Jusletter IT

Wenn man die ungehemmten und fortschreitenden Eingriffe von kommerziellen und staatlichen Organisationen in die Privatsphäre der Bürger im Internet betrachtet, könnte man die Themenfrage als anachronistisch betrachten. Dass kommerzielle Anbieter die persönlichen Daten für Werbezwecke nutzen und diese auch an Dritte verkaufen, ist schon längere Zeit bekannt. Dass aber als Rechtsstaaten angesehene Nationen wie die Vereinigten Staaten und Großbritannien in bisher nicht gekanntem Ausmaß personenbezogene Daten speichern und auswerten, erreicht eine neue Dimension. Es wird offensichtlich im Eigeninteresse von einzelnen Staaten ein «Krieg» im Internet geführt, in dem die Rechte der Zivilbevölkerung und der Unternehmen in anderen Staaten rücksichtslos missachtet werden. Durch die Berichte von Edward Snowden ist u.a. bekannt geworden, dass die USA als Bestandteil ihrer Streitkräfte ein Cybercommand mit ca. 4000 Mann unterhalten, das die Aufgabe hat, gezielt Angriffe über das Internet auf Einrichtungen in anderen Staaten auszuführen und dieses in den vergangenen Jahren in rund 250 Fällen auch schon getan hat.¹ Bekannt geworden ist zum Beispiel der Angriff auf iranische Atomeinrichtungen durch das Programm Stuxnet, der vermutlich auch von dieser Einheit durchgeführt worden ist.

Vor diesem Hintergrund erscheint die Frage berechtigt, ob es überhaupt noch Sinn macht, über Datenschutz im Internet zu reden und sich dafür einzusetzen. So ist es nicht verwunderlich, dass es Stimmen gibt, die den Datenschutz für einen Anachronismus halten, durch den die Freiheiten im Internet unnötig eingeschränkt werden.²

Andererseits wird im Hinblick auf die Sammelwut staatlicher und privater Organisationen aber auch die Forderung nach einem «Recht auf Vergessenwerden» im Internet erhoben. Der Begriff geht auf den Soziologen Viktor Mayer-Schönberger zurück, der sich mit den gesellschaftlichen Folgen der ständigen Konfrontation der Menschen mit ihrer Vergangenheit und insbesondere dem Einfluss auf Ihre Entscheidungsfähigkeit befasst hat.³ Das deutsche Bundesverfassungsgericht hat bereits im Jahre 1983 im Volkszählungsurteil ausgeführt, dass durch eine für den einzelnen Bürger nicht überschaubare Speicherung von Daten für diesen Unsicherheiten entstehen, die geeignet sind, seine Entscheidungen und sein Verhalten zu beeinflussen, so dass letztendlich seine persönliche Freiheit eingeschränkt wird.⁴

Für das Recht auf Vergessenwerden werden zwei Ansätze verfolgt, einmal ein technischer und zum anderen ein rechtlicher. Bei den technischen Überlegungen geht es darum, eine Möglichkeit zu finden, durch die bestimmte personenbezogene Inhalte gewissenmaßen von selbst wieder verschwinden, dass sie also mit einem Verfalldatum versehen werden. Man spricht in diesem Zusammenhang auch von einem digitalen Radiergummi.⁵

Eine nähere Prüfung hat jedoch die Untauglichkeit dieses Ansatzes erwiesen, weil durch eine solche Lösung die Anfertigung von Kopien nicht verhindert und auch das angestrebte «Vergessen» nicht erreicht werden kann.⁶ In der der Literatur ist auch darauf hingewiesen worden, dass das so genannte Recht auf Vergessen in seiner Substanz keine Neuentdeckung ist. «Die Verpflichtung, personenbezogene Angaben nur für einen klar umschriebenen sowie nachvollziehbaren Zweck zu verarbeiten, und die damit verbundene Pflicht, die Daten nach der Zweckerfüllung zu löschen, hat von Anfang an zu den elementaren Datenschutzvoraussetzungen gezählt. Ausnahmen hat es stets gegeben. Aber die Vorläufigkeit jeder Datenverwendung, also die «Pflicht zu Vergessen» ist nie angezweifelt worden.⁷ «Das «Recht auf Vergessenwerden» bedeutet lediglich die Betrachtung aus der Sicht des Betroffenen.

