Der spanische Staatsbürger A, wohnhaft in seinem Heimatland, wollte ein weit zurückliegendes Ereignis – die Anzeige in einer Tageszeitung aus dem Jahre 1998 zur Zwangsversteigerung seines Grundstücks – aus dem Internet verbannt wissen. Die Pfändung gegen ihn habe sich schon lange erledigt und er wolle nicht, dass man durch die Eingabe seines Namens bei Google auf diese, für ihn nachteilige Information stoßen könne; dass er einmal Zahlungsschwierigkeiten gehabt habe, verdiene nunmehr keine Erwähnung mehr. Spanische Gerichte legten die Klage gegen Google dem EuGH vor. Fraglich sei insbesondere, ob die Google Inc. mit Sitz in den USA überhaupt Verantwortlicher im Sinne des europäischen Datenschutzrechts sei und ob Google die Daten, die ja von einer externen Webseite stammen und bloß in den Suchergebnissen genannt seien, überhaupt selbst „verarbeitet“ habe.
Lösung:
Im Folgenden werden die zentralen Ausführungen des EuGH vorgestellt, die auch für eine europarechtliche Examensklausur bestens geeignet sind.
Ein Verfahren vor dem EuGH behandelt beispielweise die Klausur „Der übergangene Interessent“ aus dem juracademy-Klausurenkurs im Öffentlichen Recht.
Frage: Handelt es sich bei der Geschäftstätigkeit der Suchmaschine Google überhaupt um eine „Verarbeitung personenbezogener Daten“ iSd Art. 2 Buchst. b der RL 95/46/EG?
Antwort: Ja.
„Indem er das Internet automatisch, kontinuierlich und systematisch auf die dort veröffentlichten Informationen durchforstet, „erhebt“ der Suchmaschinenbetreiber mithin personenbezogene Daten, die er dann mit seinen Indexierprogrammen „ausliest“, „speichert“ und „organisiert“, auf seinen Servern „aufbewahrt“ und gegebenenfalls in Form von Ergebnislisten an seine Nutzer „weitergibt“ und diesen „bereitstellt“. Diese Vorgänge sind in Art. 2 Buchst. b der RL 95/46/EG ausdrücklich und ohne Einschränkung genannt, so dass sie als „Verarbeitung“ im Sinne dieser Bestimmung einzustufen sind [...]
Daran ändert auch nichts, dass die personenbezogenen Daten bereits im Internet veröffentlicht worden sind und von der Suchmaschine nicht verändert werden. […] Eine allgemeine Ausnahme von der Anwendung der RL 95/46/EG in solchen Fällen würde die Richtlinie nämlich weitgehend leerlaufen lassen.[…] Im Übrigen ergibt sich aus der Begriffsbestimmung in Art. 2 Buchst. B der RL 95/46/EG, dass die Veränderung personenbezogener Daten zwar eine Verarbeitung im Sinne der Richtlinie ist, die anderen dort genannten Vorgänge dagegen keineswegs eine Veränderung dieser Daten erfordern.“
Frage: Sind Suchmaschinen jedoch schon deswegen „Verantwortliche“ da sie den Zugang zu personenbezogenen Inhalten, die Dritte ins Internet gestellt haben, eröffnen bzw. vermitteln?
Antwort: Ja.
Nach Art. 2 Buchst. d der Datenschutzrichtlinie ist der für die Verarbeitung Verantwortliche „die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.“
Der Suchmaschinenbetreiber entscheidet über Zwecke und Mittel seiner Tätigkeit und somit den Rahmen der selbst ausgeführten Verarbeitung personenbezogener Auswertung.
Es ließe sich zudem „nicht nur nicht mit dem klaren Wortlaut, sondern auch nicht mit dem Ziel der genannten Bestimmung, durch eine weite Bestimmung des Begriffs des „Verantwortlichen“ einen wirksamen und umfassenden Schutz der betroffenen Person zu gewährleisten, vereinbaren, den Suchmaschinenbetreiber deshalb von diesem Begriff auszunehmen, weil die auf den Internetseiten Dritter veröffentlichten personenbezogenen Daten nicht seiner Kontrolle unterliegen. [...]
