Das Recht auf Vergessenwerden

Exposé für das Dissertationsvorhaben
Das Recht auf Vergessenwerden
Europas Weg zu einem wirksamen Datenschutz im Internet?
Verfasser
Mag. Maurits Haas
[email protected]
Matr.-Nr.: 0800167
Angestrebter akademischer Grad
Doctor iuris (Dr. iur.)
Betreuer
ao. Univ.- Prof. Mag. DDr. Erich Schweighofer
1. Arbeitstitel
Das Recht auf Vergessenwerden
Europas Weg zu einem wirksamen Datenschutz im Internet?
2. Problemstellung
Die digitale Speicherung von Daten und der Informationsaustausch über das Internet eröffnen
der Menschheit nie dagewesene Möglichkeiten. Digitale Informationen können beliebig oft
vervielfältigt werden, ohne Qualität bei der Reproduktion einzubüßen. Speichermedien werden
von Jahr zu Jahr im Verhältnis zu ihrer Speicherkapazität günstiger. Diese Entwicklung
ermöglicht
es, enorme Datenbestände dauerhaft zu speichern. Das
Internet als
Übertragungsmedium digitaler Daten eröffnet die weltweite, dauerhafte Verfügbarkeit dieser
Daten. Aufgrund seiner dezentralen Struktur begünstigt es eine Vervielfältigung und
Speicherung an verschiedenen Standorten, die einem Verlust von Daten zusätzlich
entgegenwirkt. Für das World Wide Web entwickelte Suchmaschinen ermöglichen,
Informationen ohne größeren Aufwand binnen kürzester Zeit aufzufinden.
Diese technischen Gegebenheiten führen zu einer neuen Sachlage in Hinblick auf den Schutz
personenbezogener Daten. Durch die Eingabe eines Namens in eine Suchmaschine können
mühelos alle jemals im World Wide Web über die betreffende Person verfügbaren Daten
aufgerufen werden, die, je nach Anzahl und Qualität der Informationen, ein detailliertes
Lebensprofil preisgeben. So können auch Informationen über Jahrzehnte zurückliegende Taten
oder Äußerungen stets verfügbar sein und mit der betreffenden Person in Verbindung gebracht
werden.
Dieser
neue
Zustand
birgt
laut
Mayer-Schönberger1
die
Gefahr,
dass
er
die
Persönlichkeitsentwicklung der Menschen behindere, weil es nicht mehr möglich sei, sich neu
zu erfinden. Sicherheitsbehörden, Arbeitgeber aber auch Freunde würden stets auch an Taten,
Äußerungen und Ideen erinnert, von denen man sich selbst längst distanziert habe. Eine
lückenlos aufgezeichnete Chronologie des Lebens könnte den Menschen im Wissen um diese
Situation aber auch bereits bei der Entscheidungsfindung beeinflussen, wie Foucault2 zu
Benthams Ideen eines Panoptikums ausführte. Demnach übernehmen diejenigen, welche einer
potenziellen Kontrolle unterworfen sind und dies wissen, die Zwangsmittel der Macht und
1
2
Mayer-Schönberger, Delete. The Virtue of Forgetting in the Digital Age (2009).
Foucault, Überwachen und Strafe: die Geburt des Gefängnisses (1992) 260.
spielen sie gegen sich selber aus. Sie regulieren sich also selber und passen ihr Verhalten den
Anforderungen der potenziell Kontrollierenden an.
Als Gegenentwurf zur ewigen Datenspeicherung schlug Mayer-Schönberger vor, elektronische
Informationen mit einem Verfallsdatum zu versehen. Diese Idee fand in der Rechtsprechung
und Rechtssetzung Anklang.