Damit entsteht die Frage, welche rechtlichen Mittel zur Verwirklichung eines Rechts auf Vergessenwerden de lege lata zur Verfügung stehen oder zumindest de lege ferenda geschaffen werden sollten.

In Österreich besteht ein als Grundrecht ausgestalteter Anspruch auf Löschung personenbezogener Daten, die unrichtig oder in unzulässiger Weise verarbeitet worden sind, §§ 1 Abs. 3 Ziff. 2, 27 Abs. 1 DSG 2000. Mit diesen Bestimmungen wird Art. 12 Buchst. b) und c) der DSRL umgesetzt. Soweit eine Verarbeitung zulässig ist, stellt sich die Frage, ob und in welchen Fällen der Betroffene dennoch eine Verwendung seiner personenbezogenen Daten verhindern kann. Nach § 28 Abs. 1 DSG 2000, der die Umsetzung von Art. 14 DSRL darstellt, kann ein Betroffener die Verwendung von Daten, die nicht gesetzlich vorgesehen ist, untersagen, wenn die Verwendung eine überwiegend schutzwürdige Verletzung seiner Geheimhaltungsinteressen bedeutet. Dazu wurde in der Literatur zum DSG 1978 eine Schutzwürdigkeitsskala⁸ aufgestellt, mit der eine Rangordnung der Schutzwürdigkeit für bestimmte Gruppen von personenbezogenen Daten aufgestellt wird. Mit Inkrafttreten des DSG 2000 wurde eine Änderung der Skala⁹ erforderlich, da das Gesetz zwischen sensiblen Daten mit höchster Schutzwirkung und nicht sensiblen unterscheidet. Inwieweit eine überwiegende Schutzwürdigkeit vorliegt, lässt sich nur im Einzelfall anhand der vorstehend erwähnten Kriterien feststellen.

Besonderheiten gelten für die Veröffentlichung von personenbezogenen Daten in den Medien. Art. 9 DSRL verpflichtet die Mitgliedstaaten, Regelungen zu treffen, mit denen Ausnahmen vom Schutz personenbezogener Daten zu journalistischen, künstlerischen und literarischen Zwecken im Rahmen einer Abgrenzung des Rechts auf Privatsphäre mit dem Recht auf freie Meinungsäußerung festgelegt werden. Mit § 48 DSG 2000 ist der österreichische Gesetzgeber dieser Verpflichtung nachgekommen. Nach § 48 Abs. 1 DSG 2000 ist das DSG insoweit nur eingeschränkt in dem dort bezeichneten Umfang anzuwenden. Nach Abs. 2 dieser Bestimmung ist die Verwendung von personenbezogenen Daten nur zur Erfüllung der Informationsverpflichtung der Medien in Ausübung des Grundrechts auf freie Meinungsäußerung gemäß Art. 10 Abs. 1 EMRK zulässig. Im Einzelnen verweist § 48 Abs. 2 DSG 2000 auf die Vorschriften des Mediengesetzes, das in den §§ 7 ff. auch Entschädigungsansprüche für den Fall der Verletzung der Privatsphäre und der ungerechtfertigten Bekanntgabe der Identität vorsieht.

