EuGH zum Recht auf Vergessen­werden

Der EuGH hat mit seiner Entscheidung vom 27. Oktober 2022 (Rechtssache C-129/21) zu der Reichweite des Anspruchs auf das Löschen personenbezogener Daten Stellung bezogen. Im konkreten Fall ging es um eine Löschung aus Telefonverzeichnissen. Künftig soll es Betroffenen deutlich leichter fallen, ihre Daten aus solchen Telefonverzeichnissen vollständig verschwinden zu lassen. Der Herausgeber muss die Daten einer Person nach Aufforderung nicht nur selbst löschen, sondern auch den Löschvorgang bei anderen Verantwortlichen anstoßen, an die er die Daten weitergeleitet hat. Damit bestätigt und konkretisiert der EuGH im Wesentlichen die spezialgesetzlichen deutschen Regelungen nach §§ 17, 18 TTDSG. Der Entscheidung lassen sich aber auch generelle Grundsätze zur Auslegung des Rechts auf Vergessenwerden (Art. 17 Abs. 2 DS-GVO) durch den EuGH entnehmen.

Hintergrund

Das Vorabentscheidungsersuchen des Appellationshofs Brüssel an den EuGH erging vor dem Hintergrund eines Rechtsstreits zwischen der belgischen Datenschutzbehörde und Proximus, einem belgischen Telekommunikationsanbieter. Proximus bietet Auskunftsdienste und Verzeichnisse mit den Kontaktdaten von Kunden verschiedener anderer Telefondienste an. Die TK-Anbieter übermitteln Namen, Adresse und Telefonnummer ihrer Kunden an Proximus, der sie wiederum an andere Anbieter solcher Verzeichnisse weiterleitet.

So geschah dies auch mit den Kontaktdaten eines Kunden von Telenet, der Proximus jedoch aufforderte, seine Daten in den besagten Telefonverzeichnissen nicht aufzuführen. Gleichzeitig legte er bei der belgischen Datenschutzbehörde eine Beschwerde ein. Proximus wehrte sich gegen die von der Datenschutzbehörde getroffene stattgebende Entscheidung, unter anderem mit der Begründung, dass für die Veröffentlichung personenbezogener Daten in Telefonverzeichnissen keine vorherige Einwilligung der Nutzer erforderlich sei. Vielmehr seien die Nutzer darauf angewiesen, die „Opt-out“ Option hinsichtlich der Aufführung ihrer Daten in den Verzeichnissen wahrzunehmen.

(Nur eine) Einwilligung erforderlich

Der EuGH folgt dieser Auffassung von Proximus nicht. Kunden müssen in die Veröffentlichung ihrer personenbezogenen Daten in Telefonverzeichnissen einwilligen. Die Einwilligung muss gem. Art. 4 Nr. 11 DS-GVO aus einer „in informierter Weise und unmissverständlich abgegebenen Willensbekundung“ bestehen. Auf die bloße Möglichkeit des Opt-outs, nachdem ihre Daten bereits veröffentlich wurden, können die Nutzer nicht verwiesen werden. Dies entspricht dem Grunde nach auch den vom deutschen Gesetzgeber geschaffenen Voraussetzungen für die Veröffentlichung von Kundendaten in Telefonverzeichnissen. Nach § 17 TTDSG müssen TK-Anbieter ihre Kunden über die Möglichkeit der Aufnahme ihrer Daten in solche Verzeichnisse informieren, die Kunden müssen die Eintragung allerdings aktiv beantragen.

Der EuGH stellte in diesem Zusammenhang jedoch auch klar, dass die betroffenen Personen zum Zeitpunkt ihrer Einwilligung nicht zwingend die Identität aller Anbieter von Verzeichnissen, die ihre Daten möglicherweise veröffentlichen werden, kennen müssen. Soweit die betroffenen Personen über die Möglichkeit der Weitergabe ihrer personenbezogenen Daten an Dritte zum Zweck der Veröffentlichung informiert wurden und in die Veröffentlichung einwilligen, erstreckt sich diese Einwilligung auch auf jede weitere Verarbeitung der Daten durch dritte Unternehmen zu demselben Zweck. Eine einzige Einwilligung reicht also für alle aus.

Widerruf der Einwilligung muss genauso einfach sein, wie die Erteilung

Die Medaille, dass sich verschiedene Anbieter auf eine einheitliche Einwilligung der betroffenen Person stützen können, hat auch eine Kehrseite. Denn wie der EuGH betont, muss die betroffene Person nach Art. 7 Abs. 3 DS-GVO ihre Einwilligung jederzeit widerrufen können, wobei der Widerruf genauso einfach sein muss wie die Erteilung der Einwilligung. Mit dem Antrag auf Entfernung der Daten übt die betroffene Person laut dem EuGH ihr Recht auf Löschung aus Art. 17 DS-GVO aus.

In der Weitergabe der Daten an andere Herausgeber von Telefonverzeichnissen sieht der EuGH eine Veröffentlichung im Sinne von Art. 17 Abs. 2 DS-GVO, mit der Konsequenz, dass die betroffene Person von ihrem „Recht auf Vergessenwerden“ Gebrauch machen kann.

Wenn also die Nutzer nur einmal in die Veröffentlichung ihrer Kontaktdaten einwilligen müssen, dann muss es auch ausreichen, den Widerruf dieser Einwilligung bzw. die Aufforderung zur Löschung nur einmal zu erklären. Dabei können die Nutzer sich frei aussuchen, an welchen der Anbieter sie sich hierfür wenden. Die Anbieter müssen den Widerruf bzw. das Löschbegehren daraufhin im Einklang mit den Anforderungen aus Art. 17 Abs. 2 DS-GVO in beide Richtungen weitergeben: sowohl an all diejenigen Anbieter, denen sie die Daten zur Veröffentlichung übermittelt haben als auch an den Anbieter, der ihnen selbst die Daten hat zukommen lassen.

Verantwortliche müssen geeignete Maßnahmen ergreifen

Dabei müssen alle für die Datenverarbeitung Verantwortlichen (sprich alle hier beteiligten Telefonanbieter und Anbieter von Telefonverzeichnissen) unter Berücksichtigung der Technologie und der Implementierungskosten angemessene technische und organisatorische Maßnahmen ergreifen, um sicherzustellen, dass die anderen Verantwortlichen, von denen sie die Daten bekommen oder an die sie die Daten übermittelt haben, über den Widerruf informiert werden. Laut dem EuGH seien Art. 5 Abs. 2 und Art. 24 DSGVO dahingehend auszulegen, dass nationale Aufsichtsbehörden den Verantwortlichen aufgeben können, derartige Maßnahmen zu ergreifen.

Die Anbieter müssen das Löschbegehren der Nutzer, ebenfalls im Rahmen angemessener Maßnahmen, auch an Suchmaschinenanbieter weiterleiten.

Fazit

Der EuGH hat mit dieser Entscheidung Licht auf mögliche Hürden bei der Durchsetzung von Löschbegehren hinsichtlich personenbezogener Daten geworfen und diese minimiert. Betroffene Personen sollen nicht von der Idee abgeschreckt werden, einen möglicherweise großen Pool an Verantwortlichen kontaktieren und das Entfernen ihrer Daten verlangen zu müssen.

In Zukunft werden also nicht nur Telefonanbieter, sondern auch andere Unternehmen, die regelmäßig personenbezogene Daten zur Verarbeitung empfangen und übermitteln, gut beraten sein, ein zuverlässiges System zur Weiterleitung von Löschbegehren einzurichten. Unser eingespieltes Team aus anerkannten Datenschutz- und Telekommunikations-Experten berät Sie gerne.