2014/06/03 Google Entscheidung des EuGH - rechtliche Analyse
RA MMag. Michael Krenn
Spanische Datenschutzbehörde entscheidet gegen Google - „Vorabentscheidungsverfahren“ des EuGH nach Google-Klage - Google kann sich nicht hinter Firmenkonstruktionen verstecken - Suchmaschinenbetreiber verarbeiten personenbezogene Daten - Löschungsrecht gegenüber Suchmaschinen versus anderer Websites - Formalargumente der Kritiker- welche Daten sind zu löschen? - Recht auf Vergessenwerden - Paradoxon des Falls
Für massives Medienecho hat im vergangenen Monat die Entscheidung des EuGH C 131/12, 13.5.2014 (González vs. Google) gesorgt. Die Bewertungen reichen von einem Dammbruch für das Recht auf Datenschutz und Privatsphäre bis zur Feststellung einer angeblichen „wirtschaftlichen Katastrophe“ für die Betreiber von Suchmaschinen. Der folgende Artikel soll einen Kurzüberblick bieten, welche Fragen der EuGH zu lösen hatte und welche Folgen sich für Betroffene ergeben können.
Spanische Datenschutzbehörde entscheidet gegen Google
Die Ausgangssituation ist allgemein bekannt: Ein spanischer Bürger hatte die nationale Datenschutzkommission mit einer Beschwerde gegen eine spanische Tageszeitung sowie „Google inc“ und deren spanische Tochtergesellschaft angerufen. Bei Eingabe seines Namens in die Suchmaschine des Google-Konzerns wurden den Internetnutzern Links zu zwei Seiten der Tageszeitung aus 1998 angezeigt, die eine Anzeige enthielten, in der unter Nennung seines Namens auf die Versteigerung eines Grundstücks hingewiesen wurde. Begründet wurde die Beschwerde damit, dass die betreffende Pfändung seit Jahren erledigt sei und der Ruf des Betroffenen durch den mit der Suchmaschine auffindbaren Eintrag gefährdet werde.
Gegen die Zeitung wies die Behörde die Beschwerde mit der Begründung zurück, die Veröffentlichung der betreffenden Informationen durch diese sei rechtlich gerechtfertigt gewesen.
Gegen die Google- Gesellschaften war der Beschwerde hingegen stattgegeben worden, da durch die Verbreitung der alten Exekutionsdaten die Persönlichkeitsrechte beeinträchtigt worden seien. Im Zuge einer durch Google erhobenen Klage wurde die Sache dem EuGH als „Vorabentscheidungsverfahren“ zur Interpretation der EU Datenschutzrichtllinie vorgelegt.
„Vorabentscheidungsverfahren“ des EuGH nach Google-Klage
Im wesentlichen hatte sich der EuGH mit drei Fragen auseinander zu setzen:
1. Ist hier überhaupt europäisches Datenschutzrecht anzuwenden? Google stellte sich dabei auf den Standpunkt, die Datenschutzrichtlinie sei hier gar nicht anwendbar: Die US-Muttergesellschaft habe keinerlei Verarbeitung „unter Rückgriff auf automatisierte Mittel im Hoheitsgebiet durchgeführt“ (sprich: die Verarbeitung selbst fand faktisch außerhalb der EU statt). Die Spanien-Tochter habe weiters selbst gar keine Datenverarbeitung durchgeführt, auf allfällige Verarbeitungen der Konzernmutter komme- mangels EU-Niederlassung- europäisches Datenschutzrecht wiederum nicht zur Anwendung.
2. Stellt die Tätigkeit von Google eine Verarbeitung personenbezogener Daten dar? Hier stand Google auf dem Standpunkt, man habe selbst gar keine personenbezogenen Daten verarbeitet, sondern lediglich jene Inhalte, welche ein Dritter verarbeite, durch „Indexierungen“ allfälligen Nutzern erleichtert zugänglich gemacht. Auftraggeber sei aber alleine derjenige der die eigentlichen Inhalte verarbeite, dieser alleine sei Adressat eines Löschungsbegehrens.
