Staatsangehörigkeit, über die Tätigkeit ihres Vaters, über die Höhe der Finanzhilfe für ein wissenschaftliches Projekt und über den geografischen Standort der dieses wissenschaftliche Projekt betreuenden Einrichtung bei einer Gesamtschau Informationen enthalten, die die Identifizierung der von dieser Pressemitteilung betroffenen Person ermöglichen, insbesondere durch Personen, die auf demselben wissenschaftlichen Gebiet arbeiten und ihren beruflichen Werdegang kennen.
61 In diesem Zusammenhang ist festzustellen, dass die Einstufung des Risikos einer Identifizierung der betroffenen Person als unbedeutend keine Stütze in der in Rn. 51 des vorliegenden Urteils angeführten Rechtsprechung des Gerichtshofs findet. Insoweit können Informationen wie die in der vorstehenden Randnummer des vorliegenden Urteils genannten bei einer Gesamtschau für Personen, die im selben wissenschaftlichen Bereich arbeiten, die Identifizierung der betreffenden Person ermöglichen, ohne dass diese Identifizierung einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft voraussetzen würde. Zudem war die Rechtsmittelführerin entgegen dem Vorbringen der Kommission nicht verpflichtet, den Nachweis zu erbringen, dass sie tatsächlich von einer dieser Personen identifiziert worden war, da eine solche Voraussetzung in Art. 3 Nr. 1 der Verordnung 2018/1725 nicht vorgesehen ist, der sich auf die Anforderung beschränkt, dass eine Person „identifizierbar“ ist.
62 Ferner enthielt die auf der Website der ERCEA enthaltene Beschreibung der von dieser Agentur finanzierten etwa 70 Projekte, deren Projektbetreuungseinrichtungen sich in Griechenland befanden, wie aus Rn. 66 des angefochtenen Urteils hervorgeht, mehrere Schlüsselelemente, anhand deren Internetnutzer die gewünschten Informationen finden konnten, wie z. B. den Namen des Projektleiters, den Namen der Projektbetreuungseinrichtung oder den Finanzierungsbetrag.
63 Eine Pressemitteilung, die sich auf angeblich rechtswidrige Verhaltensweisen wie Betrugs- oder Korruptionshandlungen bezieht, kann bei der Öffentlichkeit jedoch ein klares Interesse hervorrufen und ihre Leser – insbesondere Journalisten – dazu veranlassen, Recherchen über die von der Pressemitteilung betroffene Person durchzuführen. In einem solchen Kontext erscheint der Aufwand, der darin besteht, solche Recherchen auf einer Website wie der der ERCEA durchzuführen, indem die auf dieser Website enthaltene Beschreibung von etwa 70 finanzierten Projekten in Verbindung mit anderen Recherchen im Internet durchgeführt wird, die es wahrscheinlich ermöglichen, den Namen und andere Kennungen der von der streitigen Pressemitteilung betroffenen Person zu erhalten, keineswegs unverhältnismäßig, so dass das Risiko der Identifizierung der Rechtsmittelführerin durch Journalisten oder andere Personen, die ihren beruflichen Werdegang nicht kennen, nicht als unbedeutend im Sinne der in Rn. 51 des vorliegenden Urteils angeführten Rechtsprechung angesehen werden kann.
64 Aus den vorstehenden Erwägungen ergibt sich, dass das Gericht in den Rn. 49 und 87 des angefochtenen Urteils rechtsfehlerhaft angenommen hat, dass sich die Identifizierung der Rechtsmittelführerin nicht aus externen oder ergänzenden Elementen, die nicht zu dem dem OLAF vorgeworfenen Verhalten gehörten, habe ergeben dürfen. Zudem ist dem Gericht bei der rechtlichen Qualifizierung des ihm vorgelegten Sachverhalts ein Rechtsfehler unterlaufen, da es in Rn. 68 des Urteils befunden hat, dass die in der streitigen Pressemitteilung enthaltenen Kennungen es vernünftigerweise nicht ermöglicht hätten, die Rechtsmittelführerin entweder auf der Grundlage einer bloß objektiven Lektüre dieser Mitteilung oder mit Mitteln zu identifizieren, die von einem ihrer Leser „nach allgemeinem Ermessen wahrscheinlich genutzt werden“.
65 Folglich hat das Gericht in den Rn. 91 und 92 des angefochtenen Urteils ebenfalls zu Unrecht befunden, dass die in der streitigen Pressemitteilung enthaltenen Informationen nicht unter den Begriff „personenbezogene Daten“ im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 fielen und diese Verordnung im vorliegenden Fall nicht anwendbar sei.
