Kitabı oku: «DSGVO - BDSG - TTDSG», sayfa 72

Art. 17 Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

1 a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

2 b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

3 c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

4 d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

5 e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

6 f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

1 a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

2 b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

3 c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

4 d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

5 e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Mit der Norm korrespondieren die Erwägungsgründe 39, 65–66.

Literatur: Albrecht/Janson, Datenschutz und Meinungsfreiheit nach der Datenschutzgrundverordnung, CR 2016, 500; Arning/Moos/Schefzig, Vergiss(,) Europa!, CR 2014, 447; Barczak, Normenkonkurrenz und Normenkollision, JuS 2015, 969; Boehme-Neßler, Das Recht auf Vergessenwerden – Ein neues Internet-Grundrecht im Europäischen Recht, NVwZ 2014, 825; Brown, The Right to be Forgotten: U.S. Rulings on Free Speech Won’t Let Google Forget, CRi 2014, 161; Buchholtz, Das „Recht auf Vergessen“ im Internet – Vorschläge für ein neues Schutzkonzept, ZD 2015, 570; Franzen/Gallner/Oetker, Kommentar zum europäischen Arbeitsrecht, 3. Aufl. 2020; Härting, Starke Behörden, schwaches Recht – der neue EU-Datenschutzentwurf, BB 2012, 459; Holznagel/Hartmann, Das „Recht auf Vergessenwerden“ als Reaktion auf ein grenzenloses Internet. Entgrenzung der Kommunikation und Gegenbewegung, MMR 2016, 228; Hornung, Eine Datenschutz-Grundverordnung für Europa? – Licht und Schatten im Kommissionsentwurf vom 25.1.2012, ZD 2012, 99; Hornung/Hofmann, Ein „Recht auf Vergessenwerden“?, JZ 2013, 163; Jarass, Charta der Grundrechte der Europäischen Union, 4. Aufl. 2021; Kalenborn, Die praktische Konkordanz in der Fallbearbeitung, JA 2016, 6; Kodde, Die „Pflicht zu Vergessen“, „Recht auf Vergessenwerden“ und Löschung in BDSG und DS-GVO, ZD 2013, 115; Koreng/Feldmann, Das „Recht auf Vergessen“, Überlegungen zum Konflikt zwischen Datenschutz und Meinungsfreiheit, ZD 2012, 311; Krämer, Die Verarbeitung personenbezogener Daten durch Inkassounternehmen und Auskunfteien nach der DS-GVO, NJW 2018, 347; Kühling, Rückkehr des Rechts: Verpflichtung von „Google & Co.“ zu Datenschutz, EuZW 2014, 527; Kühling/Klar, Löschpflichten vs. Datenaufbewahrung, Vorschläge zur Auflösung eines Zielkonflikts bei möglichen Rechtsstreitigkeiten, ZD 2014, 506; Leutheusser-Schnarrenberger, Das Recht auf Vergessenwerden – ein Durchbruch oder ein digitales Unding?, ZD 2015, 149; Luch/Schulz/Kuhlmann, Ein Recht auf Vergessenwerden als Ausprägung einer selbstbestimmten digitalen Persönlichkeit, EuR 2014, 698; Martini/Weinzierl, Die Blockchain-Technologie und das Recht auf Vergessenwerden, NVwZ 2017, 1251; Masing, Herausforderungen des Datenschutzes, NJW 2012, 2305; Mayer-Schönberger, Delete: Die Tugend des Vergessens in digitalen Zeiten, Berlin University Press, 3. Aufl. 2015; Nolte, Das Recht auf Vergessenwerden – mehr als nur ein Hype?, NJW 2014, 2238; Orthmann/Möller, Urt. mit Anmerkung. BGH: Auslistung wegen „Recht auf Vergessenwerden“ erfordert umfassende Grundrechtsabwägung, DSB 2020, 283; Paal/Hennemann, Online-Archive im Lichte der Datenschutz-Grundverordnung, K&R 2017, 18; Piltz, Nach dem Google-Urteil des EuGH: Analyse und Folgen für das Datenschutzrecht, K&R 2014, 566; Plath, BDSG, 2013; Polke-Makewski, Pro Vergessen: Das Netz muss das Vergessen lernen, Zeit.de v. 5.10.2010; Roßnagel, Europäische-Datenschutz-Grundverordnung, Vorrang des Unionsrechts – Anwendbarkeit des nationalen Rechts, 2017; Roßnagel/Nebel/Richter, Was bleibt vom Europäischen Datenschutzrecht? – Überlegungen zum Ratsentwurf der DS-GVO, ZD 2015, 455; Schantz, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutz, NJW 2016, 1841; Schawe, Blockchain und Smart Contracts in der Kreativwirtschaft – mehr Probleme als Lösungen?, MMR 2019, 218; Simitis, BDSG, 8. Aufl. 2014; Skouris, Leitlinien der Rechtsprechung des EuGH zum Datenschutz, NVwZ 2016, 1359; Streinz, „Recht auf Vergessenwerden“ zwischen Unionsrecht und Verfassungsrecht, DuD 2020, 253; Ulmer/Rath, Die neue EU-Datenschutz-Grundverordnung, CCZ 2016, 142; Wybitul, EU-Datenschutz-Grundverordnung in der Praxis – Was ändert sich durch das neue Datenschutzrecht?, BB 2016, 1077; Wybitul/Fladung, EU-Datenschutz-Grundverordnung – Überblick und arbeitsrechtliche Betrachtung des Entwurfs, BB 2012, 509.

