Der Bundesgerichtshof (BGH) hat am 23.5.2023 ein Urteil zum Thema „Recht auf Vergessenwerden“ im Internet gefällt. Dabei geht es um die Frage, wann Suchmaschinen-Betreiber wie Google dazu verpflichtet sind, Links zu fragwürdigen Artikeln auf Wunsch des Betroffenen zu löschen.
Das Urteil betrifft ein Paar aus der Finanzdienstleistungsbranche, das gegen Google klagt, um die Entfernung mehrerer kritischer Artikel über ihr Anlagemodell aus den Suchergebnissen zu erreichen. Die Artikel wurden auf einer US-Website veröffentlicht. Außerdem zeigten einer der Artikel ein Foto eines der Kläger. Google hatte die Löschung mit dem Argument verweigert, man könne nicht beurteilen, was stimme und was nicht.
Der Bundesgerichtshof hatte den Fall bereits einmal verhandelt und sich im Sommer 2020 mit Fragen an den Europäischen Gerichtshof (EuGH) gewandt, weil es um EU-Recht ging (Charta der Grundrechte der Europäischen Union und DSGVO). Der BGH wollte unter anderem geklärt wissen, wer die Darlegungs- und Beweislast für die Behauptung trägt, die von der Suchmaschine nachgewiesene Berichterstattung sei unwahr, und ob es dem Antragsteller insoweit obliegt, sofern möglich zunächst den hierfür Verantwortlichen in Anspruch zu nehmen.
Der EuGH urteilte im Dezember 2022: Wenn Betroffene nachweisen können, dass verlinkte Berichte offensichtlich falsche Informationen enthalten, darf eine Suchmaschine diese Links nicht anzeigen. Jedoch ist es nicht die Aufgabe des Betreibers der Suchmaschine, selbst zu überprüfen, ob die Berichte tatsächlich falsch sind. Stattdessen liegt es in der Verantwortung der betroffenen Person, den Nachweis für die offensichtliche Falschheit der Informationen zu erbringen. Es war nun Aufgabe des BGH, diese Vorgaben des EuGH auf den aktuellen Fall anzuwenden.
Der Bundesgerichtshof bestätigte am 23.05.2023 teilweise die Revision der Kläger. Im Fall der beanstandeten Verweise auf die Artikel bestätigte er jedoch die Entscheidungen der Vorinstanzen, die die Klagen abgewiesen hatten. Der BGH stellte fest, dass es bei einem online veröffentlichten Artikel bereits an dem notwendigen Bezug zur Person der Kläger fehlte. Bei den beiden anderen Artikeln versäumten es die Kläger, gegenüber Google den ihnen obliegenden Nachweis zu führen, dass die dort enthaltenen Informationen offensichtlich unrichtig sind.
Im Hinblick auf die Vorschaubilder war die Revision der Kläger jedoch erfolgreich. Der Bundesgerichtshof verpflichtete Google, die Vorschaubilder in der beanstandeten Form auszulisten. Die Anzeige der Fotos der Kläger als Vorschaubilder ohne jeglichen Kontext wurde als nicht gerechtfertigt erachtet. Das Verfahren begann im Jahr 2015. Die Klage wurde im Jahr 2015 beim Landgericht Köln eingereicht. Das Landgericht hat im Jahr 2017 die Klage abgewiesen (22.11.2017 – 28 O 492/15). Die Berufung des Klägers hatte vor dem Oberlandesgericht Köln ebenfalls keinen Erfolg (08.11.2018 – 15 U 178/17). Die Revision zum Bundesgerichtshof wurde im Jahr 2018 eingelegt (VI ZR 476/18).
Was genau ist das “Recht auf Vergessenwerden”?
Das „Recht auf Vergessenwerden“ ist in Artikel 17 der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union verankert. Dieses Recht ermöglicht es Einzelpersonen, von Organisationen oder Unternehmen die Löschung ihrer personenbezogenen Daten zu verlangen. Die Bedingungen, unter denen dieses Recht ausgeübt werden kann, sind in der DSGVO genau definiert.
Zum Beispiel kann eine Person die Löschung ihrer Daten verlangen, wenn die Daten nicht mehr für den Zweck benötigt werden, für den sie ursprünglich erhoben oder verarbeitet wurden, oder wenn die Person ihre Einwilligung zur Datenverarbeitung widerruft und es keine andere rechtliche Grundlage für die Verarbeitung gibt.
Es ist jedoch wichtig zu beachten, dass das Recht auf Vergessenwerden nicht absolut ist und es mehrere Ausnahmen gibt. So können beispielsweise Daten weiterhin gespeichert werden, wenn sie zur Erfüllung einer rechtlichen Verpflichtung, zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt, oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.
In Bezug auf Arbeitsverhältnisse kann das Recht auf Vergessenwerden sowohl für aktuelle als auch für ehemalige Mitarbeiter relevant sein.