Außerdem ist unstreitig, dass diese Tätigkeit der Suchmaschinen maßgeblichen Anteil an der weltweiten Verbreitung personenbezogener Daten hat, da sie diese jedem Internetnutzer zugänglich macht, der eine Suche anhand des Namens der betreffenden Person durchführt, und zwar auch denjenigen, die die Internetseite, auf der diese Daten veröffentlicht sind, sonst nicht gefunden hätten.
Zudem kann die Organisation und Aggregation der im Internet veröffentlichten Informationen, die von den Suchmaschinen mit dem Ziel durchgeführt wird, ihren Nutzern den Zugang zu diesen Informationen zu erleichtern, bei einer anhand des Namens einer natürlichen Person durchgeführten Suche dazu führen, dass die Nutzer der Suchmaschinen mit der Ergebnisliste einen strukturierten Überblick […] erhalten, anhand dessen sie ein mehr oder weniger detailliertes Profil der Person erstellen können.
Durch die Tätigkeit einer Suchmaschine können die Grundrechte auf Achtung des Privatlebens und Schutz personenbezogener Daten somit erheblich beeinträchtigt werden…“
Eine datenschutzrechtliche Verantwortlichkeit trifft also auch Suchmaschinenbetreiber.
Frage: Unterliegt die spanische Niederlassung der Google Inc., deren Hauptsitz in den USA liegt, überhaupt dem Anwendungsbereich europäischen Datenschutzrichtlinie?
Antwort: Ja.
Google Spain hat eine eigene Rechtspersönlichkeit, ist eine Tochtergesellschaft von Google Inc. und ist eine „Niederlassung“ iSv Art. 4 I Buchst. a der RL 95/46/EG – sie führt ihre Tätigkeit mittels einer festen Einrichtung aus.
Wird die Verarbeitung personenbezogener Daten jedoch auch „im Rahmen der Tätigkeiten“ der spanischen Niederlassung ausgeführt? Schließlich erfolgt die konkrete Datenverarbeitung ausschließlich durch die Muttergesellschaft in den USA, während Google Spain sich nur auf die Unterstützung der Tätigkeit des Google-Konzerns auf dem Gebiet der Werbung beschränkt.
Der EuGH hebt zunächst hervor, dass die Datenschutzrichtlinie nach den Erwägungsgründen einen weiten Anwendungsbereich anstrebe, um insbesondere Umgehungen zu vermeiden.
„Im Hinblick auf dieses Ziel der RL 95/46/EG und den Wortlaut ihres Art. 4 I Buchst. a […] sind nämlich die Tätigkeiten des Suchmaschinenbetreibers und die seiner Niederlassung in dem betreffenden Mitgliedstaat untrennbar miteinander verbunden, da die die Werbeflächen betreffende Tätigkeit das Mittel darstellen, um die in Rede stehende Suchmaschine wirtschaftlich rentabel zu machen, und um die Suchmaschine gleichzeitig das Mittel ist, das die Durchführung dieser Tätigkeiten ermöglicht.“
Die weite Auslegung sei auch notwendig, um die praktische Wirksamkeit der Richtlinie und den wirksamen und umfassenden Schutz der Grundrechte und Grundfreiheiten zu gewährleisten.
Diese Auslegung des EuGH macht es Unternehmen unmöglich, sich durch eine geschickte Wahl des Hauptsitzes des Mutterkonzerns dem europäischen Datenschutzniveau zu entziehen.
Frage: Wie weit geht die Verantwortung des Suchmaschinenbetreibers? Muss er alle personenbezogenen Informationen auf Antrag des Betroffenen entfernen?