Übersicht

I. Allgemeines

1

Art. 17 DSGVO enthält in Abs. 1 das Recht der betroffenen Person, die Löschung ihrer personenbezogenen Daten zu verlangen, sowie eine hiervon unabhängige Löschpflicht des Verantwortlichen. Abs. 2 hingegen enthält die Pflicht des Verantwortlichen, der die personenbezogenen Daten öffentlich gemacht hat, Dritte, die die Daten verarbeiten, über das Löschverlangen der betroffenen Person nach Abs. 1 zu informieren. Abs. 3 enthält Ausnahmen, die die Rechte und Pflichten gem. der Abs. 1 und 2 nicht entstehen lassen.

2

Da auch das Löschen von Daten eine Verarbeitung i.S.v. Art. 4 Abs. 2 DSGVO darstellt, stellt Art. 17 Abs. 1 DSGVO ferner einen Erlaubnistatbestand für diese Verarbeitung dar.1

3

Art. 17 DSGVO trägt neben der Bezeichnung „Recht auf Löschung“ auch den Klammerzusatz „Recht auf Vergessenwerden“. Worms sieht hierin zurecht eine klare politische Botschaft.2 Das Bedürfnis des Unionsgesetzgebers, sich bzgl. dieser Frage klar zu positionieren, erklärt sich vor dem Hintergrund der regen medialen3 und fachlichen4 Diskussion.

4

Dennoch ist diese terminologische Wahl starker Kritik ausgesetzt. So ist unklar, in welchem Verhältnis das Recht auf Löschung und das Recht auf Vergessenwerden zueinander stehen.5 Teilweise wird vertreten, es handle sich dabei um zwei verschiedene Rechte,6 wobei das Recht auf Vergessenwerden in Abs. 2 geregelt sei.7 Andere gehen von einem einheitlichen Recht mit zwei unterschiedlichen Ausprägungen aus; das Recht auf Vergessenwerden stelle dann den Oberbegriff für den Spezialfall des Rechts auf Löschung in Abs. 1 und die Ausweitung in Abs. 2 dar.8 Schließlich wird, zu Recht, das Recht auf Vergessenwerden auch schlicht als plakative Bezeichnung des Rechts auf Löschung gesehen:9 Der Vergleich zur entsprechenden Vorgängerregelung in Art. 12 lit. b DSRl10 zeigt, dass Art. 17 Abs. 1 DSGVO keine Neuerungen enthält,11 die ein neues Recht begründen könnten.12 Im Ergebnis handelt es sich bei der Frage nach der Einordnung um eine rein akademische, die keine Auswirkung auf die praktische Umsetzung des Art. 17 DSGVO hat.

5

Die Erkenntnis, dass es sich bei Art. 17 DSGVO im Wesentlichen um einen gewöhnlichen Löschanspruch handelt, führt zudem zu der berechtigten Befürchtung, dass damit dem wirkmächtigen Titel nicht gerecht werden könne.13

6

Schließlich erscheint es zumindest fragwürdig, dass Art. 17 DSGVO denselben Titel trägt wie das jüngst vom EuGH entwickelte gleichnamige14 Recht auf Vergessenwerden,15 welches aber gerade nicht in Art. 17 DSGVO geregelt wurde.16

7

Abgesehen von dieser rein auf den Titel bezogenen Kritik begründet auch der Inhalt des Art. 17 DSGVO Bedenken. So löst die Tatsache, dass die Entscheidung über die Rechtmäßigkeit des Löschbegehrens gem. Abs. 1 den Verantwortlichen, also regelmäßig Google, Facebook etc., überlassen wird, jedenfalls Unbehagen aus (siehe Rn. 112).17

8

Insbesondere im amerikanischen Ausland wird zudem das Ende des Rechts auf freie Meinungsäußerung und damit der modernen, demokratischen Gesellschaft befürchtet (siehe Rn. 113).18 In Deutschland finden sich hingegen einige Stimmen, die dem Recht auf Vergessenwerden große Bedeutung „für die Gewährleistung einer offenen Gesellschaftsordnung“ beimessen,19 zu denen auch das BVerfG zu zählen ist.20

1. Genese

9

Das in Art. 17 DSGVO geregelte Recht auf Löschung ist kein neues Recht. Art. 12 lit. b DSRl enthielt ein solches Recht, wenngleich es den nationalen Gesetzgebern noch einen weiten Umsetzungsspielraum gab,21 welcher sich in Deutschland insbesondere in §§ 20 und 35 BDSG a.F. niederschlug.

