CELEX: 62017CJ0507
Vorlage zur Vorabentscheidung
Personenbezogene Daten
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten
Richtlinie 95/46/EG
Verordnung (EU) 2016/679
Suchmaschinen im Internet
Verarbeitung von Daten, die sich auf Websites befinden
Räumliche Reichweite des Rechts auf Auslistung

Das Vorabentscheidungsersuchen betrifft die Auslegung der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (
ABl. 1995, L 281, S. 31
).
Es ergeht im Rahmen eines Rechtsstreits zwischen der Google LLC als Nachfolgerin der Google Inc. und der Commission nationale de l’informatique et des libertés (CNIL, Nationaler Ausschuss für Informatik und Freiheitsrechte, Frankreich) über eine von dieser gegen Google verhängte Sanktion von 100000 Euro wegen der Weigerung des Unternehmens, in Fällen, in denen es einem Auslistungsantrag stattgibt, die Auslistung auf sämtliche Domains seiner Suchmaschine anzuwenden.
Rechtlicher Rahmen
Unionsrecht
Richtlinie 95/46
Gegenstand der Richtlinie 95/46 ist nach ihrem Art. 1 Abs. 1 der Schutz der Grundrechte und Grundfreiheiten und insbesondere der Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten sowie die Beseitigung der Hemmnisse für den freien Verkehr dieser Daten.
In den Erwägungsgründen 2, 7, 10, 18, 20 und 37 der Richtlinie 95/46 heißt es:
„(2)
Die Datenverarbeitungssysteme stehen im Dienste des Menschen; sie haben, ungeachtet der Staatsangehörigkeit oder des Wohnorts der natürlichen Personen, deren Grundrechte und ‑freiheiten und insbesondere deren Privatsphäre zu achten und … zum Wohlergehen der Menschen beizutragen.
…
(7)
Das unterschiedliche Niveau des Schutzes der Rechte und Freiheiten von Personen, insbesondere der Privatsphäre, bei der Verarbeitung personenbezogener Daten in den Mitgliedstaaten kann die Übermittlung dieser Daten aus dem Gebiet eines Mitgliedstaats in das Gebiet eines anderen Mitgliedstaats verhindern. Dieses unterschiedliche Schutzniveau kann somit ein Hemmnis für die Ausübung einer Reihe von Wirtschaftstätigkeiten auf Gemeinschaftsebene darstellen, …
…
(10)
Gegenstand der einzelstaatlichen Rechtsvorschriften über die Verarbeitung personenbezogener Daten ist die Gewährleistung der Achtung der Grundrechte und ‑freiheiten, insbesondere des auch in Artikel 8 der [am 4. November 1950 in Rom unterzeichneten] Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten und in den allgemeinen Grundsätzen des Gemeinschaftsrechts anerkannten Rechts auf die Privatsphäre. Die Angleichung dieser Rechtsvorschriften darf deshalb nicht zu einer Verringerung des durch diese Rechtsvorschriften garantierten Schutzes führen, sondern muss im Gegenteil darauf abzielen, in der Gemeinschaft ein hohes Schutzniveau sicherzustellen.
…
(18)
Um zu vermeiden, dass einer Person der gemäß dieser Richtlinie gewährleistete Schutz vorenthalten wird, müssen auf jede in der Gemeinschaft erfolgte Verarbeitung personenbezogener Daten die Rechtsvorschriften eines Mitgliedstaats angewandt werden. …
…
(20)
Die Niederlassung des für die Verarbeitung Verantwortlichen in einem Drittland darf dem Schutz der Personen gemäß dieser Richtlinie nicht entgegenstehen. In diesem Fall sind die Verarbeitungen dem Recht des Mitgliedstaats zu unterwerfen, in dem sich die für die betreffenden Verarbeitungen verwendeten Mittel befinden, und Vorkehrungen zu treffen, um sicherzustellen, dass die in dieser Richtlinie vorgesehenen Rechte und Pflichten tatsächlich eingehalten werden.
…
(37)
Für die Verarbeitung personenbezogener Daten zu journalistischen, literarischen oder künstlerischen Zwecken, insbesondere im audiovisuellen Bereich, sind Ausnahmen von bestimmten Vorschriften dieser Richtlinie vorzusehen, soweit sie erforderlich sind, um die Grundrechte der Person mit der Freiheit der Meinungsäußerung und insbesondere der Freiheit, Informationen zu erhalten oder weiterzugeben, die insbesondere in Artikel 10 der Europäischen Konvention zum Schutze der Menschenrechte und der Grundfreiheiten garantiert ist, in Einklang zu bringen. Es obliegt deshalb den Mitgliedstaaten, unter Abwägung der Grundrechte Ausnahmen und Einschränkungen festzulegen, die bei den allgemeinen Maßnahmen zur Rechtmäßigkeit der Verarbeitung von Daten … erforderlich sind …“
Art. 2 dieser Richtlinie bestimmt:
„Im Sinne dieser Richtlinie bezeichnet der Ausdruck
a)
‚personenbezogene Daten‘ alle Informationen über eine bestimmte oder bestimmbare natürliche Person (‚betroffene Person‘) …
b)
‚Verarbeitung personenbezogener Daten‘ (‚Verarbeitung‘) jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten;
…
d)
‚für die Verarbeitung Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet …
…“
Art. 4 („Anwendbares einzelstaatliches Recht“) der Richtlinie lautet:
„(1)   Jeder Mitgliedstaat wendet die Vorschriften, die er zur Umsetzung dieser Richtlinie erlässt, auf alle Verarbeitungen personenbezogener Daten an,
a)
die im Rahmen der Tätigkeiten einer Niederlassung ausgeführt werden, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet dieses Mitgliedstaats besitzt. Wenn der Verantwortliche eine Niederlassung im Hoheitsgebiet mehrerer Mitgliedstaaten besitzt, ergreift er die notwendigen Maßnahmen, damit jede dieser Niederlassungen die im jeweils anwendbaren einzelstaatlichen Recht festgelegten Verpflichtungen einhält;
b)
die von einem für die Verarbeitung Verantwortlichen ausgeführt werden, der nicht in seinem Hoheitsgebiet, aber an einem Ort niedergelassen ist, an dem das einzelstaatliche Recht dieses Mitgliedstaats gemäß dem internationalen öffentlichen Recht Anwendung findet;
c)
die von einem für die Verarbeitung Verantwortlichen ausgeführt werden, der nicht im Gebiet der Gemeinschaft niedergelassen ist und zum Zwecke der Verarbeitung personenbezogener Daten auf automatisierte oder nicht automatisierte Mittel zurückgreift, die im Hoheitsgebiet des betreffenden Mitgliedstaats belegen sind, es sei denn, dass diese Mittel nur zum Zweck der Durchfuhr durch das Gebiet der Europäischen Gemeinschaft verwendet werden.
