EuGH: Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten gilt auch für Suchmaschinenbetreiber – aber erst bei der Prüfung von Auslistungsanträgen

Google lehnt Auslistungsanträge ab

Gegenstand des Verfahrens waren die Auslistungsanträge von vier Klägern, die von Google abgelehnt wurden. Mit einem Auslistungsantrag kann bei Google beantragt werden, bestimmte Links zu Websites Dritter in einer Suchergebnisliste nicht mehr anzuzeigen (vgl. MLL-News vom 12.6.2014). Die zur Auslistung beantragten Links verwiesen im vorliegenden Fall auf Websites mit:

• einer satirischen Fotomontage und der Schilderung des politischen Werdegangs der einen Klägerin sowie einer angeblichen intimen Beziehung zu einem Gemeindebürgermeister,
• einem Artikel einer Tageszeitung von September 2008, der die frühere Tätigkeit eines Klägers als Verantwortlicher für die Öffentlichkeitsarbeit der Scientology-Kirche thematisierte,
• Presse Artikeln, worin in einem frühen Verfahrensstadium über ein später eingestelltes Strafverfahren gegen einen der Kläger berichtet wird, sowie
• Gerichtsreportagen, die mehrere in einem Gerichtsverfahren bekannt gewordene, intime Details des Klägers preisgaben, der danach im gleichen Verfahren zu einer langjährigen Freiheitsstrafe aufgrund eines Sexualdelikts an Minderjährigen verurteilt wurde.

Gegen die abgelehnten Auslistungsanträge reichten die Kläger Beschwerde bei der französischen Datenschutzbehörde (CNIL) ein, mit dem Begehren, Google zur Auslistung der entsprechenden Links zu verpflichten. Die CNIL leistete dem jedoch nicht Folge und stellte die Verfahren ein. Gegen die Weigerung der CNIL, Google zur Auslistung aufzufordern, legten die Kläger anschliessend bei der nächsten gerichtlichen Instanz, dem Staatsrat, Klage ein. Der Staatsrat führte die einzeln erhobenen Klagen in einem Verfahren zusammen, setzte das Verfahren aus und legte dem Europäischen Gerichtshof (EuGH) zahlreiche Fragen zur Anwendung des EU-Datenschutzrechts zur Vorabentscheidung vor.

Grundlagen der datenschutzrechtlichen Prüfung

Zum Zeitpunkt der Einreichung des Vorabentscheidungsverfahrens beim EuGH war noch die EU-Datenschutzrichtlinie 95/46/EG (Datenschutzrichtlinie) anwendbar, die per Mai 2018 aufgehoben und durch die EU-Datenschutz-Grundverordnung 2016/679 (DSGVO) ersetzt wurde. Der EuGH überprüfte in seinem Urteil vom 24. September 2019 (C-136-17) neben den Vorgaben der Datenschutzrichtlinie auch jene der DSGVO, die hier in den massgeblichen Punkten übereinstimmten. Begründet wird dies mit der Sicherstellung, dass das Urteil für den Staatsrat «auf jeden Fall von Nutzen» sein wird.

Bei der Verarbeitung personenbezogener Daten gilt im EU-Datenschutzrecht der Grundsatz des Verbots mit Erlaubnisvorbehalt (auch: «Grundsatz der Rechtmässigkeit»). Die Verarbeitung personenbezogener Daten ist demnach grundsätzlich verboten, es sei denn sie kann auf einen gesetzlichen Erlaubnistatbestand abgestützt werden. Grundsätzlich untersagt ist auch die Verarbeitung besonderer Kategorien personenbezogener Daten. Darunter fällt z.B. die Verarbeitung von Daten, aus denen politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder Informationen zum Sexualleben oder der sexuellen Orientierung einer Person hervorgehen. Für die Verarbeitung dieser sensiblen Daten gilt ein gesonderten Katalog von Erlaubnistatbeständen, die jedoch strengen Voraussetzungen unterliegen.

