DSGVO - BDSG - TTDSG

b) Anspruch auf de-listing aus Art. 17 Abs. 1 DSGVO

100

Dennoch besteht das vom EuGH entwickelte Recht weiter: Entgegen der oben genannten Einwände fasst die neuere Rechtsprechung den Anspruch auf de-listing als Löschanspruch im Sinne von Art. 17 Abs. 1 DSGVO auf.158

101

Die vom EuGH in seiner „Google-Spain“-Entscheidung angelegten Maßstäbe kommen dabei allerdings nur begrenzt zur Anwendung, insbesondere der dortige Abwägungsmechanismus des EuGH (siehe unten Rn. 121) ist nicht schematisch anzuwenden, es ist vielmehr mit Vorsicht den jeweiligen Besonderheiten des Einzelfalls Rechnung zu tragen.159 Bei der Beurteilung des jeweiligen Einzelfalls ist dabei auf den umfangreichen Kanon an Kriterien und Maßstäben für De-listing-Ansprüche gegen Suchmaschinenbetreiber zurückzugreifen, der über die Jahre von der deutschen Rechtsprechung entwickelt wurde.160

102

Von besonderer Bedeutung ist in diesem Zusammenhang das Antragserfordernis, welches nach nunmehr verfassungsgerichtlicher Rechtsprechung besteht: Suchmaschinenbetreiber sind nur nach dem Grundsatz des „notice and take down“-Prinzips zur (Prüfung des Auslistungsbegehrens und sodann ggf. zur) Löschung verpflichtet, also erst nach Eingang eines entsprechenden Auslistungsbegehrens.161 Ausdrücklich nicht mehr erforderlich ist nach neuerster Rechtsprechung des BGH (in Abwendung von seiner die Rechtslage vor Anwendbarkeit der DSGVO betreffenden gegenteiligen Rechtsprechung), dass der Suchmaschinenbetreiber durch einen konkreten Hinweis Kenntnis von einer offensichtlichen und auf den ersten Blick klar erkennbaren Rechtsverletzung erlangt hat, bevor ihn spezifische Verhaltenspflichten treffen. Diese Einschränkung diente dazu, dem Suchmaschinenbetreiber keine unangemessenen Prüfpflichten aufzuerlegen. Das im Geltungsbereich der DSGVO anzuwendende Gebot einer gleichberechtigten Abwägung der sich gegenüberstehenden Grundrechte stehe einer solchen grundsätzlichen Einschränkung nunmehr entgegen.162 Das Antragserfordernis scheint hiervon allerdings unberührt zu bleiben, betroffen ist mithin nur die Substantiierungslast.163 Jedenfalls teilweise Klärung könnte die noch ausstehende Entscheidung des EuGH über die kürzlich vom BGH zur Vorabentscheidung vorgelegte Frage bringen, welche die Nachweislast hinsichtlich des Wahrheitsgehaltes eines vom Suchmaschinenbetreiber indexierten Onlineinhaltes betrifft.164

103

Das BVerfG stellte zudem fest, dass aufgrund der oftmals bestehenden Möglichkeit, durch entsprechende Suchanfragen ein mehr oder weniger detailliertes Profil der betroffenen Person zu erstellen, die wirtschaftlichen Interessen des Suchmaschinenbetreibers (Art. 16 GRCh) dem Schutzbedürfnis der betroffenen Person (Art. 7 GRCh und Art. 8 GRCh) nicht entgegengehalten werden können. Ausschlaggebend für das Ergebnis der (entweder im Rahmen der Prüfung des Bestehens einer Rechtsgrundlage gem. Art. 17 Abs. 1 DSGVO i.V.m. Art. 6 Abs. 1 lit. f DSGVO oder im Rahmen der Prüfung der Ausschlussgründe gem. Art. 17 Abs. 3 lit. a DSGVO) vorzunehmenden Grundrechtsabwägung sind also vielmehr das der Auslistung entgegenstehende Informationsinteresse der Öffentlichkeit (Art. 11 GRCh) sowie sonstige Grundrechte Dritter, insb. des Inhalteanbieters (Art. 11 GRCh).165 Bei der Grundrechteabwägung ist zudem zu beachten, dass zwischen den verschiedenen Datenverarbeitenden, d.h. zwischen dem Suchmaschinenbetreiber und dem Inhalteanbieter, zu unterscheiden ist.166 Dennoch sind Wechselwirkungen zwischen beiden Datenverarbeitungsvorgängen zu erwarten, weshalb die Situation des Betroffenen gegenüber dem Inhalteanbieter bei der Beurteilung des Anspruchs gegen den Suchmaschinenbetreiber berücksichtigt werden muss. Ein Automatismus, wonach ein dem Suchmaschinenbetreiber gegenüber zu bejahender Anspruch auch zu einem Löschanspruch gegenüber dem Inhalteanbieter führt, ist allerdings nicht gegeben.167 Andersherum muss die Entscheidung über die Rechtmäßigkeit der Datenverarbeitung durch den Inhalteanbieter die Entscheidung über die Rechtsmäßigkeit der Datenverarbeitung durch den Suchmaschinenbetreiber anleiten.168