66 Daher ist dem ersten und dem zweiten Teil des ersten Rechtsmittelgrundes stattzugeben.
2. Zum dritten und zum vierten Teil des ersten Rechtsmittelgrundes
67 In Anbetracht der Feststellung in Rn. 65 des vorliegenden Urteils sind der dritte und der vierte Teil des ersten Rechtsmittelgrundes nicht zu prüfen, da sich auch diese auf die Stichhaltigkeit der Schlussfolgerungen in den Rn. 91 und 92 des angefochtenen Urteils beziehen.
B. Zum zweiten Rechtsmittelgrund
1. Vorbringen der Parteien
68 Mit dem zweiten Rechtsmittelgrund wendet sich die Rechtsmittelführerin gegen die Schlussfolgerung des Gerichts in Rn. 106 des angefochtenen Urteils, dass sie sich nicht auf einen Verstoß gegen den in Art. 9 Abs. 1 der Verordnung Nr. 883/2013 vorgesehenen und in Art. 48 Abs. 1 der Charta in Verbindung mit Art. 6 Abs. 2 EMRK verankerten Grundsatz der Unschuldsvermutung berufen könne, da sie in der streitigen Pressemitteilung nicht identifiziert oder identifizierbar gewesen sei. Jedenfalls habe das Gericht bei der Prüfung, ob ein Verstoß gegen diesen Grundsatz vorliege, die Kriterien von Art. 3 Nr. 1 der Verordnung 2018/1725 rechtsfehlerhaft angewandt. Es reiche nämlich aus, dass eine Person mit jedem beliebigen Mittel identifiziert werden könne, unabhängig von der Zeit und den Kosten, die hierfür erforderlich seien.
69 Die Kommission beantragt, den zweiten Rechtsmittelgrund insbesondere deswegen zurückzuweisen, weil ein Verstoß gegen die Unschuldsvermutung voraussetze, dass derjenige, der sich auf einen solchen Verstoß berufe, eine identifizierte oder identifizierbare Person sei, was vorliegend nicht der Fall sei.
2. Würdigung durch den Gerichtshof
70 In Anbetracht der Feststellung in Rn. 65 des vorliegenden Urteils hat das Gericht in Rn. 106 des angefochtenen Urteils rechtsfehlerhaft befunden, dass die Rechtsmittelführerin in der streitigen Pressemitteilung nicht identifiziert oder identifizierbar gewesen sei und sie daher keinen Verstoß gegen die Vermutung ihrer Unschuld habe dartun können.
71 Folglich ist diesem Rechtsmittelgrund stattzugeben, ohne dass die übrigen im Rahmen des zweiten Rechtsmittelgrundes vorgebrachten Argumente geprüft zu werden brauchen.
C. Zum dritten Rechtsmittelgrund
1. Vorbringen der Parteien
72 Mit ihrem dritten Rechtsmittelgrund macht die Rechtsmittelführerin geltend, das Gericht habe in den Rn. 157 und 169 des angefochtenen Urteils offensichtlich einen Beweis für die Verletzung des in Art. 41 der Charta verankerten Rechts auf eine gute Verwaltung verfälscht.
73 Erstens macht die Rechtsmittelführerin geltend, dass sich entgegen der Feststellung des Gerichts in Rn. 157 des angefochtenen Urteils schon aus dem Wortlaut des Abschlussberichts des OLAF ergebe, dass alle Forscher – und nicht nur einige von ihnen – erklärt hätten, an dem Projekt beteiligt gewesen zu sein. In Nr. 2.3.3.2 des Berichts sei nämlich ausdrücklich erwähnt, dass „die zehn Forscher, die die Fragebögen des OLAF beantwortet hatten, ihre Beteiligung am MINATRAN-Projekt bestätigt haben“. Desgleichen ergebe sich aus Nr. 2.3.3.2, wonach „[einige] Forscher jedoch weder die in ihrem Namen von der [Aristoteles-Universität] gemeldeten Ausgaben noch den Besitz eines griechischen Bankkontos bestätigt [haben]“, sowie aus der in dem Bericht enthaltenen Zusammenfassung der Antworten der Forscher, dass die meisten Forscher tatsächlich gewusst hätten, dass in ihrem Namen Bankkonten eröffnet und Zahlungen an sie geleistet worden seien. Somit werde in der streitigen Pressemitteilung unzutreffend angegeben, dass kein Forscher davon Kenntnis gehabt habe, dass sein Name mit dem Projekt in Verbindung gebracht werde, während aus allen Antworten der Forscher hervorgehe, dass alle davon gewusst hätten. Zudem stelle die Würdigung des Gerichts, dass die Pressemitteilung mit der Verwendung des Wortes „keines“ Forschers „bestimmte“ habe sagen wollen, eine Verfälschung dieses Begriffs dar.
