Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Kategorie: Betroffenenrechte

  • EuGH: Missbräuchliche Auskunftsersuchen – kein Schadensersatz

    Viele Unternehmen kennen das Muster: Jemand meldet sich zum Newsletter an, stellt kurz darauf ein Auskunftsersuchen nach Art. 15 DSGVO und fordert bei der kleinsten Verzögerung Schadensersatz. Mit Urteil vom 19. März 2026 (Rs. C-526/24, Brillen Rottler) hat der Gerichtshof der Europäischen Union entschieden, dass ein solches Vorgehen rechtsmissbräuchlich sein kann, und zwar schon beim ersten Auskunftsersuchen.

    Der Fall

    Eine in Österreich lebende Person hatte den Newsletter eines Augenoptikers aus Arnsberg abonniert und 13 Tage später Auskunft über ihre Daten verlangt. Das Unternehmen lehnte das Ersuchen als missbräuchlich ab. Es verwies auf öffentlich zugängliche Berichte, wonach die Person systematisch Newsletter verschiedener Unternehmen abonniere, Auskunft verlange und anschließend Schadensersatz fordere. Die Person verlangte mindestens 1.000 Euro für einen immateriellen Schaden. Das Amtsgericht Arnsberg legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Art. 12 Abs. 5 DSGVO erfasst nicht nur wiederholte Anfragen. Auch ein erstes Auskunftsersuchen ist ausnahmsweise missbräuchlich, wenn es nicht der Kontrolle der Datenverarbeitung dient, sondern nur die Grundlage für einen späteren Schadensersatzanspruch schaffen soll, selbst wenn es die formalen Voraussetzungen erfüllt.
    • Hinweise auf ein systematisches Vorgehen, etwa frühere Auskunftsersuchen gegenüber anderen Unternehmen mit anschließenden Schadensersatzforderungen, dürfen in die Bewertung einfließen, auch wenn sie aus öffentlichen Quellen stammen.
    • Ein Anspruch setzt einen tatsächlichen materiellen oder immateriellen Schaden voraus; ein bloßer Verstoß genügt nicht.
    • Ist das Verhalten der betroffenen Person selbst die maßgebliche Ursache des geltend gemachten Schadens, besteht kein Anspruch.
    • Die Ablehnung wegen Missbrauchs bleibt die Ausnahme. Der Verantwortliche muss den Missbrauch im Einzelfall nachweisen.

    Einordnung

    Das Urteil ist eine wichtige Grenzziehung. Das Auskunftsrecht bleibt ein starkes Recht, für dessen Geltendmachung grundsätzlich keine Begründung erforderlich ist. Es darf aber nicht als Geschäftsmodell zur Erzeugung von Schadensersatzansprüchen missbraucht werden. Damit fügt sich die Entscheidung in die Linie ein, wonach der Schadensersatz nach Art. 82 DSGVO eine reine Ausgleichsfunktion hat; siehe unsere Zwischenbilanz zum DSGVO-Schadensersatz.

    Was bedeutet das für Unternehmen?

    • Der Regelfall ist und bleibt die fristgerechte, vollständige Auskunft; siehe unseren Leitfaden „Auskunftsersuchen richtig beantworten“. Vorschnelle Ablehnungen sind riskant.
    • Wer ein missbräuchliches Vorgehen vermutet, sollte die Anhaltspunkte sorgfältig sammeln: zeitlicher Zusammenhang, standardisierte Schreiben, öffentlich bekannte Serienforderungen.
    • Eine unberechtigte Ablehnung kann ihrerseits einen Verstoß darstellen. Im Zweifel empfiehlt sich rechtlicher Rat.

    Was bedeutet das für Betroffene?

    Für die große Mehrheit der Betroffenen ändert sich nichts. Wer wissen möchte, was über ihn gespeichert ist, kann dies weiterhin ohne Begründung verlangen. Wie das geht, erklären wir in „Datenauskunft verlangen“.

    Unternehmen haben damit ein Instrument gegen Serienforderungen, müssen den Missbrauch aber im Einzelfall belegen. Erhalten Sie auffällige Auskunfts- und Schadensersatzforderungen, prüfen wir, ob ein Missbrauch vorliegt. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • Widerspruch nach Art. 21 DSGVO: Werbung und Profiling stoppen

    Werbepost, die man nie bestellt hat, Anrufe von Unternehmen, mit denen man vor Jahren einmal Kontakt hatte, personalisierte Angebote auf Grundlage des eigenen Kaufverhaltens: Viele Menschen möchten das nicht. Die DSGVO gibt ihnen mit dem Widerspruchsrecht nach Art. 21 ein einfaches und wirksames Mittel an die Hand. Anders als bei der Einwilligung müssen Betroffene hier nicht erst gefragt werden, sondern können selbst aktiv werden.

    Wann besteht ein Widerspruchsrecht?

    Art. 21 DSGVO unterscheidet zwei Situationen:

    • Bei Direktwerbung (Art. 21 Abs. 2 und 3 DSGVO), ob per Post, Telefon oder E-Mail, können Sie jederzeit und ohne Begründung widersprechen. Das gilt auch für Profiling, soweit es mit der Direktwerbung zusammenhängt. Nach einem Widerspruch dürfen die Daten für diese Zwecke nicht mehr verarbeitet werden. Eine Abwägung findet nicht statt.
    • Stützt sich die Verarbeitung auf berechtigte Interessen oder öffentliche Aufgaben (Art. 21 Abs. 1 DSGVO), müssen Sie Gründe vortragen, die sich aus Ihrer besonderen Situation ergeben. Das Unternehmen darf die Verarbeitung dann nur fortsetzen, wenn es zwingende schutzwürdige Gründe nachweist, die Ihre Interessen überwiegen, oder wenn die Verarbeitung der Rechtsverfolgung dient.

    Widerspruch oder Widerruf?

    Beruht die Verarbeitung auf Ihrer Einwilligung, etwa beim Newsletter, sprechen Juristen vom Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO). Beruht sie auf berechtigten Interessen des Unternehmens, etwa bei Postwerbung an Bestandskunden, ist der Widerspruch das richtige Mittel. In der Praxis ist die Bezeichnung zweitrangig: Machen Sie unmissverständlich klar, dass Sie die Nutzung Ihrer Daten für Werbung nicht mehr wünschen. Hintergründe zur Einwilligung finden Sie in unserem Beitrag „Einwilligung nach DSGVO wirksam einholen“.