(2)   In dem in Absatz 1 Buchstabe c) genannten Fall hat der für die Verarbeitung Verantwortliche einen im Hoheitsgebiet des genannten Mitgliedstaats ansässigen Vertreter zu benennen, unbeschadet der Möglichkeit eines Vorgehens gegen den für die Verarbeitung Verantwortlichen selbst.“
Art. 9 („Verarbeitung personenbezogener Daten und Meinungsfreiheit“) der Richtlinie 95/46 bestimmt:
„Die Mitgliedstaaten sehen für die Verarbeitung personenbezogener Daten, die allein zu journalistischen, künstlerischen oder literarischen Zwecken erfolgt, Abweichungen und Ausnahmen von diesem Kapitel sowie von den Kapiteln IV und VI nur insofern vor, als sich dies als notwendig erweist, um das Recht auf Privatsphäre mit den für die Freiheit der Meinungsäußerung geltenden Vorschriften in Einklang zu bringen.“
Art. 12 („Auskunftsrecht“) dieser Richtlinie sieht vor:
„Die Mitgliedstaaten garantieren jeder betroffenen Person das Recht, vom für die Verarbeitung Verantwortlichen folgendes zu erhalten:
…
b)
je nach Fall die Berichtigung, Löschung oder Sperrung von Daten, deren Verarbeitung nicht den Bestimmungen dieser Richtlinie entspricht, insbesondere wenn diese Daten unvollständig oder unrichtig sind;
…“
Art. 14 („Widerspruchsrecht der betroffenen Person“) der Richtlinie bestimmt:
„Die Mitgliedstaaten erkennen das Recht der betroffenen Person an,
a)
zumindest in den Fällen von Artikel 7 Buchstaben e) und f) jederzeit aus überwiegenden, schutzwürdigen, sich aus ihrer besonderen Situation ergebenden Gründen dagegen Widerspruch einlegen zu können, dass sie betreffende Daten verarbeitet werden; dies gilt nicht bei einer im einzelstaatlichen Recht vorgesehenen entgegenstehenden Bestimmung. Im Fall eines berechtigten Widerspruchs kann sich die vom für die Verarbeitung Verantwortlichen vorgenommene Verarbeitung nicht mehr auf diese Daten beziehen;
…“
Art. 24 („Sanktionen“) der Richtlinie 95/46 sieht vor:
„Die Mitgliedstaaten ergreifen geeignete Maßnahmen, um die volle Anwendung der Bestimmungen dieser Richtlinie sicherzustellen, und legen insbesondere die Sanktionen fest, die bei Verstößen gegen die zur Umsetzung dieser Richtlinie erlassenen Vorschriften anzuwenden sind.“
In Art. 28 („Kontrollstelle“) dieser Richtlinie heißt es:
„(1)   Die Mitgliedstaaten sehen vor, dass eine oder mehrere öffentliche Stellen beauftragt werden, die Anwendung der von den Mitgliedstaaten zur Umsetzung dieser Richtlinie erlassenen einzelstaatlichen Vorschriften in ihrem Hoheitsgebiet zu überwachen.
…
(3)   Jede Kontrollstelle verfügt insbesondere über:
–
Untersuchungsbefugnisse, wie das Recht auf Zugang zu Daten, die Gegenstand von Verarbeitungen sind, und das Recht auf Einholung aller für die Erfüllung ihres Kontrollauftrags erforderlichen Informationen;
–
wirksame Einwirkungsbefugnisse, wie beispielsweise … die Befugnis, die Sperrung, Löschung oder Vernichtung von Daten oder das vorläufige oder endgültige Verbot einer Verarbeitung anzuordnen, …
…
Gegen beschwerende Entscheidungen der Kontrollstelle steht der Rechtsweg offen.
(4)   Jede Person oder ein sie vertretender Verband kann sich zum Schutz der die Person betreffenden Rechte und Freiheiten bei der Verarbeitung personenbezogener Daten an jede Kontrollstelle mit einer Eingabe wenden. Die betroffene Person ist darüber zu informieren, wie mit der Eingabe verfahren wurde.
…
(6)   Jede Kontrollstelle ist im Hoheitsgebiet ihres Mitgliedstaats für die Ausübung der ihr gemäß Absatz 3 übertragenen Befugnisse zuständig, unabhängig vom einzelstaatlichen Recht, das auf die jeweilige Verarbeitung anwendbar ist. Jede Kontrollstelle kann von einer Kontrollstelle eines anderen Mitgliedstaats um die Ausübung ihrer Befugnisse ersucht werden.
Die Kontrollstellen sorgen für die zur Erfüllung ihrer Kontrollaufgaben notwendige gegenseitige Zusammenarbeit, insbesondere durch den Austausch sachdienlicher Informationen.
…“
Verordnung (EU) 2016/679
Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung) (
ABl. 2016, L 119, S. 1
, und Berichtigungen im
ABl. 2016, L 314, S. 72
, und
ABl. 2018, L 127, S. 2
) gilt ausweislich ihres Art. 99 Abs. 2 seit dem 25. Mai 2018. Gemäß Art. 94 Abs. 1 dieser Verordnung wird die Richtlinie 95/46 mit Wirkung von diesem Datum aufgehoben.
In den Erwägungsgründen 1, 4, 9 bis 11, 13, 22 bis 25 und 65 dieser Verordnung heißt es:
„(1)
Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union (im Folgenden ‚Charta‘) sowie Artikel 16 Absatz 1 [AEUV] hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten.
…
(4)
Die Verarbeitung personenbezogener Daten sollte im Dienste der Menschheit stehen. Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht; es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere Achtung des Privat- und Familienlebens, … Schutz personenbezogener Daten, Gedanken‑, Gewissens- und Religionsfreiheit, Freiheit der Meinungsäußerung und Informationsfreiheit, unternehmerische Freiheit, …
…
(9)
Die … Richtlinie 95/46… hat … nicht verhindern können, dass der Datenschutz in der Union unterschiedlich gehandhabt wird, … Unterschiede beim Schutzniveau … in den Mitgliedstaaten, … können den unionsweiten freien Verkehr solcher Daten behindern. Diese Unterschiede im Schutzniveau können daher ein Hemmnis für die unionsweite Ausübung von Wirtschaftstätigkeiten darstellen …
(10)
Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. …
(11)
Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen sowie eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden, ebenso wie – in den Mitgliedstaaten – gleiche Befugnisse bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie gleiche Sanktionen im Falle ihrer Verletzung.
…
(13)
Damit in der Union ein gleichmäßiges Datenschutzniveau für natürliche Personen gewährleistet ist und Unterschiede, die den freien Verkehr personenbezogener Daten im Binnenmarkt behindern könnten, beseitigt werden, ist eine Verordnung erforderlich, die für die Wirtschaftsteilnehmer … Rechtssicherheit und Transparenz schafft, natürliche Personen in allen Mitgliedstaaten mit demselben Niveau an durchsetzbaren Rechten ausstattet, dieselben Pflichten und Zuständigkeiten für die Verantwortlichen und Auftragsverarbeiter vorsieht und eine gleichmäßige Kontrolle der Verarbeitung personenbezogener Daten und gleichwertige Sanktionen in allen Mitgliedstaaten sowie eine wirksame Zusammenarbeit zwischen den Aufsichtsbehörden der einzelnen Mitgliedstaaten gewährleistet. Das reibungslose Funktionieren des Binnenmarkts erfordert, dass der freie Verkehr personenbezogener Daten in der Union nicht aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten eingeschränkt oder verboten wird. …
…
(22)
Jede Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union sollte gemäß dieser Verordnung erfolgen, gleich, ob die Verarbeitung in oder außerhalb der Union stattfindet. …
(23)
Damit einer natürlichen Person der gemäß dieser Verordnung gewährleistete Schutz nicht vorenthalten wird, sollte die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter dieser Verordnung unterliegen, wenn die Verarbeitung dazu dient, diesen betroffenen Personen gegen Entgelt oder unentgeltlich Waren oder Dienstleistungen anzubieten. Um festzustellen, ob dieser Verantwortliche oder Auftragsverarbeiter betroffenen Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbietet, sollte festgestellt werden, ob der Verantwortliche oder Auftragsverarbeiter offensichtlich beabsichtigt, betroffenen Personen in einem oder mehreren Mitgliedstaaten der Union Dienstleistungen anzubieten. …
(24)
Die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter sollte auch dann dieser Verordnung unterliegen, wenn sie dazu dient, das Verhalten dieser betroffenen Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt. Ob eine Verarbeitungstätigkeit der Beobachtung des Verhaltens von betroffenen Personen gilt, sollte daran festgemacht werden, ob ihre Internetaktivitäten nachvollzogen werden, einschließlich der möglichen nachfolgenden Verwendung von Techniken zur Verarbeitung personenbezogener Daten, durch die von einer natürlichen Person ein Profil erstellt wird, das insbesondere die Grundlage für sie betreffende Entscheidungen bildet oder anhand dessen ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheiten analysiert oder vorausgesagt werden sollen.