74 Zweitens weist die Rechtsmittelführerin in Bezug auf Rn. 169 des angefochtenen Urteils darauf hin, dass aus Nr. 2.3.3.1 des Abschlussberichts des OLAF hervorgehe, dass der einzige Vorwurf, der ihr als Versuch einer Behinderung der Untersuchung gemacht worden sei, der Umstand gewesen sei, dass sie eine einzige E‑Mail an einen einzigen Forscher gesandt habe. Selbst wenn die Versendung allein dieser E‑Mail, in der sie dem Forscher lediglich mitgeteilt habe, dass er nicht verpflichtet sei, den Fragebogen des OLAF zu beantworten, als Versuch einer Behinderung der Untersuchung eingestuft werden könnte, stelle die Feststellung in Rn. 169 des angefochtenen Urteils, dass sie „mehrmals Kontakt zu bestimmten Forschern aufgenommen“ habe, eine offensichtliche Verfälschung der Tatsachen dar.
75 Nach Ansicht der Kommission hat das Gericht in Rn. 157 des angefochtenen Urteils zu Recht befunden, dass das OLAF in der streitigen Pressemitteilung keine unrichtigen Informationen verbreitet habe, die die Schlussfolgerungen seines Abschlussberichts verfälscht hätten. Jedenfalls könne nur ein hinreichend qualifizierter Verstoß gegen das Sorgfaltsprinzip die außervertragliche Haftung der Union begründen.
76 Darüber hinaus sei auch das gegen Rn. 169 des angefochtenen Urteils gerichtete Vorbringen der Rechtsmittelführerin zurückzuweisen. Denn zur Stützung der gerügten angeblichen Verfälschung berufe sich die Rechtsmittelführerin auf bestimmte spezielle Elemente des Abschlussberichts des OLAF, ohne zu berücksichtigen, dass andere Elemente in dem Bericht darauf hindeuteten, dass sie auch zu einem Forscher Kontakt aufgenommen habe, um ihn darüber zu informieren, dass er nicht verpflichtet sei, dem OLAF zu antworten, und zu einem anderen Forscher, um darauf hinzuwirken, dass er seine ursprünglichen Antworten berichtige. Ferner sei das OLAF davon ausgegangen, dass die von einigen Forschern im selben Zeitraum spontan vorgenommene Rücknahme oder Änderung der Antworten, die sie ursprünglich gegeben hätten, einen Hinweis darauf darstelle, dass diese Forscher E‑Mails ähnlichen Inhalts erhalten hätten.
2. Würdigung durch den Gerichtshof
77 In Rn. 157 des angefochtenen Urteils hat das Gericht u. a. befunden, dass sich aus den Akten ergebe, dass das OLAF dadurch, dass es im fünften Absatz der streitigen Pressemitteilung die Wendung „[keiner dieser Forscher] wusste“ gebraucht habe, um „bestimmte Forscher“ zu bezeichnen, keine unrichtigen Informationen verbreitet habe, die die Schlussfolgerungen seines Abschlussberichts verfälscht hätten. In Rn. 169 des Urteils hat es in Bezug auf die im vierten Absatz der Mitteilung enthaltene Erwähnung der mutmaßlichen „Versuche“ der Rechtsmittelführerin zur Behinderung der Untersuchung befunden, dass das OLAF – wie sich aus seinem Abschlussbericht ergebe – bei seiner Untersuchung festgestellt habe, dass die Rechtsmittelführerin mehrfach Kontakt zu bestimmten Forschern aufgenommen habe, und dass das OLAF diese Handlungen als Behinderung seiner Untersuchung angesehen habe.
78 Nach ständiger Rechtsprechung muss sich eine Verfälschung in offensichtlicher Weise aus den Akten ergeben, ohne dass es einer neuen Tatsachen- und Beweiswürdigung bedarf (Urteil vom 25. Juli 2018, Orange Polska/Kommission, C‑123/16 P, EU:C:2018:590, Rn. 75 und die dort angeführte Rechtsprechung). Eine Verfälschung ist gegeben, wenn ohne die Erhebung neuer Beweise die Würdigung der vorliegenden Beweise offensichtlich unzutreffend ist (Urteil vom 17. Juni 2010, Lafarge/Kommission, C‑413/08 P, EU:C:2010:346, Rn. 17 und die dort angeführte Rechtsprechung).