Datenschutzrechtliche Verantwortlichkeit von Google bestätigt – aber Verbotsgrundsatz greift erst bei Prüfung von Löschungsanträgen

In seinem grundlegenden Urteil musste der EuGH nun Stellung dazu nehmen, wie dieser strenge Verbotsgrundsatz im Kontext von Online-Suchmaschinen zu verstehen ist. Die erste Vorlagefrage bezog sich insofern auf die datenschutzrechtliche Verantwortlichkeit von Suchmaschinenbetreibern. Konkret wollte der Staatsrat vom EuGH wissen, ob die oben erwähnten Bestimmungen zu den besonderen Kategorien personenbezogener Daten auch für Suchmaschinenbetreiber gelten.

Der EuGH bestätigte dabei zunächst die Aussagen des wegweisenden «Google Spain» Urteils aus dem Jahr 2014 (MLL-News vom 15.5.2014), wonach Google (LLC, zuvor: Inc.) für die Indexierung und die Verlinkung von online abrufbaren personenbezogenen Daten datenschutzrechtlich verantwortlich ist. Sodann räumt der EuGH zwar ein, dass die Datenverarbeitung durch eine Suchmaschine Besonderheiten aufweist. Diese rechtfertigten es jedoch nicht, Suchmaschinen von der Einhaltung des Verbotsgrundsatzes freizustellen. Denn es gebe weder für die «normalen» noch für die besonderen Kategorien personenbezogener Daten spezielle Erlaubnistatbestände für die Datenverarbeitung durch Suchmaschinen. Insofern ist nach Ansicht des Gerichtshofs grundsätzlich auch Suchmaschinen-Betreibern die Verarbeitung personenbezogener Daten nur bei Vorliegen eines Erlaubnistatbestands gestattet.

Die Besonderheiten der Tätigkeit einer Suchmaschine wirken sich aber gemäss EuGH auf den «Umfang der Verantwortlichkeit und der konkreten Verpflichtungen» aus. Gemeint ist damit zunächst, dass Suchmaschinen nicht für das Vorhandensein von besonders schützenswerten Daten auf Websites Dritter verantwortlich sind, sondern nur für die Listung/Indexierung dieser Websites sowie deren Verlinkung in der Ergebnisliste bei der Suche mit dem Namen der betroffenen Personen. Was dies für die «konkreten Verpflichtungen der Suchmaschinenbetreiber» bedeutet, ist damit aber noch nicht gesagt. Diese Verpflichtungen schränkt der Gerichtshof – zumindest in Bezug auf die Verarbeitung besonderer Kategorien personenbezogener Daten – «in Anbetracht des Verantwortungsbereichs, der Befugnisse und der Möglichkeiten» letztlich erheblich ein.

Denn nach dem Urteil ist der strenge Verbotsgrundsatz für besondere Kategorien personenbezogener Daten auf Suchmaschinenbetreiber nur «bei Gelegenheit einer Prüfung» von Auslistungsanträgen anwendbar. Konkret bedeutet dies, dass die Suchmaschinenbetreiber nicht bereits vor der Listung bzw. Indexierung von Websites (ex ante), sondern erst bei der Beurteilung eines Löschungsantrags einer betroffenen Person (ex post) überprüfen müssen, ob ein Erlaubnistatbestand für die Indexierung einer Website mit besonderen Kategorien personenbezogener Daten gegeben ist. Ein Verstoss gegen die Datenschutzrichtlinie bzw. die DSGVO läge demnach nur vor, wenn Google einem Löschungsantrag trotz fehlendem Erlaubnistatbestand nicht nachkommt und nicht bereits durch die Listung und Verlinkung der Website in den Suchergebnissen ohne Erlaubnistatbestand.