(25)
Ist nach Völkerrecht das Recht eines Mitgliedstaats anwendbar, z. B. in einer diplomatischen oder konsularischen Vertretung eines Mitgliedstaats, so sollte die Verordnung auch auf einen nicht in der Union niedergelassenen Verantwortlichen Anwendung finden.
…
(65)
Eine betroffene Person sollte … ein ‚Recht auf Vergessenwerden‘ [besitzen], wenn die Speicherung ihrer Daten gegen diese Verordnung oder gegen das Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, verstößt. … Die weitere Speicherung der personenbezogenen Daten sollte jedoch rechtmäßig sein, wenn dies für die Ausübung des Rechts auf freie Meinungsäußerung und Information … erforderlich ist.“
Art. 3 („Räumlicher Anwendungsbereich“) der Verordnung 2016/679 lautet:
„(1)   Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.
(2)   Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht
a)
betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist;
b)
das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.
(3)   Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen Verantwortlichen an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt.“
Art. 4 Nr. 23 dieser Verordnung definiert den Begriff „grenzüberschreitende Verarbeitung“ wie folgt:
„a)
eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten von Niederlassungen eines Verantwortlichen oder eines Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat erfolgt, wenn der Verantwortliche oder Auftragsverarbeiter in mehr als einem Mitgliedstaat niedergelassen ist, oder
b)
eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten einer einzelnen Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, die jedoch erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann.“
Art. 17 („Recht auf Löschung [‚Recht auf Vergessenwerden‘]“) der Verordnung bestimmt:
„(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
a)
Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
b)
Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
c)
Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
d)
Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
e)
Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
f)
Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.
…
(3)   Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist:
a)
zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
…“
Art. 21 („Widerspruchsrecht“) der Verordnung sieht in Abs. 1 vor:
„Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.“
Art. 55 („Zuständigkeit“) in Kapitel VI („Unabhängige Aufsichtsbehörden“) der Verordnung 2016/679 bestimmt in Abs. 1:
„Jede Aufsichtsbehörde ist für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.“
Art. 56 („Zuständigkeit der federführenden Aufsichtsbehörde“) dieser Verordnung lautet:
„(1)   Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.
(2)   Abweichend von Absatz 1 ist jede Aufsichtsbehörde dafür zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen diese Verordnung zu befassen, wenn der Gegenstand nur mit einer Niederlassung in ihrem Mitgliedstaat zusammenhängt oder betroffene Personen nur ihres Mitgliedstaats erheblich beeinträchtigt.
(3)   In den in Absatz 2 des vorliegenden Artikels genannten Fällen unterrichtet die Aufsichtsbehörde unverzüglich die federführende Aufsichtsbehörde über diese Angelegenheit. Innerhalb einer Frist von drei Wochen nach der Unterrichtung entscheidet die federführende Aufsichtsbehörde, ob sie sich mit dem Fall gemäß dem Verfahren nach Artikel 60 befasst oder nicht, wobei sie berücksichtigt, ob der Verantwortliche oder der Auftragsverarbeiter in dem Mitgliedstaat, dessen Aufsichtsbehörde sie unterrichtet hat, eine Niederlassung hat oder nicht.
(4)   Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall zu befassen, so findet das Verfahren nach Artikel 60 Anwendung. Die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, kann dieser einen Beschlussentwurf vorlegen. Die federführende Aufsichtsbehörde trägt diesem Entwurf bei der Ausarbeitung des Beschlussentwurfs nach Artikel 60 Absatz 3 weitestgehend Rechnung.
(5)   Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall nicht selbst zu befassen, so befasst die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, sich mit dem Fall gemäß den Artikeln 61 und 62.
(6)   Die federführende Aufsichtsbehörde ist der einzige Ansprechpartner der Verantwortlichen oder der Auftragsverarbeiter für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung.“
Art. 58 („Befugnisse“) der Verordnung sieht in Abs. 2 vor:
„Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
…
g)
die … Löschung von personenbezogenen Daten … gemäß den Artikeln … 17 … anzuordnen,
…
i)
eine Geldbuße … zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls.“
In Kapitel VII („Zusammenarbeit und Kohärenz“) der Verordnung 2016/679 umfasst der Abschnitt I („Zusammenarbeit“) die Art. 60 bis 62 dieser Verordnung. Art. 60 („Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden“) bestimmt:
„(1)   Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.
(2)   Die federführende Aufsichtsbehörde kann jederzeit andere betroffene Aufsichtsbehörden um Amtshilfe gemäß Artikel 61 ersuchen und gemeinsame Maßnahmen gemäß Artikel 62 durchführen, insbesondere zur Durchführung von Untersuchungen oder zur Überwachung der Umsetzung einer Maßnahme in Bezug auf einen Verantwortlichen oder einen Auftragsverarbeiter, der in einem anderen Mitgliedstaat niedergelassen ist.
(3)   Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.
(4)   Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.
(5)   Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.
(6)   Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.
(7)   Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.
(8)   Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Absatz 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den Verantwortlichen in Kenntnis.
(9)   Sind sich die federführende Aufsichtsbehörde und die betreffenden Aufsichtsbehörden darüber einig, Teile der Beschwerde abzulehnen oder abzuweisen und bezüglich anderer Teile dieser Beschwerde tätig zu werden, so wird in dieser Angelegenheit für jeden dieser Teile ein eigener Beschluss erlassen. …
(10)   Nach der Unterrichtung über den Beschluss der federführenden Aufsichtsbehörde gemäß den Absätzen 7 und 9 ergreift der Verantwortliche oder der Auftragsverarbeiter die erforderlichen Maßnahmen, um die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union mit dem Beschluss in Einklang zu bringen. Der Verantwortliche oder der Auftragsverarbeiter teilt der federführenden Aufsichtsbehörde die Maßnahmen mit, die zur Einhaltung des Beschlusses ergriffen wurden; diese wiederum unterrichtet die anderen betroffenen Aufsichtsbehörden.
(11)   Hat – in Ausnahmefällen – eine betroffene Aufsichtsbehörde Grund zu der Annahme, dass zum Schutz der Interessen betroffener Personen dringender Handlungsbedarf besteht, so kommt das Dringlichkeitsverfahren nach Artikel 66 zur Anwendung.