Welche Relevanz hat das Urteil des BGH für das Arbeitsrecht?
Entscheidungen des BGH haben als Teil der ordentlichen Gerichtsbarkeit keine unmittelbaren und direkten Auswirkungen auf die Gerichte der Arbeitsgerichtsbarkeit. Dennoch wird man davon ausgehen können, dass auch die Arbeitsgerichte die nunmehr vom EuGH und BGH aufgestellten Regeln zur Auslegung von Art. 17 DSGVO beachten und heranziehen werden. Denn das Recht auf Vergessenwerden aus Art. 17 DSGVO selbst gilt unmittelbar auch im Arbeitsverhältnis.
Das Urteil könnte Arbeitnehmer ermutigen, ihre Rechte nach der DSGVO stärker in Anspruch zu nehmen. Sie könnten beispielsweise von ihrem Recht auf Löschung Gebrauch machen und verlangen, dass bestimmte Daten, die ihr Arbeitgeber über sie gespeichert hat, gelöscht werden.
Das Urteil könnte Auswirkungen auf den Reputationsschutz von Arbeitnehmern haben. Arbeitnehmer könnten versuchen, ihre Reputation zu schützen, indem sie Google dazu auffordern, bestimmte unvorteilhafte oder schädliche Suchergebnisse auszulisten, insbesondere wenn diese auf falschen Informationen basieren oder wenn sie als nicht mehr relevant oder notwendig für den ursprünglichen Zweck betrachtet werden können. Dies könnte auch für Arbeitgeber gelten, die ihre Unternehmensreputation schützen möchten.
In einigen Fällen könnten Arbeitgeber verpflichtet sein, Informationen über ihre Mitarbeiter zu veröffentlichen, etwa in öffentlichen Unternehmensberichten. Das Urteil könnte sie dazu veranlassen, solche Veröffentlichungen sorgfältiger zu prüfen und sicherzustellen, dass sie die Rechte der betroffenen Personen nicht verletzen.
Das Urteil könnte Arbeitgeber dazu veranlassen, stärker auf die Einhaltung der Datenschutzbestimmungen am Arbeitsplatz zu achten, insbesondere in Bezug auf die Verarbeitung personenbezogener Daten von Mitarbeitern.
Das Urteil könnte auch Auswirkungen auf den Einstellungsprozess haben. Personalverantwortliche könnten Schwierigkeiten haben, relevante Informationen über potenzielle Kandidaten zu finden, wenn solche Informationen aus Suchmaschinen ausgelistet wurden. Dies könnte dazu führen, dass Arbeitgeber ihre Praktiken zur Überprüfung von Bewerbern überdenken und mehr auf persönliche Referenzen und formelle Hintergrundüberprüfungen setzen.
Können Arbeitnehmer das Recht auf Vergessenwerden nutzen, um negative Leistungsbewertungen oder Disziplinarmaßnahmen zu löschen?
Von der Rechtsprechung ist es inzwischen anerkannt, dass aus dem Recht auf Vergessenwerden aus Art. 17 DSGVO ein Anspruch des Arbeitnehmers auf Entfernung von Abmahnungen aus der Personalakte folgen kann.
Vor allem gilt dies für beendete Arbeitsverhältnisse: Dabei stellt beispielsweise das Landesarbeitsgericht Sachsen-Anhalt darauf ab, dass bei einem solchen Arbeitsverhältnis die der Abmahnung innewohnende Warnfunktion entfallen ist, sodass die personenbezogenen Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind. Nur in Ausnahmefällen, beispielsweise wenn zwischen Arbeitnehmer und Arbeitgeber noch (weitere) Rechtsstreitigkeiten bestehen, kann etwas anderes gelten, da in diesem Fall noch aus der Rüge- und Dokumentationsfunktion der Abmahnung ein Interesse des Arbeitgebers am Erhalt der Abmahnung bestehen kann.
Das Landesarbeitsgericht Hamm hat ebenfalls einen Anspruch auf Entfernung der Abmahnung auf der Grundlage des Rechts auf Vergessenwerden angenommen und dabei festgestellt, dass dies auch dann gilt, wenn die Personalakte nicht elektronisch, sondern noch in Papierform geführt wird (LAG Hamm, Urteil vom 13.09.2022, Aktenzeichen 6 Sa 87/22).
Das Abstellen auf datenschutzrechtliche Aspekte eröffnet dem Arbeitnehmer eine weitere Anspruchsgrundlage zur Entfernung der Abmahnung. Nach der Rechtsprechung war es in der Vergangenheit erforderlich, dass der Arbeitnehmer nachweist, dass die Abmahnung ihm noch schaden würde. Bei einer Entfernung auf der Grundlage von Art. 17 DSGVO ist dies hingegen nicht erforderlich. Außerdem drohen dem Arbeitgeber jetzt empfindliche Bußgelder, wenn er dem Löschungsverlangen nicht nachkommt.
