EuGH zum DSGVO-Löschungsrecht: Google muss Informationen aus Ergebnislisten EU-weit und nicht weltweit entfernen

Google wehrt sich gegen Busse der CNIL

Am Ausgangspunkt des vorliegenden Urteils stand eine Aufforderung des Nationalen Ausschusses für Informatik und Freiheitsrechte von Frankreich (CNIL) an die Adresse der Google LLC (Nachfolgerin der Google Inc.). Betroffen war der Umgang von Google mit der sog. Auslistung von Suchergebnissen, die bei der Suche mit dem Namen von Personen angezeigt werden. Konkret verlangte die CNIL, dass Google bei der Gutheissung solcher Auslistungsanträge die betroffenen Suchergebnisse aus sämtlichen weltweiten Versionen der Suchmaschine entfernt.

Google weigerte sich und entfernte die betreffenden Suchergebnisse nur bei Sucheingaben auf Domains, welche den Versionen der Suchmaschine in den EU-Mitgliedstaaten entsprachen. Aufgrund dieser Weigerung auferlegte die CNIL am 10. März 2016 Google eine Busse in der Höhe von 100’000 Euro.

In der Folge erhob Google beim Staatsrat von Frankreich (Conseil d’État) Klage auf Nichtigerklärung dieses Beschlusses. Begründet wurde dies damit, dass die streitige Sanktion auf einer falschen Auslegung der europäischen Datenschutzvorschriften beruhe. Das «Recht auf Auslistung» setze nicht zwangsläufig voraus, dass die streitigen Links ohne geografische Beschränkung auf sämtlichen Domains ihrer Suchmaschine entfernt werden müssten.

Nachdem der französische Staatsrat festgestellt hatte, dass die Argumentation von Google Schwierigkeiten bei der Auslegung der EU-Datenschutz-Vorschriften mit sich bringt, legte er dem EuGH mehrere Fragen zur Vorabentscheidung vor. Zusammenfassend will er wissen, ob der Betreiber einer Suchmaschine, wenn er einem Auslistungsantrag stattgibt, die Auslistung auf sämtlichen Domains seiner Suchmaschine, auf denjenigen der Mitgliedstaaten oder sogar nur auf demjenigen des Mitgliedstaates, in dem der Auslistungsantrag gestellt wurde, zu vollziehen hat.

EuGH-Urteil gilt auch unter der DSGVO

In seinem Urteil vom 24. September 2019 (C-507/17) beantwortet der EuGH diese Fragen nicht nur unter der EU-Datenschutzrichtlinie (Richtlinie 95/46/EG), sondern auch unter der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679; DSGVO). Zum Zeitpunkt des Ersuchens um Vorabentscheidung war zwar noch die Richtlinie anwendbar. Gleichwohl berücksichtigt der EuGH in seinem Urteil auch die Vorgaben der DSGVO. Damit will er sicherstellen, dass seine Antworten dem vorlegenden französischen Gericht auf «jeden Fall von Nutzen sein werden».

Konkret beurteilte der EuGH daher die Tragweite von Art. 12 lit. b und Art. 14 Abs. 1 lit. a der Richtlinie sowie des «Rechts auf Vergessenwerden» (vgl. MLL-News vom 24.4.2017 und MLL-News vom 6.11.2018) bzw. auf Löschung in Art. 17 DSGVO.

Datenverarbeitung von Google unterliegt – aufgrund der Niederlassung in Frankreich – der DSGVO

In der wegweisenden Entscheidung aus dem Jahr 2014 («Google Spain», C‑131/12; vgl. MLL-News vom 15.5.2014) hatte der EuGH bereits entschieden, dass Google den Vorschriften der EU-Datenschutzrichtlinie untersteht. Begründet wurde dies mit der Google-Niederlassung in Spanien, deren Tätigkeit im Bereich des Verkaufs von Werbeflächen untrennbar mit der Tätigkeit von Google LLC, als Betreiberin der Suchmaschine, verbunden sei.

Diese Argumentation bestätigte der EuGH auch im vorliegenden Fall. Aus den Angaben aus dem nationalen Verfahren gehe hervor, dass die Google-Niederlassung in Frankreich insbesondere gewerbliche und Werbetätigkeiten ausübe, die untrennbar mit der Verarbeitung personenbezogener Daten zum Betrieb der betreffenden Suchmaschine verbunden seien. Die Suchmaschine führe, vor allem unter Berücksichtigung der Verbindungen zwischen ihren verschiedenen nationalen Versionen, eine einheitliche Datenverarbeitung aus. Ohne sich weiter festzulegen, verweist der Gerichtshof sodann auf die Auffassung des Staatsrats. Dieser ist der Ansicht, dass die massgebliche Datenverarbeitung unter diesen Umständen im Rahmen der Niederlassung von Google erfolge, die ihren Sitz in Frankreich habe (vgl. Art. 3 Abs. 1 DSGVO). Dies deute darauf hin, dass der Anwendungsbereich der DSGVO eröffnet sei.

