EuGH: Datenverarbeitung durch Muttergesellschaft erfolgt „im Rahmen der Tätigkeit“ einer werbenden Tochtergesellschaft

Mit Urteil vom 13.5.2014 (Az. C-131/12, Volltext) hat sich der EuGH in einem Vorabentscheidungsverfahren überraschend zur Reichweite des Merkmals der Datenverarbeitung „im Rahmen der Tätigkeiten einer Niederlassung“ im Sinne des Art. 4 Abs. 1 Buchst. a DSRL geäußert. Um eine solche Tätigkeit handele es sich, wenn die Muttergesellschaft Daten verarbeitet, die im engen Zusammenhang mit der Werbetätigkeit der Niederlassung (Tochtergesellschaft) stehen. Das Urteil, das sich im Kern mit der Pflicht eines Suchmaschinenbetreibers zur Löschung von Links aus seinen Indizes befasst, dürfte auch für die Datenverarbeitung in anderen Social Media die Werbeflächen unterhalten, vor allem soziale Netzwerke, erhebliche Bedeutung erlangen.

Gegenstand des Ausgangsverfahrens, Vorlagefrage

Gegenstand des Ausgangsverfahrens ist eine Streitigkeit zwischen Google (in Person der Google Inc., Kalifornien, und der Google Spain SL, Madrid) und der spanischen Datenschutzagentur (Agencia Española de Protección de Datos, AEPD) sowie dem Betroffenen. Über den Betroffenen wurden 1998, soweit ersichtlich rechtskonform, im Zusammenhang mit der Versteigerung einer Immobilie und Pfändung wegen Sozialversicherungsschulden, personenbezogene Daten durch eine spanische Tageszeitung veröffentlicht. Die Auflagen erschienen zunächst in Printform und wurden später in elektronischer Form neu aufgelegt. Die so elektronisch veröffentlichten Mitteilungen nahm Google in den Index seiner Suchmaschine auf, so dass sie bei einer Suche nach dem Namen des Betroffenen gefunden und über einen Link aufgerufen werden konnten. Die AEPD gab Google auf, den Link aus dem Index seiner Suchmaschine zu entfernen. Hiergegen wendet sich Google klageweise vor dem spanischen Obergericht.

Das spanische Obergericht legte das Verfahren dem EuGH u.a. mit der Frage vor, ob eine

„Niederlassung“ im Sinne von Art. 4 Abs. 1 Buchst. a der Richtlinie 95/46 [besteht], wenn eine oder mehrere der nachstehenden Fallgestaltungen vorliegen:
– wenn das die Suchmaschine betreibende Unternehmen in einem Mitgliedstaat für die Förderung des Verkaufs der Werbeflächen der Suchmaschine und diesen Verkauf selbst eine Zweigniederlassung oder Tochtergesellschaft gründet, deren Tätigkeit auf die Einwohner dieses Staats ausgerichtet ist, […]

Weitere Vorlagefragen betrafen, soweit sie vom Gerichtshof zu beantworten waren, die Frage ob das Betreiben einer Suchmaschine eine Datenverarbeitung darstellt, und ob der Betreiber Verantwortlicher i.S.d. Art. 2 Buchst. d DSRL ist, sowie die Frage, ob Art. 12 Buchst. b, Art. 14 Buchst. a DSRL dem Betroffenen ein Recht auf Löschung solcher Einträge, die er als schädlich empfindet oder nicht veröffentlicht wünscht, auch dann gibt, wenn sie von ursprünglich rechtmäßig veröffentlicht wurden. Beide Fragen hat der Gerichtshof, insb. hinsichtlich der Beurteilung von Google als Verantwortlichem i.S.d. Art. 2 Buchst. d DSRL abweichend von den Schlussanträgen des Generalanwalts, bejaht. Heise berichtet darüber.

Schlussanträge des Generalanwalts

Soweit es die hier besprochene Vorlagefrage betrifft, führte der Generalanwalt Jääskinen in seinen Schlussanträgen vom 25.6.2013 (Volltext) im Wesentlichen aus:

Die Muttergesellschaft betreibe in Spanien kein Rechenzentrum. Es sei nicht bekannt wo die Suchmaschinenfunktionen berechnet werden, Google selbst mache geltend, in Spanien fände keine Datenverarbeitung im Zusammenhang mit der Suchmaschine statt (Rn. 62). Wegen des Geschäftsmodells von Suchmaschinenbetreibern, das auf die Platzierung von Werbung ausgerichtet sei (Rn. 49, 64 f.), müsse jedoch die Frage nach der Reichweite von Art. 4 Abs. 1 Buchst. a DSRL unter Berücksichtigung des Geschäftsmodells von Google beantwortet werden. Dabei sei Google als Wirtschaftsteilnehmer als Einheit seiner Gesellschaften anzusehen (Rn. 66), deren einzelne Beiträge zum gemeinsamen Geschäftszweck keine differenzierte Betrachtung erfordern. Die Verarbeitung personenbezogener Daten durch Google Inc., die notwendig ist um die durch Google Spain SL verkauften Werbeflächen gezielt zu bestücken, erfolge „im Rahmen einer Tätigkeit“ der Google Spain SL als Niederlassung i.S.d. Art. 4 Abs. 1 Buchst. a DSRL (Rn. 68).