Antwort: Nein. Zwar kann ein Löschungsanspruch eines Internetnutzers grundsätzlich bestehen. Jedoch stehen den Grundrechten der betroffenen Person (Art. 7 und Art. 8 der GrCH) auch die Informationsfreiheit anderer Bürger sowie die wirtschaftlichen Interessen des Suchmaschinenbetreibers entgegen. Die dürfen nicht komplett unberücksichtigt bleiben.
Dabei ist zunächst zu beachten, dass ein Löschungsanspruch auch im Hinblick auf sachlich richtige – und nicht nur in Hinblick auf falsche – Informationen bestehen kann. Ein Verstoß gegen Art. 12 Buchst. b RL 95/46/EG liege laut EuGH auch in der Verarbeitung von Daten, die „nicht den Zwecken der Verarbeitung entsprechen, dafür nicht erheblich sind oder darüber hinausgehen, nicht auf den neusten Stand gebracht sind oder länger als erforderlich aufbewahrt werden, es sei denn ihre Aufbewahrung ist für historische, statistische oder wissenschaftliche Zwecke erforderlich. Auf diesen in Art. 6 I Buchst. c-e RL 95/46/EG enthaltenen Anforderungen ergibt sich, dass auch eine ursprünglich rechtmäßige Verarbeitung sachlich richtiger Daten im Laufe der Zeit nicht mehr den Bestimmungen der RL entsprechen kann, wenn die Daten für die Zwecke, für die sie erhoben oder verarbeitet worden sind, nicht mehr erforderlich sind.“
Der EuGH zeichnet den prozessualen Weg für einen Löschungsanspruch des Bürgers vor.
„Anträge gem. Art. 12 Buchst. b und Art. 14 I Buchst. a der RL 95/46/EG können von der betroffenen Person unmittelbar an den für die Verarbeitung Verantwortlichen gerichtet werden, der dann sorgfältig ihre Begründetheit zu prüfen und die Verarbeitung der betreffenden Daten gegebenenfalls zu beenden hat. Gibt der für die Verarbeitung Verantwortliche den Anträgen nicht statt, kann sich die betroffene Person an die Kontrollstelle oder das zuständige Gericht wenden[…]“
Erforderlich bei der Entscheidung ist jeweils eine Abwägung der entgegenstehenden Interessen.
„Wegen seiner potenziellen Schwere kann ein […] Eingriff nicht allein mit dem wirtschaftlichen Interesse des Suchmaschinenbetreibers an der Verarbeitung der Daten gerechtfertigt werden. Da sich die Entfernung von Links aus der Ergebnisliste aber je nach der Information, um die es sich handelt, auf das berechtigte Interesse von potenziell am Zugang zu der Information interessierten Internetnutzern auswirken kann, ist in Situationen wie der des Ausgangsverfahrens ein angemessener Ausgleich ua zwischen diesem Interesse und den Grundrechten der betroffenen Person aus Art. 7 und 8 der Charta zu finden. Zwar überwiegen die durch diese Artikel geschützten Rechte der betroffenen Person im Allgemeinen gegenüber dem Interesse der Internetnutzer; der Ausgleich kann in besonders gelagerten Fällen aber von der Art der betreffenden Information, von deren Sensibilität für das Privatleben der betroffenen Person und vom Interesse der Öffentlichkeit am Zugang zu der Information abhängen, das ua je nach der Rolle, die die Person im öffentlichen Leben spielt, variieren kann.“
Gerade in Verbindung mit einer Entscheidung in Vorlageverfahren durch den EuGH lässt sich aus diesen Fragen eine spannende europarechtliche Klausur stricken. Aber auch für die Auslegung des BDSG sind diese Fragen relevant. Erforderlich ist eine präzise Auslegung der einschlägigen Richtlinie in Verbindung mit Wertungen der Grundrechte. In der Abwägung kommt es – gerade in Sonderfällen (z.B. bei Prominenten) – auch ein überzeugendes Argumentationsvermögen der Klausurbearbeiter an.
Vgl. auch die Besprechung von Streinz, JuS 2014, 1140 ff.