Zukünftig könnte auch im laufenden Arbeitsverhältnis auf das Recht zum Vergessenwerden zur Entfernung von Abmahnungen abgestellt werden, wenn es dem Arbeitnehmer nachzuweisen gelingt, dass die Warnfunktion der Abmahnung in den Hintergrund getreten ist und kein überwiegendes Interesse des Arbeitgebers mehr am Erhalt vorliegt. Dies kann gerade bei lange zurückliegenden Abmahnungen und einem seither störungsfreien Arbeitsverhältnis der Fall sein.
Negative Leistungsbewertungen oder Disziplinarmaßnahmen können in der Regel nicht einfach gelöscht werden können, weil der Arbeitgeber ein legitimes Interesse an der Speicherung dieser Informationen hat, solange das Arbeitsverhältnis noch besteht. Dies kann zum Beispiel der Fall sein, um Leistungsbewertungen durchzuführen, Gehaltsentscheidungen zu treffen, interne Untersuchungen durchzuführen oder mögliche Rechtsstreitigkeiten zu bewältigen. Ist der Zweck dieser Bewertungen aber erfüllt, dann besteht ein Anspruch auf Löschung auch im bestehenden Arbeitsverhältnis.
Muss ein Arbeitgeber Informationen in Beraterprofilen zu einzelnen Mitarbeitern, wie zum Beispiel Fotos oder Lebenslauf, von seiner Website nehmen?
Der Arbeitnehmer kann auch auf dieser datenschutzrechtlichen Grundlage vom Arbeitgeber verlangen, dass ein nach der Beendigung des Arbeitsverhältnisses noch im Internet abrufbares, beispielsweise auf der Homepage des Arbeitgebers vorhandenes Beraterprofil gelöscht wird. Denn es dürften kaum Konstellationen bestehen, in denen das Interesse des Arbeitgebers an der weiteren Veröffentlichung das Löschinteresse des Arbeitnehmers übersteigt.
Was passiert, wenn der Arbeitgeber einer Aufforderung, Inhalte zu löschen, nicht nachkommt?
Kommt der Arbeitgeber einem solchen Wunsch nicht nach, besteht neben der anwaltlichen und gerichtlichen Inanspruchnahme auch die Möglichkeit, den zuständigen Datenschutzbeauftragten durch eine Anzeige der Datenverarbeitung in das Verfahren zu involvieren. Dieser kann nicht nur eine Verletzung des Datenschutzes feststellen, sondern kann auch Maßnahmen zur Einhaltung der datenschutzrechtlichen Regelungen ergreifen.
Kann der Arbeitnehmer auch verlangen, dass alle personenbezogenen Daten nach dem Ausscheiden gelöscht werden?
Dass alle jemals angefallenen Daten eines ehemaligen Mitarbeiters beim Arbeitgeber auf der Grundlage von Art. 17 DSGVO entfernt werden müssten, ist jedoch unwahrscheinlich. Denn dann müssten beispielsweise auch alle E-Mails, die auch an den betroffenen Arbeitnehmer gesendet wurden und in denen dessen Name auftaucht, gelöscht werden. In den meisten Fällen wird das Interesse des Arbeitgebers am Erhalt der E-Mails und den in ihnen enthaltenen Informationen das Interesse des Arbeitnehmers an der Löschung überwiegen.
Der Arbeitgeber hat einen aufwendig produzierten Text-/Filmbeitrag für seine Website und seine Social Media-Kanäle zu Werbezwecken, vor allem für Recruiting-Maßnahmen, erstellen lassen, in dem mehrere Mitarbeiter namentlich genannt und mit Bild gezeigt werden. Ist der Arbeitgeber verpflichtet, auch dies zu entfernen?
Der Arbeitgeber wird, gerade bei aufwendigen und teuren Produktionen ein großes Interesse daran haben, dass er den Beitrag weiter verwenden kann. Dennoch wird auch hier in den meisten Fällen das datenschutzrechtliche Interesse des Arbeitnehmers an der Löschung überwiegen. Im Zweifel besteht, gerade wenn der Beitrag nicht nur über eine Person ist, die Möglichkeit, den Beitrag zu bearbeiten und den ausgeschiedenen Mitarbeiter herauszunehmen.
Anders kann die Situation jedoch sein, wenn der Arbeitgeber im Vorfeld das Einverständnis eingeholt hat und dabei vertraglich auch einer längeren Verwendung, insbesondere über das Ausscheiden hinaus, zugestimmt wurde. In solchen Fällen wird es sich um Einzelfallentscheidungen handeln, die gerichtlich geklärt werden müssten. Klar ist jedoch: Da es sich nach wie vor um ehemalige Arbeitnehmer und nicht um Schauspieler handelt, hat das datenschutzrechtliche Recht auf Vergessenwerden einen großen Stellenwert.