…“
Art. 61 („Gegenseitige Amtshilfe“) Abs. 1 der Verordnung lautet:
„Die Aufsichtsbehörden übermitteln einander maßgebliche Informationen und gewähren einander Amtshilfe, um diese Verordnung einheitlich durchzuführen und anzuwenden, und treffen Vorkehrungen für eine wirksame Zusammenarbeit. Die Amtshilfe bezieht sich insbesondere auf Auskunftsersuchen und aufsichtsbezogene Maßnahmen, beispielsweise Ersuchen um vorherige Genehmigungen und eine vorherige Konsultation, um Vornahme von Nachprüfungen und Untersuchungen.“
Art. 62 („Gemeinsame Maßnahmen der Aufsichtsbehörden“) sieht vor:
„(1)   Die Aufsichtsbehörden führen gegebenenfalls gemeinsame Maßnahmen einschließlich gemeinsamer Untersuchungen und gemeinsamer Durchsetzungsmaßnahmen durch, an denen Mitglieder oder Bedienstete der Aufsichtsbehörden anderer Mitgliedstaaten teilnehmen.
(2)   Verfügt der Verantwortliche oder der Auftragsverarbeiter über Niederlassungen in mehreren Mitgliedstaaten oder werden die Verarbeitungsvorgänge voraussichtlich auf eine bedeutende Zahl betroffener Personen in mehr als einem Mitgliedstaat erhebliche Auswirkungen haben, ist die Aufsichtsbehörde jedes dieser Mitgliedstaaten berechtigt, an den gemeinsamen Maßnahmen teilzunehmen. …“
In Kapitel VII der Verordnung 2016/679 enthält Abschnitt 2 („Kohärenz“) die Art. 63 bis 67 dieser Verordnung. Art. 63 („Kohärenzverfahren“) lautet:
„Um zur einheitlichen Anwendung dieser Verordnung in der gesamten Union beizutragen, arbeiten die Aufsichtsbehörden im Rahmen des in diesem Abschnitt beschriebenen Kohärenzverfahrens untereinander und gegebenenfalls mit der Kommission zusammen.“
Art. 65 („Streitbeilegung durch den Ausschuss“) der Verordnung sieht in Abs. 1 vor:
„Um die ordnungsgemäße und einheitliche Anwendung dieser Verordnung in Einzelfällen sicherzustellen, erlässt der Ausschuss in den folgenden Fällen einen verbindlichen Beschluss:
a)
wenn eine betroffene Aufsichtsbehörde in einem Fall nach Artikel 60 Absatz 4 einen maßgeblichen und begründeten Einspruch gegen einen Beschlussentwurf der federführenden Behörde eingelegt hat oder die federführende Behörde einen solchen Einspruch als nicht maßgeblich oder nicht begründet abgelehnt hat. Der verbindliche Beschluss betrifft alle Angelegenheiten, die Gegenstand des maßgeblichen und begründeten Einspruchs sind, insbesondere die Frage, ob ein Verstoß gegen diese Verordnung vorliegt;
b)
wenn es widersprüchliche Standpunkte dazu gibt, welche der betroffenen Aufsichtsbehörden für die Hauptniederlassung zuständig ist,
…“
Art. 66 („Dringlichkeitsverfahren“) der Verordnung bestimmt in Abs. 1:
„Unter außergewöhnlichen Umständen kann eine betroffene Aufsichtsbehörde abweichend vom Kohärenzverfahren nach Artikel 63, 64 und 65 oder dem Verfahren nach Artikel 60 sofort einstweilige Maßnahmen mit festgelegter Geltungsdauer von höchstens drei Monaten treffen, die in ihrem Hoheitsgebiet rechtliche Wirkung entfalten sollen, wenn sie zu der Auffassung gelangt, dass dringender Handlungsbedarf besteht, um Rechte und Freiheiten von betroffenen Personen zu schützen. Die Aufsichtsbehörde setzt die anderen betroffenen Aufsichtsbehörden, den Ausschuss und die Kommission unverzüglich von diesen Maßnahmen und den Gründen für deren Erlass in Kenntnis.“
In Art. 85 („Verarbeitung und Freiheit der Meinungsäußerung und Informationsfreiheit“) der Verordnung 2016/679 heißt es:
„(1)   Die Mitgliedstaaten bringen durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang.
(2)   Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, sehen die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel II (Grundsätze), Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.
…“
Französisches Recht
Die Richtlinie 95/46 ist mit der Loi n
o
78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Gesetz Nr. 78‑17 vom 6. Januar 1978 über Informatik, Dateien und Freiheiten) in der auf den Sachverhalt des Ausgangsverfahrens anwendbaren Fassung (im Folgenden: Gesetz vom 6. Januar 1978) in französisches Recht umgesetzt worden.
Nach Art. 45 dieses Gesetzes kann der Präsident der CNIL, wenn der für die Datenverarbeitung Verantwortliche den Verpflichtungen aus diesem Gesetz nicht nachkommt, diesen auffordern, den festgestellten Verstoß innerhalb einer von ihm gesetzten Frist abzustellen. Kommt der für die Datenverarbeitung Verantwortliche der an ihn gerichteten Aufforderung nicht nach, kann der kleine Senat der CNIL nach einem kontradiktorischen Verfahren u. a. eine Geldbuße verhängen.
Ausgangsverfahren und Vorlagefragen
Mit Beschluss vom 21. Mai 2015 forderte die Präsidentin der CNIL Google auf, in Fällen, in denen diese einem Antrag einer natürlichen Person stattgibt, der auf die Entfernung von Links zu Websites aus der im Anschluss an eine Suche anhand ihres Namens angezeigten Ergebnisliste gerichtet ist, die Links auf sämtlichen Domains ihrer Suchmaschine zu entfernen.
Google weigerte sich, dieser Aufforderung nachzukommen, und entfernte die betreffenden Links nur aus den Ergebnissen, die bei Sucheingaben auf Domains angezeigt wurden, die den Versionen ihrer Suchmaschine in den Mitgliedstaaten entsprachen.
Die CNIL erachtete darüber hinaus den von Google nach Ablauf der Aufforderungsfrist gemachten zusätzlichen Vorschlag des Geoblockings für unzureichend, das darin besteht, dass die Möglichkeit wegfällt, von einer im Wohnsitzstaat der betroffenen Person verorteten IP(
Internet Protocol
)-Adresse die streitigen Ergebnisse im Anschluss an eine Suche anhand des Namens dieser Person abzurufen, und zwar unabhängig von der länderspezifischen Version der Suchmaschine, die der Internetnutzer verwendet hat.
Im Anschluss an die Feststellung, dass Google der genannten Aufforderung nicht fristgerecht nachgekommen sei, verhängte die CNIL mit Beschluss vom 10. März 2016 gegen diese eine öffentlich gemachte Sanktion von 100000 Euro.
Google erhob beim Conseil d’État (Staatsrat, Frankreich) Klage auf Nichtigerklärung dieses Beschlusses.
Der Conseil d’État (Staatsrat) stellt fest, dass die Verarbeitung personenbezogener Daten durch die von Google betriebene Suchmaschine in Anbetracht der von ihrer Tochtergesellschaft Google France in Frankreich ausgeübten Tätigkeiten der Förderung des Verkaufs von Werbeflächen und dieses Verkaufs selbst in den Anwendungsbereich des Gesetzes vom 6. Januar 1978 falle.