Google kann zur Auslistung von Suchergebnissen verpflichtet werden

Im gleichen Urteil in Sachen «Google Spain» hatte der EuGH auch entschieden, dass Suchmaschinenbetreiber zur Löschung von Suchergebnissen verpflichtet werden können, die bei der Suche mit dem Namen einer Person angezeigt werden. Dies gilt selbst dann, wenn der Name oder die Informationen auf diesen Websites nicht vorher oder gleichzeitig gelöscht werden und gegebenenfalls auch dann, wenn ihre Veröffentlichung auf den Websites als solche rechtmässig ist.

Die Grundlage und die Voraussetzungen hierfür bildet mittlerweile Art. 17 DSGVO, worin das Löschungsrecht und das Recht auf Vergessenwerden geregelt sind. Die Suchmaschinenbetreiber müssen deshalb prüfen, ob die betroffene Person ein Recht auf Auslistung der entsprechenden Informationen in einer Suchergebnisliste hat. Um zu kontrollieren, ob die Voraussetzungen des Rechts auf Löschung in einem konkreten Fall gegeben sind, stellt Google ein Formular zur Verfügung, mit dem eine betroffene Person eine Auslistung beantragen kann (MLL-News vom 12.6.2014).

Hinzuweisen ist ferner auf eine weitere wichtige Entscheidung, die der EuGH gleichentags wie das vorliegende Urteil gefällt hat. Daraus geht eine erhebliche Einschränkung der datenschutzrechtlichen Verantwortlichkeit von Google hervor. Es ist davon auszugehen, dass die Datenverarbeitung von Google zur Indexierung von Suchergebnissen grundsätzlich erst dann nach der DSGVO unrechtmässig ist, wenn ein Auslistungsantrag abgelehnt wird, obwohl die Voraussetzungen des Löschungsrechts gegeben wären bzw. ein Erlaubnistatbestand fehlt. Mit anderen Worten ist Google nur zu einer ex-Post-Kontrolle nach Eingang eines Auslistungsantrags und nicht zu einer Kontrolle ex-ante verpflichtet (vgl. zum Ganzen MLL-News vom 24.11.2019).

Reichweite einer Auslistung: EU-weit statt weltweit

Gegenstand des vorliegenden Urteils war demgegenüber die Klärung der räumlichen Reichweite einer Auslistung. Das Ziel der anzuwendenden EU-Regelungen zum Datenschutz besteht gemäss EuGH darin, ein hohes Schutzniveau für personenbezogene Daten in der gesamten Union sicherzustellen. Vollständig könnte dies aufgrund der fortgeschrittenen Globalisierung bzw. des weltweiten grenzenlosen Netzes nur erreicht werden, wenn die Auslistung aus allen Versionen einer Suchmaschine vorgenommen werde.

Gemäss EuGH gilt es aber zu beachten, dass viele Drittstaaten gar kein Recht auf Auslistung kennen oder dazu einen anderen Ansatz verfolgen. Zusätzlich gelte das Recht auf Schutz personenbezogener Daten nicht uneingeschränkt. Es müsse stets unter Wahrung des Verhältnismässigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Grundrechtsabwägungen können weltweit sehr unterschiedlich ausfallen. Zusätzlich sei die vom Unionsgesetzgeber selbst vorgenommene Abwägung nicht in Bezug auf die Reichweite einer Auslistung über die Union hinaus durchgeführt worden. Den massgeblichen Bestimmungen der Richtlinie und der DSGVO könne auch nicht entnommen werden, dass ihre Reichweite auch auf für die nicht mitgliedstaatlichen nationalen Versionen einer Suchmaschine hätte ausgedehnt werden sollen.

Aus diesen Erwägungen folgert der Gerichtshof, dass nach derzeitigem Stand ein Suchmaschinenbetreiber, der einem Auslistungsantrag der betroffenen Person – gegebenenfalls auf Anordnung einer Aufsichtsbehörde eines Mitgliedstaats – stattgibt, nach den Vorgaben des EU-Rechts nicht verpflichtet sei, eine Auslistung in allen Versionen seiner Suchmaschine vorzunehmen. Der EuGH betont allerdings, dass das EU-Recht es den Mitgliedstaaten und ihren Aufsichtsbehörden auch nicht verbiete, den Suchmaschinenbetreibern solche weltweiten Löschungspflichten aufzuerlegen. Nationale Behörden könnten Google insofern «anhand von nationalen Schutzstandards für die Grundrechte» und gestützt auf eine Abwägung der verschiedenen Interessen zur weltweiten Auslistung von Suchergebnissen verpflichten.

Unabhängig davon gilt gemäss EuGH für die Suchmaschinenbetreiber aber jedenfalls eine Pflicht, die Auslistung grundsätzlich für sämtliche Mitgliedstaaten vorzunehmen, d.h. die Suchergebnisse zumindest aus den Versionen der Suchmaschine für die einzelnen Mitgliedstaaten zu entfernen. Insofern besteht zwar nicht zwingend eine Pflicht zur «weltweiten», aber zumindest zur EU-weiten Auslistung. Dieser Schluss folgt nach Ansicht des EuGH bereits aus der Entscheidung des Unionsgesetzgebers, den Datenschutz durch eine in allen Mitgliedstaaten unmittelbar anwendbare Verordnung – der DSGVO – zu regeln.