Die EU-Datenschutzrichtlinie3 beinhaltet, ebenso wie deren Umsetzung im Datenschutzgesetz
2000, ein Recht auf Löschung von Daten, deren Verarbeitung nicht den Bestimmungen der
Richtlinie bzw. des Gesetzes entsprechen, insbesondere wenn diese Daten unvollständig oder
unrichtig sind. Der Löschungsanspruch betraf aber keine wahren Informationen, die rechtmäßig
im World Wide Web veröffentlicht wurden, bis in der Entscheidung C-131/12 des
Europäischen Gerichtshofes vom 13.05.2014 die EU-Datenschutzrichtlinie dahingehend
ausgelegt wurde, dass Betroffene in bestimmten Fällen von einem Suchmaschinenbetreiber
verlangen können, betreffende Informationen nicht mehr in der Ergebnisliste aufscheinen zu
lassen, selbst wenn diese Informationen wahr sind und rechtmäßig publiziert wurden. Im
Anschluss an das Urteil sprachen zahlreiche Medien und Kommentatoren von der Einführung
des Rechts auf Vergessen bzw. des Rechts auf Vergessenwerden.4
Die EU-Kommission hatte den Begriff Recht auf Vergessenwerden bereits zuvor aufgegriffen
und ein solches im Jahr 2012 in den Entwurf der Datenschutzgrundverordnung aufgenommen.
Demnach sollte der für die Verarbeitung Verantwortliche, wenn er personenbezogenen Daten
öffentlich gemacht hat, alle vertretbaren Schritte setzen, um Dritte, die die Daten verarbeiten,
darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Querverweise
auf die Daten oder von Kopien oder Replikationen dieser Daten verlangt.5 Auch dieser Entwurf
eines Rechts auf Vergessenwerden zielte auf den Schutz personenbezogener Daten im Internet.
Die beiden unter dem Titel „Recht auf Vergessenwerden“ diskutierten Rechte sind allerdings
völlig unterschiedlich ausgestaltet. Das aus der EuGH Entscheidung C-131/12 hervorgehende
Recht auf Vergessenwerden gründet sich auf den Löschungsanspruch der EUDatenschutzrichtlinie, dem in der speziellen Konstellation einer Suchmaschine mit einem
3
Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher
Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.
4
Vgl. Recht auf Vergessen: Google muss sensible Links löschen http://derstandard.at/1399507335631/EuGHGoogle-muss-Links-zu-sensiblen-Daten-entfernen (Stand 10.09.2015). EuGH Urteil zum „Recht auf
Vergessenwerden“, Bürger können kritische Google-Links löschen lassen
http://www.sueddeutsche.de/digital/eugh-urteil-zum-recht-auf-vergessenwerden-im-internet-google-kann-zurloeschung-kritischer-suchergebnisse-verpflichtet-werden-1.1960576 (Stand 10.09.2015).
5
Vgl. Art 17 (2) Kommissionsentwurf EU-DS-GVO 2012
Marktanteil
von
ca.
90%
faktische
Wirksamkeit
zukommen
kann.
Die
Datenschutzgrundverordnung hingegen, möchte den für die Verarbeitung Verantwortlichen,
der Daten öffentlich gemacht hat, dazu anhalten, die von ihm veröffentlichten Daten wieder
„einzufangen“.
3. Zielsetzung
Diese Dissertation soll die unter dem Titel des Rechts auf Vergessenwerden diskutierten Rechte
einer genauen juristischen Analyse unterziehen und ihre Bedeutung für einen wirksamen
Datenschutz im Internet herausstellen.
