EuGH präzisiert Recht auf Vergessenwerden und Schutz sensibler Daten in Suchmaschinen

Mit zwei Urteilen vom 24.09.2019 hat der Europäische Gerichtshof (EuGH) das Recht auf Vergessenwerden in Hinblick auf Suchergebnisse in Suchmaschinen wie Google präzisiert. Dabei wurde auch Bezug auf die Datenschutz-Grundverordnung (DSGVO) genommen, die im ersten Urteil des EuGH zum Recht auf Vergessenwerden von 2014 (Rechtssache: Google Spain) noch keine Rolle spielte. Es wurde geklärt, welche Reichweite das Recht auf Vergessenwerden hat und inwiefern sensible Daten Schutz auf Suchmaschinen genießen. Was ist das Recht auf Vergessenwerden? Beim Recht auf Vergessenwerden geht es insbesondere darum, dass Suchmaschinenbetreiber Links in Suchergebnissen löschen, die in Verbindung mit der Suche nach bestimmten Namen angezeigt werden. Die Suchmaschinenbetreiber stellen ihre Ergebnisse zusammen, indem sie Websites durchsuchen („crawlen“) und die auf den Websites enthaltenen Inhalte nach bestimmten Kriterien katalogisieren und indizieren. Dabei werden in der Regel auch personenbezogene Daten verarbeitet. Das Recht auf Vergessenwerden betrifft daher das Grundrecht auf Achtung der Privatsphäre und den Schutz personenbezogener Daten. Es verpflichtet die Suchmaschinenbetreiber nicht nur zur einmaligen Löschung, sondern legt ihnen darüber hinaus auch für die Zukunft die Pflicht auf, eine dauerhafte Löschung der Suchergebnisse sicherzustellen. Nach Art. 17 DSGVO besteht nunmehr auch gesetzlich ein Recht auf Löschung personenbezogener Daten, wenn einer der in Art. 17 Abs. 1 DSGVO genannten Gründe vorliegt, also insbesondere, wenn die Daten für die Zwecke, für die sie verarbeitet wurden, nicht mehr notwendig sind. Ergänzend dazu sind die wesentlichen Aspekte des Rechts auf Vergessenwerden in Art. 17 Abs. 2 DSGVO kodifiziert. Das Recht auf Löschung bzw. Vergessenwerden kann jedoch von Betroffenen nicht geltend gemacht werden, soweit die Datenverarbeitung aufgrund von Art. 17 Abs. 3 DSGVO erforderlich ist. Dazu gehört auch die Ausübung des Rechts auf Informationsfreiheit der Internetnutzer, also das Informationsinteresse der Öffentlichkeit. Insofern ist eine Interessenabwägung erforderlich, wenn eine betroffene Person ihr Recht auf Löschung geltend macht und dieses in Konflikt mit dem Recht auf Informationsfreiheit steht. Welche Reichweite hat das Recht auf Vergessenwerden? In dem einen Urteil des EuGH (Az.: C-507/17) hatte sich das Gericht mit Fragen zur Reichweite des Rechts auf Vergessenwerden zu beschäftigen, nachdem Google gegen die französische Datenschutzbehörde CNIL wegen eines Bußgelds geklagt hatte. Es ging darum, ob die Löschung der Suchergebnisse nur im Land des Antragstellers, in allen Mitgliedsländern der EU oder sogar weltweit durchgeführt werden muss. Außerdem sollte geklärt werden, inwiefern dabei auch Geoblocking angewendet werden müsste. Der EuGH entschied, dass Suchmaschinenbetreiber nach erfolgreichem Antrag die entsprechenden Suchergebnisse nicht in allen Versionen ihrer Suchmaschine löschen müssen. Stattdessen müsse die Löschung vielmehr grundsätzlich nur in den Mitgliedsstaaten der EU erfolgen. Jedoch räumt der EuGH ein, dass sich bei der Beurteilung des Interesses der Öffentlichkeit Unterschiede ergeben könnten, etwa wenn die Mitgliedsstaaten die Datenverarbeitung zu journalistischen Zwecken abweichend regeln. Darüber hinaus urteilte der EuGH, dass die Suchmaschinenbetreiber wirksame Maßnahmen ergreifen müssen, um zu verhindern, dass Internetnutzer aus Mitgliedstaaten