104

Zu den die De-listing-Ansprüche betreffenden Auslegungsfragen vgl. schließlich die Leitlinien 5/2019 zu den Kriterien des Rechts auf Vergessenwerden in Fällen in Bezug auf Suchmaschinen des Europäischen Datenschutzausschusses vom Juli 2020 sowie die Leitlinien der Artikel-29-Datenschutzgruppe für die Umsetzung der „Google-Spain“-Entscheidung des EuGH (WP 225) vom November 2014. Spezifische Leitlinien des Datenschutzausschusses zu Art. 17 Abs. 2 DSGVO sind in Planung.169

2. Voraussetzungen

105

Die Informationspflicht entsteht, wenn der Verantwortliche selbst zur Löschung gem. Art. 17 Abs. 1 DSGVO verpflichtet ist und die personenbezogenen Daten öffentlich gemacht hat.

106

Unklar ist, ob der fehlende Verweis auf Abs. 3 beabsichtigt war. Während der Wortlaut mit guten Gründen für unvollständig gehalten werden kann170 – schließlich verlangt dieser, dass der Verantwortliche zur Löschung verpflichtet ist, wobei sich eine solche Pflicht erst aus einer Zusammenschau des Art. 17 Abs. 1 und Abs. 3 DSGVO ergeben kann –, erscheint es nicht unwahrscheinlich, dass dieser partielle Verweis gewollt war. Zu beachten ist allerdings, dass eine Löschpflicht gem. Art. 17 Abs. 1 DSGVO, wie sie Voraussetzung für die Informationspflicht gem. Abs. 2 ist, nur bestehen kann, soweit die Geltung des Abs. 1 nicht gem. Abs. 3 ausgeschlossen ist. Ein expliziter Verweis in Abs. 2 auf Abs. 3 ist folglich nicht erforderlich.

107

Der, ebenfalls unionsautonom auszulegende Begriff des Öffentlichmachens ist in der DSGVO nicht legaldefiniert. Aus einem Vergleich mit der Informationspflicht aus Art. 19 DSGVO ergibt sich aber, dass das Öffentlichmachen i.S.v. Art. 17 Abs. 2 DSGVO das Zurverfügungstellen von Daten an einen unbestimmten Personenkreis meint.171 Zwar wurde Abs. 2 mit Blick auf die besonderen Gefahren der Datenverbreitung im Internet entworfen, dem Wortlaut der Norm nach beschränkt sich dessen Anwendungsbereich aber nicht auf Vorgänge im Netz.172 Worms geht zudem zutreffend davon aus, dass die Verlinkung von personenbezogenen Daten in der Ergebnisliste von Suchmaschinen unter den Begriff des Öffentlichmachens zu subsumieren ist.173

