Proximus, ein Anbieter von Telekommunikationsdiensten in Belgien, bietet auch Teilnehmerverzeichnisse und Telefonauskunftsdienste an. Die Verzeichnisse enthalten Name, Adresse und Telefonnummer der Teilnehmer:innen der verschiedenen Anbieter öffentlich zugänglicher Telefondienste (= Betreiber, zB Telenet). Diese Kontaktdaten werden nach einem Opt-out-System von den Betreibern an Proximus übermittelt Proximus leitet erhaltene Kontaktdaten, an einen anderen Anbieter von Teilnehmerverzeichnissen weiter. Einer der Teilnehmer:innen vom Telefondienstanbieter Telenet forderte Proximus auf, seine Kontaktdaten in den von ihr und von Dritten herausgegebenen Teilnehmerverzeichnissen nicht aufzuführen. Daraufhin änderte Proximus den Status dieses Teilnehmers dahin gehend, dass seine Kontaktdaten nicht mehr zu veröffentlichen waren. In der Folge erhielt Proximus jedoch von Telenet eine Aktualisierung der Daten des fraglichen Teilnehmers. Sie wurden von Proximus nach einem automatisierten Verfahren verarbeitet und dergestalt registriert, dass sie erneut in ihren Teilnehmerverzeichnissen erschienen.
1. Einwilligung zur Aufnahme in Teilnehmerverzeichnis
Es ist eine „Einwilligung“ – iSv Art 4 Nr 11 DSGVO (2016/679/EU) – der Teilnehmer:innen eines Telefondienstanbieters erforderlich, damit ihre personenbezogenen Daten in öffentlich zugänglichen Teilnehmerverzeichnissen und Telefonauskunftsdiensten aufgeführt werden können, die von anderen Anbietern veröffentlicht werden, wobei diese Einwilligung entweder gegenüber dem betreffenden Telefondienstanbieter oder gegenüber einem dieser anderen Anbieter erteilt werden kann (s Art 12 Abs 2 der Datenschutz-RL 2002/58/EG iVm Art 95 DSGVO).
Diese Einwilligung erstreckt sich auf jede weitere Verarbeitung der Daten durch dritte Unternehmen, die auf dem Markt für öffentlich zugängliche Telefonauskunftsdienste und Teilnehmerverzeichnisse tätig sind, sofern diese Verarbeitung denselben Zweck verfolgt. Eine solche Einwilligung setzt jedoch nicht unbedingt voraus, dass die betroffene Person zum Zeitpunkt ihrer Erteilung die Identität aller Anbieter von Verzeichnissen kennt, die ihre personenbezogenen Daten verarbeiten werden. Wünscht derjenige, der die Daten beim Teilnehmer erhebt, oder ein Dritter, an den die Daten weitergegeben wurden, diese Daten zu einem weiteren Zweck zu verwenden, so muss allerdings die erneute Einwilligung des Teilnehmers eingeholt werden.
2. Recht auf Löschung
Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen (Art 7 Abs 3 DSGVO). Der Antrag eines Teilnehmers, seine personenbezogenen Daten aus öffentlich zugänglichen Teilnehmerverzeichnissen und Telefonauskunftsdiensten zu entfernen, stellt eine Ausübung des „Rechts auf Löschung“ iSv Art 17 DSGVO dar, dh die Veröffentlichung zutreffender Daten soll eingestellt werden. Der Antrag auf Entfernen stellt nicht darauf ab, unrichtige Daten durch zutreffende Daten zu ersetzen oder unvollständige Daten zu vervollständigen (vgl Art 16 DSGVO) sondern darauf, die Veröffentlichung zutreffender Daten einzustellen (Art 17 DSGVO).
3. Widerruf an einen Anbieter genügt
Nach Art 6 Abs 1 lit a DSGVO ist eine Verarbeitung rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. Im konkreten Fall hat der Beschwerdeführer seine Einwilligung iSv Art 7 Abs 3 DSGVO widerrufen. Nach einem solchen Widerruf hat die Verarbeitung dieser Daten zum Zweck ihrer Aufnahme in öffentliche Teilnehmerverzeichnisse keine Rechtsgrundlage mehr und ist somit nach Maßgabe von Art 6 Abs 1 lit a DSGVO rechtswidrig.
Aus den allgemeinen Verpflichtungen nach Art 5 Abs 2 und Art 24 DSGVO iVm Art 19 ergibt sich, dass ein für die Verarbeitung personenbezogener Daten Verantwortlicher wie Proximus geeignete technische und organisatorische Maßnahmen ergreifen muss, um die anderen Anbieter von Teilnehmerverzeichnissen, denen er solche Daten geliefert hat, über den an ihn gerichteten Widerruf der Einwilligung der betroffenen Person zu informieren. Wenn sich nämlich verschiedene Verantwortliche auf eine einheitliche Einwilligung der betroffenen Person stützen, um deren personenbezogene Daten zu ein und demselben Zweck zu verarbeiten, genügt es, dass sich die betroffene Person, um ihre Einwilligung zu widerrufen, an irgendeinen der Verantwortlichen wendet, die sich auf diese Einwilligung stützen. Der Widerruf der Einwilligung in die Verarbeitung personenbezogener Daten muss ebenso einfach sein muss wie die Erteilung der Einwilligung.
Es muss zum Widerruf seiner Einwilligung möglich sein, sich an irgendeinen der Anbieter von Teilnehmerverzeichnissen oder an seinen Telefondienstanbieter zu wenden, damit seine Kontaktdaten aus den Teilnehmerverzeichnissen gelöscht werden, die von all denen, die sich auf seine einheitliche Einwilligung gestützt haben, veröffentlicht worden sind.
4. „Recht auf Vergessenwerden“: Verständigungspflicht an andere, etwa an Suchmaschinenanbieter
Ein Verantwortlicher wie Proximus hat nach Art 17 Abs 2 DSGVO angemessene Maßnahmen zu treffen, um Suchmaschinenanbieter über den bei ihm eingegangenen Antrag des Teilnehmers eines Telefondienstanbieters auf Löschung seiner personenbezogenen Daten zu informieren. Art 17 Abs 2 DSGVO sieht allerdings vor, dass bei der Beurteilung der Angemessenheit der vom Anbieter von Teilnehmerverzeichnissen ergriffenen Maßnahmen die verfügbare Technologie und die Implementierungskosten zu berücksichtigen sind, wobei diese Beurteilung in erster Linie der zuständigen Behörde obliegt und gerichtlich überprüfbar ist.
Es ist einer nationalen Aufsichtsbehörde folglich nicht verwehrt, einen Anbieter von öffentlich zugänglichen Teilnehmerverzeichnissen und Telefonauskunftsdiensten, von dem der Teilnehmer eines Telefondienstanbieters verlangt hat, die ihn betreffenden personenbezogenen Daten nicht mehr zu veröffentlichen, zu verpflichten, „angemessene Maßnahmen“ iSv Art 17 Abs 2 DSGVO zu ergreifen, um Suchmaschinenanbieter über diesen Antrag auf Löschung von Daten zu informieren.
