„Löschen bitte“: Eine Aufforderung muss reichen
Widerruf ist nur einmal notwendig
„Stützen sich verschiedene Verantwortliche auf ein und dieselbe Einwilligung der betroffenen Person, genügt es, wenn sich diese Person an irgendeinen der Verantwortlichen wendet, um ihre Einwilligung zu widerrufen“, heißt es in der Pressemitteilung des EuGH zur Rechtssache C-129/21. Es ist also nur ein einziger Widerruf notwendig, damit der „für die Verarbeitung personenbezogener Daten Verantwortliche“ verpflichtet ist, „angemessene Maßnahmen zu ergreifen, um Suchmaschinenanbieter über einen Löschungsantrag der betroffenen Person zu informieren.“
Kunde klagte gegen Telefonanbieter
Bisher handhaben viele Unternehmen das anders – zum Beispiel der belgische Telefonanbieter Proximus. Der Dienstleister bietet neben Telefonverträgen auch Teilnehmerverzeichnisse und Telefonauskunftsdienste mit persönlichen Daten wie Namen, Adressen und Telefonnummern an. Diese Daten werden auch an andere Anbieter und Suchmaschinen weitergeleitet.
Ein Kunde reichte Klage gegen diese Praxis ein. Denn er hatte seine neue Telefonnummer in einem online-Verzeichnis gefunden – ohne dass er vorher in die Veröffentlichung eingewilligt hatte.
Telefonanbieter wehrte sich
„Proximus wehrte sich und argumentierte, dass die Einwilligung des Kunden für die Veröffentlichung seiner Daten in Telefonverzeichnissen nicht erforderlich sei“, berichtet das IT-Newsportal golem.
Vielmehr müsse der Kunde „nach einem sogenannten Opt-out-Verfahren selber beantragen, nicht aufgeführt zu werden. Solange das nicht geschehe, müssten Daten nicht gelöscht werden.“
EuGH gibt Kunden recht
Der Europäische Gerichtshof gab in seinem Urteil jedoch dem Kunden recht, der die Klage eingereicht hatte.
Bevor Daten veröffentlicht werden, ist auf jeden Fall „die Einwilligung eines ordnungsgemäß unterrichteten Teilnehmers für die Veröffentlichung seiner personenbezogenen Daten in einem öffentlichen Teilnehmerverzeichnis erforderlich“, heißt es in der Pressemitteilung des EuGH. „Diese Einwilligung erstreckt sich auf jede weitere Verarbeitung der Daten durch dritte Unternehmen (…) sofern diese Verarbeitung denselben Zweck verfolgt“.
Kunden können Löschung erwirken
Kunden müssen laut EuGH aber auch „die Möglichkeit haben (…), die Löschung ihrer personenbezogenen Daten aus Teilnehmerverzeichnissen zu erwirken.“ Dafür reiche es aus, wenn der Kunde nur ein einziges Mal seine Einwilligung widerrufe.
Verantwortliche müssen technische und organisatorische Maßnahmen treffen
Für Unternehmen bedeutet das Urteil des Europäisches Gerichtshofs: „Der für die Verarbeitung personenbezogener Daten Verantwortliche muss geeignete technische und organisatorische Maßnahmen treffen, um die anderen Verantwortlichen, die ihm diese Daten übermittelt haben bzw. denen er die Daten weitergeleitet hat, über den Widerruf der Einwilligung der betroffenen Person zu informieren.“
DIE Zeitschrift für Datenschutzbeauftragte
Theorie war gestern – wir unterstützen Sie im DSB-Alltag! Datenschutz PRAXIS liefert Ihnen jeden Monat schnell lesbares Know-how auf 20 Seiten und eine Download-Flat für Arbeitshilfen, Checklisten u.v.m. Auch papierlos als reines Online-Abo erhältlich!
Mehr Informationen:
- Pressemitteilung des EuGH am 27. Oktober 2022: https://curia.europa.eu/jcms/upload/docs/application/pdf/2022-10/cp220171de.pdf
- Bericht im IT-Newsportal golem am 27. Oktober 2022: https://www.golem.de/news/eugh-urteil-eine-einzige-loeschaufforderung-muss-reichen-2210-169297.html