108

Problematischer ist hingegen die Einordnung von Veröffentlichungen in sozialen Netzwerken. Zunächst ist klarzustellen, dass nicht nur Unternehmen, sondern grundsätzlich auch Privatpersonen nach der DSGVO verpflichtet sein können, vgl. Art. 4 Nr. 7 DSGVO. Art. 2 Abs. 2 lit. c DSGVO sieht jedoch eine Ausnahme der Anwendbarkeit vor, wenn die Verarbeitung personenbezogener Daten ausschließlich persönlichen oder familiären Tätigkeiten dient (sog. „household exemption“). Vor diesem Hintergrund wird das Einstellen von personenbezogenen Daten dritter Personen in eine soziale Plattform, wie bspw. Facebook, nur dann der DSGVO unterfallen und den Begriff des Öffentlichmachens i.S.v. Art. 17 Abs. 2 DSGVO erfüllen, wenn der Beitrag nicht bloß für einen begrenzten Personenkreis sichtbar ist.174 Ob das Anpassen der Privatsphäre-Einstellungen dahingehend, dass nur „Freunde“ den Beitrag sehen können, ausreicht, ist in Anbetracht der häufig sehr großen „Freundeskreise“ und nur, wenn überhaupt vorhandenen, sehr lockeren persönlichen Beziehung zu diesen „Freunden“, fraglich. Konkrete Kriterien werden sich erst im Laufe der Zeit mit der Rechtsprechung herausbilden können.

109

Während der Plattformbetreiber zwar ohne Weiteres als Verantwortlicher für die von seinen Nutzern eingestellten Daten angesehen werden kann,175 ist unklar, wann er den Tatbestand des Öffentlichmachens erfüllt. Jedenfalls wenn der Nutzer selbst die Daten über die Plattform öffentlich macht, ist dem Netzwerkanbieter als gemeinsamer Verantwortlicher176 auch die Öffentlichmachung zuzurechnen, da gerade dessen technische Vorrichtungen, die gerade hierfür gedacht sind, genutzt wurden.177

110

Fraglich ist zudem, ob ein Antrag der betroffenen Person erforderlich ist. Zwar verlangt Art. 17 Abs. 2 DSGVO nicht, dass die Löschpflicht des zur Information verpflichteten Verantwortlichen aufgrund eines Löschbegehrens entstanden ist. Allerdings ist der Verantwortliche nach dem Wortlaut dazu verpflichtet, dritte Verantwortliche darüber zu informieren, dass der Betroffene die Löschung von ihnen verlangt hat. Streng genommen ist daher kein Antrag auf Löschung gegenüber dem ersten Verantwortlichen erforderlich, wohl aber das diesem gegenüber geäußerte Verlangen, dass die Daten durch die anderen Verantwortlichen gelöscht werden.178 Auch an dieser Stelle sind an das Verlangen des Betroffenen keine überhöhten Anforderungen zu stellen; die konkludente Erklärung ist ausreichend. Wird von einem Verantwortlichen, der die Daten öffentlich gemacht hat, die Löschung dieser Daten verlangt, wird wohl davon auszugehen sein, dass die Löschung der Daten an jeder gespeicherten Stelle gewünscht ist.179 Eine Verkürzung der Rechte des Betroffenen ist bei einer solchen Auslegung indes nicht zu befürchten:180 Sollten im Einzelfall Situationen gegeben sein, in denen der die Informationen erhaltende dritte Verantwortliche Zweifel an dem Löschbegehren hat, ist dieser gem. Art. 12 Abs. 2 DSGVO verpflichtet, sich bei der betroffenen Person durch Rückfrage zu vergewissern (siehe Art. 12 Rn. 14).

3. Rechtsfolge

111

Bei Vorliegen der genannten Voraussetzungen ist der Verantwortliche dazu verpflichtet, die unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessenen Maßnahmen, auch technischer Art, zu treffen, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen hiervor verlangt hat.

112

Empfänger der Information ist jeder Verantwortliche, der seinerseits die Daten verarbeitet. Unklar ist, ob auch diese Verantwortlichen dem Anwendungsbereich der DSGVO unterfallen müssen. Adressat der Informationspflicht ist zwar nur derjenige Verantwortliche, der auch innerhalb des Anwendungsbereichs der DSGVO agiert; hieraus lassen sich aber grundsätzlich keine Rückschlüsse auf den Informationsempfänger ziehen.181 Da die Informationspflicht der Stärkung der Rechte des Betroffenen dient, ist die Norm dahingehend aufzufassen, dass grundsätzlich jeder Dritte zu informieren ist. Die Tatsache, dass es für die Informationspflicht nicht erheblich ist, ob der Dritte seinerseits zur Löschung verpflichtet ist, bestärkt diese Annahme.