    So legen Sie Widerspruch ein

    1. Schreiben Sie an das Unternehmen; eine E-Mail genügt. Nennen Sie Name, Anschrift und gegebenenfalls Kundennummer.
    2. Formulieren Sie klar: „Ich widerspreche der Verarbeitung meiner personenbezogenen Daten für Zwecke der Direktwerbung einschließlich Profiling gemäß Art. 21 Abs. 2 DSGVO.“
    3. Verlangen Sie eine Bestätigung und gegebenenfalls Auskunft, woher das Unternehmen Ihre Daten hat.
    4. Bewahren Sie einen Nachweis des Versands auf.

    Was, wenn trotzdem weiter Werbung kommt?

    Dann liegt ein Datenschutzverstoß vor. Sie können sich bei der Aufsichtsbehörde beschweren, Unterlassung verlangen und unter Umständen Schadensersatz fordern. Der EuGH hat entschieden, dass sich Unternehmen in einem solchen Fall nicht einfach darauf berufen können, ein Mitarbeiter habe weisungswidrig gehandelt; mehr dazu in unserem Beitrag zum juris-Urteil.

    Pflichten der Unternehmen

    • Spätestens bei der ersten Kommunikation muss ausdrücklich, verständlich und getrennt von anderen Informationen auf das Widerspruchsrecht hingewiesen werden (Art. 21 Abs. 4 DSGVO).
    • Widersprüche müssen dauerhaft umgesetzt werden. Dafür darf ein minimaler Datensatz in einer Sperrliste gespeichert werden, damit die Person nicht erneut angeschrieben wird.
    • Lettershops, Callcenter und Newsletter-Tools müssen Widersprüche ebenfalls berücksichtigen.
    • Wie bei anderen Betroffenenrechten gilt die Monatsfrist des Art. 12 Abs. 3 DSGVO.

    Möchten Betroffene darüber hinaus die vollständige Löschung ihrer Daten, ist zusätzlich ein Löschantrag sinnvoll; siehe „Recht auf Löschung“.

    Gegen Direktwerbung wirkt der Widerspruch ohne Begründung und ohne Abwägung. Kommt trotzdem weiter Werbung, oder möchten Sie als Unternehmen Ihre Werbeprozesse und Sperrlisten rechtssicher aufstellen, sprechen Sie uns an: Kontaktformular oder Terminbuchung.

  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO) einfach erklärt

    Der Wechsel des Stromanbieters, der Fitness-App oder des Online-Dienstes soll nicht daran scheitern, dass die eigenen Daten beim alten Anbieter „gefangen“ sind. Deshalb gibt Art. 20 DSGVO Betroffenen das Recht auf Datenübertragbarkeit. Es gehört zu den weniger bekannten Betroffenenrechten und wird in der Praxis oft mit dem Auskunftsrecht verwechselt.

    Was umfasst das Recht?

    Betroffene können verlangen, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie dürfen diese Daten einem anderen Verantwortlichen übermitteln. Soweit technisch machbar, können sie auch verlangen, dass die Daten direkt von einem Anbieter an den anderen übermittelt werden.

    Wann gilt das Recht?

    Das Recht ist an drei Voraussetzungen geknüpft:

    1. Die Verarbeitung beruht auf einer Einwilligung oder einem Vertrag (nicht etwa auf berechtigten Interessen oder gesetzlichen Pflichten).
    2. Die Verarbeitung erfolgt mithilfe automatisierter Verfahren, also nicht in Papierakten.
    3. Es geht um Daten, die die Person selbst bereitgestellt hat. Dazu zählen aktiv eingegebene Daten (z. B. Profilangaben) und nach überwiegender Auffassung auch Daten, die durch die Nutzung eines Dienstes beobachtet werden (z. B. Nutzungsverläufe, Messwerte eines Fitness-Trackers). Nicht erfasst sind dagegen vom Unternehmen abgeleitete Daten wie Scores oder Bewertungen.

    Abgrenzung zum Auskunftsrecht

    Das Auskunftsrecht nach Art. 15 DSGVO dient der Transparenz: Betroffene sollen erfahren, welche Daten verarbeitet werden. Es ist weiter, umfasst auch abgeleitete Daten und gilt unabhängig von der Rechtsgrundlage. Die Datenübertragbarkeit dient dagegen der Wiederverwendung: Die Daten sollen in einem Format bereitgestellt werden, das ein anderer Anbieter einlesen kann. Zur Auskunft siehe unseren Beitrag „Datenauskunft verlangen“.

    Welches Format ist geschuldet?

    Die DSGVO schreibt kein bestimmtes Format vor. „Strukturiert, gängig und maschinenlesbar“ sind etwa CSV-, JSON- oder XML-Dateien. Ein PDF oder ein Screenshot genügt in der Regel nicht, weil sich die Daten nicht ohne Weiteres weiterverarbeiten lassen.

    Hinweise für Unternehmen

    • Anfragen sind wie andere Betroffenenanfragen innerhalb eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO).
    • Die Identität des Anfragenden ist angemessen zu prüfen.
    • Rechte und Freiheiten Dritter dürfen nicht beeinträchtigt werden, etwa wenn exportierte Daten Informationen über andere Personen enthalten.
    • Eine Exportfunktion im Kundenkonto kann den Aufwand erheblich reduzieren.
    • Die Datenübertragbarkeit bedeutet nicht automatisch die Löschung beim bisherigen Anbieter. Dafür ist ein gesonderter Löschantrag erforderlich.

    Ausblick: Data Act

    Ab dem 12. September 2025 gilt der europäische Data Act. Er gewährt Nutzern vernetzter Produkte eigene Zugangs- und Weitergaberechte, die über Art. 20 DSGVO hinausgehen und auch nicht personenbezogene Daten erfassen. Wir werden darüber gesondert berichten.

    Anbieter von Online-Diensten mit Kundenkonten fahren gut mit einer einfachen Exportfunktion und einem festgelegten Ablauf für solche Anfragen. Wir unterstützen Betroffene beim Anbieterwechsel ebenso wie Unternehmen bei der Beantwortung von Anfragen nach Art. 20 DSGVO. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • EuGH Dun & Bradstreet: Recht auf Erklärung beim Bonitäts-Scoring

    Ein Mobilfunkvertrag wird abgelehnt, Begründung: „mangelnde Bonität“. Wie dieses Ergebnis zustande kam, bleibt für Betroffene meist im Dunkeln. Der Gerichtshof der Europäischen Union hat mit Urteil vom 27. Februar 2025 (Rs. C-203/22, Dun & Bradstreet Austria) klargestellt, welche Erklärung Betroffene bei automatisierten Entscheidungen verlangen können und wie sich dieses Recht zu Geschäftsgeheimnissen verhält.

