Belgische Telefonverzeichnisse: Consent for whom it concerns?

Erreichbarkeit wider Willen?

Hintergrund des Vorabentscheidungsverfahrens war ein Rechtsstreit zwischen Proximus – einem belgischen Telekommunikationskonzern – und der belgischen Datenschutzbehörde. Proximus bietet unter anderem öffentlich zugängliche Telefonverzeichnisse an, in denen Kund*innen mit Namen, Adressen und Telefonnummern („Kund*innendaten“) gelistet werden. Diese Kund*innendaten werden von anderen Telefondiensteanbietern an Proximus übermittelt, der sie seinerseits wiederum an andere Anbieter weiterleitet und die ggf. anschließend auch in deren Verzeichnissen veröffentlicht werden. Es entsteht somit eine „Kette“ unabhängiger Verarbeitungsvorgänge.

Betroffen hiervon war auch der Kunde eines anderen Telefondienstanbieters, dessen Daten an Proximus übermittelt, veröffentlicht und weiterverteilt wurden. Der Kunde forderte Proximus daraufhin (wiederholt) auf, seine Daten aus dem Telefonverzeichnis zu entfernen. Er war der Ansicht, die Veröffentlichung seiner Daten dürfe nur mit seiner vorherigen Einwilligung erfolgen. Da er diese nicht erteilt hatte, forderte er Proximus auf, die Daten aus dem eigenen Verzeichnis zu löschen und verbundene Telefonanbieter über das Löschbegehren zu informieren. Gegen die zeitgleich durch den Kunden eingelegte Beschwerde bei der belgischen Datenschutzbehörde wehrte sich Proximus u.a. mit dem Hinweis, es sei keine Einwilligung erforderlich und die Daten seien erst auf die (nachträgliche) Mitteilung des Kunden im Wege einer Opt-Out-Lösung aus dem Verzeichnis zu entfernen.

Was sagt der EuGH?

Aus reduzierten Informationspflichten bei der Einwilligung…

Der Gerichtshof stellt zunächst fest, dass Kund*innen vor Veröffentlichung ihrer Daten in Telefonverzeichnissen einwilligen müssen und folgt damit nicht der Argumentation von Proximus.

Die Einwilligung muss den Anforderungen der DSGVO (Art. 4 Nr. 11 DSGVO) genügen, wonach eine „in informierter Weise und unmissverständlich abgegebene Willensbekundung“ erforderlich ist. Im vorliegenden Fall sei es notwendig aber auch ausreichend, dass Kund*innen über die Möglichkeit der Weitergabe ihrer Daten an ein drittes Unternehmen zum Zweck der Veröffentlichung in einem Teilnehmerverzeichnis informiert werden. Die Einwilligung setze hingegen nicht voraus, dass die betroffenen Kund*innen im Zeitpunkt der Erklärung bereits die Identität aller verantwortlichen Verarbeiter kennen, für die die Einwilligung gelten soll.

Nach Auffassung des EuGH müssen die Kund*innen also nur einmal in die Veröffentlichung ihrer Daten in einem Telefonverzeichnis einwilligen und legitimieren damit auch alle Verarbeitungsvorgänge von Drittunternehmen, die ebenfalls zu diesem Zweck erfolgen. Der Gerichtshof verfolgt damit gewissermaßen einen „zweckorientierten“ und keinen „verarbeiterorientierten“ Ansatz.

…folgen erhöhte Organisationspflichten bei dem Löschbegehren

Die reduzierten Anforderungen bei der Erteilung der Einwilligung gehen nach Auffassung des EuGH Hand-in-Hand mit erhöhten Anforderungen beim Umgang mit Löschbegehren der Kund*innen. Wünschen diese nicht mehr mit ihren Daten in den Telefonverzeichnissen gelistet zu werden, sei dies Ausdruck ihres „Rechts auf Vergessenwerden“ (Art. 17 DSGVO). Zugleich sei dies als Widerruf der vormals erteilten Einwilligung zu verstehen.