Dazu werden sowohl grundrechtliche Aspekte, insbesondere welche Grundrechte berührt
werden und welcher Rahmen sich dadurch für die einfachgesetzlichen Regelungen ergibt, als
auch die Bestimmungen der EU-Datenschutzrichtlinie und des Datenschutzgesetzes 2000 sowie
der künftigen EU-Datenschutzgrundverordnung behandelt. Es wird das rechtliche Verhältnis
zwischen dem durch den Europäischen Gerichtshof im Urteil C-131/12 implementierten Recht
auf Vergessenwerden und dem in Art 17 (des Entwurfs) der EU-Datenschutzgrundverordnung
festgelegten Recht auf Vergessenwerden herausgearbeitet. Im Folgenden soll dann die im Titel
aufgeworfene Frage geklärt werden, ob die Rechte auf Vergessenwerden Betroffenen zu einem
wirksamen Datenschutz im Internet verhelfen. Dazu sind u.a. auch die Wirksamkeit der
Rechtsinstrumente und deren praktische Umsetzung zu thematisieren. Die Rechtsdurchsetzung
wird konkret anhand der österreichischen Rechtslage dargestellt. In diesem Zusammenhang ist
zumindest überblicksweise auf die technische Durchführbarkeit einzugehen, da nur eine
technisch sinnvolle Vorschrift einen wirksamen Rechtsschutz im Internet gewährleisten kann.
Zum Schluss werden eigene Überlegungen zum Recht auf Vergessenwerden vorgestellt, in
denen der Frage nachgegangen wird, welche Daten zu speichern sein und welche einem Recht
auf Vergessenwerden unterliegen sollten.
4. Rechtsfragen
Welche Grundrechte werden vom Recht auf Vergessenwerden berührt? Welcher Rahmen ergibt
sich daraus für einfachgesetzliche Vorschriften? Wie ist das Recht auf Vergessenwerden nach
der EU-DS-RL ausgestaltet? Wie ist das Recht auf Vergessenwerden nach der EU-DS-GVO
ausgestaltet? Welche Ausnahmen vom Recht auf Vergessenwerden gibt es? Wie unterscheiden
sich das Recht auf Vergessenwerden aus der Entscheidung C-131/12 des EuGH und aus Art 17
DS-GVO bzw. in welchem Verhältnis stehen sie zueinander? Verhelfen die Rechte auf
Vergessenwerden Betroffenen zu einem wirksamen Datenschutz im Internet? Bleiben
Rechtsschutzlücken? Welche Daten sollten dauerhaft gespeichert werden und welche Daten
sollten einem Recht auf Vergessenwerden unterliegen?
5. Forschungsstand
Eine systematische Darstellung des Themas Recht auf Vergessenwerden findet sich bisher nicht
in der deutschsprachigen Literatur. Das Urteil C-131/12 des Europäischen Gerichtshofes wurde
am 13.05.2014 erlassen. Es hat seitdem hohe mediale Wellen geschlagen, wurde aus
rechtswissenschaftlicher Sicht aber noch nicht umfassend behandelt.
Die Datenschutzgrundverordnung der Europäischen Union ist noch nicht erlassen. Die
Entwürfe der Kommission und des Rates enthielten ein neu ausgestaltetes Recht auf
Vergessenwerden. Das Thema ist von hoher Relevanz für den Diskurs zum Datenschutz im
Internet und bisher noch nicht eingehend rechtswissenschaftlich behandelt.