Ähnlich ist die Situation in Deutschland. Entsprechend der Anforderung in Art. 12 Buchst. b) DSRL regelt § 35 BDSG, in welchen Fällen eine Löschung, Sperrung oder Berichtigung von personenbezogenen Daten verlangt werden kann. Bei unrichtigen Daten kann jederzeit eine Berichtigung verlangt werden, § 35 Abs. 1 BDSG. Nach § 35 Abs. 2 BDSG sind personenbezogene Daten zu löschen, wenn die Speicherung unzulässig ist. In Satz 2 Nr. 4 enthält die Bestimmung eine über die Anforderungen der Richtlinie hinausgehende Regelung. Daten, die zum Zweck der Übermittlung gespeichert werden, sind nach bestimmten Fristen auf das Erfordernis der weiteren Speicherung zu prüfen und ggf. zu löschen. Diese Bestimmung erscheint z.B. geeignet, Daten in sozialen Netzwerken zu bereinigen. Da die Speicherung im Interesse der jeweiligen Nutzer erfolgt, sind sie nach drei bzw. vier Jahren auf deren Anforderung hin zu löschen, wenn diese die Speicherung nicht mehr für erforderlich halten.¹⁰

Hinsichtlich der Abgrenzung zwischen der Privatsphäre und Pressefreiheit verweist § 41 Abs. 1 BDSG auf die Vorschriften der einzelnen Bundesländer, die nach dem Grundgesetz für die Medien zuständig sind. In Deutschland hat sich die Presse einer freiwilligen Selbstkontrolle unterworfen und in ihren Verbänden einen Pressekodex¹¹ entwickelt, der u.a. den Umgang mit personenbezogenen Daten im Rahmen der Berichterstattung zum Gegenstand hat.

Durch die Rechtsprechung des BVerfG, des BGH und des EGMR sind Grundsätze für die Abgrenzung zwischen den in Rede stehenden Grundrechten im Rahmen der Berichterstattung entwickelt worden. Bei Personen der Zeitgeschichte, z.B. Politikern, wird grundsätzlich dem Informationsbedürfnis der Öffentlichkeit im Rahmen einer identifizierenden Berichterstattung Vorrang eingeräumt, während bei Normalbürgern eine namentliche Berichterstattung regelmäßig nicht zulässig ist. Eine Ausnahme gilt für relative Personen der Zeitgeschichte, d.h. solche, die mit die Öffentlichkeit interessierenden Ereignissen in Zusammenhang stehen, z.B. Straftäter bei schweren Straftaten. Bei namensbezogener Berichterstattung sind abhängig von der Schwere des Eingriffs entsprechende Anforderungen an die Sorgfaltspflicht in Bezug auf den Wahrheitsgehalt der Aussagen zu stellen.¹² Bei der so genannten Verdachtsberichterstattung obliegt den Medien eine besondere Verantwortung.¹³ Es muss sich um den Gegenstand eines berechtigten öffentlichen Interesses handeln. Im Rahmen der Sorgfaltspflicht muss ein Mindestmaß an Beweistatsachen vorliegen. Je schwerer der zu erwartende Ansehensverlust für die betroffene Person wiegt, umso höher die Anforderungen an die Sorgfalt bei der Berichterstattung. Selbst wenn eine aktuelle Berichterstattung z.B. über Straftaten unter Namensnennung zulässig ist, kann sich durch Zeitablauf ein vermindertes Informationsbedürfnis der Öffentlichkeit ergeben und das Interesse des Betroffenen am Schutz der Privatsphäre unter Berücksichtigung des Resozialisierungsgedankens Vorrang gewinnen.¹⁴ Der EGMR hat in einer grundlegenden Entscheidung die maßgeblichen Kriterien für eine Abgrenzung der Grundrechte im Rahmen eines vernünftigen Ermessens zusammengefasst:¹⁵

• Beitrag zu einer Debatte von allgemeinem Interesse,
• Bekanntheit der betroffenen Person und Gegenstand der Berichterstattung,
• früheres Verhalten der betroffenen Person,
• Art der Erlangung von Informationen und ihr Wahrheitsgehalt,
• Inhalt, Form und Auswirkung der Veröffentlichung,
• Schwere der verhängten Sanktion.

