Vom Volkszählungsurteil bis zum Sicheren Hafen – Die Top 10 der Datenschutzentscheidungen und ihre Folgen (Teil 9)
Die Datenschutzgrundverordnung steht vor der Tür. Eine gute Gelegenheit, auf die Entwicklung des Datenschutzes zurückzublicken. Und damit Vorhang auf für meine sehr subjektive Top-10-Liste der wichtigsten Datenschutzentscheidungen.
Heute: Das Google-Spain-Urteil des Europäischen Gerichtshofs vom 13. Mai 2014.
a) Worum ging es?
Der Spanier Mario Costeja González ist Schriftexperte und Professor. Im Jahr 1998 veröffentlichte die auflagenstarke katalanische Zeitung „La Vanguardia“ eine Liste von Immobilien, die gepfändet werden sollten, weil die Besitzer ihren Verpflichtungen bei der staatlichen Sozialversicherung (Seguridad Social) nicht nachkamen.
In den Artikeln wurde auch sein Name genannt, weil er Miteigentümer einer Immobilie war. Als Vanguardia einige Jahre später ihr Archiv digitalisierte, tauchte sein Name nun in einigen Links in Verbindung mit der Seguridad Social auf, und der Professor wurde mit dem unschönen Thema Pfändung in Verbindung gebracht.
Er behauptete, dass die Schulden längst bezahlt seien und er für Google immer noch erstens als Schuldner und zweitens als verheiratet gelte, obwohl er längst geschieden sei.
Die AEPD forderte Google auf, die erforderlichen Maßnahmen zu ergreifen, um die betreffenden Daten aus ihrem Index zu entfernen und den Datenzugriff künftig zu verhindern. Google klagte daraufhin vor einem spanischen Gericht. Das Gericht wandte sich zur Vorabentscheidung an den EuGH.
b) Wie entschied das Gericht?
Der EuGH hat die Klage abgewiesen, denn Google sei für die Inhalte seiner Suchergebnisse verantwortlich und könne dazu verpflichtet werden, personenbezogene Daten zu entfernen – auch dann, wenn die Daten rechtmäßig auf den Webseiten Dritter veröffentlicht worden seien.
Die für die Praxis zentralen Punkte der Entscheidung des EuGH lassen sich wie folgt zusammenfassen:
Die Tätigkeit eines Suchmaschinenanbieters, die darin besteht, von Dritten im Internet gestellte oder dort veröffentlichte Informationen zu finden, automatisch zu indexieren, vorübergehend zu speichern und schließlich den Internetnutzern in einer bestimmten Reihenfolge zur Verfügung zu stellen, stellt eine eigenständige Verarbeitung personenbezogener Daten gem. Art. 2 lit. b DSRL (Erhebung, Speicherung) dar.
Der Suchmaschinenanbieter ist als für diese Verarbeitung „Verantwortlicher” im Sinne der DSRL anzusehen. Daran ändert auch nichts, dass die personenbezogenen Daten bereits im Internet veröffentlicht worden sind und von der Suchmaschine nicht verändert werden.
Suchmaschinenanbieter benötigen für die Verarbeitung personenbezogener Daten einen Erlaubnistatbestand. Als Erlaubnistatbestand kommt Artikel 7 lit. f DSRL in Betracht.
Danach ist eine Interessenabwägung vorzunehmen. Im Rahmen der Interessenabwägung kommt der EuGH zu dem Ergebnis, dass die Interessen des Betroffenen an einem Ausschluss der Verarbeitung seiner personenbezogenen Daten im konkreten Fall überwiegen.
Er verweist darauf, dass auch
„eine von einem Suchmaschinenbetreiber ausgeführte Verarbeitung personenbezogener Daten wie die im Ausgangsverfahren in Rede stehende die Grundrechte auf Achtung des Privatlebens und Schutz personenbezogener Daten erheblich beeinträchtigen kann”.