Datenschutzrechtliche Beurteilung von Auslistungsanträgen

Bei der zweiten Vorlagefrage musste beurteilt werden, unter welchen Umständen Google Auslistungsanträge ablehnen darf. Zunächst verwies der EuGH darauf, dass Suchmaschinenbetreiber gemäss den datenschutzrechtlichen Bestimmungen zu einer Löschung verpflichtet seien, sofern die entsprechenden Voraussetzungen erfüllt sind. Der Suchmaschinenbetreiber müsse deshalb prüfen, ob die betroffene Person ein Recht auf Auslistung der entsprechenden Informationen in einer Suchergebnisliste hat. Um zu kontrollieren, ob die Voraussetzungen des Rechts auf Löschung in einem konkreten Fall gegeben sind, stellt Google ein Formular zur Verfügung, mit dem eine betroffene Person eine Auslistung beantragen kann (MLL-News vom 12.6.2014).

Die Rechtsgrundlage der Auslistungsanträge liegen insofern im Recht auf Löschung (auch: «Recht auf Vergessenwerden»), das bereits im «Google Spain» Urteil entscheidend war und nun in einer eigenen Bestimmung in der DSGVO Eingang gefunden hat (Art. 17 DSGVO). In dieser Bestimmung werden wiederum einerseits Gründe aufgeführt, die einer betroffenen Person ein Recht auf Löschung verleihen, sowie anderseits Tatbestände, die sofern deren Voraussetzungen erfüllt sind, dem Recht auf Löschung entgegenstehen. Die Gründe, die dem Löschungsrecht entgegenstehen können, sind stets im Zusammenhang mit dem Erlaubnistatbestand zu sehen, auf den sich der Datenverarbeiter, in diesem Fall Google, beruft.

Einer dieser Erlaubnistatbestände ist die ausdrückliche Einwilligung der betroffenen Person. Das Einholen gültiger Einwilligungen bezeichnet der EuGH beim Betrieb von Suchmaschinen aber zu Recht als kaum praktikabel. Entsprechend werden in der Praxis auch keine Einwilligungen eingeholt. Der EuGH wirft zudem die Frage auf, ob ein Antrag auf Auslistung nicht ohnehin als Widerruf einer Einwilligung gelte, lässt dies letztlich aber offen. Ferner verweist der Gerichtshof auf den auf Suchmaschinenbetreiber anwendbaren Erlaubnistatbestand für besondere Kategorien von Daten, welche die betroffene Person offenkundig selbst veröffentlicht hat.

Neben diesen Umständen, kann dem Recht auf Löschung auch entgegenstehen, dass die Datenverarbeitung für die Ausübung des Rechts auf freie Information erforderlich ist (Art. 17 Abs. 3 Bst. a DSGVO; vgl. auch Art. 9 Abs. 2 Bst. g DSGVO sowie Art. 11 Charta der Grundrechte der EU 2012/C 326/02). Diese Bestimmung ist gemäss EuGH Ausdruck davon, dass auch das Recht auf Schutz personenbezogener Daten (und damit das Löschungsrecht) kein uneingeschränktes Recht ist, sondern gegen andere Grundrechte abgewogen werden muss. Der EuGH geht zwar davon aus, dass die Rechte der betroffenen Person in Bezug auf die Auslistung grundsätzlich überwiegen und insofern höher zu gewichten seien, als die Rechte des Suchmaschinenbetreibers und der Internetnutzer auf freie Information. Dies gelte aber nicht absolut und die Abwägung könne in besonderen Konstellationen auch anders ausfallen. Der Gerichtshof nennt dabei die Art der Information, die Sensibilität für das Privatleben der Betroffenen sowie das Interesse der Öffentlichkeit am Zugang zu der Information, das u.a. von der Rolle, welche die betroffene Person im öffentlichen Leben spielt abhängen könne. Insofern kann gemäss EuGH eine betroffene Person «aus sich aus ihrer besonderen Situation ergebenden Gründen» auch dann ein Recht auf Auslistung haben, wenn diese die Daten offenkundig selbst veröffentlicht hat.