3. Besteht ein Löschungsrecht gegen den Suchmaschinenbetreiber? Auch hier stellte sich Google auf den Standpunkt für eine Löschung sei nur derjenige verantwortlich, auf dessen Seite sich die Daten befinden würden. Da in diesem Falle die Verarbeitung durch die Tageszeitung als rechtmäßig beurteilt worden wäre, könne Google nicht zur Löschung verpflichtet werden.
Google kann sich nicht hinter Firmenkonstruktion verstecken
Zunächst ist positiv zu bewerten, dass sich der EuGH nicht auf das „Versteckspiel“ von Google hinsichtlich der Anwendbarkeit der Richtlinie eingelassen hat. („Ihr könnt uns ja gar nicht beweisen, dass wir in der EU Daten verarbeiten und Google-Spanien ist sowieso ein eigenes Unternehmen, das gar keine Daten verarbeitet“) Hier stellt der EuGH unmissverständlich klar: Dass Google Spain in Spanien effektiv und tatsächlich eine Tätigkeit mittels einer festen Einreichung ausübt, ist unstreitig.
Die Tätigkeiten des Suchmaschinenbetreibers und die seiner Niederlassung in dem betreffenden Mitgliedstaat seien untrennbar miteinander verbunden, da die die Werbeflächen betreffenden Tätigkeiten das Mittel darstellen, um die in Rede stehende Suchmaschine wirtschaftlich rentabel zu machen.
Dankenswerterweise erteilt der EuGH damit der Formaltaktik eine Absage, mit welcher derartige Unternehmen meist versuchen, sich vor der Anwendbarkeit europäischen Datenschutzrechts zu drücken- zu den näheren Implikationen unten.
Suchmaschinenbetreiber verarbeiten personenbezogene Daten
Die eigentlich strittige Frage war allerdings, ob überhaupt eine Verarbeitung von Daten vorliegt. Auch hier ist der EuGH fundamental anderer Meinung als Google:
Es sei unstreitig, dass sich unter den Daten, die von den Suchmaschinen gefunden, indexiert, gespeichert und den Nutzern zur Verfügung gestellt werden, auch „personenbezogene Daten“ befinden. Indem er das Internet automatisch, kontinuierlich und systematisch auf die dort veröffentlichten Informationen durchforstet, „erhebt“ der Suchmaschinenbetreiber mithin personenbezogene Daten, die er dann mit seinen Indexierprogrammen „ausliest“, „speichert“ und „organisiert“, auf seinen Servern „aufbewahrt“ und gegebenenfalls in Form von Ergebnislisten an seine Nutzer „weitergibt“ und diesen „bereitstellt“. Daran ändere auch nichts, dass die personenbezogenen Daten bereits im Internet veröffentlicht worden sind und von der Suchmaschine nicht verändert werden bzw. sei auch nicht relevant, ob die Daten „unter der Kontrolle“ des Suchmaschinenbetreibers liegen würden.
Besonderen Wert legt der EuGH darauf, dass die Nutzer der Suchmaschinen mit der Ergebnisliste einen strukturierten Überblick über die zu der betreffenden Person im Internet zu findenden Informationen erhalten, anhand dessen sie ein mehr oder weniger detailliertes Profil der Person erstellen können. Dieser Umstand könne zu einer erheblichen Beeinträchtigung der Persönlichkeitsrechte führen.
Löschungsrecht gegenüber für Suchmaschinen versus anderer Websites
Im letzten Schritt sträubte sich Google mit dem Argument gegen die Löschung, dies könne nur gemeinsam mit den Löschung von der aufgefundenen website selbst passieren, ein Löschungsrecht unabhängig davon sei nicht gegeben. Diese Auffassung von Google wurde im übrigen auch noch von der österreichischen Bundesregierung im Gegensatz zu vielen anderen europäischen Regierungen unterstützt.
