Das „Recht auf Vergessenwerden“ in der Praxis

Der Europäische Gerichtshof hat es entschieden: EU-Bürger haben ein Recht darauf, dass Suchmaschinen bestimmte Suchergebnisse über sie nicht mehr anzeigen. Dieses „Recht auf Vergessenwerden“ hat der Europäische Gerichtshof mit dem Urteil im Fall Google Spain aus der Taufe gehoben (Urteil vom 13.05.2014, Rs. C-131/12).

Die Abläufe, nach denen dieses Recht umgesetzt wird, haben sich nun langsam eingespielt. Wir beantworten Fragen zur praktischen Umsetzung.

Von unserer Praktikantin Chiara Heftrig und unserem Rechtsanwalt Dr. Simon Assion.

1. „Recht auf Vergessenwerden“ – Was bedeutet das genau?

Das „Recht auf Vergessenwerden“ ist eigentlich ein datenschutzrechtlicher Anspruch: Das Recht darauf, personenbezogene digitale Daten löschen oder sperren zu lassen, wenn es für deren Verwendung keine Berechtigung mehr gibt. Rechtlich beruht dieser Anspruch auf Artikel 12 (b) und Artikel 14 I (a) der Datenschutz-Richtlinie (95/46/EG) bzw. dem Umsetzungsrecht des jeweiligen Staates (in Deutschland: § 35 BDSG).

Bekannt geworden ist dieses Recht vor allem in Bezug auf Suchmaschinen: Der EuGH hat entschieden, dass ein EU-Bürger von einem Suchmaschinenbetreiber unter bestimmten Voraussetzungen verlangen kann, dass dieser bestimmte mit seinem Namen verknüpfte Suchergebnisse nicht mehr anzeigt. Wenn vom „Recht auf Vergessenwerden“ die Rede ist, dann bezieht sich dies häufig nur noch auf Suchmaschinen. Auch dieser Artikel beschäftigt sich nur mit Suchmaschinen und insbesondere mit Google.

Dabei sollte allerdings nicht aus den Augen verloren werden, dass ein solcher Anspruch letztlich gegen jede Stelle geltend gemacht werden, die personenbezogene Daten verarbeitet.

2. Wann besteht ein „Recht auf Vergessenwerden“?

Damit Suchmaschinenbetreiber verpflichtet sind, Links zu entfernen, müssen bestimmte Voraussetzungen erfüllt sein. Vieles davon ist umstritten und in einigen Fällen werden sicherlich noch Datenschutzbehörden oder Gerichte zu entscheiden haben.

Im Status quo gilt aber ungefähr die folgende „Checkliste“:

  • Zunächst muss europäisches Datenschutzrecht überhaupt anwendbar sein. Dies ist im Grundsatz dann der Fall, wenn der betreffende Suchmaschinenbetreiber im Hoheitsgebiet eines europäischen Mitgliedsstaates tätig ist. Hierfür reicht es im Grundsatz schon aus, wenn der betreffende Suchmaschinenbetreiber auch Dienste an Personen anbietet, die sich innerhalb der EU aufhalten (ausführlich hierzu EuGH v. 01.10.2015 – C-230/14 – Weltimmo). Wo der Server steht, auf dem die Daten gespeichert sind, ist irrelevant. EU-Datenschutzrecht gilt somit für alle großen Suchmaschinenbetreiber und insbesondere für Google.
  • Der Antragsteller muss EU-Staatsangehöriger sein.
  • Der zu löschende Suchtreffer muss bei namensbasierter Suche in den Suchergebnissen erscheinen.
  • Ein Anspruch besteht nur dann, wenn die Persönlichkeitsrechte der betroffenen Person (Artikel 7 und 8 EU-GRCh) gegenüber dem Interesse der Öffentlichkeit am Zugang zu besagter Information (Artikel 11 EU-GRCh) überwiegen. Dies erfordert häufig eine komplexe Abwägung (dazu noch unten).
  • Der Suchmaschinenanbieter wird eine persönliche Information zumindest dann aus den Suchergebnissen entfernen, wenn deren Veröffentlichung im Internet für ihren ursprünglichen Zweck nicht mehr erforderlich oder relevant ist oder über diesen Zweck hinausgeht. Dies ist selbst dann der Fall, wenn die Daten sachlich richtig sind und die Veröffentlichung als solche rechtmäßig ist. Die Person muss nicht nachweisen, dass sie durch die Anzeige des Suchtreffers einen Schaden oder dergleichen erleidet. Denn sie darf im Grundsatz selbst bestimmen, welche Informationen sie für privat erklärt.

