Zur Diskussion um das sogenannte Recht auf Vergessen in der Datenschutz-Grundverordnung nach dem Urteil des EuGH (Urteil C-131/12 vom 13.5.

Transkript

1 Hintergrundpapier Zur Diskussion um das sogenannte Recht auf Vergessen in der Datenschutz-Grundverordnung nach dem Urteil des EuGH (Urteil C-131/12 vom ) Am 13. Mai 2014 entschied der Europäische Gerichtshof (EuGH) über die Auslegung der derzeit geltenden noch aus dem Jahre 1995 stammenden Datenschutz-Richtlinie 95/46/EG. Das Urteil hat weltweite Aufmerksamkeit erregt und ist in der Presse als die Schaffung eines Rechts auf Vergessen im Internet beschrieben und als Sieg des Datenschutzes gegenüber den großen Internetkonzernen bezeichnet worden. Schnell wurden jedoch auch Stimmen laut, die große Bedenken hinsichtlich der Folgen eines solchen Urteils äußerten. Diese betrafen vor allem die Folgen für die Informations- und Meinungsfreiheit im Internet. Das große mediale Interesse begründete sich wohl zum einen an dem Umstand, dass das Urteil die in der netzpolitischen Diskussion seit langem umstrittene Fragen des richtigen Verhältnisses von Privatsphäre (Datenschutz) und Informations- und Meinungsfreiheit im Zeitalter des Internet aufwirft, die mit dem Bedeutungswandel des Internet immer mehr zu gesamtgesellschaftlichen Fragestellungen heranwachsen. Besonderes Interesse erregte aber die Tatsache, dass die Informationen, auf die nicht mehr verlinkt werden darf, hier ein Zeitungsartikel auf dem Online-Auftritt einer spanischen Tageszeitung, rechtmäßig war und auch weiterhin ist. Nicht der eigentliche Anbieter der Information, sondern ein Informationsvermittler, nämlich die Suchmaschine des amerikanischen Internetunternehmens Google war verpflichtet worden, den Link auf den Artikel zu entfernen. Der Original- Artikel auf den Googles Suchmaschine hinweist, steht aber weiter rechtmäßig im Internet. Alte Datenschutz-Richtlinie und neue Datenschutz- Grundverordnung Das Urteil fiel vor dem Hintergrund der europäischen Diskussion um den aktuellen Gesetzgebungsprozess für eine europaweite Datenschutz-Grundverordnung, mit der die alte, aus dem Jahr 1995 stammende Datenschutzrichtlinie 95/46/EG abgelöst werden soll. Damit soll das Datenschutzrecht an das Zeitalter des Internet angepasst werden. Die derzeit geltende Datenschutz-Richtlinie wurde in den 90er Jahren erarbeitet und beschlossen, als das kommerzielle Internet, das wir heute kennen, mit Suchmaschinen wie Google, Social-Media Plattformen und Big Data-Techniken, jedenfalls vom europäischen Gesetzgeber so noch nicht abgesehen wurde. Zudem ist die Richtlinie in den Mitgliedsstaaten sehr unterschiedlich umgesetzt worden. Beide Aspekte führen zu Unklarheiten, Regelungslücken und Rechtsunsicherheit, insbeson- Seite 1 von 8