    Der Fall

    Einer Kundin wurde in Österreich ein Mobilfunkvertrag verweigert. Grundlage war eine automatisierte Bonitätsbeurteilung der Wirtschaftsauskunftei Dun & Bradstreet Austria. Die Kundin verlangte Auskunft über die Logik der Entscheidung. Die Auskunftei verweigerte nähere Angaben unter Berufung auf Geschäftsgeheimnisse und eine österreichische Vorschrift, die das Auskunftsrecht in solchen Fällen generell ausschloss. Das Verwaltungsgericht Wien legte dem EuGH Fragen vor.

    Die Kernaussagen

    • Nach Art. 15 Abs. 1 lit. h DSGVO hat die betroffene Person Anspruch auf aussagekräftige Informationen über die involvierte Logik. Der Verantwortliche muss das Verfahren und die Grundsätze, die konkret angewandt wurden, in präziser, transparenter, verständlicher und leicht zugänglicher Form erläutern.
    • Die Erklärung muss zeigen, welche personenbezogenen Daten wie verwendet wurden. Beim Profiling kann es genügen darzulegen, inwieweit eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte. Die bloße Übermittlung einer komplexen mathematischen Formel oder einer detaillierten Beschreibung aller Rechenschritte genügt nicht. Der Algorithmus selbst muss nicht offengelegt werden.
    • Beruft sich der Verantwortliche auf Geschäftsgeheimnisse, darf er die Auskunft nicht einfach verweigern. Die betreffenden Informationen sind der zuständigen Aufsichtsbehörde oder dem Gericht vorzulegen, die die widerstreitenden Interessen im Einzelfall abwägen.
    • Nationale Regelungen, die das Auskunftsrecht bei Geschäftsgeheimnissen generell ausschließen, sind mit der DSGVO unvereinbar.

    Einordnung

    Das Urteil knüpft an das SCHUFA-Urteil vom Dezember 2023 an, in dem der EuGH Scoring als automatisierte Entscheidung eingeordnet hatte. Nun ist auch klar, was Betroffene in solchen Fällen erfahren dürfen. Die Grundsätze dürften über Auskunfteien hinaus für jede automatisierte Entscheidung im Sinne von Art. 22 DSGVO Bedeutung haben, etwa bei Online-Kreditvergaben, Versicherungen oder KI-gestützter Bewerberauswahl.

    Was bedeutet das für Unternehmen?

    • Wer automatisierte Entscheidungen trifft oder Scores nutzt, muss in der Lage sein, das Zustandekommen des Ergebnisses verständlich zu erklären.
    • Erklärungsmodelle sollten vorab entwickelt und dokumentiert werden, auch bei KI-gestützten Systemen.
    • Geschäftsgeheimnisse sind zu identifizieren; im Streitfall muss man bereit sein, sie Behörden oder Gerichten offenzulegen.
    • Die Auskunftsprozesse sollten entsprechend angepasst werden; siehe unseren Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

    Was bedeutet das für Betroffene?

    Wer aufgrund eines Scores abgelehnt wird, kann eine nachvollziehbare Erklärung verlangen, welche Daten maßgeblich waren und wie sie das Ergebnis beeinflusst haben. Eine Anleitung für das Auskunftsersuchen finden Sie in unserem Beitrag „Datenauskunft verlangen“.

    Geschäftsgeheimnisse schützen den Algorithmus, aber nicht vor jeder Transparenz. Wurden Sie aufgrund eines Scores abgelehnt, oder setzen Sie selbst automatisierte Entscheidungen ein, beraten wir Sie zu Auskunft und Erklärungspflichten. Kontaktformular oder Online-Termin.

  • Datenauskunft verlangen: So nutzen Sie Ihr Recht aus Art. 15 DSGVO

    Versicherung, Online-Händler, Auskunftei, Fitnessstudio, früherer Arbeitgeber: Jedes Unternehmen, das Ihre personenbezogenen Daten verarbeitet, muss Ihnen auf Anfrage mitteilen, welche Daten es über Sie gespeichert hat und was es damit macht. Das Auskunftsrecht nach Art. 15 DSGVO ist kostenlos, an keine Form gebunden und der Schlüssel zu allen weiteren Datenschutzrechten. So gehen Sie vor.

    Was Ihnen zusteht

    • die Bestätigung, ob überhaupt Daten über Sie verarbeitet werden,
    • die Daten selbst sowie eine Kopie (Art. 15 Abs. 3 DSGVO),
    • die Zwecke der Verarbeitung und die Kategorien der Daten,
    • die Empfänger, an die Daten weitergegeben wurden,
    • die geplante Speicherdauer,
    • die Herkunft der Daten, wenn sie nicht von Ihnen stammen,
    • Informationen über automatisierte Entscheidungen einschließlich Profiling, etwa beim Scoring.

    Der Bundesgerichtshof hat entschieden, dass der Anspruch weit reicht und auch Korrespondenz und interne Vermerke umfassen kann; mehr in unserem Beitrag „BGH: Auskunftsanspruch umfasst auch Korrespondenz und Vermerke“. Der EuGH hat zudem klargestellt, dass die erste Kopie unentgeltlich ist und Sie Ihre Gründe für das Auskunftsverlangen grundsätzlich nicht darlegen müssen.

    So formulieren Sie Ihr Ersuchen

    1. Schreiben Sie an den richtigen Adressaten. Die Kontaktdaten des Verantwortlichen bzw. Datenschutzbeauftragten finden Sie in der Datenschutzerklärung.
    2. Identifizieren Sie sich eindeutig mit Name, Anschrift, E-Mail-Adresse und Kunden- oder Vertragsnummer. Eine Ausweiskopie schicken Sie nur, wenn wirklich Zweifel an Ihrer Identität bestehen, und schwärzen dann nicht benötigte Angaben.
    3. Fragen Sie konkret: „Ich bitte um Auskunft nach Art. 15 DSGVO über alle zu meiner Person gespeicherten Daten sowie um eine Kopie dieser Daten.“
    4. Das Unternehmen muss innerhalb eines Monats antworten. Nennen Sie das konkrete Datum.
    5. Versenden Sie das Ersuchen so, dass Sie den Zugang belegen können.

    Was tun, wenn keine oder eine unvollständige Antwort kommt?

    Erinnern Sie das Unternehmen nach Fristablauf einmal schriftlich. Bleibt es dann bei Schweigen oder einer offensichtlich unvollständigen Auskunft, können Sie

    • eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einreichen (kostenlos),
    • den Anspruch gerichtlich durchsetzen,
    • gegebenenfalls Schadensersatz nach Art. 82 DSGVO prüfen lassen, wenn Ihnen durch die Verweigerung ein Schaden entstanden ist.