6. Vorläufige Gliederung
I. Einleitung
A. Problemstellung
B. Forschungsfragen
C. Methodik
D. Aufbau/Abgrenzung
II. Die Idee eines Rechts auf Vergessenwerden in der digitalen Welt
A. Die Digitalisierung der Welt (technische Grundlagen)
B. Personenbezogene Daten in der digitalen Welt
C. Grundlagen des Datenschutzes
1. Geschichte des Datenschutzes
2. Verschiedene Rechtstraditionen
2.1 EU
2.2 USA
2.3 Autoritäre Staaten
3. Technischer Datenschutz
3.1 Privacy by Design
3.2 Privacy by Default
3.3 Software Angebote (expire!, vanish, snapchat)
D. Ein Verfallsdatum für digitale Informationen
E. Zusammenfassung (Begriff: Recht auf Vergessenwerden)
III. Grundrechtliche Aspekte des Rechts auf Vergessenwerden
A. Allgemeines
1. Die EU GRC
2. Die EMRK
3. Das Verhältnis zwischen GRC und EMRK
B. Achtung des Privat- und Familienlebens
C. Der Schutz personenbezogener Daten
D. Freiheit der Meinungsäußerung und Informationsfreiheit
E. Unternehmerische Freiheit
F. Zusammenfassung
IV. Das Recht auf Vergessenwerden nach der EU-Datenschutzrichtlinie
A. Die EU-Datenschutzrichtlinie und ihre Umsetzung im DSG 2000
(jeweils Unterkapitel für DS-RL und DSG)
1. Anwendungsbereich
1.1 Sachlicher Anwendungsbereich
1.2 Örtlicher Anwendungsbereich
2. Die Zulässigkeit der Verwendung von Daten
3. Die Zulässigkeit von Übermittlungen
4. Betroffenenrechte
4.1 Auskunft
4.2 Richtigstellung, Löschung
4.3 Widerspruch
5. Meldepflichten
6. Rechtsdurchsetzung
B. Das Recht auf Vergessenwerden aus der Entscheidung C-131/12 des EuGH
1. Die Verarbeitung personenbezogener Daten durch Suchmaschinenbetreiber
2. Die Zurechnung von konzernverbundenen Unternehmen
3. Das (so genannte) Recht auf Vergessenwerden
4. Die Umsetzung des Urteils durch Google und die Rechtsdurchsetzung in Österreich
V. Das Recht auf Vergessenwerden nach der EU-Datenschutzgrundverordnung
A. Die EU-Datenschutzgrundverordnung
1. Hintergrund und Ziel der Verordnung
2. Die Wirkung der EU-DS-GVO auf die Rechtsordnungen der Mitgliedstaaten
2.1 Allgemein
2.2 Die Wirkung der DS-GVO auf die österreichische Rechtsordnung
3. Änderungen gegenüber der EU-DS-RL und dem DSG 2000
3.1 Anwendungsbereich
3.1.1 Sachlicher Anwendungsbereich
3.1.2 Räumlicher Anwendungsbereich
3.2 Verwendung von Daten
3.3 Übermittlung von Daten
3.4 Betroffenenrechte
3.5 Meldepflichten
3.6 Rechtsdurchsetzung
B. Das Recht auf Vergessenwerden nach (Art 17) der EU-DS-GVO
1. Die Historie der Entwicklung
1.1 Der Entwurf der Kommission 2012
1.2 Die Position des Europäischen Parlaments 2014
1.3 Die Position des Europäischen Rates 2015
2. (Die endgültige Fassung des) Art 17 EU-DS-GVO
2.1 Norminhalt
2.2 Die Ausgestaltung des Rechts auf Vergessenwerden
2.3 Ausnahmen vom Recht auf Vergessenwerden
2.2.1 Die Ausübung des Rechts auf freie Meinungsäußerung und
Information
2.2.2 Die Erfüllung gesetzlicher Pflichten (Aufbewahrungspflichten)
2.2.3 Im öffentlichen Interesse liegende Archivzwecke oder
wissenschaftliche, statistische und historische Zwecke
2.2.4 Gründe des öffentlichen Interesses im Bereich der öffentlichen
Gesundheit
2.4 Verhältnis zu Löschung/Widerspruch/Übermittlung in Drittstaaten
2.5 Rechtsdurchsetzung in Österreich und Sanktionen
VI. Das Verhältnis zwischen der Entscheidung EuGH C-131/12 und Art 17 DS-GVO
VII. Die Bedeutung des Rechts auf Vergessenwerden (der Rechte auf Vergessenwerden)
für einen wirksamen Datenschutz im Internet
VIII. Eigene Überlegungen zum Recht auf Vergessenwerden
IX. Conclusio
7. Zeitplan
Verpflichtende Lehrveranstaltungen
Absolviert: VO zur rechtswissenschaftlichen
Methodenlehre, SE Judikaturanalyse, SE für
Dissertanten, LVen aus dem Bereich des
Dissertationsfaches oder der Wahlfächer
(teilweise).