Google nennt in seinem Transparenzbericht beispielhaft einige Fälle und deren Bescheidung:

  1. Der Fall eines deutschen Lehrers, der vor mehr als zehn Jahren wegen eines geringfügigen Vergehens verurteilt wurde. Hier löschte Google die URL eines Artikels über die Verurteilung aus den Suchergebnissen zu seinem Namen.
  2. Der Fall eines deutschen Vergewaltigungsopfers, das einen Link zu einem Zeitungsartikel zu der Vergewaltigung entfernen lassen wollte. Auch diese Entfernung führte Google durch.
  3. Als Beispiel für einen Fall, in dem Suchtreffer nicht gelöscht wurden, gibt Google den Antrag eines britischen Beamten an. Dieser wollte, dass der Suchmaschinenbetreiber eine URL zu einer studentischen Petition für die Absetzung des Beamten entfernt. Google hat diesem Wunsch nicht entsprochen.

3. Wer muss das „Recht auf Vergessenwerden“ beachten?

Die Rechtsprechung des EuGH bezieht sich nur auf Suchmaschinen. Auch die öffentliche Diskussion konzentriert sich auf diesen Bereich. Juristisch betrachtet ist das aber nicht ganz zutreffend: Der datenschutzrechtliche Löschungsanspruch gilt allgemein, gegen jede datenverarbeitende Stelle.

Die spezifische EuGH-Version des „Rechts auf Vergessenwerden“ wird bisher allerdings nur auf Suchmaschinen angewendet. Aber wer ist eigentlich eine „Suchmaschine“ in diesem Sinn?

Hier bestehen durchaus Grauzonen und es ist vieles noch offen. Wie ist z.B. mit Suchmaschinen auf einzelnen Webseiten (Insite-Search) umzugehen? Oder mit Aggregatoren, die nicht im engeren Sinn einen „Such-Algorithmus“ verwenden, aber dennoch personenbezogene Daten sammeln (z.B. Facebook)? Hier ist vieles noch offen. Die Rechtsprechung des EuGH bezog sich explizit auf „Suchmaschinen“, aber das heißt nicht zwingend, dass Gerichte oder Behörden „Recht auf Vergessenwerden“ nicht auf andere Institutionen übertragen werden.

Unstrittig ist jedenfalls, dass nicht nur Google betroffen ist, sondern auch alle anderen „klassischen“ Suchmaschinenbetreiber. Dementsprechend stellen auch Bing (Microsoft) und Yahoo elektronische Formulare zur Verfügung, mit denen Betroffene Anträge auf Löschung stellen können. Der Hauptanwendungsfall ist aber Google, auf den wir uns im Folgenden konzentrieren.

4. Wie kann ich Daten aus Google entfernen lassen?

Google hat ein Online-Formular zur Verfügung gestellt, über das betroffene Bürger beantragen können, dass Google bestimmte Suchergebnisse nicht mehr anzeigt.

 

Google Antrag auf Entfernen von Suchergebnissen

Screenshot: Kontaktformular von Google zum „Recht auf Vergessenwerden“

 

Der Betroffene muss zunächst Informationen zu seiner Person angeben, nämlich den bei Suchanfragen verwendeten Namen, seinen eigenen vollständigen Namen und eine Kontakt-Email-Adresse.

Daneben muss der Betroffene die folgenden Informationen nennen:

  • Die URLs der Suchergebnisse, deren Entfernung er beantragt,
  • und eine Erklärung, weshalb die URL in den Suchergebnissen irrelevant, nicht mehr aktuell oder in anderer Hinsicht zu beanstanden ist.
  • Zur Identitätsprüfung muss der Antragsteller eine digitale Kopie eines ihn identifizierenden Dokuments einreichen. Dazu genügen nichtamtliche Identitätsnachweise. Kopien von Personalausweisen oder Reisepässen sollten nicht verwendet werden.

5. Wie geht Google mit einem Antrag auf Löschung um?

Google wird zunächst eine Abwägung  durchführen, bei der das Öffentlichkeitsinteresse mit dem Recht des Antragsstellers auf Privatsphäre abgewogen wird. Wenn Google zu dem Ergebnis kommt, dem Antrag nicht Folge zu leisten, erhält der Antragsteller darüber per Email unter Angabe von Gründen eine Benachrichtigung.

Anderenfalls wird Google dem Antrag Folge leisten. Auch hierüber wird der Antragsteller benachrichtigt. Die zugehörige Internetseite, auf die der Suchtreffer verwiesen hätte, wird bei diesem Verfahren nicht gelöscht, sondern nur der Suchtreffer, der bei der namentlichen Suche auftaucht. Die Information bleibt also weiterhin verfügbar – sie kann nur schwerer gefunden werden.