    Grenzen des Auskunftsrechts

    Das Unternehmen darf Daten Dritter schwärzen und Geschäftsgeheimnisse schützen. Bei offenkundig unbegründeten oder exzessiven, insbesondere häufig wiederholten Anfragen kann es ein angemessenes Entgelt verlangen oder die Auskunft verweigern (Art. 12 Abs. 5 DSGVO). Die Beweislast dafür trägt aber das Unternehmen.

    Der nächste Schritt: Berichtigung, Löschung, Widerspruch

    Mit der Auskunft wissen Sie, welche Daten gespeichert sind. Sind sie falsch, können Sie Berichtigung verlangen. Werden sie nicht mehr benötigt, steht Ihnen häufig ein Löschanspruch zu; siehe „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“. Bei Auskunfteien lohnt ein Blick auf die Entscheidungen des EuGH zum SCHUFA-Scoring und zur Restschuldbefreiung.

    Meist genügt ein kurzes, klares Schreiben mit Fristsetzung. Wird Ihr Ersuchen ignoriert oder nur unvollständig beantwortet, setzen wir Ihre Rechte außergerichtlich und vor Gericht durch. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Informationspflichten nach Art. 13 DSGVO: Datenschutzhinweise offline

    Bei Datenschutzhinweisen denken die meisten an die Datenschutzerklärung auf der Website. Die Informationspflichten der DSGVO gelten aber unabhängig vom Kanal. Wer am Telefon einen Termin vereinbart, im Laden eine Kundenkarte ausfüllen lässt oder auf der Baustelle einen Auftrag aufnimmt, erhebt ebenfalls personenbezogene Daten und muss die Betroffenen informieren. Gerade kleine Betriebe übersehen das häufig.

    Wann muss informiert werden?

    Werden Daten direkt bei der betroffenen Person erhoben, ist sie nach Art. 13 DSGVO zum Zeitpunkt der Erhebung zu informieren. Stammen die Daten aus anderen Quellen, etwa von einem Auftraggeber, einem Adresshändler oder aus öffentlichen Verzeichnissen, gilt Art. 14 DSGVO: Die Information muss dann innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats, erfolgen. Eine Pflicht entfällt nur, soweit die Person bereits über die Informationen verfügt.

    Welche Inhalte sind nötig?

    Die Pflichtangaben entsprechen denen der Website-Datenschutzerklärung: Verantwortlicher, gegebenenfalls Datenschutzbeauftragter, Zwecke und Rechtsgrundlagen, Empfänger, Drittlandübermittlungen, Speicherdauer, Betroffenenrechte und Beschwerderecht. Eine ausführliche Liste finden Sie in unserem Beitrag „Datenschutzerklärung für die Website: Diese Angaben sind Pflicht“.

    Das Mehrebenen-Modell

    Niemand erwartet, dass Sie einem Kunden am Telefon zwei Seiten Datenschutzhinweise vorlesen. Die Aufsichtsbehörden akzeptieren ein gestuftes Vorgehen: Auf der ersten Ebene werden die wichtigsten Informationen kurz mitgeteilt, also wer die Daten verarbeitet, wozu, und wo es die vollständigen Informationen gibt. Auf der zweiten Ebene stehen die vollständigen Hinweise bereit, etwa als Aushang, Handzettel, auf der Website oder auf Wunsch per Post.

    Praxisbeispiele

    • Bei der telefonischen Terminvereinbarung genügt ein kurzer Hinweis („Ihre Daten verwenden wir zur Terminplanung, Infos zum Datenschutz finden Sie auf unserer Website oder wir senden sie Ihnen zu“); die vollständigen Hinweise folgen mit der Terminbestätigung.
    • Im Ladengeschäft mit Kundenkarte gehören die Datenschutzhinweise auf das Anmeldeformular oder auf ein separates Blatt; für Werbung ist eine gesonderte Einwilligung nötig.
    • Handwerksbetriebe drucken die Hinweise auf die Rückseite des Angebots oder legen sie der Auftragsbestätigung bei.
    • In der Arztpraxis bieten sich ein Aushang im Wartebereich und ein Merkblatt bei der Anmeldung an.
    • Bei Videoüberwachung ist ein Hinweisschild vor dem überwachten Bereich anzubringen; siehe unseren Beitrag zur Videoüberwachung im Laden oder in der Praxis.

    Beschäftigte und Bewerber nicht vergessen

    Auch gegenüber Beschäftigten und Bewerbern bestehen Informationspflichten. Viele Unternehmen händigen neuen Mitarbeitenden daher mit dem Arbeitsvertrag ein Informationsblatt zur Datenverarbeitung im Beschäftigungsverhältnis aus. Für Bewerber empfiehlt sich ein Hinweis in der Eingangsbestätigung; Einzelheiten in unserem Beitrag zu Bewerberdaten.

    Typische Fehler

    • Keine Hinweise außerhalb der Website.
    • Veraltete Hinweise, die neue Dienstleister oder Software nicht erwähnen.
    • Information erst nach Wochen oder gar nicht, wenn Daten von Dritten stammen.
    • Unverständliche Fachsprache statt klarer, einfacher Formulierungen.

    Mit einem Mehrebenen-Modell und einigen Standardtexten für Telefon, Formulare und Aushänge sind die Anforderungen ohne großen Aufwand zu erfüllen. Diese Texte erstellen wir gern für Ihren Betrieb, für Kunden ebenso wie für Beschäftigte und Bewerber. Kontakt · Termin buchen

  • EuGH zur SCHUFA: Scoring als automatisierte Entscheidung

    Beim Kredit, beim Handyvertrag und bei der Mietwohnung entscheidet der SCHUFA-Score in Deutschland oft mit darüber, ob jemand einen Vertrag erhält. Am 7. Dezember 2023 hat der Gerichtshof der Europäischen Union gleich zwei wichtige Urteile zu den Praktiken von Wirtschaftsauskunfteien gefällt: zum Scoring (Rs. C-634/21) und zur Speicherung von Informationen über eine erteilte Restschuldbefreiung (verbundene Rs. C-26/22 und C-64/22). Beide stärken die Rechte von Verbraucherinnen und Verbrauchern. Scoring ist danach nicht verboten, aber an strenge Voraussetzungen geknüpft.

    Urteil 1: Scoring kann eine automatisierte Entscheidung sein

    Im ersten Verfahren war einer Person ein Kredit verweigert worden, nachdem die Bank einen negativen Score der SCHUFA erhalten hatte. Sie verlangte von der SCHUFA Auskunft und Löschung. Art. 22 DSGVO verbietet grundsätzlich Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und der betroffenen Person gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Die SCHUFA argumentierte, sie selbst treffe keine Entscheidung, das tue die Bank.