113

In jedem Fall ist der Verantwortliche nur zur Implementierung angemessener Maßnahmen verpflichtet. Der aktuelle Wortlaut des Art. 17 Abs. 2 DSGVO weicht damit von dem des Kommissionsentwurfs ab: Dieser hatte in Art. 17 Abs. 2 DSGVO-E (KOM) noch zur Vornahme aller vertretbaren Schritte verpflichtet. Ob mit dieser Wortlautänderung tatsächlich als Reaktion auf viele kritische Stimmen182 eine Entschärfung der Informationspflicht einhergeht,183 ist unklar, kann aber auch dahinstehen. Eindeutig lässt sich dies hingegen mit Blick auf die legislative Entschließung des Europäischen Parlaments aus dem Jahr 2014 sagen. Danach sollte nicht bloß dazu verpflichtet werden, Dritte zu informieren, sondern alle vertretbaren Schritte vorzunehmen, um (auch) bei Dritten die Löschung zu erreichen.184

114

Der Begriff der Angemessenheit ist im Sinne des Prinzips der Verhältnismäßigkeit zu verstehen.185 Die Kommission sieht dementsprechend in Abs. 2 eine „Best efforts“-Pflicht.186 Art. 17 Abs. 2 DSGVO selbst nennt als Abwägungskriterien die verfügbaren Technologien und die Implementierungskosten, wobei es sich um eine nicht abschließende Aufzählung handelt.187 Es sind jeweils alle Besonderheiten des Einzelfalls zu berücksichtigen; besondere Bedeutung wird vor allem die Art der betreffenden Daten haben. Je schwerer der Eingriff in das allgemeine Persönlichkeitsrecht des Betroffenen wiegt, desto mehr Aufwand ist dem Verantwortlichen zuzumuten.188 Bei den technischen Möglichkeiten handelt es sich ferner um einen absoluten Maßstab. Die Implementierungskosten sind hingegen individuell zu gewichten.189

115

Welche Maßnahmen jeweils zu treffen sind, muss für jeden Einzelfall separat entschieden werden.190 Um dennoch eine einheitliche Anwendung der Verordnung zu gewährleisten, obliegt es dem europäischen Datenschutzausschuss gem. Art. 70 Abs. 1 lit. d DSGVO, Leitlinien, Empfehlungen und bewährte Verfahren zu Verfahren für die Löschung zur Verfügung zu stellen.

116

Ob diese Pflicht in der Praxis einen breiten Anwendungsbereich haben wird oder ob sie regelmäßig aufgrund der Überschreitung der Grenze des Angemessenen ausgeschlossen sein wird, bleibt abzuwarten.191

V. Ausschlussgründe (Abs. 3)

117

Die in Abs. 1 und 2 enthaltenen Rechte des Betroffenen und Pflichten des Verantwortlichen sind ausgeschlossen, wenn einer der in Abs. 3 aufgeführten Gründe gegeben ist. Hierbei handelt es sich zwar um eine abschließende Aufzählung,192 aber auch darüber hinaus kann die Ausübung des Löschanspruchs aufgrund von Treu und Glauben verwehrt sein.193 Letzteres kommt insbesondere bei missbräuchlicher Rechtsausübung in Betracht.194 Zu nennen ist auch Art. 11 Abs. 2 Satz 2 DSGVO, wonach unter anderem Art. 17 DSGVO grundsätzlich keine Anwendung findet in Fällen, in denen für die Zwecke der Datenverarbeitung die Identifizierung der betroffenen Person nicht mehr erforderlich ist (Art. 11 Abs. 1 DSGVO).

