DSGVO Löschung Auslistung: Was sich wirklich durchsetzen lässt

DSGVO Löschung und Auslistung: Welche Hebel gibt es?

Die DSGVO gibt Ihnen nicht ein einziges Recht, sondern mehrere, die jeweils etwas anderes bewirken. Der Verantwortliche muss Ihnen mitteilen, was er auf einen Antrag nach den Artikeln 15 bis 22 unternommen hat, und zwar unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags.¹ Die vier wichtigsten Hebel im Überblick:

Dazu kommt die Auslistung bei Suchmaschinen. Sie betrifft Suchergebnisse zu Ihrem Namen. Als Rechtsgrundlagen nennt das Verwaltungsportal oesterreich.gv.at Art. 17 DSGVO und § 1 Abs. 3 Z 2 DSG.⁵

Auskunft nach Art. 15 DSGVO: Der erste Schritt

Bevor Sie etwas löschen lassen, müssen Sie wissen, was gespeichert ist. Genau das leistet das Auskunftsrecht. Werden Daten über Sie verarbeitet, haben Sie Anspruch auf Auskunft und auf weitere Informationen, darunter:

• die Verarbeitungszwecke und die Kategorien der verarbeiteten Daten,¹
• die Empfänger oder Kategorien von Empfängern,¹
• die geplante Speicherdauer oder die Kriterien für ihre Festlegung,¹
• das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie das Beschwerderecht bei einer Aufsichtsbehörde,¹
• wenn die Daten nicht bei Ihnen erhoben wurden, alle verfügbaren Informationen über ihre Herkunft.¹

Eine Kopie der Daten steht Ihnen ebenfalls zu. Für weitere Kopien darf der Verantwortliche ein angemessenes Entgelt verlangen (Art. 15 Abs. 3).¹ Mitteilungen und Maßnahmen sind grundsätzlich unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen kann der Verantwortliche ein Entgelt verlangen oder sich weigern, tätig zu werden. Den offenkundig unbegründeten oder exzessiven Charakter muss er allerdings nachweisen (Art. 12 Abs. 5).¹

Ein Vorteil dieses Hebels: Der Antrag muss laut Datenschutzbehörde nicht begründet werden.⁴ Das Recht besteht aber nicht unbeschränkt. Die Behörde nennt als Beispiel die Gefährdung eines Geschäfts- oder Betriebsgeheimnisses.⁴

Unsere Einordnung: Die Auskunft ist der Hebel, den Sie ohne Streit über Rechtsgründe ansetzen können, und sie liefert das, was jeder weitere Schritt braucht, nämlich Klarheit über Umfang, Empfänger und Herkunft der Daten.

Wann greift die DSGVO-Löschung und wann nicht?

Art. 17 Abs. 1 DSGVO nennt die Gründe, aus denen Sie die Löschung verlangen können. Vier davon im Überblick:¹

• Die Daten sind für die Zwecke, für die sie verarbeitet wurden, nicht mehr notwendig (Buchst. a).
• Sie widerrufen Ihre Einwilligung, und es fehlt eine andere Rechtsgrundlage (Buchst. b).
• Sie legen Widerspruch nach Art. 21 Abs. 1 ein, und vorrangige berechtigte Gründe liegen nicht vor (Buchst. c).
• Die Daten wurden unrechtmäßig verarbeitet (Buchst. d).

Der Löschungsanspruch ist aber nicht absolut. Nach Art. 17 Abs. 3 gelten die Absätze 1 und 2 nicht, soweit die Verarbeitung erforderlich ist:¹

• zur Ausübung des Rechts auf freie Meinungsäußerung und Information (Buchst. a),
• zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder mitgliedstaatlichem Recht oder zur Wahrnehmung einer Aufgabe im öffentlichen Interesse (Buchst. b),
• aus Gründen der öffentlichen Gesundheit sowie für Archiv-, Forschungs- und Statistikzwecke (Buchst. c und d),
• zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Buchst. e).

Für Fragen der Online-Darstellung sind die Ausnahmen nach Buchst. a, b und e naheliegend, weil dort Informationsinteressen der Öffentlichkeit, gesetzliche Pflichten und Rechtsstreitigkeiten ins Spiel kommen. Das ist eine Einordnung.

Berichtigung statt Löschung

Ist eine Angabe schlicht falsch, kommt statt der Löschung die Berichtigung nach Art. 16 in Betracht. Sie können auch verlangen, dass unvollständige Daten vervollständigt werden, auch mittels einer ergänzenden Erklärung.¹ Wie Berichtigung und Löschung in eine Gesamtstrategie passen, beschreibt der Beitrag Reputationsmanagement: Was es leistet.