    Der EuGH sah das anders: Bereits die automatisierte Ermittlung eines Wahrscheinlichkeitswerts durch eine Auskunftei ist eine „automatisierte Entscheidung im Einzelfall“, wenn ein Dritter, dem dieser Wert übermittelt wird, ihn maßgeblich für seine Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses heranzieht. Damit ist Scoring in solchen Fällen nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 DSGVO greift, etwa eine mitgliedstaatliche Regelung mit angemessenen Schutzmaßnahmen. Ob § 31 BDSG eine solche taugliche Grundlage ist, muss das vorlegende Verwaltungsgericht prüfen; der EuGH äußerte daran erhebliche Zweifel.

    Urteil 2: Restschuldbefreiung nur so lange wie im öffentlichen Register

    Im zweiten Verfahren ging es um die Praxis, Informationen über eine erteilte Restschuldbefreiung aus dem öffentlichen Insolvenzregister zu übernehmen und drei Jahre lang zu speichern, während das öffentliche Register sie nach sechs Monaten löscht. Der EuGH entschied: Eine private Auskunftei darf diese Daten nicht länger speichern als das öffentliche Register. Die Restschuldbefreiung soll es Betroffenen ermöglichen, sich wieder am Wirtschaftsleben zu beteiligen; sie ist für sie daher von existenzieller Bedeutung. Nach Ablauf der sechs Monate besteht ein Anspruch auf unverzügliche Löschung. Auch innerhalb der sechs Monate können Betroffene der Verarbeitung widersprechen; die Auskunftei muss dann zwingende schutzwürdige Gründe nachweisen.

    Was bedeutet das für Verbraucher?

    • Wer eine Restschuldbefreiung erhalten hat, sollte prüfen, ob diese Information mehr als sechs Monate nach der Veröffentlichung noch gespeichert ist, und gegebenenfalls Löschung verlangen.
    • Über eine Selbstauskunft nach Art. 15 DSGVO lässt sich ermitteln, welche Daten eine Auskunftei gespeichert hat. Wie Sie dabei vorgehen und was Ihnen zusteht, lesen Sie in unserem Beitrag zum Umfang des Auskunftsanspruchs.
    • Löschanträge lassen sich nach den Grundsätzen stellen, die wir in „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“ beschrieben haben.

    Was bedeutet das für Unternehmen?

    Banken, Vermieter, Telekommunikations- und Energieunternehmen, die Bonitätsauskünfte nutzen, sollten ihre Entscheidungsprozesse prüfen. Wird ein Vertrag allein aufgrund eines Scores abgelehnt, liegt ein erhebliches Risiko vor. Empfehlenswert ist eine echte menschliche Prüfung, die weitere Kriterien einbezieht, sowie eine transparente Information der Kunden. Auch eigene Scoring-Modelle, etwa im Online-Handel beim Kauf auf Rechnung, sind an Art. 22 DSGVO zu messen.

    Wie deutsche Gerichte und der Gesetzgeber die Urteile umsetzen, bleibt abzuwarten. Belastet Sie ein negativer Score oder eine veraltete Eintragung, prüfen wir Ihre Ansprüche auf Auskunft, Berichtigung und Löschung. Schreiben Sie uns oder buchen Sie einen Termin.

  • EuGH zu Google: Auslistung offensichtlich unrichtiger Inhalte

    Falsche oder irreführende Berichte über die eigene Person, die bei einer Namenssuche ganz oben erscheinen, können berufliche und private Folgen haben. Bislang stellte sich für Betroffene die Frage, ob sie zunächst gegen den Autor oder Betreiber der Website gerichtlich vorgehen müssen, bevor sie von Google die Auslistung verlangen können. Mit Urteil vom 8. Dezember 2022 (Rs. C-460/20) hat der Gerichtshof der Europäischen Union diese Frage beantwortet und die Rechte Betroffener gestärkt.

    Der Fall

    Geklagt hatten ein Manager einer Gruppe von Investmentgesellschaften und seine Lebensgefährtin. Sie verlangten von Google, Links zu Artikeln einer Website auszulisten, die kritisch über das Anlagemodell der Gruppe berichteten, sowie Vorschaubilder (Thumbnails) mit Fotos des Mannes in luxuriösem Ambiente nicht mehr anzuzeigen. Die Kläger hielten die Berichte für falsch und warfen den Betreibern der Website erpresserische Absichten vor. Die Vorinstanzen hatten die Klage abgewiesen. Der Bundesgerichtshof legte die Sache dem EuGH vor.

    Die Kernaussagen des EuGH

    • Das Recht auf Schutz personenbezogener Daten ist kein uneingeschränktes Recht und muss gegen andere Grundrechte, insbesondere die Informationsfreiheit, abgewogen werden (Art. 17 Abs. 3 DSGVO).
    • Die Informationsfreiheit kann nicht berücksichtigt werden, wenn sich zumindest ein nicht unbedeutender Teil der Informationen als unrichtig erweist.
    • Wer die Auslistung verlangt, muss nachweisen, dass die Informationen offensichtlich unrichtig sind. Die Anforderungen dürfen aber nicht überspannt werden.
    • Eine gerichtliche Entscheidung gegen den Website-Betreiber ist keine Voraussetzung. Es genügen relevante und hinreichende Nachweise, die vom Betroffenen vernünftigerweise verlangt werden können.
    • Der Suchmaschinenbetreiber muss nicht selbst ermitteln. Weiß er von einem laufenden Gerichtsverfahren über die Richtigkeit der Informationen, muss er die Nutzer allerdings darauf hinweisen.
    • Bei Fotos, die als Vorschaubilder außerhalb des ursprünglichen Kontextes angezeigt werden, ist eine eigenständige Abwägung vorzunehmen. Dabei ist der Informationswert des Bildes zu berücksichtigen, unabhängig vom Kontext der Website, von der es stammt.

    Der Fall geht nun zurück an den BGH, der die Grundsätze auf den konkreten Sachverhalt anwenden muss.

    Was bedeutet das für Betroffene?

    Betroffene können sich mit einem gut begründeten Auslistungsantrag direkt an den Suchmaschinenbetreiber wenden. Entscheidend ist die Qualität der Belege: Dokumente, Stellungnahmen, behördliche Bescheide oder andere Unterlagen, die die Unrichtigkeit klar zeigen. Bloße Behauptungen genügen nicht. Das Urteil ergänzt die Grundsätze, die das Bundesverfassungsgericht in seinen Beschlüssen zum Recht auf Vergessen entwickelt hat. Allgemeine Hinweise zum Löschanspruch finden Sie in unserem Beitrag „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“.