79 Im Übrigen kann eine solche Verfälschung von Beweisen zwar in der Auslegung eines Dokuments entgegen seinem Inhalt bestehen, muss aber offensichtlich aus den dem Gerichtshof vorgelegten Akten hervorgehen und setzt voraus, dass das Gericht die Grenzen einer vernünftigen Beurteilung dieser Beweise offensichtlich überschritten hat. Insoweit genügt es nicht, darzutun, dass ein Dokument anders ausgelegt werden könnte, als das Gericht es getan hat (Urteil vom 16. Februar 2023, Kommission/Italien und Spanien, C‑635/20 P, EU:C:2023:98, Rn. 127 und die dort angeführte Rechtsprechung).
80 In Anbetracht dieser Rechtsprechung könnten die vom Gericht in den Rn. 157 und 169 des angefochtenen Urteils getroffenen Tatsachenfeststellungen nur dann in Frage gestellt werden, wenn dargetan wäre, dass sich aus den dem Gericht vorgelegten Schriftstücken in offensichtlicher Weise ergibt, dass diese Feststellungen unzutreffend sind.
81 Was erstens Rn. 157 des angefochtenen Urteils betrifft, wirft die Rechtsmittelführerin dem Gericht vor, sowohl die streitige Pressemitteilung als auch die Schlussfolgerungen des Abschlussberichts des OLAF verfälscht zu haben.
82 Insoweit ist darauf hinzuweisen, dass das OLAF im dritten Satz des fünften Absatzes der streitigen Pressemitteilung darauf hingewiesen hat, dass es „[e]inige der Forscher, die angeblich an dem Forschungsprojekt beteiligt waren, [kontaktiert hat]“. Die Feststellung im folgenden Satz, dass „[k]einer von ihnen wusste, dass ihre Namen mit dem Projekt in Verbindung gebracht wurden, oder … von den Bankkonten, die in ihren Namen eröffnet worden waren, oder von irgendwelchen Zahlungen an sie [Kenntnis hatte]“, ist daher dahin zu verstehen, dass sie für alle Forscher galt, zu denen das OLAF Kontakt aufgenommen hatte.
83 Folglich hat das Gericht dadurch, dass es in Rn. 157 des angefochtenen Urteils den letzten Satz der streitigen Pressemitteilung dahin ausgelegt hat, dass das OLAF habe feststellen wollen, dass einige der Forscher, zu denen es Kontakt aufgenommen habe, weder gewusst hätten, dass ihre Namen mit dem Projekt in Verbindung gebracht würden, noch von den Bankkonten, die in ihrem Namen eröffnet worden seien, oder von irgendwelchen Zahlungen an sie Kenntnis gehabt hätten, während die streitige Pressemitteilung nur so verstanden werden kann, dass sie sich auf alle vom OLAF kontaktierten Forscher bezieht, zum einen den Inhalt der streitigen Pressemitteilung verfälscht.
84 Was zum anderen die gerügte Verfälschung der Schlussfolgerungen des Abschlussberichts des OLAF angeht, ist festzustellen, dass aus den Schlussfolgerungen in Nr. 2.3.3.2 des Berichts hervorgeht, dass zehn Forscher, die an dem Forschungsprojekt beteiligt gewesen sein sollen, den Fragebogen des OLAF beantworteten und „bestätigten, dass sie am MINATRAN-Projekt beteiligt waren“. Desgleichen heißt es dort, dass „[jedoch einige] Forscher … weder die in ihrem Namen von der [Aristoteles-Universität] gemeldeten Ausgaben noch den Besitz eines griechischen Bankkontos bestätigt [haben]“. Daher ist offensichtlich, dass anders, als aus der streitigen Pressemitteilung hervorgeht, nicht alle Forscher, zu denen das OLAF Kontakt aufgenommen hatte, nicht wussten, dass ihre Namen mit dem Forschungsprojekt in Verbindung gebracht wurden, und von den Bankkonten, die in ihrem Namen eröffnet wurden, oder von irgendwelchen Zahlungen an sie nicht Kenntnis hatten. Das Gericht hat daher die Schlussfolgerungen des Abschlussberichts dadurch verfälscht, dass es in Rn. 157 des angefochtenen Urteils befunden hat, dass das OLAF im fünften Absatz der streitigen Pressemitteilung keine unrichtigen Informationen offengelegt habe.