Die von Google betriebene Suchmaschine sei in verschiedene Domains mit länderspezifischen Top-Level-Domains aufgespalten, um die angezeigten Ergebnisse an die – insbesondere sprachlichen – Eigenheiten der verschiedenen Länder, in denen sie ihre Tätigkeit ausübe, anzupassen. Erfolge die Suche von „google.com“ aus, leite Google diese Suche grundsätzlich automatisch zu der jeweiligen Domain des Landes weiter, von dem aus diese Suche anhand der Identifizierung der IP-Adresse des Internetnutzers als erfolgt gelte. Doch unabhängig von seinem Standort stehe es dem Internetnutzer frei, seine Recherchen auf anderen Domains der Suchmaschine vorzunehmen. Darüber hinaus könnten zwar die Ergebnisse je nach Domain, von der aus die Suche in der Suchmaschine durchgeführt werde, variieren, es stehe jedoch fest, dass die als Ergebnis einer Suche angezeigten Links aus gemeinsamen Datenbanken und gemeinsamer Indexierung stammten.
Die Suchmaschine von Google, die im Übrigen nur Gegenstand einer einzigen Anzeige bei der CNIL gewesen sei, sei im Sinne des Gesetzes vom 6. Januar 1978 als einheitliche Verarbeitung personenbezogener Daten anzusehen, zum einen im Hinblick darauf, dass die Domains dieser Suchmaschine alle vom französischen Hoheitsgebiet aus abrufbar seien und zum anderen darauf, dass Verbindungen zwischen diesen unterschiedlichen Domains bestünden, wie u. a. die automatische Weiterleitung zeige, und dass zudem Cookies auf anderen Top-Level-Domains der Suchmaschine als auf jener, auf der sie ursprünglich abgelegt worden seien, existierten. Daher erfolge die Verarbeitung personenbezogener Daten durch die von Google betriebene Suchmaschine im Rahmen einer ihrer Niederlassungen, nämlich der im französischen Hoheitsgebiet belegenen Google France, und unterliege somit dem Gesetz vom 6. Januar 1978.
Google trägt vor dem Conseil d’État (Staatsrat) vor, dass die streitige Sanktion auf einer falschen Auslegung der Bestimmungen des Gesetzes vom 6. Januar 1978 beruhe, die Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46 umsetzten, auf deren Grundlage der Gerichtshof in seinem Urteil vom 13. Mai 2014, Google Spain und Google (
C‑131/12
,
EU:C:2014:317
), ein „Recht auf Auslistung“ anerkannt habe. Dieses Recht setze nicht zwangsläufig voraus, dass die streitigen Links ohne geografische Beschränkung auf sämtlichen Domains ihrer Suchmaschine entfernt würden. Durch die Heranziehung dieser Auslegung habe die CNIL auch gegen die völkerrechtlich anerkannten Grundsätze der Courtoisie und der Nichteinmischung verstoßen und in unverhältnismäßiger Weise in die Freiheit der Meinungsäußerung, die Informationsfreiheit, die Kommunikationsfreiheit und die Pressefreiheit eingegriffen, die u. a. in Art. 11 der Charta verbürgt seien.
Nachdem der Conseil d’État (Staatsrat) festgestellt hat, dass diese Argumentation mehrere ernste Schwierigkeiten bei der Auslegung der Richtlinie 95/46 aufwerfe, hat er beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:
1.
Ist das Recht auf „Auslistung“, wie es der Gerichtshof in seinem Urteil vom 13. Mai 2014, Google Spain und Google (
C‑131/12
,
EU:C:2014:317
), auf der Grundlage der Bestimmungen der Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46 anerkannt hat, dahin auszulegen, dass der Betreiber einer Suchmaschine, wenn er einem Auslistungsantrag stattgibt, diese Auslistung auf sämtlichen Domains seiner Suchmaschine vorzunehmen hat, so dass die streitigen Links unabhängig von dem Ort, an dem eine Suche anhand des Namens des Antragstellers durchgeführt wird, auch außerhalb des räumlichen Anwendungsbereichs der Richtlinie 95/46, nicht mehr angezeigt werden?
2.
Ist das Recht auf „Auslistung“, wie es der Gerichtshof in seinem oben angeführten Urteil anerkannt hat, im Fall der Verneinung der ersten Frage dahin auszulegen, dass der Betreiber einer Suchmaschine, wenn er einem Auslistungsantrag stattgibt, nur verpflichtet ist, die streitigen Links aus den Ergebnissen zu entfernen, die im Anschluss an eine Suche anhand des Namens des Antragstellers auf der Domain angezeigt werden, die dem Staat entspricht, in dem die Suche als erfolgt gilt, oder weitgreifender, auf den Domains der Suchmaschine, die den jeweiligen länderspezifischen Top-Level-Domains für sämtliche Mitgliedstaaten, entsprechen?
3.
Ist das „Recht auf Auslistung“, wie es vom Gerichtshof in seinem oben angeführten Urteil anerkannt wurde, ergänzend zu der in Frage 2 angesprochenen Verpflichtung dahin auszulegen, dass der Betreiber einer Suchmaschine, wenn er einem Auslistungsantrag stattgibt, verpflichtet ist, durch die sogenannte Geoblocking-Technik ausgehend von einer im Wohnsitzstaat desjenigen, dem das „Recht auf Auslistung“ zusteht, verorteten IP-Adresse die streitigen Ergebnisse der anhand des Namens des Berechtigten durchgeführten Suche zu entfernen, oder dies umfassender ausgehend von einer in einem der Mitgliedstaaten, für die die Richtlinie 95/46 gilt, verorteten IP-Adresse tun muss, und zwar unabhängig von der Domain, die der Internetnutzer, der die Suche durchführt, verwendet?
Zu den Vorlagefragen
Das Ausgangsverfahren hat seinen Ursprung in einem Rechtsstreit zwischen Google und der CNIL darüber, wie der Betreiber einer Suchmaschine, wenn er feststellt, dass die betroffene Person verlangen kann, dass ein oder mehrere Links zu Websites, die sie betreffende personenbezogene Daten enthalten, aus der im Anschluss an eine Suche anhand ihres Namens angezeigten Ergebnisliste gelöscht werden, dieses Recht auf Auslistung umzusetzen hat. Zum Zeitpunkt der Einreichung des Vorabentscheidungsersuchens war zwar die Richtlinie 95/46 anwendbar, doch wurde sie mit Wirkung vom 25. Mai 2018, dem Zeitpunkt, ab dem die Verordnung 2016/679 gilt, aufgehoben.
Der Gerichtshof wird die vorgelegten Fragen sowohl im Hinblick auf die Richtlinie als auch im Hinblick auf die Verordnung prüfen, um sicherzustellen, dass seine Antworten dem vorlegenden Gericht auf jeden Fall von Nutzen sein werden.
Im Laufe des Verfahrens vor dem Gerichtshof hat Google erklärt, dass sie nach Einreichung des Vorabentscheidungsersuchens eine neue Darstellung der nationalen Versionen ihrer Suchmaschine eingeführt habe, bei der der vom Internetnutzer eingegebene Domainname nicht mehr die nationale Version der Suchmaschine bestimme, auf die er Zugriff habe. So werde der Internetnutzer nun automatisch auf die nationale Version der Suchmaschine von Google geleitet, die dem Ort entspreche, bei dem davon ausgegangen werde, dass er die Suche von ihm aus durchführe, und die Ergebnisse der Suche würden nach Maßgabe dieses Ortes angezeigt, der von Google mittels Geolokalisierung ermittelt werde.