    Den Auslistungsantrag vorbereiten

    1. Konkrete URLs und Suchbegriffe benennen, bei Bildern die Bild-URLs.
    2. Genau darlegen, welche Aussagen unrichtig sind und warum.
    3. Aussagekräftige Nachweise beifügen.
    4. Bei Fotos zusätzlich darlegen, warum die Anzeige als Vorschaubild ohne Kontext Ihre Rechte verletzt.
    5. Antwort dokumentieren; bei Ablehnung Beschwerde bei der Aufsichtsbehörde oder gerichtliche Schritte prüfen.

    Die Beweislast bleibt beim Betroffenen, ein sorgfältig belegter Antrag hat aber gute Chancen. Erscheinen bei Google falsche Informationen über Sie, unterstützen wir Sie beim Auslistungsantrag und, falls nötig, bei der gerichtlichen Durchsetzung. Schreiben Sie uns oder buchen Sie einen Termin.

  • Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch

    Der Vertrag ist gekündigt, die Bewerbung abgelehnt, der Newsletter längst abbestellt, und trotzdem kommt weiter Post, oder Sie vermuten, dass Ihre Daten noch gespeichert sind. Art. 17 DSGVO gibt Ihnen dafür ein starkes Instrument an die Hand: das Recht auf Löschung, oft auch „Recht auf Vergessenwerden“ genannt. Wann der Anspruch besteht und wie Sie ihn wirksam geltend machen, erläutern wir im Folgenden.

    Wann müssen Daten gelöscht werden?

    Art. 17 Abs. 1 DSGVO nennt mehrere Löschgründe. Die wichtigsten sind:

    • Die Daten sind für den ursprünglichen Zweck nicht mehr notwendig, etwa nach vollständiger Abwicklung eines Vertrags.
    • Sie haben Ihre Einwilligung widerrufen, und es gibt keine andere Rechtsgrundlage.
    • Sie haben der Verarbeitung widersprochen, etwa der Nutzung für Werbung.
    • Die Daten wurden unrechtmäßig verarbeitet.
    • Eine rechtliche Verpflichtung verlangt die Löschung.

    Wann darf ein Unternehmen die Löschung verweigern?

    Der Löschanspruch gilt nicht schrankenlos. Nach Art. 17 Abs. 3 DSGVO bestehen Ausnahmen, etwa wenn die Verarbeitung zur Erfüllung einer rechtlichen Pflicht erforderlich ist (typischerweise steuer- und handelsrechtliche Aufbewahrungspflichten für Rechnungen) oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Auch die Meinungs- und Informationsfreiheit kann einer Löschung entgegenstehen, etwa bei Presseberichten. In solchen Fällen darf das Unternehmen die betroffenen Daten aufbewahren, muss ihre Verarbeitung aber auf den Ausnahmezweck beschränken. Daten, die keiner Ausnahme unterfallen, sind trotzdem zu löschen.

    So formulieren Sie Ihren Löschantrag

    1. Schreiben Sie an den Verantwortlichen. Die Kontaktdaten finden Sie im Impressum oder in der Datenschutzerklärung, oft auch die des Datenschutzbeauftragten.
    2. Nennen Sie Name, Anschrift und gegebenenfalls Kunden- oder Vertragsnummer, damit Ihre Daten gefunden werden.
    3. Verlangen Sie die Löschung aller zu Ihrer Person gespeicherten Daten nach Art. 17 DSGVO oder, wenn Sie die Geschäftsbeziehung fortsetzen möchten, die Löschung bestimmter Daten.
    4. Nennen Sie kurz den Löschgrund, etwa den Widerruf der Einwilligung.
    5. Bitten Sie um schriftliche Bestätigung. Das Unternehmen muss Ihnen innerhalb eines Monats antworten (Art. 12 Abs. 3 DSGVO).

    Wer zunächst wissen möchte, welche Daten überhaupt gespeichert sind und an wen sie weitergegeben wurden, kann den Löschantrag mit einem Auskunftsersuchen verbinden. Den Umfang dieses Anspruchs hat der BGH zuletzt weit ausgelegt; siehe unseren Beitrag zum Umfang des Auskunftsanspruchs.

    Weitergabe an Dritte

    Hat das Unternehmen Ihre Daten an andere weitergegeben, muss es diesen Empfängern die Löschung grundsätzlich mitteilen (Art. 19 DSGVO). Auf Ihren Wunsch ist Ihnen mitzuteilen, wer diese Empfänger sind. Bei veröffentlichten Daten, etwa im Internet, muss der Verantwortliche zudem angemessene Maßnahmen treffen, um andere Verantwortliche über das Löschverlangen zu informieren (Art. 17 Abs. 2 DSGVO). Für Suchmaschinen gelten besondere Grundsätze, über die wir im Beitrag zum Recht auf Vergessen berichtet haben.

    Was tun, wenn nichts passiert?

    Reagiert das Unternehmen nicht oder lehnt es die Löschung ohne nachvollziehbare Begründung ab, haben Sie mehrere Möglichkeiten: Sie können sich kostenfrei bei der zuständigen Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Daneben können Sie Ihren Anspruch gerichtlich durchsetzen und unter Umständen Schadensersatz nach Art. 82 DSGVO verlangen. Ein anwaltliches Schreiben führt häufig bereits zum Erfolg.

    Mit einem klaren schriftlichen Antrag und einer angemessenen Frist lässt sich der Anspruch meist ohne großen Aufwand durchsetzen. Blockiert das Unternehmen, bleiben Beschwerde und Klage; dabei vertreten wir Sie gern. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • BGH: Auskunftsanspruch umfasst auch Korrespondenz und Vermerke

    Wie weit das datenschutzrechtliche Auskunftsrecht reicht, beschäftigt Unternehmen und Gerichte seit Geltung der DSGVO. Mit Urteil vom 15. Juni 2021 (Az. VI ZR 576/19) hat sich der Bundesgerichtshof erstmals ausführlich zum Umfang des Anspruchs aus Art. 15 DSGVO geäußert und ihn weit verstanden.

    Der Fall

    Der Kläger stritt mit seinem Versicherer über eine Lebensversicherung. Neben anderen Ansprüchen verlangte er Auskunft über die zu ihm gespeicherten personenbezogenen Daten. Der Versicherer erteilte eine Auskunft, die sich im Wesentlichen auf Stammdaten beschränkte. Das Berufungsgericht hielt das für ausreichend: Schriftwechsel zwischen den Parteien und interne Vermerke seien nicht vom Auskunftsanspruch erfasst. Der BGH sah das anders.

