Veröffentlichung von personenbezogenen Daten im Internet wegen persönlicher Streitigkeiten
Das Internet als Pranger (Stand Dezember 2022)
Die LfD Niedersachsen beobachtet derzeit einen deutlichen Trend zur Veröffentlichung von personenbezogenen Daten nach der Eskalation von Auseinandersetzungen zwischen Konfliktparteien in Blogs, Chats, Bewertungsportalen oder auf Social-Media-Kanälen. Häufig werden hierbei die Rechte der Betroffenen missachtet, sei es aus Unkenntnis heraus oder mit Vorsatz. Grundsätzlich hat der Verantwortliche bei der Veröffentlichung von personenbezogenen Daten eine Rechtsgrundlage dafür nachzuweisen und den Verhältnismäßigkeitsgrundsatz einzuhalten. Ansonsten können Verwarnungen oder Bußgelder drohen.
In den vergangenen Monaten ist es bei der LfD Niedersachsen zu einem starken Anstieg an Beschwerdeverfahren gekommen, weil nach vorangegangenen persönlichen Konflikten personenbezogene Daten von Beteiligten im Internet veröffentlicht worden sind.
Die Sachverhalte sind dabei vielseitig: Vermehrt versuchten etwa Unternehmensinhaber sich durch die Veröffentlichung von vollständigen Kundendatensätzen gegen vermeintlich unzutreffende Bewertungen der Kunden auf Rezensionsplattformen zu wehren. Mehrfach nannten Kunden von Gastronomie- und Serviceleistungen in Rezensionen den Klarnamen des jeweiligen Mitarbeiters, mit dessen Arbeit sie unzufrieden waren. In Einzelfällen veröffentlichten Bürger aus Unzufriedenheit mit der Arbeit öffentlicher Stellen vollständige Verfahrensakten von Gerichten oder Behörden, aus welchen sich Namen und Kontaktdaten zahlreicher Beteiligter entnehmen ließen.
Die Veröffentlichung von Klarnamen und ggfs. weiterer personenbezogener Daten der Betroffenen stellt einen massiven Grundrechtseingriff dar. Die datenschutzrechtlichen Vorgaben der Datenschutz-Grundverordnung (DS-GVO) bleiben bei solchen Austragungen von Auseinandersetzungen im Internet häufig unbeachtet.
Rechtsgrundlage für die Verarbeitung personenbezogener Daten
Bei den vorgenannten veröffentlichten Informationen handelt es sich um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DS-GVO. Wie bei jeder Art der Verarbeitung personenbezogener Daten bedarf es auch für eine rechtmäßige Veröffentlichung im Internet einer Rechtsgrundlage aus Art. 6 Abs. 1 DS-GVO. In den vorgenannten Fallkonstellationen kommen häufig lediglich zwei Rechtsgrundlagen in Betracht:
- eine Einwilligungserklärung des Betroffenen gemäß Art. 6 Abs. 1 lit. a) DS-GVO oder
- eine Interessenabwägung gemäß Art. 6 Abs. 1 lit. f) DS-GVO.
Da wegen der Natur derartiger Konflikte häufig keine Einwilligung des Betroffenen zur Veröffentlichung seiner personenbezogenen Daten im Internet vorliegen dürfte, scheidet eine solche Erklärung in den meisten Fällen als Rechtsgrundlage aus. Eine Einwilligung wäre im Streitfall gemäß Art. 7 Abs. 1 DS-GVO von dem Verantwortlichen nachzuweisen.
Eine Interessenabwägung als Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. f) DS-GVO ist an drei Voraussetzungen geknüpft:
- erstens muss ein berechtigtes Interesse des Verantwortlichen oder eines Dritten an der Veröffentlichung gegeben sein,
- zweitens muss die Verarbeitung der personenbezogenen Daten bezogen auf das berechtigte Interesse erforderlich sein,
- drittens dürfen die entgegenstehenden Interessen des Betroffenen in Bezug auf die Veröffentlichung nicht die Interessen des Verantwortlichen oder Dritten überwiegen.
Als berechtigtes Interesse wird häufig vorgetragen, dass entweder ein Eigeninteresse an der öffentlichen Richtigstellung eines Sachverhalts bestehe oder ein Interesse, die Öffentlichkeit vor negativen Erfahrungen im Zusammenhang mit Unternehmen und Behörden zu warnen.
Selbst wenn im Einzelfall ein berechtigtes Interesse anzuerkennen ist, erfordert dieses in der Regel nicht die Veröffentlichung personenbezogener Daten. Eine öffentliche Äußerung von Unzufriedenheit mit dem Service eines Restaurants kann auch ohne die namentliche Benennung von Mitarbeitern erfolgen und ihre Warnfunktion erfüllen.
Schließlich ist bei den dargestellten Fallgestaltungen auch die Voraussetzung der überwiegenden Interessen des Veröffentlichenden nicht erfüllt. Der Personenkreis, der von einer allgemein im Internet zugänglichen Veröffentlichung Kenntnis nehmen kann, ist potentiell sehr groß und kann nicht zuverlässig eingeschätzt werden. Eine Veröffentlichung im Internet kann zudem durch eine spätere Löschung des Beitrags oder des Dokuments nicht lückenlos rückgängig gemacht werden, sodass die Folgen für die Betroffenen letztlich nicht vollständig abschätzbar sind.
Vor diesem Hintergrund muss in derart gelagerten Fällen in der Regel von überwiegenden Interessen der Betroffenen ausgegangen werden. Dabei spielt es keine Rolle, ob die Veröffentlichung auf dem persönlichen Blog, auf einer Bewertungsplattform oder in der regionalen Facebook-Gruppe erfolgt.
Rechte betroffener Personen
Liegt keine einschlägige Rechtsgrundlage für die Veröffentlichung vor, hat der Betroffene gemäß Art. 17 Abs. 1 DS-GVO einen Anspruch auf Löschung seiner personenbezogenen Daten, welchen er gegenüber dem Verantwortlichen geltend machen kann. Da bei derart gelagerten Fällen in der Regel kein Ausnahmetatbestand des Art. 17 Abs. 3 DS-GVO ersichtlich ist, ist der Veröffentlichende verpflichtet, dem Löschungsverlangen des Betroffenen nachzukommen. Insbesondere kann häufig nicht davon ausgegangen werden, dass die Veröffentlichung gemäß Art. 17 Abs. 3 lit. a) DS-GVO zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist, da eine Kritik von Leistungen und Unternehmenspraktiken oder die Richtigstellung eines Sachverhalts auch ohne die explizite Nennung von personenbezogenen Daten möglich wäre.
Durchsetzung durch die Datenschutzaufsichtsbehörden
Kommt der Verantwortliche dem Löschverlangen des Betroffenen trotz Aufforderung nicht nach, kann die zuständige Datenschutzaufsichtsbehörde im Rahmen eines Beschwerdeverfahrens das Recht des Betroffenen durch eine Anordnung zur Löschung der jeweiligen Beiträge gemäß Art. 58 Abs. 2 lit. g) DS-GVO durchsetzen. Je nach Schwere des erfolgten Grundrechtseingriffs und der Abhilfebereitschaft des Verantwortlichen kann ein solcher datenschutzrechtlicher Verstoß im Einzelfall zudem durch eine Verwarnung gemäß Art. 58 Abs. 2 lit. b) DS-GVO oder ein Bußgeld Art. 58 Abs. 2 lit. i) DS-GVO i.V.m. Art. 83 Abs. 5 lit. a) DS-GVO geahndet werden.