Vor diesem Hintergrund sind die vorgelegten Fragen, die gemeinsam zu behandeln sind, dahin zu verstehen, dass mit ihnen geklärt werden soll, ob Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46 sowie Art. 17 Abs. 1 der Verordnung 2016/679 dahin auszulegen sind, dass der Betreiber einer Suchmaschine, wenn er in Anwendung dieser Bestimmungen einem Auslistungsantrag stattgibt, die Auslistung in allen Versionen seiner Suchmaschine, nur in allen mitgliedstaatlichen Versionen oder nur in der Version für den Mitgliedstaat, in dem der Auslistungsantrag gestellt wurde, vorzunehmen hat, gegebenenfalls in Verbindung mit der sogenannten „Geoblocking“-Technik, um sicherzustellen, dass ein Internetnutzer unabhängig von der verwendeten nationalen Version der Suchmaschine bei einer Suche von einer IP-Adresse aus, die im Wohnsitzmitgliedstaat des Inhabers des Rechts auf Auslistung oder allgemein in einem Mitgliedstaat verortet wird, nicht auf die von der Auslistung erfassten Links zugreifen kann.
Zunächst ist darauf hinzuweisen, dass der Gerichtshof entschieden hat, dass Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46 dahin auszulegen sind, dass der Suchmaschinenbetreiber zur Wahrung der in diesen Bestimmungen vorgesehenen Rechte, sofern deren Voraussetzungen erfüllt sind, dazu verpflichtet ist, von der Ergebnisliste, die im Anschluss an eine anhand des Namens einer Person durchgeführte Suche angezeigt wird, Links zu von Dritten veröffentlichten Websites mit Informationen zu dieser Person zu entfernen, auch wenn der Name oder die Informationen auf diesen Websites nicht vorher oder gleichzeitig gelöscht werden und gegebenenfalls auch dann, wenn ihre Veröffentlichung auf den Websites als solche rechtmäßig ist (Urteil vom 13. Mai 2014, Google Spain und Google,
C‑131/12
,
EU:C:2014:317
, Rn.
).
Der Gerichtshof hat ferner klargestellt, dass im Rahmen der Beurteilung der Anwendungsvoraussetzungen der genannten Bestimmungen u. a. zu prüfen ist, ob die betroffene Person ein Recht darauf hat, dass die Information über sie zum gegenwärtigen Zeitpunkt nicht mehr durch eine Ergebnisliste, die im Anschluss an eine anhand ihres Namens durchgeführte Suche angezeigt wird, mit ihrem Namen in Verbindung gebracht wird, wobei die Feststellung eines solchen Rechts nicht voraussetzt, dass der betroffenen Person durch die Einbeziehung der betreffenden Information in die Ergebnisliste ein Schaden entsteht. Da die betroffene Person in Anbetracht ihrer Grundrechte aus den Art. 7 und 8 der Charta verlangen kann, dass die betreffende Information der breiten Öffentlichkeit nicht mehr durch Einbeziehung in eine derartige Ergebnisliste zur Verfügung gestellt wird, überwiegen diese Rechte grundsätzlich nicht nur gegenüber dem wirtschaftlichen Interesse des Suchmaschinenbetreibers, sondern auch gegenüber dem Interesse der breiten Öffentlichkeit am Zugang zu der Information bei einer anhand des Namens der betroffenen Person durchgeführten Suche. Dies wäre jedoch nicht der Fall, wenn sich aus besonderen Gründen – wie der Rolle der betreffenden Person im öffentlichen Leben – ergeben sollte, dass der Eingriff in die Grundrechte dieser Person durch das überwiegende Interesse der breiten Öffentlichkeit daran, über die Einbeziehung in eine derartige Ergebnisliste Zugang zu der betreffenden Information zu haben, gerechtfertigt ist (Urteil vom 13. Mai 2014, Google Spain und Google,
C‑131/12
,
EU:C:2014:317
, Rn.
).
Im Rahmen der Verordnung 2016/679 ergibt sich das Auslistungsrecht der betroffenen Person nun aus Art. 17 der Verordnung, der speziell das „Recht auf Löschung“ regelt, das in der Überschrift dieses Artikels auch als „Recht auf Vergessenwerden“ bezeichnet wird.
Nach Art. 17 Abs. 1 der Verordnung 2016/679 hat die betroffene Person das Recht, von dem für die Datenverarbeitung Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der in dieser Bestimmung genannten Gründe zutrifft. Nach Art. 17 Abs. 3 dieser Verordnung gilt Art. 17 Abs. 1 nicht, soweit die Verarbeitung aus einem der in Abs. 3 angeführten Gründe erforderlich ist. Zu diesen Gründen gehört nach Art. 17 Abs. 3 Buchst. a der Verordnung u. a. die Ausübung des Rechts der Internetnutzer auf freie Information.
Aus Art. 4 Abs. 1 Buchst. a der Richtlinie 95/46 und Art. 3 Abs. 1 der Verordnung 2016/679 folgt, dass sowohl die Richtlinie als auch die Verordnung es den betroffenen Personen ermöglichen, ihr Recht auf Auslistung gegenüber demjenigen Suchmaschinenbetreiber geltend zu machen, der eine oder mehrere Niederlassungen im Gebiet der Union besitzt, bei deren Tätigkeit er diese Personen betreffende personenbezogene Daten verarbeitet, und zwar unabhängig davon, ob die Verarbeitung in der Union stattfindet.
Der Gerichtshof hat insoweit entschieden, dass eine Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet eines Mitgliedstaats besitzt, ausgeführt wird, wenn der Suchmaschinenbetreiber in einem Mitgliedstaat für die Förderung des Verkaufs der Werbeflächen der Suchmaschine und diesen Verkauf selbst eine Zweigniederlassung oder Tochtergesellschaft gründet, deren Tätigkeit auf die Einwohner dieses Staates ausgerichtet ist (Urteil vom 13. Mai 2014, Google Spain und Google,
C‑131/12
,
EU:C:2014:317
, Rn.
).
Unter solchen Umständen sind nämlich die Tätigkeiten des Suchmaschinenbetreibers und die seiner Niederlassung in der Union untrennbar miteinander verbunden, da die die Werbeflächen betreffenden Tätigkeiten das Mittel darstellen, um die in Rede stehende Suchmaschine wirtschaftlich rentabel zu machen, und die Suchmaschine gleichzeitig das Mittel ist, das die Durchführung dieser Tätigkeiten ermöglicht, da zusammen mit den Ergebnissen auf derselben Seite die mit den Suchbegriffen verknüpften Werbeanzeigen angezeigt werden (vgl. in diesem Sinne Urteil vom 13. Mai 2014, Google Spain und Google,
C‑131/12
,
EU:C:2014:317
, Rn.
und
).
Daher kann der Umstand, dass die Suchmaschine von einem Unternehmen eines Drittstaats betrieben wird, nicht dazu führen, dass die Verarbeitung personenbezogener Daten, die zum Betrieb der Suchmaschine im Rahmen der gewerblichen und Werbetätigkeit einer Niederlassung des für die Verarbeitung Verantwortlichen im Hoheitsgebiet eines Mitgliedstaats ausgeführt wird, den in der Richtlinie 95/46 und der Verordnung 2016/679 vorgesehenen Verpflichtungen und Garantien entzogen wird (vgl. in diesem Sinne Urteil vom 13. Mai 2014, Google Spain und Google,
C‑131/12
,
EU:C:2014:317
, Rn.
