Wer als EU-Bürger den Austrag eines Onlineeintrags zur eigenen (natürlichen oder juristischen) Person gegenüber einem Suchmaschinenbetreiber nicht selbst durchsetzen kann (sogenanntes Delisting), hat nach DSGVO grundsätzlich einen Anspruch gegen seine inländische Datenschutzbehörde auf deren Mitwirkung bei der Durchsetzung des Löschungsanspruch gegen den Suchmaschinenbetreiber. So urteilte das OVG Hamburg am 07.10.2019 (Az.: 5 Bf 291/17).
Was war geschehen: Delisting
Der Kläger ist als Immobilienvermittler tätig. Über seine Tätigkeit fand er in einem Onlineforum mehrere kritische Äußerungen. Er beantragte daraufhin bei Google die Löschung, welche der Suchmaschinenbetreiber ablehnte. Auch gerichtlich ließen sich die Löschungsansprüche gegenüber Google nicht durchsetzen. Daraufhin wandte sich der Kläger an den Datenschutzbeauftragten der Hansestadt Hamburg und verlangte von ihm ein behördliches Einschreiten auf Basis der DSGVO und des deutschen Datenschutzrechts. Dieses Einschreiten lehnte der Datenschutzbeauftragte ab. Daraufhin klagte der Immobilienmakler gegen die Hamburger Datenschutzbehörde.
Urteil und Begründung
Das Hamburger OVG lehnte die Klage in diesem Einzelfall ab, da die kritischen Äußerungen im Onlineforum keine erkennbaren Unwahrheiten oder Diffamierungen des Klägers enthielten. Es stellte jedoch fest, dass Betroffene von unerlaubten Datenverarbeitungen, zu denen auch diffamierende Äußerungen in Onlineforen zu zählen sind, nach DSGVO grundsätzlich Anspruch auf Schutz durch die zuständige EU-Datenschutzbehörde haben. Diese muss versuchen, die Löschungsansprüche gegenüber dem Suchmaschinenbetreiber durchzusetzen. Diesen Verwaltungsrechtsweg sieht die DSGVO entgegen der Ansicht der Hamburger Datenschutzbehörde ausdrücklich vor.
Des Weiteren sind EU-Datenschutzbehörden laut DSGVO verpflichtet, die ablehnende Entscheidung gegen ein Delisting von Suchmaschinenbetreibern wie Google inhaltlich zu überprüfen. Die bloße Beschwerde im Sinne des Petitionsrechts sei durch die im Jahr 2018 in Kraft getretene DSGVO inzwischen überholt. So eine Beschwerde führte bestenfalls zur freiwilligen Überprüfung der verantwortlichen Stelle (in diesem Fall: Google), nicht aber zu einem gerichtlich durchsetzbaren Anspruch darauf, dass die verantwortliche Stelle eine konkrete Maßnahme durchführt, um Datenschutz- oder Persönlichkeitsrechtsverletzungen zu beheben.
Die seit Inkrafttreten der DSGVO geltende Rechtslage habe diesen unbefriedigenden Zustand inzwischen aufgehoben. Gegenwärtige Beschwerden nach Artikel 77 DSGVO („Recht auf Beschwerde“) erwirken einen Anspruch auf wirksamen Rechtsschutz (Artikel 78 Absatz 2 DSGVO). Immerhin sei auch die Ablehnung der betreffenden Beschwerde wie im vorliegenden Fall ein „rechtsverbindlicher Beschluss“ der zuständigen Behörde (Hamburger Datenschutzbeauftragter). Für diese Auslegung gibt es Gründe: Die DSGVO sieht eine Rechtsschutzmöglichkeit vor, wenn die Beschwerde eines Betroffenen ganz oder teilweise abgelehnt wurde. Diese Rechtsschutzmöglichkeit müssen betroffene EU-Bürger und -Unternehmen bei einer Aufsichtsbehörde in denjenigem Mitgliedsstaat der EU beanspruchen können, in dem sie ihren gewöhnlichen Aufenthalt haben. Artikel 47 sieht den gerichtlichen Rechtsbehelf bei Verletzung von DSGVO-Rechten vor. Gegen die Aufsichtsbehörde ist demnach Klage möglich, wenn sie eine Beschwerde gar nicht verfolgt oder ablehnt (DSGVO-Erwägungsgrund 141).
Zuständigkeit von EU-Behörden gegenüber Google
Zur Zuständigkeit des Hamburgischen Datenschutzbeauftragten merkte das Gericht an, diese sei gegeben, auch wenn Google keinen Hauptsitz in Deutschland habe. Das Verfahren lässt sich auf eine inländische EU-Datenschutzbehörde nach Artikel 56 Absätze 2 bis 5 DSGVO übertragen. Selbst wenn das zuständige Unternehmen in der gesamten EU keinen Hauptsitz hat, sind EU-Datenschutzbehörden nach Artikel 55 DSGVO zuständig. Google hat aber einen europäischen Hauptsitz in Irland. Die irische Aufsichtsbehörde ist nach DSGVO berechtigt, betreffende Verfahren an die Behörden anderer EU-Mitgliedsstaaten abzugeben.