118

Der Einleitungssatz des Abs. 3 stellt auf die Erforderlichkeit der weiteren Verarbeitung für die sodann genannten Ausschlussgründe ab. Während der Wortlaut auch eine Auslegung dahingehend zuließe, dass das Erforderlichkeitskriterium ausschließlich aus der Perspektive des Verantwortlichen zu beurteilen ist, entspräche eine solche Auslegung nicht dem Grundkonzept der DSGVO. Das Kriterium der Erforderlichkeit ist vielmehr als Ausgleichsmechanismus zu verstehen, welcher die widerstreitenden Interessen der betroffenen Parteien im Sinne der praktischen Konkordanz zum Ausgleich bringen soll.195

1. Recht auf freie Meinungsäußerung und Information (lit. a)

119

Abs. 3 lit. a lässt die Rechte und Pflichten der Absätze 1 und 2 entfallen, wenn dies zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist. Es sind daher das Datenschutzgrundrecht gem. Art. 8 GRCh (Schutz personenbezogener Daten) i.V.m. Art. 7 GRCh (Achtung des Privat- und Familienlebens) unter Beachtung des Art. 8 EMRK (Recht auf Achtung des Privat- und Familienlebens, siehe Rn. 16) und Art. 11 GRCh (Freiheit der Meinungsäußerung und Informationsfreiheit) unter Beachtung von Art. 10 EMRK (Freiheit der Meinungsäußerung) in Einklang zu bringen. Maßgeblich sind dabei, wie jüngst auch das BVerfG festgestellt hat,196 aufgrund der Vollharmonisierung nur die unionsrechtlichen Grundrechtsmaßstäbe, nicht etwa die des Grundgesetzes. Etwas anderes gilt allerdings im Bereich der Öffnungsklausel in Art. 85 Abs. 2 DSGVO (siehe bereits Rn. 94). Diese Abwägung obliegt allerdings zunächst dem Verantwortlichen, der damit eine Aufgabe wahrnehmen muss, die bisher den staatlichen Instanzen oblag. Dieser Umstand stößt auf große Bedenken und löste zum Teil heftige Kritik aus.197 Zu befürchten ist insbesondere ein „chilling effect“, da zu erwarten ist, dass die Verantwortlichen gerade mit Blick auf die (sehr hohen) Sanktionen tendenziell zu viel als zu wenig löschen werden.198

120

Das Ende der Meinungsfreiheit, wie es gerade von amerikanischen Autoren vorhergesagt wird,199 steht indes nicht bevor: Denn während Art. 17 Abs. 3 lit. a DSGVO selbst keine Kriterien für die Abwägung festlegt, wurden solche in den letzten Jahrzehnten sowohl auf internationaler,200 Unions- als auch auf nationaler201 Ebene teilweise sehr detailliert entwickelt. Diese starke Rechtsprechungstradition ermöglicht es durchaus auch Privatpersonen oder Unternehmen, ein tragfähiges Abwägungsergebnis zu erzielen. Die Abwägung erleichternd wirkt sich schließlich der Umstand aus, dass Art. 17 Abs. 3 lit. a DSGVO letztlich die Anforderungen des Art. 6 Abs. 1 Satz 1 lit. f DSGVO wiederaufgreift und damit den Rückgriff auf die dort anzuwendenden Maßstäbe ermöglicht.202 Beruht die Löschpflicht auf Art. 17 Abs. 1 lit. c oder d DSGVO wiederholt Art. 17 Abs. 3 lit. a DSGVO schließlich nur die Maßstäbe des bereits für die Begründung der Löschpflicht zu prüfenden Art. 6 Abs. 1 Satz 1 lit. f DSGVO, sodass eine erneute Prüfung unterbleiben kann.203

121

Problematisch erscheint in diesem Kontext allerdings die Einräumung des grundsätzlichen Vorrangs des Persönlichkeits- und Datenschutzes durch den EuGH.204 Ein generell eingeräumter Vorrang eines Rechts vor einem anderen verfälscht das Abwägungsergebnis und widerspricht damit dem europäischen Verständnis des Gleichgewichts der Grundrechtsverbürgungen,205 welches im Grundsatz der praktischen Konkordanz Ausdruck findet.206 Gegen einen solchen grundsätzlichen Vorrang spricht außerdem ErwG 4 der DSGVO, welcher die Bedeutung des Verhältnismäßigkeitsprinzips betont (siehe hierzu auch schon Rn. 101).