).
Im vorliegenden Fall geht aus den Angaben in der Vorlageentscheidung hervor, dass die Niederlassung, die Google im französischen Hoheitsgebiet besitzt, Tätigkeiten ausübt, insbesondere gewerbliche und Werbetätigkeiten, die untrennbar mit der Verarbeitung personenbezogener Daten zum Betrieb der betreffenden Suchmaschine verbunden sind, und dass die Suchmaschine vor allem unter Berücksichtigung der Verbindungen zwischen ihren verschiedenen nationalen Versionen eine einheitliche Verarbeitung personenbezogener Daten ausführt. Das vorlegende Gericht ist der Ansicht, dass die Verarbeitung unter diesen Umständen im Rahmen der Niederlassung von Google erfolge, die ihren Sitz im französischen Hoheitsgebiet habe, was darauf hindeute, dass eine solche Situation in den räumlichen Anwendungsbereich der Richtlinie 95/46 und der Verordnung 2016/679 falle.
Mit seinen Fragen möchte das vorlegende Gericht die räumliche Reichweite einer Auslistung in einer solchen Situation klären.
Insoweit geht aus dem zehnten Erwägungsgrund der Richtlinie 95/46 und den Erwägungsgründen 10, 11 und 13 der auf der Grundlage von Art. 16 AEUV erlassenen Verordnung 2016/679 hervor, dass das Ziel dieser Richtlinie und Verordnung darin besteht, ein hohes Schutzniveau für personenbezogene Daten in der gesamten Union sicherzustellen.
Mit einer Auslistung aus allen Versionen einer Suchmaschine kann dieses Ziel zwar vollständig erreicht werden.
Das Internet ist nämlich ein weltweites Netz ohne Grenzen und die Suchmaschinen verleihen den Informationen und Links in einer im Anschluss an eine Suche anhand des Namens einer natürlichen Person angezeigten Ergebnisliste Ubiquität (vgl. in diesem Sinne Urteile vom 13. Mai 2014, Google Spain und Google,
C‑131/12
,
EU:C:2014:317
, Rn.
, sowie vom 17. Oktober 2017, Bolagsupplysningen und Ilsjan,
C‑194/16
,
EU:C:2017:766
, Rn.
).
In einer globalisierten Welt kann daher der Zugriff von Internetnutzern, insbesondere derjenigen, die sich außerhalb der Union befinden, auf die Listung eines Links, der zu Informationen über eine Person führt, deren Interessenschwerpunkt in der Union liegt, auch innerhalb der Union unmittelbare und erhebliche Auswirkungen auf diese Person haben.
Diese Erwägungen können die Befugnis des Unionsgesetzgebers rechtfertigen, die Verpflichtung des Suchmaschinenbetreibers vorzusehen, in Fällen, in denen er einem von einer solchen Person gestellten Auslistungsantrag stattgibt, die Auslistung in allen Versionen seiner Suchmaschine vorzunehmen.
Es ist jedoch zu beachten, dass zahlreiche Drittstaaten kein Recht auf Auslistung kennen oder bei diesem Recht einen anderen Ansatz verfolgen.
Außerdem ist das Recht auf Schutz personenbezogener Daten kein uneingeschränktes Recht, sondern muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden (vgl. in diesem Sinne Urteil vom 9. November 2010, Volker und Markus Schecke und Eifert,
C‑92/09 und C‑93/09
,
EU:C:2010:662
, Rn.
, sowie Gutachten 1/15 [PNR-Abkommen EU–Kanada] vom 26. Juli 2017,
EU:C:2017:592
, Rn.
). Auch kann die Abwägung zwischen dem Recht auf Achtung des Privatlebens und auf Schutz personenbezogener Daten einerseits und der Informationsfreiheit der Internetnutzer andererseits weltweit sehr unterschiedlich ausfallen.
Der Unionsgesetzgeber hat zwar für die Union eine Abwägung zwischen diesem Recht und dieser Freiheit vorgenommen (vgl. in diesem Sinne Urteil vom heutigen Tag, GC u. a. [Auslistung sensibler Daten], C‑136/17, Rn. 59), doch hat er eine solche Abwägung nach derzeitigem Stand nicht in Bezug auf die Reichweite einer Auslistung über die Union hinaus durchgeführt.
Insbesondere ergibt sich aus Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46 oder Art. 17 der Verordnung 2016/679 nicht, dass der Unionsgesetzgeber zur Sicherstellung der Erreichung des in Rn. 54 des vorliegenden Urteils genannten Ziels entschieden hätte, den in diesen Bestimmungen verankerten Rechten eine Reichweite zu verleihen, die über das Hoheitsgebiet der Mitgliedstaaten hinausgeht, und dass er einem Wirtschaftsteilnehmer, der wie Google in den Anwendungsbereich dieser Richtlinie oder Verordnung fällt, eine Pflicht zur Auslistung hätte auferlegen wollen, die auch für die nicht mitgliedstaatlichen nationalen Versionen seiner Suchmaschine gilt.
Im Übrigen ist festzustellen, dass zwar die Art. 56 und 60 bis 66 der Verordnung 2016/679 den Aufsichtsbehörden der Mitgliedstaaten die Instrumente und Mechanismen zur Verfügung stellen, die ihnen gegebenenfalls ermöglichen, zusammenzuarbeiten, um eine gemeinsame Entscheidung zu treffen, die auf einer Abwägung zwischen dem Recht der betroffenen Person auf Achtung des Privatlebens und auf Schutz der sie betreffenden personenbezogenen Daten und dem öffentlichen Interesse der verschiedenen Mitgliedstaaten am Zugang zu einer Information beruht, das Unionsrecht derzeit jedoch keine solchen Instrumente und Kooperationsmechanismen im Hinblick auf die Reichweite einer Auslistung über die Union hinaus vorsieht.
Daraus folgt, dass nach derzeitigem Stand ein Suchmaschinenbetreiber, der einem Auslistungsantrag der betroffenen Person – gegebenenfalls auf Anordnung einer Aufsichts- oder Justizbehörde eines Mitgliedstaats – stattgibt, nicht aus dem Unionsrecht verpflichtet ist, eine solche Auslistung in allen Versionen seiner Suchmaschine vorzunehmen.
Nach alledem kann keine Verpflichtung des Suchmaschinenbetreibers aus Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46 und Art. 17 Abs. 1 der Verordnung 2016/679 bestehen, eine Auslistung in allen Versionen seiner Suchmaschine vorzunehmen.
Zu der Frage, ob die Auslistung in den mitgliedstaatlichen Versionen der Suchmaschine zu erfolgen hat oder nur in der Version für den Wohnsitzmitgliedstaat desjenigen, der die Auslistung verlangen kann, ergibt sich insbesondere aus der Tatsache, dass sich der Unionsgesetzgeber nun dafür entschieden hat, den Datenschutz durch eine Verordnung zu regeln, die in allen Mitgliedstaaten unmittelbar anwendbar ist, und dies, wie im zehnten Erwägungsgrund der Verordnung 2016/679 ausgeführt, mit dem Ziel, ein gleichmäßiges und hohes Datenschutzniveau in der gesamten Union zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, dass die Auslistung grundsätzlich für alle Mitgliedstaaten erfolgen sollte.