Hieraus schließt der EuGH, dass wegen seiner potenziellen Schwere ein solcher Eingriff nicht allein mit dem wirtschaftlichen Interesse des Suchmaschinenbetreibers an der Verarbeitung der Daten gerechtfertigt werden könne.
In Bezug auf die Interessen der übrigen Internetnutzer führt er aus:
„Da sich die Entfernung von Links aus der Ergebnisliste aber je nach der Information, um die es sich handelt, auf das berechtigte Interesse von potenziell am Zugang zu der Information interessierten Internetnutzern auswirken kann, ist in Situationen wie der des Ausgangsverfahrens ein angemessener Ausgleich u.a. zwischen diesem Interesse und den Grundrechten der betroffenen Person aus den Artikel 7 und Artikel 8 der Charta zu finden.
Zwar überwiegen die durch diese Artikel geschützten Rechte der betroffenen Person im Allgemeinen ggü. dem Interesse der Internetnutzer; der Ausgleich kann in besonders gelagerten Fällen aber von der Art der betreffenden Information, von deren Sensibilität für das Privatleben der betroffenen Person und vom Interesse der Öffentlichkeit am Zugang zu der Information abhängen, das u.a. je nach der Rolle, die die Person im öffentlichen Leben spielt, variieren kann“
Im Rahmen der Abwägung kommt der EuGH zu dem Ergebnis, dass im konkreten Fall das Interesse des Betroffenen an einem Ausschluss der Verarbeitung seiner persönlichen Daten überwiegt und ihm ein Löschungsanspruch zusteht.
Hinsichtlich des Löschungsanspruchs verweist der EuGH darauf, dass ein solcher nicht nur besteht, wenn die Verarbeitung personenbezogener Daten – von Anfang an – der DSRL nicht entspricht, sondern es auch möglich ist, dass eine ursprünglich rechtmäßige Verarbeitung sachlich richtiger Daten erst im Lauf der Zeit unrechtmäßig wird, wenn die Daten für die Zwecke, für die sie erhoben und verarbeitet worden sind, nicht mehr erforderlich sind.
Die Verarbeitung personenbezogener Daten muss insoweit während der gesamten Dauer ihrer Ausführung zulässig sein, anderenfalls besteht ein Löschungsanspruch.
Schließlich beschäftigt der EuGH sich mit dem Niederlassungsbegriff. Danach ist davon auszugehen, dass die Verarbeitung personenbezogener Daten, die für den Dienst einer Suchmaschine erfolgt, die wiederum von einem Unternehmen betrieben wird, das seinen Sitz in einem Drittstaat hat, jedoch in einem Mitgliedstaat über eine Niederlassung verfügt, „im Rahmen der Tätigkeiten” dieser Niederlassung ausgeführt wird.
Die Niederlassung muss laut EuGH die Aufgabe haben, in dem Mitgliedstaat für die Förderung des Verkaufs der angebotenen Werbeflächen der Suchmaschine, mit denen die Dienstleistung der Suchmaschine rentabel gemacht werden soll, und den Verkauf selbst zu sorgen.
Unter solchen Umständen sind nämlich die Tätigkeiten des Suchmaschinenbetreibers und die seiner Niederlassung in dem betreffenden Mitgliedstaat untrennbar miteinander verbunden, da die Werbeflächen betreffenden Tätigkeiten das Mittel darstellen, um die in Rede stehende Suchmaschine wirtschaftlich rentabel zu machen, und die Suchmaschine gleichzeitig das Mittel ist, das die Durchführung dieser Tätigkeiten ermöglicht.
c) Was bedeutet das für die Praxis?
Auch wenn die Entscheidung des EuGH einzelfallbezogen und ergebnisorientiert ist, hat sie für die Praxis unmittelbare Auswirkungen:
Nach dem EuGH stellt die Tätigkeit eines Suchmaschinenbetreibers eine gesonderte Verarbeitung personenbezogener Daten dar, für die ein Erlaubnistatbestand entsprechend Artikel 7 lit. f. DSRL erforderlich ist, d.h. in deren Rahmen eine Abwägung der widerstreitenden Interessen erfolgen kann.