122

Das ehemals in § 41 BDSG a.F. und § 57 RStV enthaltene Medienprivileg befindet sich nun als Öffnungsklausel in Art. 85 DSGVO (siehe Art. 85 Rn. 19ff.).

123

Schließlich ist festzustellen, dass der Anwendungsbereich, anders als noch im Kommissionsvorschlag,207 nicht auf die „professionelle Meinungsäußerung“ durch Journalisten und Schriftsteller beschränkt ist. Art. 17 Abs. 3 lit. a DSGVO findet auf jedes Grundrechtssubjekt Anwendung.208 Zu berücksichtigen sind zudem nicht nur entgegenstehende Meinungsäußerungsrechte des für die Datenverarbeitung Verantwortlichen, sondern eines jeden Dritten (siehe schon Rn. 103).209

2. Erfüllung einer rechtlichen Verpflichtung (Alt. 1) und Wahrnehmung öffentlicher Aufgaben (Alt. 2) (lit. b)

124

Lit. b des Abs. 3 regelt den Ausschluss der Pflichten aus den Absätzen 1 und 2 für den Fall, dass die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Der Wortlaut der Norm ist insofern unglücklich gewählt, als der letzte Teilsatz sich auf die Übertragung der öffentlichen Gewalt beziehen könnte. Gemeint ist aber die Übertragung der Aufgabe, die in Ausübung öffentlicher Gewalt erfolgt.210

125

Art. 17 Abs. 3 lit. b DSGVO entspricht den Datenverarbeitungsrechtsgrundlagen in Art. 6 Abs. 1 lit. c und e DSGVO: Alt. 1 des Art. 17 Abs. 3 lit. b DSGVO entspricht dabei Art. 6 Abs. 1 lit. c DSGVO und Alt. 2 lit. e DSGVO. Es wird daher auf die Kommentierung zu Art. 6 DSGVO verwiesen (siehe Art. 6 Rn. 75ff., 94ff.).

126

Zu beachten ist allerdings, dass sich Löschpflichten im Falle der Erfüllung öffentlicher Aufgaben oder bei Ausübung öffentlicher Gewalt auch außerhalb des Art. 17 DSGVO ergeben können. In solchen Fällen staatlichen Handelns sind jedenfalls die Grundsätze des Vorbehalts des Gesetzes und der Verhältnismäßigkeit zu beachten. Auch wenn sich dies nicht unmittelbar aus dem Wortlaut des Art. 6 Abs. 3 Sätze 2 bis 4 DSGVO ergibt, können der Unions- bzw. der nationale Gesetzgeber verpflichtet sein, Löschpflichten oder gar Löschansprüche zu regeln.211

3. Öffentliches Interesse im Bereich der öffentlichen Gesundheit (lit. c)

127

Gem. Abs. 3 lit. c DSGVO gelten die Abs. 1 und 2 nicht, soweit die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gem. Art. 9 Abs. 2 lit. h und i DSGVO sowie Art. 9 Abs. 3 DSGVO erforderlich ist. Art. 9 Abs. 2 DSGVO regelt die Fälle, in denen die Verarbeitung besonderer Kategorien personenbezogener Daten entgegen des allgemeinen Verarbeitungsverbotes in Art. 9 Abs. 1 DSGVO doch verarbeitet werden dürfen. Art. 9 Abs. 3 DSGVO stellt prozedurale Anforderungen an die Verarbeitung von Daten auf Grundlage von Art. 9 Abs. 2 lit. h DSGVO: Die Verarbeitung muss durch Fachpersonal durchgeführt werden, welches einer Geheimhaltungspflicht unterliegt. Wie bereits im Rahmen von Art. 17 Abs. 3 lit. b DSGVO kann sich auch hier die Notwendigkeit ergeben, innerhalb der gem. Art. 9 Abs. 2 lit. h und i DSGVO erlassenen Unions- oder Nationalrechtsakte Löschpflichten oder gar -rechte zu regeln. Ein Rückgriff auf Art. 17 DSGVO ist aufgrund von Abs. 3 lit. c DSGVO versperrt.212