Auslistung bei Suchmaschinen: Was der EuGH entschieden hat

Den Anfang machte das Urteil des Gerichtshofs der Europäischen Union vom 13. Mai 2014 in der Rechtssache C-131/12 (Google Spain). Es erging noch zur Richtlinie 95/46, die die DSGVO später aufgehoben hat.¹⁷ Der Gerichtshof entschied, dass der Suchmaschinenbetreiber unter den Voraussetzungen der Richtlinie verpflichtet ist, Links zu von Dritten veröffentlichten Internetseiten aus der Ergebnisliste einer Namenssuche zu entfernen. Das gilt auch dann, wenn Name oder Informationen auf diesen Seiten nicht vorher oder gleichzeitig gelöscht werden, und gegebenenfalls auch dann, wenn die Veröffentlichung dort als solche rechtmäßig ist.⁷

Entscheidend ist eine Abwägung. Das Recht, dass eine Information nicht mehr mit dem eigenen Namen in Verbindung gebracht wird, setzt keinen Schaden voraus und überwiegt grundsätzlich das wirtschaftliche Interesse des Betreibers und das Interesse der Öffentlichkeit am Zugang. Anders kann es sein, wenn besondere Gründe, etwa die Rolle der Person im öffentlichen Leben, ein überwiegendes Interesse der Öffentlichkeit begründen.⁷ Zur Begründung führte der Gerichtshof an, dass die Aufnahme in die Ergebnisliste die Zugänglichkeit der Informationen erheblich erleichtern und einen stärkeren Eingriff darstellen kann als die Veröffentlichung selbst.⁷

Wie weit reicht die Auslistung? C-507/17

Im Urteil vom 24. September 2019 (C-507/17) entschied der Gerichtshof, dass der Betreiber bei einer stattgegebenen Auslistung diese nicht in allen Versionen seiner Suchmaschine vornehmen muss, sondern nur in allen mitgliedstaatlichen Versionen, erforderlichenfalls mit Maßnahmen, die Nutzer, die von einem Mitgliedstaat aus nach dem Namen suchen, daran hindern oder zumindest zuverlässig davon abhalten, über die Ergebnisliste auf die Links zuzugreifen.⁸ Eine weltweite Auslistung schrieb das Unionsrecht nach den Ausführungen des Gerichtshofs nicht vor, es verbot sie aber auch nicht. Eine Aufsichts- oder Justizbehörde eines Mitgliedstaats kann nach nationalen Grundrechtsstandards abwägen und im Ergebnis eine Auslistung in allen Versionen aufgeben.⁸

Besondere Datenkategorien: C-136/17

Am selben Tag erging das Urteil C-136/17, ebenfalls zur Richtlinie 95/46. Der Gerichtshof stellte fest, dass der Suchmaschinenbetreiber vorbehaltlich der vorgesehenen Ausnahmen grundsätzlich verpflichtet ist, Auslistungsanträgen zu Seiten mit besonderen Kategorien personenbezogener Daten stattzugeben. Er darf unter weiteren Voraussetzungen ablehnen, wenn eine Ausnahme nach Art. 8 Abs. 2 Buchst. e der Richtlinie greift. Außerdem muss er prüfen, ob die Aufnahme des Links in die Ergebnisliste unbedingt erforderlich ist, um die Informationsfreiheit der Internetnutzer zu schützen.⁹

Unrichtige Informationen: C-460/20

Im Urteil vom 8. Dezember 2022 (C-460/20) ging es um Auslistung wegen angeblich unrichtiger Inhalte, nun nach Art. 17 Abs. 3 Buchst. a DSGVO. Der Gerichtshof entschied, dass die Auslistung nicht davon abhängt, dass die Richtigkeit des Inhalts zuvor in einem Rechtsbehelf gegen den Inhalteanbieter zumindest vorläufig geklärt wurde.¹⁰ Die antragstellende Person muss aber nachweisen, dass die Informationen offensichtlich unrichtig sind oder zumindest ein nicht unbedeutender Teil davon. Verlangt werden dürfen nur Nachweise, die ihr nach den Umständen des Einzelfalls vernünftigerweise abverlangt werden können.¹⁰ Legt sie relevante und hinreichende Nachweise vor, ist der Betreiber verpflichtet, dem Antrag stattzugeben.¹⁰

