Der Umstand, dass Nutzer ihre verbale oder Stern-Bewertung eingeben und auch wieder löschen können, entpflichtet die Betreiberin der Plattform als diejenige, die die Daten verarbeitet, nicht.

Austria. OGH. Eine Fachärztin liegt im Rechtsstreit mit einem Suchmaschinenanbieter. Verlangt werden die Löschung und Unterlassung der weiteren Ermöglichung von Bewertungen sowie die damit verbundene Verarbeitung personenbezogener Daten. Patient:innen hatten die Tätigkeit der Ärztin und ihren Eindruck von der Praxis oftmals negativ öffentlich bewertet. So störte sich die Klägerin beispielsweise an Kritik über lange Wartezeiten oder eine unhöfliche Behandlung.

Die aufgestellten Behauptungen seien falsch oder übertrieben. Die von Nutzern abgegebenen Sternebewertungen seien zudem keine objektiven Tatsachen, sondern subjektive Werturteile, die ihr Ansehen und ihren Ruf schädigen würden. Mangels Zustimmung zur Veröffentlichung der Bewertungen sei sie in ihrem Recht auf Datenschutz und in ihrem allgemeinen Persönlichkeitsrecht verletzt worden. Ferner habe die beklagte Suchmaschinenbetreiberin ihre personenbezogenen Daten, einschließlich ihrer Praxisadresse und anderer Profildaten, an Server in den USA übermittelt. Dies sei unzulässig, weil der Datentransfer in die USA nicht durch die Standardvertragsklauseln ausreichend geschützt sei. Der Ärztin sei ein immaterieller Schaden von EUR 5.000 entstanden, den sie nun ersetzt haben wolle.

Die Beklagte argumentiert, dass die Bewertungen auf ihrem Portal zulässige Werturteile und wahre Tatsachenbehauptungen darstellten und somit unter das Recht auf freie Meinungsäußerung fielen. Ein Löschungsanspruch sei deshalb ausgeschlossen. Zudem handle es sich bei Name und Praxisadresse um öffentlich zugängliche Daten, die beispielsweise auch auf der Website der Ärztekammer sowie auf der eigenen Homepage der Klägerin abrufbar seien. Diese Informationen seien daher nicht als besonders schützenswert im Sinne der EU-DSGVO anzusehen. Betreffend die Übermittlung der Daten in die USA berief man sich auf vereinbarte SCC 2021 und verwies auf die zusätzlich getroffenen Schutzmaßnahmen.

Der OGH hob in dieser Entscheidung das Urteil der Vorinstanzen auf und verwies die Sache zur neuerlichen Entscheidung an das Erstgericht zurück. Für diese neuerliche Runde gab der Gerichtshof jedoch einige Gedanken mit:

• Neben Name, akademischem Grad und anderen Identifikatoren (Adresse) unterliegen auch die über eine Person abgegebenen und ihr direkt zugeordneten Bewertungen dem Regime der EU-DSGVO.
• Eine Stelle kann für die Verarbeitung verantwortlich sein, wenn sie in Bezug auf die von ihr betriebenen Dienste ihr Eigeninteresse verfolgt, insoweit zu dessen Förderung handelt und aus diesem Eigeninteresse heraus Einfluss auf den von ihr vorgegebenen Zweck des Dienstes und auf die bei der Datenverarbeitung verwendeten Mittel nimmt.
• Verknüpft eine Stelle die (wenn auch von den Nutzern eingegebenen) Bewertungen mit dem Profil/Namen des Unternehmens und führt sie so diese von ihr vorgegebenen Kategorien an Informationen in ihrem Dienst zusammen, liegt darin eine Verarbeitung.
• Die Verantwortliche trifft im Rahmen der Prozessförderungspflicht die Verpflichtung, an der Ermittlung des (ihr zugänglichen) technischen Ablaufs und des Umfangs ihrer Tätigkeiten mitzuwirken.
• Die Verantwortliche hat darzulegen, aus welchen Bestimmungen sich auf welche Weise eine Verpflichtung des Datenimporteurs auf Einhaltung eines Datenschutzniveaus, wie es dem europäischen Schutzniveau gleichwertig ist, ergibt.