Für den Widerruf muss es nach Ansicht des EuGH ausreichen, dass sich die betroffene Person an irgendeinen der Verarbeiter in der Kette wendet. Das folge aus dem Grundsatz der Effektivität und Einfachheit des Widerrufs.

Legt man dies zugrunde, muss sichergestellt sein, dass die Information über den Widerruf auch effektiv innerhalb der Verarbeitungskette zwischen den Verarbeitern geteilt wird. Das Unternehmen, an das der Widerruf gerichtet ist, muss deshalb geeignete Maßnahmen ergreifen, um sowohl den eigenen „Datenzulieferer“ als auch den/die „Datenempfänger“ über den Widerruf in Kenntnis zu setzen.

Achtung: Die Entscheidung ist nur beschränkt verallgemeinerungsfähig

Bemerkenswert ist die Entscheidung insbesondere deshalb, weil der EuGH eine Einwilligung auch bei Unkenntnis über den genauen Kreis der verarbeitenden Verantwortlichen für möglich hält. In der bisherigen Rechtsprechung wurde hingegen stets betont, dass die einwilligende Person wissen müsse, gegenüber welchen Verantwortlichen die Einwilligung gelten solle. Vor diesem Hintergrund drängt sich die Frage auf: Beschränkt sich die Entscheidung auf den Markt für Telefonverzeichnisse oder hat der EuGH hierdurch allgemein die Anforderungen an Einwilligung und Widerruf neu bestimmt?

Viel deutet darauf hin, dass sich die Erwägungen des EuGH auf die spezielle Situation im Telekommunikationsbereich beziehen und daher nicht ohne Weiteres verallgemeinert werden sollten:

Hierfür spricht zum einen, dass der EuGH mit starkem Bezug auf den Wortlaut und die Erwägungsgründe des Art. 12 RL 2002/58/EG („e-Privacy-RL“) argumentiert. Die e-Privacy-RL regelt besondere Anforderungen an die Datenverarbeitung im Zusammenhang mit Teilnehmerverzeichnissen. Teilnehmer müssen nach der Richtlinie vor Aufnahme in das Teilnehmerverzeichnis „über den Zweck bzw. die Zwecke“ informiert werden, für die die Listung ihrer Daten erfolgt (Art. 12 Abs. 1 e-Privacy-RL). Hieraus folgert der EuGH, dass bei der Einwilligung im Zusammenhang mit Telefonverzeichnissen der Zweck der Verarbeitung, nicht jedoch einzelne Verarbeitungsvorgänge betrachtet werden müssen.

Noch weitergehend kommt der EuGH sogar zu dem Schluss, dass Kund*innen kein Recht auf eine selektive Entscheidung zugunsten bestimmter Anbieter zusteht. Das bedeutet: Haben Kund*innen einmal in die Listung eingewilligt, dürfen sie sich nicht aussuchen, bei welchen Anbietern sie gelistet werden möchten. Der EuGH begründet seinen Standpunkt mit den allgemein zu erwartenden Kund*inneninteressen bei Listung in Telefonverzeichnissen. Kund*innen, die der Veröffentlichung ihrer Daten in einem Telefonverzeichnis zugestimmt haben, hätten im Allgemeinen kein Interesse an einem Widerspruch gegen die Veröffentlichung derselben Daten in einem anderen Verzeichnis.

Fazit

Die Entscheidung des EuGH vereinfacht es betroffenen Kund*innen, ihr Recht auf Vergessenwerden bei Listung in Telefonverzeichnissen auszuüben. Ob die Entscheidung Folgen für Verarbeitungssituationen außerhalb öffentlicher Verzeichnisse hat, bleibt abzuwarten. Vieles spricht dafür, dass aus der Entscheidung keine verallgemeinerungsfähigen Erwägungen abgeleitet werden können.