Der EuGH hat in einem Urteil vom 24. September 2019 zur Verarbeitung sensibler Daten durch Suchmaschinenbetreiber Stellung genommen (zur Pressemitteilung des EuGH). Danach gelten die erhöhten Anforderungen des Datenschutzrechts an die Verarbeitung besonderer Kategorien personenbezogener Daten auch für Suchmaschinenbetreiber. Auch wenn das Urteil sich noch auf die alte Rechtslage bezieht, gibt der EuGH in dem Urteil auch Hinweise, wie er die Situation unter der geltenden EU Datenschutz-Grundverordnung (DSGVO) bewertet.

Der Fall

Mehrere französische Privatpersonen hatten beim Conseil d’État (dem französischen obersten Verwaltungsgericht) gegen die französische Datenschutzaufsichtsbehörde (Commission nationale de l’informatique et des libertés – „CNIL“) geklagt, da diese nicht gegen einen Suchmaschinenbetreiber vorging. Die Ergebnisliste des Suchmaschinenbetreibers enthielt Links zu Webseiten, auf denen personenbezogene Informationen der Kläger zu finden waren, die diese in Zusammenhang mit deren politischer Meinung, Religion sowie mit einer Straftat setzten. Die CNIL lehnte es ab, den Suchmaschinenbetreiber dazu aufzufordern, die betreffenden Seiten aus der Ergebnisliste zu entfernen.

Der Conseil d’État wollte vom EuGH in seiner Vorlagefrage unter anderem wissen, ob die Verbote zur Verarbeitung besonderer Kategorien personenbezogener Daten aus der zum damaligen Zeitpunkt gültigen Datenschutzrichtlinie (Richtlinie 95/46) auch für Suchmaschinen gelten.

Suchmaschinenbetreiber sind datenschutzrechtliche Verantwortliche

Der EuGH betonte wie bereits im sog. Google-Urteil aus dem Jahr 2014 (C – 131/12), dass der Betreiber einer Internetsuchmaschine datenschutzrechtlicher Verantwortlicher für die von ihm vorgenommene Verarbeitung personenbezogener Daten ist, die auf von Dritten veröffentlichten Internetseiten erscheinen. Entsprechend muss der Suchmaschinenbetreiber im Rahmen seiner Befugnisse und Möglichkeiten auch die Anforderungen des EU-Rechts umsetzen.

Das betrifft jedoch ausdrücklich nicht den Inhalt der entsprechenden Website, sondern lediglich die vom Suchmaschinenbetreiber zur Verfügung gestellte Ergebnisliste:

„Daher können [...] in Anbetracht des Verantwortungsbereichs, der Befugnisse und der Möglichkeiten des Suchmaschinenbetreibers als des für die Datenverarbeitung im Rahmen der Suchmaschinentätigkeit Verantwortlichen die in Art. 8 Abs. 1 und 5 der Richtlinie 95/46 sowie in Art. 9 Abs. 1 und Art. 10 der Verordnung 2016/679 vorgesehenen Verbote und Beschränkungen auf den Suchmaschinenbetreiber nur aufgrund der Listung der Website und somit über eine Prüfung anwendbar sein, die auf der Grundlage eines Antrags der betroffenen Person unter der Aufsicht der zuständigen nationalen Behörden vorzunehmen ist.“ (Rn. 47)

Anforderungen an Suchmaschinenbetreiber

Suchmaschinenbetreiber müssen laut den EU-Richtern künftig auf Antrag der betroffenen Personen im Einzelfall prüfen, ob die Aufnahme eines Links in die Ergebnisliste rechtmäßig war. Ähnlich wie bereits im Google-Urteil sieht der EuGH die Suchmaschinenbetreiber nicht in der Pflicht, eine solche Prüfung selbständig präventiv vorzunehmen.

Die Prüfung durch den Suchmaschinenbetreiber soll nach Auffassung des EuGH in einer Abwägung zwischen den Rechten der betroffenen Personen und der Informationsfreiheit der Internetnutzer im jeweiligen Einzelfall bestehen. Dies begründet der Gerichtshof in Bezug auf die DSGVO damit, dass auch diese eine Abwägung zwischen den der EU-Grundrechtecharta gewährten Rechten und dem Recht auf Vergessenwerden vorsieht. Bei der Prüfung sollen die Suchmaschinenbetreiber mit einbeziehen, ob die Verarbeitung sich auf offenkundig von der Person öffentlich gemachte Daten bezieht (Art. 9 Abs. 2 lit. e) DSGVO).

Einschätzung des Urteils

Der EuGH hat mit diesem Urteil erneut klargestellt, dass Suchmaschinenbetreiber als datenschutzrechtliche Verantwortliche den entsprechenden gesetzlichen Anforderungen hierfür unterworfen sind. Dies gilt insbesondere auch für die Verarbeitung besonderer Kategorien personenbezogener Daten sowie von Informationen über Straftaten, für deren Schutz in der DSGVO besonders hohe Hürden aufgestellt sind. Diese stellen die Praxis regelmäßig vor enorme Probleme.

Die EU-Richter kommen den Suchmaschinenbetreibern jedoch weit entgegen. Einerseits sehen sie eine datenschutzrechtliche Verantwortlichkeit auf Grund der besonderen Situation von Suchmaschinen erst dann gegeben, wenn diese von den betroffenen Personen einen Antrag auf Entfernung eines Beitrages aus der Ergebnisliste erhalten. Eine – praktisch kaum leistbare – selbstständige Vorabprüfung aller angezeigten Websites bleibt den Suchmaschinenbetreibern somit erspart.

Andererseits erweitert der EuGH den restriktiven Wortlaut der Art. 9 und 10 DSGVO um eine Abwägung zwischen den Interessen der betroffenen Personen und der Informationsfreiheit. Auf diese Weise ermöglicht der EuGH den Betreibern von Suchmaschinen eine Verarbeitung derart sensibler Daten, ohne eindeutig zur umstrittenen Frage Stellung nehmen zu müssen, ob Suchmaschinenbetreiber unter das Medienprivileg aus Art. 85 DSGVO fallen können.

Fazit

Für die Betreiber von Suchmaschinen bedeutet das Urteil, dass sie das bereits nach der Google-Entscheidung durchzuführende Verfahren bei Beschwerden von Betroffenen wegen der Verletzung von Persönlichkeitsverletzungen erweitern müssen. Auch wenn dies einen erheblichen zusätzlichen Aufwand bedeutet, sind sie mit einem blauen Auge davongekommen. Eine Pflicht zur selbstständigen Prüfung verlinkter Inhalte oder eine strikte Anwendung der Regelungen aus Art. 9 und 10 DSGVO hätte den rechtmäßigen Betrieb von Suchmaschinen nahezu unmöglich gemacht.

Bemerkenswert an dem Urteil ist, dass der EuGH durchaus bereit ist, die DSGVO gegebenenfalls einschränkend unter Abwägung mit sonstigen schützenswerten Rechten wie z.B. EU-Grundrechten auszulegen, um für die Praxis vertretbare und faire Lösungen zu finden.