Der EuGH sieht hier im Gegensatz eine Interessenabwägung für notwendig an: Das Informationsrecht Dritter und die wirtschaftlichen Interessen des Betreibers seien mit dem Schutz der Persönlichkeitsrechte abzuwägen. Mit der Ergebnisliste erhalte jeder Nutzer einen strukturierten Überblick über die zu der betreffenden Person im Internet zu findenden Informationen, die potenziell zahlreiche Aspekte von deren Privatleben betreffen und ohne die betreffende Suchmaschine nicht oder nur sehr schwer hätten miteinander verknüpft werden können, und somit ein mehr oder weniger detailliertes Profil der Person zu erstellen. Es sei daher nicht Voraussetzung für die Löschungsanordnung an einen Suchmaschinenbetreiber, dass die Daten auch von der betreffenden website verschwinden müssten.
Ein Verstoß könne auch bei der Verarbeitung sachlich richtiger Daten vorliegen, wenn die Verarbeitung dieser Daten nicht mehr erforderlich bzw. nicht mehr aktuell sei. Im konkreten Falle (Nennung von Versteigerung/Pfändung) sei aufgrund des langen Zeitverstreichens und der persönlichen Beeinträchtigung davon auszugehen, dass der Schutz des Persönlichkeitsrechts höher zu gewichten sei als die Interessen des Suchmaschinenbetreibers und das Informationsinteresse.
Was wäre ohne Niederlassung passiert?
Zunächst ist festzuhalten, dass die Anwendbarkeit der Richtlinie aufgrund des Umstandes bejaht wurde, dass Google in Spanien eine Niederlassung betreibt. Dies führt zur Frage, ob sich Suchmaschinenbetreiber mit dem Verzicht auf europäische Niederlassungen der Anwendbarkeit des europäischen Datenschutzrechts entziehen können. In der Beschwerde waren noch andere Anknüpfungspunkte genannt worden: Etwa dass die Suchmaschine „Webcrawler“ oder Indexierungsbots einsetzt, um Informationen auf Websites, die auf Servern im Mitgliedstaat gehostet sind, zu lokalisieren und zu indexieren oder eine länderspezifische Domain eines Mitgliedstaats nutzt und Suche und Suchergebnisse an der Sprache dieses Mitgliedstaats ausrichtet.
Da der EuGH mit einer Niederlassung in Spanien konfrontiert war, musste er die Fragen, ob diese Umstände einen „Rückgriff auf Mittel im Hoheitsgebiet des Mitgliedsstaates“ darstellen, nicht beantworten. Allfällige Erwägungen zur Anwendbarkeit der Richtlinie auf Suchmaschinenbetreiber ohne europäische Niederlassung sind daher eher „Kaffeesudlesen“. Tatsache ist, dass sich Google geweigert hatte, bekannt zu geben, wo es zur faktischen Verarbeitung kommt.
Dass Suchmaschinenbetreiber daher versuchen könnten, europäisches Datenschutzrecht unter Verzicht auf entsprechende Niederlassungen zu umgehen, ist daher nicht auszuschließen- zu bedenken ist auch, dass die genannten Anknüpfungspunkte auf Suchmaschinenbetreiber zutreffen mögen, nicht jedoch auf andere Verarbeiter.
Das Grundproblem liegt daher schon darin, dass die Richtlinie hinsichtlich der Anwendbarkeit überhaupt auf die Niederlassung des Verantwortlichen und den faktischen Rückgriff auf Mittel zur Verarbeitung abstellt - eine Rechtslage die zum „Standort-shopping“ nach dem geringsten Schutzniveau einlädt. Die einzig vernünftige Lösung wäre daher hinsichtlich der Anwendbarkeitsfrage auf die Niederlassung des Betroffenen abzustellen, wie es die neue europäische Datenschutzverordnung in ihrem Entwurf vorgesehen hatte.
Formalargumente der Kritiker- welche Daten sind zu löschen?