Es ist jedoch festzustellen, dass das öffentliche Interesse am Zugang zu einer Information auch innerhalb der Union von Mitgliedstaat zu Mitgliedstaat variieren kann, so dass das Ergebnis der Abwägung zwischen diesem Interesse einerseits und dem Recht der betroffenen Person auf Achtung des Privatlebens und auf Schutz personenbezogener Daten andererseits nicht unbedingt für alle Mitgliedstaaten gleich ist, zumal es nach Art. 9 der Richtlinie 95/46 und Art. 85 der Verordnung 2016/679 Sache der Mitgliedstaaten ist, etwa für die Datenverarbeitung allein zu journalistischen, künstlerischen oder literarischen Zwecken, die Abweichungen und Ausnahmen vorzusehen, die erforderlich sind, um diese Rechte u. a. mit der Informationsfreiheit in Einklang zu bringen.
Den Art. 56 und 60 der Verordnung 2016/679 ist im Einzelnen zu entnehmen, dass für die grenzüberschreitende Verarbeitung im Sinne von Art. 4 Nr. 23 und vorbehaltlich von Art. 56 Abs. 2 dieser Verordnung die verschiedenen betroffenen nationalen Aufsichtsbehörden nach dem in diesen Bestimmungen vorgesehenen Verfahren zusammenarbeiten müssen, um einen Konsens zu erzielen und einen einheitlichen Beschluss zu fassen, der alle diese Behörden bindet und mit dem der für die Verarbeitung Verantwortliche die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union in Einklang bringen muss. Darüber hinaus verpflichtet Art. 61 Abs. 1 der Verordnung 2016/679 die Aufsichtsbehörden u. a. dazu, einander maßgebliche Informationen zu übermitteln und Amtshilfe zu gewähren, um die Verordnung in der gesamten Union einheitlich durchzuführen und anzuwenden, und Art. 63 der Verordnung besagt, dass zu diesem Zweck das in den Art. 64 und 65 der Verordnung vorgesehene Kohärenzverfahren vorgesehen ist. Schließlich ermöglicht das Dringlichkeitsverfahren nach Art. 66 der Verordnung 2016/679 unter außergewöhnlichen Umständen, dass eine betroffene Aufsichtsbehörde sofort einstweilige Maßnahmen mit festgelegter Geltungsdauer von höchstens drei Monaten treffen kann, die in ihrem Hoheitsgebiet rechtliche Wirkung entfalten sollen, wenn sie zu der Auffassung gelangt, dass dringender Handlungsbedarf besteht, um Rechte und Freiheiten von betroffenen Personen zu schützen.
Dieser Regelungsrahmen bietet den nationalen Aufsichtsbehörden somit die notwendigen Instrumente und Mechanismen, um die Rechte der betroffenen Person auf Achtung des Privatlebens und auf Schutz personenbezogener Daten mit dem Interesse der gesamten Öffentlichkeit in den Mitgliedstaaten am Zugang zu der betreffenden Information in Einklang zu bringen und somit gegebenenfalls einen Beschluss über die Auslistung erlassen zu können, der alle Suchen umfasst, die anhand des Namens dieser Person vom Gebiet der Union aus durchgeführt werden.
Darüber hinaus obliegt es dem Suchmaschinenbetreiber, erforderlichenfalls hinreichend wirksame Maßnahmen zu ergreifen, um einen wirkungsvollen Schutz der Grundrechte der betroffenen Person sicherzustellen. Diese Maßnahmen müssen ihrerseits alle gesetzlichen Anforderungen erfüllen und bewirken, dass die Internetnutzer in den Mitgliedstaaten daran gehindert oder zumindest zuverlässig davon abgehalten werden, auf die betreffenden Links über eine Suche anhand des Namens der betroffenen Person zuzugreifen (vgl. entsprechend Urteile vom 27. März 2014, UPC Telekabel Wien,
C‑314/12
,
EU:C:2014:192
, Rn.
, und vom 15. September 2016, Mc Fadden,
C‑484/14
,
EU:C:2016:689
, Rn.
).
Es ist Sache des vorlegenden Gerichts, zu prüfen, ob die von Google getroffenen oder vorgeschlagenen Maßnahmen auch im Hinblick auf die in Rn. 42 des vorliegenden Urteils dargestellten jüngsten Änderungen an ihrer Suchmaschine diesen Anforderungen genügen.
Schließlich ist noch darauf hinzuweisen, dass das Unionsrecht zwar, wie in Rn. 64 des vorliegenden Urteils ausgeführt, nach derzeitigem Stand nicht vorschreibt, dass die Auslistung, die möglicherweise gewährt wird, für alle Versionen der Suchmaschine gilt, doch verbietet es dies auch nicht. Daher bleibt eine Aufsichts- oder Justizbehörde eines Mitgliedstaats befugt, anhand von nationalen Schutzstandards für die Grundrechte (vgl. in diesem Sinne Urteile vom 26. Februar 2013, Åkerberg Fransson,
C‑617/10
,
EU:C:2013:105
, Rn.
, und vom 26. Februar 2013, Melloni,
C‑399/11
,
EU:C:2013:107
Rn. 60), eine Abwägung zwischen dem Recht der betroffenen Person auf Achtung des Privatlebens und auf Schutz der sie betreffenden personenbezogenen Daten einerseits und dem Recht auf freie Information andererseits vorzunehmen und nach erfolgter Abwägung gegebenenfalls dem Suchmaschinenbetreiber aufzugeben, eine Auslistung in allen Versionen seiner Suchmaschine vorzunehmen.
Nach alledem ist auf die vorgelegten Fragen zu antworten, dass Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46 sowie Art. 17 Abs. 1 der Verordnung 2016/679 dahin auszulegen sind, dass der Betreiber einer Suchmaschine, wenn er in Anwendung dieser Bestimmungen einem Auslistungsantrag stattgibt, die Auslistung nicht in allen Versionen seiner Suchmaschine vorzunehmen hat, sondern nur in allen mitgliedstaatlichen Versionen, erforderlichenfalls in Verbindung mit Maßnahmen, die den gesetzlichen Anforderungen entsprechen und es tatsächlich erlauben, die Internetnutzer, die von einem Mitgliedstaat aus eine Suche anhand des Namens der betroffenen Person durchführen, daran zu hindern oder zumindest zuverlässig davon abzuhalten, über die im Anschluss an diese Suche angezeigte Ergebnisliste auf die Links zuzugreifen, die Gegenstand des Auslistungsantrags sind.
Kosten
Für die Parteien des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem bei dem vorlegenden Gericht anhängigen Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt:

Art. 12 Buchst. b und Art. 14 Abs. 1 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sowie Art. 17 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung) sind dahin auszulegen, dass der Betreiber einer Suchmaschine, wenn er in Anwendung dieser Bestimmungen einem Auslistungsantrag stattgibt, die Auslistung nicht in allen Versionen seiner Suchmaschine vorzunehmen hat, sondern nur in allen mitgliedstaatlichen Versionen, erforderlichenfalls in Verbindung mit Maßnahmen, die den gesetzlichen Anforderungen entsprechen und es tatsächlich erlauben, die Internetnutzer, die von einem Mitgliedstaat aus eine Suche anhand des Namens der betroffenen Person durchführen, daran zu hindern oder zumindest zuverlässig davon abzuhalten, über die im Anschluss an diese Suche angezeigte Ergebnisliste auf die Links zuzugreifen, die Gegenstand des Auslistungsantrags sind.

Unterschriften
(
*1
)	Verfahrenssprache: Französisch.