Die Auslistung entfernt den Inhalt nicht

Wichtig ist der Unterschied zwischen Treffer und Quelle. Nach den Angaben des Portals oesterreich.gv.at wirkt die Auslistung nur auf die Trefferliste der Suchmaschine, die Originalseite bleibt unverändert. Soll dort etwas entfernt werden, muss die Löschung bei der Inhaberin oder dem Inhaber der Website verlangt werden, die laut dem Portal meist im Impressum angeführt sind.⁵ Den Antrag auf Auslistung richten Sie direkt an den Suchmaschinenbetreiber.⁵ Google etwa bietet dafür ein Webformular an, prüft jeden Antrag einzeln und verweist bei Ablehnung auf die lokale Datenschutzbehörde.⁶

Auskunfteien und Datenhändler: Auskunft ja, Löschung nur im Einzelfall

Gegenüber Auskunfteien und Adresshändlern, die Daten über Sie führen, ist Art. 15 der naheliegende Hebel. Das Auskunftsrecht richtet sich nach Art. 15 Abs. 1 gegen den Verantwortlichen.¹ Aufschlussreich sind vor allem die Angaben zu den Empfängern und zur Herkunft der Daten (Art. 15 Abs. 1 Buchst. c und g).¹

Bei der Löschung trifft der Anspruch auf die Ausnahmen des Art. 17 Abs. 3. Ein Verantwortlicher kann geltend machen, dass die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung (Buchst. b) oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Buchst. e) erforderlich ist.¹ Ob das im Einzelfall trägt, ist eine Rechtsfrage, die dieser Beitrag nicht beantwortet. Sie sollten aber damit rechnen, dass diese Ausnahmen eingewandt werden.

Aussichtslos ist die Löschung dennoch nicht. Im Urteil vom 7. Dezember 2023 in den verbundenen Rechtssachen C-26/22 und C-64/22 entschied der Gerichtshof, dass die DSGVO einer Praxis privater Wirtschaftsauskunfteien entgegensteht, Informationen über die Erteilung einer Restschuldbefreiung, die aus einem öffentlichen Register stammen, für Auskünfte über die Kreditwürdigkeit länger zu speichern, als sie im öffentlichen Register stehen.¹¹ Er stellte außerdem klar, dass die betroffene Person nach einem Widerspruch gemäß Art. 21 Abs. 1 die Löschung verlangen kann, wenn keine zwingenden schutzwürdigen Gründe die Verarbeitung ausnahmsweise rechtfertigen, und dass unrechtmäßig verarbeitete Daten unverzüglich zu löschen sind.¹¹

Das Urteil betrifft eine bestimmte Art von Daten. Auf andere Einträge lässt es sich nicht ohne Weiteres übertragen. Es zeigt aber, dass bei Auskunfteien beides vorkommt: Löschung, die durchgesetzt werden kann, und Ausnahmen, die einer Löschung entgegenstehen können.

Auskunftsantrag stellen: Der Ablauf in sechs Schritten

Den Auskunftsantrag können Sie ohne Begründung stellen.⁴ So gehen Sie vor:

1. Adressaten bestimmen. Richten Sie den Antrag an den Verantwortlichen, also an die Stelle, die Ihre Daten verarbeitet (Art. 15 Abs. 1).¹ Bei Websites ist der Inhaber laut oesterreich.gv.at meist im Impressum angeführt.⁵
2. Antrag formulieren. Berufen Sie sich auf Art. 15 DSGVO und verlangen Sie die Bestätigung, die Auskunft samt den Informationen nach Absatz 1 und eine Kopie nach Absatz 3.¹ Verlangen Sie nicht zugleich die Löschung. Die Datenschutzbehörde schreibt dazu: „Bitte verlangen Sie nicht Auskunft und Löschung gleichzeitig!“ Sie begründet das damit, dass der Verantwortliche sonst eine unzureichende Auskunft erteilen und dann die Daten löschen könnte, was eine spätere Überprüfung erschwert.⁴
3. Identität nachweisen. Hat der Verantwortliche begründete Zweifel an Ihrer Identität, kann er zusätzliche Informationen anfordern, die zur Bestätigung Ihrer Identität erforderlich sind (Art. 12 Abs. 6).¹ Übermitteln Sie nur, was dafür erforderlich ist.
4. Frist notieren. Der Verantwortliche muss innerhalb eines Monats nach Eingang des Antrags mitteilen, was er unternommen hat. Die Frist kann um weitere zwei Monate verlängert werden, wenn Komplexität oder Anzahl der Anträge dies erfordern. Über die Verlängerung ist innerhalb des ersten Monats zu informieren (Art. 12 Abs. 3).¹ Halten Sie deshalb fest, wann der Antrag eingegangen ist. Wie sich solche Nachweise sichern lassen, behandelt der Beitrag Beweissicherung Online-Inhalte: Screenshot genügt oft nicht.
5. Nachfragen. Wird der Verantwortliche nicht tätig, muss er Sie spätestens innerhalb eines Monats über die Gründe und über die Möglichkeit unterrichten, Beschwerde bei einer Aufsichtsbehörde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4).¹ Bleibt jede Reaktion aus, erinnern Sie schriftlich.
6. Beschwerde einbringen. Wird die Auskunft nicht oder nur unzureichend erteilt, können Sie bei der Datenschutzbehörde Beschwerde erheben.⁴ Das geht über ein Onlineformular, per E-Mail oder per Post. Eingaben erfolgen auf Deutsch, dem Antrag und einer allfälligen Antwort des Verantwortlichen sollten Sie Kopien beilegen.³

