Betreiber von Internetsuchmaschinen sind nach Ansicht des OLG Kölns Verantwortliche nach Art. 4 Nr. 7 DSGVO, auch wenn sie nur Zugang zur Suchmaschine des Mutterkonzerns bieten. Verbände dürfen nach Auffassung des EuGH die Einhaltung von Informationspflichten für betroffene Personen einklagen. Die aktuellen Entscheidungen machen eine Durchsetzung von Betroffenenrechten und Informationspflichten aus der DSGVO wahrscheinlicher.
1. OLG Köln: Verantwortlichkeit von Internetsuchmaschinen
Nach Auffassung des OLG Köln (OLG Köln, Urt. v. 04.07.2024 – 15 U 60/23) ist die Google Irland Ltd. Verantwortliche nach Art. 4 Nr. 7 DSGVO, weil sie Zugang zur Suchmaschine www.google.de bietet. Dies gelte auch, obwohl nur der Mutterkonzern (Google LLC, USA) Einfluss darauf hat, wie eine Webseite auf Suchanfragen reagiert. Dieser Verantwortlichkeit könne sie sich auch nicht dadurch entziehen, dass die eigene Datenschutzerklärung die Google LLC als verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO bestimme. Die Entscheidung dürfte betroffenen Personen die Durchsetzung ihrer Betroffenenrechte aus der DSGVO erleichtern. Eine Revision wurde nicht zugelassen, sodass nur noch die Möglichkeit einer Nichtzulassungsbeschwerde vor dem BGH verbleibt.
1.1. Sachverhalt
Hintergrund war die Klage eines Lokalpolitikers gegen die Tochtergesellschaft von Google (Google Irland Ltd.), welche einen offensichtlich unrichtigen Artikel eines linksgerichteten Magazins auf der Suchmaschine google.de verlinkt hatte und dem Auslistungsbegehren (Art. 17 Abs. 1 DSGVO) des klagenden Politikers nicht nachgekommen war. Das Landgericht hatte die Klage mangels Passivlegitimation der Google Irland Ltd. abgewiesen, weil Google Ireland Ltd. keine Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO sei.
1.2. Entscheidungsgründe
Wenig überraschend befand der 15. Zivilsenat des OLG Köln den Antrag des Klägers indes für zulässig und begründet. Die Google Irland Ltd. sei datenschutzrechtlich verantwortlich, Art. 4 Nr. 7 DSGVO. Durch die Verlinkung eines unstreitig unrichtigen Artikels habe sie die Daten des klagenden Lokalpolitikers unrechtmäßig verarbeitet, mit der Folge, dass ein Unterlassungsanspruch gemäß Art. 17 Abs. 1 DSGVO bestünde.
Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Betreiber von Suchmaschinen, deren „Tätigkeit […] darin besteht, von Dritten ins Internet gestellte oder dort veröffentlichte Informationen zu finden, automatisch zu indexieren, vorübergehend zu speichern und schließlich den Internetnutzern in einer bestimmten Rangfolge zur Verfügung zu stellen“, seien als Verantwortlicher in diesem Sinne anzusehen.
Dabei sei unbeachtlich, dass Google Irland Ltd. lediglich Zugang zu der Suchmaschine bietet und die Entscheidung, wie auf einzelne Suchanfragen reagiert wird, dem Mutterkonzern (Google LLC) obliegt. Das OLG weist zu Recht auf die Rechtsprechung des EuGH, wonach „bereits die Anzeige personenbezogener Daten auf einer Seite mit Suchergebnissen eine Verarbeitung dieser Daten darstellt“. Es komme nicht darauf an, ob der Suchmaschinenbetreiber „sich die verlinkten Inhalte zu eigen macht“. Auch Erwägungen, nach denen die daneben bestehende Verantwortlichkeit der Google LLC eine Verantwortlichkeit der Google Irland Ltd. ausschließe, erteilte das OLG zu Recht eine Absage.
Hinweis: Selbstverständlich führt auch eine abweichende Bestimmung des Verantwortlichen in der Datenschutzerklärung zu keinem abweichenden Ergebnis. Entscheidend sind die faktischen Gegebenheiten, nicht was man „darauf schreibt“.