Urteil des EuGH

Der Gerichtshof hat sich in seinem Urteil vom 13.5.2014 den Anträgen des Generalanwalts bei der Beantwortung der hier besprochenen Vorlagefrage angeschlossen. Die Verarbeitung personenbezogener Daten müsse nicht „von“ sondern lediglich „im Rahmen der Tätigkeit“ der Niederlassung durchgeführt werden (Rn. 52), wobei diese Formulierung zur Erreichung eines „wirksamen und umfassenden Schutzes der Grundfreiheiten und Grundrechte“ nicht eng ausgelegt werden dürfe (Rn. 53). Die Verarbeitung solcher personenbezogener Daten, die zum (wirtschaftlichen) Betrieb der Suchmaschine notwendig sind, dürften daher dem Anwendungsbereich der DSRL nicht entzogen werden (Rn. 58).

Denn

im Hinblick auf dieses Ziel der Richtlinie 95/46 und den Wortlaut ihres Art. 4 Abs. 1 Buchst. a ist davon auszugehen, dass die Verarbeitung personenbezogener Daten, die für den Dienst einer Suchmaschine wie Google Search erfolgt, die von einem Unternehmen betrieben wird, das seinen Sitz in einem Drittstaat hat, jedoch in einem Mitgliedstaat über eine Niederlassung verfügt, „im Rahmen der Tätigkeiten“ dieser Niederlassung ausgeführt wird, wenn diese die Aufgabe hat, in dem Mitgliedstaat für die Förderung des Verkaufs der angebotenen Werbeflächen der Suchmaschine, mit denen die Dienstleistung der Suchmaschine rentabel gemacht werden soll, und diesen Verkauf selbst zu sorgen (Rn. 55).
Unter solchen Umständen sind nämlich die Tätigkeiten des Suchmaschinenbetreibers und die seiner Niederlassung in dem betreffenden Mitgliedstaat untrennbar miteinander verbunden, da die die Werbeflächen betreffenden Tätigkeiten das Mittel darstellen, um die in Rede stehende Suchmaschine wirtschaftlich rentabel zu machen, und die Suchmaschine gleichzeitig das Mittel ist, das die Durchführung dieser Tätigkeiten ermöglicht (Rn. 56).

Kontext des Urteils, Auswirkungen auf die Praxis

Das Urteil baut auf der Lindqvist-Entscheidung des EuGH (Urt. v. 6.11.2003 – C‑101/01, Volltext) auf und entwickelt die Rechtsprechung zur Verarbeitung personenbezogener Daten durch das Veröffentlichen auf Websites fort. Der Gerichtshof überholt damit die nationale Rechtsprechung, nach der auf Facebook deutsches Datenschutzrecht nicht anwendbar sei, da die Facebook Germany GmbH, Hamburg, lediglich Anzeigenakquise betreibe (OVG Schleswig-Holstein, Beschl. v. 22.4.2013 – 4 MB 11/13, Rn. 14, 16). In diese Richtung entschied hinsichtlich des „Freundefinders“ auch schon das KG Berlin (Urt. v. 24.1.2014 – 5 U 42/12), noch unter – nunmehr womöglich nicht mehr notwendigem – Rückgriff auf Art. 4 Abs. 1 Buchst. c DSRL.

Die vom Gerichtshof in seinem Urteil aufgestellten Grundsätze zum Betrieb von Suchmaschinen lassen sich auch auf andere Social Media übertragen. Gerade bei sozialen Netzwerken ist der Zusammenhang zwischen der Verarbeitung personenbezogener Daten durch die Muttergesellschaft zur Erfüllung vertraglicher Verpflichtungen der Kunden der Tochtergesellschaften (vgl. OVG Schleswig-Holstein, a.a. O. Rn. 6) offenkundig (s. nur Ziff. 10 der Nutzungsbedingungen von Facebook). Für die Praxis bedeutet das Urteil des EuGH daher eine neue Konturierung des anwendbaren Datenschutzrechts nicht nur Suchmaschinen, sondern auch im Bereich werbefinanzierter Social Media. Anwendbar ist das Recht jeweils desjenigen Staates, auf den der Betreiber seine Geschäftstätigkeit durch Gründung von Niederlassungen ausrichtet, wenn deren Tätigkeiten zur wirtschaftlichen Verwertung der personenbezogenen Daten gerade notwendig ist.

Eine Flucht in das Datenschutzrecht anderer Staaten dürfte damit passé sein.