Anbieter von digitalen Verzeichnissen müssen geeignete technische Maßnahmen ergreifen, um Suchmaschinenanbieter, Datenlieferanten und Datenabnehmer über Löschungsanträge betroffener Personen zu informieren.
Nach einer Entscheidung des EuGH muss die Löschung persönlicher Daten aus Internetverzeichnissen wie Telefonverzeichnissen für die Betroffenen möglichst einfach gestaltet werden. Wer eine Einwilligung zur Verarbeitung seiner Daten einmal gegeben hat muss diese Einwilligung auch nur einmal widerrufen. Der Verzeichnisanbieter ist verpflichtet, den Widerruf an diejenigen Anbieter weiterzuleiten, denen er die Daten übermittelt bzw. von denen er die Daten erhalten hat.
Einwilligung zur Datenveröffentlichung in Teilnehmerverzeichnissen
Der EuGH hatte verschiedene, vom belgischen Appellationshof in Brüssel vorgelegte Auslegungsfragen im Zusammenhang mit einem Verfahren über die Reichweite des Widerrufs einer Einwilligung zur Verarbeitung persönlicher Daten zu beantworten. Ein Teilnehmer hatte dem belgischen Telefondiensteanbieter „Telenet“ die Veröffentlichung seiner telefonischen Kontaktdaten gestattet. „Telenet“ leitet die Kontaktdaten seiner Teilnehmer in diesen Fällen an diverse Anbieter von Teilnehmerverzeichnissen weiter, unter anderem an den Telefondiensteanbieter „Proximus“.
Datenlöschung war nicht von Dauer
Der Teilnehmer forderte den Anbieter „Proximus“ auf, seine Kontaktdaten in den von „Proximus“ und nach Weitergabe der Daten von Dritten herausgegebenen Teilnehmerverzeichnissen nicht mehr aufzuführen. „Proximus“ kam der Bitte nach und änderte entsprechend den Status des Klägers. Nach einer von „Telenet“ herausgegebenen Datenaktualisierung wurden in einem automatisierten Verfahren von „Proximus“ auch die Daten des Klägers aktualisiert und tauchten in den Verzeichnissen anschließend wieder auf.
Vorlagebeschluss an EuGH
Der erneuten Löschungsaufforderung des Klägers kam „Proximus“ wiederum nach, legte gegen die Auferlegung eines Bußgeldes in Höhe von 20.000 Euro durch die belgische Datenschutzbehörde aber Beschwerde ein. Der Telefondiensteanbieter vertrat die Auffassung, Betroffene müssten in solchen Fällen die Löschung ihrer Daten bei den einzelnen Anbietern von Verzeichnissen nach dem „Opt-out-Verfahren“ selbst beantragen. Der von „Proximus“ schließlich angerufene Appellationshof in Brüssel rief in einem Vorlagebeschluss den EuGH zur Beantwortung diverser Fragen zur Auslegung der DSGVO an.
Einwilligung erstreckt sich auch auf andere Teilnehmerverzeichnisse
Der EuGH stellte klar, dass für die Veröffentlichung personenbezogener Daten in einem öffentlichen Teilnehmerverzeichnis grundsätzlich
- die Einwilligung eines ordnungsgemäß unterrichteten Teilnehmers erforderlich ist.
- Diese Einwilligung erstrecke sich auf die weitere Verarbeitung der Daten durch dritte Unternehmen, die auf dem Markt für öffentlich zugängliche Telefonauskunftsdienste und Teilnehmerverzeichnisse tätig sind,
- sofern die Verarbeitung dem gleichen, von der Einwilligung umfassten Zweck dient.
- Dabei setze die Einwilligung keine Kenntnis der Identität sämtlicher infrage kommenden Anbieter von Verzeichnissen voraus.
Einwilligung kann jederzeit widerrufen werden
Der EuGH betonte in seiner Entscheidung, dass im Gegenzug jeder Betroffene jederzeit die Möglichkeit haben muss, gemäß Art. 17 DSGVO die Löschung seiner personenbezogenen Daten aus den Teilnehmerverzeichnissen zu erwirken. Hierzu müsse der für die Verarbeitung personenbezogener Daten Verantwortliche - wie im konkreten Fall „Proximus - geeignete technische und organisatorische Maßnahmen ergreifen, um auch die anderen Anbieter von Teilnehmerverzeichnissen, denen er solche Daten übermittelt hat, über den Widerruf der Einwilligung der betroffenen Person zu informieren.
Kein „Opt-out-Verfahren“ für Einwilligungswiderruf
Der von „Proximus“ vertretenen Rechtsansicht zum „Opt-out-Verfahren“ erteilte der EuGH eine Absage. Der Teilnehmer sei nicht verpflichtet, nach dem „Opt-out-System“ selbst die Löschung in jedem Einzelverzeichnis zu beantragen. Dies sei weder zumutbar noch entspreche dies dem Sinn und Zweck der DSGVO, nämlich der Herstellung eines effektiven Datenschutzes.
Eine einmalige Einwilligung muss nur einmal widerrufen werden
Konsequenterweise muss der Anbieter nach der Entscheidung des EuGH auch denjenigen Telefondienstanbieter, der ihm seinerseits die personenbezogenen Daten übermittelt hat, über den Widerruf der Einwilligung informieren. Wenn sich verschiedene Verantwortliche auf eine einmal gegebene, einheitliche Einwilligung der betroffenen Person stützen, so genügt es nach der Entscheidung des EuGH, wenn die betroffene Person einen Verantwortlichen aus der Weitergabekette über den Widerruf informiert. Dieser müsse dann durch entsprechende Informationsweitergabe dafür sorgen, dass sowohl die anderen Verantwortlichen als auch der Suchmaschinenanbieter über den Löschungsantrag informiert werden.
Auslegungsmaßstäbe des EuGH binden nationales Gericht
Unter Anwendung der Auslegungsmaßstäbe des EuGH muss der Appellationshof in Brüssel nun erneut über die Berechtigung des gegen „Proximus“ verhängten Bußgeldes entscheiden.
(EuGH, Urteil v. 27.10.2022, C-129/21)