    Die Kernaussagen des BGH

    • Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Der Begriff ist nicht auf „signifikante biografische Informationen“ oder private Angaben beschränkt.
    • Auch Schreiben des Betroffenen an das Unternehmen sowie Schreiben des Unternehmens an den Betroffenen enthalten personenbezogene Daten und sind daher grundsätzlich vom Auskunftsanspruch erfasst. Dass der Betroffene den Inhalt bereits kennt, steht dem nicht entgegen.
    • Interne Vermerke und interne Kommunikation, die Informationen über den Betroffenen enthalten, etwa Gesprächsnotizen oder Angaben zum Gesundheitszustand, können ebenfalls zu beauskunften sein.
    • Eine rechtliche Analyse oder Bewertung ist dagegen selbst keine personenbezogene Information. Die Tatsachen, auf denen sie beruht, sind aber mitzuteilen.

    Die Revision des Klägers hatte damit weitgehend Erfolg. Ob der Anspruch im konkreten Fall wegen Unverhältnismäßigkeit begrenzt sein könnte, muss nach weiteren tatsächlichen Feststellungen geklärt werden. Offen geblieben ist zudem, wie weit der Anspruch auf eine Kopie nach Art. 15 Abs. 3 DSGVO im Einzelnen reicht und welche Rolle Ausschlussgründe etwa nach Art. 12 Abs. 5 und Art. 15 Abs. 4 DSGVO künftig spielen werden.

    Was bedeutet das für Unternehmen?

    Unternehmen können sich bei der Auskunft nicht auf Stammdaten wie Name, Adresse und Vertragsnummer beschränken. In die Recherche einzubeziehen sind E-Mail-Verkehr, Briefe, Gesprächs- und Telefonnotizen, Tickets im Kundenservice und interne Bewertungen. Das erhöht den Aufwand, gerade bei langjährigen Kundenbeziehungen. Umso wichtiger sind eine gute Datenorganisation und ein konsequentes Löschkonzept: Was nicht mehr gespeichert ist, muss auch nicht beauskunftet werden.

    Praktische Hinweise zur Bearbeitung von Anfragen, von der Fristberechnung bis zur Schwärzung von Daten Dritter, haben wir in unserem Beitrag „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“ zusammengestellt. Prüfen Sie Ihre Auskunftsprozesse daraufhin, ob Korrespondenz und interne Vermerke tatsächlich erfasst werden.

    Was bedeutet das für Betroffene?

    Für Verbraucher, Versicherte und Beschäftigte stärkt das Urteil die Position erheblich. Wer wissen möchte, was ein Unternehmen über ihn festgehalten hat, kann sich nicht mit einer Liste von Stammdaten abspeisen lassen. Gerade in Streitigkeiten mit Versicherungen, Banken oder Arbeitgebern kann der Auskunftsanspruch so ein wertvolles Instrument sein.

    Wir beraten beide Seiten: Betroffene, die ihren Auskunftsanspruch durchsetzen wollen, und Unternehmen, die eine umfangreiche Anfrage beantworten müssen. Nehmen Sie Kontakt auf oder vereinbaren Sie online einen Termin.

  • Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten

    „Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben.“ Solche Schreiben erreichen Unternehmen immer häufiger: von Kunden, von Bewerbern und besonders oft von ehemaligen Beschäftigten im Zusammenhang mit einem Kündigungsstreit. Das Auskunftsrecht nach Art. 15 DSGVO ist eines der wichtigsten Betroffenenrechte. Wer es ignoriert oder unvollständig erfüllt, riskiert Beschwerden bei der Aufsichtsbehörde, Bußgelder und Klagen. Der folgende Ablauf hat sich in der Praxis bewährt.

    Schritt 1: Anfrage erkennen und Frist notieren

    Ein Auskunftsersuchen ist an keine Form gebunden. Es kann per E-Mail, Brief, Telefon oder über soziale Medien eingehen und muss das Wort „DSGVO“ nicht enthalten. Beschäftigte am Empfang, im Kundenservice und in der Personalabteilung sollten solche Anfragen erkennen und sofort weiterleiten. Die Auskunft ist unverzüglich, spätestens innerhalb eines Monats zu erteilen (Art. 12 Abs. 3 DSGVO). Nur bei komplexen oder zahlreichen Anfragen kann die Frist um zwei weitere Monate verlängert werden. Das muss der betroffenen Person innerhalb des ersten Monats mitgeteilt und begründet werden.

    Schritt 2: Identität prüfen

    Sie dürfen Auskünfte nur an die berechtigte Person erteilen. Bestehen begründete Zweifel an der Identität, können Sie zusätzliche Informationen anfordern. Die Anforderungen müssen aber verhältnismäßig sein: Wer mit einem Kunden ohnehin über eine bekannte E-Mail-Adresse kommuniziert, kann in der Regel keine Ausweiskopie verlangen.

    Schritt 3: Daten zusammentragen

    Durchsuchen Sie alle relevanten Systeme: CRM, Buchhaltung, E-Mail-Postfächer, Personalakte, Ticketsysteme, Newsletter-Tool, Papierakten und Backups. Hier zahlt sich ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten aus, denn es zeigt, wo welche Daten verarbeitet werden.

    Schritt 4: Inhalt der Auskunft

    Die Auskunft umfasst zunächst die Bestätigung, ob überhaupt Daten verarbeitet werden. Falls ja, sind nach Art. 15 Abs. 1 DSGVO insbesondere mitzuteilen:

    • die Verarbeitungszwecke und die Kategorien der Daten,
    • die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern,
    • die geplante Speicherdauer oder die Kriterien für ihre Festlegung,
    • die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie das Beschwerderecht bei einer Aufsichtsbehörde,
    • die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden,
    • gegebenenfalls das Bestehen automatisierter Entscheidungsfindung einschließlich Profiling.

    Zusätzlich ist nach Art. 15 Abs. 3 DSGVO eine Kopie der Daten zur Verfügung zu stellen. Wie weit dieser Anspruch reicht, ist in der Rechtsprechung noch umstritten. Wer die Kopie gerichtlich durchsetzen will, muss jedenfalls einen hinreichend bestimmten Antrag stellen; pauschale Forderungen nach „allen E-Mails“ können daran scheitern.

    Schritt 5: Rechte Dritter beachten

    Die Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Namen von Kollegen, Geschäftsgeheimnisse oder Daten anderer Kunden sind daher gegebenenfalls zu schwärzen. Eine vollständige Verweigerung der Auskunft lässt sich damit aber in der Regel nicht begründen.

