Die Datenschutzgrundverordnung (DSGVO) hat bei den deutschen Gerichten noch nicht allzu viel Aufsehen erregt. Abgesehen von einer Entscheidung des Verwaltungsgerichts Lüneburg zur Videoüberwachung und einer Entscheidung des Oberlandesgerichts Köln über die Rechte und Pflichten von Fotografen hat es in den ersten 100 Tagen der DSGVO keine wirklich relevante Rechtsprechung gegeben. Die befürchtete Flut von querulatorischen Klagen ist ausgeblieben.
Das Oberlandesgericht Frankfurt entschied kürzlich über eine Klage gegen einen Suchmaschinenbetreiber. Die Klägerin hatte den in den USA ansässigen Suchmaschinenbetreiber auf die Entfernung von Suchergebnissen verklagt, die angeblich anstößige Inhalte auf bestimmten Internetseiten präsentierten und verlinkten. Das Gericht nutzte diese Gelegenheit, um Hinweise über den Umfang und die Anwendung von Art. 17 DSGVO (Recht auf Löschung) zu geben. Mit einem mutigen Argument wies das Gericht die Klage ab.
Der Kläger war in der Vergangenheit als Geschäftsführer einer großen eingetragenen Wohltätigkeitsorganisation in Hessen mit rund 500 Mitarbeitern und mehr als 35.000 Mitgliedern tätig. Das Unternehmen wies im Jahr 2011 ein finanzielles Defizit von rund einer Million Euro auf. Etwa zu diesem Zeitpunkt meldete sich der Kläger wegen gesundheitlicher Probleme krank. Die Presse berichtete wiederholt über die finanziellen Schwierigkeiten der Wohltätigkeitsorganisation, unter anderem unter Nennung des Klägers sowie der Tatsache, dass dieser aus gesundheitlichen Gründen ständig nicht im Dienst war. Der Kläger beantragte den Erlass einer Anordnung gegen die Beklagte, auf Suchanfragen, die den Vor- und Nachnamen des Klägers enthalten, nicht mehr mit konkret bezeichneten URLs zu antworten, die mit entsprechenden Presseberichten verknüpft waren.
a) Anwendbarkeit der DSGVO auf Suchmaschinen, die Kunden in der EU angeboten werden
Das Gericht führte mit der Aussage ein, dass die Verarbeitung von Informationen durch einen Suchmaschinenbetreiber von dem Begriff der Verarbeitung personenbezogener Daten im Sinne von Art. 2 (1) DSGVO erfasst sei. Es erklärte weiter, dass diese Datenverarbeitung in den räumlichen Anwendungsbereich der DSGVO gemäß Art. 3 (2) DSGVO falle. Nach Art. 3 (2) lit. a) DSGVO gilt die Verordnung für die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Europäischen Union befinden, durch einen nicht in der Europäischen Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht, betroffenen Personen in der Europäischen Union Waren oder Dienstleistungen anzubieten. Die DSGVO definiert die Begriffe Waren und Dienstleistungen nicht. Nach Auffassung des Gerichts müssten die Begriffe weit ausgelegt werden, insbesondere angesichts der Tatsache, dass die DSGVO keinen finanziellen Ausgleich für die betroffene Person verlange. Für den zu entscheidenden Sachverhalt argumentierte das Gericht, dass die Suchmaschinendienste den Nutzern in Deutschland in deutscher Sprache angeboten wurden und die Nutzer, nach einer – allerdings nicht entscheidungserheblichen – Erwägung des Gerichts, durch das Zurverfügungstellen ihrer personenbezogenen Daten an den Suchmaschinenbetreiber in jeder Hinsicht für diese Dienste bezahlt hätten.