2. EuGH: Verbandsklagebefugnis
Auf Vorlage des Bundesgerichtshofs (BGH, Urt. v. 10.11.2022 – I ZR 186/17) zu einem Rechtsstreit zwischen dem Verbraucherzentrale Bundesverband („vzbv“) und Meta (ehem. Facebook) hat der EuGH (EuGH, 11.07.2024 – C-757/22) entschieden, dass Verbände für betroffene Personen unter der DSGVO rechtskonforme Informationen von Unternehmen einklagen dürfen. Im Kern befasste sich der EuGH mit der Auslegung des Art. 80 Abs. 2 DSGVO und der Frage einer Verbandsklagebefugnis.
2.1. Sachverhalt
Der Bundesverband der Verbraucherzentrale hatte in dem zugrundeliegenden Rechtsstreit auf Unterlassung gegen Meta Plattform Ireland geklagt. Facebook hatte im Jahr 2013 auf der Webseite www.facebook.de im sog. „App-Zentrum“ den Nutzern kostenlose Spieleanwendungen von Drittanbietern zugänglich gemacht. Nutzer wurden bei Betreten dieses „App-Zentrums“ informiert, dass sie mit der Nutzung von bestimmten Anwendungen, Dritte zum Sammeln verschiedener persönlicher Daten berechtigen. Der BGH hielt die Klage für begründet. Fraglich war lediglich, ob die nach altem Recht zulässige Klage des Verbandes mit Inkrafttreten der DSGVO im Laufe des Verfahrens unzulässig geworden sein könnte. Entscheidend war dafür, ob der vzbv nach Art. 80 Abs. 2 DSGVO klagebefugt ist, wenn er für betroffene Personen die Verletzung von Informationspflichten geltend macht.
2.2. Entscheidungsgründe
Einigkeit besteht darüber, dass ein Verbandsklagerecht im Hinblick auf solche Normen der DSGVO, welche den Verarbeitungsvorgang regeln, existiert. Streitig ist aber, ob eine solche Verbandsklagebefugnis auch in solchen Fällen besteht, in denen nur die Verletzung von Informationspflichten (Art. 12 Abs. 1 Satz 1 sowie Art. 13 Abs. 1 Buchst. c und e DSGVO) geltend gemacht wird. Der EuGH hat diese Frage nun geklärt: Verbände sind auch im Hinblick auf die Einhaltung der Informationspflichten gegenüber den Betroffenen klagebefugt.
Zweifel an der Verbandsklagebefugnis bestanden aufgrund des Wortlauts von Art. 80 Abs. 2 DSGVO a.E., der von einer Verletzung „infolge einer Verarbeitung“ spricht. Daher wollten Teile nur solche Verarbeitungen der Verbandsklage zugänglich machen, die unmittelbar im Zusammenhang mit einer Verarbeitung gemäß Art. 4 Nr. 2 DSGVO stehen. Bei einer Verletzung von Informationspflichten durch den Verantwortlichen fehlt aber gerade dieser unmittelbare Bezug zu einer Verarbeitung.
Für eine Verbandsklagebefugnis spricht aber der Schutzzweck der DSGVO. Der EuGH führt dazu aus, dass „das Ziel der DSGVO […], insbesondere darin besteht, ein hohes Niveau des Schutzes […] bei der Verarbeitung personenbezogener Daten zu gewährleisten“. Die Präventionsfunktion der Verbandsklage gem. Art. 80 Abs. 2 DSGVO lege die Berücksichtigung des Schutzzwecks nahe.
Hinweis: Verantwortliche, die nicht ausreichend über Datenverarbeitungsvorgänge informieren, riskieren neben einer Klage durch die betroffenen Personen, dass Verbände diese Informationspflichten für eine Vielzahl betroffener Personen geltend machen. Dies erhöht das Risiko von Klagen, da Verbände bessere finanzielle und fachliche Ressourcen für Rechtsstreitigkeiten haben.