Nach eigenen Angaben löscht Google in etwa vier von zehn Fällen einen Suchtreffer, nachdem ein Betroffener dies beantragt hat. Unter den Domains, für die Google die meisten URLs aus den Suchergebnissen entfernt hat, befinden sich Facebook, YouTube, Badoo und Twitter.

Angabe von Google zum "Recht auf Vergessenwerden"

Angabe von Google zum „Recht auf Vergessenwerden“

 

 

6. Welche Suchtreffer wird Google typischerweise entfernen?

Google wird nach eigenen Angaben „möglicherweise“ Suchergebnisse in den folgenden Fällen entfernen:

  • Wenn kein öffentliches Interesse an den Daten vorliegt,
  • wenn es sich um besonders vertrauliche Informationen handelt,
  • wenn es um Inhalte geht, die sich auf Minderjährige beziehen oder
  • bei aufgehobenen strafrechtlichen Verurteilungen.

Daten, für die Betroffene einen Antrag stellen können, sind:

  • Kontaktinformationen,
  • Bilder,
  • Nummern offizieller Ausweisdokumente,
  • falsche oder ungenaue Personeninformationen,
  • unangemessene Websites,
  • Kontonummern,
  • pornografische Inhalte,
  • Unterschriften und
  • Inhalte die aus anderen rechtlichen Gründen entfernt werden sollen.

Anträgen, die staatliche Identifikationsnummern, Kontonummern, Bilder von Unterschriften und Nacktbilder betreffen, wird Google nach eigenen Angaben meist Folge leisten. Geburtsdaten, Adressen oder Telefonnummern werden in der Regel nicht entfernt. Auch Informationen, die auf offiziellen Internetseiten staatlicher Behörden auffindbar sind, löscht Google meist nicht aus den Suchergebnissen.

7. Was können Betroffene tun, wenn ihr Antrag auf Löschung abgewiesen wurde?

Falls ein Antrag auf Löschung scheitert, können Betroffene nationale Datenschutzbehörden und die nationalen Gerichte anrufen.

Bei der zuständigen Datenschutzbehörde kommt es auf den Sitz des Suchmaschinenbetreibers an. Für Google.de befindet sich der Datenschutzbeauftragte in Hamburg. Für Yahoo und Bing ist das Bayerische Landesamt für Datenschutzaufsicht zuständig.

Mitarbeiter des Hamburgischen Beauftragten für Datenschutz (Kühn/Karg, ZD 2015, 61) nennen folgende Kriterien, die eine Datenschutzbehörde bei Beschwerden prüft:

  • die Vollständigkeit der beim Suchmaschinenbetreiber eingereichten Informationen,
  • die Begründung des Ablehnungsbescheids durch diesen Betreiber,
  • die persönliche Betroffenheit des Antragstellers in Bezug auf die von ihm konkret benannten URLs,
  • die tatsächliche Auffindbarkeit genannter URLs bei namensspezifischer Suche,
  • die Unrechtmäßigkeit der Verbreitung des Suchergebnisses durch den Suchmaschinenbetreiber (z.B. da Daten nicht mehr relevant oder sachlich falsch sind),
  • das besondere Interesse auf Löschung, falls zudem ein öffentliches Interesse besteht (dabei sind die Zeiträume nach § 35 II Nr. 4 BDSG zu beachten).

Liegen alle diese Voraussetzungen vor, leitet die Datenschutzbehörde ein Anordnungsverfahren gemäß § 38 V 1 BDSG gegen den Suchmaschinenbetreiber ein, welches die Verpflichtung zur Löschung nach § 35 BDSG beinhaltet.

8. Welche Kritik besteht bezüglich des „Rechts auf Vergessenwerden“?

Sowohl zu der „Einführung“ des Rechts durch den Europäischen Gerichtshof, als auch zu dessen konkreter Umsetzung gibt es viel Kritik.

Kritisiert wird zunächst, dass das Urteil des EuGH zum „Recht auf Vergessenwerden“ die bisherige Balance zwischen Persönlichkeitsrecht und Äußerungsfreiheit verändert hat. Da beide Rechte nicht absolut sind und Grenzen haben, ist eine Abwägung von Fall zu Fall erforderlich: Zwischen den Persönlichkeitsrechten des Betroffenen einerseits und den legitimen Interessen von Internet-Nutzern und Kommunikatoren andererseits. Das Problem ist aber: Wer nimmt diese Abwägung vor und in wessen Interesse erfolgt sie?