2 dere bei den im heutigen Internet typischerweise grenzüberschreitenden und arbeitsteiligen Diensten oder Techniken wie Cloud-Computing und m2m-kommunikation. Daher soll das europäische Datenschutzrecht im Rahmen einer Datenschutz-Grundverordnung modernisiert werden. Im Gegensatz zu einer Richtlinie, bei der es erst eines Umsetzungsakts, also eines eigenen nationalen Gesetzes im jeweiligen Mitgliedsstaat bedarf, findet eine Verordnung direkte Anwendung in den Mitgliedsstaaten. Ein Problemfeld der Diskussion um einen modernen Datenschutz ist die Besonderheit des Internet, Inhalte nicht zu vergessen, also grundsätzlich Inhalte immer zumindest zugänglich zu halten. Daher gibt es eine gesellschaftliche Diskussion und auch im Rahmen der Datenschutz- Grundverordnung wird das Recht auf Vergessen diskutiert. Recht auf Vergessen? Mit Recht auf Vergessen meint man in der Datenschutzdebatte, das Recht eines Einzelnen auf Löschung von auf seine Person bezogenen Daten im Internet, etwa einen Presse-Artikel mit Namensnennung auf einer Webseite oder ein negativer Kommentar auf einem Bewertungsportal. Lösch- und Beseitigungsansprüche sind im Datenschutzrecht jedoch überhaupt nichts Neues. So kennt die Datenschutz-Richtlinie 95/46/EG bereits heute solche Ansprüche des Betroffenen gegenüber dem Verarbeiter seiner personenbezogenen Daten 1, ebenso wie das deutsche Datenschutzrecht 2. Auch im Rahmen des Gesetzgebungsverfahrens für die neue Datenschutz-Grundverordnung wird ein Recht auf Vergessen diskutiert. Im aktuellen Entwurf ist in Art. 17 eine Regelung für ein Recht auf Vergessen vorgesehen. Die genaue Ausgestaltung dieses Rechts wird derzeit diskutiert. Als Folge des Urteils des EuGH muss die Einbeziehung von Informationsvermittlern in das Verfahren jedoch neu gedacht werden, insbesondere über die Rolle solcher Vermittler bei der Abwägung der kollidierenden Grundrechte. Auch in Deutschland gibt es diese Diskussion. Ein bekanntes Beispiel wäre etwa der Fall des sogenannten Techno-Viking, bei dem der Protagonist einer Amateuraufnahme einer Techno-Veranstaltung aus den 90er Jahren, welche über Social-Media enorme Verbreitung fand, die Unterlassung der Verbreitung dieser Aufnahme forderte. Vor dem Bundesverfassungsgericht laufen zudem ähnliche Verfahren. eco hat kürzlich zu einem anhängigen Verfassungsbeschwerdeverfahren Stellung 1 Z.B. Art. 12b, 12c bzw. 14b der Datenschutzrichtlinie 95/46 2 Z.B. 20 und 35 BDSG Seite 2 von 8

3 genommen, bei dem ein verurteilter Mörder die Löschung eines ihn betreffenden Artikels mit voller Namensnennung aus dem Online-Archiv des Magazins Der Spiegel bzw. aus der Suchergebnisliste von Google erreichen will. Das Urteil des EuGH Das Urteil des EuGH war der Abschluss eines sogenannten Vorlageverfahrens. Ist zur Entscheidung bei einem nationalen Gerichtsverfahren, die Frage der Auslegung einer europäischen Richtlinie für die Entscheidung notwendig, darf das nationale Gericht diese Frage nicht selbst entscheiden, sondern muss, im Hinblick auf eine einheitliche Anwendung des europäischen Rechts, die Auslegungsfrage zunächst dem EuGH vorlegen. Der EuGH entscheidet dann auch nur über die spezifische Auslegung der Richtlinie und nicht etwa über den vollständigen Streit. Nach Beantwortung der Frage durch den EuGH kann das nationale Gericht, unter Berücksichtigung der Auslegungsentscheidung, den Streit entscheiden. Hintergrund des Verfahrens Hier lag dem Vorlageverfahren folgender Streit zu Grunde: Im März 2010 wandte sich der Spanier Costeja Gonzáles, ein praktizierender Rechtsanwalt, mit einer Beschwerde an die spanische Datenschutzbehörde AEPD. Diese richtete sich gegen die überregionale spanische Tageszeitung La Vanguardia, die vor allem in Katalonien Verbreitung findet und später dann auch gegen Google Spain und deren Konzernmutter Google Inc. Gegenstand der Beschwerde war die Tatsache, dass bei Eingabe des Namens von Gonzáles in Googles Suchmaschine auf der Ergebnisseite Links auf zwei Webseiten des Online-Auftritts der La Vanguardia angezeigt wurden. Diese Webseiten zeigen Artikel mit Ankündigungen für eine zwangsweise angeordnete Immobilienversteigerung aufgrund von Sozialversicherungsschulden des Herrn Gonzáles aus dem Jahr Dabei wird auch der vollständige Name genannt. Gonzáles verlangte zunächst direkt von La Vanguardia die Entfernung oder Änderung der Artikel auf der Webseite im Hinblick auf seinen Namen bzw. den Einsatz von technischen Werkzeugen (z.b. robots.txt o- der meta-tags), die die Indexierung durch Google und damit die Anzeige des Artikels bzw. des Namens auf Googles Ergebnisseite verhindern. Zur Begründung führte er an, dass das Zwangsversteigerungsverfahren sich schon lange erledigt habe und die Information damit nicht mehr relevant sei. Die spanische Datenschutzbehörde verweigerte jedoch eine derartige Anordnung gegenüber La Vanguardia auszusprechen. Zur Begründung verwies sie auf eine Anordnung des spanischen Sozial- und Arbeitsministeriums, die derartige Ankündigungen von Zwangsversteigerungen wie in dem Online-Auftritt der La Vanguardia Seite 3 von 8

