OGH-Entscheidung vom 20.9.2024, 6 Ob 221/23b
Sachverhalt:
Die Klägerin ist Augenärztin. Die Beklagte betreibt die Suchmaschine „Google“ und den zugehörigen Dienst „Google My Business“. Unternehmen dort können ein selbst gestaltbares Unternehmensprofil erstellen. Die Beklagte führt auch ein authentifiziertes Unternehmensprofil der Klägerin. Das Profil wurde nicht von ihr selbst, sondern von einer Internet-Agentur erstellt.
Jeder registrierte Nutzer kann eine Bewertung mit ein bis fünf Sternen vornehmen und optional einen Kommentar erstellen. Authentifizierte Inhaber eines Unternehmensprofils werden automatisch informiert, sobald eine neue Bewertung abgegeben wurde. Die Klägerin wusste von der Bewertungsmöglichkeit nichts und kündigte den Vertrag mit ihrer Internet-Agentur. Sie erhielt von der Agentur ihre Zugangsdaten zu „My Business“, hatte aber kein Interesse sich selbst anzumelden. Zum Zeitpunkt der Klagseinbringung schienen 33 Rezensionen auf; eineinhalb Jahre später waren es 48 Rezensionen, wobei die Klägerin insgesamt mit 3,4 von 5 Sternen bewertet worden war. Bei den 1 bis 3 Sterne-Bewertungen wurde beinahe ausnahmslos die lange Wartezeit bei der Klägerin kritisiert.
Die Klägerin begehrte vor Gericht die Löschung der Rezensionen und Bewertungen sowie EUR 5.000 Schadenersatz. Die Beklagte solle es zukünftig auch unterlassen, neue Rezensionen ohne Zustimmung der Klägerin zu veröffentlichen. Die Klägerin machte einerseits eine Verletzung des Datenschutzes und andererseits einen Eingriff in ihr Persönlichkeitsrecht geltend.
Entscheidung:
Erst- und Berufungsgericht wiesen die Klage ab. Der OGH gab der außerordentlichen Revision Folge, hob die Urteile der Vorinstanzen auf und verwies die Rechtssache zur neuerlichen Entscheidung an das Erstgericht zurück.
Zum Eingriff in das Persönlichkeitsrecht:
§ 48 IPRG verweist für den vorliegenden Fall, weil sich die Wirkung der Verbreitung der Äußerungen vornehmlich im Inland entfaltet (vgl etwa DIESE Entscheidung), auf die Anwendung österreichischen Rechts. Zu beachten sei aber, dass es im vorliegenden Fall um einen Dienst der Informationsgesellschaft geht, bei der der Dienstleister seinen Sitz in einem anderem Mitgliedstaat innerhalb des europäischen Wirtschaftsraums hat (§ 1 Abs 3 ECG), und von Seiten der Beklagten eine Leistung in Rede steht, die im sogenannten koordinierten Bereich (§ 3 Z 8 ECG) liegt. § 20 ECG normiert, dass sich im koordinierten Bereich die rechtlichen Anforderungen an einen in einem Mitgliedstaat niedergelassenen Diensteanbieter nach dem Recht dieses Staats richten (Herkunftslandprinzip). Der freie Verkehr der Dienste der Informationsgesellschaft aus einem anderen Mitgliedstaat darf vorbehaltlich der §§ 21 bis 23 ECG nicht aufgrund inländischer Rechtsvorschriften eingeschränkt werden, die in den koordinierten Bereich fallen. Eine Ausnahme von diesem Herkunftslandprinzip sei nicht ersichtlich, zumal die Bewertungen, deren Unterlassung und Löschung die Klägerin begehrt, nicht als die Würde eines einzelnen Menschen (§ 22 Abs 2 Z 2 ECG) antastend zu qualifizieren sind. Die subjektiven Bewertungen über Wartezeit und Freundlichkeit betreffen den beruflichen Bereich der Klägerin. Der EuGH hielt bereits fest, dass die Mitgliedstaaten im koordinierten Bereich sicherstellen müssen, dass ein Anbieter eines Dienstes des elektronischen Geschäftsverkehrs keinen strengeren Anforderungen unterliegen darf, als sie das im Sitzmitgliedstaat dieses Anbieters geltende Sachrecht vorsieht.