Auch dem zweiten „Formalismusargument“ von Google erteilt der EuGH eine Absage, die alleine mit gesundem Menschenverstand wohl für jeden begreifbar sein muss: Natürlich macht es einen erheblichen Unterschied, ob in einem Zeitungsarchiv von 1998 eine Meldung über einen Betroffenen zu finden ist oder ob sich diese jedermann durch eine Google-Suche in wenigen Sekunden beschaffen und mit sonstigen Daten des Betroffenen abgleichen kann. Das Argument der Kritiker, diese Daten seien eben „öffentlich“ kommt keine Berechtigung hinzu, da erst durch die Suchmaschine eine derartige Form der „Öffentlichkeit“ überhaupt geschaffen wird. Allerdings ist nicht einzusehen, weshalb im hier besprochenen Fall nicht auch die Zeitung zur Löschung angehalten wurde: Die Veröffentlichung mag 1998 einen Sinn gehabt haben - wobei auch hier die Notwendigkeit der Nennung des Betroffen nicht einsichtig ist - aus heutiger Sicht hat sie keinerlei Informationswert mehr.
Die schwierigste Frage ist wohl, welche Daten überhaupt gelöscht werden können: Ein Löschen jeglicher Daten je nach Lust und Laune des Betroffenen hat der EuGH nämlich nicht judiziert. Dass es keine klaren Leitlinien gibt- wie Kritiker betonen- ist richtig, aber nicht überraschend: Derartige Konstellationen sind immer Abwägungen im Einzelfall für die es kein Generalrezept geben kann. Grundsätzlich gilt:
a.) je „schädlicher“ und negativer die Information für einen Betroffenen objektiv sein kann, desto eher wird ein Löschungsanspruch bestehen
b.) je geringer der objektive Informationswert für Dritte ist, desto eher wird ein Löschungsanspruch bestehen - insbesondere bei veralteten Daten werden die Chancen höher sein.
c.) Besonderes Augenmerk verdienen Informationen dann, wenn sie sich überhaupt erst aus den Inhalten verschiedener websites auf Basis des Suchresultats ergeben.
Wer daher Löschung begehren möchte, sollte auch begründen können,weshalb er sich in seinen Persönlichkeitsrechten verletzt sieht und auch überlegen ob er nicht den für die website selbst Verantwortlichen in Anspruch nehmen kann. Soferne Suchmaschinenetreiber aufgrund der Entscheidung mit massenweisen unfundierten Löschungsbegehren konfrontiert sind, ist der Ärger sogar zu verstehen.
Recht auf Vergessenwerden - Paradoxon des Falls
Der EuGH bemüht in seiner Entscheidung auch immer wieder das „Recht auf Vergessenwerden“, welches als Weiterentwicklung des simplen Löschungsanspruchs vorsieht, dass der Verantwortliche auch dafür Sorge zu tragen hat, dass die Daten des Betroffen nicht durch Dritte, denen er sie übermittelt hat, weiterhin verarbeitet werden. Dies ist sinnvoll, da es Betroffenen nicht zumutbar sein kann, in einer Art detektivischen Recherche herauszufinden, wo Daten überall hingelangt sind und von jedem einzelnen Verarbeiter Löschung zu verlangen. Auch hier hätte der Entwurf der Datenschutz-Verordnung Abhilfe vorgesehen- leider ist nach wie vor unklar wann und ob diese in Kraft treten wird.
Abschließend ist noch auf einen Punkt hinzuweisen, der den Fall besonders paradox erscheinen lässt: Eigentlich ging es dem Betroffenen von Beginn weg darum, dass er der Information, dass er einst von einer Pfändung und Versteigerung betroffen war, die öffentlichen Publizität durch Internetrecherche nimmt. Dies ist gelungen- mittlerweile ist infolge der EuGH -Entscheidung diese Information allerdings viel mehr Menschen bekannt geworden, wie es durch eine simple Internetsuche jemals passiert wäre - ein Resultat, dass sich jeder, der Wert auf den Schutz solcher Informationen legt, überlegen sollte. Es ist nämlich auch nicht verständlich, weshalb der EuGH derartige Entscheidungen mit Vollnamen veröffentlichen muss.
mehr --> EuGH Urteil C131/12
mehr --> Warnung vor Google-Lösch-Formular
mehr --> problematisches Google Löschformular
mehr --> EuGH-Urteil zu Suchmaschinen - Löschungsmuster der ARGE DATEN
|
