Löschpflichten: Das Recht auf Vergessenwerden hat Grenzen

Wann nicht gelöscht werden muss oder darf

Eine Löschverpflichtung nach DSGVO besteht unter anderem nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde

Das Landesamt für Datenschutzaufsicht in Bayern macht dies beispielhaft deutlich:

„Personenbezogene Kundendaten sind in der Regel auf Verlangen oder bei Wegfall der Erforderlichkeit zu löschen. Allerdings nur dann, wenn dem keine gesetzlichen Aufbewahrungsfristen entgegenstehen, zum Beispiel aus dem Steuer- oder Handelsrecht, nach denen bestimmte Daten, die im Zusammenhang mit dem Vertragsverhältnis gespeichert wurden, noch für eine bestimmte Zeit aufbewahrt werden müssen.“

Ohne nun die weiteren Gründe, die gegen eine Löschung sprechen können, genauer zu betrachten, soll nun der Blick auf das Recht auf Vergessenwerden gerichtet werden, das in der DSGVO zusammen mit dem Recht auf Löschung zu finden ist.

Wie das Recht auf Vergessenwerden zu verstehen ist

Die Aufsichtsbehörden für den Datenschutz in Deutschland haben einen speziellen Baustein zum Thema Löschen im Rahmen des Standard-Datenschutzmodells (SDM) veröffentlicht. Dort wird auch geklärt, was es denn mit dem Recht auf Vergessenwerden auf sich hat:

Das Recht auf Vergessenwerden gemäß DSGVO bezieht sich, obwohl der Begriff als Synonym für „Löschung“ verwendet wird, auf die Tilgung (von Spuren) personenbezogener Daten, die durch Veröffentlichungen, insbesondere im Internet, der Öffentlichkeit zugänglich sind.

Der Verantwortliche, der die personenbezogenen Daten öffentlich gemacht hat und der gemäß DSGVO zunächst selbst zu deren Löschung verpflichtet ist, muss unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, treffen, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten (gleichfalls) verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Verweise zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

Bedeutet dies nun, dass man grundsätzlich verlangen kann, dass die personenbezogenen Daten aus dem Internet gelöscht werden? Abgesehen von den technischen Problemen bei einem solchen Versuch: Das Recht auf Vergessenwerden kennt Grenzen, letztlich die Einschränkungen, die für die Löschpflichten nach DSGVO genannt wurden.

Der BGH hat sich im Juli 2020 damit befasst.

Bundesgerichtshof über Auslistungsbegehren gegen den Internetsuchdienst von Google

In dem Verfahren (BGH VI ZR 405/18) ging es darum: Der Kläger war Geschäftsführer eines Regionalverbandes einer Wohlfahrtsorganisation. Im Jahr 2011 wies dieser Regionalverband ein finanzielles Defizit von knapp einer Million Euro auf; kurz zuvor meldete sich der Kläger krank. Über beides berichtete seinerzeit die regionale Tagespresse unter Nennung des vollen Namens des Klägers.

Der Kläger begehrt nunmehr von der Beklagten als der Verantwortlichen für die Internetsuchmaschine Google, es zu unterlassen, diese Presseartikel bei einer Suche nach seinem Namen in der Ergebnisliste nachzuweisen. Das Landgericht hat die Klage abgewiesen. Die Berufung des Klägers hatte keinen Erfolg.

Der unter anderem für Ansprüche aus dem Datenschutzrecht zuständige VI. Zivilsenat des Bundesgerichtshofs hat die vom Berufungsgericht zugelassene Revision des Klägers zurückgewiesen. Der geltend gemachte Anspruch des Klägers auf Auslistung der streitgegenständlichen Ergebnislinks ergibt sich demnach nicht aus der DSGVO, genauer dem Recht auf Vergessenwerden.

Kurz gesagt: Der Schutz der Privatsphäre des Einzelnen geht nicht immer vor, auch die Meinungsfreiheit ist zu berücksichtigen. Nach Abwägung kann sich (wie in diesem Fall) ergeben, dass die Meinungsfreiheit höher zu gewichten ist, ein Löschanspruch nach DSGVO besteht dann nicht.

Das Urteil des BGH wurde ausführlich so begründet: Der Auslistungsanspruch aus Art. 17 Abs. 1 DSGVO erfordert eine umfassende Grundrechtsabwägung, die auf der Grundlage aller relevanten Umstände des Einzelfalles und unter Berücksichtigung der Schwere des Eingriffs in die Grundrechte der betroffenen Person einerseits, der Grundrechte der Beklagten, der Interessen ihrer Nutzer und der Öffentlichkeit sowie der Grundrechte der Anbieter der in den beanstandeten Ergebnislinks nachgewiesenen Inhalte andererseits vorzunehmen ist.

Da im Rahmen dieser Abwägung die Meinungsfreiheit der durch die Entscheidung belasteten Inhalteanbieter als unmittelbar betroffenes Grundrecht in die Abwägung einzubeziehen ist, gilt keine Vermutung eines Vorrangs der Schutzinteressen des Betroffenen, sondern sind die sich gegenüberstehenden Grundrechte gleichberechtigt miteinander abzuwägen.

Recht auf Vergessenwerden hat Grenzen, aber ...

Es bleibt festzuhalten: Auch wenn das Recht auf Vergessenwerden seine Grenzen hat, gilt es, dieses Recht nicht auf die leichte Schulter zu nehmen, da es durchaus zu Löschverpflichtungen kommen kann und kommt. Die Aufsichtsbehörden für den Datenschutz weisen deshalb darauf hin: Um das in der DSGVO normierte Recht auf Vergessenwerden umzusetzen, muss durch entsprechende Prozesse auch nachvollziehbar sein, wann welche personenbezogenen Daten veröffentlicht wurden. Darüber hinaus müssen Strategien vorhanden sein, die beschreiben, wie mögliche Datenempfänger über die an den Verantwortlichen gerichteten Anträge zur Löschung dieser Daten informiert werden.