die Löschung der Suchergebnisse umgehen, indem sie Versionen anderer Länder der Suchmaschine nutzen. Dies ließe sich wohl mit Geoblocking realisieren, bei welchem dann die entsprechenden Suchergebnisse nicht angezeigt werden, solange die Suchmaschine über einen Internetzugang aus dem Mitgliedsland genutzt wird. Im Einzelfall, wenn ein besonders starker Eingriff in die Grundrechte des Betroffenen vorliegt, könne das Recht auf Vergessenwerden aber auch weltweit gelten. Denn dem EuGH zufolge bleibe eine Aufsichts- oder Justizbehörde eines Mitgliedsstaates befugt, ausgehend von den nationalen Schutzstandards für Grundrechte gegebenenfalls dem Suchmaschinenbetreiber die Löschung der Suchergebnisse in allen Versionen seiner Suchmaschine aufzugeben. Worum ging es beim anderen Urteil des EuGH? Vier Personen aus Frankreich verlangten die Löschung von bestimmten Suchergebnissen bei Google, die mit ihnen in Verbindung stehen. Dabei gingen sie gegen Suchergebnisse über eine satirische Fotomontage im politischen Kontext, die Nennung der Mitgliedschaft in der Scientology-Kirche, die Berichterstattung über eine Anklage und gerichtliche Voruntersuchung eines später eingestellten Verfahrens bzw. die Berichterstattung über sexuelle Übergriffe mit intimen Details vor. Nachdem Google die Anträge zur Löschung der Suchergebnisse ablehnte und die vier Personen erfolglos Beschwerde bei der Datenschutzbehörde CNIL einlegten, erhoben sie Klage vor Gericht. Im Rahmen eines sogenannten Vorabentscheidungsverfahren legte dieses Gericht sodann dem EuGH mehrere Vorlagefragen vor, die dieser nun beantwortete. Welche Aussagen traf der EuGH zur Verantwortlichkeit? Der EuGH entschied in seinem Urteil (Az.: C-136/17) zunächst, dass Suchmaschinenbetreiber für die verarbeiteten personenbezogenen Daten verantwortlich sind, die in den Suchergebnissen angezeigt werden. Ebenso wie andere Verantwortliche darf ein Suchmaschinenbetreiber daher grundsätzlich keine besonderen Kategorien personenbezogener Daten (sensible Daten) gemäß Art. 9 Abs. 1 und Art. 10 DSGVO verarbeiten, außer es liegen Ausnahmen vor. Das ist beispielsweise der Fall, wenn die betroffene Person die Daten offenkundig gemacht hat (Art. 9 Abs. 2 lit. e DSGVO). Welche Prüfpflichten haben Suchmaschinenbetreiber bei sensiblen Daten? Der Suchmaschinenbetreiber muss gemäß dem EuGH im Rahmen eines Antrags auf Vergessenwerden bei sensiblen Daten prüfen, ob sich die Aufnahme der Links in die Suchergebnisse als unbedingt erforderlich erweist, um die Informationsfreiheit von Internetnutzern zu schützen. Dies hat er auf der Grundlage aller relevanten Umstände des Einzelfalls unter Berücksichtigung der Schwere des Eingriffs in die Grundrechte der betroffenen Person und des öffentlichen Interesses der Internetnutzer zu beurteilen. Mit diesem Urteil gibt der EuGH Suchmaschinenbetreiber einmal mehr einen umfassenden Prüfumfang auf, der einer Beurteilung durch ein Gericht gleichkommt. Trotz der teils berechtigten Kritik gegenüber Suchmaschinenbetreibern muss man sich fragen, ob Suchmaschinenbetreiber diesen hohen Anforderungen in jedem Einzelfall gerecht werden können. Was urteilte der EuGH speziell zu Suchergebnissen über Strafverfahren? Auch hinsichtlich der Löschung von Suchergebnissen über frühere Abschnitte von Strafverfahren gibt der EuGH den Suchmaschinenbetreibern hohe Prüfpflichten vor. So haben diese zu prüfen, ob unter Berücksichtigung sämtlicher Umstände des Einzelfalls die betroffene Person das Recht habe, dass die Informationen bei der