10

Ein als Recht auf Vergessenwerden bezeichnetes Recht war bis dato hingegen nicht explizit geregelt. Dieses Konzept ist das Ergebnis jüngster Internetforschung, welche auch durch Bücher wie Mayer-Schönbergers „Delete“ Aufmerksamkeit in der breiten Öffentlichkeit erlangte.22 Beklagt wird der Verlust der kulturellen Technik des Vergessens,23 welche für die gesunde menschliche Persönlichkeitsentwicklung und damit für eine demokratische Gesellschaft grundlegend sei.24 Diese Überlegung legte auch die Kommission in ihrem Entwurf zur DSGVO zugrunde.25 Umfragen während der Vorbereitungsphase des Kommissionsentwurfs bestätigten außerdem, dass drei Viertel aller Europäer selbst darüber entscheiden möchten, welche Informationen über sie selbst im Internet auffindbar sind.26 Während die Hoffnung auf die positivrechtliche Implementierung eines solchen Rechts weitestgehend positiv rezipiert wurde, sind die laut gewordenen Gegenstimmen nicht zu vernachlässigen. So wurde demselben in einer großen Tageszeitung eine „schwer antiaufklärerische Schlagseite“ vorgeworfen.27 Auch einige Juristen widersprachen dem Verständnis Mayer-Schönbergers; es sei vielmehr im Interesse einer demokratischen Gesellschaft, wenn jeder alles wisse.28

11

Dennoch entspricht der Vorstoß in Richtung eines Rechts auf Vergessenwerden der europäischen und insbesondere der deutschen Rechtsprechungstradition. Als judikativer Grundstein des Art. 17 DSGVO wird indes die „Lebach I“-Entscheidung des BVerfG genannt,29 in der schon das „Recht, allein gelassen zu werden“ postuliert wurde.30 Die Abwägung zwischen dem allgemeinen Persönlichkeitsrecht und kollidierenden Grundrechten anderer ist schließlich oftmals Gegenstand höchstrichterlicher Rechtsprechung gewesen, allerdings bisher nicht im Zusammenhang mit dem Datenschutzrecht, sondern mit der Meinungsfreiheit, dem Presserecht und dem allgemeinen Persönlichkeitsrecht.31

12

Vor diesem Hintergrund liegt die Annahme nahe, dass die Kritik an Art. 17 DSGVO oftmals auf einem durch den ungünstigen Titel verursachten Fehlverständnis des Regelungsgehalts beruht. Das Recht auf Vergessenwerden i.S.d. Art. 17 DSGVO soll (und kann) nicht dazu führen, dass Informationen gänzlich verschwinden,32 vielmehr sollen sie durch bestimmte Verantwortliche in bestimmten Zusammenhängen nicht mehr verarbeitet, genauer: gespeichert werden.

13

Ein weiterer Meilenstein in der Entstehungsgeschichte des Rechts auf Vergessenwerden ist die „Google Spain“-Entscheidung des EuGH.33 Hierin leitete der EuGH aus Art. 12 lit. b DSRl ein Recht der betroffenen Person ab, von Suchmaschinenanbietern die Löschung bestimmter Links aus der Ergebnisliste zu verlangen, die auf die Suche nach dem Namen der betroffenen Person hin von der Suchmaschine erstellt wurde. Dieses Recht wurde anschließend als „Recht auf Vergessenwerden“ diskutiert (siehe Rn. 93). Im Ergebnis liegt der Entscheidung eine aus dem Presserecht bekannte34 Interessenabwägung zwischen dem Interesse des Suchmaschinenbetreibers an der Verbreitung der Information35 und dem Interesse der betroffenen Person an dem Schutz seiner Privatsphäre zugrunde.

14

Obwohl beide Rechte denselben Namen tragen, ist streng zwischen ihnen zu unterscheiden (siehe Rn. 93ff.). Die „Google Spain“-Entscheidung war zwar aufgrund der sehr großen medialen und wissenschaftlichen Rezeption36 ein wichtiger Schritt hin zu der Implementierung des Art. 17 DSGVO: Kühling attestierte dem EuGH nicht weniger als die Wiederherstellung der „Herrschaft des Datenschutzrechtes [mittels eines] Doppelschlag[s]“.37 Umgesetzt wurde das Urteil in Art. 17 DSGVO aber allenfalls in dessen Titel.