4 juristisch rechtfertigt, da angenommen wird, dass das Interesse der Öffentlichkeit hier überwiegt Gonzáles hatte seine Beschwerde jedoch nicht nur gegen La Vanguardia gerichtet, sondern auch gegen Google Spain und Google Inc. 3 und verlangt die Links auf die Webseiten der Zeitung in der Ergebnisliste von Google nicht mehr anzuzeigen. Diesem Begehren des Gonzáles entsprach die Datenschutzbehörde. Zur Begründung führte sie an, dass sie berechtigt sei, gegen das Auffindbarmachen und die Verbreitung personenbezogener Daten vorzugehen, wenn hierdurch das Grundrecht auf Datenschutz und die Menschenwürde beeinträchtigt werden. Eine Beeinträchtigung läge zudem schon dann vor, wenn das Datensubjekt (Gonzáles) den Wunsch hegt, dass das relevante Datum nicht Dritten zugänglich gemacht wird, weil hierdurch etwa die Reputation negativ beeinträchtigt werden könnte. Dies tue Googles Suchmaschine durch das Durchsuchen, Indexieren und Aufbereiten von Webseiten und deren Inhalten. Die Verpflichtung zur Entfernung läge auch nicht beim direkten Anbieter der Information, hier der La Vanguardia, sondern hier auch beim Vermittler der Information, hier Google. Gegen die Entscheidung wendeten sich Google Spain und Google Inc. und zogen vor das spanische Zentralgericht Audiencia Nacional de Espania. Das Gericht stellte fest, dass zur Entscheidung des Falles die Frage beantwortet werden muss, welche Verpflichtungen Suchmaschinenbetreiber beim Schutz personenbezogener Daten haben, die auf Webseiten Dritter zur Verfügung stehen und die, durch Googles Suchmaschine auffindbar, indexiert und damit grundsätzlich jedem zugänglich gemacht werden können. Die Beantwortung hing von der Auslegung der europäischen Datenschutz-Richtlinie 95/46/EG ab, sodass das spanische Gericht die Auslegungsfragen zunächst dem EuGH vorlegte. Vorlagefragen des spanischen Gerichts Die Auslegungsfragen des EuGH betrafen drei Aspekte: 1. Umfasst der territoriale Anwendungsbereich der Datenschutz- Richtlinie auch die Arbeit von Suchmaschinen, insbesondere wenn der Hauptsitz des Betreibers nicht im Europäischen Wirtschaftsraum liegt und die Datenverarbeitung nicht im Europäischem Wirtschaftraum stattfindet? 2. Verarbeitet eine Suchmaschine durch das Durchsuchen, Indexieren und Aufbereiten von Webseiten-Inhalten personenbezogene 3 Google Spain ist eine Tochter von Google Inc. Von hier wird das nationale Anzeigengeschäft betrieben, es findet jedoch keine Datenverarbeitung für die eigentliche Suchmaschine statt. Der genaue Standort der Datenverarbeitung im Hinblick auf die konkrete Suchanfrage ist im Verfahren unklar geblieben. Seite 4 von 8