Suche nach ihrem Namen nicht mehr angezeigt werden. Dazu solle der Suchmaschinenbetreiber insbesondere berücksichtigen: - Art und Schwere der Straftat - Verlauf und Ausgang des Verfahrens verstrichene Zeit - Rolle der betroffenen Person im öffentlichen Leben und ihr Verhalten in der Vergangenheit - Interesse der Öffentlichkeit zum Zeitpunkt der Antragstellung - Inhalt und Form der Veröffentlichung - Auswirkungen der Veröffentlichung für die betroffene Person Zusätzlich dazu müssten Suchmaschinenbetreiber darüber hinaus auch sicherstellen, die Ergebnisliste so auszugestalten, dass diese das „Gesamtbild der aktuellen Rechtslage“ widerspiegele. So müssten Links zu Websites mit Informationen über ein solches Gesamtbild „auf dieser Liste an erster Stelle stehen.“ Wie dieses Erfordernis umzusetzen ist, bleibt fraglich. Denn Suchmaschinen sortieren in der Regel standardmäßig nach Relevanz. Auch eine chronologische Darstellung würde wohl nicht immer Links mit einem „Gesamtbild der aktuellen Rechtslage“ an erster Stelle ermöglichen. Es bleibt spannend, wie Suchmaschinen wie Google diese Anforderung umsetzen werden. Eine manuelle Sortierung und Prüfung jedenfalls erscheint vor diesem Hintergrund wenig praxistauglich. Einschätzung der Urteile Der EuGH macht deutlich (Az.: C-136/17), dass Links zu Informationen mit sensiblen personenbezogenen Daten weiterhin nur in Ausnahmefällen nach einem Antrag auf Löschung in den Suchergebnissen bleiben dürfen, nämlich dann, wenn sie für die Informationsfreiheit der Internetnutzer unbedingt erforderlich sind. Beide Urteile des EuGH zeigen zudem, wie umfassend das Gericht die Prüfpflichten für Suchmaschinenbetreiber im Rahmen des Rechts auf Vergessenwerden sieht. Diesen vollumfänglich nachzukommen wird den Suchmaschinenbetreibern kaum gelingen. Insbesondere im Bezug zu Strafverfahren sind die Anforderungen des EuGH derart hoch, dass sie wohl nur schwerlich im Sinne des Europäischen Gerichtshofs umgesetzt werden können. Das Urteil zur Reichweite des Rechts auf Vergessenwerden (Az.: C-507/17) zeigt darüber hinaus, wie schwer es ist, angesichts eines globalen Internets juristische Grenzen zu ziehen. Der Europäische Gerichtshof versucht einen flexiblen Rahmen vorzugeben, der einerseits zwar grundsätzlich das Recht auf Vergessenwerden auf die Mitgliedsstaaten der EU beschränkt, andererseits aber auch eine weltweite Löschung der Suchergebnisse im Einzelfall offenlässt. Der EuGH möchte mit seiner Auslegung des Rechts auf Vergessenwerden so dem globalen Charakter des Internets gerecht werden, scheitert jedoch in Teilen an der Wirklichkeit. Denn Geoblocking lässt sich heutzutage relativ einfach durch technische Lösungen (VPN, Proxies, etc.) umgehen. Über ein europäisches Geoblocking hinaus würde eine Reglementierung der Suchmaschinenbetreiber durch europäisches Datenschutzrecht jedoch aus völkerrechtlichen Gesichtspunkten scheitern. Eine effektive (weltweite) Durchsetzung des Rechts auf Vergessenwerden würde daher entsprechende völkerrechtliche Abkommen erfordern. Insgesamt bleibt das Recht auf Vergessenwerden auch nach diesen EuGH-Urteilen ein sehr einzelfallabhängiges Recht, das eine umfangreiche Interessenabwägung voraussetzt, die dem Suchmaschinenbetreiber aufgegeben wird. Dieser wird die Interessenabwägung aber wohl selten so vornehmen, wie sich Gerichte – und Betroffene – dies wünschen würden. Letztendlich bleibt es dann an den Gerichten zu klären, ob die Suchmaschinenbetreiber die ihnen übertragenden Prüfpflichten richtig umgesetzt haben.