Mit der Frage der Abgrenzung von Privatsphäre und Freiheit der Meinungsäußerung ist z.Zt. auch der EuGH befasst.¹⁶ Der Fall verdient deshalb besonderes Interesse, weil es um die Verantwortlichkeit von Suchmaschinenbetreibern im Rahmen dieser Abgrenzung geht. Ein spanischer Bürger wehrt sich dagegen, dass einige seiner personenbezogenen Daten, die von einer spanischen Zeitung im Jahr 1998 in zwei Druckausgaben veröffentlicht und die beide zu einem späteren Zeitpunkt in elektronischer Form erneut aufgelegt und ins Internet gestellt worden sind, nach wie vor bei einer Suchanfrage nach seinem Vornamen und seinem Nachnamen in den Suchergebnissen der Internetsuchmaschine angezeigt werden. Der Fall ist noch nicht entschieden, aber der Generalanwalt ist in seiner abschließenden Stellungnahme zu dem Schluss gekommen, dass ein Suchmaschinenbetreiber nicht als «Verantwortlicher für die Verarbeitung» im Sinne von Art. 2 Buchst. d) DSRL anzusehen ist. Der Internetsuchmaschinen-Diensteanbieter habe keinen Bezug zu den Inhalten einer Quellenwebseite eines Dritten im Internet, auf der personenbezogene Daten vorhanden sein mögen. Da die Suchmaschine mit Kopien der Quellenwebseiten arbeite, die ihr Spider auslese und kopiere, habe der Diensteanbieter außerdem keine Möglichkeit zur Änderung der Informationen, die sich auf den Hosting-Servern befinden. Die Bereitstellung eines Instruments zur Lokalisierung von Informationen impliziere keine Kontrolle über die Inhalte. Der Internetsuchmaschinen-Diensteanbieter sei noch nicht einmal in der Lage, zwischen personenbezogenen Daten im Sinne der Richtlinie, d.h. Informationen über eine bestimmbare lebende natürliche Person, und anderen Daten zu unterscheiden.¹⁷ Diese Auffassung verkennt ein wesentliches datenschutzrechtliches Moment. Mit der Zusammenstellung von personenbezogenen Daten bei Aufruf eines Namens erzeugt die Suchmaschine in vielen Fällen eine konzentrierte Übersicht über die persönlichen, beruflichen und sozialen Aktivitäten einer Person, die für sich genommen eine Verarbeitung personenbezogener Daten enthält, für die der Suchmaschinenbetreiber die Verantwortung trägt, selbst wenn die Auswahl automatisch erfolgt, er erzeugt gewissermaßen ein Profil der betreffenden Person. Diese muss sich dagegen wehren können, dass dieses Profil weltweit verbreitet wird. Für den Fall, dass der EuGH den erwähnten Fall entsprechend der Auffassung des Generalanwaltes entscheidet, bleibt betroffenen Personen nur die Möglichkeit, sich gegen die Verwendung der Daten in der ursprünglichen, von dem Suchmaschinenbetreiber gescannten, Webseite zu wenden. Selbst wenn eine so genannte identifizierende Berichterstattung in den Medien bei der Erstveröffentlichung durch die Presse- und Meinungsfreiheit gedeckt sein sollte, kann sich bei einer späteren Wiederholung oder einer Online-Archivierung von Veröffentlichungen eine Kollision mit dem Grundrecht auf Datenschutz ergeben.¹⁸ Die Online-Archivierung bedeutet praktisch eine Verewigung des Eingriffs. Die Rechtsprechung zu dieser Frage ist uneinheitlich. Das Landgericht¹⁹ und das Oberlandesgericht Hamburg²⁰ halten Unterlassungsansprüche auch bei ursprünglich rechtmäßiger Veröffentlichung für gerechtfertigt, während der deutsche BGH²¹, das Kammergericht²², das OLG Köln²³ und auch das OLG Wien²⁴ eine gegenteilige Auffassung vertreten. Die Gegner eines Unterlassungsanspruchs sind der Auffassung, die bloße Möglichkeit des Archivzugriffs sei nicht mit erneuter Veröffentlichung vergleichbar. Im Übrigen spreche für die Unangreifbarkeit des Archivs das Grundrecht auf Informationsfreiheit nach Art. 5 Abs. 1 GG. Von den Befürwortern eines Unterlassungsanspruchs wird Online-Zeitungsarchiven eine «Prangerwirkung» zugeschrieben, die in ihrer Intensität der Persönlichkeitsrechtsbeeinträchtigung durch aktuelle Berichterstattung nicht nachsteht. Die Intensität der Beeinträchtigung ergebe sich aus der unkontrollierbaren weltweiten Verbreitung, der leichten Auffindbarkeit durch Suchmaschinen und der Dauerhaftigkeit der Online-Veröffentlichung. ²⁵