Beschwerde bei der Datenschutzbehörde und Rechtsschutz vor Gericht

Jede betroffene Person hat nach Art. 77 DSGVO das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie meint, dass die Verarbeitung ihrer Daten gegen die Verordnung verstößt. Die Behörde unterrichtet sie über Stand und Ergebnisse der Beschwerde.¹ In Österreich richtet sich die Beschwerde nach § 24 Abs. 1 DSG an die Datenschutzbehörde.²

Die Beschwerde muss unter anderem das als verletzt erachtete Recht bezeichnen, soweit zumutbar den Beschwerdegegner benennen, den Sachverhalt schildern, die Gründe der behaupteten Rechtswidrigkeit angeben und das Begehren auf Feststellung der Rechtsverletzung enthalten. Der zugrunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners sind gegebenenfalls anzuschließen.² Der Anspruch auf Behandlung erlischt, wenn die Beschwerde nicht binnen eines Jahres nach Kenntnis vom beschwerenden Ereignis eingebracht wird, längstens aber binnen drei Jahren nach dem Ereignis.²³ Das Verfahren ist grundsätzlich unentgeltlich. Geht es im Grunde nicht um die Wahrung von Datenschutzrechten, kann die Behörde eine Gebühr von bis zu 400 Euro verlangen oder die Behandlung ablehnen.³

Erweist sich die Beschwerde als berechtigt, ist bei Verantwortlichen des privaten Bereichs aufzutragen, dem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in dem Umfang zu entsprechen, der zur Beseitigung der Verletzung erforderlich ist.² Die Datenschutzbehörde unterrichtet die Beschwerdeführerin oder den Beschwerdeführer innerhalb von drei Monaten ab Einbringung über Stand und Ergebnis der Ermittlungen. Erfolgt das nicht oder wird die Beschwerde nicht behandelt, kann das Bundesverwaltungsgericht angerufen werden.²

Schadenersatz kann die Datenschutzbehörde nicht zusprechen. Dafür sind die ordentlichen Gerichte zuständig.³ Unabhängig davon steht Ihnen nach Art. 79 DSGVO ein wirksamer gerichtlicher Rechtsbehelf gegen den Verantwortlichen offen, wenn Sie meinen, durch eine nicht verordnungskonforme Verarbeitung in Ihren Rechten verletzt worden zu sein. Klagen können bei den Gerichten des Mitgliedstaats erhoben werden, in dem der Verantwortliche eine Niederlassung hat, oder in dem Sie Ihren gewöhnlichen Aufenthalt haben. Das gilt nicht, wenn der Verantwortliche eine Behörde ist, die in Ausübung hoheitlicher Befugnisse tätig geworden ist.¹

Wo YIIO Cleanup und YIIO Reputation ansetzen

YIIO Cleanup stellt Auskunfts- und Löschanfragen an Datenhändler und Auskunfteien, verfolgt die Fristen und führt bis zum Beschwerdeweg zur Aufsichtsbehörde. Es setzt dort an, wo die Auskunft durchsetzbar ist. YIIO Reputation bereitet Auslistungsanträge strukturiert vor und verfolgt Fristen. Das Absenden über das Formular des Betreibers bleibt Ihr Schritt. Beide Werkzeuge führen den Vorgang nicht an Ihrer Stelle und prüfen Ihren Einzelfall nicht. Ob ein Antrag Erfolg hat, entscheidet der Verantwortliche, die Behörde oder das Gericht, nicht das Werkzeug.