SE zur Vorstellung des Dissertationsvorhabens
SE aus Rechtsinformatik, SS 2015.
Weiteres SE im Dissertationsfach
Bis SS 2018
Weitere LVen aus dem Berreich
Dissertationsfaches oder der Wahlfächer
des Bis SS 2018
Die Idee eines Rechts auf Vergessenwerden in WS 2015
der digitalen Welt
Grundrechtliche Aspekte des Rechts auf WS 2015/SS 2016
Vergessenwerden
Das Recht auf Vergessenwerden nach der EU- SS 2016
Datenschutzrichtlinie
Das Recht auf Vergessenwerden nach der EU- WS 2016
Datenschutzgrundverordnung
Das Verhältnis zwischen der Entscheidung SS 2017
EuGH C-131/12 und Art 17 DS-GVO
Die
Bedeutung
des
Rechts
auf SS 2017
Vergessenwerden für einen wirksamen
Datenschutz im Internet
Eigene Überlegungen
Vergessenwerden
zum
Defensio
Recht
auf WS 2017
SS 2018
8. Ausgewählte Literatur
Alich/Sagalov,
Konzernverbundene
Unternehmen
ohne
Datenverarbeitung
als
Anknüpfungspunkt umfassender datenschutzrechtlicher Verantwortlichkeit? in Computer und
Recht (2013) Band 29, Heft 12, 783ff.
Arning/Moos/Schefzig, Vergiss(,) Europa! Ein Kommentar zu EuGH, Urt. v. 13.5.2014 – Rs.
C-131/12 – Google/Mario Costeja Gonzalez, in Computer und Recht, 2014, Band 30, Heft 7,
447ff.
Bull, Netzpolitik: Freiheit und Rechtsschutz im Internet (2013).
Diesterhöft, Das Recht auf medialen Neubeginn. Die »Unfähigkeit des Internets zu vergessen«
als Herausforderung für das allgemeine Persönlichkeitsrecht (2014).
Dohr/Weiss/Pollirer/Knyrim, Datenschutzrecht: Kommentar2 (2002 - ).
Eckhardt/Kramer, EU-DSGVO — Diskussionspunkte aus der Praxis, in Datenschutz und
Datensicherheit (2013) Band 37, Heft 5, 287ff.
Eckhardt, EU-DatenschutzVO – Ein Schreckgespenst oder Fortschritt? In Computer und Recht
(2012) Band 28, Heft 3, 195ff.
Ehmann/Helfrich, EG-Datenschutzrichtlinie: Kurzkommentar (1999).
Ennöckl, Der Schutz der Privatsphäre in der elektronischen Datenverarbeitung (2014).
Ennöckl, Gibt es ein right to reputation? Mediale Berichterstattung zwischen Meinungsfreiheit
und staatlicher Schutzpflicht, in Ennöckl/N.Raschauer/Schulev-Steindl/Wessely (Hrsg), Über
Struktur und Vielfalt im Öffentlichen Recht, FS B. Raschauer (2008).
S.Gerling/R.Gerling, Wie realistisch ist ein „Recht auf Vergessenwerden“? in Datenschutz und
Datensicherheit (2013) Band 37, Heft 7, 445f.
Grabenwarter/Pabel, Europäische Menschenrechtskonvention: ein Studienbuch5 (2012).
Härting, „Prangerwirkung“ und „Zeitfaktor“ 14 Thesen zu Meinungsfreiheit,
Persönlichkeitsrechten und Datenschutz im Netz, in Computer und Recht (2009) Band 25, Heft
1, 21ff.
Hornung/Hofmann, Ein „Recht auf Vergessenwerden“? Anspruch und Wirklichkeit eines
neuen Datenschutzrechts, in Juristenzeitung (2013) Band 68, Heft 4, 163ff.
Holoubek, Charta der Grundrechte der Europäischen Union: GRC-Kommentar (2014).
