– Eine Kurzanalyse der Datenschutz-Grundverordnung in drei Teilen –

In Teil I dieser Kurzanalyse ging es um die Realitätsferne eines datenschutzrechtlichen Konzepts, das auf dem Verbots- und Vorsorgeprinzip aufbaut und dabei gegenüber den Kommunikationsfreiheiten weitgehend ignorant ist.

In Teil II dieser Analyse mussten wir feststellen, dass Datenschutzrecht zu einem Supergrundrecht zu werden droht, gegen das Meinungs-, Presse- und Informationsfreiheit einen schweren Stand haben werden.

In Teil III (nachfolgend 13. bis 16.) geht es nun um dieHaftung von Suchmaschinenbetreibern und anderen Intermediären, um die Anwendung des Datenschutzrechts auf diese Gruppe von Datenverarbeitern, um das Widerspruchsrecht und den Minderjährigenschutz.

13. Löschansprüche gegen Suchmaschinen und andere Intermediäre

Auch die Löschansprüche des letzten Entwurfs der Datenschutz-Grundverordnung v. 4.12.2015 (nachfolgend “DS-GVO-E”) sind eine ernsthafte Bedrohung für die Meinungsfreiheit. Wem eine Meinungsäußerung eines anderen nicht passt, der kann sich jetzt für eine schnelle Lösung an den Intermediär wenden. Denn: Für Intermediäre sieht Art. 17 DS-GVO-E nicht etwa ein „Notice-and-Takedown“-Verfahren vor, wie es den Manila-Prinzipien entspräche.

• Automatische Zugänglichmachungs-Beschränkung auf Widerspruch

Stattdessen muss der Intermediär bei einem Widerspruch des Betroffenen sofort die Datenverarbeitung beschränken – und zwar so lange, bis er verifiziert hat, ob seine berechtigten Interessen für die Fortführung der Datenverarbeitung nicht ausnahmsweise überwiegen (vgl. Art. 17a Abs. 1 lit. c) DS-GVO-E). Eine solche automatische Beschränkung widerspricht auch der E-Commerce-Richtlinie 2000/31/EG, wonach der Diensteanbieter tatsächliche Kenntnis von einem Verstoß haben muss. Selbst wenn die Beschränkung nur zeitweise erfolgt, begünstigt sie „bad actors with short-term issues“.

• Keine Information an Online-Publisher

Intermediäre dürfen sodann den Online-Publisher nicht darüber informieren, dass es ein Löschersuchen gegeben hat. Dies sagt der DS-GVO-E zwar nicht ausdrücklich. Er hätte eine solche Informationspflicht des Intermediärs aber gesetzlich festlegen müssen. Denn in Ermangelung einer ausdrücklichen Ermächtigung hierzu gibt es keine Rechtsgrundlage für die Information von Webmastern (so zumindest die Guidelines on the Implementation of Google Spain der Art. 29-Datenschutzgruppe v. 26.11.2014, Seite 9 f.).

So erhält der Publisher keine Chance, falsche Angaben des Betroffenen zu korrigieren. Und der Intermediär hat keine Chance, die Angaben des Betroffenen zu überprüfen.

• Praktische Folgen

Die potentiell hohen Strafen und die rechtlich unbestimmten Aussagen des DS-GVO-E werden dazu führen, dass der Intermediär im Zweifel lieber löscht. Gut für den, der aktives Reputationsmanagement in eigener Sache betreibt, schlecht für die Meinungs-, Presse- und Informationsfreiheit.

Daphne Keller hat diese Folgen des DS-GVO-E dankenswerterweise in einer Serie von Beiträgen analysiert: Intermediaries and free expression under GDPR.

Wie weit der Arm des „Rechts auf Vergessen“ reichen kann, zeigt sich an einem Fall, der aktuell vor dem LG Hannover verhandelt wird. Dort begehrt eine Klägerin sogar, Links de-listen zu lassen, die auf Webseiten mit einem Namen verweisen, der dem ihren ähnlich ist.

14. Anwendung auf Suchmaschinen

Fun-fact: Wendet man die Regelungen des DS-GVO-E wörtlich an, dürfte Google mit Inkrafttreten der Datenschutz-Grundverordnung zumindest keine namensbezogene Suche mehr anbieten. Da Google spätestens seit dem EuGH-Urteil in der Rechtssache Google ./. Spain (EuGH, Urt. v. 13.5.2014 – C‑131/12, CR 2014, 460 – 469) als Datenverarbeiter im Sinne des Datenschutzrechts anzusehen ist, müsste das Unternehmen (so wie jede andere verantwortliche Stelle) alle Pflichten des DS-GVO-E beachten. Das bedeutet:

• Verbot der Verarbeitung sensibler Daten:

Google dürfte eine Suche nach “Joachim Löw Schnupfen” nicht mehr durchführen (vgl. Art. 9 Abs. 1 DS-GVO), es sei denn Joachim Löw hätte seine Einwilligung erteilt oder er hätte die Tatsache, dass er Schnupfen hat, “manifestly made public”.

• Pflicht zur Information des Betroffenen:

Google müsste Joachim Löw darüber informieren, dass jemand nach “Joachim Löw Schnupfen” gesucht hat, da es sich dabei um eine Weiterverarbeitung im Sinne von Art. 14 Abs. 1b und Art. 14a Abs. 3a DS-GVO-E handelt. Art. 14 DS-GVO-E enthält tatsächlich keine einzige (!) Ausnahme von dem sehr umfangreichen Katalog an Informationspflichten.