Denn ein Suchmaschinenanbieter ist keine neutrale Instanz und wird nicht demokratisch legitimiert. Google entspricht dem Löschungsersuchen eines Betroffenen nicht aufgrund eines gerichtlichen Urteils oder einer Behördenentscheidung, sondern entscheidet bei jedem eingehenden Antrag selbst, welches Recht Vorrang hat. Google ist aber ein reines Wirtschaftsunternehmen, das nicht auf die Meinungs- und Pressefreiheit verpflichtet ist. Wie intensiv Google die Grundrechtsabwägungen vornimmt, und ob die Interessenabwägung wirklich immer objektiv ist, kann bisher nur vermutet werden.

Kritisiert wird außerdem, dass das Recht auf Entfernung von Suchtreffern eine „Zensur des Internets“ darstelle. Denn auch wenn die Ursprungsseite theoretisch weiterhin verfügbar bleibt, kann sie ohne Unterstützung einer Suchmaschine nicht mehr gefunden und gelesen werden.

9. Wie geht´s nun weiter?

Aktuell wird das „Recht auf Vergessenwerden“ vor allem mit Bezug auf Suchergebnisse diskutiert und umgesetzt. Die zugrunde liegenden Rechtsansprüche können aber gegen jede datenverarbeitende Stelle gerichtet werden. Dies gilt auch unter dem neuen Datenschutzrecht, das ab Sommer 2018 gelten wird: Ab dann gilt die neue Datenschutzgrundverordnung (DSGVO). Diese sieht das „Recht auf Vergessenwerden“ sogar in ihrer amtlichen Überschrift vor. Und die dort geregelten Ansprüche beziehen sich keineswegs nur auf Suchmaschinen.

In Artikel 17 der noch nicht amtlichen deutschen Fassung der Datenschutz-Grundverordnung heißt es zum „Recht auf Vergessenwerden“:

„Artikel 17 Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

Aus dem Verweis auf Artikel 8 Abs. 1 ergibt sich, dass eine Verarbeitung personenbezogener Daten eines Kindes, zumeist bis zum vollendeten sechzehnten Lebensjahr, nur dann rechtmäßig ist, wenn die Erziehungsberechtigten dem zugestimmt haben.

Artikel 17 Abs. 3 DSGVO sieht eine Ausnahme vom Löschungsanspruch vor:

„(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Diese Ausnahmeregelungen beinhalten im Vergleich zur noch geltenden Datenschutz-Richtlinie weniger Interpretationsspielraum. So kann sich einem Löschungsanspruch nicht mehr pauschal ein Recht auf die „Verwirklichung des berechtigten Interesses“ entgegengehalten werden (Artikel 7 (f) der Datenschutz-Richtlinie). Der Wortlaut der DSGVO nennt vielmehr konkrete Zwecke, die im öffentlichen Interesse liegen:

  • Freie Meinungsäußerung und Information,
  • Erfüllung rechtlicher Pflichten
  • Erfüllung einer Aufgabe im öffentlichen Interesse,
  • Gesundheitsschutz,
  • historische Forschung,
  • Archivierung
  • Statistische Zwecke,
  • Geltendmachung von Rechtsansprüchen.

Neu- und eine deutliche Weiterentwicklung gegenüber der vorigen Rechtslage – ist, dass der Lösch- bzw. Sperranspruch auch Daten im Einflussbereich von Dritten erfasst. Ein Verpflichteter muss also nicht nur selbst (auf der eigenen Webseite) die Daten entfernen, sondern er muss auch bei Dritten tätig werden. So sagt Art. 17 Abs. 2 konkret im Wortlaut:

„(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.“

Insgesamt bedeutet auch dies eher eine weitere Stärkung des „Rechts auf Vergessenwerden“.

Die Datenschutzgrundverordnung wird erst im Frühsommer 2018 in Kraft treten. Bis dahin wird es sicherlich noch einige Rechtsentwicklungen geben. Insbesondere werden zu diesem Zeitpunkt vermutlich in vielen EU-Staaten schon Rechtsvorschriften vorliegen, mit denen diese darüber entscheiden, wie sie das Datenschutzrecht mit dem Grundrecht auf Meinungsäußerung und Informationsfreiheit in Einklang bringen. Dieser Gestaltungsspielraum ist in Art. 85 der Datenschutzgrundverordnung explizit vorgesehen.

Chiara Heftrig ist Studentin der Rechtswissenschaften an der Universität Heidelberg. Der Beitrag entstand im Rahmen eines Praktikums bei Bird&Bird. Wer bei Bird&Bird ein Praktikum machen möchte, findet hier weitere Informationen.

Kommentar verfassen

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s