Suchergebnisliste muss der aktuellen Verfahrens- oder Rechtslage entsprechen

Die letzte Vorlagefrage bezog sich auf die Indexierung von Presse-Artikeln bzw. Reportagen über Strafverfahren. Hierzu bestätigte der Gerichtshof einleitend, dass auch Informationen über die Anklageerhebung gegen eine natürliche Person oder die Berichterstattung über den Prozess unter die besondere Kategorie von Daten zu «Straftaten» und «strafrechtlichen Verurteilungen» fallen. Dies gilt gemäss EuGH auch unabhängig davon, ob es in den Verfahren letztlich zu einer Verurteilung kommt oder nicht.

Mit einer weiteren Teilfrage wollte der Staatsrat vom EuGH wissen, ob ein Auslistungsantrag gutgeheissen werden muss, wenn sich in diesem Zusammenhang die Informationen in den verlinkten Suchergebnissen auf einen früheren Abschnitt des Gerichtsverfahrens beziehen und angesichts Verfahrensverlauf nicht mehr der aktuellen Situation entsprechen.

Der EuGH bekräftigte, dass der Suchmaschinenbetreiber aufgrund der Umstände des Einzelfalls zu beurteilen habe, welche Links in der Suchergebnisliste für einen Internetnutzer für die Ausübung des Rechts auf freie Information erforderlich seien. Als relevante Umstände, die bei der Abwägung der Interessen beispielsweise zu berücksichtigen sind, bezeichnete der EuGH die Folgenden:

• die Art und Schwere der Straftat,
• der Verlauf und Ausgang des Verfahrens,
• die verstrichene Zeit,
• die Rolle der betroffenen Person im öffentlichen Leben,
• das Interesses der Öffentlichkeit zum Zeitpunkt der Antragstellung,
• der Inhalt und die Form der Veröffentlichung sowie
• die Auswirkungen der Veröffentlichung für die betroffene Person.

Der Gerichtshof machte in der Folge jedoch eine Ergänzung mit potentiell grossen Auswirkungen für Suchmaschinenbetreiber: Selbst wenn sich die Aufnahme des Links in die Suchergebnisliste als absolut erforderlich erweisen sollte für die Ausübung des Rechts auf freie Information, müsse – spätestens nach einem Auslistungsantrag – die Ergebnisliste aber so ausgestaltet sein, dass das Gesamtbild einem Internetnutzer die aktuelle Rechtslage widerspiegle. Jene Links mit den aktuellsten Informationen seien deshalb an erster Stelle in der Liste aufzuführen. Ob dies praktikabel ist und von Suchmaschinenbetreibern ohne Weiteres so umgesetzt werden kann, wurde vom EuGH aber nicht näher thematisiert.

Fazit und Anmerkungen

Mit dem vorliegenden Urteil hat der EuGH die datenschutzrechtlichen Pflichten der Suchmaschinenbetreiber präzisiert. Die Anwendung dieser neuen höchstrichterlichen Rechtsprechung auf die in Frankreich hängigen Verfahren obliegt nun den französischen Behörden. Gerade mit Blick auf die erforderliche Interessenabwägung darf man daher auf den Ausgang der Verfahren gespannt sein. Hierzu hat der EuGH im Grundsatz einen anderen Standpunkt eingenommen als bspw. das Oberlandesgericht Frankfurt (MLL-News vom 6.11.2018). Dieses gelangte zum Schluss, dass das «Recht auf Vergessen» einer betroffenen Person das öffentliche Informationsinteresse nicht grundsätzlich überwiege. Demgegenüber bekräftigte der EuGH, dass das Recht der betroffenen Personen in Bezug auf die Auslistung in der Regel höher zu gewichten sei. Im Ergebnis ändert dies jedoch nichts daran, dass auch gemäss EuGH – selbst bei den besonderen Kategorien von personenbezogenen Daten – eine Abwägung der Interessen im Einzelfall vorgenommen werden muss. Von dieser anspruchsvollen Aufgabe sind Suchmaschinenbetreiber demnach auch nach dem aktuellen Urteil nicht befreit.