Da Grundrechte nicht in einer Rangordnung stehen, gibt es keine auf alle Fälle passenden Kriterien. Der Interessenausgleich kann deshalb nur anhand der Kriterien des Einzelfalles gefunden werden. Je stärker und nachteiliger der Eingriff in die Privatsphäre durch die Archivierung einer identifizierenden Berichterstattung und je mehr Zeit seit der ursprünglichen Berichterstattung vergangen ist, desto geringer dürfte das öffentliche Interesse an der Berichterstattung zu bewerten sein.

De lege ferenda sei auf die geplante Datenschutzgrundverordnung der EU hingewiesen. In der Überschrift zu Art. 17 des Entwurfes der Kommission²⁶ vom Januar 2012 ist von einem «Recht auf Vergessenwerden» die Rede. In den Änderungsvorschlägen des EU-Parlamentes vom Oktober 2013²⁷ findet sich dieser Begriff nicht mehr. Die nähere Betrachtung des Inhaltes der geplanten Bestimmung ergibt, dass es sich um ein gegenüber Art. 12 Buchst. b) DSRL erweitertes Recht auf Löschung handelt. Nicht nur bei Verarbeitung entgegen den Bestimmungen des Gesetzes könnte eine Löschung verlangt werden, sondern auch bei Erledigung des Zwecks der ursprünglichen Speicherung und bei Rücknahme der Einwilligung zu der ursprünglichen Verwendung. Das bedeutet, dass auch bei ursprünglich zulässiger Verarbeitung von personenbezogenen Daten grundsätzlich Löschung verlangt werden könnte, es sei denn zugunsten des Verwenders bestehen Rechtfertigungsgründe, wie z.B. Schutz der Pressefreiheit, Art. 80 des Entwurfes.

In Bezug auf die Bildung von Profilen wird auf den geplanten Art. 20 Abs. 1 des Entwurfes in der Fassung des Parlamentes hingewiesen. Nach dieser Bestimmung hätten natürliche Personen das Recht, einem Profiling zu widersprechen, wenn nicht gesetzlich fundierte Ausnahmebestimmungen vorliegen.

Ein uneingeschränktes Recht auf Vergessenwerden besteht z.Zt. nicht und wird es auch in Zukunft nicht geben, weil das Grundrecht auf Datenschutz häufig in Konkurrenz zu anderen Grundrechten steht, so dass in vielen Fällen eine ausgleichende Interpretation geboten ist. Außerdem sollte der in erster Linie medienwirksame Begriff «Recht auf Vergessenwerden» praxisbezogen durch «Recht auf Löschung» ersetzt werden. Hinsichtlich der Profilbildung sind in dem Entwurf des Parlamentes die Rechte der Betroffenen gegenüber dem ursprünglichen Entwurf der Kommission erweitert worden, und es bleibt zu hoffen, dass das in einer endgültigen Fassung so bleibt.

Im Hinblick auf die globale Verbreitung des Internet wäre ein völkerrechtlich abgesichertes und individuell weltweit durchsetzbares Recht auf Löschung wünschenswert, aber wohl bis auf weiteres nicht erreichbar. Immerhin wäre eine europaweite Regelung, wie sie von der EU mit der Grundverordnung angestrebt wird, ein erheblicher Fortschritt.

---

 

Egmar Wolfeil

Syndikusanwalt a. D.
Habichtweg 7, 38108 Braunschweig, DE
egmar@wolfeil.de

 

---