Danach dürfen schutzwürdige Interessen des Betroffenen der Verarbeitung oder der Nutzung nicht entgegenstehen.
Eine Interessenabwägung im Einzelfall ist für Suchmaschinenbetreiber jedoch nicht möglich. Deshalb dürfen sie grundsätzlich davon ausgehen, dass im Internet veröffentlichte Informationen rechtmäßig veröffentlicht wurden und daher auch deren Erhebung und Veröffentlichung in der Ergebnisliste einer Suchmaschine zulässig ist.
Erst wenn der Suchmaschinenbetreiber Kenntnis von der Rechtswidrigkeit der Veröffentlichung im Internet oder der Ergebnisliste erhält, hat er eine erneute Interessenabwägung vorzunehmen.
Deshalb muss das Löschungsverlangen des Betroffenen eine Begründung aufweisen und ein Mindestmaß an Sachverhaltsinformationen enthalten, die eine „erneute” Interessenabwägung ermöglicht. Fehlt es hieran, kann das Löschungsverlangen zurückgewiesen werden.
Ein echtes „Recht auf Vergessen”, wie der Presse z.T. zu entnehmen war, hat der EuGH dabei nicht eingeführt. Der Inhalt bleibt ja gerade erhalten; lediglich der Zugang über eine Suchmaschine wird deutlich erschwert, und es bedarf eines erheblichen Aufwands, da mit dem Namen die Artikel mittels einer Suchmaschine nicht mehr auffindbar sind.
Die künftige DatenschutzGVO enthält übrigens als Konsequenz aus dem Urteil das Recht für Nutzer, ihre Daten soweit möglich löschen zu lassen und Daten von einem Anbieter zu einem anderen mitzunehmen.
Eher dem Beklagten im konkreten Fall geschuldet sind die Ausführungen des EuGH zum Niederlassungsbegriff. Nach meinem Eindruck wollte der EuGH Google in die Pflicht nehmen und hat deshalb schon die Marketingtätigkeit einer Niederlassung ausreichend lassen, damit die Datenverarbeitung der datenschutzrechtlich verantwortlichen Google Inc. „im Rahmen der Tätigkeiten” ihrer Niederlassung Google Spain erfolgt.
In der Weltimmo-Entscheidung vom 01.10.2015 präzisierte der EuGH dann unter ausdrücklicher Bezugnahme auf Google Spain, dass das Datenschutzrecht eines Mitgliedstaats auch dann Anwendung finden könne, wenn der für die Verarbeitung personenbezogener Daten Verantwortliche nicht in diesem Mitgliedstaat eingetragen ist, dort aber mittels einer festen Einrichtung eine effektive und tatsächliche Tätigkeit ausübt, in deren Rahmen die Daten verarbeitet werden.
Bei der Beurteilung, ob dies der Fall ist, könne die Behörde u.a. berücksichtigen, dass die Dienstleistung hauptsächlich auf diesen Mitgliedstaat ausgerichtet sei und in dessen Sprache angeboten werde und, dass in dem Mitgliedstaat ein Vertreter des Unternehmens mit dem Forderungseinzug und der außergerichtlichen und gerichtlichen Vertretung in Datenschutzverfahren befasst sei. Die Staatsangehörigkeit des von der Verarbeitung Betroffenen sei dagegen irrelevant.
Soweit eine Datenschutzbehörde dagegen nicht das Recht ihres eigenen, sondern das Recht eines anderen Mitgliedstaats anwendet, darf sie ihre Befugnisse nach Art. 28 Abs. 3 der DSRL dem Urteil zufolge nur im eigenen Mitgliedstaat ausüben. Gegen einen nicht dort niedergelassenen Datenverarbeiter dürfe die Behörde daher keine Sanktionen verhängen, sondern müsse stattdessen die Datenschutzbehörde des anderen Mitgliedstaats um Prüfung eines Verstoßes und ggf. Verhängung von Sanktionen ersuchen.