Mit der Beschränkung des Verarbeitungsverbots für Suchmaschinen auf die ex-post Kontrolle der Auslistungsanträge, hat sich der EuGH aber erfreulicherweise für eine liberale Auslegung entschieden. Eine strenge, wortgetreue Anwendung der massgebenden Vorschriften würde dieses Ergebnis eigentlich nicht zulassen. So bestätigte doch auch der EuGH, dass die Vorgaben auch für Suchmaschinen gelten und keine besonderen Ausnahmen für diese vorgesehen sind. Insofern ist das Urteil besonders wertvoll, weil es (implizit) zum Ausdruck bringt, dass die Vorgaben der DSGVO nicht stets einer strengen, wortgetreuen Interpretation zugänglich sind. Daran ändert auch der Umstand nichts, dass die Entscheidung in diesem Punkt ergebnisorientiert gefällt wurde. Die Schlussanträge des Generalanwalts, auf die der EuGH in seiner (kurzen) Begründung verweist, legen dies mehr oder weniger deutlich offen. So wird darin eine ex ante Kontrolle als «weder möglich noch wünschenswert» bezeichnet. Vor diesem Hintergrund ist selbstredend unklar, inwiefern sich eine solche Argumentation auch für die Datenverarbeitungen anderer Unternehmen höchstrichterlich durchsetzen wird. Fraglich ist jedenfalls, wo die Grenze zu ziehen ist, werden doch auch bei einer Vielzahl anderer Tätigkeiten massenhaft und automatisiert Daten verarbeitet und könnte auch dort argumentiert werden, eine vorgängige Kontrolle sei «weder möglich noch wünschenswert».

Des Weiteren wird im Urteil nicht explizit beantwortet, ob diese Interpretation auch für den Verbotsgrundsatz für «gewöhnliche» personenbezogene Daten gilt. Bei diesen dürfte aber selbst im Falle einer Anwendung «ex ante» die Anrufung des Erlaubnistatbestands des «überwiegenden berechtigten Interesses» angerufen werden können, sodass – zumindest in der Praxis – dasselbe resultieren wird. Schliesslich ist zu beachten, dass sich der EuGH in diesem Urteil auch nicht mit den weiteren Vorgaben des Datenschutzrechts, insb. der DSGVO, auseinandergesetzt hat. Er weist lediglich darauf hin, dass die Datenverarbeitung eines Suchmaschinenbetreibers beim Vorliegen eines Erlaubnistatbestands zulässig ist, sofern auch die übrigen Voraussetzungen, insbesondere die Datenverarbeitungsgrundsätze (Art. 5 DSGVO), erfüllt sind. Was dies im Einzelnen für Suchmaschinen bedeutet, wird demgegenüber nicht geklärt. Die Beantwortung dieser Fragen ist daher bis auf Weiteres den nationalen Gerichten und Aufsichtsbehörden überlassen.

Weitere Informationen:

• Urteil vom 24. September 2019 (C-136-17)
• Schlussanträge des Generalanwalts (C-136-17)
• EU-Datenschutzrichtlinie 95/46/EG
• EU-Datenschutz-Grundverordnung 2016/679
• Charta der Grundrechte der EU 2012/C 326/02
• MLL-News vom 15.5.2019: «EuGH: Google-Ergebnislisten stellen eine Datenverarbeitung dar und können die Privatsphäre beeinträchtigen»
• MLL-News vom 12.6.2019: «Update: Google stellt Formular zur Beantragung des Löschens von Suchergebnissen zur Verfügung»
• MLL-News vom 6.11.2018: «OLG Frankfurt zum Recht auf Vergessen nach der DSGVO- Kein grundsätzlicher Überwiegen des Löschungsinteresses im Internet»