Ein Kernelement des Rechts auf Vergessenwerden nach Art. 17 des Entwurfs der EU-Datenschutzverordnung (siehe dazu diesen Beitrag) ist die Verpflichtung des für die Datenverarbeitung Verantwortlichen, auf Verlangen nicht nur die Daten aus dem eigenen System zu löschen, sondern auch bei Dritten dafür zu sorgen, dass es zu keiner weiteren Verbreitung der Daten kommt.
Was könnte das nun für die Praxis bedeuten? Zunächst
einmal ist die Annahme naheliegend, dass derjenige, der eine personenbezogene
Information von seiner Webeite löschen muss, auch dafür Sorge zu tragen hat,
dass diese nicht weiterhin über Google zugänglich ist, z.B. über den Text eines
Snippets oder über den Google Cache.
Das ist letztlich keine völlig neue Diskussion. Gerichte
mussten sich schon öfters mit der Reichweite eines Unterlassungsanspruchs
beschäftigen und damit, ob ein Rechteverletzer verpflichtet ist, auch auf
Suchmaschinen zuzugehen. Für den Fall, dass der Betroffene die Löschung der
Daten nach der Datenschutzverordnung verlangt, wäre eine solche Verpflichtung
damit anscheinend festgeschrieben. Klar ist aber nur, dass der für die Datenverarbeitung
Verpflichtete auf Google zugehen und von dem Löschbegehren des Dritten
informieren müsste. Er hat keinen Anspruch darauf, dass Google dann auch
tatsächlich den Link zu seiner Seite bzw. seine Seite aus dem Cache unverzüglich
entfernt. Auch ergibt sich aus Art. 17 des Entwurfs zumindest keine eindeutige
Verpflichtung des Benachrichtigten, die Mitteilung zum Anlass nehmen zu müssen,
die Daten bei sich zu löschen.
Ist Google nur dann zur
Löschung verpflichtet, wenn gegen das Unternehmen gleichfalls ein
Löschanspruch besteht? Dann würde die Benachrichtigung des für die Verarbeitung
Verpflichteten faktisch die gleiche Löschpflicht auslösen wie ein ausdrückliches
Begehren der Löschung durch den Betroffenen. Dieser könnte sich darauf
beschränken, den primär Verantwortlichen mit dem Löschanspruch zu konfrontieren
und die Benachrichtigung Dritter ihm überlassen. Nach der hier angedachten
Lösung würde der Verantwortliche quasi als Art Vertreter einen ohnehin dem
Betroffenen zustehenden Löschanspruch geltend machen.
These 1: Die Mitteilung nach Art 17 Abs. 2 des Entwurfs der
Datenschutzverordnung alleine löst keine Löschpflicht des Benachrichtigten aus.
Es ist erforderlich, dass der Berechtigte auch gegen ihn selbst einen
Löschanspruch hat.
Ob Google als für die Verarbeitung Verantwortlicher
hinsichtlich der personenbezogenen Daten auf Websites, die es indexiert,
betrachtet werden kann, hat der EuGH demnächst auf eine Vorlage aus Spanien hin
zu entscheiden (Rs. C-131/12). In dem Verfahren dürfte sich der Gerichtshof auch
zu den Möglichkeiten äußern, von Google die Löschung von personenbezogenen Daten
zu verlangen.
Welche Auswirkungen hat es, wenn der zu Benachrichtigende
die fraglichen Daten ohnehin routinemäßig löscht? Beim Google Cache ist genau
dies der Fall. Werden die Informationen auf einer Webseite entfernt, hat dies
nach dem nächsten Crawl-Vorgang durch die Roboter der Suchmaschine zur Folge,
dass die Daten nicht mehr über Google zugänglich sind.
Es ließe sich argumentieren, dass es keine
Mitteilungspflicht zur nur zeitlichen Beschleunigung der Entfernung gibt oder
wahrscheinlich treffender, dass durch das Löschen der Inhalte zugleich auf
technischer Ebene eine Benachrichtigung erfolgt, die über die Roboter zum
Dritten gelangt.
Wer Dritten erlaubt, Informationen über sich zu
verbreiten – z.B. ein Bild von sich ins Netz zu stellen – erlaubt damit zugleich
via schlichter Einwilligung Suchmaschinen die Erfassung desselben. Dabei ist es
der gewöhnliche Lauf, dass es eine gewisse Zeit dauert, bis die Informationen
über Suchmaschinen auffindbar sind. Dann ist es nach dem Widerruf der
Einwilligung auch sachgerecht, hier erneut auf den im Internet üblichen Lauf der
Dinge abzustellen und es dem Berechtigten grundsätzlich zuzumuten, bis zum
nächsten Crawl-Vorgang mit der Zugänglichmachung der Informationen durch
Suchmaschinen zu leben.
These 2: Für eine Mitteilung nach Art 17 Abs. des
Entwurfs der Datenschutzverordnung kann auch alleine das Löschen der Inhalte auf
der eigenen Seite genügen, wenn feststeht, dass der Dritte im Rahmen
routinemäßiger Abfragen von der Löschung erfährt und diese zu einer
Aktualisierung des Datenbestands bei sich zum Anlass nimmt.
Soweit eine erste überschlägige Einschätzung. Über
Kommentare dazu würde ich mich freuen! Einige Punkte werde ich hier zudem
demnächst im Detail noch einmal aufgreifen.
No comments:
Post a Comment