5 Daten als Verantwortliche im Sinne der Datenschutz-Richtlinie? Hier geht es um die rechtliche Einordnung einer Suchmaschine im Sinne der Datenschutz-Richtlinie. 3. Ergeben sich aus der in der Datenschutz-Richtlinie angelegten Lösch- und Beseitigungsansprüchen (Art. 12b und 14a der Datenschutzrichtlinie) ein Art Recht auf Vergessen, also hier ein Recht eines Betroffenen, bestimmte auf ihn bezogene personenbezogene Daten aus dem Internet, hier aus dem Suchindex löschen zu lassen? (sogenanntes Recht auf Vergessen ) Was hat der EuGH dann entschieden? Der EuGH beantwortete die Fragen dann folgendermaßen: 1. Europäisches Datenschutzrecht ist auch auf Suchmaschinen anwendbar, wenn sie im europäischen Wirtschaftsraum wirtschaftlich tätig sind, etwa ein Tochterunternehmen in einem Mitgliedsstaat betreiben, das hier zwecks Verkaufs- und Angebot von Werbeanzeigen für den Suchmaschinendienst tätig ist. 2. Suchmaschinen sind für die im Rahmen des Suchvorgangs verarbeiteten Daten datenschutzrechtlich voll verantwortlich. 3. Aus den Beseitigungs- und Löschansprüchen der Datenschutz- Richtlinie ergibt sich ein Recht auf Löschung von Links aus der Suchergebnisliste einer Suchmaschine (sogenanntes Recht auf Vergessen ). Das Urteil legt fest, dass bei Suchvorgängen nach namenbezogenen Inhalten im Internet, grundsätzlich der Persönlichkeits-, also der Datenschutz überwiegt. Daher ist grundsätzlich von einer Löschpflicht auszugehen. Bemerkenswert an der Entscheidung ist besonders, dass der Inhalt, auf den die Suchmaschine nicht mehr verlinken darf, ein rechtmäßiger Inhalt ist. Der Presseartikel um den es hier ging, befindet sich weiter auf der Webseite der La Vanguardia und steht weiterhin rechtmäßig im Netz und ist dort auch auffindbar. In Bezug auf diesen Artikel nimmt die Rechtsprechung an, dass das Interesse der Öffentlichkeit, das Interesse des Einzelnen überwiegt. Das Urteil hat daher lediglich zur Folge, dass der Artikel nicht mehr über die spanische Webseite der Google- Suchmaschine auffindbar ist. Juristisch geht das Urteil noch weiter. Denn es betrifft, neben dem sogenannten Recht auf Vergessen, zwei weitere für die Internetwirtschaft wichtige Fragen. Erstens inwieweit, die derzeitige Datenschutz- Seite 5 von 8

6 Richtlinie auch auf Internetdienste Anwendung findet, die von Unternehmen angeboten werden, die ihren Sitz nicht in der EU haben (territoriale Anwendbarkeit) 4. Mit dem Urteil legt der EUGH nun endgültig fest, dass es nicht darauf ankommt, wo, z.b. auf welchem Server die Datenverarbeitung stattfindet, in faktischer Hinsicht ist somit das Marktortprinzip durch Richterrecht eingeführt worden. Zweitens ging es um die wichtige Frage, inwieweit die Datenschutz-Richtlinie auf die Tätigkeit von Suchmaschinen, also insbesondere das Durchsuchen, Indexieren und Aufbereiten von Internetinhalten Anwendung findet und welche rechtliche Stellung Suchmaschinen im Sinne der Richtlinie haben, also ob eine Suchmaschine durch das Durchsuchen, Indexieren und Aufbereiten von Webseiten personenbezogene Daten als Verantwortliche verarbeitet 5. Nach dem Urteil sind die Suchmaschinen für die im Rahmen des Suchvorgangs verantwortlichen Daten, datenschutzrechtlich voll verantwortlich. Folgen und Kritik am Urteil In einem öffentlichen Transparenzbericht vom Oktober 2014 legt Google Zahlen zu den bisherigen Löschanträgen sowie den tatsächlich gelöschten Suchergebnissen vor. Seit der Einführung des Verfahrens vor vier Monaten hat das Unternehmen über Anfragen mit insgesamt zu überprüfenden Webseiten erhalten. Von den bislang eingereichten Anfragen wurden über 41,8 Prozent der Einträge gelöscht. Neben der Gesamtzahl listet Google die Anträge auch nach Ländern auf. An der Spitze steht Frankreich mit Anfragen. Über 51,5 Prozent wurden davon von Google gelöscht. Über 53 Prozent der Anfragen aus Deutschland wurden gelöscht. 4 Die derzeitige Richtlinie setzt für ihre Anwendbarkeit grundsätzlich voraus, dass die Datenverarbeitung entweder im Rahmen der Tätigkeit einer innerhalb des europäischen Wirtschaftsraums liegenden Niederlassung erfolgt oder bei der Datenverarbeitung Einrichtungen benutzt werden, die im Europäischen Wirtschaftraum liegen, z.b. auf einem Server in Berlin (Ausnahme: Transit). Liegen diese Voraussetzungen nicht vor, ist das europäische Datenschutzrecht grundsätzlich gar nicht anwendbar, was insbesondere für Dienste aus Drittstaaten (v.a. natürlich in den USA) zutrifft. Daher soll bei der Datenschutz-Grundverordnung die territoriale Anwendbarkeit nicht vom Ort der Datenverarbeitung bzw. vom Sitz des für die Datenverarbeitung Verantwortlichen abhängig zu machen. Stattdessen soll, wie etwa bei der E-Commerce-Richtlinie, die wirtschaftliche Ausrichtung des für die Datenverarbeitung verantwortlichen Unternehmens (Marktortprinzip) Anknüpfungspunkt für die territoriale Anwendbarkeit des Datenschutzrechts sein. 5 Die Datenschutz-Richtlinie trennt streng zwischen dem sogenannten Controller, als Verantwortlichem und dem Operator, dem Verarbeiter oder Auftragsdatenverarbeiter. Als Verantwortlicher obliegen dem Unternehmen umfassende Pflichten hinsichtlich des Umgangs mit den personenbezogenen Daten. Seite 6 von 8