Jandt/Kieselmann/Wacker, Recht auf Vergessen im Internet: Diskrepanz zwischen rechtlicher
Zielsetzung und technischer Realisierbarkeit? in Datenschutz und Datensicherheit (2013) Band
37, Heft 4, 235ff.
Jaspers, Die EU-Datenschutz-Grundverordnung, in Datenschutz und Datensicherheit (2012)
Band 36, Heft 8, 571ff.
Kalabis/Selzer, Das Recht auf Vergessenwerden nach der geplanten EU-Verordnung, in
Datenschutz und Datensicherheit (2012) Band 36, Heft 9, 670ff.
Kieselmann/Kopal/Wacker, „Löschen“ im Internet: Ein neuer Ansatz für die technische
Unterstützung des Rechts auf Löschen, in Datenschutz und Datensicherheit (2015) Band 39,
Heft 1, 31ff.
Klimpel/Keiper (Hrsg), Was bleibt? Nachhaltigkeit der Kultur in der digitalen Welt (2013).
Knyrim, Datenschutzrecht: Praxishandbuch für richtiges
Übermitteln, Zustimmen, Outsourcen, Werben3 (2015).
Registrieren,
Verarbeiten,
Mantelero, The EU Proposal for a General Data Protection Regulation and the roots of the right
to be forgotten, in Computer Law and Security Review (2013) Vol.29(3), 229ff.
Mayer-Schönberger, Delete, the virtue of forgetting in the digital age (2009).
Mayer-Schönberger, Was uns Mensch sein lässt – Anmerkungen zum Recht auf Vergessen, in
Datenschutz Nachrichten (2012) Band 35, Heft 1, 9ff.
Meyer, Charta der Grundrechte der Europäischen Union4 (2014).
Meyer-Ladewig, Europäische Menschenrechtskonvention: Handkommentar3 (2011).
Pachinger, Das „Google-Urteil“ – Ein wichtiger Schritt in die richtige Richtung! in
Schweighofer/Kummer/Hötzendorfer (Hrsg), Kooperation: Tagungsband des 18.
Internationalen Rechtsinformatik Symposions IRIS 2015 (2015) 559.
Raschauer, Datenschutzrecht 2010 (2011).
Schaar, Datenschutz im Internet: die Grundlagen (2002).
Scherak, „Der Konflikt zwischen dem Recht auf Meinungsfreiheit und den
Persönlichkeitsrechten in der Rechtsprechung des Europäischen Gerichtshofs für
Menschenrechte“ (2013).
Schliesky, Schutzpflichten und Drittwirkung im Internet: das Grundgesetz im digitalen Zeitalter
(2014).
Schmidt-Kessel/ Langhanke/Gläser/Herden, Recht auf Vergessen und piercing the corporate
veil, in Zeitschrift für das Privatrecht der Europäischen Union (2014) Band 11, Heft 4, 192ff.
Schneiders, Die Grundrechte der EU und die EMRK: das Verhältnis zwischen ungeschriebenen
Grundrechten, Grundrechtecharta und Europäischer Menschenrechtskonvention (2010).
Siemen, Datenschutz als europäisches Grundrecht (2006).
Tacke,
Medienpersönlichkeitsrecht:
das
System
Persönlichkeitsverletzungen durch Massenmedien (2009).
der
Rechtsfolgen
von
Traung, The Proposed New EU General Data Protection Regulation, in Computer Law Review
International (2012) Vol. 13(2), 33ff.
Weigl, Meinungsfeiheit contra Persönlichkeitsschutz am Beispiel von Web 2.0-Applikationen
(2011).
Wolfeil, Datenschutz: Ist ein Recht auf Vergessenwerden realistisch? in
Schweighofer/Kummer/Hötzendorfer (Hrsg), Transparenz: Tagungsband des 17.
Internationalen Rechtsinformatik-Symposions IRIS 2014 (2014) 591f.