15

Der Normtext wurde während des Trilogs wiederholt geändert: Nennenswert ist vor allem, dass die Löschpflicht nicht mehr von dem Ablauf bestimmter Speicherfristen abhängig ist.38 Ferner wird die besondere Schutzwürdigkeit minderjähriger betroffener Personen nur noch in den Erwägungsgründen39 und nicht in der Norm selbst40 genannt. Erhebliche Auswirkungen auf die Umsetzung der DSGVO wird zudem der Wegfall der Ermächtigung der Kommission zum Erlass delegierter Rechtsakte41 haben.

2. Rechtsgrundlage und Normzweck

16

Art. 17 DSGVO ist der Ausfluss der grundrechtlichen Verbürgung der Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten aus Art. 7 (Achtung des Privat- und Familienlebens) und Art. 8 Abs. 1 (Schutz personenbezogener Daten) GRCh,42 wobei das Verhältnis zwischen beiden Normen strittig ist. Der EuGH nennt im Hinblick auf die Verarbeitung personenbezogener Daten grundsätzlich beide Artikel zusammen und unterstellt daher ein Verhältnis der Idealkonkurrenz.43 Gemäß der Erläuterungen zum Art. 8 GRCh stützt sich dieser auf Art. 286 EGV, mittlerweile Art. 16 AEUV.44 Bei der Auslegung der einschlägigen europäischen Grundrechtsverbürgungen ist gem. Art. 52 Abs. 3 GRCh die Rechtsprechung des EGMR zu berücksichtigen.45 Dieser hat Art. 8 EMRK, welches ein Recht zur Achtung des Privat- und Familienlebens enthält, zu einem Datenschutzgrundrecht weiterentwickelt.46

17

Ein entsprechendes „Internet-Grundrecht auf Vergessenwerden“ wurde vom EuGH in seiner „Google Spain“-Entscheidung noch nicht entwickelt47 (siehe hierzu Rn. 94ff.). Genauso regelt auch Art. 17 DSGVO kein Grundrecht auf Vergessenwerden, sondern die einfachrechtliche Ausgestaltung der bereits genannten Grundrechte.

18

Dennoch lässt sich ein grundrechtsähnlicher Aufbau nicht von der Hand weisen.48 Masing kritisiert zu Recht die Vermischung der Verhältnisse zwischen Staat und Bürgern einerseits und zwischen Bürgern (einschließlich deren Unternehmen) untereinander andererseits: Im letzten Fall können die genannten Grundrechte allenfalls mittelbare Drittwirkung entfalten.49 Die sich hieraus im Unterschied zur unmittelbaren Grundrechtsbindung staatlicher Akteure ergebenden Besonderheiten werden in der DSGVO nicht explizit geregelt; ihr Wortlaut steht einer angepassten Anwendung gleichzeitig nicht entgegen.50 Insbesondere über die Tatbestandsmerkmale der Erforderlichkeit lässt sich der Unterschied zwischen staatlichen und privaten Akteuren berücksichtigen.

19

Vor dem Hintergrund der dogmatischen Einordnung des Art. 17 DSGVO besteht dessen Normzweck gerade darin, den betroffenen Personen mehr Kontrolle über deren personenbezogene Daten einzuräumen.51 Dies ist in Anbetracht der immer größer werdenden Menge an frei verfügbaren, zum Teil sehr sensiblen personenbezogenen Daten notwendig.52 Insofern ist Art. 17 DSGVO Ausfluss des Grundsatzes der Datenminimierung i.S.v. Art. 5 Abs. 1 lit. c DSGVO53 und steht in engem Zusammenhang mit den Konzepten der Anonymität und Pseudonymität54 (siehe auch Rn. 75).

20

Die DSGVO hebt in ihrem ErwG 65 zudem die besondere Bedeutung des Schutzes Minderjähriger hervor, die in besonderem Maße der Gefahr ausgesetzt sind, personenbezogene Daten zur Verarbeitung freizugeben, ohne die Reichweite dieser Entscheidung begreifen zu können.

21

Insbesondere Art. 17 Abs. 2 DSGVO dient der Durchsetzung des Rechts auf Vergessenwerden im Internet.55

3. Systematik

22

Art. 17 DSGVO ist als subjektives Recht auf Löschung und Information Dritter im Kapitel III „Rechte der betroffenen Person“ verordnet, obwohl er in Abs. 1 auch eine antragsunabhängige Löschpflicht der Verantwortlichen regelt. Art. 17 DSGVO stellt das stärkste subjektive Recht betroffener Personen dar, das als letzte Stufe (nicht aber subsidiär)56 nach den Informations- und Auskunftsrechten in den Art. 13–15 DSGVO und den Rechten auf Berichtigung (Art. 16 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO) ausgeübt werden kann.