7 Inwieweit andere Anbieter betroffen sind, bleibt bei diesen Zahlen natürlich unberücksichtigt. Dies macht eine der problematischen Folgen des Urteils deutlich, denn die Konsequenzen aus dem Urteil betreffen nicht allein Google, sondern auch alle anderen Informationsanbieter und Informationsvermittler. eco möchte daher auch auf die möglichen negativen Folgen und Implikationen dieses Urteils aufmerksam machen. Aus unserer Sicht sollten bei den Beratungen zur Datenschutz-Grundverordnung und bei der genauen Ausgestaltung eines Rechts auf Vergessen folgende mögliche Konsequenzen, die sich aus den Schlussfolgerungen des EuGH-Urteils ergeben, Berücksichtigung finden: Suchmaschinen müssen den äußerst komplizierten Abwägungsprozess zwischen Kommunikationsfreiheit und Persönlichkeitsrecht selbst vornehmen. Dazu sind sie nicht in der Lage. Damit werden sie als eine Art Richter zur privaten Schiedsinstanz bei der komplizierten Abwägung zwischen Kommunikationsfreiheit und Persönlichkeitsschutz. Die Rolle des neutralen Informationsvermittlers geht verloren. Die Lösung des rechtlichen Konflikts wird standardmäßig auf Dritte verlagert und nicht auf die eigentlich Betroffenen. Vermengung der Wertungen des öffentlichen Datenschutzes (Schutz ggü. Staat) mit dem privaten Datenschutzrecht (Schutz Privater untereinander). Weil grundsätzlich von einem Überwiegen der Privatsphäreninteressen gegenüber dem Interesse der Öffentlichkeit auszugehen ist, wird im Zweifel gelöscht werden, denn Suchmaschinen müssen spätestens auf Antrag des Betroffenen Verweise auf personenbezogene Inhalte aus den Suchergebnislisten löschen. Der grundsätzliche Vorrang des Persönlichkeitsrechts vor den Kommunikationsfreiheiten setzt falsche Anreize im Hinblick auf das Zugänglichmachen von Information insgesamt und berührt damit das Recht auf gleichberechtigte Teilhabe an Informationen als notwendige Voraussetzung für demokratische Meinungsbildung. Die Äußerungsfreiheit wird gegenüber dem Persönlichkeitsschutz in den Hintergrund gerückt werden. Seite 7 von 8

8 Das Urteil hat eine Trennung der Rechtmäßigkeit einer Äußerung von der Rechtmäßigkeit des Zugänglichmachens der Äußerung zur Folge. Dies ist gerade aufgrund der besonderen Rolle von Suchmaschinen beim Informationszugang im Internet problematisch. Die Möglichkeit der Anordnung des Nicht-mehr Zugänglichmachens stellt kein Recht auf Vergessen, sondern eher eine Art Recht auf Verstecken dar, denn der Inhalt bleibt ja weiter im Netz. Seite 8 von 8