Der OGH hielt fest, dass § 20 Abs 1 ECG damit für Eingriffe in das (allgemeine) Persönlichkeitsrecht eine Sachnormverweisung auf die materiellen Rechtsvorschriften des Niederlassungsstaats enthält. Damit kommt es im vorliegenden Fall auf das Recht des Staates an, in dem der Dienstleister seinen Sitz hat (irisches Sachrecht). Die Anwendung irischen Rechts müsse erst erörtert werden.
Zur Verletzung des Datenschutzrechts:
Neben Name, akademischem Grad und anderen Identifikatoren (Adresse) unterliegen auch die über eine Person abgegebenen und ihr direkt zugeordneten Bewertungen dem Regime der DSGVO, weil es sich auch dabei um „personenbezogene Daten“ iSd Art 4 Z 1 DSGVO handelt (zu Bewertungen siehe DIESE Entscheidung). Die Klägerin bezweifelt die Rechtmäßigkeit der Verarbeitung ihrer Daten unter zwei Gesichtspunkten: wegen des Fehlens ihrer Einwilligung dazu, sich bewerten zu lassen, und wegen einer unrechtmäßigen Übermittlung in ein Drittland.
Auf eine fehlende Zustimmung der Beklagten, sich bewerten zu lassen, kommt es aber nicht an, weil sich die Beklagte insofern zu Recht auf Art 6 Abs 1 lit f DSGVO stützt. Anlässlich der Verarbeitung wird ein berechtigtes Interesse wahrgenommen (Information der Öffentlichkeit über ärztliche Leistungen samt dem Einblick in persönliche Erfahrungen; vom Schutzbereich der Art 10 EMRK und Art 11 GRC umfasst). Mit dem Grundrecht auf freie Meinungsäußerung auch im Wege anonymer Bewertungen hat sich der OGH bereits eingehend befasst (siehe HIER, HIER oder HIER).
Der EuGH hat bereits klargestellt, dass der Betreiber einer Suchmaschine als für die entsprechende Verarbeitung „Verantwortlicher“ iSv Art 4 Z 7 anzusehen ist. Auch der OGH stufte die Beklagte als Verantwortliche ein. Die zentrale datenschutzrechtliche Problematik des Verfahrens liege aber in der Frage, was unter „Übermittlung an ein Drittland“ iSd Art 44 ff DSGVO zu verstehen ist. Datenübermittlungen personenbezogener Daten „an ein Drittland“ sind nur unter bestimmten Voraussetzungen zulässig. Kernargument der Revision war die Aufhebung des Angemessenheitsbeschlusses zum Privacy Shield-Abkommen durch den EuGH. Der US-Präsident erließ am 7. 10. 2022 den „Executive Order on Enhancing Safeguards for United States Signals Intelligence Activites“ (Executive Order 14086). Seither ist der Datentransfer (hinsichtlich zertifizierter Empfänger) wieder „ohne besondere Genehmigung“ zulässig. Welche Vorgänge unter „Übermittlung“ iSd Art 44 ff DSGVO überhaupt zu verstehen sind, sei nicht zweifelsfrei geklärt. Es ist auch nicht eindeutig geklärt, ob die Aufhebung des Angemessenheitsbeschlusses auf bereits zuvor erfolgte Datenübermittlungen zurückwirkt. Auch die Kategorie der übermittelten Daten kann in Betracht zu ziehen sein. Bei den Profildaten handelt es sich um allgemein verfügbare personenbezogene Daten der Klägerin.
Da mehrere grundlegende Fragen noch Klärung bedurften, hob der OGH die Entscheidungen der Vorinstanzen auf und verwies die Rechtssache zur Verfahrensergänzung zurück.
Weitere Blog-Beiträge zum Thema Rezensionen/Bewertungen:
DSGVO-Schadenersatz für Schulwart, der irrtümlich in Lehrerbewertungs-App aufgenommen wurde.
Google-Bewertung: Unrichtigkeit kann sich aus Weglassen wesentlicher Informationen ergeben
BGH zur Zulässigkeit einer negativen Bewertung bei eBay („Versandkosten Wucher!!“)
BGH zu Bewertungsplattform: Gewerbetreibender muss Kritik hinnehmen
BGH konkretisiert Pflichten des Betreibers eines Ärztebewertungsportals