85 Was zweitens Rn. 169 des angefochtenen Urteils anbelangt, geht aus dem Wortlaut von Nr. 2.3.3.1 des Abschlussberichts, auf die sich die Rechtsmittelführerin bezieht, hervor, dass ihr als Versuch einer Behinderung der Untersuchung vorgeworfen wurde, eine E‑Mail an einen einzigen Forscher gesandt zu haben, während die streitige Pressemitteilung abstrakt auf mehrere Behinderungsversuche Bezug nimmt. Es ist jedoch nicht offensichtlich, dass das OLAF in Nr. 2.3.3.1 des Abschlussberichts die der Rechtsmittelführerin vorgeworfenen Behinderungsversuche erschöpfend erfassen wollte.
86 Somit ist nicht offensichtlich, dass das Gericht den Abschlussbericht des OLAF dadurch verfälscht hat, dass es in Rn. 169 des angefochtenen Urteils befunden hat, dass das OLAF – wie aus diesem Bericht hervorgeht – während seiner Untersuchung festgestellt habe, dass die Rechtsmittelführerin mehrfach Kontakt zu bestimmten Forschern aufgenommen habe, und dass es diese Handlungen als Behinderung seiner Untersuchung angesehen habe.
87 Folglich greift der dritte Rechtsmittelgrund nur insoweit durch, als das Gericht den Klagegrund einer Verletzung des Rechts auf eine gute Verwaltung in Bezug auf den fünften Absatz der streitigen Pressemitteilung zurückgewiesen hat.
88 Da der erste und der zweite Rechtsmittelgrund sowie ein Teil des dritten Rechtsmittelgrundes durchgreifen, ist das angefochtene Urteil insoweit aufzuheben, als das Gericht damit den Klageantrag zurückgewiesen hat, der darauf gerichtet ist, die Kommission zum Ersatz des Schadens zu verurteilen, der sich aus dem Verstoß des OLAF gegen seine Pflichten aus der Verordnung 2018/1725, gegen den Grundsatz der Unschuldsvermutung und gegen das Recht auf eine gute Verwaltung ergibt.
89 Im Übrigen ist das Rechtsmittel zurückzuweisen.
VI. Zur Klage vor dem Gericht
90 Nach Art. 61 Abs. 1 Satz 2 der Satzung des Gerichtshofs der Europäischen Union kann der Gerichtshof im Fall der Aufhebung der Entscheidung des Gerichts den Rechtsstreit selbst endgültig entscheiden, wenn dieser zur Entscheidung reif ist.
91 Dies ist vorliegend nicht der Fall.
92 Das Gericht hat nämlich weder geprüft, ob das OLAF durch die Veröffentlichung der streitigen Pressemitteilung gegen die in Art. 9 Abs. 1 der Verordnung Nr. 883/2013 vorgesehene und in Art. 48 Abs. 1 der Charta in Verbindung mit Art. 6 Abs. 2 EMRK verankerte Unschuldsvermutung verstoßen hatte, noch, ob im Fall eines solchen Verstoßes die Voraussetzungen für die Feststellung der außervertraglichen Haftung der Union nach Art. 340 AEUV erfüllt sind.
93 Unter diesen Umständen ist der Rechtsstreit nicht zur Entscheidung reif.
VII. Kosten
94 Da die Sache an das Gericht zurückverwiesen wird, ist die Entscheidung über die durch das vorliegende Rechtsmittelverfahren entstandenen Kosten vorzubehalten.
Aus diesen Gründen hat der Gerichtshof (Sechste Kammer) für Recht erkannt und entschieden:
1. Das Urteil des Gerichts der Europäischen Union vom 4. Mai 2022, OC/Kommission (T‑384/20, EU:T:2022:273), wird aufgehoben, soweit das Gericht darin den Klageantrag auf Verurteilung der Europäischen Kommission auf Ersatz des Schadens wegen des Verstoßes des Europäischen Amtes für Betrugsbekämpfung (OLAF) gegen seine Pflichten aus der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG, gegen den Grundsatz der Unschuldsvermutung und gegen das Recht auf eine gute Verwaltung zurückgewiesen hat.
2. Im Übrigen wird das Rechtsmittel zurückgewiesen.
3. Die Rechtssache T‑384/20 wird an das Gericht der Europäischen Union zurückverwiesen.
4. Die Kostenentscheidung bleibt vorbehalten.
Unterschriften