• Pflicht zur Mitteilung der Empfänger personenbezogener Daten:

Google müsste Joachim Löw darüber informieren, wer nach “Joachim Löw Schnupfen” gesucht hat (vgl. Art. 14 Abs. 1 lit. d), 14a Abs. 1 lit. d) DS-GVO-E.

• Pflicht zur Auskunft:

Auf Ersuchen von Joachim Löw müsste Google Auskunft darüber geben, wer wann welche Anfragen über seine Person bei der Google-Suche unternommen hat (vgl. Art. 15 DS-GVO-E). Google müsste Joachim Löw auch über die Logik seiner Datenverarbeitung aufklären (Art. 15 Abs. 1 lit. h) DS-GVO-E). Auch Art. 15 DS-GVO-E enthält keine einzige (!) Ausnahme von dem sehr umfangreichen Katalog an Auskunftspflichten.

• Widerspruch:

Auf den Widerspruch von Joachim Löw dürfte – wenn die Verarbeitung überhaupt jemals zulässig gewesen sein sollte – die Information über seinen Schnupfen nur noch dann bei der Google-Suche verarbeitet werden, wenn Google zwingende Gründe für die Datenverarbeitung vorbringen kann (vgl. Art. 19 Abs. 1 DS-GVO-E). Das dürfte kaum gelingen.

15. Widerspruchsrecht

Die Entwicklung des Datenschutzrechts hin zu einem fast absoluten Recht („Meine Daten gehören mir“) findet sich insbesondere bei dem genannten Recht zum Widerspruch gegen eine Datenverarbeitung, die auf das berechtigte Interesse des Datenverarbeiters gestützt ist:

• Umkehrung der Vermutungsregelung

Während nach der Datenschutzrichtlinie von 1995 noch der Betroffene zwingende Gründe („compelling grounds“) auf seiner Seite haben musste, um mit einem Widerspruch gegen die Datenverarbeitung durchzudringen (vgl. Art. 14 lit. a) DS-RL), muss nunmehr der Datenverarbeiter zwingende Gründe nachweisen, um trotz Widerspruchs die Datenverarbeitung fortsetzen zu können (vgl. Art. 19 Abs. 1 DS-GVO-E). Das ist eine Umkehrung der Vermutungsregelung.

• Wegfall der Interessenabwägung

Bei Datenverarbeitungen zu historischen, statistischen, wissenschaftlichen oder archivarischen Zwecken ist nach Stand vom 4.12.2015 eine Interessenabwägung gar nicht mehr (!) vorgesehen (vgl. Art. 19 Abs. 2aa DS-GVO-E). Das heißt: der Verwendung von Daten zu den genannten Zwecken kann der Betroffene jederzeit widersprechen und der Datenverarbeiter muss die Datenverarbeitung ohne weitere Prüfung einstellen. Damit wird das Datenschutzrecht tatsächlich zu einem annähernd absoluten (!) Recht. Um den Schutz der Privatsphäre geht es hier nicht mehr, sondern nur noch um den Schutz der Daten.

16. Minderjährigenschutz

Einwilligungsbasierte Angebote von Internetdienstleistern, die sich direkt an Kinder unter 16 Jahren richten, dürfen nur noch erbracht werden, wenn die Einwilligung der Erziehungsberechtigten vorliegt (Art. 8 Abs. 1 DS-GVO-E). Dies stellt Internetdienstleister vor erhebliche praktische Schwierigkeiten bei der Altersverifikation und bei der Verifikation der Einwilligungserklärung der Erziehungsberechtigten. Und die Regelung wirft zusätzliche datenschutzrechtliche Probleme auf (Kind und Erziehungsberechtigte müssen sich zu erkennen geben).

Ganz abgesehen davon, sind die Angebote des Internets nicht nur in Bezug auf soziale Netzwerke, sondern auch in Bezug auf Information, Bildung, Nachrichten und öffentliche Diskussion auch für Kinder unter 16 Jahren von herausragender Bedeutung. Die geplante Regelung schadet vor allem den Kindern, die die Einwilligung ihrer Eltern nicht bekommen können, zum Beispiel, weil die Eltern die technischen Fähigkeiten hierzu nicht besitzen, nicht lesen und schreiben können, die zu ängstlich dafür sind oder zu beschäftigt oder die gerade verhindern wollen, dass Kinder sich selbständig über Religion, Sexualität, bürgerschaftliches Engagement, etc. informieren wollen (Magid, „Europe could kick majority of teens off of social media and that would be tragic“, ConnectSavely v. 10.12.2015). Die aktivierende Funktion des Internet wird damit beeinträchtigt.

Stephan Hansen-Oest hat in seinem Beitrag alles Erforderliche hierzu gesagt: „DS-GVO für Kinder – Langsam wird es lächerlich“, v. 11.12.2015

Fazit

In dieser Form stellt die Datenschutz-Grundverordnung eine massive Kommunikationsregulierung im Internet (Johannes Masing) dar. Natürlich wird – zumal im Datenschutz – nichts so heiß gegessen, wie es gekocht wird. Allerdings sollte der Anspruch des Gesetzgebers nicht sein, ein Recht zu schaffen, das in der Praxis nicht angewendet werden kann. Doch schon allein die Tatsache, dass eine Wortlautauslegung der DS-GVO solch weitreichende Eingriffe ermöglicht, stellt eine Gefahr für die Kommunikationsfreiheiten dar. Es ist dem Zufall und der Willkür der Datenschutzaufsichtsbehörden überlassen, an welchem Datenverarbeiter sie ein Exempel statuieren wollen. Wendete man die DS-GVO ihrem Wortlaut entsprechend streng auf alle Internetnutzer, Suchmaschinen, Intermediäre und Internetdiensteanbieter an, käme die Kommunikation im Internet zum Erliegen.