Was ist, wenn der Arbeitgeber Künstliche Intelligenz (KI) und Deep Learning im Personalbereich einsetzt?
Umstritten und völlig offen ist Stand heute die Frage, wie der Arbeitgeber mit den Daten der Arbeitnehmer umgehen muss, die er zum Training einer KI oder Deep Learning verwendet hat, oder wenn er diese Technologien bei Entscheidungsprozessen einsetzt (z.B. bei Bewerbungsverfahren). Noch gibt es keine Urteile zu diesem Thema.
Art. 17 DSGVO verpflichtet den Arbeitgeber, personenbezogene Daten auf Anforderung durch den Arbeitnehmer unverzüglich zu löschen. An dieser Stelle ist es wichtig zu wissen, dass die DSGVO zwischen Löschung und Vernichtung von Daten unterscheidet. Art. 17 verlangt “nur” die Löschung. Daraus kann man ableiten, dass Daten, die so anonymisiert sind, dass eine Wiederherstellung der Verbindung zu der Person des Arbeitnehmers unmöglich ist, als “gelöscht” gelten. Die Vernichtung von Daten bedeutet, dass auch vormals personenbezogene Daten, die nun anonymisiert sind, gelöscht werden müssen. Das verlangt Art. 17 DSGVO gerade nicht. Wenn der Arbeitgeber also ausreichend Sorge dafür trägt, dass im Zuge des Trainings der KI und des Deep Learnings die Daten der Arbeitnehmer anonymisiert werden, besteht aus unserer Sicht kein gesonderter Löschungsanspruch des Arbeitnehmers “aus der KI” mehr, da keine personenbezogenen Daten mehr vorhanden sind, die gelöscht werden könnten.
Welche Fristen gelten für das Löschen von personenbezogenen Daten, also zum Beispiel für die Entfernung von Abmahnungen oder für die Überarbeitung der Website?
Art. 17 DSGVO nennt keine starre Frist, sondern bestimmt, dass personenbezogene Daten “unverzüglich” gelöscht werden müssen, wenn sie für die ursprünglichen Zwecke nicht mehr notwendig sind. Allgemein bedeutet dies, dass der Verantwortliche die personenbezogenen Daten ohne schuldhaftes Zögern zu löschen hat – es kommt also darauf an, wie aufwändig und komplex das Löschungsverlangen ist. Jedenfalls muss die Löschung so schnell wie möglich erfolgen.
Wie kann kontrolliert werden, dass personenbezogene Daten tatsächlich gelöscht wurden, und es sich nicht nur um eine Behauptung handelt?
Bei öffentlich abrufbaren Informationen ist eine Kontrolle ohne weiteres möglich. Kompliziert ist es jedoch bei internen Daten, wie zum Beispiel solchen in Personalakten. Hier ist von außen nicht zu sehen, inwieweit Daten tatsächlich datenschutzkonform gelöscht wurden. Der Verwender der Daten muss jedoch nachweisen, dass eine Löschung erfolgt ist, zum Beispiel durch ein datenschutzkonformes Löschprotokoll. Dies bedeutet, dass sich aus dem Protokoll nicht erneut personenbezogene Daten ergeben dürfen. Bestehen Zweifel, kann über das Auskunftsrecht aus Art. 15 DSGVO versucht werden herauszufinden, ob noch personenbezogene Daten vorhanden sind – gegebenenfalls mit Unterstützung des zuständigen Datenschutzbeauftragten.
Gibt es Grenzen beim Recht auf Vergessenwerden?
Ja, nicht alle personenbezogenen Daten können und dürfen zu jedem Zeitpunkt gelöscht werden. Denn der Löschpflicht und dem Recht auf Vergessenwerden steht in einigen Fällen eine gesetzliche Aufbewahrungspflicht gegenüber. Beispielsweise aus steuerlichen Aufbewahrungspflichten ergibt sich die direkte Pflicht, Lohnabrechnungen aufzubewahren. Aufbewahrungspflichten können sich jedoch auch indirekt ergeben, zum Beispiel während laufender Verjährungsfristen. Arbeitgeber haben beispielsweise regelmäßig ein Interesse daran, Bewerbungsunterlagen abgelehnter Bewerber aufzubewahren, um sich wegen Diskriminierungsklagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) verteidigen zu können. Sobald solche Fristen oder gesetzliche Aufbewahrungsfristen jedoch abgelaufen sind, sind die noch vorhandenen personenbezogenen Daten zu löschen und es besteht (erneut) ein Anspruch zur Löschung.
Zusammengefasst lässt sich sagen: ein Arbeitnehmer kann und darf nicht spurlos aus den Unterlagen und Daten des Unternehmens verschwinden, sobald er ausscheidet.
