Das Urteil vom Gerichtshof der Europäischen Union (EuGH) zum «Recht auf Vergessenwerden» (resp. Google vs. Mario Costeja González; Pressemitteilung) liegt nun schon einige Monate zurück. Dennoch lohnt es sich, die vier wichtigsten Punkte festzuhalten. Diese dürften die Diskussion (nicht nur) um Privatsphäre und Überwachung in nächster Zeit begleiten.
1. Internationale (und Cloud-) Firmen unterstehen auch nationalem Recht
Internationale Konzerne können sich nicht mit dem Hinweis, dass die Server doch ganz woanders stünden, aus der Verantwortung stehlen:
«Bei der Verarbeitung personenbezogener Daten zum Betrieb einer Suchmaschine durch ein Unternehmen mit Sitz in einem Drittstaat, das aber in einem Mitgliedstaat eine Niederlassung besitzt, wird die Verarbeitung im Sinne der [Datenschutz-]Richtlinie „im Rahmen der Tätigkeiten“ dieser Niederlassung ausgeführt, wenn diese die Aufgabe hat, in dem betreffenden Mitgliedstaat für die Förderung des Verkaufs der Werbeflächen der Suchmaschine, mit denen deren Dienstleistung rentabel gemacht werden soll, und diesen Verkauf selbst zu sorgen.»
«Unter solchen Umständen sind nämlich die Tätigkeiten des Suchmaschinenbetreibers und die seiner Niederlassung in dem betreffenden Mitgliedstaat untrennbar miteinander verbunden, da die die Werbeflächen betreffenden Tätigkeiten das Mittel darstellen, um die in Rede stehende Suchmaschine wirtschaftlich rentabel zu machen, und die Suchmaschine gleichzeitig das Mittel ist, das die Durchführung dieser Tätigkeiten
ermöglicht.»
2. Suchmaschinen bearbeiten personenbezogene Daten und unterstehen den Datenschutzgesetzen
Nicht nur das User-Tracking stellt eine Bearbeitung von personenbezogenen Daten dar, sondern auch die Zusammenstellung und Gewichtung von Links zu einem Personennamen:
«In seinem heutigen Urteil stellt der Gerichtshof zunächst fest, dass der Betreiber einer Suchmaschine, indem er automatisch, kontinuierlich und systematisch im Internet veröffentlichte Informationen aufspürt, eine „Erhebung“ von Daten im Sinne der [Datenschutz-]Richtlinie vornimmt, Daten, die er dann mit seinen Indexierprogrammen „ausliest“, „speichert“ und „organisiert“, auf seinen Servern „aufbewahrt“ und gegebenenfalls in Form von Ergebnislisten an seine Nutzer „weitergibt“ und diesen „bereitstellt“.»
«Daran ändert auch nichts, dass die personenbezogenen Daten bereits im Internet veröffentlicht worden sind und von der Suchmaschine nicht verändert werden.»
«Der Gerichtshof weist in diesem Zusammenhang darauf hin, dass eine Verarbeitung personenbezogener Daten, die von einem solchen Suchmaschinenbetreiber vorgenommen wird, es jedem Internetnutzer ermöglicht, bei Durchführung einer Suche anhand des Namens einer natürlichen Person mit der Ergebnisliste einen strukturierten Überblick über die zu ihr im Internet verfügbaren Informationen zu erhalten. Diese betreffen zudem potenziell zahlreiche Aspekte des Privatlebens und hätten ohne die Suchmaschine nicht oder nur sehr schwer miteinander verknüpft werden können.»
3. Eine Suchmaschine betreibt – zusätzlich zur Datenquelle – eine eigenständige Datenbearbeitung
Daraus schliesst, dass die Bearbeitung von personenbezogenen Daten durch eine Suchmaschine unabhängig von der Tätigkeit der Informationsquelle betrachtet werden muss:
«Durch die Tätigkeit einer Suchmaschine können die Grundrechte auf Achtung des Privatlebens und Schutz personenbezogener Daten somit erheblich beeinträchtigt werden, und zwar zusätzlich zur Tätigkeit der Herausgeber von Websites; als derjenige, der über die Zwecke und Mittel dieser Tätigkeit entscheidet, hat der Suchmaschinenbetreiber daher in seinem Verantwortungsbereich im Rahmen seiner Befugnisse und Möglichkeiten dafür zu sorgen, dass die Tätigkeit den Anforderungen der [Datenschutz-]Richtlinie 95/46 entspricht, damit die darin vorgesehenen Garantien ihre volle Wirksamkeit entfalten können und ein wirksamer und umfassender Schutz der betroffenen Personen, insbesondere ihres Rechts auf Achtung ihres Privatlebens, tatsächlich verwirklicht werden kann.»
4. Personenbezogene Daten, die ihre Relevanz verloren haben, dürfen nach Datenschutzgesetzen auch von Suchmaschinen nicht weiter bearbeitet werden
Nicht mehr relevante Informationen, die beim Suchen anhand eines Personennamens, ausgegeben werden, stellen eine unrechtmässige Bearbeitung von Personendaten dar. Der Umstand kann von der betroffenen Person berichtigt werden lassen:
«Auch eine ursprünglich rechtmäßige Verarbeitung sachlich richtiger Daten kann im Laufe der Zeit nicht mehr den Bestimmungen der [Datenschutz-]Richtlinie entsprechen, wenn die Daten in Anbetracht aller Umstände des Einzelfalls, insbesondere der verstrichenen Zeit, den Zwecken, für die sie verarbeitet worden sind, nicht entsprechen, dafür nicht oder nicht mehr erheblich sind oder darüber hinausgehen. Wendet sich die betroffene Person gegen die vom Suchmaschinenbetreiber vorgenommene Datenverarbeitung, ist u.a. zu prüfen, ob sie ein Recht darauf hat, dass die betreffenden Informationen über sie zum gegenwärtigen Zeitpunkt nicht mehr durch eine Ergebnisliste, die im Anschluss an eine anhand ihres Namens durchgeführte Suche angezeigt wird, mit ihrem Namen in Verbindung gebracht wird. Wenn dies der Fall ist, sind die Links zu Internetseiten, die diese Informationen enthalten, aus der Ergebnisliste zu löschen, es sei denn, es liegen besondere Gründe vor, z.B. die Rolle der betreffenden Person im öffentlichen Leben, die ein überwiegendes Interesse der breiten Öffentlichkeit am Zugang zu diesen Informationen über eine solche Suche rechtfertigen.»
Google muss entsprechende Seiten nicht löschen. Sie werden aber – wenn sie zusammen mit dem Personennamen gesucht werden -, aus den Suchresultaten entfernt. Wenn nicht nach der Person gesucht wird, erscheint die Seite nach den normalen Kriterien der Suchmaschine.