    Schritt 6: Sicher übermitteln und dokumentieren

    Die erste Kopie ist unentgeltlich. Übermitteln Sie die Auskunft auf sicherem Weg, etwa verschlüsselt oder per Post. Eine versehentliche Übermittlung an die falsche Person wäre selbst eine Datenpanne; was dann zu tun ist, beschreibt unser Leitfaden zur 72-Stunden-Meldung. Dokumentieren Sie Eingang, Bearbeitung und Versand der Auskunft.

    Was droht bei Fehlern?

    Eine verspätete oder unvollständige Auskunft kann zu Beschwerden bei der Aufsichtsbehörde und zu Bußgeldern führen. Zudem können Betroffene ihren Anspruch gerichtlich durchsetzen. Wie Gerichte den Streitwert solcher Verfahren bemessen, haben wir im Beitrag zum Streitwert eines Auskunftsanspruchs beschrieben.

    Gerade im Arbeitsrechtsstreit lohnt sich eine sorgfältige Prüfung, bevor die Auskunft das Haus verlässt. Liegt Ihnen ein Ersuchen vor und läuft die Frist bereits, unterstützen wir Sie bei der Beantwortung. Nehmen Sie Kontakt auf oder buchen Sie kurzfristig einen Termin.

  • BVerfG zum Recht auf Vergessen: Was Betroffene jetzt wissen müssen

    Ein alter Zeitungsbericht, ein unvorteilhafter Fernsehbeitrag oder ein Treffer bei Google, der Jahre später noch auf der ersten Ergebnisseite steht: Viele Menschen fragen sich, ob sie verlangen können, dass solche Inhalte verschwinden. Das Bundesverfassungsgericht hat dazu mit zwei Beschlüssen vom 6. November 2019 wichtige Leitlinien formuliert, bekannt als „Recht auf Vergessen I“ (Az. 1 BvR 16/13) und „Recht auf Vergessen II“ (Az. 1 BvR 276/17). Veröffentlicht wurden sie Ende November 2019. Wir fassen zusammen, was die Entscheidungen für Betroffene und für Unternehmen bedeuten.

    Recht auf Vergessen I: Online-Pressearchive

    Im ersten Verfahren wandte sich ein Mann gegen ein Nachrichtenmagazin, das in seinem frei zugänglichen Online-Archiv ältere Berichte über ein von ihm vor Jahrzehnten begangenes Verbrechen bereithielt. Gibt man seinen Namen in eine Suchmaschine ein, erscheinen diese Artikel weit oben. Die Zivilgerichte hatten seine Klage abgewiesen.

    Das Bundesverfassungsgericht gab der Verfassungsbeschwerde statt. Prüfungsmaßstab waren hier die Grundrechte des Grundgesetzes, weil die Presseberichterstattung über das sogenannte Medienprivileg dem nationalen Gesetzgeber Gestaltungsspielraum lässt und das Unionsrecht insoweit nicht vollständig vereinheitlicht ist. Inhaltlich betonte das Gericht die Bedeutung des Zeitablaufs: Die Rechtsordnung muss Menschen die Chance geben, dass frühere Verfehlungen mit der Zeit in Vergessenheit geraten. Ein Presseverlag darf ursprünglich rechtmäßige Berichte zwar grundsätzlich weiter archivieren. Er kann aber verpflichtet sein, auf Antrag des Betroffenen zumutbare Schutzmaßnahmen zu ergreifen, statt die Inhalte vollständig zu löschen. In Betracht kommt etwa, die Auffindbarkeit über eine namensbezogene Suche in Suchmaschinen zu erschweren.

    Recht auf Vergessen II: Suchmaschinen

    Im zweiten Verfahren ging es um eine Unternehmerin, die von Google die Auslistung eines Fernsehbeitrags verlangte, der bei einer Namenssuche angezeigt wurde. Hier wählte das Gericht einen neuen Weg: Soweit eine Materie unionsrechtlich vollständig vereinheitlicht ist, wie der Auslistungsanspruch gegen Suchmaschinen nach Art. 17 DSGVO, prüft das Bundesverfassungsgericht die Entscheidungen der Fachgerichte am Maßstab der Grundrechte der EU-Grundrechtecharta. Im konkreten Fall blieb die Verfassungsbeschwerde ohne Erfolg; die Abwägung der Fachgerichte zwischen Persönlichkeitsschutz einerseits und unternehmerischer Freiheit des Suchmaschinenbetreibers, Meinungs- und Informationsinteressen andererseits war nicht zu beanstanden.

    Was bedeutet das für Betroffene?

    Ein pauschales „Recht auf Löschung“ der eigenen Vergangenheit gibt es nicht. Ob Sie die Entfernung oder Auslistung eines Inhalts erreichen können, hängt stets von einer Abwägung im Einzelfall ab. Wichtige Kriterien sind:

    • wie viel Zeit seit dem berichteten Ereignis vergangen ist,
    • ob es sich um eine Person des öffentlichen Lebens handelt,
    • wie stark der Inhalt die heutige Lebensführung beeinträchtigt,
    • ob der Bericht ursprünglich zutreffend und rechtmäßig war,
    • ob mildere Mittel wie eine eingeschränkte Auffindbarkeit genügen.

    Praktisch empfiehlt es sich, zunächst den Anbieter, also Verlag oder Suchmaschinenbetreiber, schriftlich und begründet anzuschreiben. Suchmaschinen bieten hierfür eigene Formulare an. Die Grundlagen des Auslistungsanspruchs gehen auf das Google-Spain-Urteil des EuGH zurück, über das wir bereits im Beitrag „Recht auf Vergessen im Internet“ berichtet haben.

    Was bedeutet das für Unternehmen und Medienanbieter?

    Wer Archive, Bewertungsplattformen oder umfangreiche Inhalte mit Personenbezug online bereithält, sollte einen geordneten Prozess für Lösch- und Auslistungsanfragen einführen. Dazu gehören eine klare Zuständigkeit, eine dokumentierte Abwägung und die Prüfung technischer Alternativen, etwa das Ausschließen einzelner Seiten von der Indexierung durch Suchmaschinen. Ein solcher Prozess reduziert das Risiko gerichtlicher Auseinandersetzungen erheblich.

    Ein Automatismus besteht nicht; am Ende entscheidet die Abwägung im Einzelfall. Wenn Sie einen Bericht oder Suchtreffer zu Ihrer Person entfernen lassen möchten, schätzen wir die Erfolgsaussichten für Sie ein. Schreiben Sie uns über das Kontaktformular oder buchen Sie einen Beratungstermin.