Ergreifung weiterer zugriffs-erschwerender Massnahmen zum Schutz der Betroffenen?

Zusätzlich weist der EuGH darauf hin, dass die Suchmaschinenbetreiber zur Ergreifung weiterer Massnahmen verpflichtet sein könnten. Unter welchen Umständen dies konkret der Fall ist, geht aus dem Urteil allerdings nicht hervor. Vielmehr hält der EuGH fest, dass es dem Suchmaschinenbetreiber «erforderlichenfalls obliege», «wirksame Massnahmen zu ergreifen, um einen wirkungsvollen Schutz der Grundrechte der betroffenen Personen sicherzustellen». Die Internetnutzer in den Mitgliedstaaten müssten durch solche Massnahmen zumindest zuverlässig davon abgehalten werden, auf die betreffenden Links über eine Suche anhand des Namens der betroffenen Person zuzugreifen. Diese Massnahmen müssen aber, so der EuGH, alle gesetzlichen Anforderungen erfüllen.

Diese unklare Aussage des EuGH ist vor folgendem Hintergrund zu sehen: Google hatte während des Verfahrens vor dem EuGH eine neue Darstellung der nationalen Versionen der Suchmaschine eingeführt. Nach der vorgenommenen Änderung bestimme nicht mehr der vom Nutzer eingegebenen Domainname, die angezeigte nationale Version der Suchmaschine, auf die er Zugriff habe. Neu erfolge eine direkte Weiterleitung auf diejenige nationale Version der Suchmaschine, die dem Ort entspreche, von dem davon ausgegangen werde, dass der Internetnutzer die Suche durchführe und welche mittels Geolokalisierung festgestellt wurde. Die Suchergebnisse würden gemäss Google nach Massgabe dieses Ortes angezeigt. Ob diese Massnahmen genügend seien, liess der EuGH offen und betonte, dass es Aufgabe des vorlegenden Gerichts sei zu prüfen, ob die von Google getroffenen bzw. aufgezeigten Massnamen bezüglich der Änderung ihrer Suchmaschine den Anforderungen entsprechen.

Fazit und Anmerkungen

Zusammenfassend sind Suchmaschinenbetreiber somit nach dem EU-Datenschutzrecht nur verpflichtet, Auslistungen EU-weit, nicht aber weltweit vorzunehmen. Wenn also die Voraussetzungen des DSGVO-Löschungsrechts gegeben sind, muss Google zumindest dafür sorgen, dass die beanstandeten Suchergebnisse bei der Suche mit dem Namen des Antragsstellers in den nationalen Versionen der EU-Mitgliedstaaten (z.B. google.fr, google.de etc.) nicht mehr erscheinen. Allerdings geht aus dem Urteil auch hervor, dass die Mitgliedstaaten bzw. ihre Aufsichtsbehörden unter Umständen gleichwohl eine Auslistung aus anderen Versionen der Suchmaschinen (wie z.B. google.com) verlangen können. Zu beachten ist ferner, dass die Suchmaschinenbetreiber auch zur Ergreifung weiterer zugriffs-erschwerender Massnahmen sein können, wobei unklar bleibt, welche konkreten Massnahmen unter welchen Voraussetzungen erforderlich sind.

Auch nach dem Urteil bleibt somit eine Vielzahl von Fragen offen. Auch die Argumentation des EuGH zur Grundsatzentscheidung zwischen «weltweit» oder «EU-weit» überzeugt nicht restlos, selbst wenn das Ergebnis nachvollziehbar ist. Ansätze dazu, wie die Frage in anderen Rechtsgebieten beantwortet werden könnte, in welchen sich diese Frage ebenfalls stellen kann, lassen sich aus der Argumentation des EuGH jedenfalls kaum ableiten. Mit Blick auf andere datenschutzrechtlichen Fragestellungen ist die Urteilsbegründung jedenfalls erfreulich. Denn sowohl in dieser Entscheidung, wie auch in dem weiteren gleichentags gefällten Urteil betreffend Suchmaschinen (vgl. MLL-News vom 24.11.2019), betont der EuGH, dass das Recht auf Schutz personenbezogener Daten kein uneingeschränktes Recht ist.

Weitere Informationen:

• EuGH: Urteil vom 24. September 2019, Google und CNIL, C-507/17
• EuGH: Urteil vom 13. Mai 2014, Google Spain und Google, C‑131/12
• EU-Datenschutzrichtlinie (95/46/EG)
• EU-Datenschutzgrundverordnung ((EU) 2016/679)
• MLL-News vom 24.4.2017: «EuGH: Recht auf Vergessenwerden für Handelsregisterdaten nur in Ausnahmefällen»
• MLL-News vom 6.11.2018: «OLG Frankfurt zum Recht auf Vergessen nach der DSGVO – kein grundsätzliches Überwiegen des Löschungsinteresses im Internet»
• MLL-News vom 25.2.2019: «Französische Datenschutzbehörde verhängt Rekordbusse gegen Google wegen DSGVO-Verletzungen»