Der Europäische Gerichtshof hat mit Urteil vom 24. September 2019 (Aktenzeichen: C-507/17) entschieden, dass der Betreiber einer Suchmaschine wie Google Inc. (heute Google LLC) verpflichtet ist, dem Antrag einer betroffenen Person auf Löschung personenbezogener Suchergebnisse „in allen mitgliedstaatlichen Versionen seiner Suchmaschine“ nachzukommen. Nicht umfasst hiervon ist die Pflicht, die Auslistung „in allen Versionen seiner Suchmaschine“ – also weltweit – vorzunehmen.
Mit dem Begriff der „Auslistung“ bezeichnet der EuGH die Löschung personenbezogener Suchergebnisse im Internet.
Hintergrund des Urteils
Bereits im Mai 2014 entschied der EuGH, dass der Suchmaschinenbetreiber dazu verpflichtet ist, Links zu Websites mit Informationen zu einer Person, von der Ergebnisliste, die im Anschluss an eine Suchanfrage angezeigt wird, zu entfernen. Dies gilt auch dann, wenn der Name der betroffenen Person oder Informationen zu dieser noch nicht gelöscht werden und gegebenenfalls auch dann, wenn ihre Veröffentlichung auf den Websites als solche rechtmäßig ist.
2015 wurde Google von der französischen Aufsichtsbehörde CNIL aufgefordert, Links, die personenbezogene Daten enthalten, auf sämtlichen Domains ihrer Suchmaschine zu entfernen.
Google kam dieser Aufforderung nicht nach und entfernte lediglich die betreffenden Links aus den Ergebnislisten des entsprechenden Mitgliedstaates. Durch dieses „Geoblocking“ werden Internetinhalte durch den Anbieter regional gesperrt. Das bedeutet, dass eine Google-Domain, welche aus einem Land aufgerufen wird, in dem eine Person die Auslistung beantragt hat, eingeschränkt wird und die in Rede stehenden Links in dem Land des Antragstellers nicht mehr angezeigt werden können. Startet ein Internetnutzer also eine Suchanfrage aus einem Land, so wird er nun automatisch auf die nationale Version der Suchmaschine von Google dieses Landes geleitet (sog. Geolokalisierung).
Dies war der CNIL jedoch nicht genug, da ihrer Ansicht nach, eine solche Blockade mit technischen Mitteln wie Proxydiensten oder Anonymisierungstools umgangen werden könnte.
Mit Feststellung der nicht ordnungsgemäßen Umsetzung der Aufforderung verhängte die CNIL sodann im März 2016 gegen Google eine Sanktion von 100 000 Euro.
Google erhob daraufhin beim Conseil d`État (Staatsrat, Frankreich) Klage auf Nichtigerklärung des Beschlusses.
Das französische Gericht legte dem EuGH sodann unter anderem die Frage des Umfangs der Auslistungspflicht zur Klärung vor (wir berichteten).
Was hat der EuGH nun entschieden?
Der EuGH führt in einer gemeinsamen Behandlung der Vorlagefragen aus, dass der Betreiber einer Suchmaschine grundsätzlich zur Auslistung verpflichtet ist.
Im Rahmen der Verordnung 2016/679 – besser bekannt als Datenschutz-Grundverordnung –ergibt sich dieses Auslistungsrecht aus Art. 17 Abs. 1 DSGVO, der speziell das Recht auf Löschung regelt und in der Überschrift als „Recht auf Vergessenwerden“ bezeichnet wird. Da Google auch einen Unternehmensstandort in Frankreich hat und dort personenbezogene Daten verarbeitet, unterliegt der Konzern dem Anwendungsbereich der DSGVO.
In räumlicher Hinsicht beschränkt sich die Auslistungspflicht jedoch auf das Hoheitsgebiet der europäischen Union. Dies ergibt sich daraus, dass zahlreiche Drittstaaten ein solches Auslistungsrecht gar nicht kennen und das Recht auf Schutz personenbezogener Daten nicht uneingeschränkt gilt, sondern gegen die Informationsfreiheit der Internetnutzer abzuwägen ist. Die dabei vorzunehmende Abwägung kann weltweit sehr unterschiedlich ausfallen.
Der EuGH stellt klar, dass die Auslistung in allen mitgliedstaatlichen „EU-“Versionen der Suchmaschine und nicht lediglich in der Version für den Wohnsitzmitgliedstaat zu erfolgen hat. Dies folgt aus der Regelung des Datenschutzes durch eine unmittelbar anwendbare Verordnung (Datenschutz-Grundverordnung), die ein gleichmäßiges und -hohes Datenschutzniveau in der gesamten Union gewährleisten soll.
Der Suchmaschinenbetreiber Google muss deshalb die Auslistung nicht in allen Versionen seiner Suchmaschine vornehmen. Eine weltweite Umsetzung des Rechts auf Vergessenwerden nach Art. 17 DSGVO wird demnach nicht gefordert. Vielmehr gilt dieses Recht nur für Suchmaschinen in der EU.
Allerdings betont der EuGH auch, dass hierin kein Verbot der weltweiten Löschung zu sehen ist. Vielmehr soll eine Aufsichts- und Justizbehörde eines Mitgliedstaates befugt sein, einem Suchmaschinenbetreiber nach erfolgter Abwägung ggf. aufzugeben, eine Auslistung in allen Versionen seiner Suchmaschine vorzunehmen.
Der Betreiber ist aber erforderlichenfalls zu zugriffserschwerenden Maßnahmen verpflichtet, um einen wirkungsvollen Schutz der Grundrechte der betroffenen Person sicherzustellen. Eine solche Maßnahme sieht der EuGH in der Geoblocking-Technik. Jedenfalls hat das vorlegende Gericht zu prüfen, ob die von Google getroffenen oder vorgeschlagenen Maßnahmen den Anforderungen an eine Zugriffserschwerung genügen.
Fazit
Das Recht auf Vergessenwerden gemäß Art. 17 DSGVO gilt nach wie vor nicht für das globale Internet. Google und andere Suchmaschinenbetreiber müssen beanstandete Links nur innerhalb der Europäischen Union auslisten und falls nötig per Geoblocking unzugänglich machen.