Das Gericht entschied sodann, dass sich ein Anspruch auf Entfernung von Suchergebnissen aus Art. 17 DSGVO ergeben könne. Vor dem Inkrafttreten der DSGVO hatte die Mehrheit der deutschen Gerichte den Anspruch auf Entfernung von Suchergebnissen nicht aus einem Recht auf Löschung personenbezogener Daten abgeleitet, sondern als einen gesonderten deliktischen Unterlassungsanspruch angesehen. Das Oberlandesgericht Frankfurt hat diese Position im Lichte der DSGVO aufgegeben. Nach der Auffassung des Gerichts sei nach der DSGVO zu berücksichtigen, dass der EuGH die Verpflichtung zur Entfernung von Suchergebnissen als Verpflichtung zur Löschung personenbezogener Daten im Sinne von Artikel 12 lit. b) der Richtlinie 95/46/EG (EuGH, Urteil vom 13. Mai 2014, C-131/12 – Google Spain) angesehen habe. Das EuGH-Urteil sei in die Diskussion über den Wortlaut von Art. 17 DSGVO einbezogen worden. Vor diesem Hintergrund sei nicht ersichtlich, dass der Gesetzgeber beabsichtigt habe, Ansprüche auf Entfernung von Suchmaschinenergebnissen aus dem Anwendungsbereich von Art. 17 DSGVO auszuschließen. Nach Auffassung des Gerichts ist das Recht auf Löschung im Zusammenhang mit Suchmaschinenbetreibern allerdings eingeschränkt. Das Recht der betroffenen Person, die Entfernung zu beantragen, könne auf die Löschung bestimmter Treffer beschränkt werden, die bei der Eingabe bestimmter Suchbegriffe, z.B. eines Namens, angezeigt werden. Gegebenenfalls brauche der Suchmaschinenbetreiber die Suchtreffer oder die Links zu Internetseiten nicht vollständig aus dem Suchindex zu entfernen, sondern dürfe sie bei Eingabe anderer Suchbegriffe weiter anzeigen. Für den zu entscheidenden Sachverhalt hat das Gericht die Klage dennoch abgewiesen.
Das Gericht diskutierte, ob ein Löschungsanspruch überhaupt entstanden sein könnte. Dazu prüfte es, ob die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig waren, Art. 17 (1) lit. a) DSGVO. Das Gericht diskutierte dies in zweierlei Hinsicht: Zum einen beurteilte es die Rechtslage in Bezug auf die Suchergebnisse einschließlich der Links zu den Presseartikeln als solche und stellte fest, dass der Zweck der Präsentation der Suchergebnisse, d.h. die Zugänglichkeit der verlinkten Websites, weiterhin bestehe. Zum anderen nahm das Gericht die Presseartikel, auf die sich die Suchergebnisse bezogen, in den Blick. In diesem Zusammenhang argumentierte das Gericht, dass die Notwendigkeit, die personenbezogenen Daten aufzubewahren, erst mit dem Wegfall eines berechtigten Informationsinteresses aufgehoben werde. Ob dies der Fall sei oder nicht, hänge von einer Abwägung der Interessen der beteiligten Parteien ab, ähnlich der Abwägung der Interessen, die für die Beurteilung eines berechtigten Interesses nach Art. 6 (1) lit. f) DSGVO erforderlich ist. Auf weitere Einzelheiten ging das Gericht an dieser Stelle nicht ein, da es die Klage aus anderen Gründen abwies.
Nach Auffassung des Gerichts war zu berücksichtigen, dass es sich um eine rechtswidrige Datenverarbeitung nach Art. 17 (1) lit. d) DSGVO handele, soweit die verlinkten Artikel Gesundheitsdaten des Klägers enthielten, deren Verarbeitung nach Art. 9 (1) DSGVO unzulässig ist. Insbesondere die Information, dass sich der Kläger krank gemeldet und in einer Rehabilitation befunden habe, sei eine gesundheitsbezogene Information im Sinne von Art. 9 DSGVO. Die Verarbeitung dieser Daten sei nicht durch das Interesse gerechtfertigt, die Öffentlichkeit über den Vorwurf zu informieren, dass der Kläger versucht habe, sich seiner Verantwortung für die Krise der Wohltätigkeitsorganisation durch eine Krankmeldung zu entziehen. Das Gericht nannte dieses Argument zirkelschlüssig. Es ist wichtig festzuhalten, dass das Gericht die Offenlegung von Gesundheitsdaten vor dem Inkrafttreten der DSGVO, d.h. nach dem Bundesdatenschutzgesetz in der vor dem 25. Mai 2018 geltenden Fassung, für rechtmäßig befand. Es ist ferner wichtig zu erwähnen, dass das Gericht keinen Unterschied gemacht hat zwischen der Rechtmäßigkeit der Informationen auf den Internetseiten, auf welche die Suchergebnisse verwiesen haben, und der Rechtmäßigkeit der Informationsverarbeitung im Rahmen der Suchergebnisse.
Nach Art. 4 (2) DSGVO umfasst Verarbeitung unter anderem die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung und die Verbreitung oder eine andere Form der Bereitstellung personenbezogener Daten. Die Definition der Verarbeitung erfasst daher die Zusammenstellung von Suchergebnissen einschließlich Links zu den Internetseiten jedenfalls als eine andere Form der Bereitstellung personenbezogener Daten. Dabei ist es unerheblich, ob die Suchergebnisse selbst die kritischen personenbezogenen Daten, z.B. die Gesundheitsdaten, enthalten oder nicht. Schwieriger ist die Situation in Bezug auf die (personenbezogenen) Informationen zu beurteilen, die vom Recht auf Löschung betroffen sind. Das Gericht setzte sich mit dem Umfang des Löschungsrechts unter diesen – typischen – Umständen des Falles nicht auseinander. Insbesondere unterschied das Gericht nicht zwischen der Löschung kritischer Informationen selbst, beispielsweise von Gesundheitsdaten als solchen, und anderer Informationen im Zusammenhang mit diesen kritischen Informationen, wie beispielsweise des Datensatzes mit den Suchergebnissen, der nicht zwangsläufig personenbezogene Daten enthalten muss. Auf der Grundlage der Definition von Art. 4 (2) DSGVO könnte man solche Suchergebnisse als personenbezogene Daten behandeln, da sie dazu dienen, Zugang zu den auf einer anderen Internetseite gehosteten personenbezogenen Daten zu verschaffen. Dies ist jedoch sicherlich nicht selbstverständlich, weshalb eine Klärung durch das Gericht sehr wünschenswert gewesen wäre.
Die Abwägung der widerstreitenden Interessen und die Anwendung des „Notice and Take-Down-Verfahrens“ auf das Recht auf Löschung
Im Lichte der oben wiedergegebenen Einschätzung des Gerichts ist der Rest der Entscheidung nicht einfach zu verstehen. Da die (fortgesetzte) Bereitstellung von Gesundheitsdaten nach Art. 9 DSGVO unrechtmäßig war, könnte der Ausgang des Falls klar erscheinen. Tatsächlich ist er das nicht.
Nach Art. 17 (3) lit. a) DSGVO muss das Gericht die widersprüchlichen Interessen der Parteien, d.h. das Interesse des Klägers an der Durchsetzung seines Rechts auf Löschung, insbesondere an der Löschung von Links zu seinen Gesundheitsdaten, und die Meinungs- und Informationsfreiheit des Beklagten gegeneinander abwägen, oder, auf einer abstrakteren Ebene, auf der einen Seite das Recht der Klägerin auf Achtung des Privatlebens nach Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG, Art. 8 Abs. 1 der Europäischen Menschenrechtskonvention und Art. 7, Art. 8 der EU-Grundrechtcharta, auf der anderen Seite das Recht des Beklagten und die Kommunikationsfreiheit der Kunden des Beklagten gemäß Art. 5 Abs. 1 GG, Art. 10 Abs. 1 der Europäischen Menschenrechtskonvention und Art. 11 der EU-Grundrechtecharta. Diese Interessenabwägung muss sogar dann durchgeführt werden, wenn die Verarbeitung personenbezogener Daten rechtswidrig im Sinne von Art. 17 (1) lit. d) DSGVO ist; dies ist eines der Szenarien, in denen das Recht auf Löschung entsteht. Interessanterweise diskutierte das Gericht nicht die Frage, ob diese Interessenabwägung in Fällen eines anhaltenden Verstoßes gegen Art. 9 DSGVO, d.h. bei rechtswidriger Verarbeitung von Gesundheitsdaten, überhaupt möglich und erforderlich ist (vgl. hierzu Worms, in: Beck Online-Kommentar zum Datenschutzgesetz, 25. Aufl. [August 2018], Art. 17 DSGVO Rn. 80).
Das Gericht wog nicht nur die gegensätzlichen Interessen gegeneinander ab, sondern argumentierte auch, dass nach der Rechtsprechung des Bundesgerichtshofs Suchmaschinenbetreiber nur dann einer besonderen Verpflichtung zur Entfernung von Suchergebnissen unterlägen, wenn ihnen eine auf den ersten Blick offensichtliche und deutlich erkennbare Persönlichkeitsrechtsverletzung gemeldet wurde. Ein ähnliches Argument hatte kürzlich das Oberlandesgericht Hamburg en passant gebraucht (Urteil vom 10. Juli 2018, 7 U 125/14). Nach Auffassung des Frankfurter Gerichts sei eine solche Meldung notwendig, um es dem Suchmaschinenbetreiber zu ermöglichen, von der großen Zahl der Internetseiten diejenigen zu identifizieren, die die Rechte Dritter verletzen. So könne eine Verletzung von Persönlichkeitsrechten beispielsweise offensichtlich sein bei Kinderpornographie, der Anstiftung zur Gewalt gegen Personen, einer offensichtlichen Verwechslung von Personen, dem Vorliegen einer rechtsverbindlichen Entscheidung gegen den primären Verletzer, dem Wegfall von Informationsinteressen durch Zeitablauf oder bei Hassreden. Nach Auffassung des Gerichts müsse dieser vom Bundesgerichtshof für deliktische Unterlassungsansprüche angewandte Standard auch für das Recht auf Löschung gelten.
Das Gericht war der Auffassung, die Presseartikel seien zum Zeitpunkt ihrer Veröffentlichung rechtmäßig gewesen. Daher habe die Beklagte keinen Anlass gehabt, eine offensichtliche und auf den ersten Blick klar erkennbare Persönlichkeitsrechtsverletzung in den Presseartikeln zu erkennen. Darüber hinaus habe die Beklagte trotz der Bereitstellung der in den Artikeln enthaltenen Gesundheitsdaten rechtmäßig gehandelt, als sie die Presseartikel mit der Liste der Suchergebnisse verknüpft hat. Dabei sei zu berücksichtigen, dass das Internet aufgrund der Datenflut ohne Suchmaschinen nicht mehr nutzbar wäre und somit die Nutzung des Internets als Ganzes von der Existenz und Verfügbarkeit von Suchmaschinen abhängig sei. Hinsichtlich der in die Suchmaschine aufgenommenen Presseartikel sei auch das durch Art. 5 GG geschützte Interesse der Autoren zu berücksichtigen.
Die Begründung des Gerichts wird nicht ganz deutlich. Insbesondere bleibt der genaue Grund unklar, auf den das Gericht die Klageabweisung stützt. Teile der Argumentation lesen erwecken den Anschein, das Gericht halte die Presseartikel für rechtmäßig. Andere Teile der Begründung legen nahe, dass das Gericht eine auf den ersten Blick offensichtliche und klar erkennbare Persönlichkeitsrechtsverletzung verlangt. Eine solche Anforderung stellt Art. 17 DSGVO jedoch nicht.
Zugunsten von Suchmaschinenbetreibern könnte man argumentieren, dass die rechtswidrige Verarbeitung personenbezogener Daten keinen Löschungsanspruch begründet, solange die geschädigte Person den Suchmaschinenbetreiber nicht informiert hat, da sonst der Betrieb von Suchmaschinendiensten praktisch unmöglich würde. Diese Position könnte in Art. 17 (3) lit. a) DSGVO eine Stütze finden, wonach kein Anspruch auf Löschung entsteht, solange die Verarbeitung zur Ausübung der Meinungs- und Informationsfreiheit erforderlich ist. Man könnte sie auch auf Art. 17 (1) DSGVO stützen, wonach die Löschung unverzüglich zu erfolgen hat; man könnte argumentieren, dass eine schuldhafte Verzögerung nur dann eintreten kann, wenn der Datenverarbeiter, d.h. der Suchmaschinenbetreiber, konkrete und sichere Kenntnisse über die Tatsachen hat, die das Recht einer betroffenen Person auf Löschung begründen.
Schwieriger wird es, sobald der Suchmaschinenbetreiber informiert ist. Das „Notice and Take-Down-Verfahren“ wurde konzipiert, um Fälle in den Griff zu bekommen, in denen der Dienstleister nur sekundär verpflichtet ist, möglicherweise rechtsverletzende Inhalte zu identifizieren. Der vom Oberlandesgericht Frankfurt entschiedene Fall betrifft jedoch nicht die Haftung von Suchmaschinenbetreibern, sondern einen gesonderten und, wie das Gericht zu Recht betont, speziell gegen den Suchmaschinenbetreiber gerichteten DSGVO-Anspruch.
Der Löschungsanspruch nach Art. 17 (1) DSGVO ist nach dem Wortlaut der Verordnung nicht auf Fälle beschränkt, in denen die Rechtswidrigkeit der Datenverarbeitung oder gar das Überwiegen der Interessen der betroffenen Person leicht erkennbar ist. Nach dem Ansatz des Oberlandesgerichts Frankfurt wird eine betroffene Person nicht in der Lage sein, ihren Löschungsanspruch gegen einen Suchmaschinenbetreiber durchzusetzen, solange eine Rechtsverletzung und oder ein überwiegendes Interesse an der Löschung nicht eindeutig sind. Dies könnte die Durchsetzung des Rechts der betroffenen Person auf Löschung gegenüber den Betreibern von Suchmaschinen übermäßig verkomplizieren. Es ist verständlich, dass das Gericht einen Weg gesucht hat, das Geschäftsmodell der Suchmaschinenbetreiber gegen Datenschutzansprüche auf Löschung zu schützen. Eine dogmatisch überzeugende Lösung hierfür hat das Gericht aber nicht gefunden.
